Από την εποχή του Ιουλίου Καίσαρα μέχρι τον Δεύτερο Παγκόσμιο Πόλεμο και το σύγχρονο επιχειρείν της δικτυωμένης και συνδεδεμένης παγκόσμιας οικονομίας, η "κρυφή επικοινωνία" αποτελεί ένα ισχυρό όπλο στον πόλεμο για την ασφάλεια. Η πρώτη καταγεγραμμένη και οργανωμένη χρήση της κρυπτογραφίας ήταν κατά τη διάρκεια της εποχής της κυριαρχίας του Ιούλιου Καίσαρα, στα πρώτα χρόνια της Ρωμαϊκής Αυτοκρατορίας...

Ο Ιούλιος Καίσαρας είχε αναγνωρίσει τη σημασία της κρυφής επικοινωνίας για την επιτυχημένη διαχείριση των πολιτικών και στρατιωτικών δομών και διαδικασιών της αυτοκρατορίας. Μέσα στην ιστορία, το θέμα της κρυπτογραφίας ξεδιπλώθηκε με πολλές διαφορετικές μορφές κρυφών επικοινωνιών για μία ευρεία ποικιλία σκοπών και επιδιώξεων.

Αλλά την ανάγκη για κρυφές επικοινωνίες, ακολουθεί και η ανάγκη για αποτελεσματική διαχείριση των αντίστοιχων κρυπτογραφικών κλειδιών, και τα πιο επιτυχημένα συστήματα για κρυφές επικοινωνίες έχουν υπάρξει αυτά που με το πιο αποτελεσματικό key management. Αντιστρόφως, κάποιες από τις πιο γνωστές αποτυχίες των κρυφών επικοινωνιών έχουν προκύψει, τουλάχιστον κατά ένα μεγάλο μέρος, εξαιτίας των αδυναμιών στη διαχείριση των κλειδιών (key management) -το πρόγραμμα Ultra, η βρετανική προσπάθεια να εκμεταλλευτεί το Γερμανικό Αίνιγμα κατά το δεύτερο παγκόσμιο πόλεμο είναι ίσως τα πλέον γνωστά παραδείγματα.

Ηδη, από τις αρχές της δεκαετίας του 70, η κρυπτογραφία έχει διαδραματίσει ένα ολοένα και σημαντικότερο ρόλο στην προστασία τόσο εμπορικών όσο και προσωπικών, και όχι μόνο υψηλού επιπέδου στρατιωτικών και πολιτικών, επικοινωνιών. Και αυτό αποτέλεσε ένα σημαντικό παράγοντα στην ανάπτυξη αυτού που πλέον αποκαλούμε ηλεκτρονικό εμπόριο.

Η ανάπτυξη του e-commerce και η συνδεδεμένη με αυτό κρυπτογραφία δημιουργεί σχετικά καινούργιες προκλήσεις στις οποίες πρέπει να ανταποκριθούν οι εταιρείες. Η τυπική υλοποίηση της κρυπτογραφίας υπήρξε μέχρι πρόσφατα η τοποθέτηση προστατευτικών τειχών (walls) είτε γύρω από το κανάλι μετάδοσης (transmission channel), για τα επικοινωνούντα δεδομένα, είτε γύρω από το μέσο αποθήκευσης, για τα «κοιμώμενα» δεδομένα. Για να προσφερθεί αυτή η προστασία, είναι σύνηθες οι διαφορετικές και διάσπαρτες end-point λύσεις να αναπτύσσονται για να αντιμετωπίσουν αυτά που θεωρούνται απομονωμένα προβλήματα.

Δυστυχώς, αυτή η ασύνδετη προσέγγιση ασφάλειας στις end-point λύσεις (VPN, TLS, encrypting HD, tape & HD storage encryptors, κ.λπ.) καθιστούν δύσκολο για τους επαγγελματίες της εταιρικής ασφάλειας να αντιστοιχήσουν την ασφάλεια με τα δεδομένα σε διαφορετικές τοποθεσίες και με διαφορετικούς κύκλους ζωής.
Πώς λοιπόν μια εταιρεία διαχειρίζεται την ασφάλεια και την κρυπτογράφηση, ειδικότερα, σε ένα καθεστώς πολλών ασύνδετων σετ κανόνων για την ασφάλεια;

Σύμφωνα με τη μελέτη «An Enterprise Guide to Understanding Key Management», του SafeNet, οι εταιρείες θα πρέπει να μεταφέρουν την εστίαση της κρυπτογράφησης και του key management από την προστασία των μέσων μετάδοσης και αποθήκευσης στην προστασία της πληροφορίας αυτής καθαυτής, καθώς αυτός είναι ο πλέον αποτελεσματικός τρόπος μια εταιρεία να ανταποκριθεί στις απαιτήσεις για ασφάλεια τόσο στο παρόν όσο και στο μέλλον.

Η μετάβαση από μία technology-driven προσέγγιση, εστιασμένη στις μεμονωμένες end-point λύσεις, σε μία policy-driven προσέγγιση που παρέχει το αναγκαίο πλαίσιο κρυπτογράφησης (ανεξάρτητα από τις λεπτομέρειες των end-point λύσεων), θα εφοδιάσει την επιχείρηση με ισχυρό key management και θα την κάνει ικανή να αντιμετωπίσει τις ανάγκες ασφάλειας που προκύπτουν από την ίδια τη φύση του e-commerce, τις πολλαπλές εφαρμογές, τους συνεργάτες και τους πελάτες που έχουν πρόσβαση στο εταιρικό δίκτυο.


Ψηφιακή προστασία όπως φυσική προστασία
Οι υπηρεσίες κρυπτογράφησης υποστηρίζουν τη μετάβαση για την ψηφιακή αναγνώριση των ατόμων, τον έλεγχο πρόσβασης (access control), καθώς και λειτουργίες audit. Η διαχείριση των κρυπτογραφικών κλειδιών που χρησιμοποιούνται για να παρέχουν αυτές τις υπηρεσίες είναι ο ακρογωνιαίος λίθος για τον καθορισμό και την ενίσχυση των ελέγχων ασφάλειας στον σύγχρονο, ψηφιακό κόσμο – κλειδιά ανάλογα με αυτά του «πλίνθινου και τσιμεντένιου» κόσμου.

Για παράδειγμα:

  • Ενα κρυπτογραφικό κλειδί χρησιμοποιείται για να κλειδώσει και να ξεκλειδώσει κρυπτογραφημένη προστασία δεδομένων, ακριβώς όπως τα φυσικά κλειδιά κλειδώνουν και ξεκλειδώνουν μία κλειδαριά που προστατεύει φυσικά αντικείμενα.
  • Στον ψηφιακό κόσμο, τα ασύμμετρα ζεύγη κλειδιών παρέχουν μία ενδιαφέρουσα «διαστροφή» στην αναλογία της κλειδαριάς, προσφέροντας το αντίστοιχο της «σφραγίδας». Ο αποστολέας κλειδώνει την πληροφορία, χρησιμοποιώντας ένα μυστικό κλειδί το οποίο είναι γνωστό ότι ανήκει μόνο σε εκείνον/ εκείνη. Ο παραλήπτης είναι σίγουρος για την ταυτότητα του αποστολέα σαν αποτέλεσμα του ξεκλειδώματος της πληροφορίας με τη χρήση ενός κοινώς διαθέσιμου κλειδιού που απαντά μόνο στο προσωπικό, μυστικό κλειδί του αποστολέα.
  • Η πράξη της παροχής ενός κλειδιού σε ένα μεμονωμένο άτομο του ή της παραχωρεί πρόσβαση σε προστατευμένους πόρους – η ίδια αρχή έχει εφαρμογή τόσο στους φυσικούς όσο και στους ψηφιακούς πόρους.
  • Οι έλεγχοι ασφάλειας στην πρόσβαση στα κλειδιά μπορούν να χρησιμοποιηθούν σαν πληρεξούσιο για ελέγχους στην πρόσβαση σε προστατευόμενους πόρους.
  • Τα ζεύγη κλειδιών και τα ψηφιακά πιστοποιητικά παρέχουν ένα μέσο για πιστοποίηση της ταυτότητας του ατόμου, ανάλογο με αυτό μίας φυσικής ταυτότητας που φέρει τη φωτογραφία του/της.

Οι αποφάσεις σχετικά με το ποιοι έλεγχοι ασφάλειας θα χρησιμοποιηθούν, συνήθως ξεκινάει από μία πολιτική ασφάλειας. Η πολιτική ασφάλειας μπορεί να είναι επίσημη, σχεδιασμένη να ανταποκρίνεται στην πιο αυστηρή επιτήρηση. Κανείς μπορεί να περιμένει κάτι τέτοιο για στρατιωτικά ή άλλα κυβερνητικά συστήματα, ή ίσως, ακόμη, και για μεγάλους χρηματοοικονομικούς οργανισμούς.

Εναλλακτικά, η πολιτική ασφάλειας θα μπορούσε απλά να εκφράζεται εν δυνάμει στον τρόπο με τον οποίο ο οργανισμός έχει οργανώσει τους ελέγχους ασφάλειάς του. Είτε είναι ρητή και επίσημη ή συνεπαγόμενη και ανεπίσημη, και είτε υπάρχει στον φυσικό κόσμο ή στον ψηφιακό κόσμο, υπάρχουν μερικές βασικές πλευρές που πρέπει να ληφθούν υπόψη στην ανάπτυξη οποιασδήποτε πολιτικής ασφάλειας.

Τα θεμελιώδη στοιχεία που πρέπει να ληφθούν υπόψη στο σχεδιασμό μιας αποτελεσματικής εταιρικής πολιτικής ασφάλειας είναι:

  • Καθορισμός (χρήστες και συσκευές) της οντότητας – ποιος και τι καλύπτεται;
  • Πιστοποίηση (authentication) – πώς αποδεικνύεται η ταυτότητα;
  • Ρόλοι – πώς ομαδοποιούνται οι χρήστες για λόγους εξουσιοδότησης (authorization);
  • Καθορισμός και ταξινόμηση των πόρων και κεφαλαίων – τι καλύπτεται και πώς κατηγοριοποιείται γενικότερα σύμφωνα με τις ανάγκες προστασίας;
  • Εξουσιοδότηση – ποιος επιτρέπεται να έχει πρόσβαση σε τι και μέσω ποιας μεθόδου πρόσβασης;
  • Ευθύνη (accountability) – συσχετίζοντας μία λειτουργία αποκλειστικά με μία οντότητα.

Τα βασικά της κρυπτογραφίας
Ας πάρουμε τα πράγματα από την αρχή και ας προσπαθήσουμε να δούμε περιληπτικά τις βασικές ιδέες πίσω από την κρυπτογραφία καθώς και τη σχετική ορολογία.

Η συμμετρική κρυπτογραφία χρησιμοποιείται κυρίως για απόκρυψη (encryption)/ αποκωδικοποίηση (decryption) για να παρέχει υπηρεσίες εμπιστευτικότητας. Μπορεί επίσης να χρησιμοποιηθεί με message digest για να παρέχει πιστοποίηση και υπηρεσίες ακεραιότητας.

Οπως υπονοεί και το όνομα, η συμμετρική κρυπτογραφία απαιτεί ότι τόσο ο αποστολέας όσο και οι δυνητικοί παραλήπτες να μοιράζονται το ίδιο κλειδί, το οποίο πρέπει να κρατηθεί κρυφό από όλους όσοι συμμετέχουν στην επικοινωνία. Το ίδιο συμμετρικό κλειδί χρησιμοποιείται από τον αποστολέα για να «αποκρύψει» ένα μήνυμα και από τον παραλήπτη/ τους παραλήπτες για να αποκωδικοποιήσουν το μήνυμα.

Σε ένα σενάριο επικοινωνίας πολλοί-προς-πολλούς, το key management μπορεί να γίνει εξαιρετικά επιβαρυντικό από τη στιγμή που ο αριθμός των συμμετρικών κλειδιών που υπόκεινται διαχείρισης από κάθε μέλος τους δικτύου αυξάνεται με γεωμετρικούς ρυθμούς. Το γεγονός ότι κάθε κλειδί πρέπει να περιορίζεται στο concept που έχει αποκρύψει, αλλά ταυτόχρονα να είναι προστατευμένο ώστε μόνο τα εξουσιοδοτημένα άτομα να μπορούν να έχουν πρόσβαση συμπληρώνει το πρόβλημα του key management.

Σε πολλές περιπτώσεις, η πρόσβαση στα συμμετρικά κλειδιά ελέγχεται με βάση τις ατομικές ανάγκες ή την εξουσιοδότηση για πρόσβαση σε συγκεκριμένες πληροφορίες. Ως τέτοιες, πρέπει να μπορούν να μεταφερθούν με ασφάλεια από μία οντότητα (άνθρωπος, εφαρμογή ή συσκευή) σε μία άλλη σύμφωνα με την πολιτική ασφάλειας του οργανισμού και τα δικαιώματα πρόσβασης κάθε οντότητας. Οπως θα δούμε παρακάτω, η χρήση ασύμμετρων ζευγών κλειδιών σε μία δημόσια υποδομή κλειδιών – public key infrastructure (PKI) παρέχει ένα κλιμακωτό τρόπο για να επιτρέψει το μοίρασμα των κλειδιών.

Το PKI, ωστόσο, δεν είναι η μόνη λύση και μπορεί να μην είναι και η βέλτιστη λύση, με δεδομένες τις επιχειρηματικές ανάγκες και το περιβάλλον Πληροφορικής κάθε εταιρείας. Μία σειρά από άλλες προσεγγίσεις στο συμμετρικό key management υλοποιούνται για πολλά χρόνια και συνεχίζουν να χρησιμοποιούνται σήμερα.

Συχνά, είναι καλύτερο, από την άποψη της πολιτικής ασφάλειας, της απόδοσης και της διαθεσιμότητας, να κρατούνται τα συμμετρικά κλειδιά προστατευμένα σε ένα κεντρικό key management σύστημα και να παρέχονται στις τελικές οντότητες καθώς παραχωρούνται και επιβεβαιώνονται τα δικαιώματα πρόσβασης. Σε αυτή την περίπτωση, το σύστημα key management λειτουργεί τόσο ως μία μακροπρόθεσμη αποθήκη κλειδιών για τον οργανισμό όσο και ως σημείο εκκίνησης για την ενίσχυση της πολιτικής ασφάλειας.

Η ασύμμετρη (δημόσια κλειδιά) κρυπτογραφία βασίζεται σε ζεύγη κλειδιών – ένα ιδιωτικό (το οποίο κρατείται μυστικό από το δημιουργό του) και ένα κοινό/ δημόσιο (public). Ο πλέον διάσημος ασύμμετρος αλγόριθμος είναι γνωστός με τα αρχικά των δημιουργών του – RSA από τους Rivest, Shamir και Adelman. Στην αρχική του μορφή, το δημόσιο κλειδί του προοριζόμενου παραλήπτη χρησιμοποιείται για να αποκρύψει ένα μήνυμα και ο παραλήπτης χρησιμοποιεί το δικό του/ της ιδιωτικό κλειδί για να αποκρυπτογραφήσει/ αποκωδικοποιήσει το μήνυμα.

Στην αρχή της ανάπτυξης του RSA, ωστόσο, συνειδητοποιήθηκε ότι το επεξεργαστικό μοντέλο θα μπορούσε να αντιστραφεί για να επιτρέψει στον αποστολέα να αποκρύψει/ κωδικοποιήσει ένα μήνυμα χρησιμοποιώντας το ιδιωτικό του κλειδί και ότι οποιοσδήποτε το λάμβανε θα μπορούσε να αποκρυπτογραφήσει το μήνυμα χρησιμοποιώντας το ανταποκρινόμενο δημόσιο κλειδί. Καθώς το ιδιωτικό κλειδί κρατείται μυστικό από το δημιουργό του, η απόκρυψη με ένα ιδιωτικό κλειδί θα μπορούσε να δημιουργήσει τα θεμέλια για μία ψηφιακή υπογραφή – κάτι που αποτελεί σήμερα την πιο γνωστή χρήση της ασύμμετρης κρυπτογραφίας.

Τα ασύμμετρα ζεύγη κλειδιών είναι συνήθως χρεωμένα σε μία ταυτότητα -άτομο ή σύστημα- και μπορούν να χρησιμοποιηθούν για εγγραφή και πιστοποίηση και κωδικοποίηση/ αποκωδικοποίηση για key transport. Στην περίπτωση του key transport, τα ασύμμετρα κλειδιά δεν χρησιμοποιούνται απευθείας για την απόκρυψη δεδομένων, αλλά μάλλον για να προστατέψουν ένα συμμετρικό κλειδί που χρησιμοποιείται για την κρυπτογράφηση των δεδομένων και, σε κάποιες εφαρμογές, δεσμεύει ένα συμμετρικό κλειδί σε ένα άτομο (κρυπτογραφόντας το κάτω από ένα δημόσιο κλειδί χρήστη).

Ενα κλειδί εγγραφής/ υπογραφής δεν πρέπει ποτέ να αφήνει τον έλεγχο του ατόμου ή του συστήματος που εκτελεί την εγγραφή. Αυτή είναι η φιλοσοφία πίσω από τις HSM στρατηγικές backup που δυναμικά δεσμεύουν ένα ασύμμετρο κλειδί σε ένα συγκεκριμένο HSM domain, αντιπροσωπεύοντας την εξουσία ή τη σφαίρα ελέγχου ενός υπογράφοντα.


Αναζητώντας τον κλειδοκράτορα
Η διαχείριση των κλειδιών (key management) είναι ένα ευρύ concept με μία ποικιλία διαφορετικών προσεγγίσεων υλοποίησης με βάση τις ανάγκες της επιχειρηματικής εφαρμογής ή της κοινότητας χρηστών. Ανεξάρτητα από το ποια μορφή παίρνει το key management, δεν μπορεί να «σταθεί» μόνο του και πρέπει να ερμηνευτεί μέσα στο πλαίσιο της υποστήριξης ενός υψηλότερου επιπέδου εταιρικής πολιτικής ασφάλειας.

Το εταιρικό key management μπορεί να αντιμετωπιστεί ως το μέσο μετάφρασης της εταιρικής πολιτικής ασφάλειας σε όρους που θα ταιριάζουν με τις υπηρεσίες κρυπτογράφησης που χρησιμοποιούνται στην υλοποίηση της πολιτικής ασφάλειας ή μέρους αυτής.

Στην πιο γενική του μορφή, το εταιρικό key management μπορεί να «σπάσει» στις παρακάτω high-level επιδιώξεις:
Secure Key Lifecycle: Παρέχει τα μέσα για τη διασφάλιση της ασφάλειας των κλειδιών σε όλο τον κύκλο ζωής τους, ενώ υπόκεινται σε λειτουργίες όπως:

  • Δημιουργία κλειδιών και ζευγών κλειδιών
  • Μεταφορά και μοίρασμα κλειδιών
  • Backup κλειδιών και ανάκτηση από τα backup
  • Παρακολούθηση και έλεγχος της χρήσης των κλειδιών και των ζευγών κλειδιών
  • Rotation κλειδιών, ανανέωση ή roll-over
  • Συντήρηση των meta-data (για παράδειγμα, αλλαγή του status από κρυπτογράφηση/αποκρυπτογράφηση σε αποκρυπτογράφηση μόνο και
  • Ασφαλή καταστροφή κλειδιών ή αρχειοθέτηση στο τέλος της ζωής της υπηρεσίας του κλειδιού.

Secure Key Storage: Τα κλειδιά πρέπει να αποθηκεύονται με ασφάλεια στο σύνολο της λειτουργικής τους ζωής. Οι λεπτομέρειες που αφορούν στα μέσα αποθήκευσης και τις απαιτήσεις προστασίας εξαρτώνται κατά πολύ από τους ρόλους των κλειδιών στην υποστήριξη των διάφορων στοιχείων της πολιτικής ασφάλειας. Τα κλειδιά συχνά αποθηκεύονται σε συσκευές hardware που τα προστατεύουν. Παραδείγματα τέτοιων συσκευών είναι τα identity tokens (smartcards, USB tokens)? ασφαλή platform modules σε desktop υπολογιστές? εμπεδωμένα modules σε συσκευές με συγκεκριμένο σκοπό (για παράδειγμα tape/ disk drives) και, φυσικά σε hardware security modules.

Key Usage Authorization: Κατάλληλα μέτρα πρέπει να παρέχονται προκειμένου να διασφαλιστεί ότι τα κλειδιά μπορούν να χρησιμοποιηθούν μόνο για τους επιλεγμένους λόγους από εξουσιοδοτημένες οντότητες και ότι η εξουσιοδοτημένη πρόσβαση στα κλειδιά δεν μπορεί να εμποδιστεί από άλλους. Ο έλεγχος της πρόσβασης, η πιστοποίηση των χρηστών και η προστασία της εμπιστευτικότητας είναι όλες κρίσιμες επιδιώξεις στις οποίες μια εταιρεία πρέπει να ανταποκριθεί.

Accountability: Είναι σημαντικό να δημιουργηθούν και να διατηρηθούν καταγραφές και αρχεία όλων των καταστάσεων αλλαγών, χρήσης ή απόπειρας χρήση των υλικών των κλειδιών. Τα αρχεία πρέπει να συμμορφώνονται με τις κανονιστικές απαιτήσεις για το security audit και να είναι επαρκείς ώστε να διασφαλίζουν το non-repudiation.

Εξαιτίας της σημασίας που έχουν αυτοί οι υψηλοί στόχοι ασφάλειας, πολλές εταιρείες επιλέγουν τα core components των key management συστημάτων τους να είναι πιστοποιημένα σύμφωνα με αναγνωρισμένα standards και σχήματα πιστοποίησης.


Τα εν οίκω… της Ελένης και του Δημήτρη
Οι καλές κρυπτογραφικές μέθοδοι μας διασφαλίζουν ότι μπορούμε να κρατάμε τα μυστικά μας… μυστικά από άλλους. Αυτό σημαίνει ότι τα κρυπτογραφημένα αρχεία του Δημήτρη και της Ελένης παραμένουν ιδιωτικά ανάμεσά τους όσο καιρό το κρυφό τους κλειδί μένει κρυφό.

Οι σύγχρονοι κρυπτογράφοι χρησιμοποιούν τον όρο εμπιστευτικότητα (confidentiality) για να δηλώσουν ότι τα κρυπτογραφημένα μυστικά σας δεν θα είναι διαθέσιμα σε μη εξουσιοδοτημένους χρήστες. Τι περιλαμβάνει όμως τι περιλαμβάνει αυτή η έννοια της εμπιστευτικότητας, καθώς και τρεις άλλες απαραίτητες εγγυήσεις για τα ηλεκτρονικά δεδομένα – πιστοποίηση (authentication), ακεραιότητα (integrity) και non-repudiation (μη αποκήρυξη).

Εμπιστευτικότητα
Ας υποθέσουμε ότι η Ελένη και ο Δημήτρης έχουν μία real estate εταιρεία. Οσο ο Δημήτρης ταξιδεύει, ανταλλάσει με την Ελένη τόσο επαγγελματικά όσο και… ερωτικά μηνύματα κρυπτογραφημένα με το δικό τους μυστικό κλειδί. Η ισχυρή κρυπτογραφία βοηθάει την Ελένη και τον Δημήτρη να νιώθουν σίγουροι ότι διατηρείται η ιδιωτικότητά τους (privacy) καθώς μόνο κάποιος που έχει το μυστικό τους κλειδί μπορεί να βγάλει νόημα από τα μεταξύ τους ηλεκτρονικά μηνύματα.
Η ισχυρή κρυπτογραφία επίσης διασφαλίζει την εμπιστευτικότητα του κρυπτογραφημένου αρχείου που είναι αποθηκευμένο στο δίσκο του υπολογιστή – μόνο εκείνοι με τους οποίους μοιραζόμαστε το μυστικό κρυπτογραφικό κλειδί μπορεί να αποκρυπτογραφήσει και να κατανοήσει το περιεχόμενο.

Αλλά η εμπιστευτικότητα δεν είναι αρκετή εγγύηση για την ασφάλεια των επικοινωνιών σας. Ακόμα και πριν στείλετε ή λάβετε μία κρυπτογραφημένη πληροφορία σε ή από έναν άλλο υπολογιστή, θα πρέπει να ξέρετε ότι το άτομο στην άλλη πλευρά είναι αυτός ή αυτή που υποστηρίζει ότι είναι (authentication). Επίσης πρέπει να ξέρετε ότι το λογισμικό που κατεβάζετε δεν έχει «αλλοτριωθεί» κατά τη διάρκεια του ταξιδιού του σε σας (integrity). Και επίσης, πιθανότατα, θα θέλατε κάποια εγγύηση ότι ο χρηματιστής σας για παράδειγμα δεν θα μπορεί να αρνηθεί ότι έλαβε την εντολή να «πουλήσει» πριν η τιμή της μετοχής πέσει.

Παρομοίως, εκείνος από την πλευρά του θα θέλει εγγυήσεις ότι εσείς δεν θα αρνηθείτε ότι του δώσατε εντολή να αγοράσει για λογαριασμό σας μια μετοχή «φούσκα» (non-repudiation).

Πιστοποίηση
Τα κοινά μυστικά κλειδιά μπορούν επίσης να χρησιμοποιηθούν για να πιστοποιήσουν credentials. Η κρυπτογραφική πιστοποίηση εγγυάται στην Ελένη ότι η ηλεκτρονική της επαφή είναι πραγματικά ο Δημήτρης και όχι κάποιος άλλος που έχει «μεταμφιεστεί» σε Δημήτρη – εκτός αν ο «τραβεστί» Δημήτρης έχει κλέψει ένα αντίγραφο των κλειδιών της Ελένης και του Δημήτρη.

Ακεραιότητα
Η πιστοποίηση (authentication) εγγυάται στην Ελένη ότι κανείς δεν υποκρίνεται ότι είναι ο Δημήτρης. Η αρχή της ακεραιότητας εγγυάται στην Ελένη ότι κανείς δεν μπορεί να αλλάξει το μήνυμα του Δημήτρη χωρίς τουλάχιστον να ανιχνευτεί και εντοπιστεί. Η πιστοποίηση και η ακεραιότητα είναι πολύ στενά συνδεδεμένα – η ακεραιότητα συχνά αναφέρεται ως η πιστοποίηση του μηνύματος.

Non-repudiation
Σε έναν κόσμο συζυγικής αρμονίας και τέλειων ανθρώπων, η Ελένη ποτέ δεν θα αρνιόταν ή θα ξεχνούσε ότι έλαβε ένα μήνυμα από τον Δημήτρη, και το αντίστροφο. Αλλά ας υποθέσουμε ότι η Ελένη και ο Δημήτρης μοιράζονται ένα μυστικό κλειδί με το χρηματιστή τους. Η Ελένη και ο Δημήτρης κρυπτογραφούν μία εντολή αγοράς, καθορίζουν την τιμή και τη στέλνουν στον «όχι άξιος εμπιστοσύνης» χρηματιστή τους. Ο «όχι άξιος εμπιστοσύνης» χρηματιστής εκτιμά ότι η τιμή της μετοχής θα πέσει και αποφασίζει να μην αγοράσει τις μετοχές της Ελένης και του Δημήτρη μέχρι την επόμενη μέρα, σκοπεύοντας να καρπωθεί τη διαφορά.

Αλλά την επόμενη μέρα η τιμή της μετοχής ανεβαίνει και ο «όχι άξιος εμπιστοσύνης» χρηματιστής υποστηρίζει ότι δεν έλαβε ποτέ την εντολή από την Ελένη και τον Δημήτρη. Αρνείται, λοιπόν, ή αλλιώς «αποκηρύσσει», την εντολή αγοράς. Η Ελένη και ο Δημήτρης θα ήταν πολύ άτυχοι… Ωστόσο, η κρυπτογραφία παρέχει τον τρόπο να κάνει τον «όχι άξιο εμπιστοσύνης» να ομολογήσει την αλήθεια. Για να εξαλειφθεί η πιθανότητα «αποκήρυξης» του μηνύματος, δεν φτάνει το μυστικό κλειδί. Απαιτείται μία αμοιβαία εμπιστοσύνη με το τρίτο μέρος ή η χρήση τεχνολογίας δημόσιου κλειδιού.