網(wǎng)絡(luò)安全--認(rèn)證技術(shù)課件-預(yù)覽頁(yè)
【正文】 “ bKDCA” ) 訪問(wèn) bKDC的證書(shū) aKDC bKDC REQ(“ AliceA” , “ BobB” ) 訪問(wèn) Bob的證書(shū) 登錄請(qǐng)求 Kerberos v4的缺陷 ? 依賴性 ? 對(duì) IP協(xié)議的依賴性和對(duì)時(shí)間依賴性 ? 門票有效期一般為 5分鐘到 21小時(shí)，往往不能滿足需求 ? 領(lǐng)域間的鑒別、管理困難 ? 非標(biāo)準(zhǔn)的 DES加密，易受攻擊 ? 未對(duì)用戶口令進(jìn)行額外保護(hù)，易受攻擊 Kerberos v5 的改進(jìn) ? 支持任何加密技術(shù) ? 除 IP協(xié)議以外，還支持其它通信協(xié)議 ? 門票有效期：任意長(zhǎng)度 ? 具有鑒別轉(zhuǎn)發(fā)能力 ? 更有效的方法來(lái)解決域間認(rèn)證問(wèn)題 ? 提供一種預(yù)鑒別機(jī)制，使得口令攻擊更困難 PKI技術(shù) 安全的主要威脅 ? 假冒：指非法用戶假冒合法用戶身份獲取敏感信息； ? 截?。褐阜欠ㄓ脩艚孬@通信網(wǎng)絡(luò)的數(shù)據(jù)； ? 篡改：指非法用戶改動(dòng)所截獲的信息和數(shù)據(jù)； ? 否認(rèn)：指通信的單方或多方事后否認(rèn)曾經(jīng)參與某次活動(dòng)； 常見(jiàn)的解決方法 信息竊取 信息冒充 信息篡改 信息抵賴 加密技術(shù) 完整性技術(shù) 認(rèn)證技術(shù) 數(shù)字簽名 PKI的含義 ? PKI(Public Key Infrastructure，公鑰基礎(chǔ)設(shè)施 )，是一個(gè) 基于公鑰概念和技術(shù) 實(shí)現(xiàn)的、具有通用性的安全基礎(chǔ)設(shè)施。 ? 其主要目的是通過(guò) 自動(dòng)管理密鑰和證書(shū) ，為用戶建立起一個(gè)安全、可信的網(wǎng)絡(luò)運(yùn)行環(huán)境，使用戶可以在多種應(yīng)用環(huán)境下方便地使用 加密和數(shù)字簽名 技術(shù)，在互聯(lián)網(wǎng)上驗(yàn)證用戶的身份 ，從而保證了互聯(lián)網(wǎng)上所傳輸信息的真實(shí)性、完整性、機(jī)密性和不可否認(rèn)性。 ? 提供信息安全服務(wù)的具有 普適性 的安全基礎(chǔ)設(shè)施。 PKI技術(shù)發(fā)展現(xiàn)狀及趨勢(shì) ? 自 20世紀(jì) 90年代初期以來(lái)，作為電子商務(wù)信息安全的關(guān)鍵和基礎(chǔ)性技術(shù)的 PKI逐步得到了廣泛重視，并由理論研究進(jìn)入到商業(yè)化應(yīng)用階段。 ? 國(guó)內(nèi)的這些認(rèn)證中心可分為三大類：行業(yè)性認(rèn)證中心、區(qū)域性認(rèn)證中心和純商業(yè)性認(rèn)證中心。 ? 獲得證書(shū)的人只要信任這個(gè)證書(shū)授權(quán)中心，就可以相信他所獲得的證書(shū)。 ? 主體公鑰信息：和該主體私鑰相對(duì)應(yīng)的公鑰。 ? 認(rèn)證機(jī)構(gòu)簽名：用認(rèn)證機(jī)構(gòu)的私鑰生成的數(shù)字簽名。 ? 證書(shū)的安全性依賴于 CA的私鑰。 ? 密鑰備份及恢復(fù)系統(tǒng) ? 對(duì)用戶的解密密鑰進(jìn)行備份，當(dāng)丟失時(shí)進(jìn)行恢復(fù)，而簽名密鑰不用備份和恢復(fù)。公鑰證書(shū)是PKI的基本部件。 ? 目錄服務(wù)（資料庫(kù)）： PKI的一個(gè)重要組成部分，主要用于發(fā)布用戶的證書(shū)和證書(shū)作廢列表（黑名單）。 ? 在大多數(shù)情況下，操作協(xié)議與現(xiàn)有協(xié)議（如 Ftp、 Http、Ldap等）共同合作。 ? CA機(jī)構(gòu)的數(shù)字簽名使得攻擊者不能偽造和篡改證書(shū)。 ? 美國(guó)防部定義：一個(gè)授權(quán)產(chǎn)生，簽名，發(fā)放公鑰證書(shū)的實(shí)體。 CA組成 ? 簽名和加密服務(wù)器 ? 對(duì)于數(shù)字證書(shū)和被撤銷的數(shù)字證書(shū)，應(yīng)有認(rèn)證機(jī)構(gòu)的數(shù)字簽名。 ? 在線證書(shū)狀態(tài)查詢服務(wù)器 ? 證書(shū)用戶隨時(shí)都知道某個(gè)證書(shū)的最新?tīng)顟B(tài)。 ? 向申請(qǐng)者頒發(fā)、拒絕頒發(fā)數(shù)字證書(shū)（證書(shū)發(fā)放）。 ? 數(shù)字證書(shū)的歸檔。 ? RA 系統(tǒng)是 CA系統(tǒng)的證書(shū)發(fā)放、管理的延伸，是整個(gè) CA中心得以正常運(yùn)營(yíng)不可缺少的一部分。 ? 在任何環(huán)境下， RA都不發(fā)起關(guān)于主體的可信聲明。 ? 在需要撤銷時(shí)報(bào)告報(bào)告密鑰泄露或終止事件。 ? 認(rèn)證機(jī)構(gòu)代表主體開(kāi)始注冊(cè)過(guò)程。 密鑰生命周期 密鑰產(chǎn)生 證書(shū)簽發(fā) 密鑰使用 證書(shū)檢驗(yàn) 密鑰過(guò)期 密鑰更新 證書(shū)管理 ? 證書(shū)注冊(cè) ? 證書(shū)存放 ? 證書(shū)撤銷 ? 證書(shū)驗(yàn)證 ? 證書(shū)狀態(tài)查詢 證書(shū)注冊(cè) ? 申請(qǐng)人提交證書(shū)請(qǐng)求。 RA CA 帶外請(qǐng)求 終端 實(shí)體 證書(shū)庫(kù) 證書(shū)驗(yàn)證 ? 使用 CA證書(shū)驗(yàn)證其他終端實(shí)體證書(shū)有效性。 證書(shū)狀態(tài)查詢 ? 定期 下載 證書(shū)撤銷列表（ CRL）。 ? 5）接受方接收信件，根據(jù)終端用戶標(biāo)識(shí)向證書(shū)庫(kù)查詢證書(shū)的狀態(tài)； ? 6）下載終端用戶證書(shū)并用其公鑰驗(yàn)證數(shù)字簽名，確定電子信件數(shù)字簽名的有效性； 證書(shū)機(jī)構(gòu) CA 證書(shū)庫(kù) 終端用 戶 接受方 3 1 2 4 6 5 數(shù)字證書(shū)的應(yīng)用（ 1） ? 現(xiàn)有持證人 A向持證人 B傳送數(shù)字信息，為了保證信息傳送的真實(shí)性、完整性和不可否認(rèn)性，需要對(duì)要傳送的信息進(jìn)行數(shù)據(jù)加密和數(shù)字簽名，其傳送過(guò)程如下： ? A準(zhǔn)備好要傳送的數(shù)字信息（明文）。 ? A獲得 B的證書(shū)，并用 CA證書(shū)驗(yàn)證及檢查證書(shū)撤銷列表驗(yàn)證 B證書(shū)是否有效。 ? B獲得 A的證書(shū)，并用 CA證書(shū)驗(yàn)證及檢查證書(shū)撤銷列表驗(yàn)證 A證書(shū)是否有效。 CA的系統(tǒng)結(jié)構(gòu) PKI信任模型 ? 單一模型 CA ? 樹(shù)狀模型 CA ? 對(duì)等模型 CA ? 網(wǎng)狀模型 CA 單一模型 CA ? 比較理想的情況是建立單一的 CA，由它管理所有證書(shū)： ? 特殊的應(yīng)用領(lǐng)域有著特殊的安全需求（安全策略不同）。 樹(shù)狀模型 CA A B 根 CA A, B均用 根 CA所發(fā) 證書(shū)完成 初始化 樹(shù)狀模型 CA（續(xù)） 頒發(fā)者 南信大 主體公鑰 主體 南信大 南信大 CA簽名 頒發(fā)者 南信大 主體公鑰 主體 計(jì)軟院 南信大 CA簽名 頒發(fā)者 計(jì)軟院 主體公鑰 主體 張三 計(jì)軟院 CA簽名 計(jì)軟院的公 /私鑰對(duì) 南信大的公 /私鑰對(duì) 對(duì)等模型 CA B A B A A B 對(duì)等模型 CA（續(xù)） 頒發(fā)者 計(jì)算機(jī)學(xué)院 主體公鑰 主體 信息工程學(xué)院 計(jì)算機(jī)學(xué)院 CA簽名 頒發(fā)者 信息工程學(xué)院 主體公鑰 主體 計(jì)算機(jī)學(xué)院 信息工程學(xué)院 CA簽名 頒發(fā)者 計(jì)算機(jī)學(xué)院 主體公鑰 主體 李四 計(jì)算機(jī)學(xué)院 CA簽名 李四的公 /私鑰對(duì) 信息工程學(xué)院 的公 /私鑰對(duì) 計(jì)算機(jī)學(xué)院 的公 /私鑰對(duì) 頒發(fā)者 信息工程學(xué)院 主體公鑰 主體 張三 信息工程學(xué)院 CA簽名 張三的公 /私鑰對(duì) 橋 CA 不同信任域之間的橋梁 CA，主要負(fù)責(zé)為不同信任域的根 CA頒發(fā)交叉認(rèn)證的證書(shū)，建立各個(gè)信任域的擔(dān)保等級(jí)與橋 CA的擔(dān)保等級(jí)之間的一一映射關(guān)系，更新交叉認(rèn)證證書(shū)，發(fā)布交叉認(rèn)證證書(shū)注銷黑名單。 ? 證書(shū)廢除：證書(shū)持有者可以向 CA申請(qǐng)廢除證書(shū)。 PKI應(yīng)用的考慮 ? 性能 ? 盡量少用公鑰加解密操作，在實(shí)用中，往往結(jié)合對(duì)稱密碼技術(shù)，避免對(duì)大量數(shù)據(jù)作加解密操作 ? 除非需要數(shù)據(jù)來(lái)源認(rèn)證才使用簽名技術(shù)，否則就使用 MAC或者 HMAC實(shí)現(xiàn)數(shù)據(jù)完整性檢驗(yàn) ? 在線和離線模型 ? 簽名的驗(yàn)證可以在離線情況下完成 ? 用公鑰實(shí)現(xiàn)保密性也可以在離線情況下完成 ? 離線模式的問(wèn)題：無(wú)法獲得最新的證書(shū)注銷信息 ? 證書(shū)中所支持算法的通用性 ? 在提供實(shí)際的服務(wù)之前，必須協(xié)商到一致的算法 ? 個(gè)體命名 ? 如何命名一個(gè)安全個(gè)體，取決于 CA的命名登記管理工作 謝謝！ 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1