【正文】 管理 PKI結(jié)構(gòu)下的所有用戶，包括各種應(yīng)用程序的證書，將用戶的公鑰和用戶的其他信息捆綁在一起，在網(wǎng)上驗(yàn)證用戶的身份， CA還要負(fù)責(zé)用戶證書的證書注銷列表登記和證書注銷列表發(fā)布。19安全基礎(chǔ)設(shè)施 提供的安全服務(wù)l l 實(shí)施單一、可信的安全技術(shù)，提供與設(shè)備無關(guān)的安全服務(wù)，保證應(yīng)用程序、設(shè)備和服務(wù)器無縫地協(xié)調(diào)工作，安全地傳輸、存儲和檢索數(shù)據(jù)、進(jìn)行事物處理、訪問服務(wù)器等。14l 2023年，我國境內(nèi)至少 有 APT特征的木馬程序，涉及大量政府部門、重要信息系統(tǒng)以及高新技術(shù)企事業(yè)單位，木馬控制服務(wù)器絕大多數(shù)位于境外。全球網(wǎng)絡(luò)經(jīng)濟(jì)犯罪造成約 5000億美元的損失。判 2年其他例子l l 例如，無線應(yīng)用中的手機(jī)等移動設(shè)備組成了無線的分布網(wǎng)絡(luò)，其所需的基站、無線網(wǎng)橋、甚至衛(wèi)星等，都屬于基礎(chǔ)設(shè)施范疇5l 數(shù)字珍珠港， USA海軍軍事學(xué)院和 Gartner，2023年模擬恐怖分子對美國基礎(chǔ)設(shè)施進(jìn)行數(shù)字襲擊。1第 2講 基礎(chǔ)設(shè)施 基礎(chǔ)設(shè)施的地位l 需要實(shí)現(xiàn) “應(yīng)用支撐 ”的功能，可以讓 “應(yīng)用 ”正常地工作3l 易于使用，界面簡潔l 基礎(chǔ)設(shè)施提供的服務(wù)可以預(yù)測并有效l 應(yīng)用設(shè)備無須了解基礎(chǔ)設(shè)施的工作原理l 例如，電力系統(tǒng)中的電燈4l 在電子通信網(wǎng)絡(luò)中，凡是用以連接不同的計(jì)算機(jī)，使之可以互聯(lián)互通的一切基礎(chǔ)元素都屬于網(wǎng)絡(luò)基礎(chǔ)設(shè)施的概念，是包括所有的硬件、軟件、人員、策略和規(guī)程的總和。 2023年 5月 9日，美國宣布破獲一起跨國黑客犯罪集團(tuán)通過 “黑 ”進(jìn)銀行預(yù)付借記卡系統(tǒng)，在 ATM自動取款機(jī)上盜取了總計(jì)高達(dá) 4500萬美元的巨款10l 2023年 其中，對我國大陸地區(qū)進(jìn)行網(wǎng)站攻擊最頻繁的國家和地區(qū)為：美國（ 42%）、日本（ 19%）和韓國（ 10%）。例如遠(yuǎn)程登錄中，用戶的口令在網(wǎng)上傳輸不安全，安全基礎(chǔ)設(shè)施則有能力提供認(rèn)證機(jī)制、口令被竊聽 /存儲 /重放、安全傳輸?shù)劝踩?wù)l l 使用通信基礎(chǔ)設(shè)施的用戶不須知道 IP報(bào)頭或以太包的結(jié)構(gòu)，但如果發(fā)生錯(cuò)誤，如不能接受 IP包，則應(yīng)及時(shí)告知用戶。證書作廢處理系統(tǒng)l 6） 314.利用單項(xiàng) HASH傳送隨機(jī)或時(shí)間數(shù)據(jù)l 。Telemunication屬性證書是由屬性權(quán)威機(jī)構(gòu)AA(AttributeAuthority)簽發(fā)的包含持有者的屬性集 (如角色、訪問權(quán)限或組成員等 )和一些與持有者相關(guān)的數(shù)據(jù)結(jié)構(gòu)。– 為了實(shí)現(xiàn)對角色、權(quán)限的靈活動態(tài)管理，屬性證書進(jìn)行了一定的擴(kuò)展， 兩種與角色有關(guān)的屬性證書 :角色規(guī)范屬性證書 (RoleSpeeifieationAC)和角色分配屬性證書 (RoleAssignmentAC)。.權(quán)限控制邏輯結(jié)構(gòu)PKI/CA策略實(shí)施 目標(biāo) 授權(quán)中心 AA訪問控制服務(wù)器用戶管理資源管理權(quán)限分配注冊申請策略制定 PB策略決策PDP策略庫策略機(jī)構(gòu) PAPMI應(yīng)用系統(tǒng)654321發(fā)布系統(tǒng)+62權(quán)限控制過程l 1. PKCS6:擴(kuò)展的數(shù)字證書語法標(biāo)準(zhǔn)l （ 2）系統(tǒng)工作模式 操作員管理l .客戶與服務(wù)器不需建立新的連接，查詢證書很方便，因而提高服務(wù)器性能 用戶 資源服務(wù)器策略引擎日志服務(wù)器 證書服務(wù)器訪問控制判斷請求 取 AC證書 寫入信息 PKC73 SOAP簡單對象訪問協(xié)議l 。短信服務(wù)網(wǎng) GSMPKI/PMI公眾服務(wù)網(wǎng) 非涉密網(wǎng) 涉密辦公網(wǎng)非涉密政務(wù)專網(wǎng) 涉密政務(wù)專網(wǎng)非涉密辦公網(wǎng)公眾服務(wù)業(yè)務(wù)系統(tǒng)統(tǒng)一的數(shù)據(jù)交換平臺統(tǒng)一的接入平臺 統(tǒng)一的WEB門戶平臺統(tǒng)一的WEB服務(wù)平臺可信SOAP服務(wù)器可信SOAP業(yè)務(wù)處理 其他系統(tǒng)其他系統(tǒng)涉密辦公網(wǎng)政務(wù)內(nèi)網(wǎng)的總體結(jié)構(gòu)圖78l 可信 SOAP服務(wù)器： Simple Object Access Protocol)l 可信簡單對象訪問協(xié)議 基于 PKI的授權(quán)服務(wù)l 。信任相關(guān)的概念l (1)信任l 信任 ：可以是可信實(shí)體，或可信公鑰l 實(shí)體 ：在網(wǎng)絡(luò)或分布式環(huán)境中具有獨(dú)立決策和行動能力的終端、服務(wù)器或智能代理l 可信實(shí)體 ： 2023版 ，若一個(gè)實(shí)體 A假定另一個(gè)實(shí)體 B會嚴(yán)格地像 A期望的那樣行動，即稱 A信任 B l 分為：l 1） CA的嚴(yán)格層次可信模型l 2）分布式信任模型l 3） Web信任模型l 4）以用戶為中心的信任模型l 5）交叉認(rèn)證信任模型87l 1） CA的嚴(yán)格層次可信模型l ① 根 CA授權(quán)給直接下層子 CA，直至某 CA實(shí)際頒發(fā)證書根 CA子 CA 子 CA……88l ② 每個(gè)實(shí)體（如 CA或者終端用戶）都信任根 CA，必須擁有根 CA 的公鑰。瀏覽器廠商根 CA 根 CA……用戶 用戶 用戶 用戶…… …… ……特點(diǎn)： 1。交叉認(rèn)證：一個(gè) CA承認(rèn)另一個(gè) CA在一個(gè)名字空間中被授權(quán)頒發(fā)的證書l 例 1：l 4.系統(tǒng)運(yùn)行維護(hù) ：基于 PKI的可信發(fā)布、可信日志管理、服務(wù)機(jī)構(gòu)、安全機(jī)構(gòu)l 。入侵檢測；l 3.詳見講稿96第 4講 電子政務(wù)應(yīng)用系統(tǒng)設(shè)計(jì)及安全性分析 l 1．電子政務(wù)應(yīng)用系統(tǒng)及組成l 一般分為兩類l 一類 對內(nèi)：電子政務(wù)應(yīng)用系統(tǒng)，主要面向公務(wù)員，辦公l 二類 對外：電子政務(wù)應(yīng)用系統(tǒng)，面向公眾，網(wǎng)上納稅，申報(bào)項(xiàng)目等l 由三部分組成：政務(wù)業(yè)務(wù)內(nèi)網(wǎng)；政務(wù)外網(wǎng)；安全平臺l －97l 2．安全平臺－－ 統(tǒng)一的安全電子政務(wù)平臺l 提供一站式服務(wù)l 3．統(tǒng)一的安全電子政務(wù)平臺的總體結(jié)構(gòu)設(shè)計(jì)電子政府門戶公安局 海關(guān) 軍事部門 …… 稅務(wù)局 公民 企業(yè) 1…… 企業(yè) n 98工商管理 業(yè)務(wù)邏輯模塊財(cái)政結(jié)算 業(yè)務(wù)邏輯模塊網(wǎng)上郵政 業(yè)務(wù)邏輯模塊網(wǎng)上稅務(wù) 業(yè)務(wù)邏輯模塊PKICA RA KAPMIAA RA 接入平臺 接入平臺工作流引擎（對內(nèi)） 工作流引擎（對外）通用電子政務(wù)構(gòu)件 通用電子政務(wù)（對內(nèi)） （對外）個(gè)性化管理（對內(nèi)） 個(gè)性化管理（對外）服務(wù)集成模塊 服務(wù)集成模塊（對內(nèi)） （對外） 一站式服務(wù)框架第三方公正機(jī)構(gòu)工行農(nóng)行建行……銀河證券……人壽保險(xiǎn)……金融服務(wù)系統(tǒng)信任與授權(quán)服務(wù)平臺 可信 web service可信 XML 可信 SOAP 可信 VDDL 可信 WSDL 企業(yè)用戶 上網(wǎng)用戶 移動用戶 PDA 政務(wù)公網(wǎng) 公務(wù)員 移動公務(wù)員 一站式電子政務(wù)服務(wù)機(jī)制的總體結(jié)構(gòu)圖99l 一站式平臺提供的職責(zé)：l 。證書的路徑處理l 處理過程：l 第一階段：構(gòu)建路徑，聚集所有形成完整路徑所必需的證書l 路徑尋找算法：l 用戶自己對決定信賴或拒絕某個(gè)證書負(fù)責(zé)2。根 CA是網(wǎng)狀配置：根 CA與根 CA是交叉認(rèn)證3。證書用戶找到一條從證書頒發(fā)者到信任錨的路徑，需建立一系列的信任關(guān)系l 2.在一個(gè)集體中，已有的人事關(guān)系和運(yùn)作模式使你給予該集體較高的信任，稱這個(gè)集體為信任域l ?；谟布问降淖C書存儲82第 3講 信任模型 l 接入：網(wǎng)絡(luò)接入認(rèn)證交換機(jī)，保證 設(shè)備 安全可信接入l 傳輸： PKI網(wǎng)關(guān)，保證 數(shù)據(jù) 安全可信傳輸l 管理：信任域管理服務(wù)平臺，保證 工作狀態(tài) 安全可信80l 網(wǎng)絡(luò)信任域技術(shù)一般包括網(wǎng)絡(luò)接入、傳輸、管理等三個(gè)層次的安全措施。無線接入網(wǎng) GPRS互聯(lián)網(wǎng) 統(tǒng)一的信息交換平臺l 策略決策點(diǎn)根據(jù)用戶權(quán)限信息作出決定l 5.l 角色分配屬性證書也是由 AA簽發(fā)后存放在LDAP服務(wù)器的