Hvordan benytter bedrifter seg av PKI-tjenester?

[v3g4rd]

Som topic sier, så lurer jeg litt på hvordan bedrifter benytter seg av PKI, eller Public Key Infrastructure-tjenester. Dette gjelder egentlig et større prosjekt jeg har gående på universitetet, men jeg tror det er mer hjelp å få i denne kategorien enn "Skolehjelp".

Tidligere var det jo veldig vanlig å lagre alle konfidensielle dokumenter en bedrift måtte ha, som håndsignerte kontrakter og lignende, inne i et hvelv. Selv om flere bedrifter benytter seg av denne metoden enda, tror jeg det er flere moderne konsern som har tatt i bruk digital signering for fullt, og lagrer disse dokumentene elektronisk på et eller annet kryptert medie.

Er det noen som har erfaring med dette, helst fra næringslivet, og kanskje kan komme med noen tilbakemeldinger?

Det finnes tross alt flere faktorer en må ha tenkt igjennom før en tar i bruk digitale signaturer. Blant annet hvordan en skal få løst problemet med signering av dokumenter på tvers av bedrifter, eller større konsern. Hvordan klarer de å holde styr på de offentlige nøklene til alle partene, og hvordan behandles de ansattes private nøkler?

 

Jeg skal med en gang innrømme at jeg fisker etter informasjon jeg kan ta med i prosjektoppgaven min, men jeg er ikke ute etter at noen skal løse hele oppgaven for meg. Jeg har allerede skrevet flere sider om dette emnet, men har egentlig kommet frem til flere spørsmål underveis enn svar.

 

På forhånd, takk.

[CrZy_T]

Det finnes tross alt flere faktorer en må ha tenkt igjennom før en tar i bruk digitale signaturer. Blant annet hvordan en skal få løst problemet med signering av dokumenter på tvers av bedrifter, eller større konsern. Hvordan klarer de å holde styr på de offentlige nøklene til alle partene, og hvordan behandles de ansattes private nøkler?

Trusted third party er det første som slår meg her. BankID og Buypass er vel de to største på dette i Norge. Zebsign har vel også en del sertifikater i omløp også.

[v3g4rd]

Jeg er enig at det digitale sertifikatet til bedriften bør utgis av en betrodd tredjepart som Thawte eller lignende. Vil det også være denne betrodde tredjeparten som er ansvarlig for oppbevaring av offentlige nøkler, eller legges dette ansvaret over på bedriften selv?

[CrZy_T]

Jeg er enig at det digitale sertifikatet til bedriften bør utgis av en betrodd tredjepart som Thawte eller lignende. Vil det også være denne betrodde tredjeparten som er ansvarlig for oppbevaring av offentlige nøkler, eller legges dette ansvaret over på bedriften selv?

 

BankID holder på den offentlige nøkkelen, mens Zebsign og Buypass distrubere dette til kundene.

 

Så svar på spørsmålet vil være at det kommer an på tredjeparten.

[v3g4rd]

Okei, takk for at du klargjorde det for meg.

Hvordan blir det da hvis dokumenter skal lagres over lengre tid hvis en bruker BankID som betrodd tredjepart? Er det avtalefestet at de skal lagre nøklene så lenge jeg betaler en årlig avgift til dem?

[CrZy_T]

Hvordan blir det da hvis dokumenter skal lagres over lengre tid hvis en bruker BankID som betrodd tredjepart? Er det avtalefestet at de skal lagre nøklene så lenge jeg betaler en årlig avgift til dem?

 

Kjenner ikke til BankIDs avtaler (skandiabanken-kunde:p), men jeg vil anta at CA'n dems skal holde på infoen om sertifikaten i en del år.

[lerun]

Det finnes tross alt flere faktorer en må ha tenkt igjennom før en tar i bruk digitale signaturer. Blant annet hvordan en skal få løst problemet med signering av dokumenter på tvers av bedrifter, eller større konsern. Hvordan klarer de å holde styr på de offentlige nøklene til alle partene, og hvordan behandles de ansattes private nøkler?

Trusted third party er det første som slår meg her. BankID og Buypass er vel de to største på dette i Norge. Zebsign har vel også en del sertifikater i omløp også.

 

Kanskje litt lenge siden, men jeg svarer på denne uansett.

 

Når det kommer til 3.parts så vil dette være avhengig av hvilke ditt OS støtter fra før. MS OS har en del rot sertifikat med out of the box og alle sertifikat utstedt fra denne kjeden vil automatisk godkjennes av OS'et.

For større bedrifter løses dette ved at man gir sitt rot sertifikat til samarbeidspartneren og ber de distribuere dette i sin infrastruktur (f.esk ved Group Policy). Eller at man kjøper sertifikat fra 3.parts leverandører som allerede er godkjent i OS, f.eks Verisign, dog dette er forholdsvis dyrt ved større volum.

 

Kjernen i problemet med å bruke digitale signaturer ligger ikke direkte i teknologien men hvordan mange bedrifter er organisert. Alle sitter med masse dokumenter som må konverteres, dette er en dyr og komplisert oppgave. I tillegg må man definere rolle strukturer for hvordan tilganger til de forskjellige dokumentene skal styres og fylles.

 

Så selve teknologien fungerer nok greit som den er issolert sett, men det å putte den inn i store organsisasjoner krever et godt styringssystem rundt.

 

MS har nå Sharepoint med integret mulighet for å signere dokumenter og låse disse for bruk av bare godkjente grupperinger.