ГОСТ Р МЭК 62443-3-3—2016
сертификата надлежащей стороне. Любые задержки, спровоцированные использованием сертифика
тов открытых ключей, по возможности не должны ухудшать эксплуатационные характеристики системы
управления.
Выбор подходящей PKI должен по возможности учитывать сертификационную политику органи
заций. которая должна по возможности базироваться на риске, соотносящемся с уязвимостью в конфи
денциальности защищаемой информации. Методологическую основу к определению политики можно
найти в общепризнанных стандартах и директивах, например в Запросе на комментарии (RFC) 3647
[29] Инженерного совета Интернета (IETF) для PKI на основе Х.509. Например, соответствующее ме
стонахождение центра сертификации (СА). будь то в пределах системы управления или в Интернете, и
перечень доверенных САдолжны по возможности быть учтены в политике и зависят от архитектуры сети
(см. также МЭК 62443-2-1).
5.10.3 Расширения требований
Отсутствуют.
5.10.4 Уровни безопасности
Далее приведены требования для уровней SL. относящихся к SR 1.8 — Сертификаты инфраструк
туры открытых ключей (PKI):
- SL-C (IAC. система управления) 1: не определены;
- SL-C (IAC. система управления) 2. SR 1.8;
- SL-C (IAC, система управления) 3. SR 1.8;
- SL-C (IAC, система управления) 4: SR 1.8.
5.11 SR 1.9 — Надежность аутентификации по открытому ключу
5.11.1 Требование
Применительно к системам управления, использующим аутентификацию по открытому ключу, си
стема управления должна обеспечивать возможность:
a) валидации сертификатов посредством проверки действительности подписи того или иного сер
тификата;
b
) валидации сертификатов посредством создания пути сертификации к общепризнанному СА
или. в случае самоэаверенных сертификатов, посредством проверки «листовых» сертификатов ко всем
хостам, поддерживающим коммуникацию с субъектом, для которого выдан сертификат;
c) валидации сертификатов посредством проверки того или иного сертификата на предмет анну-
лированности:
d) учреждения контроля со стороны пользователя (физического лица, программного процесса или
устройства) за соответствующим секретным ключом; и
e) присвоения аутентифицированной идентичности пользователю (физическому лицу, программ
ному процессу или устройству).
5.11.2 Целесообразность и дополнительная методологическая основа
Криптография на открытом/частном ключе строго привязана к секрету частного ключа отдельно
взятого субъекта и корректному ведению доверительных отношений. При верификации доверия между
двумя субъектами на основе аутентификации по открытому ключу жизненно важно приписать сертифи
кат частного ключа доверенному субъекту. Типичная погрешность реализации при валидации сертифи
катов — проверять только истинность подписи сертификата и не удостоверять доверие к подписавше
муся. В системе PKI подписавшийся является доверенным, если он представляет доверенный СА или
имеет сертификат, выданный доверенным СА. поэтому все проверяющие должны идентифицировать
предъявляемые им сертификаты опять же в доверенном СА. Если такая цепочка из доверенных СА не
может быть зафиксирована, то представленный сертификат следует считать недоверенным.
Если вместо сертификатов PKI используются самозаверенные сертификаты, то субъект, предъ
явивший сертификат, сам его подписывал, а значит, доверенной третьей стороны или САне существует
вообще. Это следует компенсировать посредством наделения самозаверенными сертификатами на от
крытом ключе всех партнеров, которые должны удостоверить их истинность посредством защищенного
иным образом механизма (например, сбора всех партнеров в доверенной обстановке). Доверенные
сертификаты должны быть распределены между партнерами через защищенные каналы. В ходе про
верки самозаверенный сертификат по возможности должен быть признан доверенным только тогда,
когда он уже имеется в перечне доверенных сертификатов проверяющего партнера. Набор из дове
ренных сертификатов должен по возможности быть сконфигурирован до минимального необходимого
набора.
17