Federacija in dvostransko zaupanje

Povzetek. V TrustBridge si organizacije ne zaupajo kot člani skupne zveze, temveč v parih. Vsako razmerje zaupanja se dogovori med natanko dvema organizacijama in vsaka stran za svojo smer sama določi, katerim storitvam druge strani zaupa, za kakšen namen, ob katerih kriptografskih zahtevah in koliko časa. Zaupanje se ne prenaša: če A zaupa partnerju B in B partnerju C, A zato ne zaupa partnerju C. Vsaka stran lahko svojo smer kadar koli sama prekliče. Identitete, ključi in pravila obeh organizacij ostanejo ločeni.

• Organizacija – stranka z lastno hierarhijo certifikatnih agencij, lastnimi odobritelji in lastnim registrom.
• Razmerje zaupanja – dogovor med natanko dvema organizacijama, da priznata sidra zaupanja druge strani za določene storitve in namene.
• Smer – ena stran razmerja zaupanja: smer od A proti B določa, kako A zaupa sistemom B.
• Politika razmerja – določitve organizacije za njeno smer.
• Sidro zaupanja razmerja – certifikat nasprotne strani, ki ga organizacija sprejme v razmerje; veljajo samo verige do tega sidra.
• Preklic razmerja – enostranska ukinitev ene smeri s takojšnjim učinkom na nove povezave in z določenim učinkom na obstoječe.

graph TD
  A[Organizacija A<br/>naročnik]
  B[Organizacija B<br/>vzdrževalec]
  C[Organizacija C<br/>tehnični ponudnik storitev]
  N[ni razmerja:<br/>A ne zaupa C]
  A ---|razmerje A in B| B
  B ---|razmerje B in C| C
  A -.- N
  N -.- C
  classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
  classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  class A,B,C par
  class N onl

V mnogih zvezah pristop pomeni zaupati vsem drugim članom, pogosto prek skupne korenske CA ali prek navzkrižnih certifikatov, katerih učinek se nadaljuje po verigah. TrustBridge se izogne obojemu:

Vsaka organizacija za svojo smer določi:

Smeri razmerja sta neodvisni druga od druge. A lahko B dovoli eno storitev, medtem ko B od A ne sprejme ničesar; ali pa obe strani postavita različne kriptografske zahteve. Povezava nastane samo, če izpolnjuje obe politiki, politiko klicatelja in politiko klicanega.

stateDiagram
  [*] --> Zahtevano
  Zahtevano --> Dogovorjeno: obe strani sprejmeta sidro in odobrita svojo politiko
  Dogovorjeno --> Aktivno: dosežen začetek veljavnosti
  Aktivno --> Aktivno: politika spremenjena, z odobritvijo
  Aktivno --> Preklicano: ena stran prekliče svojo smer
  Aktivno --> Poteklo: doseženo trajanje
  Preklicano --> [*]
  Poteklo --> [*]

1. Zahteva. Ena organizacija povabi drugo. Povabilo vsebuje sidro zaupanja vabeče strani in kontrolno vrednost, ki se potrdi po ločeni poti, na primer po telefonu ali v pogodbi.
2. Dogovor. Obe strani preverita sidro nasprotne strani glede na kontrolno vrednost, ga sprejmeta in odobrita svojo politiko. Odobritev je podpis pooblaščene osebe, enako kot pri ročni izdaji certifikata.
3. Delovanje. Delavec CA vsake strani odobreno razmerje sprejme v podpisan sveženj zaupanja. Adapterji TLS in agenti ključev uporabljajo samo ta sveženj, pri vsaki vzpostavitvi povezave in pri vsaki izmenjavi ključev. Kdor obvladuje podatkovno bazo, zato ne more vtihotapiti tujega sidra.
4. Sprememba. Sprememba smeri potrebuje odobritev po pravici do spremembe te smeri in se zabeleži v registru te organizacije.
5. Konec. S potekom ali preklicem. Druga stran ni dolžna privoliti.

Preklic razmerja ni preklic certifikata. Certifikati nasprotne strani ostanejo veljavni, njene povezave z drugimi organizacijami ostanejo nedotaknjene. Preklic certifikata zadeva posamezen certifikat, preklic razmerja pa razmerje.

Razmerje priznava sidro, certifikata ne izda. Zato ni navzkrižnih certifikatov, ni skupne korenske CA in ni verige, ki bi prek ene organizacije vodila v tretjo. Partner brez lastne PKI namesto tega dobi partnersko CA v hierarhiji naročnika; tudi tedaj je razmerje dvostransko, partner pa lahko pozneje preide na lastno namestitev. Oba načina opisuje Model zaupanja.

Razmerje ni odvisno od tega, kdo upravlja namestitev. Dobavitelj, čigar namestitev upravlja operativni partner, in koncern z lastno namestitvijo se za razmerje dogovorita na enak način. Partner z obstoječo podjetniško PKI sodeluje tako, da v razmerje prinese sidro zaupanja svoje PKI in svoje sisteme opremi z adapterjem TLS in agentom ključev iz TrustBridge. Modele delovanja opisuje stran Modeli delovanja.

• Pooblastil. Razmerje dopušča storitve in namene; katera operacija je dovoljena, določi ciljna aplikacija.
• Pogodbene ureditve. Odgovornost, obveznosti in roke med organizacijami ureja njihova pogodba; politika iz nje izpelje tehnične določitve.
• Posredovanja identitet tretjim in federacije uporabniških računov. TrustBridge povezuje sisteme in storitve; ni storitev prijave za osebe.