Закрытый ключ
Простыми словами
Открытую часть пары можно передавать другим участникам. Закрытая часть позволяет выполнять операции, которые должны оставаться под контролем владельца. Конкретная операция зависит от алгоритма и назначения ключа.
Копирование сертификата обычно не даёт возможности подписывать данные от имени владельца: сертификат содержит открытый ключ. Но копирование доступного закрытого ключа или захват права пользоваться им может позволить выполнять защищённые им операции.
Как применяется
Закрытые ключи применяют в электронной подписи, аутентификации и защищённых протоколах. Для каждого ключа определяют назначение, владельца, допустимые операции и срок использования, чтобы один секрет не обслуживал несвязанные задачи без оценки риска.
Защищают не только файл, но и доступ к операциям: приложение или администратор может использовать неэкспортируемый ключ через разрешённый интерфейс. Учитывают носитель, резервирование, журналы использования и последствия утраты или компрометации.
Пример применения
Сервис подписывает исходящие документы ключом в защищённом хранилище. Право вызова операции подписи получает отдельная сервисная учётная запись; операторы не могут выгрузить ключ или подписать произвольный файл вне процесса.
В тесте от имени посторонней учётной записи выполняют запрос подписи и получают отказ. Затем проверяют журнал операции и процедуру замены ключа. Проверка только запрета скачивания файла не покрывает злоупотребление разрешённым интерфейсом.
Не путать с
- Открытый ключМожет передаваться другим участникам для предусмотренных алгоритмом проверок и операций. Закрытый ключ требует сохранения секретности.
- СертификатСвязывает открытый ключ с данными субъекта и подписан издателем. Сам сертификат не содержит закрытую часть пары.
- Симметричный ключСекрет, используемый участниками симметричной схемы. Закрытый ключ относится к асимметричной паре и имеет другое распределение ролей.
Как это работает
- Задать назначениеОпределяют операции, владельца и условия доступа. Выбирают подходящие алгоритм и механизм хранения.
- Сформировать паруСоздают ключи предусмотренным средством и защищают закрытую часть. Резервирование выполняют только по подходящей процедуре.
- Ограничить использованиеВыдают доступ к нужным операциям и приложениям. Проверяют экспорт, интерфейсы использования и действия администраторов.
- Управлять заменойУчитывают сроки и события компрометации. Заменяют ключ и связанные сертификаты, оценивают последствия для ранее защищённых данных.
Продолжить изучение
Связанные термины
Частые вопросы
Нет. Пароль может защищать контейнер с ключом, но не заменяет сам ключ. Безопасность зависит также от хранения, формата и доступных интерфейсов использования.
Ключ на токене полностью защищён от злоупотребления?Не обязательно. Запрет экспорта затрудняет копирование, но приложение с правом выполнять операции может использовать ключ неправомерно. Нужны ограничения и контроль вызовов.
После утечки достаточно поменять пароль?Нет. Если ключ скопирован, новый пароль не меняет утёкшую копию. Нужна замена ключа, проверка связанных сертификатов и оценка всех затронутых операций.