網(wǎng)絡(luò)與內(nèi)容安全-004密鑰管理與pki技術(shù)(完整版)
【正文】 Bob 用戶 A的證書 用戶 B的證書 層次結(jié)構(gòu) CA中證書的驗證 (Cont.) 可信的根 CA證書 數(shù)字簽名 中間 CA證書 數(shù)字簽名 又叫證書認(rèn)證體系 由公正第三方產(chǎn)生可信的根 CA證書，用戶都相信根 CA 證書。 保證數(shù)據(jù)的完整性 167。 支持多種注冊方式 面對面 遠(yuǎn)程注冊 51 11 證書發(fā)布系統(tǒng) 負(fù)責(zé)證書的發(fā)放，一般通過目錄服務(wù)器實現(xiàn) 目錄 網(wǎng)絡(luò)系統(tǒng)中各種資源的清單 關(guān)聯(lián)關(guān)系 目錄服務(wù) 目錄服務(wù)器訪問協(xié)議、服務(wù)器 服務(wù)器通信 協(xié)議、完全或部分的目錄數(shù)據(jù)復(fù)制、服務(wù)器鏈對查詢的響應(yīng)、 復(fù)雜搜尋的過濾功能等。 加密 To: The Bank From: Tom Jones Date: 31 Dec 99 Please transfer One Million Dollars from account 1234567 to account 7654321, TomJones * *ql3*UY ~00873/JDI c4(DH: IWB(883 LKS9UI29as9eeasdofi qw9vijhas9djerhp7goe. (*Y23k^wbvlqkwcyw83 zqw_89237xGyjdc Biskdue di794 非對稱 加密算法 41 非對稱加密算法 To: The Bank From: Tom Jones Date: 31 Dec 99 Please transfer One Million Dollars from account 1234567 to account 7654321, TomJones * *ql3*UY ~00873/JDI c4(DH: IWB(883 LKS9UI29as9eeasdofi qw9vijhas9djerhp7goe. (*Y23k^wbvlqkwcyw83 zqw_89237xGyjdc Biskdue di794 非對稱 加密算法 解密 沒有共享的密鑰。在密鑰傳輸協(xié)議中 加密其他密鑰 （如會話密鑰）。這種密鑰保護(hù)其下層的密鑰能夠安全地傳輸。兩把密鑰同時產(chǎn)生；一把為公鑰，另一把為私鑰；因此也被稱為一對密鑰。 目錄訪問協(xié)議 LDAP, Lightweight Directory Access Protocol。 結(jié)合業(yè)務(wù)邏輯方便的實現(xiàn)訪問控制 數(shù)字證書 數(shù)據(jù)加密 數(shù)據(jù)簽名 +數(shù)字時間戳 數(shù)據(jù)簽名 數(shù)字證書擴(kuò)展應(yīng)用 建設(shè) PKI的必要性 84 30 證書管理系統(tǒng) 85 31 證書管理系統(tǒng) (Cont.) 信任源 負(fù)責(zé)整個 CA體系的管理 一般采用離線工作方式 86 32 證書管理系統(tǒng) (Cont.) 管理下級機(jī)構(gòu)和終端用 戶的證書 通過 RA向終端用戶提供 證書的相關(guān)服務(wù) 87 33 證書管理系統(tǒng) (Cont.) 為 CA系統(tǒng)提供密鑰服務(wù) 88 34 CA系統(tǒng)安全性 物理安全 通信安全 密鑰安全 安全審計 人員安全 89 35 證書簽發(fā)邏輯流程 ⑶向 KMC申請密 鑰對 ⑺ 將 Key 與 RA鏈接 KMC 90 36 證書的應(yīng)用 91 37 證書驗證 當(dāng)證書持有者 A想與證書持有者 B通信時，他首先查找數(shù)據(jù)庫并 得到一個從證書持有者 A到證書持有者 B的證書路徑（ Certific ation Path）和證書持有者 B的公鑰。 雙向驗證：增加了來自證書持有者 B的應(yīng)答。 用戶名 +口令的安全隱患 63 破解技術(shù) ? 窮舉法（蠻力猜測） ? 利用技術(shù)和管理漏洞 ? 字典法破譯 ? 通過網(wǎng)絡(luò)監(jiān)聽非法得到用戶口令 ? 采用缺省口令直接猜測 口令的破解技術(shù) 64 用戶名 /口令 動態(tài)口令 生物特征 數(shù)字證書 （非對稱密鑰） 安全性 低 較高 高 高 雙向認(rèn)證 單向 單向 單向 雙向 確保信息的保密性、完整性和不可否認(rèn)性 不能 不能 不能 能 成本 低 較高 最高 高 幾種認(rèn)證方式的比較 65 RA CA End Entity 證書申請 20 證書過期 密鑰備份 與恢復(fù) 證書生命周期 證書吊銷 證書發(fā)布 Directory Services 證書生成 66 21 證書等級 第一級 第二級 第三級 明確 “處理 ”，電子郵件地址 經(jīng)本地資料庫驗證 真實姓名、真實地址、所在地、電子郵件地址 經(jīng)過 “可信任的 ”資料庫驗證 真實姓名、真實地址、所在地、電子郵件地址 經(jīng)過 “可信任的 ”資料庫驗證 經(jīng)當(dāng)面驗證、有公證書 67 22 數(shù)字證書的類型 單位身份證書 個人身份證書 服務(wù)器證書 郵件證書 代碼簽名證書 68 23 CA系統(tǒng)框架 69 24 CA系統(tǒng)框架 (Cont.) 面向普通用戶 提供證書申請、瀏覽、 CRL和證書下載等服務(wù) 通信采取安全信道方式(如 SSL方式，不需要認(rèn)證用戶身份 ) 加密傳輸保證證書申 請和傳輸過程中的信息 安全性 （使用業(yè)務(wù)受理服務(wù)器證書中提供的公鑰） 70 25 CA系統(tǒng)框架 (Cont.)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1