網(wǎng)絡(luò)與內(nèi)容安全-004密鑰管理與pki技術(shù)(文件)
【正文】 自動(dòng)方式 ? 可信第三方 (Trusted Third Party, TTP) – 對(duì)稱(chēng)密碼 :KDC(Key Distribution Center) – 公鑰密碼 :CA(Certification Authority) 11 密鑰建立技術(shù)需要滿(mǎn)足的性質(zhì) （ 1） 數(shù)據(jù)保密（ Data Confidentiality） —— 密鑰 數(shù)據(jù) 存 傳 （ 2）篡改檢測(cè)（ Modification Detection） —— 對(duì)抗主動(dòng)攻擊 （ 3）身份認(rèn)證（ Entity Authentication） —— 身份確認(rèn) （ 4）密鑰的新鮮度（ Key Freshness） —— 保證不過(guò)時(shí) （ 5）密鑰控制（ Key Control） —— 選擇密鑰或其參數(shù) （ 6）密鑰的隱式鑒別（ Implicit Key Authentication） —— 只有適當(dāng)用戶(hù)擁有密鑰 （ 7）密鑰的確信（ Key Confirmation） —— 用戶(hù)有相應(yīng)密鑰 （ 8）向前的秘密（ Perfect Forward Secrecy） —— 歷史保護(hù)，不會(huì)泄漏之前內(nèi)容 （ 9）效率（ Efficiency） —— 傳輸及計(jì)算復(fù)雜度 12 密鑰的層次結(jié)構(gòu) （ 1）主密鑰（ Master Key）。這種密鑰保護(hù)其下層的密鑰能夠安全地傳輸。在如下的密鑰導(dǎo)出機(jī)制中包括兩個(gè)步驟： ① A 選擇密鑰導(dǎo)出的參數(shù) F ， F 可以是一個(gè)隨機(jī)數(shù)或時(shí)間戳，然后將 F 傳給 B 。兩把密鑰同時(shí)產(chǎn)生；一把為公鑰，另一把為私鑰；因此也被稱(chēng)為一對(duì)密鑰。 規(guī)定證書(shū)的有效期。 目錄訪問(wèn)協(xié)議 LDAP, Lightweight Directory Access Protocol。 保證業(yè)務(wù)用戶(hù)或者是系統(tǒng)服務(wù)器的身份認(rèn)證 167。 結(jié)合業(yè)務(wù)邏輯方便的實(shí)現(xiàn)訪問(wèn)控制 數(shù)字證書(shū) 數(shù)據(jù)加密 數(shù)據(jù)簽名 +數(shù)字時(shí)間戳 數(shù)據(jù)簽名 數(shù)字證書(shū)擴(kuò)展應(yīng)用 建設(shè) PKI的必要性 84 30 證書(shū)管理系統(tǒng) 85 31 證書(shū)管理系統(tǒng) (Cont.) 信任源 負(fù)責(zé)整個(gè) CA體系的管理 一般采用離線工作方式 86 32 證書(shū)管理系統(tǒng) (Cont.) 管理下級(jí)機(jī)構(gòu)和終端用 戶(hù)的證書(shū) 通過(guò) RA向終端用戶(hù)提供 證書(shū)的相關(guān)服務(wù) 87 33 證書(shū)管理系統(tǒng) (Cont.) 為 CA系統(tǒng)提供密鑰服務(wù) 88 34 CA系統(tǒng)安全性 物理安全 通信安全 密鑰安全 安全審計(jì) 人員安全 89 35 證書(shū)簽發(fā)邏輯流程 ⑶向 KMC申請(qǐng)密 鑰對(duì) ⑺ 將 Key 與 RA鏈接 KMC 90 36 證書(shū)的應(yīng)用 91 37 證書(shū)驗(yàn)證 當(dāng)證書(shū)持有者 A想與證書(shū)持有者 B通信時(shí)，他首先查找數(shù)據(jù)庫(kù)并 得到一個(gè)從證書(shū)持有者 A到證書(shū)持有者 B的證書(shū)路徑（ Certific ation Path）和證書(shū)持有者 B的公鑰。 由根 CA為企業(yè)簽發(fā)中級(jí) CA證書(shū) 企業(yè) CA為下面的用戶(hù)簽發(fā)用戶(hù)證書(shū) 驗(yàn)證證書(shū)有效性時(shí)，需要驗(yàn)證其上級(jí) CA證書(shū) 一直驗(yàn)證到最終可信的根 CA證書(shū) 99 演講完畢，謝謝觀看！ 。 雙向驗(yàn)證：增加了來(lái)自證書(shū)持有者 B的應(yīng)答。 保證業(yè)務(wù)操作的不可抵賴(lài)性 167。 用戶(hù)名 +口令的安全隱患 63 破解技術(shù) ? 窮舉法（蠻力猜測(cè)） ? 利用技術(shù)和管理漏洞 ? 字典法破譯 ? 通過(guò)網(wǎng)絡(luò)監(jiān)聽(tīng)非法得到用戶(hù)口令 ? 采用缺省口令直接猜測(cè) 口令的破解技術(shù) 64 用戶(hù)名 /口令 動(dòng)態(tài)口令 生物特征 數(shù)字證書(shū) （非對(duì)稱(chēng)密鑰） 安全性 低 較高 高 高 雙向認(rèn)證 單向 單向 單向 雙向 確保信息的保密性、完整性和不可否認(rèn)性 不能 不能 不能 能 成本 低 較高 最高 高 幾種認(rèn)證方式的比較 65 RA CA End Entity 證書(shū)申請(qǐng) 20 證書(shū)過(guò)期 密鑰備份 與恢復(fù) 證書(shū)生命周期 證書(shū)吊銷(xiāo) 證書(shū)發(fā)布 Directory Services 證書(shū)生成 66 21 證書(shū)等級(jí) 第一級(jí) 第二級(jí) 第三級(jí) 明確 “處理 ”，電子郵件地址 經(jīng)本地資料庫(kù)驗(yàn)證 真實(shí)姓名、真實(shí)地址、所在地、電子郵件地址 經(jīng)過(guò) “可信任的 ”資料庫(kù)驗(yàn)證 真實(shí)姓名、真實(shí)地址、所在地、電子郵件地址 經(jīng)過(guò) “可信任的 ”資料庫(kù)驗(yàn)證 經(jīng)當(dāng)面驗(yàn)證、有公證書(shū) 67 22 數(shù)字證書(shū)的類(lèi)型 單位身份證書(shū) 個(gè)人身份證書(shū) 服務(wù)器證書(shū) 郵件證書(shū) 代碼簽名證書(shū) 68 23 CA系統(tǒng)框架 69 24 CA系統(tǒng)框架 (Cont.) 面向普通用戶(hù) 提供證書(shū)申請(qǐng)、瀏覽、 CRL和證書(shū)下載等服務(wù) 通信采取安全信道方式(如 SSL方式，不需要認(rèn)證用戶(hù)身份 ) 加密傳輸保證證書(shū)申 請(qǐng)和傳輸過(guò)程中的信息 安全性 （使用業(yè)務(wù)受理服務(wù)器證書(shū)中提供的公鑰） 70 25 CA系統(tǒng)框架 (Cont.) 整個(gè)認(rèn)證中心 CA的核心， 負(fù)責(zé)證書(shū)的簽發(fā) CA自身 操作員、安全服務(wù)器、 業(yè)務(wù)受理服務(wù)器 用戶(hù) 安全 —— 需與其他服務(wù)器隔離 71 26 CA系統(tǒng)框架 (Cont.) 承上啟下，隔離模塊 向 CA證書(shū)服務(wù)器轉(zhuǎn)發(fā) 申請(qǐng) 向數(shù)據(jù)庫(kù)和 LDAP目錄 服務(wù)器轉(zhuǎn)發(fā)證書(shū)和 CRL 72 27 CA系統(tǒng)框架 (Cont.) 提供目錄瀏覽服
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1