Книга: Инфраструктуры открытых ключей

Масштабируемость решения

Масштабируемость решения

Функционирование системы PKI так или иначе затрагивает многие ресурсы (персонал, аппаратное и программное обеспечение), поэтому нельзя не учитывать, что с течением времени масштаб системы может существенно возрасти. Очевидно, что разнообразие практических реализаций PKI не позволяет предложить готовое решение поддержки масштабируемости, но тем не менее можно выделить "узкие места" функционирования системы, влияющие на ее расширяемость >[116]:

* генерация ключей;

* хранение сертификатов;

* поддержка списков САС;

* управление жизненным циклом сертификатов и ключей.

Генерация пар ключей требует значительных вычислительных ресурсов; если она выполняется централизованно, то существенно увеличивает рабочую нагрузку на сервер УЦ, так как параллельно с ней происходит выпуск и подписание сертификатов, выполняются криптографические операции, организуется хранение информации в локальной базе данных. Поэтому более рациональным способом обеспечения масштабируемости считается генерация пар ключей пользователями, позволяющая одновременно решить проблему распространения ключей.

Сертификаты обычно хранятся в общедоступном каталоге. В большинстве случаев поддерживается централизованный универсальный каталог (LDAP), для которого сертификаты являются не единственным объектом обслуживания. Для уменьшения рабочей нагрузки на каталог сертификаты и другая информация могут храниться в кэш-памяти приложений (быстродействующей буферной памяти). Этот способ повышения производительности и масштабируемости в целом достаточно эффективен, но требует документального закрепления в политике PKI ограничений на срок хранения сертификатов в кэш-памяти, в течение которого сертификаты остаются действительными.

Для функционирования PKI чрезвычайно важна поддержка списков САС. Следует учитывать, что выбор такого способа проверки статуса сертификатов, как онлайновая верификация, значительно повышает требования к производительности сервера каталогов, поэтому система УЦ должна выдерживать дополнительную нагрузку при возрастании числа пользователей PKI. Кроме того, для нормального функционирования PKI крайне нежелательно совпадение дат окончания срока действия одновременно многих сертификатов и ключей, поэтому их генерация и возобновление должны происходить непрерывно, а не привязываться к определенной дате. Это требование иногда бывает трудно выполнимо, например, в образовательной среде, когда требуется составить список и выдать сертификаты многим учащимся в течение относительно короткого периода времени. Кроме того, при проектировании PKI и организации ее базы данных необходимо учитывать ежедневные часы пиковой нагрузки в работе системы.

Итак, в связи с тем, что организация может расти с течением времени и может расширяться круг ее поставщиков и клиентов, ей важно выбрать масштабируемое PKI-решение, позволяющее управлять большим количеством сертификатов. Предварительно оценивая количество сертификатов, которые будут обслуживаться PKI, следует учитывать, что каждый субъект обычно нуждается не в одном, а во многих сертификатах, поскольку сертификаты имеют разное назначение, могут быть потеряны или просрочены. Таким образом, пользователю необходимо иметь по крайней мере 2-3 сертификата для каждого приложения. Кроме того, масштаб развертывания зависит от количества сертификатов, которое может выпустить PKI за короткий период времени (например, сотни или тысячи сертификатов). В этом случае лучшей стратегией является планирование максимально возможного масштаба, но реализация реально необходимого варианта.

Проблемы масштабирования связаны не только с выпуском сертификатов УЦ, но и с функционированием РЦ. С возрастанием количества сертификатов, которыми необходимо управлять, повышается нагрузка на РЦ. Кроме того, масштабируемость зависит от системы каталога и возможностей базы данных - именно они используются для хранения, поиска и проверки статуса сертификатов. Поэтому, когда речь идет о большом количестве сертификатов (например, заверенных ключом корневого сертификата УЦ в масштабе страны), предлагаемая система организации и управления данными действительно критически важна.

Оглавление книги