Kalitlarni boshqarish va ochiq kalitlar infratuzilmasi

Eng mustahkam algoritm ham kalit noto'g'ri saqlansa yoki taqsimlansa, foydasiz. Kalit axboroti — tarmoqdagi barcha kalitlar majmui. Kalitlarni boshqarish ularni generatsiyalash, saqlash va taqsimlashni o'z ichiga oladi; eng mas'uliyatli jarayon — taqsimlash.

✏️ Sodda tilda

Uyingizdagi eng mustahkam eshik ham kalitni gilam ostiga qo'ysangiz, hech narsaga arzimaydi. Kriptografiyada ham ko'p muvaffaqiyatli hujumlar algoritmni emas, balki kalitlarning yomon saqlanishini nishonga oladi.

Kalitlarni taqsimlash

Talablar: taqsimlashning tezkorligi va aniqligi; taqsimlanuvchi kalitlarning maxfiyligi va yaxlitligi. Ikki asosiy usul:

1. Kalit taqsimlash markazi (KDC)

Bir yoki bir nechta ishonchli markaz kalitlarni tarqatadi. Misol — Kerberos tizimi (Windows domenlari shu asosda ishlaydi).

Muammo: markaz kimga qaysi kalit berilganini biladi va barcha xabarlarni o'qiy oladi — suiiste'mol xavfi.

2. To'g'ridan-to'g'ri almashish

Foydalanuvchilar o'zaro kalit kelishadi: nosimmetrik shifrlash yoki Diffi–Xellman orqali.

Muammo: suhbatdosh haqiqatan o'sha shaxs ekaniga ishonch hosil qilish.

Kalit taqsimlash protokoli quyidagilarni ta'minlashi kerak: (1) seans qatnashchilarining haqiqiyligini ikkala tomon tasdiqlashi; (2) seans haqiqiyligining tasdig'i; (3) xabarlarning eng kam sonidan foydalanish.

Gibrid (kombinatsiyalangan) shifrlash

Simmetrik tizimning tezligi va nosimmetrik tizimning kalit tarqatish qulayligini birlashtiradi. A foydalanuvchi M xabarni B ga yubormoqchi:

A ning harakatlari

Tasodifiy simmetrik seans kaliti K_S yaratadi.
Xabar M ni K_S bilan simmetrik algoritmda shifrlaydi.
K_S ning o'zini B ning ochiq kaliti K_B bilan shifrlaydi.
Shifrlangan xabar va shifrlangan seans kalitini ochiq kanal orqali B ga yuboradi.

XabarM

→AES(K_S)

Shifrlangan xabarC

Seans kalitiK_S

→RSA(K_B)

Shifrlangan kalitE(K_S)

→

Qabul qiluvchiB

B ning harakatlari

O'zining yopiq kaliti bilan seans kaliti K_S ni ochadi.
K_S yordamida xabar M ni ochadi.

Xabarni faqat yopiq kalit egasi B ocha oladi. PGP, S/MIME pochta shifrlash va TLS aynan shu sxemada ishlaydi.

Ochiq kalitlarni almashtirish hujumi (MITM)

⚠ «O'rtadagi odam» hujumi

A ning kompyuterida B ning ochiq kaliti K_B saqlanadi. Buzg'unchi P o'zining (K_P, k_P) juftligini yaratib, A dagi K_B ni o'z K_P kaliti bilan almashtiradi. A xabarni «B ning kaliti» deb o'ylab K_P bilan shifrlaydi — natijada B uni o'qiy olmaydi, P esa osongina ochadi. Yechim — kalitlarni sertifikatlash.

Ochiq kalitlar infratuzilmasi (PKI)

Simmetrik kriptografiyada N foydalanuvchi uchun N(N−1)/2 ta himoyalangan kalit tarqatish kerak — N bir necha yuz bo'lganda bu og'ir vazifa, murakkablik esa zaif joylarni keltirib chiqaradi. Nosimmetrik kriptografiyada har bir foydalanuvchida bitta maxfiy kalit va undan olingan ochiq kalit bo'ladi. Ochiq kalit kimga tegishli ekanini kafolatlash uchun Sertifikat markazi (CA) uni o'z imzosi bilan tasdiqlaydi — bu sertifikat.

PKI ning asosiy vazifalari

Kalitlarni generatsiyalash, sertifikatlarni yaratish, imzolash va taqsimlash;
Obro'sizlantirish (kalit o'g'irlanishi) faktlarini qayd etish va chaqirib olingan sertifikatlarning «qora ro'yxati»ni (CRL) e'lon qilish;
Identifikatsiya va autentifikatsiya jarayonlarini yaratish;
Mavjud ilovalar va xavfsizlik komponentlarini integratsiyalash;
Barcha foydalanuvchilar uchun yagona xavfsizlik vositasini (masalan, smart-karta yoki ERI tokeni) taqdim etish.

💡 O'zbekistonda

2006 yil 15 martda ERI kalitlarini ro'yxatdan o'tkazuvchi markaz ochilgan. Bugun my.gov.uz, soliq va bank xizmatlarida ishlatiladigan ERI kalitlari (.pfx fayl yoki token) — aynan PKI sertifikatlari. Batafsil — ERI mavzusida.