a autoridade de certificação do lip centro de cálculo laboratório de instrumentação e física...
TRANSCRIPT
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Centro de CálculoCentro de CálculoLaboratório de Instrumentação e Física Experimental de PartículasLaboratório de Instrumentação e Física Experimental de Partículas
Jornadas do LIP 2005Jornadas do LIP 2005
Nuno DiasNuno [email protected]@lip.pt
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Porquê criar uma autoridade de Porquê criar uma autoridade de Certificação ?Certificação ?
• O LIP participa em vários projectos Grid.• As infra-estruturas destes projectos estão abertas a novos
utilizadores.
• Por razões de segurança, organização e escalabilidade as Grids necessitam de um sistema de autenticação comum.
• O sistema de autenticação é usualmente baseado numa infra-estrutura PKI e certificados X.509.
• Em cada país autoridades de certificação Grid emitem os certificados para autenticação dos utilizadores e sistemas.
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
• Em sistemas Grid a autenticação dos utilizadores e serviços é efectuada através de certificados X.509.
• Cada utilizador, serviço e sistema deve possuir um certificado que o identifique inequivocamente.
• Antes porém os certificados têm de ser emitidos.
O certificado é emitidoO certificado é usado como
chave para aceder à Grid
Um pedido de certificado é efectuado
A identidade doutilizador é confirmada
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Certificados Certificados X.509X.509
CA Digital Signature
X.500 SubjectPublic KeyX.500 IssuerExpiration DateSerial NumberExtensions
CertificadoCertificado
Quem é o dono, CN=Sr. Silva,O=LIPCA,C=PTA chave públicaQuem emitiu o certificado, O=LIPCA,C=PTA data em que expira o certificadoO número de serie do certificadoInformações adicionais
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
“Este texto é muito
secreto”
“DG#%$$##/(&)&sdf”$##s
df$%”
“Este texto é muito
secreto”
Par Chave Pública / Chave PrivadaPar Chave Pública / Chave Privada
Chave Pública Chave Privada
Texto não cifradoTexto não cifrado Texto cifradoTexto cifrado Texto não cifradoTexto não cifrado
Cifrar com RSA Decifrar com RSA
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
A autoridade de certificação do LIP é membro do EuGridPMA e segue o modelo e as politicas das autoridades de certificação Grid estrangeiras.
Grid Policy Management Authority(Working to Establish Worldwide Trust for Grids)
www.gridpma.org
Asia PacificPMA
The AmericasPMA
LIP CA PortugalCERN CA SwitzerlandArmeSFO ArmeniaCNRS Grid FranceCyGrid CyprusCESNET Czech DutchGrid NetherlandsGermanGrid GermanyHellasGrid GreeceGridIreland IrelandINFN CA Italy
NorduGrid Nordic countriesPolishGrid PolandRussian Datagrid RussiaSlovakGrid SlovakiaDataGrid-ES SpainUK e-Science United KingdomBelnetGrid BelgiumGrid-PK PakistanFNAL Grid USAGridCanada CanadaDOEGrids USA
DOEGrids USAGridCanada CanadaNCSA Alliance USANASA IPG USA
AIST JapanASGCC TaiwanKISTI KoreaAusGrid AustraliaBMG SingaporeCMSD IndiaHKU Hong KongNCHC TaiwanOsaka U. JapanUSM Malaysia
International Grid Trust Federation
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
EuGridPMAEuGridPMA
Is a body to establish requirements and best practices for grid identity providers to enable a common trust domain applicable to authentication of end-entities in inter-organisational access to distributed resources. As its main activity the EUGridPMA coordinates a Public Key Infrastructure (PKI) for use with Grid authentication middleware. The EUGridPMA itself does not provide identity assertions, but instead asserts that the certificates issued by the Accredited Authorities meet or exceed the relevant guidelines.
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Certificados e o LIPCertificados e o LIP• O LIP estabeleceu a sua autoridade de certificação para
computação Grid durante o ano 2000.• O LIP é membro do “EuGridPMA – European Policy
Management Authority for Grid Authentication in e-Science”.• O LIP foi membro do “DataGrid certification authorities
coordination group” que deu origem ao “EuGridPMA”.• O LIP é membro do “CrossGrid certification authorities
workgroup” que é membro do “EuGridPMA”.• O LIP tem estado envolvido nas seguintes actividades:
• Estabelecimento dos requisitos mínimos para funcionamento de autoridades de certificação Grid.
• Verificação e aprovação de novas autoridades de certificação.• Actividades de coordenação das autoridades de certificação.
A autoridade de certificação do LIP é reconhecida internacionalmente.
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
• O objectivo inicial da autoridade de certificação do LIP era emitir certificados para a Física de Altas Energias em Portugal.
• A autoridade de certificação do LIP foi assim criada para emitir certificados para membros do LIP e de organizações suas colaboradoras.
A CA do LIPA CA do LIP
Em 2003 LIP modificou a sua CP/CPS (Certificate Policy/Certification Practice Statement) de modo a permitir a emissão de certificados para todas as instituições académicas em Portugal.
O LIP tem recebido pedidos de certificados para uso em computação Grid por parte de outras organizações académicas nacionais.
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Uma CA académicaUma CA académicaA existência de uma CA que emita certificados internacionalmente reconhecidos para a comunidade académica nacional (sem qualquer custo) é um passo essencial para fomentar a computação Grid em PORTUGAL e a partilha de recursos entre instituições.
O LIP é a única instituição em Portugal com experiência e reconhecimento internacional na emissão de certificados para computação Grid.
A existência de uma autoridade de certificação permite a emissão de certificados para autenticação de utilizadores
entre instituições, e a sua participação em projectos Grid internacionais.
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Autoridade decertificação
Autoridade De Registo
Universidade A
Autoridade De Registo
Universidade B
... Autoridade De RegistoInstituto C
Autoridades de registo• Para que a identificação dos sujeitos possa ser efectuada
correctamente é necessário criar uma rede de autoridades de registo em:
• Estabelecimentos de ensino superior• Institutos de investigação
Cada autoridade de registo identifica as pessoas pertencentes à sua organização, ou a outras com as quais tenha relação.
• Já foram estabelecidas cinco RAs (Universidade Lusíada em Famalicão, Universidade Autónoma, Universidade do Porto, LIP Lisboa e LIP Coimbra).
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Responsabilidades das RAs
• Uma RA deve verificar:● Autenticidade do pedido de assinatura do certificado● Identificação da pessoa através de documentos oficiais● Atestar a relação da pessoa com a instituição
● A RA deve operar com autorização da instituição.● As verificações de identidade efectuadas pelas RAs nas
instituições atestam:● A relação da pessoa com a instituição.● Que a sua identidade e o pedido foram verificados de acordo
com as normas imposta pela CA.
As RAs devem ser operadas por serviços internos aos estabelecimentos de ensino e institutos de investigação.
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Como avançar ?
• O estabelecimento de uma RA inclui:• Pedido oficial de estabelecimento da RA.• Estabelecimento das normas de verificação de identidade
e operação especificas da RA.• Estabelecimento do espaço de nomes.• Identificação do pessoal da RA e emissão dos seus
certificados pessoais.• Formação.
As instituições interessadas devem contactar a autoridade de certificação do LIP para proceder ao estabelecimento de uma
RA.
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
Sistema para assinar certificados LIP
(off-line)
1. Pedido de certificado pelo
utilizador
2. Verificaçãoda identidadedo utilizadorpor uma RA
6. Download do certificado pelo
utilizador
Servidor da CA
Chaveprivada da CA
3. Transferência manual do Pedido
4. Assinatura
5. Transferência manual do certificado
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
A autoridade de Certificação do LIPA autoridade de Certificação do LIP
• http://http://ca.lip.ptca.lip.pt
Página com documentação acerca do LIPCA e dos certificados.
• https://ca.lip.pthttps://ca.lip.ptPágina para pedidos de certificados e gestão das autoridades de Registo.
• ContactosContactos