Службы инфраструктуры открытых ключей Public Key Infrastructure Services
Простыми словами
Определение примечательно тем, что кончается отказом: «This definition specifically excludes identity management and key generation». Это не придирка, а разграничение против самой частой ошибки — считать, что развернув PKI, вы закрыли вопрос управления идентичностью. Здесь удостоверяющий центр, список отзыва, службы проверки сертификатов и отношения доверия; кто заводит и удаляет самих людей — задача служб управления идентичностью, а генерация ключей относится к криптографическим службам. Второе, что стоит держать в голове: PKI сама по себе никого не аутентифицирует. Она обеспечивает материал, на котором работают другие: «Higher-level digital signature services can be used to authenticate the identity of the sender of a message or the signer of a document».
Примеры
В определение входят управление сертификатами X.509 V3 и их обработка: удостоверяющий центр, список отзыва сертификатов, службы проверки сертификатов и отношения доверия. Всё остальное в криптографическом разделе вынесено отдельными службами.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.6.10 — Public Key Infrastructure Services
В федеративной идентичности утверждения защищаются маркером безопасности, и вид маркера зависит от инфраструктуры: «Tokens may implement X.509, Kerberos tickets, hash functions, and other means to deliver authentication and integrity». PKI закрывает только одну из этих ветвей.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.4.5 — Federated Identity Management, разбор маркеров безопасности
Список отзыва входит в определение службы, но смысл он получает от управления идентичностью: запись перестаёт представлять действующего пользователя тогда, когда об этом узнала служба идентичностей. Разрыв между этими двумя моментами и есть окно риска.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.6.10 и 4.4.3 — состав PKI и требование к удалению или пометке ид…
Определение из первоисточника
дословная выпискаPublic key infrastructure services manage and process X.509 V3 certificates, including the certificate authority, the certificate revocation list, certificate validation services, and trust relationships. This definition specifically excludes identity management and key generation.
Службы инфраструктуры открытых ключей управляют сертификатами X.509 V3 и обрабатывают их, включая удостоверяющий центр, список отзыва сертификатов, службы проверки сертификатов и отношения доверия. Это определение прямо исключает управление идентичностью и генерацию ключей.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов