公鑰基礎(chǔ)設(shè)施ppt課件(編輯修改稿)
2025-02-10 08:37 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 用相應(yīng)密鑰驗(yàn)證） 主體密鑰標(biāo)識(shí)符（ Subject key Identifier) 主體可能有多個(gè)公鑰 /私鑰對(duì)。這個(gè)字段定義這個(gè)證書(shū)的簽名使用哪個(gè)密鑰對(duì)（用相應(yīng)密鑰驗(yàn)證） 密鑰用法（ Key Usage) 定義這個(gè)證書(shū)的公鑰操作范圍。例如，可以指定這個(gè)公鑰可用于所有密碼學(xué)操作或只能用于加密，或只能用于 DiffieHellman密鑰見(jiàn)換，或只能用于簽名。 擴(kuò)展密鑰用法（ Extended Key Usage) 可以補(bǔ)充或取代密鑰用法字段，指定這個(gè)證書(shū)可以采用哪些協(xié)議。 證書(shū)的生成 ? 關(guān)系人圖 最終用戶 最終用戶 最終用戶 最終用戶 證書(shū)機(jī)構(gòu) CA 注冊(cè)機(jī)構(gòu) RA 證書(shū)機(jī)構(gòu)任務(wù)很多，如簽發(fā)新證書(shū)，維護(hù)舊證書(shū)、吊銷(xiāo)無(wú)效證書(shū)等。于是將這些工作交給第三方注冊(cè)機(jī)構(gòu)（ RA）來(lái)辦理。 注冊(cè)機(jī)構(gòu)（ RA）是用戶與證書(shū)機(jī)構(gòu)之間的中間實(shí)體，幫助證書(shū)機(jī)構(gòu)完成日常工作。 注冊(cè)機(jī)構(gòu)的作用 ? 接收與驗(yàn)證最終用戶的注冊(cè)信息 ? 為最終用戶生成密鑰 ? 接收與授權(quán)密鑰備份與恢復(fù)請(qǐng)求 ? 接收與授權(quán)證書(shū)吊銷(xiāo)請(qǐng)求 ? 同時(shí)注冊(cè)機(jī)構(gòu)將注冊(cè)機(jī)構(gòu)隔離起來(lái)，可進(jìn)一步保護(hù)證書(shū)機(jī)構(gòu)被攻擊的可能性 ? 注意：證書(shū)仍然是證書(shū)機(jī)構(gòu)簽發(fā)的！ 證書(shū)生成步驟 ? 大步驟如下圖 密鑰生成 證書(shū)生成 驗(yàn)證 注冊(cè) 密鑰生成 ? 用戶通過(guò)軟件聯(lián)網(wǎng)生成 ? 用戶可直接獲得公私鑰，注冊(cè)機(jī)構(gòu)只得到公鑰，安全性較高 ? 用戶可以利用鼠標(biāo)移動(dòng)等隨機(jī)信息生成密鑰 ? 注冊(cè)機(jī)構(gòu)統(tǒng)一生成 ? 方便安全管理，執(zhí)行安全策略 ? 但注冊(cè)機(jī)構(gòu)知道用戶的私鑰 ? 密鑰對(duì)的發(fā)送也可能被人截獲 注冊(cè) ? 如果是注冊(cè)機(jī)構(gòu)統(tǒng)一生成密鑰，那么注冊(cè)這一步就同時(shí)做了 ? 用戶遠(yuǎn)程操作生成密鑰，要求用戶向注冊(cè)機(jī)構(gòu)發(fā)送公鑰，相關(guān)注冊(cè)信息（主體名等）及關(guān)于自己的所有證明材料。 ? 這個(gè)方法仍然通過(guò)軟件聯(lián)網(wǎng)操作。包括提交用戶的密鑰保護(hù)提問(wèn)等信息。 ? 證明材料有可能是紙質(zhì)的，比如身份證復(fù)印件。在辦理網(wǎng)上銀行時(shí)回提交這些材料。 CSR ? 在用戶發(fā)送證書(shū)請(qǐng)求時(shí)，要采用標(biāo)準(zhǔn)化的格式 ? 這個(gè)格式就是證書(shū)簽名請(qǐng)求（ CSR） ? Certificate Signing Request ? 是一種公鑰加密標(biāo)準(zhǔn)（ PKCS) ? Public Key Cryptography Standards 驗(yàn)證 ? 注冊(cè)機(jī)構(gòu)驗(yàn)證用戶的材料 ? 驗(yàn)證 1：用戶提供的材料，保證他們可接受。如企業(yè)要檢查營(yíng)業(yè)記錄、信用證明。如個(gè)人要驗(yàn)證地址、證件號(hào)碼等。 ? 驗(yàn)證 2：用戶擁有發(fā)送到注冊(cè)機(jī)構(gòu)公鑰對(duì)應(yīng)的私鑰。非常重要。 POP ? Proof of Possession，私鑰擁有證明 ? RA要求用戶用私鑰對(duì)證書(shū)簽名請(qǐng)求進(jìn)行數(shù)字簽名 ? 也可以生成隨機(jī)數(shù)來(lái)挑戰(zhàn)。用這個(gè)用戶的公鑰加密，并將加密挑戰(zhàn)發(fā)給用戶 ? RA可以對(duì)用戶生成一個(gè)啞證書(shū)，用這個(gè)用戶的公鑰加密，發(fā)給用戶，用戶解密后才能取得明文證書(shū)。 證書(shū)生成 ? RA將用戶的所有細(xì)節(jié)傳遞給證書(shū)機(jī)構(gòu)，證書(shū)機(jī)構(gòu)進(jìn)行必要的驗(yàn)證，然后生成數(shù)字證書(shū)。 ? 證書(shū)機(jī)構(gòu)用程序生成 ? 發(fā)給用戶一份，自己留一份。 ? 留存的證書(shū)放在證書(shū)目錄中，類(lèi)似與電話簿 用戶如何查詢(xún)目錄呢 ? 目錄客戶機(jī)可通過(guò)目錄訪問(wèn)協(xié)議從這個(gè)證書(shū)目錄結(jié)構(gòu)中進(jìn)行證書(shū)查詢(xún) ? 輕量級(jí)的目錄訪問(wèn)協(xié)議（ LDAP，Lig
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1