Vahva todennus julkisen avaimen järjestelmässä

Abstract

Arvokasta tai luottamuksellista tietoa käsittelevien palveluiden, kuten pankki- ja kauppa-palveluiden, tarjoaminen julkisessa Internet-verkossa on synnyttänyt tarpeen vahvalle todennukselle, eli käyttäjien tunnistuksen varmistamiselle. Vahvassa todennuksessa käytetään salaus-menetelmien tarjoamia keinoja todennus-tapahtuman tieto-turvan parantamiseen heikkoihin todennusmenetelmiin nähden. Todennusta käyttäjätunnus-salasana-yhdistelmällä voidaan pitää heikkona menetelmänä.

Julkisen avaimen järjestelmän varmenteita voidaan käyttää WWW-ympäristössä toimivissa palveluissa yhteyden osapuolten todentamiseen. Tässä työssä suunniteltiin vahva käyttäjän todennus julkisen avaimen järjestelmällä WWW-ympäristössä tarjottavalle palvelulle ja toteutettiin palvelun tarjoavan sovelluksen komponentiksi soveltuva yksinkertainen varmentaja OpenSSL-salaustyökalupaketin avulla. Työssä käydään läpi myös salauksen perusteet, julkisen avaimen järjestelmä ja esitellään olemassaolevia varmentajatoteutuksia ja mahdollisia tieto-turva-uhkia

Vahva todennus tulee suunnitella siten, että palvelun käyttäjä ymmärtää, mikä tarkoitus hänen toimillaan on ja miten ne edistävät tietoturvaa. Internet-palveluissa käyttäjän vahva todennus ei ole yleistynyt huonon käytettävyyden vuoksi.

Offering services that process valuable or confidential information in the public Internet has created a need for strong user authentication. Cryptographic methods are used to strengthen the security of the authentication event in comparison with weaker authentication methods. Authentication with a user name and a password can be considered as a weak authentication method.

Public key infrastructure certificates can be used to authenticate the parties of a connection in WWW environment services. In this thesis a strong user authentication with public key infrastructure was designed for a service offered in WWW environment. A simple certificate authority was implemented using the OpenSSL cryptography toolkit. This thesis also introduces the basics of cryptography and the public key infrastructure and briefly describes the existing certificate authority implementations and possible security hazards.

Strong authentication should be designed in such a way that the user can understand the meaning of his actions and how they improve the security. Strong user authentication has not become common in Internet services due to poor usability.