7.1. Vertrauende Partei
7.1. Vertrauende Partei
Dieses Dokument behandelt Szenarien, in denen eine vertrauende Partei einem Verifizierer vertraut, der die Vertrauenswürdigkeit von Informationen über einen Attester bewerten kann. Ein solches Vertrauen wird durch das Speichern eines oder mehrerer "Vertrauensanker" an einem sicheren Ort ausgedrückt, der als "Vertrauensankerspeicher" bezeichnet wird.
Wie in [RFC6024] definiert:
Ein Vertrauensanker repräsentiert eine autoritative Entität über einen öffentlichen Schlüssel und zugehörige Daten. Der öffentliche Schlüssel wird zur Überprüfung digitaler Signaturen verwendet, und die zugehörigen Daten werden verwendet, um die Arten von Informationen einzuschränken, für die der Vertrauensanker autoritativ ist.
Der Vertrauensanker kann ein Zertifikat sein oder es kann ein roher öffentlicher Schlüssel zusammen mit zusätzlichen Daten bei Bedarf sein, wie z.B. dessen öffentlicher Schlüsselalgorithmus und Parameter. Im Kontext dieses Dokuments kann ein Vertrauensanker auch ein symmetrischer Schlüssel sein, wie in [TCG-DICE-SIBDA] oder im symmetrischen Modus beschrieben in [RATS-PSA-TOKEN].
Somit kann das Vertrauen in einen Verifizierer dadurch ausgedrückt werden, dass die vertrauende Partei den Schlüssel oder das Zertifikat des Verifizierers in ihrem Vertrauensankerspeicher speichert. Es kann auch dadurch ausgedrückt werden, dass der öffentliche Schlüssel oder das Zertifikat einer Entität (z.B. einer Zertifizierungsstelle) gespeichert wird, die sich im Zertifikatspfad des Verifizierers befindet. Beispielsweise kann die vertrauende Partei überprüfen, dass der Verifizierer der erwartete ist, indem sie Schlüsselmaterial außerhalb des Übertragungsbands etabliert und ein Protokoll wie TLS zur Kommunikation verwendet. Es wird angenommen, dass der Verifizierer zwischen der Etablierung des vertrauenswürdigen Schlüsselmaterials und der Erstellung der Beweise nicht kompromittiert wurde.
Für ein höheres Sicherheitsniveau kann die vertrauende Partei verlangen, dass der Verifizierer zuerst Informationen über sich selbst bereitstellt, die die vertrauende Partei verwenden kann, um die Vertrauenswürdigkeit des Verifizierers zu bewerten, bevor sie dessen Attestierungsergebnisse akzeptiert. Ein solcher Prozess würde ein höheres Maß an Vertrauen in die Korrektheit der bereitgestellten Informationen bieten, wie z.B. die Überzeugung, dass der authentische Verifizierer nicht durch Malware kompromittiert wurde.
Zum Beispiel wäre eine explizite Möglichkeit für eine vertrauende Partei "A", ein solches Vertrauen in die Korrektheit eines Verifizierers "B" zu etablieren, dass B zuerst als Attester fungiert, wobei A als kombinierter Verifizierer/vertrauende Partei fungiert. Wenn A dann B als vertrauenswürdig akzeptiert, kann es wählen, B als Verifizierer für andere Attester zu akzeptieren.
Ähnlich muss die vertrauende Partei auch dem Eigentümer der vertrauenden Partei vertrauen, um dessen Bewertungsrichtlinie für Attestierungsergebnisse bereitzustellen, und in einigen Szenarien kann die vertrauende Partei sogar verlangen, dass der Eigentümer der vertrauenden Partei ein Remote-Attestierungsverfahren mit ihr durchläuft, bevor die vertrauende Partei eine aktualisierte Richtlinie akzeptiert. Dies kann auf ähnliche Weise erfolgen, wie eine vertrauende Partei Vertrauen in einen Verifizierer etablieren könnte, wie oben diskutiert, d.h. durch Überprüfung von Anmeldeinformationen gegen einen Vertrauensankerspeicher und optionales Anfordern von Attestierungsergebnissen vom Eigentümer der vertrauenden Partei.