it-swarm-id.com

Apa perbedaan antara keaslian dan non-penolakan?

Saya baru mengenal infosec dan membaca. Tidak mengherankan satu titik awal adalah wikipedia. Dalam artikel ini , keaslian dan non-repudiation terdaftar sebagai 2 'Konsep dasar' yang terpisah. Pemahaman saya adalah bahwa Anda tidak dapat mencapai non-penolakan dengan tidak mengetahui pihak mana yang terlibat, yang membutuhkan keaslian untuk diterapkan. Dalam hal itu, saya melihat keaslian sebagai sub komponen non-repudiation.

Apakah Anda punya contoh yang mendukung pendekatan bahwa kedua konsep ini secara fundamental terpisah?

46
Max

Keaslian adalah tentang satu pihak (katakanlah, Alice) berinteraksi dengan yang lain (Bob) untuk meyakinkan Bob bahwa beberapa data benar-benar berasal dari Alice.

Non-repudiation adalah tentang Alice menunjukkan kepada Bob bukti bahwa beberapa data benar-benar berasal dari Alice, sehingga Bob tidak hanya diyakinkan, tetapi Bob juga mendapat jaminan bahwa ia dapat menunjukkan bukti yang sama kepada Charlie, dan Charlie juga akan diyakinkan , Bahkan jika Charlie tidak mempercayai Bob.

Oleh karena itu, sebuah protokol yang menyediakan non-penolakan tentu memberikan keaslian sebagai produk sampingan; sedikit banyak, keaslian adalah sub-konsep non-repudiation. Namun, ada beberapa cara untuk memberikan keaslian (hanya) yang jauh lebih efisien daripada metode yang dikenal untuk mencapai tanda tangan (keaslian dapat diperoleh dengan Kode Otentikasi Pesan sedangkan non-repudiation membutuhkan Digital) Tanda tangan dengan lebih banyak matematika yang terlibat). Untuk alasan ini, masuk akal untuk menggunakan "keaslian" sebagai konsep terpisah.

SSL/TLS adalah protokol tunneling yang memberikan keaslian (klien yakin untuk berbicara dengan server yang dimaksud) tetapi bukan non-repudiation (klien tidak dapat merekam sesi dan menunjukkannya sebagai bukti, dalam kasus sengketa hukum dengan server, karena akan mudah untuk membuat catatan sesi yang benar-benar palsu).

44
Thomas Pornin

Otentikasi dan non-penolakan adalah dua macam konsep.

  • Otentikasi adalah konsep teknis : mis., Dapat diselesaikan melalui kriptografi.

  • Non-repudiation adalah konsep hukum : mis., Itu hanya dapat diselesaikan melalui proses hukum dan sosial (mungkin dibantu oleh teknologi).

Beberapa orang telah diajarkan bahwa non-repudiation dapat diberikan melalui crypto-matematika saja. Namun, itu tidak benar.

20
D.W.

Mengapa Anda ingin otentikasi?

Untuk mengetahui bahwa email, perangkat lunak, situs web, atau item lain berasal dari orang tertentu, sistem komputer, atau perusahaan. Umumnya Anda menggunakan identitas Asal sebagai bagian dari keputusan tentang kepercayaan.

Jika sebuah email datang dari bank Anda dan Anda mengotentikasi email tersebut, Anda menaruh kepercayaan dalam jumlah tertentu. Jika sebuah email datang dari musuh, tetapi mengklaim berasal dari belakang Anda, dan Anda tidak dapat mengautentikasi email tersebut, Anda tidak mempercayai isi dari email tersebut.

Otentikasi digunakan untuk memverifikasi identitas. Identitas adalah klaim bahwa seseorang adalah orang tertentu. Otentikasi adalah upaya untuk memverifikasi klaim tentang identitas. Saya dapat mengklaim sebagai Margaret Thatcher, tetapi karena saya bukan Margaret Thatcher, saya seharusnya tidak dapat mengautentikasi klaim saya.

Mengapa Anda menginginkan penolakan?

Untuk membuktikan bahwa seseorang mengucapkan kalimat tertentu, ketikkan frasa tertentu, atau lakukan tindakan tertentu. Menolak berarti mengklaim bahwa apa pun yang dikatakan, diketik, dikomunikasikan, atau dilakukan tidak dilakukan oleh Anda (atau orang yang dimaksud).

Jika seseorang mengklaim bahwa George Carlin menggunakan kata-kata umpatan, dan George Carlin berusaha untuk menolak klaim tersebut, mudah untuk membuktikan bahwa ia telah menggunakan kata-kata umpatan. Ada bukti bahwa George Carlin menggunakan kata-kata umpatan. Jika George Carlin tidak dapat menolak klaim tentang kata-kata makian, bukti memberikan non-penolakan.

Non-repudiation adalah upaya aktif untuk menciptakan artefak yang dapat digunakan terhadap orang yang diidentifikasi yang menyangkal bahwa mereka adalah Asal dari komunikasi atau tindakan. Artefak adalah identitas, otentikasi identitas, dan sesuatu yang menghubungkan komunikasi atau tindakan dengan identitas.

Dalam contoh George Carlin ada dokumen hukum yang merekam kesaksian banyak saksi yang mengidentifikasi dan mengotentikasi George Carlin dan menyaksikannya menggunakan kata-kata makian. Ini adalah produksi artefak pasif dan tidak sengaja yang menghubungkan suatu tindakan dengan identitas.

Dalam keamanan kami ingin produksi artefak yang aktif dan bertujuan yang dapat membantu dalam argumen non-repudiation. Untuk melakukan itu kita harus mengidentifikasi suatu entitas, mengotentikasi identitas dan menghubungkan entitas yang diidentifikasi dengan tindakan atau komunikasi tertentu.

Beberapa orang menggunakan sertifikat kunci publik/pribadi untuk menandatangani email mereka. Dengan menggunakan alamat email mereka, mereka memberikan identifikasi. Penggunaan kunci pribadi mereka (untuk menandatangani email) menyediakan otentikasi selama kunci pribadi hanya diketahui oleh individ. Ketika mereka menandatangani email dengan tanda tangan digital mereka, mereka menghubungkan konten email ke identitas yang diautentikasi oleh sertifikat. Artefak ini dapat membantu mencegah seseorang menolak konten email; "Aku tidak pernah mengirim email itu." Namun, untuk menolak email tersebut, pengirim dapat mengklaim bahwa kunci pribadi mereka dicuri (diketahui oleh pihak lain) dan pencuri itu mengirim email tersebut.

7
this.josh

Keaslian: mumnya dipastikan oleh penerima yang dituj dan diimplementasikan menggunakan kode otentikasi pesan (MAC) atau Keyed Hash (intisari yang memasukkan kunci selama intisari). Dasarnya adalah bahwa pengirim dan penerima akan memiliki kunci bersama yang sama (entah bagaimana dibagikan). Pengirim akan menggunakan algoritma MAC yang mengambil kunci dan konten yang dibagikan dan menghitung MAC. MAC ini dikirim ke penerima bersama dengan pesannya. Saat menerima, penerima akan melakukan hal yang sama, menggunakan algoritma MAC pada kunci yang dibagikan dan konten untuk menghitung MAC di bagian akhir. Jika MAC yang diterima cocok dengan yang dihitung, dua hal diverifikasi, pesannya tidak dirusak dan pesan dikirim oleh pengirim yang diharapkan.

Non repudiation: Siapa pun dapat memvalidasi keaslian dari sebuah pesan serta sumber dari pesan tersebut. Ini didasarkan pada Tanda Tangan Digital (Kriptografi Kunci Publik) di mana setiap orang memiliki akses ke kunci publik dari penandatangan yang menghitung tanda tangan digital pada beberapa konten (dapat diproduksi oleh dia atau orang lain) menggunakan pribadinya kunci. Dan seluruh dunia memiliki penandatangan kunci publik, sehingga mereka dapat menjalankan beberapa matematika pada kunci publik penandatangan, konten yang ditandatangani dan tanda tangan yang mereka miliki untuk memverifikasi bahwa memang, penanda tangan menandatangani konten dan konten belum dirusak. Jika ini divalidasi, maka penandatangan tidak dapat membantah belum menandatangani konten, karenanya, tidak dapat disangkal.

Semoga ini membantu.

0
user2237777