網(wǎng)絡(luò)安全--認(rèn)證技術(shù)課件(文件)
【正文】 以解決絕大多數(shù)網(wǎng)絡(luò)安全問(wèn)題，并初步形成了一套完整的解決方案。 ? 我國(guó)的 PKI行業(yè)起步較晚， PKI行業(yè)的建立還只有不到五年的時(shí)間，但其發(fā)展還是十分迅速的。最簡(jiǎn)單的證書包含一個(gè)公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名。 ? 主體標(biāo)識(shí)：證書持有者的名稱。 ? 擴(kuò)展：說(shuō)明該證書的附加信息。 ? 除了 CA以外，任何人都無(wú)法偽造、修改證書。 ? 證書庫(kù) ? 證書的集中存放地，提供公眾查詢。 PKI主要組件 PKI主要組件的簡(jiǎn)介 ? 公鑰證書：由可信實(shí)體簽名的電子記錄，記錄將 公鑰 和密鑰（公私鑰對(duì)） 所有者 的身份捆綁在一起。本質(zhì)上， RA 是 CA系統(tǒng)的一個(gè) 功能組件 ，可設(shè)計(jì)成 CA的代理處，分擔(dān) CA的一定功能以增強(qiáng)可擴(kuò)展性。 ? 操作協(xié)議：允許用戶方便地通過(guò)證書庫(kù)檢索和驗(yàn)證證書和 CRL。核心功能就是發(fā)放和管理數(shù)字證書 ? CA中心為每個(gè)使用公開密鑰的用戶發(fā)放一個(gè)數(shù)字證書，數(shù)字證書 的作用是證明證書中列出的用戶合法擁有證書中列出的公開密鑰。 ? 互聯(lián)網(wǎng)定義：一個(gè)可信實(shí)體，發(fā)放和作廢公鑰證書，并對(duì)各作廢證書列表簽名。 ? 美聯(lián)邦政府定義：被一個(gè)或多個(gè)用戶所信任發(fā)放和管理 。 ? 證書發(fā)布和 CRL發(fā)布服務(wù)器 ? 用于將證書信息按一定時(shí)間間隔對(duì)外發(fā)布，為客戶提供證書下載和 CRL下載等服務(wù)。 ? 確定是否接受最終用戶數(shù)字證書的申請(qǐng)（證書審批）。 ? 產(chǎn)生和發(fā)布證書注銷列表（ CRL）。 注冊(cè)中心（ RA） ? 注冊(cè)中心是數(shù)字證書注冊(cè)審批機(jī)構(gòu)。 ? 一般而言，注冊(cè)中心控制注冊(cè)、證書傳遞、其他密鑰和證書生命周期管理過(guò)程中主體和 PKI間的交換。 ? 對(duì)被請(qǐng)求證書屬性確定主體的權(quán)利。 ? 產(chǎn)生公私鑰對(duì)。 ? 包含私鑰的物理設(shè)備的分發(fā)。 ? 下載并安裝證書 ? 證書發(fā)布 終端 實(shí)體 RA CA 9.證書發(fā)布 證書庫(kù) 證書的更新 ? 最終實(shí)體證書更新 ? 證書過(guò)期 ? 一些屬性的改變 ? 發(fā)放新證書 ? CA證書更新 證書存放 ? 使用 IC卡存放 ? 直接存放在磁盤或自己的終端上 ? USB Key ? 證書庫(kù) 證書撤銷 ? 當(dāng)條件（雇傭關(guān)系結(jié)束、證書中信息修改等）要求證書的有效期在證書結(jié)束日期之前終止，或者要求用戶與私鑰分離時(shí)（私鑰可能以某種方式泄露），證書被撤銷。 ? 在證書撤銷列表（ CRL）中查詢確認(rèn)該證書是否被 CA撤銷。 PKI的運(yùn)行舉例 ? 1）終端用戶向證明機(jī)構(gòu)（ CA）提出數(shù)字證書申請(qǐng)； ? 2） CA驗(yàn)明終端用戶身份，并簽發(fā)數(shù)字證書； ? 3） CA將證書公布到證書庫(kù)中； ? 4）終端用戶對(duì)電子信件數(shù)字簽名作為發(fā)送認(rèn)證，確保信件完整性，不可否認(rèn)性，并發(fā)送給接受方。 ? A隨機(jī)產(chǎn)生一個(gè)加密密鑰（ DES密鑰），并用此密鑰對(duì)要發(fā)送的信息進(jìn)行加密，形成密文。 ? B然后用 DES密鑰對(duì)收到的密文進(jìn)行解密，得到明文的數(shù)字信息，然后將 DES密鑰拋棄（即 DES密鑰作廢）。 ? B將收到的信息摘要和新產(chǎn)生的信息摘要進(jìn)行比較，如果一致，說(shuō)明收到的信息沒(méi)有被修改過(guò)。 ? 根私鑰的維護(hù)更加困難。 ? 證書頒發(fā)：申請(qǐng)者在 CA的注冊(cè)機(jī)構(gòu)（ RA）進(jìn)行注冊(cè)，申請(qǐng)證書。 ? 證書認(rèn)證：在多ＣＡ系統(tǒng)中，提供對(duì)其它ＣＡ發(fā)布的證書的安全認(rèn)證。 ? 證書和 CRL的公布：ＣＡ通過(guò)ＬＤＡＰ服務(wù)器維護(hù)用戶證書和黑名單（ＣＲＬ）。但是它不要求一個(gè)機(jī)構(gòu)在與另一個(gè)機(jī)構(gòu)發(fā)生信任關(guān)系時(shí)必須遵循所確定的這種映射關(guān)系，而是可以采用它認(rèn)為合適的映射關(guān)系確定彼此之間的信任。 ? 證書頒發(fā)和撤銷難于直接控制。 ? B用 A的公鑰（來(lái)自證書）對(duì) A的數(shù)字簽名進(jìn)行解密，得到信息摘要。 ? A用 B的公鑰（來(lái)自證書）對(duì)剛才隨機(jī)產(chǎn)生的加密密鑰進(jìn)行加密，將加密后的 DES密鑰連同密文一起傳送給 B。 ? A對(duì)數(shù)字信息進(jìn)行哈希（ hash）運(yùn)算，得到一個(gè)信息摘要。 ? 在線證書狀態(tài)協(xié)議 OCSP（ Online Certificate Status Protocol），其目的為了克服基于 CRL的撤銷方案的局限性，為證書狀態(tài)查詢提供即時(shí)的最新響應(yīng)。 ? 檢查證書的有效期，確保該證書是否有效。 ? RA對(duì)證書請(qǐng)求進(jìn)行審核。 ? 私鑰歸檔。 ? 為識(shí)別身份的目的分配名字。 RA的功能 ? 主體注冊(cè)證書的個(gè)人認(rèn)證。本質(zhì)上是 CA的功能組件。 ? 密鑰歸檔。 ? 接受、處理最終用戶的數(shù)字證書更新請(qǐng)求（證書更新）。 ? Web服務(wù)器 ? 用于證書發(fā)布和有關(guān)數(shù)據(jù)認(rèn)證系統(tǒng)政策的發(fā)布。 ? 密鑰管理服務(wù)器 ? 與簽名加密服務(wù)器連接，按配置生成密鑰、撤銷密鑰、恢復(fù)密鑰和查詢密鑰。 CA全面負(fù)責(zé)證書發(fā)行和管理。它負(fù)責(zé)產(chǎn)生、分配并管理所有參與網(wǎng)上交易的個(gè)體所需的數(shù)字證書，因此是安全電子交易的核心環(huán)節(jié)。 ? 最終用戶（ End User）：也稱最終實(shí)體（ EndEntity） ,可以是人，也可以是機(jī)器，如路由器，或計(jì)算機(jī)中運(yùn)行的進(jìn)程，如應(yīng)用系統(tǒng)。 PKI主要組件的簡(jiǎn)介（續(xù)） ? 管理協(xié)議：用于管理證書的注冊(cè)、生效、發(fā)布和撤銷。 ? 根 CA：一個(gè)單獨(dú)的、可信任的根 CA是 PKI的基礎(chǔ)，生成一個(gè)自簽名證書，亦稱 CA證書或根證書。 ? 證書撤銷處理系統(tǒng) ? 證書由于某種原因需要作廢，終止使用，將通過(guò)證書撤銷列表 CRL來(lái)實(shí)現(xiàn)。 PKI的主要組件 ? 證書授權(quán)中心 ? 證書簽發(fā)機(jī)構(gòu)，是 PKI的核心，使 PKI 應(yīng)用中權(quán)威的、可信任的、公正的第三方機(jī)構(gòu)。 數(shù)字證書的安全性 ? 證書是公開的，可復(fù)制的。 ? 證書有效期：證書開始有效期和證書失效期。 數(shù)字證書的格式 ? 遵循 ITUT ? 版本號(hào)：用來(lái)區(qū)分 本 ? 序列號(hào)：每一個(gè)證書都有惟一的數(shù)字型編號(hào)。 PKI的優(yōu)勢(shì) ? 節(jié)省費(fèi)用 ? 透明性和易用性 ? 互操作性 ? 可擴(kuò)展性 ? 多用性 ? 支持多平臺(tái) 數(shù)字證書的概念 ? 數(shù)字證書就是互聯(lián)網(wǎng)通訊中 標(biāo)識(shí)通訊各方身份信息 的一系列數(shù)據(jù)，提供了一種在 Inter上驗(yàn)證身份的方式，其作用類似于 駕駛執(zhí)照或身份證 。 ? PKI技術(shù)經(jīng)過(guò)近十年的發(fā)展已日趨成熟，許多新技術(shù)還在不斷涌現(xiàn)， CA之間的信任模型、使用的加解密算法、密鑰管理的方案等也在不斷變化中。 ? CA認(rèn)證、數(shù)字證書、目錄服務(wù)以及相關(guān)安全應(yīng)用組件 模塊的集合 。 ? PKI是目前為止既能實(shí)現(xiàn)用戶 身份認(rèn)證 ，又能保證互聯(lián)網(wǎng)上所傳輸 數(shù)據(jù)安全 的惟一技術(shù)。 ? PKI公鑰基礎(chǔ)設(shè)施的主要任務(wù)是在開放環(huán)境中為開放性業(yè)務(wù)提供 公鑰加密 和 數(shù)字簽名服務(wù) 。 Bob解密認(rèn)證值并驗(yàn)證時(shí)戳，以確認(rèn)和它通信的實(shí)體確實(shí)知道 KAB，從而實(shí)現(xiàn)了對(duì) Alice工作站的認(rèn)證。門票和 KAB稱為 Alice訪問(wèn) Bob的證書 。 用戶請(qǐng)求和遠(yuǎn)程節(jié)點(diǎn)通信 Alice 工作站 rlogin Bob 生成密鑰 KAB 解密 TGT得到 SA 解密認(rèn)證值 檢驗(yàn)時(shí)戳 Ticket=KB{“ Alice” , KAB} Alice wants Bob TGT=KKDC{“ Alice, SA} Authenticator=SA{timestamp} SA{“ Bob” , KAB, Ticket} KDC
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1