X.500 - X.500

X.500 elektroniği kapsayan bir dizi bilgisayar ağı standardıdır rehber hizmetleri. X.500 serisi, Uluslararası Telekomünikasyon Birliği Telekomünikasyon Standardizasyon Sektörü (ITU-T). ITU-T daha önce Uluslararası Telefon ve Telgraf Danışma Komitesi (CCITT) olarak biliniyordu. X.500 ilk olarak 1988'de onaylandı.^[1] Rehber hizmetleri, aşağıdaki gereksinimleri desteklemek için geliştirilmiştir: X.400 elektronik posta alışverişi ve isim arama. Uluslararası Standardizasyon Örgütü (ISO), standartların geliştirilmesinde, bunları açık sistem arabağlantısı protokol paketi. ISO / IEC 9594 karşılık gelen ISO kimliğidir.

X.500 protokolleri

X.500 tarafından tanımlanan protokoller şunları içerir:

• DAP (Dizin Erişim Protokolü )
• DSP (Dizin Sistem Protokolü )
• DISP (Dizin Bilgi Gölgeleme Protokolü )
• DOP (Dizin Operasyonel Bağlama Yönetim Protokolü )

Çünkü bu protokoller, OSI ağ yığınını kullanarak, İnternet istemcilerinin X.500 Dizinine erişmesine izin vermek için DAP'ye bir dizi alternatif geliştirilmiştir. TCP / IP ağ yığını. DAP'nin en iyi bilinen alternatifi, Hafif Dizin Erişim Protokolüdür (LDAP ). DAP ve diğer X.500 protokolleri artık TCP / IP ağ yığınını kullanabilirken, LDAP popüler bir dizin erişim protokolü olmaya devam etmektedir.

X.500 veri modelleri

X.500'ün temel kavramı, tek bir Dizin Bilgi Ağacı (DIT), bir veya daha fazla sunucuya dağıtılan girdilerin hiyerarşik bir organizasyonu olan Dizin Sistem Aracıları (DSA). Bir girdi, her bir özniteliğin bir veya daha fazla değere sahip olduğu bir dizi öznitelikten oluşur. Her girişin benzersiz bir Ayırt edici adı birleştirilerek oluşturulmuştur Göreceli Ayırt Edici İsim (RDN), girdinin kendisinin bir veya daha fazla özniteliği ve DIT'nin köküne kadar olan üstün girdilerin her birinin RDN'leri. LDAP, X.500'e çok benzer bir veri modeli uyguladığından, veri modelinin daha ayrıntılı açıklaması LDAP.

X.520 ve X.521 birlikte, kişileri ve kuruluşları DIT'de girişler olarak temsil etmek için kullanılacak bir dizi öznitelik ve nesne sınıfının bir tanımını sağlar. En yaygın kullanılanlardan biridir. beyaz sayfalar şeması.

X.509, standardın bir kimlik doğrulama çerçevesi sağlayan kısmı, artık X.500 dizin protokollerinin dışında da yaygın olarak kullanılmaktadır. Açık anahtar sertifikaları için standart bir format belirler.

X.500 Dizini ile X.509v3 dijital sertifikalarının ilişkisi

X.509v3 sertifikalarının Dizin yapısı dışındaki mevcut kullanımı doğrudan şuraya yüklenir: internet tarayıcıları e-ticaretin, ilk olarak X.500 (1988) 'de tasarlandığı gibi dijital sertifika kaynağı olarak X.500 dizinini gerektirmeyen güvenli web tabanlı (SSL / TLS) iletişimlere izin vererek gelişmesi gerekiyordu. X.509, WWW'den önce X.500'ü güncellemek için güvenli erişim yöntemi olarak tasarlandığından, X.500 ve X.509'un ilişkilerini anlamak için, X.500 ve X.509'un rolleri karşılaştırılmalıdır. Web sitelerine aktarım katmanındaki bağlantıları şifrelemek için basit bir yöntem. Bu nedenle, desteklenen sertifika yetkilileri için güvenilen kök sertifikalar, kişisel bilgisayar veya cihazdaki sertifika depolama alanlarına önceden yüklenmiştir.

Ek güvenlik, ABD'nin planlanan 2011-2014 uygulaması tarafından öngörülmektedir. Siber Uzayda Güvenilir Kimlikler için Ulusal Strateji, siber uzayda dijital kimlikleri koruyan iki ila üç yıllık bir proje.^[2]

X.509v3'ün WWW e-ticaret uygulaması atlandı, ancak X.500 Dizinindeki ayırt edici adları bağlayan orijinal ISO standart kimlik doğrulama mekanizmasının yerini almadı.

Bu sertifika paketleri, son kullanıcı tarafından yazılımlarına eklenebilir veya kaldırılabilir, ancak Microsoft ve Mozilla tarafından sürekli güvenilirlikleri açısından incelenir. Ne olduğu gibi bir sorun ortaya çıkarsa DigiNotar, tarayıcı güvenlik uzmanları bir sertifika yetkilisini güvenilmez olarak işaretlemek için bir güncelleme yayınlayabilir, ancak bu, söz konusu CA'nın "internet güveninden" ciddi bir şekilde çıkarılmasıdır. X.500, sağlanan paketin dışında, hangi kuruluşun belirli bir kök sertifika talep ettiğini görüntülemenin bir yolunu sunar. Bu, bir kök sertifikanın güvenliğinin ihlal edilip edilmediğini belirlemek için başka bir kontrol ekleyen bir "4 köşe güven modeli" olarak işlev görebilir. Güvenliği ihlal edilmiş sertifikaları iptal etmeye yönelik Federal Bridge politikasını yöneten kurallar şu adreste mevcuttur: www.idmanagement.gov.

Bu tarayıcı paketli yaklaşımın zıtlığı, X.500 veya LDAP'de "caCertificate" özniteliğinin bir dizin girişine "bağlanabilmesi" ve son kullanıcıların tipik olarak hiçbir zaman fark etmediği varsayılan önceden yüklenmiş sertifika paketine ek olarak kontrol edilebilmesidir. bir SSL uyarı mesajı görünmediği sürece.

Örneğin, SSL kullanan bir web sitesi, tipik olarak "www.foobar.com" DNS site adı, sertifikanın kendisine verilen güvenilir kök sertifikalardan biri tarafından imzalanıp imzalanmadığını kontrol eden kütüphaneler kullanılarak bir tarayıcıda doğrulanır. Kullanıcı.

Bu nedenle, kullanıcılar için HTTPS aracılığıyla doğru web sitesine ulaştıklarına dair güven oluşturmak.

Ancak, alan adından daha fazlasının doğrulandığını belirtmek için daha güçlü kontroller de mümkündür. Bunu X.500 ile karşılaştırmak için, sertifika, girişin belirli Dizin şeması tarafından izin verilen herhangi bir şeyi içerebildiği bir giriş için birçok özellikten biridir. Dolayısıyla, X.500 dijital sertifikayı saklar, ancak bu, fiziksel adres, bir iletişim telefon numarası ve bir e-posta iletişim numarası gibi organizasyonu potansiyel olarak doğrulayabilecek birçok özellikten biridir.

CA Sertifikaları veya sertifika yetkilisi sertifikaları, tarayıcıya otomatik olarak (Microsoft'un güncelleme mekanizması söz konusu olduğunda) veya tarayıcıların yeni sürüm güncellemelerinde yüklenir ve kullanıcıya, tarayıcıyla kişisel bir güven ilişkisini içe aktarmak, silmek veya geliştirmek için ek seçenekler verilir. Sertifika Yetkilileri yüklenir ve OCSP iptal sunucularına erişilemezse tarayıcının nasıl davranacağını belirler.

Bu, özniteliği ilişkilendiren Dizin modelinin tersidir. caCertificate listelenen bir sertifika yetkilisi ile.

Böylece tarayıcı, yüklenen kabul edilen sertifikalar grubu aracılığıyla web sitesinin SSL sertifikasını doğrulayabilir veya kök sertifikalar bir X.500 veya LDAP Dizininde (veya HTTP / S aracılığıyla) aranabilir ve güvenilirler listesine aktarılabilir. Sertifika Yetkilileri.

"Bağlı" ayırt edici ad, Sertifikanın Rehber girişiyle eşleşen konu alanlarında bulunur. X.509v3, uluslararası alan adları dışında ilgi topluluğuna bağlı olarak başka uzantılar içerebilir. Geniş İnternet kullanımı için RFC-5280 PKIX, şifreli e-posta gibi uygulamalar için yararlı olabilecek alanlar için bir profil tanımlar.

Bir tarayıcıya veya e-postaya sunulan bir sertifikanın gerçekliğine güvenen bir son kullanıcının, sunulan sahte bir sertifikayı (belki de bir tarayıcı uyarısını tetikler) geçerli bir sertifika ile karşılaştırmanın basit bir yolu yoktur. X.500 DIT'de aranmak üzere tasarlanmış DN veya Ayırt Edici Ad.

Sertifikanın kendisi geneldir ve değiştirilemez olarak kabul edilir ve bu nedenle herhangi bir şekilde dağıtılabilir, ancak Dizinde bir kimliğe ilişkin bir bağlanma gerçekleşir. Bağlama, sertifikayı, o sertifikayı kullandığını iddia eden kimliğe bağlayan şeydir. Örneğin, Federal Bridge'i çalıştıran X.500 yazılımı, sertifika yetkilileri arasında güven sağlayan çapraz sertifikalara sahiptir.

Etki alanı adlarının basit homografik eşleştirmesi, bir etki alanının meşru görünebileceği, ancak olmadığı durumlarda kimlik avı saldırılarına neden olmuştur.

Bir X.509v3 sertifikası, Dizin içindeki geçerli bir kuruluşun ayırt edici adına bağlıysa, bu durumda, tarayıcıya sunulanla Dizinde mevcut olanla karşılaştırılarak sertifikanın gerçekliğine ilişkin basit bir kontrol yapılabilir. .

Noterlerin bir sertifikanın yakın zamanda görülüp görülmediğini ve bu nedenle tehlikeye atılmış olma ihtimalinin daha yüksek olup olmadığını kontrol etmek için bazı seçenekler vardır.^[3] Sertifika muhtemelen güvenilirse ve alan adı küçük bir uyumsuzluk olduğu için başarısız oluyorsa, başlangıçta tarayıcıda başarısız olur, ancak daha sonra noter güvenine tabi tutulur ve bu da tarayıcı uyarısını atlayabilir.

O = FoobarWidgets gibi geçerli bir kurumsal giriş, aynı zamanda ilişkili bir alfanümerik OID'ye sahip olacaktır ve ANSI tarafından "kimliği kanıtlanmış" olup, sertifikanın kimliğe bağlanmasıyla ilgili başka bir güvence katmanı sağlar.

Son olaylar (2011), sahte sertifikalara sahip ulus devletlerdeki bilinmeyen aktörlerin tehdidine işaret etti. Bu bir oluşturmak için yapıldı MITM Facebook'a web üzerinden erişen Suriye'deki siyasi aktivistlere yönelik saldırı. Bu normalde bir tarayıcı uyarısını tetiklerdi, ancak MITM sertifikası, bir tarayıcı veya başka bir yazılım tarafından zaten güvenilen geçerli bir sertifika yetkilisi tarafından verilmişse, tetiklemez. Stuxnet tarafından yazılımın güvenilir kodu taklit etmesine izin veren benzer saldırılar kullanıldı. Sertifika şeffaflığının amacı, son kullanıcının bir sertifikanın gerçekten geçerli olup olmadığını basit bir prosedür kullanarak belirlemesine izin vermektir. Varsayılan sertifika paketine göre kontrol etmek bunu yapmak için yeterli olmayabilir ve bu nedenle ek bir kontrol istenir. Sertifika şeffaflığına yönelik diğer öneriler de geliştirilmiştir.^[4]

Bir sertifika yetkilisi olan Comodo'ya karşı, yüksek profilli iletişim web sitelerine yönlendirilen sahte sertifikalarla sonuçlanan farklı bir saldırı kullanıldı. Bu, büyük tarayıcılar için acil durum yaması gerektirdi. Bu sertifikalar aslında güvenilir bir Sertifika Otoritesinden verilmişti ve bu nedenle, sertifikanın kabaca sahte olduğu Suriye olayının aksine, sahte bir web sitesine gitmiş olsaydı, bir kullanıcı hiçbir uyarı alamazdı, Alto Palo yerine Palo yerine Alto. ve yanlış seri numaraları.

PHI, korumalı Sağlık Bilgilerinin alışverişi için tasarlanmış bazı projeler ( HIPAA duyarlı) X.509v3 sertifikalarını bir CERT DNS kaynak kaydı aracılığıyla veya LDAP aracılığıyla bir X.500 [2008] Dizinine alabilir. Yetkili bağlantı sorunu, DNSSEC kullanılarak kökten imzalanarak güvence altına alınan DNS bilgilerinin doğruluğu ile ilgili olarak RFC'lerde ayrıntılı olarak açıklanır.

Kök ad sunucuları kavramı, İnternet topluluğunda büyük bir çekişmenin kaynağı olmuştur, ancak DNS için büyük ölçüde çözülmüştür. X.500 ile ilişkili ad alanının geleneksel olarak, ISO / ITU yaklaşımını ulusal temsil ile küresel sistemlere yansıtan bir ulusal adlandırma otoritesi ile başladığı düşünülmektedir. Böylece farklı ülkeler kendi benzersiz X.500 hizmetlerini yaratacaklar. ABD X.500, ABD Hükümeti artık bilinen devlet kurumlarının dışında X.500 veya DNS kaydı teklif etmediğinde 1998 yılında özelleştirildi.

X.500 pilot projesi ticari alanda geliştirme aşamasındadır ve teknoloji, kurumsal veri merkezlerinde ve ABD Hükümeti'nde kimlik doğrulama için milyonlarca kullanıcının büyük kurulumlarında mevcut olmaya devam etmektedir.

X.500 serisi standartların listesi

Eleştiri

Yazarları RFC 2693 (ilgili SPKI ) "Orijinal X.500 planının gerçekleşmesi olası değildir. Dizin girişlerinden oluşan koleksiyonlar ... listelere sahip olanlar tarafından değerli ve hatta gizli olarak kabul edilir ve büyük olasılıkla dünyaya şu şekilde yayınlanmaz: bir X.500 dizin alt ağacı. " ve "X.500 ayırt edici ad (herkesin bir varlığa atıfta bulunurken kullanabileceği tek, küresel olarak benzersiz bir ad) fikrinin de gerçekleşmesi olası değildir."

"X.500, masaüstü bilgisayarlarda ve İnternet üzerinden desteklenemeyecek kadar karmaşık. LDAP "geri kalanımız için" bu hizmeti sunmak için oluşturuldu. "^[5]

Ayrıca bakınız

• ISO / IEC JTC 1 / SC 6

Referanslar

Dış bağlantılar

• Chadwick, D W (1994). "X.500'ü Anlamak - Rehber". Alındı 2017-12-06.
• X500Standard.com - Hem X.500 Standardı için bir rehber hem de standart üzerinde yürütülen mevcut ve yeni işler için bir havuz olan X.500 topluluk sitesi. -de Wayback Makinesi (4 Ocak 2019'da arşivlendi)