f第六周密鑰管理與pki第6章(編輯修改稿)
2025-02-06 00:44 本頁面
【文章內(nèi)容簡介】 AA 表示 CA 頒發(fā)給用戶 A 的證書。 ? CA 用其私有密鑰對證書進行了簽名 ? 用戶可用 CA 的公開密鑰驗證證書的有效性； ? 任何擁有 CA 公開密鑰的用戶都可以從證書中提取被該證書認證的用戶的公開密鑰； ? 除了 CA外，任何用戶都無法偽造證書或篡改證書的內(nèi)容； ? 由于證書是不可偽造的，可將證書存放數(shù)據(jù)庫（即目錄服務）中，而無需進行特殊的保護。 證書的創(chuàng)建 21 證書的撤消 ? 撤銷的情況： ? 證書過期； ? 在證書過期之前申請將其作廢。 ? 例如，用戶密鑰被泄露， CA的密鑰被泄露，或者用戶不再使用某一個 CA頒發(fā)的證書等。 22 信任模型基本概念 ? 信任模型 提供了建立和管理信任關(guān)系的框架 ? 信任 如果一個實體假定另一個實體會準確的象它期望的那樣表現(xiàn)，那末就說它信任那個實體。 ? 信任域 公共控制下或服從于一組公共策略的系統(tǒng)集。 ? 信任錨 信任關(guān)系鏈中的每一個節(jié)點 23 CA信任關(guān)系 ? 當一個安全個體看到另一個安全個體出示的證書時，他是否信任此證書？ ? 信任難以度量，總是與風險聯(lián)系在一起 ? 可信 CA ? 如果一個個體假設(shè) CA能夠建立并維持一個準確的“個體 公鑰屬性”之間的綁定，則他可以信任該 CA， 該 CA為可信 CA ? 信任模型 ? 基于層次結(jié)構(gòu)的信任模型 ? 對等模型 交叉認證 ? 網(wǎng)狀模型 橋接 24 下屬層次信任模型 25 證書鏈的驗證示例 26 CA層次結(jié)構(gòu)的建立 ? 根 CA具有一個自簽名的證書 ? 根 CA依次對它下面的 CA進行簽名 ? 層次結(jié)構(gòu)中葉子節(jié)點上的 CA用于對安全個體進行簽名 ? 對于個體而言，它需要信任根 CA， 中間的 CA可以不必關(guān)心 (透明的 )；同時它的證書是由底層的CA簽發(fā)的 ? 在 CA的機構(gòu)中，要維護這棵樹 ? 在每個節(jié)點 CA上，需要保存兩種 cert (1) Forward Certificates: 其他 CA發(fā)給它的 certs (2) Reverse Certificates: 它發(fā)給其他 CA的 certs 27 層次結(jié)構(gòu) CA中證書的驗證 ? 假設(shè)個體 A看到 B的一個證書 ? B的證書中含有簽發(fā)該證書的 CA的信息 ? 沿著層次樹往上找，可以構(gòu)成一條證書鏈，直到根證書 ? 驗證過程： ? 沿相反的方向，從根證書開始，依次往下驗證每一個證書中的簽名。其中，根證書是自簽名的，用它自己的公鑰進行驗證 ? 一直到驗證 B的證書中的簽名 ? 如果所有的簽名驗證都通過，則 A可以確定所有的證書都是正確的，如果他信任根 CA，則他可以相信 B的證書和公鑰 ? 問題：證書鏈如何獲得？ 28 下屬層次信任模型的好處 ? 管理開銷小 ? 可擴展性好 ? 層次結(jié)構(gòu)與組織的內(nèi)部結(jié)構(gòu)比較吻合 ? 公共信任錨可以簡化 CA證書分發(fā) ? 最終實體到信任錨的路徑固定使得可以在最終實體證書中傳送路徑 ? 支持其他方式信任模型的應用嚴重匱乏 29 對等信任模型－交叉認證 ? 兩個不同的 CA層次結(jié)構(gòu)之間可以建立對等信任關(guān)系 ? 單向
公司管理相關(guān)推薦
鄂ICP備17016276號-1