DPKI: ब्लॉकचेन वापरून केंद्रीकृत PKI च्या कमतरता दूर करणे

हे रहस्य नाही की सामान्यतः वापरल्या जाणार्या सहाय्यक साधनांपैकी एक, ज्याशिवाय ओपन नेटवर्कमध्ये डेटा संरक्षण अशक्य आहे, ते डिजिटल प्रमाणपत्र तंत्रज्ञान आहे. तथापि, हे रहस्य नाही की तंत्रज्ञानाचा मुख्य दोष म्हणजे डिजिटल प्रमाणपत्रे जारी करणार्‍या केंद्रांवर बिनशर्त विश्वास. ENCRY मधील टेक्नॉलॉजी आणि इनोव्हेशन संचालक आंद्रे च्मोरा यांनी आयोजन करण्यासाठी एक नवीन दृष्टीकोन प्रस्तावित केला सार्वजनिक की पायाभूत सुविधा (सार्वजनिक की पायाभूत सुविधा, पीकेआय), जे सध्याच्या उणिवा दूर करण्यात मदत करेल आणि जे वितरित खाते (ब्लॉकचेन) तंत्रज्ञानाचा वापर करते. पण प्रथम गोष्टी प्रथम.

तुमची सध्याची सार्वजनिक की इन्फ्रास्ट्रक्चर कशी काम करते आणि त्यातील प्रमुख उणीवा तुम्हाला माहीत असल्यास, आम्ही खाली काय बदलण्याचा प्रस्ताव देत आहोत ते तुम्ही वगळू शकता.

डिजिटल स्वाक्षरी आणि प्रमाणपत्रे काय आहेत?इंटरनेटवरील परस्परसंवादामध्ये नेहमी डेटाचे हस्तांतरण समाविष्ट असते. डेटा सुरक्षितपणे प्रसारित केला जातो हे सुनिश्चित करण्यात आम्हा सर्वांना स्वारस्य आहे. पण सुरक्षा म्हणजे काय? गोपनीयता, अखंडता आणि सत्यता या सर्वात जास्त मागणी असलेल्या सुरक्षा सेवा आहेत. या उद्देशासाठी, असममित क्रिप्टोग्राफी किंवा सार्वजनिक की सह क्रिप्टोग्राफीच्या पद्धती सध्या वापरल्या जातात.

चला या वस्तुस्थितीपासून सुरुवात करूया की या पद्धती वापरण्यासाठी, परस्परसंवादाच्या विषयांमध्ये दोन वैयक्तिक जोडलेल्या की असणे आवश्यक आहे - सार्वजनिक आणि गुप्त. त्यांच्या मदतीने, आम्ही वर नमूद केलेल्या सुरक्षा सेवा पुरवल्या जातात.

माहिती हस्तांतरणाची गोपनीयता कशी साधली जाते? डेटा पाठवण्यापूर्वी, पाठवणारा सदस्य प्राप्तकर्त्याच्या सार्वजनिक की वापरून खुला डेटा कूटबद्ध करतो (क्रिप्टोग्राफिकली रूपांतरित करतो), आणि प्राप्तकर्ता पेअर केलेली गुप्त की वापरून प्राप्त केलेले सायफरटेक्स्ट डिक्रिप्ट करतो.

प्रसारित केलेल्या माहितीची अखंडता आणि सत्यता कशी प्राप्त होते? या समस्येचे निराकरण करण्यासाठी, दुसरी यंत्रणा तयार केली गेली. खुला डेटा कूटबद्ध केलेला नाही, परंतु क्रिप्टोग्राफिक हॅश फंक्शन लागू करण्याचा परिणाम - इनपुट डेटा क्रमाची "संकुचित" प्रतिमा - एनक्रिप्टेड स्वरूपात प्रसारित केली जाते. अशा हॅशिंगच्या परिणामास "डायजेस्ट" असे म्हणतात आणि ते पाठवणार्‍या सदस्याची गुप्त की वापरून कूटबद्ध केले जाते ("साक्षीदार"). डायजेस्ट कूटबद्ध करण्याच्या परिणामी, डिजिटल स्वाक्षरी प्राप्त होते. हे, स्पष्ट मजकूरासह, प्राप्तकर्त्याला ("सत्यापनकर्ता") प्रसारित केले जाते. तो साक्षीदाराच्या सार्वजनिक की वर डिजिटल स्वाक्षरी डिक्रिप्ट करतो आणि क्रिप्टोग्राफिक हॅश फंक्शन लागू करण्याच्या परिणामाशी त्याची तुलना करतो, ज्याची पडताळणी प्राप्त झालेल्या खुल्या डेटावर आधारित स्वतंत्रपणे गणना करतो. जर ते जुळत असतील तर, हे सूचित करते की डेटा पाठवणाऱ्या सदस्याद्वारे अस्सल आणि पूर्ण स्वरूपात प्रसारित केला गेला होता आणि आक्रमणकर्त्याद्वारे सुधारित केलेला नाही.

वैयक्तिक डेटा आणि पेमेंट माहिती (बँका, विमा कंपन्या, एअरलाइन्स, पेमेंट सिस्टम, तसेच सरकारी पोर्टल जसे की कर सेवा) कार्य करणारी बहुतेक संसाधने सक्रियपणे असममित क्रिप्टोग्राफी पद्धती वापरतात.

डिजिटल प्रमाणपत्राचा त्याच्याशी काय संबंध? हे सोपं आहे. पहिल्या आणि दुस-या दोन्ही प्रक्रियांमध्ये सार्वजनिक कळांचा समावेश होतो आणि त्या मध्यवर्ती भूमिका बजावत असल्याने, कळा प्रत्यक्षात प्रेषक (साक्षीदार, स्वाक्षरी पडताळणीच्या बाबतीत) किंवा प्राप्तकर्त्याच्या आहेत याची खात्री करणे फार महत्वाचे आहे. हल्लेखोरांच्या चाव्या बदलल्या. म्हणूनच सार्वजनिक कीची सत्यता आणि अखंडता सुनिश्चित करण्यासाठी डिजिटल प्रमाणपत्रे अस्तित्वात आहेत.

टीप: सार्वजनिक की ची सत्यता आणि अखंडता सार्वजनिक डेटाची सत्यता आणि अखंडता, म्हणजेच इलेक्ट्रॉनिक डिजिटल स्वाक्षरी (EDS) वापरून त्याच प्रकारे पुष्टी केली जाते.
डिजिटल प्रमाणपत्रे कोठून येतात?विश्वसनीय प्रमाणन अधिकारी किंवा प्रमाणन प्राधिकरण (CAs), डिजिटल प्रमाणपत्रे जारी करण्यासाठी आणि देखरेखीसाठी जबाबदार आहेत. अर्जदार CA कडून प्रमाणपत्र जारी करण्याची विनंती करतो, नोंदणी केंद्रावर (CR) ओळख करून देतो आणि CA कडून प्रमाणपत्र प्राप्त करतो. CA हमी देतो की सर्टिफिकेटमधील पब्लिक की ती ज्या घटकासाठी जारी केली गेली होती त्याच घटकाची आहे.

तुम्ही सार्वजनिक कीच्या सत्यतेची पुष्टी न केल्यास, या कीचे हस्तांतरण/स्टोरेज दरम्यान आक्रमणकर्ता त्याच्या स्वतःच्या बरोबर बदलू शकतो. जर प्रतिस्थापना झाली असेल, तर आक्रमणकर्ता पाठवणारा ग्राहक प्राप्तकर्त्याकडे प्रसारित केलेल्या सर्व गोष्टी डिक्रिप्ट करण्यास सक्षम असेल किंवा त्याच्या स्वत: च्या विवेकबुद्धीनुसार खुला डेटा बदलू शकेल.

जेथे असममित क्रिप्टोग्राफी उपलब्ध आहे तेथे डिजिटल प्रमाणपत्रे वापरली जातात. सर्वात सामान्य डिजिटल प्रमाणपत्रांपैकी एक म्हणजे HTTPS प्रोटोकॉलवर सुरक्षित संप्रेषणासाठी SSL प्रमाणपत्रे. विविध अधिकारक्षेत्रात नोंदणीकृत शेकडो कंपन्या एसएसएल प्रमाणपत्र जारी करण्यात गुंतलेल्या आहेत. मुख्य वाटा पाच ते दहा मोठ्या विश्वासार्ह केंद्रांवर येतो: IdenTrust, Comodo, GoDaddy, GlobalSign, DigiCert, CERTUM, Actalis, Secom, Trustwave.

CA आणि CR हे PKI चे घटक आहेत, ज्यात हे देखील समाविष्ट आहे:

• निर्देशिका उघडा - एक सार्वजनिक डेटाबेस जो डिजिटल प्रमाणपत्रांचे सुरक्षित संचयन प्रदान करतो.
• प्रमाणपत्र रद्द करण्याची यादी – एक सार्वजनिक डेटाबेस जो रद्द केलेल्या सार्वजनिक की च्या डिजिटल प्रमाणपत्रांचे सुरक्षित संचयन प्रदान करतो (उदाहरणार्थ, जोडलेल्या खाजगी कीच्या तडजोडमुळे). पायाभूत सुविधा विषय स्वतंत्रपणे या डेटाबेसमध्ये प्रवेश करू शकतात किंवा ते विशेष ऑनलाइन प्रमाणन स्थिती प्रोटोकॉल (OCSP) वापरू शकतात, जे सत्यापन प्रक्रिया सुलभ करते.
• प्रमाणपत्र वापरकर्ते - सर्व्हिस केलेले PKI विषय ज्यांनी CA सह वापरकर्ता करार केला आहे आणि प्रमाणपत्रातील सार्वजनिक कीच्या आधारे डिजिटल स्वाक्षरी आणि/किंवा कूटबद्ध डेटाची पडताळणी केली आहे.
• सदस्य - PKI विषयांना सेवा दिली ज्यांच्याकडे प्रमाणपत्रातील सार्वजनिक कीसह जोडलेली गुप्त की आहे आणि ज्यांनी CA सह सदस्य करार केला आहे. ग्राहक एकाच वेळी प्रमाणपत्राचा वापरकर्ता असू शकतो.

अशाप्रकारे, सार्वजनिक की इन्फ्रास्ट्रक्चरच्या विश्वासार्ह संस्था, ज्यात CA, CR आणि खुल्या निर्देशिकांचा समावेश आहे, यासाठी जबाबदार आहेत:

1. अर्जदाराच्या ओळखीच्या सत्यतेची पडताळणी.
2. सार्वजनिक की प्रमाणपत्र प्रोफाइल करणे.
3. ज्या अर्जदाराची ओळख विश्वसनीयरित्या पुष्टी केली गेली आहे अशा अर्जदारासाठी सार्वजनिक की प्रमाणपत्र जारी करणे.
4. सार्वजनिक की प्रमाणपत्राची स्थिती बदला.
5. सार्वजनिक की प्रमाणपत्राच्या सद्य स्थितीबद्दल माहिती प्रदान करणे.

पीकेआयचे तोटे, ते काय आहेत?PKI ची मूलभूत त्रुटी विश्वसनीय संस्थांची उपस्थिती आहे.
वापरकर्त्यांनी CA आणि CR वर बिनशर्त विश्वास ठेवला पाहिजे. परंतु, सराव दाखवल्याप्रमाणे, बिनशर्त विश्वास गंभीर परिणामांनी परिपूर्ण आहे.

गेल्या दहा वर्षांत या क्षेत्रात पायाभूत सुविधांच्या असुरक्षिततेशी संबंधित अनेक मोठे घोटाळे झाले आहेत.

— 2010 मध्ये, Stuxnet मालवेअर ऑनलाइन पसरण्यास सुरुवात झाली, RealTek आणि JMicron कडून चोरलेली डिजिटल प्रमाणपत्रे वापरून स्वाक्षरी केली.

- 2017 मध्ये गुगलने सिमेंटेकवर मोठ्या प्रमाणात खोटी प्रमाणपत्रे जारी केल्याचा आरोप केला होता. त्या वेळी, उत्पादन खंडांच्या बाबतीत सिमेंटेक सर्वात मोठ्या सीएपैकी एक होता. Google Chrome 70 ब्राउझरमध्ये, या कंपनीने आणि तिच्या संलग्न केंद्रांद्वारे जारी केलेल्या प्रमाणपत्रांसाठी समर्थन GeoTrust आणि Thawte 1 डिसेंबर 2017 पूर्वी बंद करण्यात आले होते.

CAs ची तडजोड केली गेली, आणि परिणामी प्रत्येकाला त्रास सहन करावा लागला—स्वतः CA, तसेच वापरकर्ते आणि सदस्य. पायाभूत सुविधांवरील विश्वास कमी झाला आहे. याव्यतिरिक्त, राजकीय संघर्षांच्या संदर्भात डिजिटल प्रमाणपत्रे अवरोधित केली जाऊ शकतात, ज्यामुळे अनेक संसाधनांच्या ऑपरेशनवर देखील परिणाम होईल. रशियन अध्यक्षीय प्रशासनामध्ये बर्याच वर्षांपूर्वी याचीच भीती होती, जिथे त्यांनी 2016 मध्ये राज्य प्रमाणन केंद्र तयार करण्याच्या शक्यतेवर चर्चा केली होती जी रुनेटवरील साइट्सना SSL प्रमाणपत्रे जारी करेल. सध्याची स्थिती अशी आहे की रशियामधील राज्य पोर्टल देखील वापरा अमेरिकन कंपन्यांनी जारी केलेले डिजिटल प्रमाणपत्रे कोमोडो किंवा थावटे (सिमेंटेकची उपकंपनी).

आणखी एक समस्या आहे - प्रश्न वापरकर्त्यांचे प्राथमिक प्रमाणीकरण (प्रमाणीकरण).. थेट वैयक्तिक संपर्काशिवाय डिजिटल प्रमाणपत्र जारी करण्याच्या विनंतीसह सीएशी संपर्क साधलेल्या वापरकर्त्याची ओळख कशी करावी? आता हे पायाभूत सुविधांच्या क्षमतेवर अवलंबून परिस्थितीनुसार सोडवले जाते. खुल्या रजिस्टर्समधून काहीतरी घेतले जाते (उदाहरणार्थ, प्रमाणपत्रांची विनंती करणार्‍या कायदेशीर संस्थांबद्दलची माहिती); ज्या प्रकरणांमध्ये अर्जदार व्यक्ती आहेत, बँक कार्यालये किंवा पोस्ट ऑफिस वापरले जाऊ शकतात, जेथे ओळख दस्तऐवज वापरून त्यांची ओळख पुष्टी केली जाते, उदाहरणार्थ, पासपोर्ट.

तोतयागिरीच्या उद्देशाने क्रेडेन्शियल्स खोटे करण्याची समस्या ही मूलभूत आहे. आपण लक्षात घेऊया की माहिती-सैद्धांतिक कारणांमुळे या समस्येचे कोणतेही पूर्ण निराकरण नाही: विश्वसनीय माहिती प्राधान्याशिवाय, एखाद्या विशिष्ट विषयाची सत्यता पुष्टी करणे किंवा नाकारणे अशक्य आहे. नियमानुसार, पडताळणीसाठी अर्जदाराची ओळख सिद्ध करणाऱ्या कागदपत्रांचा संच सादर करणे आवश्यक आहे. पुष्कळ भिन्न पडताळणी पद्धती आहेत, परंतु त्यापैकी कोणतीही कागदपत्रांच्या सत्यतेची पूर्ण हमी देत ​​नाही. त्यानुसार, अर्जदाराच्या ओळखीच्या सत्यतेचीही खात्री देता येत नाही.

या उणिवा कशा दूर करता येतील?PKI च्या सध्याच्या स्थितीतील समस्या केंद्रीकरणाद्वारे स्पष्ट केल्या जाऊ शकतात, तर विकेंद्रीकरणाने ओळखल्या गेलेल्या कमतरता अंशतः दूर करण्यात मदत होईल असे मानणे तर्कसंगत आहे.

विकेंद्रीकरण विश्वासार्ह घटकांची उपस्थिती सूचित करत नाही - आपण तयार केल्यास विकेंद्रित सार्वजनिक की पायाभूत सुविधा (विकेंद्रित सार्वजनिक की पायाभूत सुविधा, DPKI), नंतर CA किंवा CR ची गरज नाही. चला डिजिटल प्रमाणपत्राची संकल्पना सोडून द्या आणि सार्वजनिक की बद्दल माहिती संग्रहित करण्यासाठी वितरित नोंदणीचा ​​वापर करूया. आमच्या बाबतीत, आम्ही ब्लॉकचेन तंत्रज्ञानाचा वापर करून लिंक केलेले वैयक्तिक रेकॉर्ड (ब्लॉक्स) असलेल्या रेषीय डेटाबेसला रजिस्टर म्हणतो. डिजिटल प्रमाणपत्राऐवजी, आम्ही "सूचना" ची संकल्पना सादर करू.

सूचना प्राप्त करणे, पडताळणे आणि रद्द करणे ही प्रक्रिया प्रस्तावित DPKI मध्ये कशी दिसेल:

1. प्रत्येक अर्जदार नोंदणी दरम्यान एक फॉर्म भरून स्वतंत्रपणे अधिसूचनेसाठी अर्ज सबमिट करतो, त्यानंतर तो विशिष्ट पूलमध्ये संग्रहित केलेला व्यवहार तयार करतो.

2. सार्वजनिक की बद्दलची माहिती, मालकाचे तपशील आणि इतर मेटाडेटासह, वितरित नोंदणीमध्ये संग्रहित केली जाते, आणि डिजिटल प्रमाणपत्रात नाही, ज्यासाठी केंद्रीकृत PKI मध्ये जारी करण्यासाठी CA जबाबदार आहे.

3. अर्जदाराच्या ओळखीच्या सत्यतेची पडताळणी DPKI वापरकर्ता समुदायाच्या संयुक्त प्रयत्नांद्वारे केली जाते, आणि CR द्वारे नाही.

4. केवळ अशा सूचनेचा मालक सार्वजनिक कीची स्थिती बदलू शकतो.

5. कोणीही वितरित लेजरमध्ये प्रवेश करू शकतो आणि सार्वजनिक कीची वर्तमान स्थिती तपासू शकतो.

टीप: अर्जदाराच्या ओळखीचे समुदाय सत्यापन पहिल्या दृष्टीक्षेपात अविश्वसनीय वाटू शकते. परंतु आपण हे लक्षात ठेवले पाहिजे की आजकाल डिजिटल सेवांचे सर्व वापरकर्ते अपरिहार्यपणे डिजिटल फूटप्रिंट सोडतात आणि ही प्रक्रिया केवळ गती मिळवत राहील. कायदेशीर संस्थांची इलेक्ट्रॉनिक नोंदणी उघडा, नकाशे, भूप्रदेशाच्या प्रतिमांचे डिजिटायझेशन, सोशल नेटवर्क्स - ही सर्व सार्वजनिकरित्या उपलब्ध साधने आहेत. पत्रकार आणि कायद्याची अंमलबजावणी करणार्‍या एजन्सींद्वारे तपासादरम्यान ते आधीच यशस्वीरित्या वापरले गेले आहेत. उदाहरणार्थ, मलेशियन बोईंगच्या अपघाताच्या परिस्थितीचा अभ्यास करणार्‍या बेलिंगकॅट किंवा संयुक्त तपास पथक जेआयटीच्या तपासांची आठवण करणे पुरेसे आहे.

मग विकेंद्रित सार्वजनिक की पायाभूत सुविधा व्यवहारात कशी कार्य करेल? चला तंत्रज्ञानाच्याच वर्णनावर राहू या, जे आम्ही 2018 मध्ये पेटंट घेतले आणि आम्ही ते योग्यरित्या आमच्या माहितीचा विचार करतो.

कल्पना करा की असा काही मालक आहे ज्याच्याकडे अनेक सार्वजनिक की आहेत, जिथे प्रत्येक की एक विशिष्ट व्यवहार आहे जी रेजिस्ट्रीमध्ये संग्रहित केली जाते. CA नसताना, सर्व चाव्या या विशिष्ट मालकाच्या आहेत हे तुम्ही कसे समजू शकता? या समस्येचे निराकरण करण्यासाठी, एक शून्य व्यवहार तयार केला जातो, ज्यामध्ये मालक आणि त्याच्या वॉलेटबद्दल माहिती असते (ज्यामधून रेजिस्ट्रीमध्ये व्यवहार ठेवण्याचे कमिशन डेबिट केले जाते). शून्य व्यवहार हा एक प्रकारचा “अँकर” आहे ज्यामध्ये सार्वजनिक की बद्दलच्या डेटासह खालील व्यवहार संलग्न केले जातील. अशा प्रत्येक व्यवहारामध्ये एक विशेष डेटा स्ट्रक्चर किंवा दुसऱ्या शब्दांत, एक सूचना असते.

अधिसूचना हा डेटाचा एक संरचित संच आहे ज्यामध्ये कार्यशील फील्ड आणि मालकाच्या सार्वजनिक की बद्दल माहिती समाविष्ट आहे, ज्याच्या स्थिरतेची हमी वितरित नोंदणीच्या संबंधित रेकॉर्डपैकी एकामध्ये प्लेसमेंटद्वारे दिली जाते.

पुढील तार्किक प्रश्न असा आहे की शून्य व्यवहार कसा तयार होतो? शून्य व्यवहार — त्यानंतरच्या व्यवहारांप्रमाणे — सहा डेटा फील्डचे एकत्रीकरण आहे. शून्य व्यवहाराच्या निर्मितीदरम्यान, वॉलेटची की जोडी गुंतलेली असते (सार्वजनिक आणि जोडलेल्या गुप्त की). जेव्हा वापरकर्ता त्याच्या वॉलेटची नोंदणी करतो तेव्हा या कीजची जोडी दिसून येते, ज्यामधून रेजिस्ट्रीमध्ये शून्य व्यवहार ठेवण्याचे कमिशन आणि त्यानंतर, सूचनांसह ऑपरेशन्स डेबिट केले जातील.

आकृतीमध्ये दर्शविल्याप्रमाणे, SHA256 आणि RIPEMD160 हॅश फंक्शन्स अनुक्रमे लागू करून वॉलेट पब्लिक की डायजेस्ट तयार केला जातो. येथे RIPEMD160 डेटाच्या संक्षिप्त प्रतिनिधित्वासाठी जबाबदार आहे, ज्याची रुंदी 160 बिट्सपेक्षा जास्त नाही. हे महत्त्वाचे आहे कारण रेजिस्ट्री हा स्वस्त डेटाबेस नाही. सार्वजनिक की स्वतः पाचव्या फील्डमध्ये प्रविष्ट केली आहे. पहिल्या फील्डमध्ये डेटा असतो जो मागील व्यवहाराशी कनेक्शन स्थापित करतो. शून्य व्यवहारासाठी, या फील्डमध्ये काहीही नाही, जे त्यानंतरच्या व्यवहारांपासून वेगळे करते. दुसरे फील्ड म्हणजे व्यवहारांची कनेक्टिव्हिटी तपासण्यासाठी डेटा. संक्षिप्ततेसाठी, आम्ही पहिल्या आणि दुसऱ्या फील्डमधील डेटाला अनुक्रमे “लिंक” आणि “चेक” म्हणू. या फील्डची सामग्री पुनरावृत्ती हॅशिंगद्वारे व्युत्पन्न केली जाते, जसे की खालील चित्रात दुसऱ्या आणि तिसऱ्या व्यवहारांना लिंक करून दाखवले आहे.

पहिल्या पाच फील्डमधील डेटा इलेक्ट्रॉनिक स्वाक्षरीद्वारे प्रमाणित केला जातो, जो वॉलेटच्या गुप्त की वापरून तयार केला जातो.

इतकेच, शून्य व्यवहार पूलमध्ये पाठविला जातो आणि यशस्वी सत्यापनानंतर नोंदणीमध्ये प्रवेश केला जातो. आता तुम्ही त्यावर खालील व्यवहार "लिंक" करू शकता. शून्याव्यतिरिक्त इतर व्यवहार कसे तयार होतात याचा विचार करू.

बहुधा तुमची नजर पकडलेली पहिली गोष्ट म्हणजे की जोड्यांची विपुलता. आधीच परिचित वॉलेट की जोडी व्यतिरिक्त, सामान्य आणि सेवा की जोड्या वापरल्या जातात.

एक सामान्य सार्वजनिक की म्हणजे सर्वकाही ज्यासाठी सुरू केले गेले होते. ही की बाह्य जगामध्ये (बँकिंग आणि इतर व्यवहार, दस्तऐवज प्रवाह इ.) विविध प्रक्रिया आणि प्रक्रियांमध्ये गुंतलेली आहे. उदाहरणार्थ, विविध दस्तऐवज - पेमेंट ऑर्डर इत्यादींसाठी डिजिटल स्वाक्षरी तयार करण्यासाठी सामान्य जोडीतील गुप्त की वापरली जाऊ शकते आणि या सूचनांच्या नंतरच्या अंमलबजावणीसह या डिजिटल स्वाक्षरीची पडताळणी करण्यासाठी सार्वजनिक की वापरली जाऊ शकते, जर ते वैध आहे.

सेवा जोडी नोंदणीकृत DPKI विषयाला जारी केली जाते. या जोडीचे नाव त्याच्या उद्देशाशी संबंधित आहे. लक्षात घ्या की शून्य व्यवहार तयार करताना/तपासताना, सेवा की वापरल्या जात नाहीत.

की चा उद्देश पुन्हा स्पष्ट करूया:

1. वॉलेट कीचा वापर शून्य व्यवहार आणि इतर कोणताही गैर-शून्य व्यवहार दोन्ही व्युत्पन्न करण्यासाठी/ पडताळण्यासाठी केला जातो. वॉलेटची खाजगी की फक्त वॉलेटच्या मालकालाच माहीत असते, जो अनेक सामान्य सार्वजनिक की चा मालक देखील असतो.
2. एक सामान्य सार्वजनिक की ही सार्वजनिक की सारखीच असते ज्यासाठी केंद्रीकृत PKI मध्ये प्रमाणपत्र जारी केले जाते.
3. सेवा की जोडी DPKI च्या मालकीची आहे. गुप्त की नोंदणीकृत संस्थांना जारी केली जाते आणि व्यवहारांसाठी (शून्य व्यवहार वगळता) डिजिटल स्वाक्षरी तयार करताना वापरली जाते. एखाद्या व्यवहाराची इलेक्ट्रॉनिक डिजिटल स्वाक्षरी नोंदणीमध्ये पोस्ट करण्यापूर्वी त्याची पडताळणी करण्यासाठी सार्वजनिक वापर केला जातो.

अशा प्रकारे, कळांचे दोन गट आहेत. प्रथम सेवा की आणि वॉलेट की समाविष्ट करतात - ते फक्त DPKI च्या संदर्भात अर्थ देतात. दुसर्‍या गटात सामान्य की समाविष्ट आहेत - त्यांची व्याप्ती भिन्न असू शकते आणि ते वापरल्या जाणार्‍या अनुप्रयोग कार्यांद्वारे निर्धारित केले जाते. त्याच वेळी, DPKI सामान्य सार्वजनिक की ची अखंडता आणि सत्यता सुनिश्चित करते.

टीप: सेवा की जोडी वेगवेगळ्या DPKI संस्थांना ज्ञात असू शकते. उदाहरणार्थ, ते प्रत्येकासाठी समान असू शकते. या कारणास्तव प्रत्येक गैर-शून्य व्यवहाराची स्वाक्षरी तयार करताना, दोन गुप्त की वापरल्या जातात, त्यापैकी एक वॉलेट की आहे - ती फक्त पाकीटाच्या मालकालाच माहित असते, जो अनेक सामान्यांचा मालक देखील असतो. सार्वजनिक कळा. सर्व कळांचा स्वतःचा अर्थ आहे. उदाहरणार्थ, नोंदणीकृत DPKI विषयाद्वारे नोंदणीमध्ये व्यवहार प्रविष्ट केला गेला होता हे सिद्ध करणे नेहमीच शक्य आहे, कारण स्वाक्षरी गुप्त सेवा कीवर देखील तयार केली गेली होती. आणि DOS हल्ल्यांसारखा कोणताही गैरवापर होऊ शकत नाही, कारण मालक प्रत्येक व्यवहारासाठी पैसे देतो.

शून्याचे अनुसरण करणारे सर्व व्यवहार सारखेच तयार केले जातात: सार्वजनिक की (वॉलेट नाही, जसे शून्य व्यवहाराच्या बाबतीत, परंतु सामान्य की जोडीतून) SHA256 आणि RIPEMD160 या दोन हॅश फंक्शन्सद्वारे चालविली जाते. अशा प्रकारे तिसऱ्या फील्डचा डेटा तयार होतो. चौथ्या फील्डमध्ये सोबतची माहिती असते (उदाहरणार्थ, वर्तमान स्थितीबद्दल माहिती, कालबाह्यता तारखा, टाइमस्टॅम्प, वापरलेल्या क्रिप्टो-अल्गोरिदमचे अभिज्ञापक इ.). पाचव्या फील्डमध्ये सर्व्हिस की जोडीमधील सार्वजनिक की आहे. त्याच्या मदतीने, डिजिटल स्वाक्षरी तपासली जाईल, म्हणून ती प्रतिकृती केली जाईल. चला अशा दृष्टिकोनाची आवश्यकता न्याय्य करूया.

लक्षात ठेवा की एक व्यवहार पूलमध्ये प्रविष्ट केला जातो आणि त्यावर प्रक्रिया होईपर्यंत तेथे संग्रहित केला जातो. पूलमध्ये संचयित करणे एका विशिष्ट जोखमीशी संबंधित आहे - व्यवहार डेटा खोटा ठरू शकतो. मालक इलेक्ट्रॉनिक डिजिटल स्वाक्षरीसह व्यवहार डेटा प्रमाणित करतो. या डिजिटल स्वाक्षरीची पडताळणी करण्यासाठी सार्वजनिक की व्यवहाराच्या एका फील्डमध्ये स्पष्टपणे दर्शविली जाते आणि त्यानंतर ती नोंदणीमध्ये प्रविष्ट केली जाते. व्यवहार प्रक्रियेची वैशिष्ठ्ये अशी आहेत की आक्रमणकर्ता स्वतःच्या विवेकबुद्धीनुसार डेटा बदलू शकतो आणि नंतर त्याची गुप्त की वापरून त्याची पडताळणी करू शकतो आणि व्यवहारातील डिजिटल स्वाक्षरीची पडताळणी करण्यासाठी जोडलेली सार्वजनिक की सूचित करतो. जर केवळ डिजिटल स्वाक्षरीद्वारे सत्यता आणि अखंडता सुनिश्चित केली गेली, तर अशा खोट्या गोष्टींकडे लक्ष दिले जाणार नाही. तथापि, जर, डिजिटल स्वाक्षरी व्यतिरिक्त, संग्रहित माहितीचे संग्रहण आणि सातत्य दोन्ही सुनिश्चित करणारी अतिरिक्त यंत्रणा असेल, तर खोटेपणा शोधला जाऊ शकतो. हे करण्यासाठी, नोंदणीमध्ये मालकाची अस्सल सार्वजनिक की प्रविष्ट करणे पुरेसे आहे. हे कसे कार्य करते ते स्पष्ट करूया.

हल्लेखोराला व्यवहार डेटा खोटे करू द्या. की आणि डिजिटल स्वाक्षरीच्या दृष्टिकोनातून, खालील पर्याय शक्य आहेत:

1. मालकाची डिजिटल स्वाक्षरी अपरिवर्तित असताना आक्रमणकर्ता त्याची सार्वजनिक की व्यवहारात ठेवतो.
2. आक्रमणकर्ता त्याच्या खाजगी की वर डिजिटल स्वाक्षरी तयार करतो, परंतु मालकाची सार्वजनिक की अपरिवर्तित ठेवतो.
3. आक्रमणकर्ता त्याच्या खाजगी की वर डिजिटल स्वाक्षरी तयार करतो आणि व्यवहारात एक जोडलेली सार्वजनिक की ठेवतो.

अर्थात, पर्याय 1 आणि 2 निरर्थक आहेत, कारण ते नेहमी डिजिटल स्वाक्षरी पडताळणी दरम्यान आढळतील. फक्त पर्याय 3 चा अर्थ आहे आणि जर आक्रमणकर्त्याने त्याच्या स्वतःच्या गुप्त की वर डिजिटल स्वाक्षरी केली, तर त्याला व्यवहारात एक जोडलेली सार्वजनिक की जतन करण्यास भाग पाडले जाते, जी मालकाच्या सार्वजनिक कीपेक्षा वेगळी असते. आक्रमणकर्त्यासाठी खोटा डेटा लादण्याचा हा एकमेव मार्ग आहे.

चला असे गृहीत धरू की मालकाकडे चाव्यांचा एक निश्चित जोडी आहे - खाजगी आणि सार्वजनिक. या जोडीतील गुप्त की वापरून डेटा डिजिटल स्वाक्षरीद्वारे प्रमाणित करू द्या आणि सार्वजनिक की व्यवहारात दर्शविली आहे. हे देखील गृहीत धरूया की ही सार्वजनिक की यापूर्वी नोंदणीमध्ये प्रविष्ट केली गेली आहे आणि तिची सत्यता विश्वसनीयरित्या सत्यापित केली गेली आहे. नंतर व्यवहारातील सार्वजनिक की रेजिस्ट्रीमधील सार्वजनिक कीशी संबंधित नाही या वस्तुस्थितीद्वारे खोटेपणा दर्शविला जाईल.

चला अप द्या मालकाच्या पहिल्या व्यवहाराच्या डेटावर प्रक्रिया करताना, नोंदणीमध्ये प्रविष्ट केलेल्या सार्वजनिक कीची सत्यता सत्यापित करणे आवश्यक आहे. हे करण्यासाठी, रेजिस्ट्रीमधील की वाचा आणि सुरक्षितता परिमितीमध्ये (सापेक्ष अभेद्यतेचे क्षेत्र) मालकाच्या खऱ्या सार्वजनिक कीशी तुलना करा. जर कीच्या सत्यतेची पुष्टी केली गेली असेल आणि प्लेसमेंटवर तिच्या टिकून राहण्याची हमी दिली गेली असेल, तर त्यानंतरच्या व्यवहारातील कीच्या सत्यतेची रजिस्ट्रीमधील कीशी तुलना करून सहजपणे पुष्टी/नकार केली जाऊ शकते. दुसऱ्या शब्दांत, रेजिस्ट्रीमधील की संदर्भ नमुना म्हणून वापरली जाते. इतर सर्व मालकाच्या व्यवहारांवर अशाच प्रकारे प्रक्रिया केली जाते.

व्यवहार इलेक्ट्रॉनिक डिजिटल स्वाक्षरीद्वारे प्रमाणित केला जातो - येथेच गुप्त की आवश्यक असतात आणि एक नव्हे तर एकाच वेळी दोन - एक सेवा की आणि वॉलेट की. दोन गुप्त की वापरल्याबद्दल धन्यवाद, सुरक्षिततेची आवश्यक पातळी सुनिश्चित केली जाते - सर्व केल्यानंतर, सेवा गुप्त की इतर वापरकर्त्यांना माहित असू शकते, तर वॉलेटची गुप्त की फक्त सामान्य की जोडीच्या मालकालाच ज्ञात असते. आम्ही अशा दोन-की स्वाक्षरीला "एकत्रित" डिजिटल स्वाक्षरी म्हटले.

नॉन-नल व्यवहारांची पडताळणी दोन सार्वजनिक की वापरून केली जाते: वॉलेट आणि सर्व्हिस की. पडताळणी प्रक्रिया दोन मुख्य टप्प्यात विभागली जाऊ शकते: पहिली म्हणजे वॉलेटच्या सार्वजनिक कीचे डायजेस्ट तपासणे आणि दुसरे म्हणजे व्यवहाराची इलेक्ट्रॉनिक डिजिटल स्वाक्षरी तपासणे, दोन गुप्त की वापरून तयार केलेली समान एकत्रित ( पाकीट आणि सेवा). डिजिटल स्वाक्षरीची वैधता पुष्टी झाल्यास, अतिरिक्त पडताळणीनंतर व्यवहार रजिस्टरमध्ये प्रविष्ट केला जातो.

एक तार्किक प्रश्न उद्भवू शकतो: व्यवहार हा शून्य व्यवहाराच्या स्वरूपात “मूळ” असलेल्या विशिष्ट साखळीशी संबंधित आहे की नाही हे कसे तपासायचे? या उद्देशासाठी, सत्यापन प्रक्रिया आणखी एका टप्प्यासह पूरक आहे - कनेक्टिव्हिटी तपासणी. येथेच आम्हाला पहिल्या दोन फील्डमधील डेटाची आवश्यकता असेल, ज्याकडे आम्ही आतापर्यंत दुर्लक्ष केले आहे.

चला अशी कल्पना करूया की व्यवहार क्रमांक 3 हा व्यवहार क्रमांक 2 नंतर येतो की नाही हे तपासण्याची गरज आहे. हे करण्यासाठी, एकत्रित हॅशिंग पद्धत वापरून, व्यवहार क्रमांक 2 च्या तिसऱ्या, चौथ्या आणि पाचव्या फील्डमधील डेटासाठी हॅश फंक्शन मूल्य मोजले जाते. नंतर ट्रान्झॅक्शन नंबर 3 च्या पहिल्या फील्डमधील डेटा आणि ट्रान्झॅक्शन नंबर 2 च्या तिसऱ्या, चौथ्या आणि पाचव्या फील्डमधील डेटासाठी पूर्वी प्राप्त केलेल्या एकत्रित हॅश फंक्शन मूल्याचे एकत्रीकरण केले जाते. हे सर्व SHA256 आणि RIPEMD160 या दोन हॅश फंक्शनद्वारे देखील चालवले जाते. जर प्राप्त मूल्य व्यवहार क्रमांक 2 च्या दुसऱ्या फील्डमधील डेटाशी जुळत असेल, तर चेक पास केला जातो आणि कनेक्शनची पुष्टी केली जाते. हे खालील आकृत्यांमध्ये अधिक स्पष्टपणे दर्शविले आहे.

सर्वसाधारणपणे, नोंदवहीमध्ये अधिसूचना व्युत्पन्न आणि प्रविष्ट करण्याचे तंत्रज्ञान अगदी यासारखे दिसते. सूचनांची साखळी तयार करण्याच्या प्रक्रियेचे दृश्य चित्र खालील आकृतीमध्ये सादर केले आहे:

या मजकुरात, आम्ही निःसंशयपणे अस्तित्वात असलेल्या तपशीलांवर लक्ष ठेवणार नाही आणि विकेंद्रित सार्वजनिक की पायाभूत सुविधांच्या अगदी कल्पनेवर चर्चा करण्यासाठी परत येऊ.

म्हणून, अर्जदाराने स्वतः सूचनांच्या नोंदणीसाठी अर्ज सादर केल्यामुळे, जे CA डेटाबेसमध्ये संग्रहित केले जात नाही, परंतु नोंदणीमध्ये, DPKI चे मुख्य वास्तुशास्त्रीय घटक विचारात घेतले पाहिजेत:

1. वैध सूचनांची नोंदणी (RDN).
2. रद्द केलेल्या सूचनांची नोंदणी (RON).
3. निलंबित सूचनांची नोंदणी (RPN).

सार्वजनिक की बद्दल माहिती RDN/RON/RPN मध्ये हॅश फंक्शन व्हॅल्यूजच्या स्वरूपात संग्रहित केली जाते. हे देखील लक्षात घेण्यासारखे आहे की जेव्हा सामान्य सार्वजनिक की (रद्द करणे, निलंबन, इ.) च्या स्थितीबद्दल माहिती प्रविष्ट केली जाते तेव्हा या एकतर भिन्न नोंदणी, किंवा भिन्न साखळ्या, किंवा एकाच नोंदणीचा ​​भाग म्हणून एक साखळी देखील असू शकतात. संबंधित कोड मूल्याच्या स्वरूपात डेटा संरचनेचे चौथे फील्ड. डीपीकेआयच्या आर्किटेक्चरल अंमलबजावणीसाठी बरेच भिन्न पर्याय आहेत आणि एक किंवा दुसर्‍याची निवड अनेक घटकांवर अवलंबून असते, उदाहरणार्थ, सार्वजनिक की संग्रहित करण्यासाठी दीर्घकालीन मेमरीची किंमत इत्यादी ऑप्टिमायझेशन निकष इ.

अशाप्रकारे, DPKI, जर सोपे नसेल, तर किमान वास्तुशास्त्रीय जटिलतेच्या दृष्टीने केंद्रीकृत समाधानाशी तुलना करता येईल.

मुख्य प्रश्न उरतो - तंत्रज्ञानाच्या अंमलबजावणीसाठी कोणती नोंदणी योग्य आहे?

नोंदणीसाठी मुख्य आवश्यकता म्हणजे कोणत्याही प्रकारचे व्यवहार व्युत्पन्न करण्याची क्षमता. लेजरचे सर्वात प्रसिद्ध उदाहरण म्हणजे बिटकॉइन नेटवर्क. परंतु वर वर्णन केलेल्या तंत्रज्ञानाची अंमलबजावणी करताना, काही अडचणी उद्भवतात: विद्यमान स्क्रिप्टिंग भाषेच्या मर्यादा, डेटाच्या अनियंत्रित संचांवर प्रक्रिया करण्यासाठी आवश्यक यंत्रणेचा अभाव, अनियंत्रित प्रकारचे व्यवहार निर्माण करण्याच्या पद्धती आणि बरेच काही.

आम्ही ENCRY वर तयार केलेल्या समस्यांचे निराकरण करण्याचा प्रयत्न केला आणि एक नोंदणी विकसित केली, ज्याचे आमच्या मते, अनेक फायदे आहेत, म्हणजे:

• अनेक प्रकारच्या व्यवहारांचे समर्थन करते: ते दोन्ही मालमत्तांची देवाणघेवाण करू शकते (म्हणजे आर्थिक व्यवहार करू शकते) आणि अनियंत्रित संरचनेसह व्यवहार तयार करू शकते,
• विकसकांना प्रोप्रायटरी प्रोग्रॅमिंग लँग्वेज प्रिझमलांगमध्ये प्रवेश आहे, जी विविध तांत्रिक समस्या सोडवताना आवश्यक लवचिकता प्रदान करते,
• अनियंत्रित डेटा सेटवर प्रक्रिया करण्यासाठी एक यंत्रणा प्रदान केली आहे.

जर आपण एक सरलीकृत दृष्टीकोन घेतला, तर पुढील क्रियांचा क्रम होतो:

1. अर्जदार DPKI मध्ये नोंदणी करतो आणि त्याला डिजिटल वॉलेट मिळते. वॉलेट पत्ता हे वॉलेटच्या सार्वजनिक कीचे हॅश मूल्य आहे. पाकीटाची खाजगी की फक्त अर्जदारालाच माहीत असते.
2. नोंदणीकृत विषयाला सेवा गुप्त की मध्ये प्रवेश दिला जातो.
3. विषय शून्य व्यवहार व्युत्पन्न करतो आणि वॉलेटची गुप्त की वापरून डिजिटल स्वाक्षरीसह सत्यापित करतो.
4. जर शून्याव्यतिरिक्त एखादा व्यवहार तयार झाला, तर तो दोन गुप्त की वापरून इलेक्ट्रॉनिक डिजिटल स्वाक्षरीद्वारे प्रमाणित केला जातो: एक वॉलेट आणि एक सेवा.
5. विषय पूलमध्ये व्यवहार सबमिट करतो.
6. ENCRY नेटवर्क नोड पूलमधील व्यवहार वाचतो आणि डिजिटल स्वाक्षरी तसेच व्यवहाराची कनेक्टिव्हिटी तपासतो.
7. जर डिजिटल स्वाक्षरी वैध असेल आणि कनेक्शनची पुष्टी झाली असेल, तर ते रजिस्टरमध्ये प्रवेशासाठी व्यवहार तयार करते.

येथे रेजिस्ट्री वितरित डेटाबेस म्हणून कार्य करते जे वैध, रद्द आणि निलंबित सूचनांबद्दल माहिती संग्रहित करते.

अर्थात विकेंद्रीकरण हा रामबाण उपाय नाही. प्राथमिक वापरकर्ता प्रमाणीकरणाची मूलभूत समस्या कुठेही नाहीशी होत नाही: जर सध्या अर्जदाराची पडताळणी CR द्वारे केली जात असेल, तर DPKI मध्ये समुदाय सदस्यांना सत्यापन सोपवण्याचा आणि क्रियाकलापांना चालना देण्यासाठी आर्थिक प्रेरणा वापरण्याचा प्रस्ताव आहे. ओपन सोर्स व्हेरिफिकेशन तंत्रज्ञान सर्वज्ञात आहे. अशा सत्यापनाची प्रभावीता सरावाने पुष्टी केली गेली आहे. ऑनलाइन प्रकाशन Bellingcat द्वारे अनेक उच्च-प्रोफाइल तपास पुन्हा आठवूया.

परंतु सर्वसाधारणपणे, खालील चित्र उदयास येते: डीपीकेआय ही दुरुस्त करण्याची संधी आहे, जर सर्वच नाही, तर केंद्रीकृत पीकेआयच्या अनेक कमतरता.

आमच्या हॅब्राब्लॉगची सदस्यता घ्या, आम्ही आमचे संशोधन आणि विकास सक्रियपणे कव्हर करण्याची आणि अनुसरण करण्याची योजना आखत आहोत ट्विटर, आपण ENCRY प्रकल्पांबद्दल इतर बातम्या गमावू इच्छित नसल्यास.

स्त्रोत: www.habr.com