網(wǎng)絡(luò)安全--認(rèn)證技術(shù)課件-免費(fèi)閱讀
【正文】 ? 證書廢除：證書持有者可以向 CA申請(qǐng)廢除證書。 CA的系統(tǒng)結(jié)構(gòu) PKI信任模型 ? 單一模型 CA ? 樹狀模型 CA ? 對(duì)等模型 CA ? 網(wǎng)狀模型 CA 單一模型 CA ? 比較理想的情況是建立單一的 CA，由它管理所有證書： ? 特殊的應(yīng)用領(lǐng)域有著特殊的安全需求（安全策略不同）。 ? A獲得 B的證書，并用 CA證書驗(yàn)證及檢查證書撤銷列表驗(yàn)證 B證書是否有效。 證書狀態(tài)查詢 ? 定期 下載 證書撤銷列表（ CRL）。 密鑰生命周期 密鑰產(chǎn)生 證書簽發(fā) 密鑰使用 證書檢驗(yàn) 密鑰過期 密鑰更新 證書管理 ? 證書注冊(cè) ? 證書存放 ? 證書撤銷 ? 證書驗(yàn)證 ? 證書狀態(tài)查詢 證書注冊(cè) ? 申請(qǐng)人提交證書請(qǐng)求。 ? 在需要撤銷時(shí)報(bào)告報(bào)告密鑰泄露或終止事件。 ? RA 系統(tǒng)是 CA系統(tǒng)的證書發(fā)放、管理的延伸，是整個(gè) CA中心得以正常運(yùn)營不可缺少的一部分。 ? 向申請(qǐng)者頒發(fā)、拒絕頒發(fā)數(shù)字證書（證書發(fā)放）。 CA組成 ? 簽名和加密服務(wù)器 ? 對(duì)于數(shù)字證書和被撤銷的數(shù)字證書，應(yīng)有認(rèn)證機(jī)構(gòu)的數(shù)字簽名。 ? CA機(jī)構(gòu)的數(shù)字簽名使得攻擊者不能偽造和篡改證書。 ? 目錄服務(wù)（資料庫）： PKI的一個(gè)重要組成部分，主要用于發(fā)布用戶的證書和證書作廢列表（黑名單）。 ? 密鑰備份及恢復(fù)系統(tǒng) ? 對(duì)用戶的解密密鑰進(jìn)行備份，當(dāng)丟失時(shí)進(jìn)行恢復(fù)，而簽名密鑰不用備份和恢復(fù)。 ? 認(rèn)證機(jī)構(gòu)簽名：用認(rèn)證機(jī)構(gòu)的私鑰生成的數(shù)字簽名。 ? 獲得證書的人只要信任這個(gè)證書授權(quán)中心，就可以相信他所獲得的證書。 PKI技術(shù)發(fā)展現(xiàn)狀及趨勢(shì) ? 自 20世紀(jì) 90年代初期以來，作為電子商務(wù)信息安全的關(guān)鍵和基礎(chǔ)性技術(shù)的 PKI逐步得到了廣泛重視，并由理論研究進(jìn)入到商業(yè)化應(yīng)用階段。 ? 其主要目的是通過 自動(dòng)管理密鑰和證書 ，為用戶建立起一個(gè)安全、可信的網(wǎng)絡(luò)運(yùn)行環(huán)境，使用戶可以在多種應(yīng)用環(huán)境下方便地使用 加密和數(shù)字簽名 技術(shù)，在互聯(lián)網(wǎng)上驗(yàn)證用戶的身份 ，從而保證了互聯(lián)網(wǎng)上所傳輸信息的真實(shí)性、完整性、機(jī)密性和不可否認(rèn)性?，F(xiàn)在 Bob可以假設(shè)任何知道 KAB的實(shí)體都代表 Alice。然后工作站就拋棄 Alice的主密鑰。 ? KDC有一個(gè)記錄實(shí)體名字和對(duì)應(yīng)主密鑰的數(shù)據(jù)庫。 ? 用戶將門票轉(zhuǎn)發(fā)給要訪問的遠(yuǎn)程服務(wù)，遠(yuǎn)程服務(wù)可以解密獲得用戶名字和會(huì)話密鑰。用戶可以和 KDC進(jìn)行安全通信 Alice請(qǐng)求 KDC分配一個(gè)會(huì)話密鑰，以與 Bob通信 KDC生成一個(gè)會(huì)話密鑰 KAB，并用 Alice的密鑰加密發(fā)給 Alice。網(wǎng)絡(luò)安全 認(rèn)證技術(shù) 身份認(rèn)證的概念 ? 身份認(rèn)證是計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)識(shí)別 操作者 身份的過程 ? 計(jì)算機(jī)網(wǎng)絡(luò)是一個(gè)虛擬的數(shù)字世界，用戶的身份信息是用一組特定的數(shù)據(jù)來表示的，計(jì)算機(jī)只能識(shí)別用戶的 數(shù)字身份 ，所有對(duì)用戶的 授權(quán)也是針對(duì)用戶數(shù)字身份的授權(quán) ? 現(xiàn)實(shí)世界是一個(gè)真實(shí)的物理世界，每個(gè)人都擁有獨(dú)一無二的 物理身份 ? 保證操作者的 物理身份 與 數(shù)字身份 相對(duì)應(yīng) 身份認(rèn)證的功能 ? 信息安全體系的目的是保證系統(tǒng)中的數(shù)據(jù)只能被有權(quán)限的“人”訪問，未經(jīng)授權(quán)的“人”無法訪問 ? 身份認(rèn)證是整個(gè)信息安全體系的基礎(chǔ) ? 用于解決訪問者的物理身份和數(shù)字身份的一致性問題，給其他安全技術(shù)提供 權(quán)限管理 的依據(jù) ? 防火墻、入侵檢測(cè)、 VPN、安全網(wǎng)關(guān)等安全技術(shù)建立在身份認(rèn)證之上 ? 針對(duì)數(shù)字身份進(jìn)行 權(quán)限管理 ，解決數(shù)字身份能干什么的問題 身份認(rèn)證的分類 ? 用戶與主機(jī)之間的認(rèn)證 – 認(rèn)證人的身份 ? 單機(jī)狀態(tài) 下的身份認(rèn)證 ? 計(jì)算機(jī)驗(yàn)證人的身份：你是否是你聲稱的那個(gè)人？ ? 人的存儲(chǔ)和計(jì)算能力有限 ? 記憶高數(shù)量的密碼密鑰困難 ? 執(zhí)行密碼運(yùn)算能力有限 ? 主機(jī)與主機(jī)之間的認(rèn)證 – 通信的初始認(rèn)證握手 ? 網(wǎng)絡(luò)環(huán)境 下的身份認(rèn)證 ? 計(jì)算機(jī)驗(yàn)證計(jì)算機(jī) ? 計(jì)算機(jī)存儲(chǔ)和計(jì)算能力強(qiáng)大 ? 能存儲(chǔ)高數(shù)量的密碼和密鑰 ? 能夠快速地進(jìn)行密碼運(yùn)算 認(rèn)證人的身份 認(rèn)證人的身份 ? 所知 (what you know) ? 密碼、口令 ? 所有 (what you have) ? 身份證、護(hù)照、智能卡等 ? 所是 (who you are) ? 指紋、 DNA等 用戶名 /密碼方式 ? 用戶設(shè)定密碼，計(jì)算機(jī)驗(yàn)證 ? 易泄露 ? 用戶經(jīng)常用 有意義的字符串 作為密碼 ? 用戶經(jīng)常把密碼抄在一個(gè)自己認(rèn)為安全的地方 ? 密碼是靜態(tài)的數(shù)據(jù)，每次驗(yàn)證過程使用的驗(yàn)證信息都是相同的，易被監(jiān)聽設(shè)備截獲 ? 用戶名 /密碼方式一種是極不安全的身份認(rèn)證方式 ? 可以說基本上沒有任何安全性可言 IC卡認(rèn)證 ? IC卡是一種內(nèi)置集成電路的卡片，卡片中存有與 用戶身份相關(guān)的數(shù)據(jù) ，可以認(rèn)為是不可復(fù)制的硬件 ? IC卡由合法用戶隨身攜帶，登錄時(shí)必須將 IC卡插入專用的 讀卡器 讀取其中的信息，以驗(yàn)證用戶的身份 ? IC卡硬件的不可復(fù)制可以保證用戶身份不會(huì)被仿冒 ? IC卡中讀取的數(shù)據(jù)還是 靜態(tài) 的 ? 通過內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽等技術(shù)還是很容易截取到用戶的身份驗(yàn)證信息 動(dòng)態(tài)口令 1 ? 是一種讓用戶的密碼按照 時(shí)間或使用次數(shù) 不斷動(dòng)態(tài)變化，每個(gè)密碼只使用一次的技術(shù)。同時(shí)，KDC還用 Bob的密鑰加密 KAB，交給 Alice轉(zhuǎn)發(fā)。 Kerberos的幾個(gè)概念 2 ? 門票分發(fā) 門票 ? 用戶提供 用戶名和口令 登錄到工作站， 主密鑰 根據(jù)其口令生成。這個(gè)數(shù)據(jù)庫用 KDC的主機(jī)密鑰 KKDC進(jìn)行加密。 用戶請(qǐng)求和遠(yuǎn)程節(jié)點(diǎn)通信 Alice 工作站 rlogin Bob 生成密鑰 KAB 解密 TGT得到 SA 解密認(rèn)證值 檢驗(yàn)時(shí)戳 Ticket=KB{“ Alice” , KAB} Alice wants Bob TGT=KKDC{“ Alice, SA} Authenticator=SA{timestamp} SA{“ Bob” , KAB, Ticket} KDC Alice請(qǐng)求訪問遠(yuǎn)程服務(wù) Bob 工作站將 TGT、名字 Bob和一個(gè)認(rèn)證值發(fā)給 KDC。 Bob解密認(rèn)證值并驗(yàn)證時(shí)戳，以確認(rèn)和它通信的實(shí)體確實(shí)知道 KAB，從而實(shí)現(xiàn)了對(duì) Alice工作站的認(rèn)證。 ? PKI是目前為止既能實(shí)現(xiàn)用戶 身份認(rèn)證 ，又能保證互聯(lián)網(wǎng)上所傳輸 數(shù)據(jù)安全 的惟一技術(shù)。 ? PKI技術(shù)經(jīng)過近十年的發(fā)展已日趨成熟，許多新技術(shù)還在不斷涌現(xiàn)， CA之間的信任模型、使用的加解密算法、密鑰管理的方案等也在不斷變化中。 數(shù)字證書的格式 ? 遵循 ITUT ? 版本號(hào)：用來區(qū)分 本 ? 序列號(hào)：每一個(gè)證書都有惟一的數(shù)字型編號(hào)。 數(shù)字證書的安全性 ? 證書是公開的，可復(fù)制的。 ? 證書撤銷處理系統(tǒng) ? 證書由于某種原因需要作廢，終止使用，將通過證書撤銷列表 CRL來實(shí)現(xiàn)。 PKI主要組件的簡介（續(xù)） ? 管理協(xié)議：用于管理證書的注冊(cè)、生效、發(fā)布和撤銷。它負(fù)責(zé)產(chǎn)生、分配并管理所有參與網(wǎng)上交易的個(gè)體所需的數(shù)字證書，因此是安全電子交易的核心環(huán)節(jié)。 ? 密鑰管理服務(wù)器 ? 與簽名加密服務(wù)器連接，按配置生成密鑰、撤銷密鑰、恢復(fù)密鑰和查詢密鑰。 ? 接受、處理最終用戶的數(shù)字證書更新請(qǐng)求（證書更新）。本質(zhì)上是 CA的功能組件。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1