De technische problemen van PKI

Door de grote belangstelling voor security en digitale handtekeningen zou je snel denken dat PKI de oplossing is voor alle security problemen.  Aan deze technologie zijn echter een groot aantal problemen verbonden, die het gebruik ervan verhinderen. Om technologie geaccepteerd te krijgen is het essentieel dat iedereen er achter staat en er gebruik van maakt. Een voorbeeld is een Microsoft Word bestand, dat door praktisch iedereen kan worden gelezen, en daardoor als communicatie middel is geaccepteerd.
PKI is echter nog lang niet zover.

PKI is gebaseerd op de X509 standaard, welke zijn oorsprong vindt in  de X500 directory, een wereldwijde directory om telefoonnummers te beheren.
X509 en PKI is nooit ontwikkeld met als doel een consistente bruikbare structuur te maken voor het identificatie en het zetten van digitale handtekeningen. Een technologie die voor dat doel was ontwikkeld had er anders uitgezien.

Men is ook niet in staat gebleken een sluitende standaard te maken. Kleine interpretatie verschillen zorgen ervoor dat implementaties van verschillende leveranciers niet met elkaar kunnen werken.

Wij vertellen hierbij niets nieuws, er is niets geheimzinning aan, die problemen zijn al jaren algemeen bekend. Zie bijvoorbeeld de links onderaan deze pagina.

Waarom de betrokkenen bij standaardisatie zulk slecht werk afleveren is ons een raadsel. Het lijkt wel of niemand de moeite heeft genomen, of in staat was, de standaard te toetsen aan een daadwerkelijke implementatie voordat de standaard werd gepubliceerd.  

PKI heeft de volgende problemen:

1. In de ideale geordende wereld is er een top certificaat waar andere certificaten van zijn afgeleid. Er komen echter duizenden tot miljoenen top certificaten, die op allerlei niveaus ook nog elkaar certificeren. Het is onmogelijk dit consistent te houden, er kunnen zelfs datastructuren met oneindige lussen ontstaan, die niet door computers kunnen worden beoordeeld. Het gevolg is dat gebruikers geregeld op inconsistenties worden geattendeerd, wat hun gevoel voor zekerheid eerder kleiner dan groter maakt.

2. Ingetrokken certificaten moeten  worden opgenomen in een certificate revocation list (CRL).  Het CRL mechanisme voldoet in het geheel niet. Het bevat ten eerste al een logische fout waar juristen niet erg blij mee zijn: het is mogelijk met terugwerkende kracht een handtekening in te te trekken. Ten tweede ligt niet vast hoe en waar je moet zoeken of een handtekening is ingetrokken. Ideaal zou een on-line directory zijn, waar alle ingetrokken handtekeningen staan, maar hier voorziet de standaard juist niet in. Door deze omissie kan niemand er zeker van zijn dat een bepaalde handtekening niet inmiddels is ingetrokken. De enige 'standaard' die bestaat OCSP is te langzaam voor de meeste toepassingen.

3. De infrastructuur voor PKI bestaat nog niet of slechts gedeeltelijk. Veel typen bestanden (zoals Microsoft Word) hebben bijvoorbeeld geen logische plek om een digitale handtekening op te slaan. Het is zelfs niet gestandaardiseerd of je in elke boodschap je certificaat moet opnemen, of alleen in de eerste boodschap. Voor alle zekerheid stuurt men maar de hele certificaat keten mee. 

4. Certificaten botsen vaak met privacy wetten. Men heeft de neiging in een certificaat veel te veel gegevens opgenomen die dan publiekelijk over alle computers worden verspreid. 

5. Hoe meer je wilt doen met een certificaat, des te meer gegevens je opneemt, des te minder heb je aan het certificaat. Als een bedrijf in een certificaat opneemt dat iemand  'consultant' is, moet een nieuw certificaat worden afgegeven bij promotie tot 'senior consultant'.  En als je bovendien ook nog aangeeft dat de persoon "handelstransacties aangaan tot 10.000 Euro' kan aangaan moet je dit vervangen als je er 12.000 Euro van maakt.

6. De huidige implementaties zitten vol met fouten, standaards worden verschillend geinterpreteerd, en systemen zijn onderling vaak conflicterend.  Microsoft heeft een aantal essentiële fouten gemaakt in zijn implementatie, en om maar compatible te zijn hebben andere leveranciers die zelfde fouten maar overgenomen.

7. De certificaten die afgegeven worden door Amerikaanse software bedrijven als Verisign en Thawte bevatten - althans voor certificaten voor digitale handtekeningen - te korte keys van 512 bits, zodat ze eenvoudig kraakbaar zijn. althans door de Amerikaanse overheid. Dit betekent niet alleen dat men hierdoor de technologie heeft om berichten te vervalsen, maar ook dat berichten ontcijferd kunnen worden. Naast ondertekenen van berichten wordt dezelfde PKI technologie namelijk ook gebruikt voor het encrypten van berichten. 
Op dit moment moet het aantal bits tenminste 1024 zijn, security experts raden aan keys van 2048 bits te gebruiken. Daarbij komt dat praktisch alle software die gebruikt wordt om certificaten te maken in de Verenigde Staten wordt gemaakt. Wij vermoeden  - maar  hebben nooit de moeite genomen het goed uit te zoeken - dat er bepaalde structuren worden opgelegd aan de keys, zodat ze met minder moeite gekraakt kunnen worden.

Maar, met enige creativiteit kan je een systeem maken dat al deze problemen oplost.  De kern van de oplossing is te werken zonder Certificaat Dienstverleners.
Maar dan moet je wel eerst weten wat juridisch allemaal kan.

---

Voor een artikel over de bruikbaarheid van PKI in het algemeen zie: PKI: vloek of zegen? (if PKI is the answer, then what was the question?)  dr. Jaap-Henk Hoepman, Faculteit Informatica, Universiteit Twente

Meer details zijn te vinden in het artikel van de wereld autoriteit Gutmann: PKI: It's not Dead Just Resting. Peter Gutmann, University of Auckland
Van zijn hand is ook lezenswaard als bijlage bij zijn bekende godzilla crypto tutorial het (nu wat gedateerde) History of crypto politics.