【正文】 ? 證書(shū)廢除：證書(shū)持有者可以向 CA申請(qǐng)廢除證書(shū)。 CA的系統(tǒng)結(jié)構(gòu) PKI信任模型 ? 單一模型 CA ? 樹(shù)狀模型 CA ? 對(duì)等模型 CA ? 網(wǎng)狀模型 CA 單一模型 CA ? 比較理想的情況是建立單一的 CA，由它管理所有證書(shū)： ? 特殊的應(yīng)用領(lǐng)域有著特殊的安全需求（安全策略不同）。 ? A獲得 B的證書(shū)，并用 CA證書(shū)驗(yàn)證及檢查證書(shū)撤銷(xiāo)列表驗(yàn)證 B證書(shū)是否有效。 證書(shū)狀態(tài)查詢(xún) ? 定期 下載 證書(shū)撤銷(xiāo)列表（ CRL）。 密鑰生命周期 密鑰產(chǎn)生 證書(shū)簽發(fā) 密鑰使用 證書(shū)檢驗(yàn) 密鑰過(guò)期 密鑰更新 證書(shū)管理 ? 證書(shū)注冊(cè) ? 證書(shū)存放 ? 證書(shū)撤銷(xiāo) ? 證書(shū)驗(yàn)證 ? 證書(shū)狀態(tài)查詢(xún) 證書(shū)注冊(cè) ? 申請(qǐng)人提交證書(shū)請(qǐng)求。 ? 在需要撤銷(xiāo)時(shí)報(bào)告報(bào)告密鑰泄露或終止事件。 ? RA 系統(tǒng)是 CA系統(tǒng)的證書(shū)發(fā)放、管理的延伸，是整個(gè) CA中心得以正常運(yùn)營(yíng)不可缺少的一部分。 ? 向申請(qǐng)者頒發(fā)、拒絕頒發(fā)數(shù)字證書(shū)（證書(shū)發(fā)放）。 CA組成 ? 簽名和加密服務(wù)器 ? 對(duì)于數(shù)字證書(shū)和被撤銷(xiāo)的數(shù)字證書(shū)，應(yīng)有認(rèn)證機(jī)構(gòu)的數(shù)字簽名。 ? CA機(jī)構(gòu)的數(shù)字簽名使得攻擊者不能偽造和篡改證書(shū)。 ? 目錄服務(wù)（資料庫(kù)）： PKI的一個(gè)重要組成部分，主要用于發(fā)布用戶(hù)的證書(shū)和證書(shū)作廢列表（黑名單）。 ? 密鑰備份及恢復(fù)系統(tǒng) ? 對(duì)用戶(hù)的解密密鑰進(jìn)行備份，當(dāng)丟失時(shí)進(jìn)行恢復(fù)，而簽名密鑰不用備份和恢復(fù)。 ? 認(rèn)證機(jī)構(gòu)簽名：用認(rèn)證機(jī)構(gòu)的私鑰生成的數(shù)字簽名。 ? 獲得證書(shū)的人只要信任這個(gè)證書(shū)授權(quán)中心，就可以相信他所獲得的證書(shū)。 PKI技術(shù)發(fā)展現(xiàn)狀及趨勢(shì) ? 自 20世紀(jì) 90年代初期以來(lái)，作為電子商務(wù)信息安全的關(guān)鍵和基礎(chǔ)性技術(shù)的 PKI逐步得到了廣泛重視，并由理論研究進(jìn)入到商業(yè)化應(yīng)用階段。 ? 其主要目的是通過(guò) 自動(dòng)管理密鑰和證書(shū) ，為用戶(hù)建立起一個(gè)安全、可信的網(wǎng)絡(luò)運(yùn)行環(huán)境，使用戶(hù)可以在多種應(yīng)用環(huán)境下方便地使用 加密和數(shù)字簽名 技術(shù)，在互聯(lián)網(wǎng)上驗(yàn)證用戶(hù)的身份 ，從而保證了互聯(lián)網(wǎng)上所傳輸信息的真實(shí)性、完整性、機(jī)密性和不可否認(rèn)性?，F(xiàn)在 Bob可以假設(shè)任何知道 KAB的實(shí)體都代表 Alice。然后工作站就拋棄 Alice的主密鑰。 ? KDC有一個(gè)記錄實(shí)體名字和對(duì)應(yīng)主密鑰的數(shù)據(jù)庫(kù)。 ? 用戶(hù)將門(mén)票轉(zhuǎn)發(fā)給要訪問(wèn)的遠(yuǎn)程服務(wù)，遠(yuǎn)程服務(wù)可以解密獲得用戶(hù)名字和會(huì)話(huà)密鑰。用戶(hù)可以和 KDC進(jìn)行安全通信 Alice請(qǐng)求 KDC分配一個(gè)會(huì)話(huà)密鑰，以與 Bob通信 KDC生成一個(gè)會(huì)話(huà)密鑰 KAB，并用 Alice的密鑰加密發(fā)給 Alice。網(wǎng)絡(luò)安全 認(rèn)證技術(shù) 身份認(rèn)證的概念 ? 身份認(rèn)證是計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)識(shí)別 操作者 身份的過(guò)程 ? 計(jì)算機(jī)網(wǎng)絡(luò)是一個(gè)虛擬的數(shù)字世界，用戶(hù)的身份信息是用一組特定的數(shù)據(jù)來(lái)表示的，計(jì)算機(jī)只能識(shí)別用戶(hù)的 數(shù)字身份 ，所有對(duì)用戶(hù)的 授權(quán)也是針對(duì)用戶(hù)數(shù)字身份的授權(quán) ? 現(xiàn)實(shí)世界是一個(gè)真實(shí)的物理世界，每個(gè)人都擁有獨(dú)一無(wú)二的 物理身份 ? 保證操作者的 物理身份 與 數(shù)字身份 相對(duì)應(yīng) 身份認(rèn)證的功能 ? 信息安全體系的目的是保證系統(tǒng)中的數(shù)據(jù)只能被有權(quán)限的“人”訪問(wèn)，未經(jīng)授權(quán)的“人”無(wú)法訪問(wèn) ? 身份認(rèn)證是整個(gè)信息安全體系的基礎(chǔ) ? 用于解決訪問(wèn)者的物理身份和數(shù)字身份的一致性問(wèn)題，給其他安全技術(shù)提供 權(quán)限管理 的依據(jù) ? 防火墻、入侵檢測(cè)、 VPN、安全網(wǎng)關(guān)等安全技術(shù)建立在身份認(rèn)證之上 ? 針對(duì)數(shù)字身份進(jìn)行 權(quán)限管理 ，解決數(shù)字身份能干什么的問(wèn)題 身份認(rèn)證的分類(lèi) ? 用戶(hù)與主機(jī)之間的認(rèn)證 – 認(rèn)證人的身份 ? 單機(jī)狀態(tài) 下的身份認(rèn)證 ? 計(jì)算機(jī)驗(yàn)證人的身份：你是否是你聲稱(chēng)的那個(gè)人？ ? 人的存儲(chǔ)和計(jì)算能力有限 ? 記憶高數(shù)量的密碼密鑰困難 ? 執(zhí)行密碼運(yùn)算能力有限 ? 主機(jī)與主機(jī)之間的認(rèn)證 – 通信的初始認(rèn)證握手 ? 網(wǎng)絡(luò)環(huán)境 下的身份認(rèn)證 ? 計(jì)算機(jī)驗(yàn)證計(jì)算機(jī) ? 計(jì)算機(jī)存儲(chǔ)和計(jì)算能力強(qiáng)大 ? 能存儲(chǔ)高數(shù)量的密碼和密鑰 ? 能夠快速地進(jìn)行密碼運(yùn)算 認(rèn)證人的身份 認(rèn)證人的身份 ? 所知 (what you know) ? 密碼、口令 ? 所有 (what you have) ? 身份證、護(hù)照、智能卡等 ? 所是 (who you are) ? 指紋、 DNA等 用戶(hù)名 /密碼方式 ? 用戶(hù)設(shè)定密碼，計(jì)算機(jī)驗(yàn)證 ? 易泄露 ? 用戶(hù)經(jīng)常用 有意義的字符串 作為密碼 ? 用戶(hù)經(jīng)常把密碼抄在一個(gè)自己認(rèn)為安全的地方 ? 密碼是靜態(tài)的數(shù)據(jù)，每次驗(yàn)證過(guò)程使用的驗(yàn)證信息都是相同的，易被監(jiān)聽(tīng)設(shè)備截獲 ? 用戶(hù)名 /密碼方式一種是極不安全的身份認(rèn)證方式 ? 可以說(shuō)基本上沒(méi)有任何安全性可言 IC卡認(rèn)證 ? IC卡是一種內(nèi)置集成電路的卡片，卡片中存有與 用戶(hù)身份相關(guān)的數(shù)據(jù) ，可以認(rèn)為是不可復(fù)制的硬件 ? IC卡由合法用戶(hù)隨身攜帶，登錄時(shí)必須將 IC卡插入專(zhuān)用的 讀卡器 讀取其中的信息，以驗(yàn)證用戶(hù)的身份 ? IC卡硬件的不可復(fù)制可以保證用戶(hù)身份不會(huì)被仿冒 ? IC卡中讀取的數(shù)據(jù)還是 靜態(tài) 的 ? 通過(guò)內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽(tīng)等技術(shù)還是很容易截取到用戶(hù)的身份驗(yàn)證信息 動(dòng)態(tài)口令 1 ? 是一種讓用戶(hù)的密碼按照 時(shí)間或使用次數(shù) 不斷動(dòng)態(tài)變化，每個(gè)密碼只使用一次的技術(shù)。同時(shí)，KDC還用 Bob的密鑰加密 KAB，交給 Alice轉(zhuǎn)發(fā)。 Kerberos的幾個(gè)概念 2 ? 門(mén)票分發(fā) 門(mén)票 ? 用戶(hù)提供 用戶(hù)名和口令 登錄到工作站， 主密鑰 根據(jù)其口令生成。這個(gè)數(shù)據(jù)庫(kù)用 KDC的主機(jī)密鑰 KKDC進(jìn)行加密。 用戶(hù)請(qǐng)求和遠(yuǎn)程節(jié)點(diǎn)通信 Alice 工作站 rlogin Bob 生成密鑰 KAB 解密 TGT得到 SA 解密認(rèn)證值 檢驗(yàn)時(shí)戳 Ticket=KB{“ Alice” , KAB} Alice wants Bob TGT=KKDC{“ Alice, SA} Authenticator=SA{timestamp} SA{“ Bob” , KAB, Ticket} KDC Alice請(qǐng)求訪問(wèn)遠(yuǎn)程服務(wù) Bob 工作站將 TGT、名字 Bob和一個(gè)認(rèn)證值發(fā)給 KDC。 Bob解密認(rèn)證值并驗(yàn)證時(shí)戳，以確認(rèn)和它通信的實(shí)體確實(shí)知道 KAB，從而實(shí)現(xiàn)了對(duì) Alice工作站的認(rèn)證。 ? PKI是目前為止既能實(shí)現(xiàn)用戶(hù) 身份認(rèn)證 ，又能保證互聯(lián)網(wǎng)上所傳輸 數(shù)據(jù)安全 的惟一技術(shù)。 ? PKI技術(shù)經(jīng)過(guò)近十年的發(fā)展已日趨成熟，許多新技術(shù)還在不斷涌現(xiàn)， CA之間的信任模型、使用的加解密算法、密鑰管理的方案等也在不斷變化中。 數(shù)字證書(shū)的格式 ? 遵循 ITUT ? 版本號(hào)：用來(lái)區(qū)分 本 ? 序列號(hào)：每一個(gè)證書(shū)都有惟一的數(shù)字型編號(hào)。 數(shù)字證書(shū)的安全性 ? 證書(shū)是公開(kāi)的，可復(fù)制的。 ? 證書(shū)撤銷(xiāo)處理系統(tǒng) ? 證書(shū)由于某種原因需要作廢，終止使用，將通過(guò)證書(shū)撤銷(xiāo)列表 CRL來(lái)實(shí)現(xiàn)。 PKI主要組件的簡(jiǎn)介（續(xù)） ? 管理協(xié)議：用于管理證書(shū)的注冊(cè)、生效、發(fā)布和撤銷(xiāo)。它負(fù)責(zé)產(chǎn)生、分配并管理所有參與網(wǎng)上交易的個(gè)體所需的數(shù)字證書(shū)，因此是安全電子交易的核心環(huán)節(jié)。 ? 密鑰管理服務(wù)器 ? 與簽名加密服務(wù)器連接，按配置生成密鑰、撤銷(xiāo)密鑰、恢復(fù)密鑰和查詢(xún)密鑰。 ? 接受、處理最終用戶(hù)的數(shù)字證書(shū)更新請(qǐng)求（證書(shū)更新）。本質(zhì)上是 CA的功能組件。