網(wǎng)絡(luò)與內(nèi)容安全-004密鑰管理與pki技術(shù)(文件)
【正文】 自動(dòng)方式 ? 可信第三方 (Trusted Third Party, TTP) – 對稱密碼 :KDC(Key Distribution Center) – 公鑰密碼 :CA(Certification Authority) 11 密鑰建立技術(shù)需要滿足的性質(zhì) （ 1） 數(shù)據(jù)保密（ Data Confidentiality） —— 密鑰 數(shù)據(jù) 存 傳 （ 2）篡改檢測（ Modification Detection） —— 對抗主動(dòng)攻擊 （ 3）身份認(rèn)證（ Entity Authentication） —— 身份確認(rèn) （ 4）密鑰的新鮮度（ Key Freshness） —— 保證不過時(shí) （ 5）密鑰控制（ Key Control） —— 選擇密鑰或其參數(shù) （ 6）密鑰的隱式鑒別（ Implicit Key Authentication） —— 只有適當(dāng)用戶擁有密鑰 （ 7）密鑰的確信（ Key Confirmation） —— 用戶有相應(yīng)密鑰 （ 8）向前的秘密（ Perfect Forward Secrecy） —— 歷史保護(hù)，不會(huì)泄漏之前內(nèi)容 （ 9）效率（ Efficiency） —— 傳輸及計(jì)算復(fù)雜度 12 密鑰的層次結(jié)構(gòu) （ 1）主密鑰（ Master Key）。這種密鑰保護(hù)其下層的密鑰能夠安全地傳輸。在如下的密鑰導(dǎo)出機(jī)制中包括兩個(gè)步驟： ① A 選擇密鑰導(dǎo)出的參數(shù) F ， F 可以是一個(gè)隨機(jī)數(shù)或時(shí)間戳，然后將 F 傳給 B 。兩把密鑰同時(shí)產(chǎn)生；一把為公鑰，另一把為私鑰；因此也被稱為一對密鑰。 規(guī)定證書的有效期。 目錄訪問協(xié)議 LDAP, Lightweight Directory Access Protocol。 保證業(yè)務(wù)用戶或者是系統(tǒng)服務(wù)器的身份認(rèn)證 167。 結(jié)合業(yè)務(wù)邏輯方便的實(shí)現(xiàn)訪問控制 數(shù)字證書 數(shù)據(jù)加密 數(shù)據(jù)簽名 +數(shù)字時(shí)間戳 數(shù)據(jù)簽名 數(shù)字證書擴(kuò)展應(yīng)用 建設(shè) PKI的必要性 84 30 證書管理系統(tǒng) 85 31 證書管理系統(tǒng) (Cont.) 信任源 負(fù)責(zé)整個(gè) CA體系的管理 一般采用離線工作方式 86 32 證書管理系統(tǒng) (Cont.) 管理下級機(jī)構(gòu)和終端用 戶的證書 通過 RA向終端用戶提供 證書的相關(guān)服務(wù) 87 33 證書管理系統(tǒng) (Cont.) 為 CA系統(tǒng)提供密鑰服務(wù) 88 34 CA系統(tǒng)安全性 物理安全 通信安全 密鑰安全 安全審計(jì) 人員安全 89 35 證書簽發(fā)邏輯流程 ⑶向 KMC申請密 鑰對 ⑺ 將 Key 與 RA鏈接 KMC 90 36 證書的應(yīng)用 91 37 證書驗(yàn)證 當(dāng)證書持有者 A想與證書持有者 B通信時(shí)，他首先查找數(shù)據(jù)庫并 得到一個(gè)從證書持有者 A到證書持有者 B的證書路徑（ Certific ation Path）和證書持有者 B的公鑰。 由根 CA為企業(yè)簽發(fā)中級 CA證書 企業(yè) CA為下面的用戶簽發(fā)用戶證書 驗(yàn)證證書有效性時(shí)，需要驗(yàn)證其上級 CA證書 一直驗(yàn)證到最終可信的根 CA證書 99 演講完畢，謝謝觀看！ 。 雙向驗(yàn)證：增加了來自證書持有者 B的應(yīng)答。 保證業(yè)務(wù)操作的不可抵賴性 167。 用戶名 +口令的安全隱患 63 破解技術(shù) ? 窮舉法（蠻力猜測） ? 利用技術(shù)和管理漏洞 ? 字典法破譯 ? 通過網(wǎng)絡(luò)監(jiān)聽非法得到用戶口令 ? 采用缺省口令直接猜測 口令的破解技術(shù) 64 用戶名 /口令 動(dòng)態(tài)口令 生物特征 數(shù)字證書 （非對稱密鑰） 安全性 低 較高 高 高 雙向認(rèn)證 單向 單向 單向 雙向 確保信息的保密性、完整性和不可否認(rèn)性 不能 不能 不能 能 成本 低 較高 最高 高 幾種認(rèn)證方式的比較 65 RA CA End Entity 證書申請 20 證書過期 密鑰備份 與恢復(fù) 證書生命周期 證書吊銷 證書發(fā)布 Directory Services 證書生成 66 21 證書等級 第一級 第二級 第三級 明確 “處理 ”，電子郵件地址 經(jīng)本地資料庫驗(yàn)證 真實(shí)姓名、真實(shí)地址、所在地、電子郵件地址 經(jīng)過 “可信任的 ”資料庫驗(yàn)證 真實(shí)姓名、真實(shí)地址、所在地、電子郵件地址 經(jīng)過 “可信任的 ”資料庫驗(yàn)證 經(jīng)當(dāng)面驗(yàn)證、有公證書 67 22 數(shù)字證書的類型 單位身份證書 個(gè)人身份證書 服務(wù)器證書 郵件證書 代碼簽名證書 68 23 CA系統(tǒng)框架 69 24 CA系統(tǒng)框架 (Cont.) 面向普通用戶 提供證書申請、瀏覽、 CRL和證書下載等服務(wù) 通信采取安全信道方式(如 SSL方式，不需要認(rèn)證用戶身份 ) 加密傳輸保證證書申 請和傳輸過程中的信息 安全性 （使用業(yè)務(wù)受理服務(wù)器證書中提供的公鑰） 70 25 CA系統(tǒng)框架 (Cont.) 整個(gè)認(rèn)證中心 CA的核心， 負(fù)責(zé)證書的簽發(fā) CA自身 操作員、安全服務(wù)器、 業(yè)務(wù)受理服務(wù)器 用戶 安全 —— 需與其他服務(wù)器隔離 71 26 CA系統(tǒng)框架 (Cont.) 承上啟下，隔離模塊 向 CA證書服務(wù)器轉(zhuǎn)發(fā) 申請 向數(shù)據(jù)庫和 LDAP目錄 服務(wù)器轉(zhuǎn)發(fā)證書和 CRL 72 27 CA系統(tǒng)框架 (Cont.) 提供目錄瀏覽服
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1