Компания IBM
Опубликован: 04.07.2008 | Доступ: свободный | Студентов: 456 / 58 | Оценка: 4.48 / 3.95 | Длительность: 13:58:00
Лекция 5:

Усовершенствования, связанные с ключами увеличенной длины в сертификатах и ID

5.4 Смена ключей пользователя и сервера

Смена ключей (key rollover) — это процесс обновления набора личных и общих ключей Notes, хранящихся в ID-файлах пользователей и серверов. Смену ключей можно применять для перехода от более коротких ключей к 1024-битовым ключам Этот процесс также может применяться для изменения общих ключей в случае взлома системы, приведшего к раскрытию пользовательского ID-файла. Смену пользовательских ключей могут запрашивать отдельные пользователи, или она может быть инициирована от лица группы пользователей администратором, с применением политик. Смена ключей серверов инициируется администратором с использованием полей в документе Server.

Важно! В отличие от процессов пересертификации ID с новым общим ключом в предыдущих версиях Notes и Domino процесс смены ключей в Notes и Domino 7 сохраняет архивную копию предыдущей пары общий/личный ключ в ID-файле пользователя. Это позволяет пользователям продолжать читать почту и документы, зашифрованные с помощью старого общего ключа.

5.4.1 Смена ключей вручную

Пользователь может инициировать процесс смены ключей, открыв диалоговое окно User Security и выбрав пункт Other Actions (Другие действия) \to Create New Public keys (Создать новые общие ключи) на закладке Your Certificates (Ваши сертификаты). При этом откроется диалоговое окно Create New Public Keys (Создание новых общих ключей), показанное на рис. 5.5. Оставьте все значения так, как они заданы по умолчанию, и нажмите Create Keys (Создать ключи). [Если изменить значение в раскрывающемся списке Request Certificate Using (Запросить сертификат с помощью), то запрос будет обрабатываться с помощью процесса, использующего почту, который есть в более ранних версиях, а не с помощью нового процесса смены ключей.] При следующем соединении пользователя с домашним сервером будет выведено сообщение, спрашивающее у пользователя, нужно ли создавать копию ID-файла. Пользователи, которые работают на нескольких компьютерах, должны сделать копию и применять ее для замены своего ID-файла на других машинах.

Смена ключей, инициированная пользователем

Рис. 5.5. Смена ключей, инициированная пользователем
Важно! Пользователям не следует запрашивать новые общие ключи с каждого из своих компьютеров. Администраторы должны просматривать файл ADMIN4.NSF на предмет повторяющихся запросов от пользователей. Множественные запросы указывают на то, что пользователь запутался и может попасть в ситуацию, когда ID-файлы на разных компьютерах будут иметь разные ключи.

При запуске процесса смены ключей в пользовательский ID-файл добавляется новая пара общий/личный ключ, но она не заменяет существующие ключи. Эта пара помечается как "отложенная" (pending) и запрос на сертификацию нового ключа помещается в базу данных ADMIN4.NSF на сервере. Прежде чем новый ключ можно будет использовать, администратор должен провести сертификацию нового ключа. На рис. 5.6 показано представление с запросами на сертификацию нового ключа в базе ADMIN4. Администратор применяет кнопку Certify Selected Entries (Сертифицировать выбранные элементы) в этом представлении, чтобы обработать запросы на смену ключей. При этом в базе ADMIN4 генерируется запрос Recertify Person In Domino Directory (Ресертифицировать пользователя в Domino Directory), который будет выполнен процессом adminp на административном сервере домена, когда он будет обрабатывать свою очередь заданий.

Запросы на сертификацию новых ключей

увеличить изображение
Рис. 5.6. Запросы на сертификацию новых ключей
Примечание. Если домашний сервер пользователя не является административным сервером домена Domino, то, прежде чем новый ключ станет доступным, запрос adminp должен быть реплицирован и новый ключ в документе Person должен быть реплицирован обратно.

Когда процесс adminp завершит эту операцию, информация о новом ключе окажется в документе Person пользователя, и для завершения процесса смены при следующей аутентификации пользователя на домашнем сервере откроется диалоговое окно с вопросом, принимает ли пользователь новый ключ (рис. 5.7). Пользователи, работающие на нескольких машинах, увидят это диалоговое окно на каждом из своих компьютеров.

Завершение процесса смены ключей

Рис. 5.7. Завершение процесса смены ключей
Совет. Если пользовать, работающий на нескольких машинах, не видит диалогового окна Accept New ID Information (Принять новую информацию ID) на каждой из машин, это указывает на то, что копия ID- файла, которая должна была быть сделана в начале процесса смены ключей, не была должным образом скопирована на все компьютеры пользователя.