X.500

Serie de estándares de redes informáticas que cubren los servicios de directorio electrónico

X.500 es una serie de estándares de redes informáticas que cubren los servicios de directorio electrónico . La serie X.500 fue desarrollada por el Sector de Normalización de las Telecomunicaciones de la Unión Internacional de Telecomunicaciones (UIT-T). El UIT-T se conocía anteriormente como Comité Consultivo de Telefonía y Telegrafía Internacional (CCITT). X.500 se aprobó por primera vez en 1988. ^[1] Los servicios de directorio se desarrollaron para admitir los requisitos del intercambio de correo electrónico X.400 y la búsqueda de nombres. La Organización Internacional de Normalización (ISO) fue un socio en el desarrollo de los estándares, incorporándolos al conjunto de protocolos de interconexión de sistemas abiertos . ISO / IEC 9594 es la identificación ISO correspondiente.

Protocolos X.500

Los protocolos definidos por X.500 incluyen

• DAP ( Protocolo de acceso a directorios )
• DSP ( Protocolo de sistema de directorio )
• DISP ( Protocolo de sombreado de información de directorio )
• DOP ( Protocolo de gestión de enlaces operativos de directorio )

Debido a que estos protocolos usaban la pila de redes OSI , se desarrollaron varias alternativas a DAP para permitir que los clientes de Internet accedan al directorio X.500 utilizando la pila de redes TCP / IP . La alternativa más conocida a DAP es el Protocolo ligero de acceso a directorios ( LDAP ). Si bien DAP y los otros protocolos X.500 ahora pueden usar la pila de redes TCP / IP, LDAP sigue siendo un protocolo de acceso a directorios popular.

Modelos de datos X.500

El concepto principal de X.500 es que existe un único árbol de información de directorio (DIT), una organización jerárquica de entradas que se distribuyen en uno o más servidores, denominados Agentes del sistema de directorio (DSA). Una entrada consta de un conjunto de atributos, cada atributo con uno o más valores. Cada entrada tiene un Nombre Distinguido único , formado por la combinación de su Nombre Distinguido Relativo (RDN), uno o más atributos de la entrada en sí y los RDN de cada una de las entradas superiores hasta la raíz del DIT. Como LDAP implementa un modelo de datos muy similar al de X.500, hay una descripción más detallada del modelo de datos en el artículo sobre LDAP .

X.520 y X.521 juntos proporcionan una definición de un conjunto de atributos y clases de objetos que se utilizarán para representar personas y organizaciones como entradas en el DIT. Son uno de los esquemas de páginas blancas más ampliamente implementados .

X.509 , la parte del estándar que proporciona un marco de autenticación, ahora también se usa ampliamente fuera de los protocolos de directorio X.500. Especifica un formato estándar para certificados de clave pública.

La relación del directorio X.500 y los certificados digitales X.509v3

El uso actual de certificados X.509v3 fuera de la estructura del directorio cargados directamente en los navegadores web era necesario para que el comercio electrónico se desarrollara al permitir comunicaciones seguras basadas en web (SSL / TLS) que no requerían el directorio X.500 como fuente de información. certificados digitales como se concibieron originalmente en X.500 (1988). Se debe contrastar el papel de X.500 y X.509 para comprender su relación, ya que X.509 fue diseñado para ser el método de acceso seguro para actualizar X.500 antes de la WWW, pero cuando los navegadores web se hicieron populares, era necesario que hubiera un método simple de cifrar conexiones en la capa de transporte a sitios web. Por lo tanto, los certificados raíz de confianza para las autoridades de certificación admitidas se cargaron previamente en las áreas de almacenamiento de certificados de la computadora personal o dispositivo.

Se prevé una seguridad adicional mediante la implementación programada para 2011-2014 de la Estrategia Nacional de Estados Unidos para Identidades de Confianza en el Ciberespacio , un proyecto de dos a tres años que protege las identidades digitales en el ciberespacio. ^[2]

La implementación de comercio electrónico de la WWW de X.509v3 omitió, pero no reemplazó, el mecanismo de autenticación estándar ISO original de vincular nombres distinguidos en el directorio X.500.

El usuario final puede agregar o eliminar estos paquetes de certificados en su software, pero Microsoft y Mozilla los revisan en términos de su confiabilidad continua. Si surge un problema, como lo que ocurrió con DigiNotar , los expertos en seguridad del navegador pueden emitir una actualización para marcar una autoridad de certificación como no confiable, pero esta es una eliminación seria y efectiva de esa CA de la "confianza en Internet". X.500 ofrece una forma de ver qué organización reclama un certificado raíz específico, fuera del paquete proporcionado. Esto puede funcionar como un "modelo de confianza de 4 esquinas" agregando otra verificación para determinar si un certificado raíz ha sido comprometido. Las reglas que rigen la política de Federal Bridge para revocar certificados comprometidos están disponibles en www.idmanagement.gov .

El contraste de este enfoque de paquete de navegador es que en X.500 o LDAP, el atributo "caCertificate" se puede "vincular" a una entrada de directorio y se puede verificar además del paquete de certificados precargado predeterminado del cual los usuarios finales generalmente nunca se han dado cuenta. a menos que haya aparecido un mensaje de advertencia de SSL.

Por ejemplo, un sitio web que utiliza SSL, normalmente el nombre del sitio DNS "www.foobar.com", se verifica en un navegador mediante el software mediante bibliotecas que comprobarían si el certificado fue firmado por uno de los certificados raíz de confianza otorgados a el usuario.

Por lo tanto, crear confianza para los usuarios de que han llegado al sitio web correcto a través de HTTPS.

Sin embargo, también es posible realizar comprobaciones más estrictas para indicar que se verificó más que el nombre de dominio. Para contrastar esto con X.500, el certificado es un atributo de muchos para una entrada, en la que la entrada podría contener cualquier cosa permitida por el esquema de directorio específico. Por lo tanto, X.500 almacena el certificado digital, pero es uno de los muchos atributos que potencialmente podrían verificar la organización, como la dirección física, un número de teléfono de contacto y un contacto de correo electrónico.

Los certificados de CA o los certificados de la autoridad de certificación se cargan en el navegador automáticamente (en el caso del mecanismo de actualización de Microsoft), o en las actualizaciones de la nueva versión de los navegadores, y el usuario tiene más opciones para importar, eliminar o desarrollar una relación de confianza individual con el Autoridades de certificación cargadas y determinar cómo se comportará el navegador si los servidores de revocación OCSP no están disponibles.

Esto contrasta con el modelo de directorio que asocia el atributo caCertificate con una autoridad de certificación listada.

Por lo tanto, el navegador puede verificar el certificado SSL del sitio web mediante el grupo cargado de certificados aceptados o los certificados raíz se pueden buscar en un directorio X.500 o LDAP (o mediante HTTP / S) e importar a la lista de certificados de confianza. Autoridades de certificación.

El nombre distinguido "vinculado" se encuentra en los campos de asunto del certificado que coincide con la entrada del Directorio. X.509v3 puede contener otras extensiones dependiendo de la comunidad de interés además de los nombres de dominio internacionales. Para un uso amplio de Internet, RFC-5280 PKIX describe un perfil para campos que pueden ser útiles para aplicaciones como el correo electrónico cifrado.

Un usuario final que confía en la autenticidad de un certificado que se presenta a un navegador o correo electrónico no tiene una forma sencilla de comparar un certificado falsificado presentado (quizás lo que desencadena una advertencia del navegador) con un certificado válido, sin que también se le dé la oportunidad de validar el DN o nombre distinguido que se diseñó para buscar en un DIT X.500.

El certificado en sí es público y se considera infalsificable y, por lo tanto, puede distribuirse de cualquier manera, pero se produce una vinculación asociada a una identidad en el directorio. La vinculación es lo que vincula el certificado a la identidad que afirma estar usando ese certificado. Por ejemplo, el software X.500 que ejecuta Federal Bridge tiene certificados cruzados que permiten la confianza entre las autoridades de certificación.

La simple coincidencia homogénea de nombres de dominio ha dado lugar a ataques de phishing en los que un dominio puede parecer legítimo, pero no lo es.

Si un certificado X.509v3 está vinculado al nombre distinguido de una organización válida dentro del Directorio, entonces se puede hacer una simple verificación con respecto a la autenticidad del certificado mediante una comparación con lo que se presenta al navegador con lo que está presente en el Directorio. .

Existen algunas opciones para verificar a los notarios para ver si un certificado se ha visto recientemente y, por lo tanto, es más probable que se haya comprometido. ^[3] Si es probable que el certificado sea de confianza y está fallando porque el nombre de dominio es una discrepancia leve, inicialmente fallará en el navegador, pero luego estará sujeto al fideicomiso del notario, que luego puede omitir la advertencia del navegador.

Una entrada de organización válida, como o = FoobarWidgets, también tendrá un OID alfanumérico asociado, y ANSI la ha "comprobado de identidad", lo que proporciona otra capa de seguridad con respecto a vincular el certificado a la identidad.

Los acontecimientos recientes (2011) han indicado una amenaza de actores desconocidos en los estados nacionales que han falsificado certificados. Esto se hizo para crear un MITMataque contra activistas políticos en Siria que acceden a Facebook a través de la web. Esto normalmente habría provocado una advertencia del navegador, pero no lo haría si el certificado MITM fuera emitido por una autoridad de certificación válida que ya confía en un navegador u otro software. Stuxnet utilizó ataques similares que permitieron que el software se hiciera pasar por código de confianza. El objetivo de la transparencia del certificado es permitir que un usuario final determine, mediante un procedimiento simple, si un certificado es de hecho válido. La verificación con el paquete predeterminado de certificados puede no ser suficiente para hacer esto y, por lo tanto, se desea una verificación adicional. También se han presentado otras sugerencias para la transparencia de los certificados. ^[4]

Se utilizó un ataque diferente contra Comodo, una autoridad de certificación, que resultó en certificados falsificados que se dirigían a sitios web de comunicaciones de alto perfil. Esto requirió un parche de emergencia para los principales navegadores. Estos certificados en realidad fueron emitidos por una Autoridad de Certificación confiable y, por lo tanto, un usuario no habría recibido ninguna advertencia si hubiera ido a un sitio web falso, en contraste con el incidente de Siria, donde el certificado fue burdamente falsificado, incluida la sustitución de Alto Palo, por Palo. Alto. y números de serie incorrectos.

Algunos proyectos diseñados para intercambiar PHI, información de salud protegida (que se considera altamente sensible a HIPAA ) pueden obtener certificados X.509v3 a través de un registro de recursos CERT DNS, o vía LDAP a un directorio X.500 [2008]. El problema de un vínculo autoritativo se detalla en las RFC relacionadas con la precisión de la información del DNS asegurada mediante la firma desde la raíz utilizando DNSSEC.

El concepto de servidores de nombres raíz ha sido una fuente de gran controversia en la comunidad de Internet, pero para el DNS se ha resuelto en gran medida. Tradicionalmente, se ha pensado que el espacio de nombres asociado con X.500 comienza con una autoridad nacional de nombres, que refleja el enfoque de ISO / ITU para los sistemas globales con representación nacional. Por lo tanto, diferentes países crearán sus propios servicios X.500 únicos. El USX500 se privatizó en 1998, cuando el gobierno de los EE. UU. Ya no ofrecía el registro X.500 o DNS fuera de las agencias gubernamentales conocidas.

El proyecto piloto X.500 ha estado en desarrollo en el espacio comercial, y la tecnología continúa presente en las principales instalaciones de millones de usuarios dentro de los centros de datos corporativos y dentro del gobierno de los Estados Unidos para la acreditación.

Lista de estándares de la serie X.500

Número de ITU-T	Número ISO / IEC	Título de la norma
X.500	ISO / IEC 9594-1	El directorio: descripción general de conceptos, modelos y servicios
X.501	ISO / IEC 9594-2	El directorio: modelos
X.509	ISO / IEC 9594-8	El directorio: marcos de certificados de atributo y clave pública
X.511	ISO / IEC 9594-3	El directorio: definición de servicio abstracto
X.518	ISO / IEC 9594-4	El directorio: procedimientos para la operación distribuida
X.519	ISO / IEC 9594-5	El directorio: especificaciones de protocolo
X.520	ISO / IEC 9594-6	El directorio: tipos de atributos seleccionados
X.521	ISO / IEC 9594-7	El directorio: clases de objetos seleccionados
X.525	ISO / IEC 9594-9	El directorio: replicación
X.530	ISO / IEC 9594-10	El directorio: uso de la gestión de sistemas para la administración del directorio

Crítica

Los autores del RFC 2693 (relativo a SPKI ) señalan que "Es poco probable que el plan X.500 original llegue a buen término. Las colecciones de entradas del directorio ... son consideradas valiosas o incluso confidenciales por los propietarios de las listas y no es probable que sean lanzado al mundo en forma de un subárbol de directorio X.500 ". y que "la idea X.500 de un nombre distinguido (un nombre único globalmente único que todos podrían usar al referirse a una entidad) tampoco es probable que ocurra".

"X.500 es demasiado complejo para admitirlo en computadoras de escritorio y en Internet, por lo que LDAP se creó para brindar este servicio 'para el resto de nosotros'". ^[5]

Ver también

• ISO / IEC JTC 1 / SC 6

Referencias

1. http://www.collectionscanada.gc.ca/iso/ill/document/ill_directory/X_500andLDAP.pdf
2. "Estrategia nacional para identidades confiables en el ciberespacio" .
3. Wendlandt, Dan; Andersen, David G .; Perrig, Adrian (junio de 2008). "Perspectivas: Mejora de la autenticación de host de estilo SSH con sondeo de rutas múltiples" (PDF) . Actas de la Conferencia Técnica Anual de USENIX 2008 : 321–334.
4. "Certificado de transparencia" . www.certificate-transparency.org .
5. ¿Qué es LDAP? . Gracion.com. Consultado el 17 de julio de 2013.

Enlaces externos

• "RFC1485: una representación de cadena de nombres distinguidos" . 1993 . Consultado el 10 de febrero de 2021 . Muchas aplicaciones OSI utilizan nombres distinguidos (DN) tal como se definen en el directorio OSI, comúnmente conocido como X.500 [CCI88]. Esta especificación asume familiaridad con X.500 y el concepto de nombre distinguido.
• Chadwick, DW (1994). "Comprensión de X.500 - El directorio" . Consultado el 6 de diciembre de 2017 .
• X500Standard.com: el sitio de la comunidad X.500 que es tanto una guía para el estándar X.500 como un repositorio para el trabajo existente y nuevo que se está llevando a cabo en el estándar. at the Wayback Machine (archivado el 4 de enero de 2019)