【正文】 證書中 (不為用戶持有 )。l 　　屬性證書由簽發(fā)它的 AA簽名，以此來保證屬性證書和其權(quán)限信息的有效性和合法性。檢查 tB是否在有效期內(nèi)，確定數(shù)據(jù)的有效性。身份認(rèn)證：（簡單認(rèn)證）基于用戶 ID和口令l 。 是用來證明主體身份及公鑰合法性的權(quán)威電子文檔l 。簽名密鑰不能備份和恢復(fù)。證書頒發(fā)機(jī)構(gòu) CAl 2） 21PKI技術(shù)l 建立在 PKI基礎(chǔ)上的數(shù)字證書，通過對(duì)要傳輸?shù)臄?shù)字信息進(jìn)行加密和簽名，保證信息傳輸?shù)臋C(jī)密性、真實(shí)性、完整性和不可否認(rèn)性，從而保證信息的安全傳輸。Infrastructure）l 1．什么是 PKIl 12l 2023年我國遭受境外網(wǎng)絡(luò)攻擊情況觸目驚心，大量主機(jī)被國外木馬或僵尸網(wǎng)絡(luò)控制，主要控制源都來自于美國。8l 經(jīng)調(diào)查發(fā)現(xiàn)，一供應(yīng)商為給服務(wù)器提供應(yīng)用軟件，在該核電站網(wǎng)絡(luò)防火墻后端建立了一個(gè)無防護(hù)的 T1鏈接，病毒就是通過這個(gè)鏈接進(jìn)入核電站網(wǎng)絡(luò)的。l 本以為是新系統(tǒng)的磨合問題，后來發(fā)現(xiàn)是該廠前工程師 Vitek Boden因不滿工作續(xù)約被拒而蓄意報(bào)復(fù)所為。基礎(chǔ)設(shè)施l 1.l 這位前工程師通過一臺(tái)手提電腦和一個(gè)無線發(fā)射器控制了 150個(gè)污水泵站；前后三個(gè)多月，總計(jì)有100萬公升的污水未經(jīng)處理直接經(jīng)雨水渠排入自然水系，導(dǎo)致當(dāng)?shù)丨h(huán)境受到嚴(yán)重破壞。這種病毒主要利用 SQL Server 2023中 1434端口的緩沖區(qū)溢出漏洞進(jìn)行攻擊，并駐留在內(nèi)存中，不斷散播自身，使得網(wǎng)絡(luò)擁堵，造成 SQL Server無法正常工作或宕機(jī)。據(jù)國家互聯(lián)網(wǎng)應(yīng)急中心（ CNCERT）統(tǒng)計(jì)，到 2023年 9月底，監(jiān)測(cè)發(fā)現(xiàn)共近 52萬個(gè)木馬控制端 IP，其中有 位于境外，前三位分別是美國（占 %）、印度（占 %）和我國臺(tái)灣（占 %）。根據(jù)斯諾登揭露的材料，美國至少有 9家互聯(lián)網(wǎng)公司（思科、 IBM、谷歌、高通、英特爾、蘋果、甲骨文、微軟、雅虎）參與和支持美國棱鏡監(jiān)控項(xiàng)目的正常運(yùn)作。22l 2． PKI的 管理職能l 注冊(cè)中心 RAl 3） 4）證書撤銷處理系統(tǒng)（即發(fā)布系統(tǒng)） 支持層次化分布式結(jié)構(gòu)，能滿足大型應(yīng)用系統(tǒng)的安全需求。 是公鑰體制的密鑰管理媒介l 1）證書內(nèi)容l ① 身份鑒定 ： 檢查 rB是否重復(fù)出現(xiàn)，確定數(shù)據(jù)是否重放51（ 3）三向認(rèn)證發(fā)送方接收方BA 213識(shí)別過程： B∪ A{tA,r1A,B}到 B2. B回信息 A,B{tB,rB,A,r2A}給 A r2A與 r1A是否相等，若相等， A發(fā)識(shí)別數(shù)據(jù) A(R3B,B)給 BB收到信息后執(zhí)行 A的公鑰驗(yàn)證簽名，確定數(shù)據(jù)的完整性 R3B是否與自己發(fā)送時(shí)產(chǎn)生的 R2B相等特點(diǎn)1. A,B三次通信2. 確保安全52l 2． 2 授權(quán)管理基礎(chǔ)設(shè)施 PMIl （ Privilege Management Infrastructure）l Qu: l 1．什么是 PMIl 2． PMI與 PKI的區(qū)別、聯(lián)系l 3． PMI的功能結(jié)構(gòu)，特點(diǎn)l 4．基于 PMI的授權(quán)管理模式l （與傳統(tǒng)的應(yīng)用系統(tǒng)相比）l 53 PMIl Def:PMI是建立在 PKI的基礎(chǔ)上，與 PKI結(jié)合，利用屬性證書提供實(shí)體身份到應(yīng)用權(quán)限的映射，實(shí)現(xiàn)對(duì)系統(tǒng)資源訪問的統(tǒng)一管理機(jī)制。屬性證書中包含的信息包括 :證書的版本號(hào)、證書所有者的信息、證書的簽發(fā)機(jī)構(gòu)、用來創(chuàng)建數(shù)字簽名的算法、證書的序列號(hào)、有效期、屬性 (權(quán)力信息 )、可選的證書簽發(fā)機(jī)構(gòu)的唯一ID號(hào)和可選的擴(kuò)展域。l AA可能給一個(gè)用戶多個(gè)角色，此時(shí)該屬性的值是角色列表，角色可以有等級(jí)之分，上一級(jí)角色可以擁有下一級(jí)角色的權(quán)限，角色之間也可以互相交叉，也可以互相排斥，例如，運(yùn)動(dòng)員和裁判是互相排斥的一對(duì)角色。策略實(shí)施636． PMI的授權(quán)體系結(jié)構(gòu)PMI的核心：屬性證書簽發(fā)機(jī)構(gòu)信任源點(diǎn) SOA二級(jí)授權(quán)服務(wù)中心 AA二級(jí)授權(quán)服務(wù)中心 AA授權(quán)服務(wù)中心 AA資源管理中心RM資源管理中心RM業(yè)務(wù)受理點(diǎn) 業(yè)務(wù)受理點(diǎn) 業(yè)務(wù)受理點(diǎn)安全策略服務(wù) LDAP服務(wù) 操作授權(quán)服務(wù)。虛擬專用網(wǎng) VPNl VPN技術(shù)：可使發(fā)布在不同地域的專用網(wǎng)絡(luò)在不可信任的公共網(wǎng)絡(luò)上安全通信。 l Qu：l ？l 2．信任是怎樣產(chǎn)生的l 3．在一定環(huán)境中，什么情形下能限制l 或者控制信任？l 1． 一個(gè)企業(yè)中，信任域可以按組織、地理界限劃分l （ 3）信任錨l 信任模型862．信任模型l 描述終端用戶、依托主體和可信服務(wù)系統(tǒng)之間關(guān)系的模型l 證書的驗(yàn)證過程： 1）用戶 A驗(yàn)證同一個(gè)根 CA下用戶 B1的證書，同層次結(jié)構(gòu)； 2）用戶 A驗(yàn)證非同一個(gè)根 CA下用戶 B2的證書中心 CA根 CA1根 CA2子 CA…………子 CA用戶 A 用戶 B1…… 用戶 B2用戶90l 3） Web信任模型l 該模型依賴于瀏覽器。最初可信的密鑰集－－直接聯(lián)系層 A的朋友、同事、哥、父母。統(tǒng)一性：提供統(tǒng)一的接入平臺(tái)，包括互聯(lián)網(wǎng)接入、電信公網(wǎng)撥號(hào)接入、無線接入等l 。.安全策略配置和管理；l 2. Web門戶服務(wù)平臺(tái) :可信 J2EE,結(jié)構(gòu)設(shè)計(jì)l 。單向：如層次模型，雙向，如分布式信任模型l 2。 PKI的信任模型l 描述客體、依托主體和 CA之間關(guān)系的模型?；?PKI的認(rèn)證技術(shù)l 。l VPN產(chǎn)品（軟件）包括：帶加密的軟件防火墻，軟件 VPN系統(tǒng)，加密算法，密鑰交換協(xié)議， VPN專用認(rèn)證系統(tǒng) CA76（ 1）統(tǒng)一的安全電子政務(wù)平臺(tái)網(wǎng)上工商 S網(wǎng)上稅務(wù) S網(wǎng)上郵政 S……金融服務(wù) S統(tǒng)一的web門戶平臺(tái)統(tǒng)一的信息交換平臺(tái)統(tǒng)一的接入平臺(tái) PKI / PMI業(yè)務(wù)網(wǎng) 1業(yè)務(wù)網(wǎng) 2業(yè)務(wù)網(wǎng) n…… ………… 涉密網(wǎng)GSMGPRSInterPSTNCDMA77（ 2）政務(wù)內(nèi)網(wǎng) CA證書頒發(fā)機(jī)構(gòu)l 。系統(tǒng)結(jié)構(gòu) AA驗(yàn)證PKC證書驗(yàn)證通過AA判斷該用戶是否已注冊(cè)將提交信息寫入 DB 申請(qǐng)證書將角色信息寫入 DB生成證書取出用戶注冊(cè)信息用戶角色信息核實(shí)以上兩信息是否相符用戶提交PKC證書返回出錯(cuò)信息 返回注冊(cè)頁面 返回用戶信息頁面 加密提交信息 用戶信息注冊(cè)結(jié)束 返回角色選擇頁面加密提交信息 NNNNYYNY通過審核 70l 10. 屬性證書分發(fā)的兩種模式（ “ 推 ”“ 拉 ” ）授權(quán)管理證書服務(wù)器 Inter 授權(quán)屬性證書應(yīng)用目錄服務(wù)系統(tǒng)DB客戶端 拉 推 查詢 提交 特點(diǎn)推模式：用戶將自己的屬性證書推給資源服務(wù)管理器 拉模式：授權(quán)機(jī)構(gòu)發(fā)布證書給目錄服務(wù)系統(tǒng)，由服務(wù)器從目錄服務(wù)系統(tǒng)拉回71兩種模式的比較：l 推模式 ： 用戶將自己的屬性證書推給資源服務(wù)管理器l 。更改、刪除授權(quán)l(xiāng) . :公鑰和屬性證書框架l 。5859用戶權(quán)限管理 UPA簽發(fā)機(jī)構(gòu) AA發(fā)布系統(tǒng)應(yīng)用接口策略機(jī)構(gòu)PA屬性證書 DB用戶屬性策略策略分配證書發(fā)布獲取證書獲取證書21 43560l 1）授權(quán)管理的靈活性l 實(shí)現(xiàn)了強(qiáng)制訪問控制和自主訪問控制的結(jié)合l 2）授權(quán)操作與業(yè)務(wù)操作分離進(jìn)行61555角色屬性證書 l ITU(International驗(yàn)證數(shù)據(jù)的明文傳送l 。身份證書：鑒別一個(gè)主體與它的公鑰關(guān)系，提供認(rèn)證、數(shù)據(jù)完整性、機(jī)密性l ② 發(fā)布系統(tǒng)的組成：（ 1） CRL(屬性證書表 )的證書發(fā)布系統(tǒng)（ 2） 在線證書狀態(tài)查詢協(xié)議 OCSP（ Onlin