Dominio de Interpretación de Grupo o GDOI es un protocolo criptográfico para la gestión de claves de grupo . El protocolo GDOI se especifica en un estándar IETF , RFC 6407, y se basa en la Asociación de seguridad de Internet y el Protocolo de administración de claves (ISAKMP), RFC 2408 y el Intercambio de claves de Internet versión 1 (IKE). Mientras que IKE se ejecuta entre dos pares para establecer una "asociación de seguridad por pares", el protocolo GDOI se ejecuta entre un miembro del grupo y un "controlador de grupo/servidor de claves" (controlador) y establece una asociación de seguridad entre dos o más miembros del grupo.
GDOI "interpreta" IKE o ISAKMP para el dominio de seguridad del grupo además de las asociaciones de seguridad por pares. GDOI utiliza una asociación de seguridad IKE v1 Fase 1 para autenticar a un miembro de GDOI en un controlador GDOI. El intercambio de protocolo criptográfico IKE/GDOI Fase 1 protege un nuevo tipo de intercambio de Fase 2 en el que el miembro solicita ("extrae") el estado del grupo del controlador. La "clave de grupo" es el estado más importante de un miembro de GDOI. La clave de grupo cifra las claves que descifran los datos de la aplicación. Por lo tanto, la clave de grupo también se denomina "clave de cifrado de clave" en GDOI. La clave de cifrado de claves de un grupo se utiliza para la "Rekey Security Association". Una vez que se establece "Rekey-SA", el controlador GDOI puede enviar ("push") actualizaciones no solicitadas a la asociación de seguridad del grupo a los miembros a través de canales de multidifusión, difusión o unidifusión. Esta es la razón por la que GDOI se denomina "sistema de administración de claves de multidifusión", ya que utiliza y admite mensajes de multidifusión para grupos muy grandes. Estos mensajes de multidifusión son mensajes no solicitados y, por lo tanto, se denominan mensajes "push", que son mensajes no solicitados enviados desde el controlador a los miembros; Las solicitudes explícitas de un miembro a un controlador se denominan mensajes "pull" en GDOI. Por lo tanto, las actualizaciones de claves de grupo GDOI se envían y pueden llegar a cualquier número de miembros del grupo con una única transmisión eficiente desde el controlador.
Las actualizaciones de claves de grupo GDOI también sirven para eliminar miembros de los grupos. RFC 2627 describe un protocolo de gestión de membresía de grupo que permite actualizaciones clave selectivas a los miembros para eliminar de manera eficiente a un miembro del grupo. La "eficiencia" se evalúa en términos de espacio, tiempo y complejidad del mensaje . RFC 2627 y otros algoritmos como la "diferencia de subconjuntos" son logarítmicos en espacio, tiempo y complejidad del mensaje. Por lo tanto, RFC 2627 apoya la "gestión de membresía" de grupo eficiente para GDOI. En una implementación práctica, la gestión de membresía del grupo GDOI es una función separada que el controlador o una función AAA invoca para eliminar a un miembro del grupo desautorizado. "AAA" significa autorización, autenticación y contabilidad, que podrían ejecutar algún tipo de protocolo AAA . Pero la función AAA también podría ser una función de "atención al cliente" para un proveedor de servicios o un "sistema de gestión de abonados" para un proveedor de servicios de medios. El proveedor o función AAA debe tener una infraestructura de credenciales como por ejemplo una infraestructura de clave pública utilizando certificados digitales X.509 , SPKI o alguna otra credencial. En un entorno X.509 , el proveedor o la función AAA instalará un certificado para permitir que un miembro se una a un grupo cuando el controlador de grupo consulta la PKI durante un intercambio de registro GDOI cuando un miembro intenta unirse a un grupo y "desplegar" el estado del grupo.
El estado del grupo que se almacena en el miembro del grupo son claves y metadatos de claves. Conceptualmente, las claves de los miembros del grupo están estructuradas en un conjunto de relaciones 1:N y a menudo se denominan "escalera de claves". El miembro tiene una credencial, como un certificado X.509, que demuestra que está autorizado a unirse a uno o más grupos. La política de grupo predeterminada para la "Clave de autenticación privada" es una clave RSA de 2048 bits, pero son posibles otras políticas. De manera similar, la "clave de grupo" o "clave de cifrado de clave" predeterminada es una clave AES de 128 bits, pero son posibles otras políticas. Por último, la clave de cifrado de datos depende de la aplicación, pero suele ser una clave AES de 128 bits. En algunos grupos, un miembro puede ser un remitente que genera una clave de cifrado de datos y los cifra con la clave de cifrado de claves. Siempre que los dos compartan la clave de grupo para el mismo grupo, el remitente puede usar esa "clave de cifrado de clave" para cifrar las claves de los archivos multimedia o transmisiones que sirve.
Sin embargo, no todos los grupos GDOI hacen una distinción entre remitente y receptor, y si los miembros del grupo pueden enviarse mensajes entre sí es una cuestión de política del grupo. El tipo de claves en la escalera de claves también lo determina la política de grupo. Cada grupo puede tener su propia política de criptografía, duración de la clave y comportamiento de los miembros.
[1]