pki∕pmi技術(shù)及應(yīng)用ppt(編輯修改稿)
2025-03-20 13:25 本頁面
【文章內(nèi)容簡介】 er Explorer”的信任錨 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ? Web信任模型通過與相關(guān)域進(jìn)行互連而不是擴(kuò)大現(xiàn)有的主體群來使用戶實(shí)體成為在瀏覽器中所給出的所有域的依托方，如圖 36所示。 圖 36 Web信任模型 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?6． 以用戶為中心的信任模型 ? 在以用戶為中心的信任模型中，每個(gè)用戶都直接決定信賴哪個(gè)證書和拒絕哪個(gè)證書。沒有可信的第三方作為 CA，終端用戶就是自己的根 CA ，如圖 37所示。 圖 37 以用戶為中心的信任模型 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 密鑰管理 ? 密鑰管理也是 PKI系統(tǒng)（主要指 CA）中的一個(gè)核心問題。密鑰管理主要是指密鑰對的安全管理，包括密鑰產(chǎn)生、密鑰備份、密鑰恢復(fù)和密鑰更新等。 ?1． 密鑰產(chǎn)生 ? 密鑰對的產(chǎn)生是證書申請過程中重要的一步，其中產(chǎn)生的私鑰由用戶保留，公鑰和其他信息則交由 CA中心進(jìn)行簽名，從而產(chǎn)生證書。 ?2. 密鑰備份和恢復(fù) ? 在部署和使用 PKI系統(tǒng)時(shí)， PKI系統(tǒng)的提供者必須確保即使密鑰丟失，受密鑰加密保護(hù)的重要信息也必須能夠恢復(fù)。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?3. 密鑰更新 ? 對每一個(gè)由 CA頒發(fā)的證書都會(huì)存在有效期，密鑰對生命周期的長短由簽發(fā)證書的 CA中心來確定，每一個(gè) CA系統(tǒng)所頒發(fā)的證書的有效期限有所不同，一般大約為2~3年。當(dāng)用戶的私鑰被泄漏或證書的有效期快到時(shí)，用戶應(yīng)該更新私鑰。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ? PKI采用證書管理公鑰，通過第三方的可信任機(jī)構(gòu) CA把用戶的公鑰和用戶的其他標(biāo)識(shí)信息捆綁在一起，在 Inter或Intra上驗(yàn)證用戶的身份。數(shù)字證書的管理方式在 PKI系統(tǒng)中起著關(guān)鍵作用。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ? 數(shù)字證書也稱為數(shù)字標(biāo)識(shí)（ Digital Certificate，或 Digital ID）。它提供了一種在 Inter等公共網(wǎng)絡(luò)中進(jìn)行身份驗(yàn)證的方式，是用來標(biāo)識(shí)和證明網(wǎng)絡(luò)通信雙方身份的數(shù)字信息文件，其功能與駕駛員的駕照或日常生活中的身份證相似。數(shù)字證書由一個(gè)權(quán)威的證書認(rèn)證機(jī)構(gòu)（ CA）發(fā)行，在網(wǎng)絡(luò)中可以通過從 CA中獲得的數(shù)字證書來識(shí)別對方的身份。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ? 比較專業(yè)的數(shù)字證書定義是 ：數(shù)字證書是一個(gè)經(jīng)證書授權(quán)中心數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件。最簡單的證書包含一個(gè)公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名。一般情況下，證書中還包括密鑰的有效時(shí)間，發(fā)證機(jī)關(guān)（證書授權(quán)中心）的名稱，該證書的序列號(hào)等信息，證書的格式遵循相關(guān)國際標(biāo)準(zhǔn)。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 數(shù)字證書的格式 ? 目前有 、 WTLS（ WAP）和PGP等多種數(shù)字證書，但應(yīng)用最為廣泛的是， CRL格式提供了一個(gè)標(biāo)準(zhǔn)。 ? 38所示，每一個(gè)組成域的功能描述如下： 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 圖 38 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 證書申請和發(fā)放 ? 證書的申請一般有兩種方式：在線申請和離線申請。其中，在線申請就是用戶登錄認(rèn)證機(jī)構(gòu)的相關(guān)網(wǎng)站下載申請表格，然后按要求填寫內(nèi)容?；蛲ㄟ^瀏覽器、電子郵件等在線方式來申請證書，這種方式一般用于申請普通用戶證書。離線方式一般通過人工的方式直接到認(rèn)證機(jī)構(gòu)證書受理點(diǎn)辦理證書申請手續(xù)，通過審核后獲取證書，這種方式一般用于比較重要的場合，如網(wǎng)上銀行的在線支付證書等。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?CA發(fā)放的數(shù)字證書中包含以下的主要內(nèi)容： ? 實(shí)體（公開密鑰擁有者，如人或設(shè)備）的身份，包括：名稱、序列號(hào)、 IP地址、單位的名稱等，以及其他用戶識(shí)別單個(gè)用戶或網(wǎng)絡(luò)設(shè)備（如主機(jī)、交換機(jī)、防火墻、路由器等）的信息。 ? 該實(shí)體的公開密鑰。 ? 簽發(fā)該證書的 CA的數(shù)字簽名和身份。 ? 證書的有效期； ? 證書的級別（證書可以分為多種級別，較高的級別需要注冊者提供更詳細(xì)的身份證明）。 ? 證書 ID號(hào)。 《 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 證書撤銷 ? 在證書的有效期內(nèi)，由于私鑰丟失或證書持有者解除了與某一組織或單位的關(guān)系時(shí)，該用戶所使用的數(shù)字證書需要撤銷。證書的撤銷操作由 CA完成，當(dāng) CA接收到用戶撤銷證書的申請時(shí)，立即執(zhí)行證書撤銷操作，同時(shí)通知用戶證書的撤銷情況。其實(shí)，出于安全考慮，在證書的正常使用中，當(dāng)用戶每次使用證書時(shí)系統(tǒng)都要檢查用戶的證書是否合法和有效。 ? 證書的撤銷一般可通過兩種方式實(shí)現(xiàn)：一種是利用周期性發(fā)布機(jī)制，主要有證書撤銷列表（ Certificate Revocation Lists， CRL
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1