zl—第3章網(wǎng)絡(luò)安全技術(shù)及應(yīng)用(編輯修改稿)
2025-02-14 07:31 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 管理證書(shū)的使用；另一種是 證書(shū)的實(shí)行申明（ CPS),CPS是一個(gè)詳細(xì)的文檔，包括在實(shí)際應(yīng)用中如何執(zhí)行和維持安全方針。 ? PKI策略的內(nèi)容一般包括：認(rèn)證政策的制定、遵循的技術(shù)規(guī)范、各 CA之間的上下級(jí)或同級(jí)關(guān)系、安全策略、安全程度、服務(wù)對(duì)象、管理原則和框架、認(rèn)證規(guī)則、運(yùn)作制度的規(guī)定、所涉及的法律關(guān)系，以及技術(shù)的實(shí)現(xiàn)。 2022/2/8 40 PKI 系統(tǒng)結(jié)構(gòu) ? 2. 軟硬件系統(tǒng) ? 軟硬件系統(tǒng)是 PKI系統(tǒng)運(yùn)行所需硬件和軟件的集合 ，主要包括認(rèn)證服務(wù)器、目錄服務(wù)器、 PKI平臺(tái)等。 ? 3. 認(rèn)證中心 ? 認(rèn)證中心是 PKI的信任基礎(chǔ) ，它負(fù)責(zé)管理密鑰和數(shù)字證書(shū)的整個(gè)生命周期。 ? 4. 注冊(cè)機(jī)構(gòu) ? 注冊(cè)機(jī)構(gòu)是 PKI信任體系的重要組成部分， 是用戶（個(gè)人或團(tuán)體）和認(rèn)證中心 之間的一個(gè) 接口 。 2022/2/8 41 PKI 系統(tǒng)結(jié)構(gòu) ? 5. 證書(shū)簽發(fā)系統(tǒng) ? 證書(shū)簽發(fā)系統(tǒng) 負(fù)責(zé)證書(shū)的發(fā)放 ，例如可以通過(guò)用戶自己或通過(guò)目錄服務(wù)器進(jìn)行發(fā)放。目錄服務(wù)器可以是一個(gè)組織中現(xiàn)有的，也可以是由 PKI方案提供的。 ? ? PKI的應(yīng)用非常廣泛，包括在 Web服務(wù)器和瀏覽器之間的通信、電子郵件、 電子數(shù)據(jù)交換（ EDI）、在因特網(wǎng)上的 信用卡交易 和虛擬專用網(wǎng)（ VPN） 等方面。 ? PKI應(yīng)用程序接口系統(tǒng) ? 一個(gè)完整的 PKI必須提供良好的應(yīng)用接口系統(tǒng)（ API）， 以便各種應(yīng)用都能夠以安全、一致、可信的方式與 PKI交互，確保所建立起來(lái)的網(wǎng)絡(luò)環(huán)境可信，降低管理和維護(hù)的成本。 2022/2/8 42 PKI組成 ? 認(rèn)證中心 ? PKI系統(tǒng)通常采用 可信第三方 充當(dāng) 認(rèn)證中心 CA，來(lái)確認(rèn)公鑰擁有者的真正身份 ， CA保證了數(shù)字證書(shū)中列出的用戶名稱與證書(shū)中列出的公開(kāi)密鑰一一對(duì)應(yīng) ，解決了公鑰體系中公鑰的合法性問(wèn)題。 CA是 PKI 體系的核心。 CA的主要功能有 : ? 1）證書(shū)審批 ：接收并驗(yàn)證最終用戶數(shù)字證書(shū)的申請(qǐng)，確定是否接收最終用戶數(shù)字證書(shū)的申請(qǐng)。 ? 2）證書(shū)簽發(fā) ：向申請(qǐng)者頒發(fā)、拒絕頒發(fā)數(shù)字證書(shū)。 ? 3）證書(shū)更新 ：接收、處理最終用戶的數(shù)字證書(shū)更新請(qǐng)求。 2022/2/8 43 認(rèn)證中心 ? 4）證書(shū)查詢 ：接收用戶對(duì)數(shù)字證書(shū)的查詢；提供目錄服務(wù)，可以查詢用戶證書(shū)的相關(guān)信息。 ? 5）證書(shū)撤銷 ： 產(chǎn)生和發(fā)布證書(shū)吊銷列表 ，驗(yàn)證證書(shū)狀態(tài)；或提供在線證書(shū)查詢服務(wù) OCSP（ Online Certificate Status Protocol），驗(yàn)證證書(shū)狀態(tài)。 ? 6）證書(shū)歸檔 ：數(shù)字證書(shū)歸檔及歷史數(shù)據(jù)歸檔。 ? 7）各級(jí) CA管理 ：下級(jí)認(rèn)證機(jī)構(gòu)證書(shū)及賬戶管理；認(rèn)證中心及其下級(jí) CA密鑰的管理； 2022/2/8 44 PKI組成 ? 注冊(cè)中心 ? RA是 PKI信任體系的重要組成部分， 是用戶（個(gè)人或團(tuán)體）和 CA之間的一個(gè)接口 ，是認(rèn)證機(jī)構(gòu)信任范圍的一種延伸。 RA接受用戶的注冊(cè)申請(qǐng)，獲取并認(rèn)證用戶的身份，主要完成收集用戶信息和確認(rèn)用戶身份的功能。 ? RA可以認(rèn)為是 CA的代表處、辦事處 ，負(fù)責(zé)證書(shū)申請(qǐng)者的信息錄入、審核及證書(shū)發(fā)放等具體工作；同時(shí)，對(duì)發(fā)放的證書(shū)完成相應(yīng)的管理功能。 2022/2/8 45 注冊(cè)中心 ? RA的具體職能包括： ? 自身密鑰的管理，包括密鑰的更新、保存、使用、銷毀等。 ? 審核用戶的信息。 ? 登記黑名單。 ? 業(yè)務(wù)受理點(diǎn)（ LRA）的全面管理。 ? 接收并處理來(lái)自受理點(diǎn)的各種請(qǐng)求。 2022/2/8 46 PKI組成 ? 最終實(shí)體 ? 最終實(shí)體 EE（ End Entity， EE）是指 PKI產(chǎn)品和服務(wù)的最終使用者 ，可以是個(gè)人、組織和設(shè)備。 RA管理員、 CA管理員、最終用戶的角色關(guān)系如圖所示 2022/2/8 47 數(shù)字證書(shū)及管理 ? 數(shù)字證書(shū)，簡(jiǎn)稱證書(shū)，又叫“數(shù)字身份證” ,、“網(wǎng)絡(luò)身份證”、“電子證書(shū)。 它是由認(rèn)證中心發(fā)放并經(jīng)過(guò)認(rèn)證中心簽名的， 包含證書(shū)擁有者及其公開(kāi)密鑰相關(guān)信息的一種電子文件 ，可以用來(lái)證明數(shù)字證書(shū)持有者的真實(shí)身份。 ? 數(shù)字證書(shū)是 PKI體系中最基本的元素， PKI系統(tǒng)的所有安全操作都是通過(guò)數(shù)字證書(shū)來(lái)實(shí)現(xiàn)的。 2022/2/8 48 ? 數(shù)字證書(shū)采用 公鑰體制 ，即 利用一對(duì)相互匹配的密鑰進(jìn)行加密、解密 。每個(gè)用戶自己設(shè)定一把特定的僅為本人所知的專有密鑰（私鑰），用它進(jìn)行解密和簽名；同時(shí)設(shè)定一把公共密鑰（公鑰）以證書(shū)形式公開(kāi)，用于加密和驗(yàn)證簽名。 ? 當(dāng)發(fā)送一份保密文件時(shí)，發(fā)送方使用接收方的公鑰（證書(shū)）對(duì)數(shù)據(jù)加密，而接收方則使用自己的私鑰解密，這樣的信息在傳輸和存放時(shí)就可以保證安全性。 2022/2/8 49 公鑰 /私鑰的產(chǎn)生 ? 可由用戶自主產(chǎn)生 ? 使用特定的安全設(shè)備（例如 USB Key、計(jì)算機(jī)軟件等） ? 第三方權(quán)威機(jī)構(gòu)統(tǒng)一產(chǎn)生 ? CA ? 密鑰管理機(jī)構(gòu) ? 同時(shí)對(duì)私鑰進(jìn)行了備份 ? 合法監(jiān)聽(tīng)、司法取證的需要 2022/2/8 50 數(shù)字證書(shū) ? 簡(jiǎn)稱證書(shū)、 PKI證書(shū)，是將 實(shí)體屬性和相應(yīng)公鑰綁定在一起的數(shù)據(jù)文件 。 ? 該文件由權(quán)威機(jī)構(gòu)（也就是 CA），進(jìn)行數(shù)字簽名，并公開(kāi)發(fā)布。 ? 可利用 CA的公鑰進(jìn)行公開(kāi)驗(yàn)證。 2022/2/8 51 CA ? PKI中的核心部件 ? 負(fù)責(zé)產(chǎn)生數(shù)字證書(shū) ? 將 用戶的公鑰和用戶屬性信息組合在一起 ，然后進(jìn)行數(shù)字簽名，按 特定的格式標(biāo)準(zhǔn)組織 ，得到完整的PKI數(shù)字證書(shū) 2022/2/8 52 相互關(guān)系示意圖 證書(shū)序列號(hào) xxxxx: 有效期 : ,2022 ,2022 用戶名 組織名 部門 Status: 公鑰 : ie86502hhd009dkias736ed55ewfgk98dszbcvcqm85k309nviidywtoofkkr2834kl 簽名信息 公鑰 認(rèn)證機(jī)構(gòu) 私鑰 2022/2/8 53 一般的證書(shū)產(chǎn)生流程 狀態(tài)查詢 認(rèn)證機(jī)構(gòu) 證書(shū)資料庫(kù) 注冊(cè)機(jī)構(gòu)RA 發(fā)布證書(shū)及 CRL 私鑰 證書(shū) 公鑰 證書(shū)申請(qǐng) 證書(shū) 公鑰 公鑰 公鑰 2022/2/8 54 交叉認(rèn)證 Cross Certification ? CA對(duì)另一個(gè) CA的認(rèn)證，稱為 交叉認(rèn)證 ? 和對(duì)用戶的檢查類似，要檢查另一個(gè) CA的各種情況，包括 CP/CPS。 ? 交叉認(rèn)證的結(jié)果就是：產(chǎn)生交叉證書(shū) ? 利用交叉證書(shū)可以驗(yàn)證其他 CA系統(tǒng)的訂戶 2022/2/8 55 CRL和證書(shū)撤銷 ? Certificate Revocation List ? 證書(shū)撤銷列表，證書(shū)黑名單 ? 在證書(shū)的有效期期間，因?yàn)槟撤N原因（如人員調(diào)動(dòng)、私鑰泄漏等等），導(dǎo)致相應(yīng)的數(shù)字證書(shū)內(nèi)容不再是真實(shí)可信，此時(shí)，進(jìn)行證書(shū)撤銷，說(shuō)明該證書(shū)已是無(wú)效 ? CRL中列出了被撤銷的證書(shū)序列號(hào) 2022/2/8 56 證書(shū)格式 ? 數(shù)字證書(shū)的格式采用 。 式的版本到目前為止 共有 3個(gè)版本 ，通常用 v v2和v3表示。 ? 1988年： ，定義了 v1版的證書(shū)格式和 CRL（證書(shū)吊銷列表）格式。 ? 1993年： ，定義了 v2版的證書(shū)格式和修改了上一版的 CRL格式。 ? 1997年： ，定義了 v3版的證書(shū)格式（見(jiàn)表 32）和 v2版的 CRL格式。 ? 2022年： ，證書(shū)格式版本未變，仍為 v3，只是增加了新的擴(kuò)展項(xiàng)，并且增加了對(duì)屬性證書(shū)的描述。 CRL的格式未變，仍未 v2。 2022/2/8 57 證書(shū)格式 v3數(shù)字證書(shū)字段名及說(shuō)明 字段名 說(shuō)明 Version 版本號(hào) Serial number 證書(shū)唯一序列號(hào) Signature algorithm ID CA簽名使用算法 Issuer name CA名 Validity period 證書(shū)生效日期和失效日期 Subject (user) name 證書(shū)主體 Subject public key information 證書(shū)主體公開(kāi)密鑰信息 Issuer unique identifier CA唯一標(biāo)識(shí) Subject unique identifier 證書(shū)主體唯一標(biāo)識(shí) Extensions 證書(shū)擴(kuò)充內(nèi)容 Signature on the above field CA對(duì)以上內(nèi)容的簽名 2022/2/8 58 證書(shū)的申請(qǐng) ? PKI 系統(tǒng)的 證書(shū)申請(qǐng)、審核、制作、發(fā)布、
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1