網(wǎng)絡(luò)與內(nèi)容安全-004密鑰管理與pki技術(shù)-文庫(kù)吧在線文庫(kù)
【正文】 1. 密鑰管理概述 2. 基本概念 3. 密鑰建立模型 4. 公鑰傳輸機(jī)制 5. 密鑰傳輸機(jī)制 6. 密鑰導(dǎo)出機(jī)制 7. PKI技術(shù) 23 密鑰傳輸機(jī)制 ? 密鑰傳輸 —— 通信雙方中一方所掌握的密鑰通過(guò)保密方式傳給另一方的過(guò)程 ? 使用對(duì)稱密碼技術(shù)的傳輸要求通信雙方事先共享一個(gè)傳輸密鑰 24 使用對(duì)稱密碼技術(shù)的密鑰傳輸機(jī)制 改進(jìn)： T—— 時(shí)間戳； N—— 唯一序列號(hào)； IDB—— B的唯一標(biāo)識(shí) 可防止重放攻擊 基本的密鑰傳輸方法：公鑰加密、公鑰解密 25 Shamir設(shè)計(jì)的 3次傳遞協(xié)議 可交換的對(duì)稱密碼算法： EA(EB(P))=EB(EA(P)) DA(EB(EA(key)))=DA(EA(EB(key)))=EB(key) 無(wú)法防止中間人攻擊 26 使用對(duì)稱密碼技術(shù)和可信第三方的密鑰傳輸機(jī)制 KAT、 KBT： A、 B事先與 TTP共享的密鑰 27 使用公鑰密碼技術(shù)的點(diǎn)到點(diǎn)的密鑰傳輸機(jī)制 SignAS：使用 A的私鑰 AS簽名 前提：都知道對(duì)方的公鑰 時(shí)間戳 T的使用可以抵制重放攻擊 28 同時(shí)使用公鑰密碼技術(shù)和對(duì)稱密碼技術(shù)的密鑰傳輸機(jī)制 K’ ：公鑰； K：隨機(jī)會(huì)話密鑰； RA、 RB：隨機(jī)串 確認(rèn)要點(diǎn) ： 協(xié)議的有效性； A、 B均知道 K 29 第四章密鑰管理與 PKI技術(shù) 1. 密鑰管理概述 2. 基本概念 3. 密鑰建立模型 4. 公鑰傳輸機(jī)制 5. 密鑰傳輸機(jī)制 6. 密鑰導(dǎo)出機(jī)制 7. PKI技術(shù) 30 基本密鑰導(dǎo)出 新的會(huì)話密鑰 K 是由通信雙方 A 和 B 共享的密鑰 KAB和一個(gè)不用保密的參數(shù) F 通過(guò)合適的方式計(jì)算出來(lái)的。 48 8 PKI安全策略 (Cont.) CPS所包含的主要內(nèi)容 確認(rèn)手續(xù) 證書(shū)的范圍 授權(quán) 證書(shū)周期 交叉認(rèn)證 保護(hù)絕密資料 不同的密鑰 確認(rèn)證書(shū) 證書(shū)撤銷(xiāo)列表 CRL的發(fā)布點(diǎn) 在線證書(shū)狀態(tài)協(xié)議（ OCSP） 49 9 認(rèn)證中心 CA(Certificate Authority) PKI的核心組成部分 PKI的信任基礎(chǔ) 可信第三方 CA主要功能 發(fā)放證書(shū)。 RA 受理點(diǎn) 受理點(diǎn) RA 受理點(diǎn) CA 受理點(diǎn) KMC 77 證書(shū)受理點(diǎn) RA 操作端 ? 收集和管理申報(bào)材料和信息 ? 錄入身份信息 ? 初步審核與提交身份信息 ? 制作數(shù)字證書(shū) ? 發(fā)放數(shù)字證書(shū) RA 受理點(diǎn) 受理點(diǎn) RA 受理點(diǎn) CA 受理點(diǎn) KMC 78 RA 受理點(diǎn) 受理點(diǎn) RA 受理點(diǎn) CA 受理點(diǎn) 密鑰管理中心 KMC ? 密鑰的生成 ? 密鑰的分發(fā) ? 密鑰的備份 ? 密鑰的恢復(fù) ? 密鑰的更新 ? 密鑰的歸檔 ? 密鑰查詢 ? 密鑰銷(xiāo)毀 KMC 79 End users Facetoface 受理點(diǎn) 受理點(diǎn) RA D/B RA D/B RA D/B 受理點(diǎn) CA HSM D/B CA HSM D/B CA Cross Certification CA HSM D/B Directory Services LDAPv3, DAP End User Domain PKI enabled applications LDAP PKIX CMP, Cert Signing Algorithms RSA, DSA, ECDSA PKIX PKCS1 PKCS11 PKI系統(tǒng)標(biāo)準(zhǔn)結(jié)構(gòu) SPKM KMC 80 PKI系統(tǒng)如何工作 一個(gè)新用戶申請(qǐng)證書(shū) u 獲取用戶的身份信息 u 進(jìn)行證書(shū)廢止檢查 u 檢查證書(shū)的有效期 u 校驗(yàn)數(shù)字證書(shū) u 解密數(shù)據(jù) 證書(shū)下載到用戶本地 審核通過(guò)的注冊(cè)請(qǐng)求發(fā)送給CA 證書(shū)同時(shí)要被發(fā)布出去 應(yīng)用程序通過(guò)證書(shū)： RA系統(tǒng)審核用戶身份 發(fā)送注冊(cè)信息給 RA CA為用戶簽發(fā)證書(shū)下載憑證 ... RA將證書(shū)下載憑證發(fā)放給用戶 CA RA 使用數(shù)字證書(shū)的用戶之間通過(guò) CA（ 一個(gè)可信的第三方）來(lái)建立信任關(guān)系 Applications and other users Directory 提交證書(shū)申請(qǐng)請(qǐng)求 81 證書(shū) /密鑰的存儲(chǔ) ? 存儲(chǔ)信息 – 用戶的證書(shū) – 用戶的私鑰 – CA根證書(shū) ? 存儲(chǔ)設(shè)備 – 硬盤(pán) – 軟盤(pán) – IC卡 – Others，如： USB Key 82 167。 92 thirdparty trust 38 PKI/CA的信任機(jī)制 Certification Authority trust Alice trust Bob 93 39 CA信任關(guān)系 交叉認(rèn)證：一個(gè) CA認(rèn)證另一個(gè) CA所頒發(fā)的公鑰證書(shū) Cross Certify CA Domain CA Domain Alice Bob Carol Ted Certification Authority Certification Authority thirdparty trust 97 43 層次結(jié)構(gòu) CA中證書(shū)的驗(yàn)證 CA層次結(jié)構(gòu) 根 CA 中間 CA 98 44 Alice
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1