Caracteristici esentiale pentru un server TSA (Time Stamp Authority)

Caracteristici care nu trebuie sa lipseasca de la un server pentru marca temporala!

Acest articol descrie de ce sunt necesare serverele Time Stamp Authority (TSA) conforme cu RFC3161 si de ce trebuie sa tineti cont atunci cand alegeti un server Timestamp Authority (TSA). Profilul de marca temporala ETSI TS 101 861 si regulile TS 102 023 plaseaza cerinte importante pentru furnizorii de servicii TSA si sunt luate in considerare si ele in acest subiect.

Desi ideea principala in acest subiect este tehnica, exista desigur aspecte comerciale care trebuie luate in considerare si acestea sunt prezentate la final. Caracteristicile explica setarile de inchidere a serviciului TSA si cel de monitorizare a timpului care sunt implementate in ADSS TSA Server care este disponibil pentru o evaluare gratuita.

De ce aveti nevoie de un Timestamp Authority Server (TSA)?

Odata cu trecerea de la hartie la inregistrarile electronice, multe companii publice si private au realizat importanta capacitatii de a demonstra ca inregistrarile electronice sunt de incredere si nu s-au modificat de la arhivare. Fara masurile adecvate de securitate nu se poate demonstra ca datele nu au fost modificate de o parte independenta asa cum este necesar pentru solutionarea litigiilor.

Un server de marca temporala RFC3161 ofera o functie esentiala in protejarea inregistrarilor cu date pe termen lung. Acesta furnizeaza dovada ca datele au existat la un anumit moment de timp si ca nu au fost modificate nici macar un bit de cand au fost notarizate si s-a aplicat marca de timp.

O autoritate de marca temporala obtine aceasta prin legarea criptografica a fingerprint-ului unic al datelor (in mod tipic o valoare a hash-ului SHA-2) cu data si ora curenta care este sincronizat cu o sursa de timp de incredere. Aceasta legare se obtine prin utilizarea algoritmilor puternici de semnatura digitala si o cheie privata de semnare sub controlul autoritarii marcii de timp. Utilizarea tehnicilor criptografice standard cu cheie publica presupune ca numai autoritatea marcii temporale poate emite marci de timp sigure. In acelasi timp oricine are incredere in certificatele TSA le poate verifica.

Utilizarile unei autoritati de marca temporala pot fi destul de diverse. ADSS TSA Server de la Ascertia este utilizat in schemele de infrastructura nationala, ca de exemplu protejarea arhivei digitale nationale pastrate de British Library pentru conservarea pe termen lung a materialului digital publicat. British Library este un depozitar legal si ii este solicitat prin lege sa pastreze materialul publicat pentru eternitate, deci trebuie sa fie capabil sa ofere asigurarea ca un obiect digital arhivat este autentic.

Nu sunt de ajuns doar semnaturile digitale propri?

Suntem intrebati adesea daca o inregistrare de date semnata digital nu este de ajuns pentru a dovedi autenticitatea, de ce este nevoie de o marca de timp separata? Raspunsul este ca semnaturile digitale de baza sunt suficiente atat timp cat este valid certificatul semnatarului, de exemplu daca nu este expirat sau revocat. Certificatele digitale tipice expira dupa unul sau doi ani si orice semnatura care a fost deja realizata nu poate fi verificata dupa expirare. Certificatul semnatarului poate expira mai devreme de atat dupa cateva luni de la utilizare sau chiar poate fi revocat daca paraseste compania sau pierde controlul asupra cheii de semnare.

Marcile de timp RFC3161 sunt esentiale pentru a face ca semnaturile digitale sa fie verificabile pe termen lung. Acestea sunt adaugate in general la semnatura in momentul semnarii sau imediat dupa (odata ce detaliile tranzactiei sunt confirmate sau dupa expirarea unei perioade de gratie). Marcile de timp incorporate dovedesc momentul cand a fost aplicata semnatura si orice expirare sau revocare ulterioara a certificatului semnatarului este irelevanta deoarece in momentul semnarii certificatul poate fi afisat ca fiind valid. Pentru a furniza aceste tehnici avansate de semnatura digitala pe termen lung, ele au fost standardizate de ETSI, CEN si IETF (PAdES, XAdES si CAdES).

Exemplul de semnaturi pe termen lung include documente PDF semnate cu marca de timp si aplicarea marcii de timp in semnaturile codului software. De exemplu driverele sau executabilele sunt marcate temporal pentru a demonstra autenticitatea lor si calitatea de autor si pot fi verificate prin sistemele de operare chiar si dupa ce a expirat certificatul semnatarului.

 Acuratetea sursei de timp

In mod normal un server de marca de timp trebuie sa se refere la o sursa de timp exacta si fiabila fara de care increderea intregului sistem ar fi pusa la indoiala. Conform CWA 14167-1 sursa (sursele) de timp de incredere ale TSA trebuie sa fie sincronizate cu Timpul Universal Coordonat (Co-ordinated Universal Time=UTC) cu toleranta impusa de politica la 1 secunda. Este recomandat sa fie utilizate doua surse independente ale UTC pentru a mentine o sursa de timp rezilienta. Conform ETSI TS 102 023, daca ceasul TSA-ului este detectat ca fiind de o acuratete inexata, atunci tokenele de marca de timp nu trebuie sa fie emise.

ADSS TSA Server de la Ascertia implementeaza aceste cerinte astfel:

  • Serverul pe care ruleaza ADSS TSA Server trebuie sa aiba setat ora sistemului de catre o sursa de timp adecvata, deseori de centrul de date de timp sau servere Windows NTP.
  • ADSS Server are o optiune de a monitoriza unul sau mai multe surse de timp NTP aditionale interne sau externe, de exemplu serverele GPS NTP sau alte servere credibile NTP. ADSS TSA Server poate atunci monitoriza ora din aceste surse de timp de incredere si poate compara cu ora sistemului. Daca timpul deviaza de la pragul pre-configurat, atunci pot fi trimise alerte in timp real la administratori specificati ADSS TSA Server (utilizand SMS, SNMP sau e-mail). Odata ce este depasit al doilea prag serviciul ADSS TSA va intrerupe toate serviciile si vor fi notificati toti administratorii. Imaginea despre GUI-ul administratorului ADSS TSA Server arata detaliile relevante alte configurarii:

Setarile de inchidere a serviciilor TSA si de monitorizare a timpului din ADSS TSA Server

Suport pentru profiluri multiple ale autoritatii marcii temporale (TSA)

Unele companii au cerinta de a lansa servere logice multiple TSA, fiecare cu parametri ai politicii, preciziile de timp si cheile de semnare TSA unice. Prin urmare trebuie sa fie posibil sa se stabileasca servere virtuale TSA multiple de pe aceeasi masina fizica cu o consola de gestiune centrala usoara si cost total de proprietate scazut in comparatie cu detinerea unor servere TSA cu costuri dedicate de hardware si software. Imaginea urmatoare arata configurarile profilului ADSS TSA (numarul de profiluri TSA permise depinde de licenta):

Capacitatea de a configura profiluri multiple TSA in ADSS TSA Server 

Aplicatie pentru autoritate marca de timp vs aplicatie construita pe cont propriu

In trecut aplicatiile au fost vazute ca optiuni atractive pentru a evita problemele de instalare si configurare post-vanzari. In prezent tehnicile de virtualizare sunt cerute pentru a oferi un CPU, memorie, resurse pe disk si gestiunea mai buna a energiei. Prin urmare, capacitatea de a rula o aplicatie virtuala este extrem de dezirabila.

ADSS TSA Server a fost creat sa ruleze ca un serviciu virtualizat sau o platforma dedicata. In oricare model puterea, performanta si deci productivitatea lui ADSS TSA Server pot fi determinate de departamentul de IT. Platforma sistemului, baza de date, strategia de backup si toate celelalte alegeri se pot incadra in strategia IT.

Abordarea aplicatiei traditionale tinde sa constranga rezilienta, performanta si productivitatea si aceasta este adevarat in cursul a 3 pana la 5 ani. ADSS TSA Server imputerniceste o companie sa selecteze ceea ce doreste si sa se dezvolte odata cu nevoile. Este important de retinut ca ADSS TSA Server este bine documentat astfel incat Ascertia nu trebuie sa furnizeze servicii profesionale ca rutina. In schimb, un ghid rapid permite software-ului sa fie instalat si sa ruleze in circa 30 de minute sau mai putin.

Suport pentru algoritmul TSA si gestiunea cheilor

Algoritmii criptografici sunt din ce in ce mai slabi pe masura ce puterea calculatoarelor creste ca rezultat al efortului continueude cript-analiza al comunitatii cripto. Prin urmare este esential ca un Responder TSA sa fie capabil sa faca fata provocarilor viitoare, in special deoarece cheile TSA trebuie sa fie valabile cel putin 10, 15 sau mai mult de 30 de ani. Un minim inseamna ca TSA Server trebuie sa ofere flexibilitate la generarea cheilor. Norma actuala este chei 2048-bit RSA dar trebuie sa fie suportate si 4096-bit RSA pentru nevoi viitoare. Suportul pentru curba eliptica a algoritmului ECDSA de semnatura trebuie sa fie furnizat de vreme ce acesta ofera securitate mai inalta prin utilizarea lungimilor mai mici de chei. Disponibilitatea celor 2 algoritmi presupune ca investitia este protejata automat impotriva problemelor si modificarilor tehnologiei.

In ceea ce priveste agilitatea algoritmului principala concentrare actuala a comunitatii cripto este ca algoritmii hash sunt utilizati pentru a calcula fingerprint-urile documentelor introduse si procesle de semnare din TSA. SHA-1 a fost utilizat in majoritatea vasta de implementari pana recent. Totusi FIPS recomanda in schimb utilizarea algoritmilor SHA-2. Acestia includ SHA-256, SHA-384 si SHA-516. Un server TSA trebuie sa fie capabil sa le poata utiliza. Retineti ca deja comunitatea de securitate a inceput sa lucreze cu setul de algoritmi SHA-3!

Alegerea algoritmilor "hash" la configurarea setarilor profilului TSA

Un alt aspect important in ceea ce priveste gestiunea cheilor este principiul “separarea cheilor”. Serverul dvs TSA trebuie sa fie capabil sa utilizeze chei criptografice separate pentru functii separate, de exemplu emiterea de marci de timp, chei server SSL (atunci cand se comporta ca un server SSL pentru clienti), semnarea jurnalului etc. Fiecare cheie trebuie sa fie gestionata cu propria politica. 
Cheile publice ale TSA server trebuie sa fie certificabile de un CA intern sau extern prin utilizarea solicitarilor PKCS#10 si raspunsurilor PKCS#7 pentru certificate.

Performanta, scalabilitate si rezilienta lui TSA Server

In general, clientii sunt constienti de importanta performantei si scalabilitatii pentru un Server TSA online care poate fi contactat simultan de sute de clienti TSA. Figurile de performanta sunt de obicei create de un departament de marketing, deci exista cateva aspecte de care sa tineti cont:

  • Atunci cand se discuta despre performanta TSA Server in termeni de tranzactii pe secunda cu marci de timp (TPS) trebuie sa incercati si sa intelegeti presupunerile subliniate. Exista multe aspecte care pot afecta performanta TSA si vi se pot arata date despre performanta care este posibila in conditiile de laborator dar niciodata in utilizarea reala a produsului. Performanta TSA este bazata pe mai multi factori:
  • Unde este masurat timpul de raspuns al TSA – pe client sau pe server?
  • Cat de mare este cheia de semnare a lui TSA Server?
  • Toate tranzactiile sunt inregistrate securizat?
  • Care sunt specificatiile CPU si de memorie ale TSA Server si ale bazei de date?
  • Se utilizeaza un HSM si ce viteza de semnare ofera?
  • Care baza de date se utilizeaza si este pe aceeasi masina ca si TSA Server?
  • Solicitarile marcilor de timp sunt autentificate (de exemplu prin utilizarea certificatelor SSL pentru clienti)?

Ca exemplu, in testele de la Ascertia s-au putut obtine o medie de 200 de tranzactii pe secunda cu marca de timp (TPS) prin utilizarea cheii serverului TSA pe 2048-bit in modulul software. ADSS TSA Server a fost instalat pe o masina cu Intel core i7 2.66 GHz cu 4GB RAM. Baza de date SQL Server 2005 EE a fost instalata pe o masina separata (Intel Core 2 duo 2.93 GHz si 4GB RAM).

  •  Serverul TSA trebuie sa aiba o arhitectura scalabila pentru a profita de CPU multi core si CPU fizice multiple. Doua sau mai multe servere trebuie sa fie capabile sa lucreze impreuna ca un singur sistem gestionat de un distribuitor de sarcini pentru a evita operatiunile suprasolicitate de gestiune a TSA-urilor individuale!
  • Asigurarea disponibilitatii marite pentru un TSA Server solicita utilizarea instantelor multiple care sa lucreze in spatele unui distribuitor de sarcini in retea astfel incat daca unul din servere cedeaza, serviciul general TSA nu este afectat. Trebuie sa fie posibil pentru mai multe instante sa fie operate pe site-uri diferite pentru a asigura ca o eroare de pe un site nu inchide serviciul TSA. Virtualizarea poate juca un rol important. Este important sa se asigure ca toate componentele serviciului TSA pot fi reproduse, ca de exemplu bazele de date si HSM-urile. Este important de retinut ca daca certificatele si cheile de semnare TSA nu pot fi clonate intre HSM-uri atunci "responder-ul" TSA trebuie sa suporte utilizarea automata a cheilor si certificatelor alternative de pe server.

Securitatea Serverului TSA

Securitatea este un aspect critic pentru un TSA Server. O astfel de securitate nu poate fi adaugata si trebuie sa fie parte din design. Ascertia recunoaste valoarea standardului ETSI CWA 14167-1 pentru sistemele de incredere din acest domeniu si a creat ADSS Server pentru a se conforma cu standardul. Acesta reprezinta un domeniu trecut cu vederea si in care solutiile cu alte tehnologii si produse open source particulare trebuie revizuite cu atentie. Caracteristicile majore de securitate de care sa tineti cont sunt:

  • Autentificare severa a administratorilor impreuna cu controale de acces detaliate bazate pe roluri pentru toate serviciile sistemului. Unii operatori pot fi autorizati numai sa revizuiasca (pe o baza "read only") a jurnalelor tranzactiei astfel incat ei sa poata ajuta clientii. Unii operatori vor fi autorizati sa faca modificari in serviciul TSA sau in configurarile de baza are serverului.
  • Inregistrarea (logging) securizata si detaliata a tranzactiei este absolut necesara pentru un TSA Server. Inregistrarea este necesara pentru furnizorii de servicii comerciale TSA care doresc sa taxeze pentru serviciul TSA, iar capacitatea de a revizui tranzactiile TSA este esentiala pentru a rezolva rapid problemele de helpdesk.
  • Integritatea sistemului este cruciala pentru o autoritate de marca temporala. Serverul trebuie sa protejeze toate configuratiile si tranzactiile, jurnalele inregistrarii operatorului si sistemului cu controale criptografice severe prin utilizarea algoritmilor SHA-2. Verificarea integritatii sistemului trebuie sa fie automata, verificarea orelor de varf ale sistemului de vreme ce aceasta poate fi o operatiune intensiva. Trebuie sa fie permise si verificarile manuale. Rapoartele detalialte ale integritatii sistemului trebuie sa fie realizate pentru a asigura ca nimic nu este trecut cu vederea.
  • Operarea serverelor TSA in medii cu incredere inalta va solicita in general utilizarea unui HSM (Hardware Security Module) pentru a proteja semnarea si cheile HMAC. Suportul PKCS#11 asigura ca software-ul este capabil sa lucreze cu o varietate de HSM-uri. HSM-ul va fi solicitat in mod tipic pentru a indeplini anumite nivele de securitate, de exemplu FIPS 140-2 Level 3 sau mai inalt.
  • Exista o multime de lucruri care pot afecta operarea normala a lui TSA server. Acestea variaza de la probleme de retea cu sursele de timp, la abordarea cheilor in ceea ce priveste data expirarii, la probleme de comunicatie a bazei de date. Alertarea in timp real pentru un TSA Server trebuie sa fie printre primele in lista de caracteristici. In general trebuie sa va asteptati ca TSA Server sa ofere mai mult de o optiune pentru alertarea in timp real. ADSS TSA Server merge mai departe si ofera alegerea emailului, SMS-ului sau mesageriei SNMP.
  • Controlul accesului clientului de marca temporala este o consideratie importanta in special daca doriti sa taxati pentru serviciul TSA. Un server TSA trebui sa fie capabil sa autentifice clientii TSA prin utilizarea unei varietati de tehnici ca de exemplu: autentificarea clientilor SSL sau autentificarea bazata pe adresa IP. Implementarea trebuie sa fie flexibila indeajuns incat sa stabileasca reguli care pot include sau exclude anumiti clienti (de exemplu acei clienti care se stie ca au abuzat de sistem, permiterea altora din acelasi grup).

Setarile controlului de acces in ADSS TSA Server

  • Unii clienti au nevoie de cele mai inalte niveluri de securitate si aici TSA Server trebuie sa ofere functionalitatea cu control dual, de exemplu doi operatori sunt necesari pentru a realiza orice modificare in sistem. Un operator realizeaza operatiunea in timp ce al doilea operator (de obicei operatorul de securitate care detine rolurile) aproba sau respinge actiunea. Solicitarea originala a modificarii trebuie sa fie pastrata in asteptare pana la revizuire si nu se implementeaza nicio actiune pana la aprobarea de catre operatorul de securitate.
  • Un viewer de stanzactie trebuie sa fie furnizat care sa poata afisa toate campurile, fiecare solicitare si raspuns din TSA. Viewer-ul trebuie sa se prezinte in forma citibila de catre om care sa va permita sa vizualizati detaliile. Trebuie sa fie posibil sa exportati si sa importati tranzactii individuale TSA sau un set de tranzactii in caz de litigii.

Inregistrarile detaliate ale jurnalelor operatorului si evenimentelor sistemului pot fi pastrate pentru a sti exact ce s-a modificat in sistem, la ce data si ora si de cine. Pentru a eficientiza aceste jurnale TSA Server trebuie sa ofere o facilitate flexibila de cautare in toate jurnalele, altfel volumul de date poate camufla informatia de care aveti nevoie.

Viewer pentru solicitarea/raspunsul pentru marca de timp in ADSS TSA Server

  • Gospodarirea si administrarea usoara reprezinta aspecte importante ale unui sistem eficient de gestiune a securitatii. Complexitatile interfetei umane pot conduce la functionare incorecta sau esuarea completa a serviciului TSA. Un TSA Server trebuie sa aiba o interfata web sigura, usoara si un motor bazat pe politici care permite configuratiilor sa fie realizate rapid si usor. Actiunile administratorului, ca verificarea integritatii sistemului si arhivarea inregistrarilor bazei de date, pentru a preveni supraincarcarea bazei de date trebuie sa fie realizate automat pentru a se evita problemele de incredere.

Configurarea arhivarii automate in ADSS TSA Server

Raportarea gestiunii

Pe masura ce creste utilizarea TSA Server cu sisteme si aplicatii de business multiple, este important ca furnizorii de servicii TSA sa fie capabili sa obtina date semnificative despre performanta serviciului TSA. Acest lucru este important intr-un serviciu comercial TSA care este masurat si ruleaza intr-un SLA. Astfel de date de raportare a gestiunii pot include:

  • Cate tranzactii ale serviciului TSA au fost primite intr-un anumit interval de date.
  • Care clienti TSA au realizat cele mai multe solicitari TSA intr-un anumit interval de date. Raportarea trebuie sa poata grupa fiecare din aceste tranzactii.
  • Care a fost sarcina tranzactiei gestionate de fiecare profil logic al TSA Server.

Aceasta informatie trebuie sa fie usor de inteles prin utilizarea tabelelor si "pie-chart-urilor". Rapoartele de gestiune trebuie sa poata fi exportabile in formate PDF si CSV astfel incat sa poata fi importate in Adobe Reader, Microsoft Excel si alte baze de date. Urmatoarea imagine arata cateva rapoarte si setari asociate pentru raportarea gestiunii in ADSS TSA Server:

Raportarea serviciului TSA

Raportarea utilizarii serviciului TSA

Conformitarea cu standardele

Exista un numar de standarde in domeniul marcii de timp cu care vanzatorii trebuie sa fie conformi:

  • IETF RFC 3161: ofera protocolul de baza pentru tranzactiile de solicitare/raspuns pentru aplicarea marcii de timp. Deci o cerinta fundamentala pentru serverele TSA.
  • CEN CWA 14167-1: descrie cerintele pentru sistemele de incredere, inclusiv o autoritate de marca temporala. Acesta reprezinta un standard esential pentru furnizorii de servicii din Europa are ofera infrastructura pentru certificate si semnaturi calificate.
  • ETSI TS 102 023: defineste cerintele politicii pentru autoritatile de marca temporala. Este important ca produsul sa fie capabil sa suporte cerintele tehnice definite ca standard.
  • ETSI TS 101 861: ofera un profil RFC 3161 pentru utilizare de TSA-uri care opereaza intr-un context de oferire a certificatelor si semnaturilor calificate.


Exista si un numar de alte standarde de securitate generala si criptografica pe care vanzatorii de produse trebuie sa le indeplineasca si acestea includ: PKCS#11, PKCS#10, PKCS#7, NTP, TLS/SSL etc.

Optiuni de facturare

Unii clienti solicita o facilitate in care serviciile de marca de timp sa poata fi taxate pentru utilizarea creditelor pre-comandate. In acest scenariu TSA Server trebuie sa autentifice mai intai clientul TSA (fie ca este client actual sau un proxy al companiei) prin utilizarea autentificarii cu client SSL. Odata autentificat TSA Server trebuie sa verifice apoi daca utilizatorul detine suficient credit pentru a realiza tranzactia. Aceasta verificare a creditului poate fi realizata printr-un apel extern al serviciului web catre un server de credit. Daca serverul de credit raspunde, acea tranzactie trebuie sa permita lui TSA Server sa ofere marca de timp clientului. Ca parte din finalizarea tranzactiei TSA Server trebuie sa informeze serverul de credit ca marca de timp a fost furnizata cu succes astfel incat creditul utilizatorului sa fie dedus. Daca in timpul verificarii, utilizatorul detine suficient credit rezultatul este negativ, atunci TSA poate returna un raspuns adecvat de eroare catre utilizator. Ascertia poate furniza optiuni de facturare in ADSS TSA Server ca parte a furnizarii proiectului.

Consideratii comerciale ale TSA Server

Problemele comerciale au o prioritate inalta atunci cand alegeti un produs server TSA, pretul serverului TSA fiind cel mai important din lista. Ocazional puteti gasi taxari pe tranzactie sau limita de utilizare care pot creste pretul pe termen lung pentru TSA Server. In general ar trebui sa existe numai pretul bazat pe server pentru utilizatori nelimitati. Furnizorii competenti ar trebui sa fie capabili sa ofere uneltele de test necesare care sa masoare performanta TSA precum si unelte de monitorizare a serviciului.

In final, inainte de a face orice investitie in tehnologia TSA Server verificati daca vanzatorul detine strategia potrivita pe termen lung. Vor investi in protocoale viitoare ca de exemplu LTANS (Long-Term Archive & Notary Service)? Produsul suporta crearea semnaturii pe aceeasi platforma, la un cost redus astfel incat puteti realiza semnarea dintr-o aplicatie a documentelor pe termen lung?

Rezumat: Acest articol descrie cateva dintre caracteristicile de nivel inalt care trebuie sa existe pentru un TSA Server. In mod natural ADSS TSA Server de la Ascertia detine toate aceste caracteristici. Pentru a obtine o versiune gratuita de evaluare va rugam sa ne contactati.

Despre noi

Suntem prezenti pe piata in domeniul securitatii informatice din anul 1994.

Distribuim in Romania solutii de securitate dezvoltate in domeniu de catre lideri de piata.

Oferim servicii de asistenta in domeniu.

Contact

Ro Interactive Technologies S.R.L.
Str. Aurel Suciu nr. 63 ap. 1
400440 Cluj-Napoca
Tel: 0040-264-418929; 0040-744-799248
Fax: 0040-264-418929
Email:  This email address is being protected from spambots. You need JavaScript enabled to view it.

Mighty Free Joomla Templates by MightyJoomla