chapter10網(wǎng)絡(luò)安全(編輯修改稿)
2024-11-12 15:56 本頁面
【文章內(nèi)容簡介】 ? DiffieHellman密鑰交換 30 ? 中間人攻擊 ? Alice Eve Bob ? Alice Eve Bob (YB ) mod p = K (YA ) mod p = K XB XA Private Value, XA Public Value, YA Private Value, XB Public Value, YB Alice Bob YA YB YB = g mod p XB YA =g mod p XA YA YA’ YB YB’ 31 Chapter 10網(wǎng)絡(luò)安全 ? ? ? ? ? ? 32 ? 通信中潛在的威脅 ? 消息偽造 ? 內(nèi)容篡改 ? 延遲或重播 ? 否認(rèn) ? 數(shù)字簽名 消息的不可否認(rèn)性 ? 認(rèn)證 消息的完整 33 ? 公鑰密碼學(xué)的一個重要應(yīng)用就是數(shù)字簽名，數(shù)字簽名就是利用私鑰生成簽名，而用公鑰驗證簽名。 ? 一個數(shù)字簽名方案時是由簽名算法和驗證算法組成 ? 簽名算法利用私鑰生成簽名，稱消息 m的簽名為 sig（ m），然后將（ m， sig（ m））發(fā)給接收方 ? 驗證算法利用簽名者的公鑰對 sig（ m）進行解密，如果解密輸出與 m一致，則為合法數(shù)據(jù)。 ? 由于無法識別數(shù)字簽名與其拷貝之間的差異，所以，在數(shù)字簽名前應(yīng)加上時間戳。 ? 數(shù)字簽名標(biāo)準(zhǔn)（ DSS） ? DSA（數(shù)字簽名算法，是 Elgamal公鑰算法的一種變體） ? RSA 34 ? 可用來做認(rèn)證的函數(shù)有三類： ? (1) 加密函數(shù) ? 用對稱密鑰加密，信息的完整作為對信息的認(rèn)證 ? 用公鑰密碼中的私鑰加密，但加密速度太慢，并且很多情況下，消息并不需要加密。 ? (2) 消息認(rèn)證碼 MAC(Message Authentication Code) 是對信源消息的一個編碼函數(shù) ? (3) 散列函數(shù) (Hash Function) 是一個公開的函數(shù)它將任意長的信息映射成一個固定長度的信息 35 消息認(rèn)證碼 MAC ? 利用函數(shù) f和密鑰 k ，對要發(fā)送的明文 x或密文 y變換成 r bit的消息認(rèn)證碼 f(k,x)(或f(k,y)) ，將其稱為認(rèn)證符附加在 x(或 y)之后發(fā)出，接收者收到發(fā)送的消息序列后，按發(fā)方同樣的方法對接收的數(shù)據(jù) (或解密后 )進行計算，應(yīng)得到相應(yīng)的 r bit數(shù)據(jù) 36 散列函數(shù) ? 單向散列函數(shù)（ hash，雜湊函數(shù)）可以從一段很長的報文中計算出一個固定長度的比特串，這種散列函數(shù)通常稱為報文摘要（ message digest），用于消息的完整性檢驗。 ? 單向散列函數(shù)有以下特性： ? 給定 P，易于計算出 MD（ P） ? 只給出 MD（ P），幾乎無法找出 P ? 無法生成兩條具有同樣報文摘要的報文 ? 認(rèn)證方法： ? 消息 X 任意比特 ? 消息摘要 Z=H(X) 160比特 ? 簽名摘要 Y=sigK(Z) 320比特 ? 標(biāo)準(zhǔn)： MD5（ 128比特）， SHA1（ 160比特）等 37 ? 非對稱密碼體制 C7D08FF 私有密鑰 KPV 明文 ＋ 密文 公開密鑰 KPB 密文 ＋ 明文 摘要 ＋ 簽名 簽名 ＋ 摘要 加密 簽名 38 數(shù)字證書 39 公鑰基礎(chǔ)設(shè)施（ Public Key Infrastructure） ? 什么是 PKI呢 ？ ? PKI是一個用非對稱密碼算法原理和技術(shù)來實現(xiàn)并提供安全服務(wù)的具有通用性的安全基礎(chǔ)設(shè)施。能夠為所有網(wǎng)絡(luò)應(yīng)用提供采用加密和數(shù)字簽名等密碼服務(wù)所需要的密鑰和證書管理。 ? 為什么需要 PKI？ ? 電子政務(wù)、電子商務(wù)對信息傳輸?shù)陌踩枨? ? 在收發(fā)雙方建立信任關(guān)系，提供身份認(rèn)證、數(shù)字簽名、加密等安全服務(wù) ? 收發(fā)雙方不需要共享密鑰，通過公鑰加密傳輸會話密鑰 40 PKI的組成 ? 認(rèn)證機構(gòu) CA 證書的簽發(fā)機構(gòu) ， 它是 PKI的核心 ， 是 PKI應(yīng)用中權(quán)威的 、 可信任的 、 公正的第三方機構(gòu) 。 ? 注冊機構(gòu) RA 注冊功能也可以由 CA直接實現(xiàn) ， 但隨著用戶的增加 ， 多個 RA可以分擔(dān) CA的功能 ， 增強可擴展性 ， 應(yīng)注意的是 RA不容許頒發(fā)證書或 CRL. ? 證書庫 證書的集中存放地 ， 提供公眾查詢 ， 常用目錄服務(wù)器提供服務(wù) ， 采用 LDAP目錄訪問協(xié)議 。 ? 密鑰備份及恢復(fù)系統(tǒng) ? 簽名密鑰對：簽名私鑰相當(dāng)于日常生活中的印章效力 ， 為保證其唯一性 ， 簽名私鑰不作備份 。 簽名密鑰的生命期較長 。 ? 加密密鑰對：加密密鑰通常用于分發(fā)會話密鑰 ， 為防止密鑰丟失時丟失數(shù)據(jù) ，解密密鑰應(yīng)進行備份 。 這種密鑰應(yīng)頻繁更換 。 ? 證書作廢處理系統(tǒng) 證書由于某種原因需要作廢 ， 終止使用 ， 這將通過證書作廢列表 （ CRL） 來完成 。 ? 自動密鑰更新 無需用戶干預(yù) ， 當(dāng)證書失效日期到來時 ， 啟動更新過程 ， 生成新的證書 ? 密鑰歷史檔案 由于密鑰更新 ， 每個用戶都會擁有多個舊證書和至少一個當(dāng)前證書 ， 這一系列證書和相應(yīng)的私鑰組成密鑰歷史檔案 。 ? PKI應(yīng)用接口系統(tǒng) 是為各種各樣的應(yīng)用提供安全、一致、可信任的方式與PKI交互，確保所建立起來的網(wǎng)絡(luò)環(huán)境安全可信，并降低管理成本。 ? 交叉認(rèn)證 多個 PKI獨立地運行，相互之間應(yīng)建立信任關(guān)系 41 中國 PKI現(xiàn)狀 ? 中國的 CA中心建設(shè)從 1998年底開始 。 第一個電信行業(yè)CACTCA ? 2021 年成立中國 PKI 論壇( ? 三類 CA中心 ? 行 業(yè) 性 CA 中心 中 國 金 融 認(rèn) 證 中 心 (CFCA, :) ? 金融：建行 、 招商 、 中行 、 工行 、 農(nóng)行 、 交行 ? 區(qū)域性 CA中心 ? 北京 、 上海 、 廣東 、 山東 、 湖北 、 安徽 CA 中心（ ? 商業(yè)性 CA中心 企業(yè)創(chuàng)辦的認(rèn)證機構(gòu) ? 到 04年已
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1