Что такое асимметричное шифрование?

Асимметричное шифрование (криптография с открытым ключом)

Асимметричное шифрование — это криптографическая система, которая использует пару математически связанных, но различных ключей: открытый ключ (public key) и закрытый ключ (private key). Это фундаментальное отличие от симметричного шифрования, где для шифрования и расшифрования используется один и тот же секретный ключ.

Основной принцип работы

Математическая основа системы гарантирует, что:

• Данные, зашифрованные открытым ключом, могут быть расшифрованы только соответствующим закрытым ключом.
• Данные, подписанные (зашифрованные) закрытым ключом, могут быть проверены (расшифрованы) соответствующим открытым ключом.

Это создает две основные возможности:

1. Конфиденциальность (Шифрование): Любой отправитель может использовать открытый ключ получателя для шифрования сообщения. Расшифровать его сможет только владелец парного закрытого ключа.

   [Отправитель] -> (Сообение + Публичный ключ B) = Зашифрованный текст -> [Получатель B] -> (Зашифрованный текст + Приватный ключ B) = Исходное сообщение
   

2. Цифровая подпись и аутентификация: Владелец может использовать свой закрытый ключ для создания цифровой подписи данных. Любой, у кого есть открытый ключ, может проверить, что подпись создана именно парным закрытым ключом и данные не были изменены.

   [Отправитель A] -> (Данные + Приватный ключ A) = Цифровая подпись -> [Получатель] -> (Данные + Подпись + Публичный ключ A) = Проверка (Да/Нет)
   

Ключевые алгоритмы

• RSA (Rivest–Shamir–Adleman): Основан на сложности факторизации больших простых чисел. Широко используется для шифрования и цифровых подписей.
• ECC (Elliptic-Curve Cryptography): Обеспечивает аналогичный уровень безопасности, что и RSA, но с существенно меньшими размерами ключей, что повышает эффективность. Часто используется в мобильных устройствах и системах с ограниченными ресурсами.
• DSA (Digital Signature Algorithm): Используется specifically для создания и проверки цифровых подписей, а не для шифрования.
• Diffie-Hellman: Алгоритм для безопасного обмена симметричными ключами через незащищенный канал. Позволяет двум сторонам совместно выработать общий секретный ключ, не передавая его по сети.

Практическое применение в DevOps и IT-инфраструктуре

• SSH (Secure Shell): Доступ к серверам. Пара ключей SSH (часто RSA или Ed25519, основанный на ECC) используется для аутентификации без пароля.

  # Генерация пары ключей SSH (RSA)
  ssh-keygen -t rsa -b 4096 -C "devops@company.com"
  

    Открытый ключ (`id_rsa.pub`) размещается на сервере, закрытый (`id_rsa`) хранится у пользователя.

• TLS/SSL (HTTPS): Защита веб-трафика. Сервер предоставляет свой SSL-сертификат (содержащий открытый ключ) браузеру для установления безопасного соединения. Используется гибридная модель: асимметричное шифрование для аутентификации и обмена симметричным сессионным ключом, которым затем шифруется весь трафик.

• Кодовые репозитории (Git): Подписывание коммитов и тегов с помощью GPG (реализация PGP). Это гарантирует, что изменения были внесены авторизованным лицом.

  # Настройка подписи коммитов в Git
  git config --global user.signingkey ABCD1234EF56
  git commit -S -m "Ваш подписанный коммит"
  

• Управление секретами и инфраструктурой: Такие инструменты, как HashiCorp Vault или Ansible Vault, используют асимметричное шифрование для защиты чувствительных данных (паролей, токенов, сертификатов) при их хранении и передаче.

• Контейнерные образы: Системы подписи образов, например Docker Content Trust (Notary), используют цифровые подписи для верификации целостности и авторства контейнерных образов перед их развертыванием.

Преимущества и недостатки

Преимущества:

• Решает проблему распределения ключей: Открытый ключ можно свободно распространять.
• Обеспечивает цифровые подписи и неотрекаемость.
• Позволяет организовать безопасную коммуникацию в системах с большим количеством участников (например, N пользователей требуют 2N ключей против N*(N-1)/2 в симметричной схеме).

Недостатки:

• Вычислительная сложность: Алгоритмы на порядок медленнее симметричного шифрования (AES, ChaCha20).
• Уязвимость к атакам на квантовых компьютерах (для текущих алгоритмов).

Итог: В современных DevOps-практиках асимметричное шифрование является краеугольным камнем безопасности, обеспечивая базис для аутентификации, защиты данных в transit и at rest, а также для создания доверенных цепочек поставки программного обеспечения (Software Supply Chain Security). Оно почти никогда не используется для шифрования больших объемов данных напрямую, а работает в симбиозе с симметричным шифрованием, образуя гибридные криптосистемы.