網(wǎng)絡(luò)與內(nèi)容安全-004密鑰管理與pki技術(shù)2(存儲版)
【正文】 A Cross Certification CA HSM D/B Directory Services LDAPv3, DAP End User Domain PKI enabled applications LDAP PKIX CMP, Cert Signing Algorithms RSA, DSA, ECDSA PKIX PKCS1 PKCS11 PKI系統(tǒng)標準結(jié)構(gòu) SPKM KMC 48 PKI系統(tǒng)如何工作 一個新用戶申請證書 ? 獲取用戶的身份信息 ? 進行證書廢止檢查 ? 檢查證書的有效期 ? 校驗數(shù)字證書 ? 解密數(shù)據(jù) 證書下載到用戶本地 審核通過的注冊請求發(fā)送給CA 證書同時要被發(fā)布出去 應(yīng)用程序通過證書： RA系統(tǒng)審核用戶身份 發(fā)送注冊信息給 RA CA為用戶簽發(fā)證書下載憑證 ... RA將證書下載憑證發(fā)放給用戶 CA RA 使用數(shù)字證書的用戶之間通過 CA（ 一個可信的第三方）來建立信任關(guān)系 Applications and other users Directory 提交證書申請請求 49 證書 /密鑰的存儲 ? 存儲信息 – 用戶的證書 – 用戶的私鑰 – CA根證書 ? 存儲設(shè)備 – 硬盤 – 軟盤 – IC卡 – Others，如： USB Key 50 ? 保證業(yè)務(wù)用戶或者是系統(tǒng)服務(wù)器的身份認證 ? 保證業(yè)務(wù)數(shù)據(jù)的保密性 ? 保證業(yè)務(wù)操作的不可抵賴性 ? 保證數(shù)據(jù)的完整性 ? 結(jié)合業(yè)務(wù)邏輯方便的實現(xiàn)訪問控制 數(shù)字證書 數(shù)據(jù)加密 數(shù)據(jù)簽名 +數(shù)字時間戳 數(shù)據(jù)簽名 數(shù)字證書擴展應(yīng)用 建設(shè) PKI的必要性 52 30 證書管理系統(tǒng) 53 31 證書管理系統(tǒng) (Cont.) 信任源 負責整個 CA體系的管理 一般采用離線工作方式 54 32 證書管理系統(tǒng) (Cont.) 管理下級機構(gòu)和終端用 戶的證書 通過 RA向終端用戶提供 證書的相關(guān)服務(wù) 55 33 證書管理系統(tǒng) (Cont.) 為 CA系統(tǒng)提供密鑰服務(wù) 56 34 CA系統(tǒng)安全性 物理安全 通信安全 密鑰安全 安全審計 人員安全 57 35 證書簽發(fā)邏輯流程 ⑶向 KMC申請密 鑰對 ⑺ 將 Key 與 RA鏈接 KMC 58 36 證書的應(yīng)用 59 37 證書驗證 當證書持有者 A想與證書持有者 B通信時，他首先查找數(shù)據(jù)庫并 得到一個從證書持有者 A到證書持有者 B的證書路徑（ Certific ation Path）和證書持有者 B的公鑰。 16 8 PKI安全策略 (Cont.) CPS所包含的主要內(nèi)容 確認手續(xù) 證書的范圍 授權(quán) 證書周期 交叉認證 保護絕密資料 不同的密鑰 確認證書 證書撤銷列表 CRL的發(fā)布點 在線證書狀態(tài)協(xié)議（ OCSP） 17 9 認證中心 CA(Certificate Authority) PKI的核心組成部分 PKI的信任基礎(chǔ) 可信第三方 CA主要功能 發(fā)放證書。兩把密鑰同時產(chǎn)生；一把為公鑰，另一把為私鑰；因此也被稱為一對密鑰。 數(shù)據(jù)審核。 60 thirdparty trust 38 PKI/CA的信任機制 Certification Authority trust Alice trust Bob 61 39 CA信任關(guān)系 交叉認證：一個 CA認證另一個 CA所頒發(fā)的公鑰證書 Cross Certify CA Domain CA Domain Alice Bob Carol Ted Certification Authority Certification Authority thirdparty
教學課件相關(guān)推薦
鄂ICP備17016276號-1