API веб-криптографии

редактировать

Точка доступа веб-криптографии I - это рекомендация Консорциума Всемирной паутины (W3C) для низкоуровневого интерфейса, который повысит безопасность веб-приложений, позволив им выполнять криптографические функции без доступа к исходному материалу ключей. Этот независимый API будет выполнять базовые криптографические операции, такие как хеширование, генерация подписи и проверка и шифрование, а также дешифрование. из веб-приложения.

Содержание

  • 1 Описание
  • 2 Концепция использования API веб-криптографии
    • 2.1 Многофакторная аутентификация
    • 2.2 Защищенный обмен документами
    • 2.3 Облачное хранилище
    • 2.4 Электронная подпись документов
    • 2.5 Защита целостности данных
    • 2.6 Безопасный обмен сообщениями
    • 2.7 Подпись и шифрование объектов JavaScript (JOSE)
  • 3 Соответствие API веб-криптографии
  • 4 Ссылки
  • 5 Внешние ссылки

Описание

Консорциум World Wide Web (W3C) был основан в 1994 году Тимом Бернерсом-Ли, который является первоначальным архитектором World Wide Web. В этот консорциум входят международные компании, работающие в Интернете и всемирной паутине. Его цель - разработать открытые стандарты и предоставить рекомендации, которые позволят Интернету продолжать развиваться в одном направлении, а не распадаться на различные фракции, которые потенциально могут конкурировать друг с другом.

26 января 2017 года W3C выпустил свою рекомендацию по API веб-криптографии, который может выполнять базовые криптографические операции в веб-приложениях. Этот независимый API будет использовать JavaScript для выполнения операций, которые повысят безопасность обмена данными внутри веб-приложений. API предоставит низкоуровневый интерфейс для создания и / или управления открытыми ключами и закрытыми ключами для хеширования, генерации цифровой подписи. и проверка и шифрование и дешифрование для использования с веб-приложениями.

API веб-криптографии можно использовать для самых разных целей, включая:

Поскольку API веб-криптографии не зависит от характера, его можно использовать на любом платформа. Он предоставит общий набор интерфейсов, которые позволят многофункциональным Интернет-приложениям выполнять криптографические функции без необходимости доступа к необработанному материалу ключей. Это будет сделано с помощью интерфейса SubtleCrypto, который определяет группу методов для выполнения вышеуказанных криптографических операций. Дополнительные интерфейсы в API веб-криптографии позволят генерировать ключи, получать ключи, а также импортировать и экспортировать ключи.

Видение использования API веб-криптографии

Спецификация W3C для API веб-криптографии ставит акцент об общих функциях и функциях, которые в настоящее время существуют между платформенно-зависимыми и стандартизованными криптографическими API-интерфейсами, по сравнению с теми, которые известны лишь нескольким реализациям. Рекомендация группы по использованию API веб-криптографии не требует реализации обязательного набора алгоритмов. Это связано с осознанием того, что криптографические реализации будут различаться между соответствующими пользовательскими агентами из-за государственных постановлений, местных политик, правил безопасности и интеллектуальной собственности проблемы.

Существует множество типов существующих веб-приложений, с которыми API веб-криптографии хорошо подходит для использования.

Многофакторная аутентификация

Сегодня многофакторная аутентификация считается одним из самых надежных методов проверки личности пользователя веб-приложения, такого как онлайн-банкинг. Многие веб-приложения в настоящее время зависят от этого метода аутентификации для защиты как пользователя, так и его агента. С API веб-криптографии веб-приложение будет иметь возможность обеспечивать аутентификацию изнутри себя, вместо того, чтобы полагаться на аутентификацию транспортного уровня для секретного ключевого материала для аутентификации доступа пользователя. Этот процесс обеспечит более богатый опыт для пользователя.

API веб-криптографии позволит приложению находить подходящие клиентские ключи, которые были ранее созданы пользовательским агентом или были предварительно предоставлены веб-приложением. Приложение сможет предоставить пользовательскому агенту возможность либо сгенерировать новый ключ, либо повторно использовать существующий ключ в случае, если у пользователя нет ключа, уже связанного с его учетной записью. Связывая этот процесс с Transport Layer Security, через которую проходит аутентификация пользователя, процесс многофакторной аутентификации может быть дополнительно усилен путем получения ключа, основанного на базовом транспорте.

Защищенный обмен документами

API можно использовать для защиты конфиденциальных или конфиденциальных документов от несанкционированного просмотра из веб-приложения, даже если они были ранее безопасно получены. Веб-приложение будет использовать API веб-криптографии, чтобы зашифровать документ секретным ключом, а затем обернуть его открытыми ключами, которые были связаны с пользователями, которым разрешено просматривать документ. После перехода к веб-приложению авторизованный пользователь получит документ, который был зашифрован, и получит указание использовать свой закрытый ключ, чтобы начать процесс развертывания, который позволит им расшифровать и просмотреть документ.

Облако хранилище

Многие компании и частные лица полагаются на облачное хранилище. Для защиты поставщик удаленных услуг может захотеть, чтобы их веб-приложение давало пользователям возможность защищать свои конфиденциальные документы перед загрузкой своих документов или других данных. API веб-криптографии позволит пользователям:

  • выбрать частный или секретный ключ
  • получить ключ шифрования из своего ключа, если они хотят
  • зашифровать свой документ / данные
  • Загрузить свои зашифрованные документы / данные, используя существующие API-интерфейсы поставщика услуг

Электронная подпись документов

Возможность электронной подписи документов экономит время, повышает безопасность важных документов и может служить юридическим доказательством принятие документа пользователем. Многие веб-приложения предпочитают принимать электронные подписи вместо того, чтобы требовать письменных подписей. С API веб-криптографии пользователю будет предложено выбрать ключ, который может быть сгенерирован или предварительно подготовлен специально для веб-приложения. Затем ключ можно было использовать во время операции подписи.

Защита целостности данных

Веб-приложения часто кэшируют данные локально, что подвергает данные риску компрометации в случае автономной атаки. API веб-криптографии позволяет веб-приложению использовать открытый ключ , развернутый внутри него, для проверки целостности кэша данных.

Безопасный обмен сообщениями

API веб-криптографии может повысить безопасность обмена сообщениями для использования в не для записи (OTR) и других типах схем подписания сообщений за счет использования соглашения о ключах. Отправитель сообщения и предполагаемый получатель будут согласовывать общие ключи шифрования и кода аутентификации сообщения (MAC) для шифрования и дешифрования сообщений, чтобы предотвратить несанкционированный доступ.

Подписание и шифрование объектов JavaScript (JOSE)

Интернет API криптографии может использоваться веб-приложениями для взаимодействия с форматами и структурами сообщений, которые определены в рабочей группе JOSE. Приложение может считывать и импортировать ключи JSON Web Signature (JWK), проверять сообщения, защищенные с помощью электронной подписи или ключей MAC, и расшифровывать сообщения JWE.

Соответствие API веб-криптографии

W3C рекомендует поставщикам избегать использования проприетарных расширений для конкретных поставщиков со спецификациями для API веб-криптографии. Это связано с тем, что это может снизить функциональную совместимость API и разбить базу пользователей, поскольку не все пользователи смогут получить доступ к определенному контенту. Если невозможно избежать расширения, зависящего от поставщика, поставщик должен добавить к нему префикс со строками, зависящими от поставщика, чтобы предотвратить конфликты с будущими поколениями спецификаций API.

Ссылки

Внешние ссылки

Последняя правка сделана 2021-06-20 10:28:09
Содержание доступно по лицензии CC BY-SA 3.0 (если не указано иное).
Обратная связь: support@alphapedia.ru
Соглашение
О проекте