公鑰基礎設施pki和授權(quán)管理基礎設施pmi(編輯修改稿)
2025-02-07 07:18 本頁面
【文章內(nèi)容簡介】 icates: 它發(fā)給其他 CA的 certs 層次結(jié)構(gòu) CA中證書的驗證 ? 假設個體 A看到 B的一個證書 ? B的證書中含有簽發(fā)該證書的 CA的信息 ? 沿著層次樹往上找，可以構(gòu)成一條證書鏈，直到根證書 ? 驗證過程： – 沿相反的方向，從根證書開始，依次往下驗證每一個證書中的簽名。其中，根證書是自簽名的，用它自己的公鑰進行驗證 – 一直到驗證 B的證書中的簽名 – 如果所有的簽名驗證都通過，則 A可以確定所有的證書都是正確的，如果他信任根 CA，則他可以相信 B的證書和公鑰 樹層次結(jié)構(gòu) 森林型結(jié)構(gòu) 證書鏈的驗證示例 CA認證模型 如果用戶 i和 j都屬于 CA111， 那么 i和 j之間的密鑰交換 ， 只需要持有 CA111開具的證明書就可以 ， 即：對用戶 i和 j的公鑰 PKi 和 PKj分別蓋章 ，如 (Pki)ca111, (Pkj)ca111,那么用戶 i和 j就能證明密鑰是對方的密鑰 。 CA認證模型 如果用戶 j的證明書是 CA122開具的 ， 那么情況就復雜了 ， 各自具有： i方： (Pki)ca111 , (CA111)CA11, (CA11)CA1 j方： (Pkj)ca122 , (CA122)CA12, (CA12)CA1 這就形成了層層證明的證明鏈 （ certification chain） 。 這里 ， 符號 (CA11)CA1是 CA1對 C11的公鑰蓋章 ， 只是證明本公鑰是 C11的 。 CA 證明鏈 CA CA1 CA2 CA11 CA12 CA21 CA22 個人證書 個人證書 個人證書 個人證書 （ PKI） CA11，（ PKCA11） CA1，（ PKCA1） CA （ PKJ） CA21，（ PKCA21） CA2，（ PKCA2） CA i j 交叉認證 ? 交叉認證是一種把以前無關(guān)的 CA連接在一起的有用機制，從而使得在它們各自主體群之間的安全通信成為可能。 ? 兩個 CA安全地交換密鑰信息 ,這樣每個 CA都可以有效地驗證另一方密鑰的可信任性 ,這個過程稱為交叉認證 。 ? 兩個不同的 CA層次結(jié)構(gòu)之間可以建立信任關(guān)系 – 單向交叉認證 ? 一個 CA可以承認另一個 CA在一定名字空間范圍內(nèi)的所有被授權(quán)簽發(fā)的證書 – 雙向交叉認證 交叉認證 ? 交叉認證可以分為 – 域內(nèi)交叉認證： 如果兩個 CA屬于相同的域 – 域間交叉認證： 如果兩個 CA屬于不同的域 (例如，當在一家公司中的 CA認證了在另一家公司中的 CA) 。 ? 交叉認證的約束 – 名字約束 :一個 CA信任另一個 CA在給定的一部分名字空間內(nèi)的以其為主體頒發(fā)的證書 – 路徑長度約束 : 限制可以出現(xiàn)在一個有效的證書路徑中的交叉認證的數(shù)目 – 策略約束 : 提供一種方法來限制一個證書使用 ,如使用 EMAIL,這樣除 EMAIL以外的任意證書為非法 ? 例如假設 A已經(jīng)被 CA1認證并持有可信的一份 CA1的公鑰 ,并且 B已經(jīng)被 CA2認證并持有可信的一份 CA2的公鑰 ,最初 A只信任其證書由CA1簽署的實體 ,因為他能夠驗證這些證書 (使用 CA1的公鑰 ),但不能驗證 B的證書 ,因為他沒有持可信的一份 CA2的密鑰 ,類似的在 B身上發(fā)生 ,如果 CA1和 CA2交叉認證后 ,雙方都獲得了對方的公鑰 ,這樣 A的信任就能擴展到 CA2的主體群 ,如 B。 交叉認證 ? 不同的交叉認
公司管理相關(guān)推薦
鄂ICP備17016276號-1