En criptografía, un tercero de confianza ( TTP) es una entidad que facilita las interacciones entre dos partes que confían en el tercero; el Tercero revisa todas las comunicaciones de transacciones críticas entre las partes, basándose en la facilidad de crear contenido digital fraudulento. En los modelos TTP, las partes que confían utilizan esta confianza para asegurar sus propias interacciones. Los TTP son comunes en cualquier número de transacciones comerciales y en transacciones digitales criptográficas, así como en protocolos criptográficos, por ejemplo, una autoridad certificadora (CA) emitiría un certificado digital a una de las dos partes en el siguiente ejemplo. Entonces, la CA se convierte en el tercero de confianza para la emisión de certificados. Del mismo modo, las transacciones que necesitan un registro de terceros también necesitarían un servicio de depósito de terceros de algún tipo u otro.
"Confiable" significa que se debe confiar en un sistema para actuar en sus intereses, pero tiene la opción (ya sea a voluntad o involuntariamente) de actuar en contra de sus intereses. "De confianza" también significa que no hay forma de verificar si ese sistema está funcionando en sus intereses, de ahí la necesidad de confiar en él. Corolario: si se puede verificar que un sistema funcione en sus intereses, no necesitaría su confianza. Y si se puede demostrar que opera en contra de sus intereses, uno no lo usaría.
Un ejemplo
Supongamos que Alice y Bob desean comunicarse de forma segura; pueden optar por utilizar la criptografía . Sin haber conocido a Bob, es posible que Alice necesite obtener una clave para cifrar los mensajes que le envíen. En este caso, un TTP es un tercero que puede haber visto previamente a Bob (en persona), o está dispuesto a dar fe de que esta clave (generalmente en un certificado de clave pública ) pertenece a la persona indicada en ese certificado, en este caso, Bob. En las discusiones, esta tercera persona a menudo se llama Trento.. Trent se lo da a Alice, quien luego lo usa para enviar mensajes seguros a Bob. Alice puede confiar en que esta llave es de Bob si confía en Trent. En tales discusiones, simplemente se asume que ella tiene razones válidas para hacerlo (por supuesto, está el problema de que Alice y Bob puedan identificar adecuadamente a Trent como Trent y no como alguien que se haga pasar por Trent).
Práctica real
Cómo hacer arreglos para terceros (confiables) de este tipo es un problema sin resolver. [1] Mientras existan motivos de codicia, política, venganza, etc., aquellos que realizan (o supervisan) el trabajo realizado por dicha entidad proporcionarán posibles lagunas a través de las cuales se puede filtrar la confianza necesaria. El problema, quizás irresoluble, es antiguo y notorio. El hecho de que las grandes corporaciones impersonales hagan promesas de precisión en sus certificaciones de la exactitud de una correspondencia de clave pública a usuario reclamada (por ejemplo, por una autoridad de certificación como parte de una infraestructura de clave pública ) cambia poco. Como en muchos entornos, la fuerza de la confianza es tan débil como su eslabón más débil. Cuando la infraestructura de una confianzaCA se rompe toda la cadena de confianza se rompe. El incidente de 2011 en CA DigiNotar rompió la confianza de la PKI del gobierno holandés y es un ejemplo de libro de texto de las debilidades del sistema y sus efectos. [2] Como ha señalado Bruce Schneier , después de las revelaciones de vigilancia masiva de 2013 , no se debe confiar en ningún tercero.
El criptosistema PGP incluye una variante del TTP en forma de red de confianza . Los usuarios de PGP firman digitalmente los certificados de los demás y se les indica que lo hagan solo si están seguros de que la persona y la clave pública van juntas. Una fiesta de firma de claves es una forma de combinar una reunión con la firma de un certificado. No obstante, la duda y la precaución siguen siendo sensatas, ya que algunos usuarios han sido descuidados al firmar los certificados de otros. [ cita requerida ]
Confiar en los seres humanos o en sus creaciones organizativas puede ser riesgoso. Por ejemplo, en materia financiera, las empresas de fianzas aún tienen que encontrar una forma de evitar pérdidas en el mundo real.
Paralelos fuera de la criptografía
Fuera de la criptografía, la ley en muchos lugares prevé la existencia de terceros de confianza en cuyos reclamos se puede confiar. Por ejemplo, un notario público actúa como un tercero de confianza para autenticar o reconocer firmas en documentos. El papel de un TTP en la criptografía es muy similar, al menos en principio. Una autoridad de certificación cumple parcialmente dicha función de notario, dando fe de la identidad del propietario de una clave, pero no de si la parte estaba mentalmente consciente o aparentemente libre de coacción (ni la autoridad de certificación da fe de la fecha de la firma).
Ver también
Referencias
- ^ Zissis, Dimitris; Lekkas, Dimitrios; Koutsabasis, Panayiotis (2012). "Encuesta sobre disfuncionalidad criptográfica-A sobre las percepciones de los usuarios de los certificados digitales". Georgiadis CK, Jahankhani H., Pimenidis E., Bashroush R., Al-Nemrat A. (Eds) Global Security, Safety and Sustainability & E-Democracy. E-Democracy 2011, ICGS3 2011. Notas de la conferencia del Instituto de Ciencias de la Computación, Ingeniería Social e Ingeniería de Telecomunicaciones, Springer, Berlín, Heidelberg . 19 .
- ↑ Guardian: Rogue web certificate podría haberse utilizado para atacar a los disidentes de Irán , visitado el 11 de septiembre de 2011
