【正文】 （ 3）三向認證發(fā)送方接收方BA 213識別過程： B∪ A{tA,r1A,B}到 B2. B回信息 A,B{tB,rB,A,r2A}給 A r2A與 r1A是否相等，若相等， A發(fā)識別數(shù)據(jù) A(R3B,B)給 BB收到信息后執(zhí)行 A的公鑰驗證簽名，確定數(shù)據(jù)的完整性 R3B是否與自己發(fā)送時產(chǎn)生的 R2B相等特點1. A,B三次通信2. 確保安全52l 2． 2 授權(quán)管理基礎設施 PMIl （ Privilege Management Infrastructure）l Qu: l 1．什么是 PMIl 2． PMI與 PKI的區(qū)別、聯(lián)系l 3． PMI的功能結(jié)構(gòu)，特點l 4．基于 PMI的授權(quán)管理模式l （與傳統(tǒng)的應用系統(tǒng)相比）l 53 PMIl Def:PMI是建立在 PKI的基礎上，與 PKI結(jié)合，利用屬性證書提供實體身份到應用權(quán)限的映射，實現(xiàn)對系統(tǒng)資源訪問的統(tǒng)一管理機制。由于這些屬性集能夠定義系統(tǒng)中用戶的權(quán)限，因此可以把作為一種授權(quán)機制的屬性證書看作是權(quán)限信息的載體。屬性證書中包含的信息包括 :證書的版本號、證書所有者的信息、證書的簽發(fā)機構(gòu)、用來創(chuàng)建數(shù)字簽名的算法、證書的序列號、有效期、屬性 (權(quán)力信息 )、可選的證書簽發(fā)機構(gòu)的唯一ID號和可選的擴展域。56角色屬性證書 l AA可能給一個用戶多個角色，此時該屬性的值是角色列表，角色可以有等級之分，上一級角色可以擁有下一級角色的權(quán)限，角色之間也可以互相交叉，也可以互相排斥，例如，運動員和裁判是互相排斥的一對角色。實體發(fā)出請求到目標，例如讀數(shù)據(jù)l 2.策略實施636． PMI的授權(quán)體系結(jié)構(gòu)PMI的核心：屬性證書簽發(fā)機構(gòu)信任源點 SOA二級授權(quán)服務中心 AA二級授權(quán)服務中心 AA授權(quán)服務中心 AA資源管理中心RM資源管理中心RM業(yè)務受理點 業(yè)務受理點 業(yè)務受理點安全策略服務 LDAP服務 操作授權(quán)服務。（集中式，分布式）l ① 集中式授權(quán)管理服務系統(tǒng)的設計l 功能：用戶管理，審核管理，資源管理，l 角色管理，操作員管理，日志管理l 體系結(jié)構(gòu)：65。日志管理l 體系結(jié)構(gòu)：67。l 拉模式 ： 授權(quán)機構(gòu)發(fā)布證書給目錄服務系統(tǒng)，由服務器從目錄服務系統(tǒng)拉回l 。基于屬性證書的訪問控制流程 統(tǒng)一的 Web門戶平臺l 電信公網(wǎng) PSTN虛擬專用網(wǎng) VPNl VPN技術(shù)：可使發(fā)布在不同地域的專用網(wǎng)絡在不可信任的公共網(wǎng)絡上安全通信。l （ 3）政務專網(wǎng)l 在內(nèi)部涉密政府辦公網(wǎng)絡之間建立互聯(lián)的 涉密政務專 網(wǎng)l 在政務內(nèi)網(wǎng)的 非涉密 辦公網(wǎng)之間建立互聯(lián)的 非涉密政務專網(wǎng)l (4)網(wǎng)絡安全結(jié)構(gòu)設計l 措施：l 。 基于 PKI的可信傳輸l 。l Qu：l ？l 2．信任是怎樣產(chǎn)生的l 3．在一定環(huán)境中，什么情形下能限制l 或者控制信任？l 1． 一個企業(yè)中，信任域可以按組織、地理界限劃分l （ 3）信任錨l 信任模型862．信任模型l 描述終端用戶、依托主體和可信服務系統(tǒng)之間關(guān)系的模型l l ③ 證書的驗證實體 A根 CA子 CA1子 CA2BK2K1擁有 K K由 K驗證 K1 由 K1驗證 K2 由 K2驗證 B的證書 89l 2）分布式信任模型 證書的驗證過程： 1）用戶 A驗證同一個根 CA下用戶 B1的證書，同層次結(jié)構(gòu)； 2）用戶 A驗證非同一個根 CA下用戶 B2的證書中心 CA根 CA1根 CA2子 CA…………子 CA用戶 A 用戶 B1…… 用戶 B2用戶90l 3） Web信任模型l 該模型依賴于瀏覽器。 CA的公鑰預裝在瀏覽器上，這些公鑰確定一組 CA 2。最初可信的密鑰集－－直接聯(lián)系層 A的朋友、同事、哥、父母。證書的路徑處理l 目的：l 。深度優(yōu)先搜索；廣度優(yōu)先搜索；啟發(fā)式搜索l 第二階段：l 確定路徑，依次檢查路徑中的每個證書，確定它含有的密碼是否被信任l 確認內(nèi)容，證書的有效期、撤銷狀態(tài)、適用的策略、密鑰使用機制、名字約束等l 94l 1） CA的嚴格層次可信模型l A的信任錨在邏輯上是離其最遠的 CA，即根 CAl 2）分布式信任模型l A的信任錨在邏輯上是離其最近的 CA，包括整個 PKI群體中其所在的部分嚴格層次結(jié)構(gòu)的根，也可是實際認證其的最近的 CAl 3）以用戶為中心的信任模型l 是其自身選擇的一個或多個 CAl 95l 詳見講稿統(tǒng)一性：提供統(tǒng)一的接入平臺，包括互聯(lián)網(wǎng)接入、電信公網(wǎng)撥號接入、無線接入等l 。門戶應用服務平臺 ：業(yè)務系統(tǒng)l 。病毒監(jiān)測；l 4..安全策略配置和管理；l 2. Web門戶服務平臺 :可信 J2EE,結(jié)構(gòu)設計l 。在一個給定的目標證書和一個可信密鑰（信任錨）之間找到一個證書的完整路徑（或鏈），檢查該路徑中每個證書的合法性l 處理過程：934.單向：如層次模型，雙向，如分布式信任模型l 2。 CA名和公鑰綁定在一起914）以用戶為中心的信任模型用戶 AA的朋友 A的哥哥A的父母A的同事A哥哥的朋友特點1。 CA中心輻射配置：中心 CA與根 CA是交叉認證2。PKI的信任模型l 描述客體、依托主體和 CA之間關(guān)系的模型。信任關(guān)系可以是雙向的，或單向的l 。若集體中所有個體都遵循同樣的規(guī)則，則稱集體在單信任域中運作l ?；?PKI和 l 。基于 PKI的認證技術(shù)l 。采用本地、遠程兩級安全運行監(jiān)管機制，如建立系統(tǒng)安全漏洞掃描、入侵檢測、審計等l 物理措施：對機房加強管理 792． 4 網(wǎng)絡信任域基礎設施l l 有中心，可管理l 傳統(tǒng)的互聯(lián)網(wǎng)技術(shù)是無中心，無管理，點對點等l l 包括：網(wǎng)絡接入、傳輸、管理等安全措施。l VPN產(chǎn)品（軟件）包括：帶加密的軟件防火墻，軟件 VPN系統(tǒng)，加密算法，密鑰交換協(xié)議， VPN專用認證系統(tǒng) CA76（ 1）統(tǒng)一的安全電子政務平臺網(wǎng)上工商 S網(wǎng)上稅務 S網(wǎng)上郵政 S……金融服務 S統(tǒng)一的web門戶平臺統(tǒng)一的信息交換平臺統(tǒng)一的接入平臺 PKI / PMI業(yè)務網(wǎng) 1業(yè)務網(wǎng) 2業(yè)務網(wǎng) n…… ………… 涉密網(wǎng)GSMGPRSInterPSTNCDMA77（ 2）政務內(nèi)網(wǎng) KM密鑰管理中心l 。 CA證書頒發(fā)機構(gòu)l ?？尚诺恼找徽臼椒誰 與外部網(wǎng)的互聯(lián) :主要有l(wèi) 。l 核心：統(tǒng)一的安全電子政務平臺l 電子政務網(wǎng)絡基礎設施的總體結(jié)構(gòu)，主要包括：l （ 1）統(tǒng)一的安全電子政務平臺l （ 2）政務內(nèi)網(wǎng)l （ 3）政務專網(wǎng)l （ 4）網(wǎng)絡安全結(jié)構(gòu)（接口） l l （ 1）統(tǒng)一的安全電子政務平臺1775（ 1）統(tǒng)一的安全電子政務平臺l 自身平臺： 系統(tǒng)結(jié)構(gòu) AA驗證PKC證書驗證通過AA判斷該用戶是否已注冊將提交信息寫入 DB 申請證書將角色信息寫入 DB生成證書取出用戶注冊信息用戶角色信息核實以上兩信息是否相符用戶提交PKC證書返回出錯信息 返回注冊頁面 返回用戶信息頁面 加密提交信息 用戶信息注冊結(jié)束 返回角色選擇頁面加密提交信息 NNNNYYNY通過審核 70l 10. 屬性證書分發(fā)的兩種模式（ “ 推 ”“ 拉 ” ）授權(quán)管理證書服務器 Inter 授權(quán)屬性證書應用目錄服務系統(tǒng)DB客戶端 拉 推 查詢 提交