ki組件及其應用ppt課件(編輯修改稿)
2025-06-01 13:39 本頁面
【文章內容簡介】 結構類似于證書 ? 證書被吊銷后， CA會將該證書加入吊銷列表，然后發(fā)行的 CA對數(shù)據(jù)結構簽發(fā)數(shù)字簽名，從而創(chuàng)建一個有效的 v2 CRL 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 25 CRL(續(xù) ) —— CRL的內容 版本 所表示的 CRL版本 簽名（ Signature） CA簽發(fā) CRL所用的數(shù)字簽名算法 發(fā)行者（ Issuer） 發(fā)行機構的名字 此次更新（ ThisUpdate） CRL的發(fā)布時間 下次更新（ NextUpdate） 發(fā)布下個 CRL的時間 被吊銷的證書（ RevokedCertificate） 按序列號吊銷的證書的列表 CRL擴展（ crlExtensions） CRL版本 2的可選項 下面是 CA的數(shù)字簽名（ Digital Signature of CA below） 簽名算法（ SignatureAlgorithm） CA簽發(fā)證書所使用的數(shù)字簽名算法 簽名值（ SignatureValue） CA創(chuàng)建的實際數(shù)字簽名 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 26 CRL(續(xù) ) ? CA將 CRL公布于一個公共存儲庫，終端實體都可以對該存儲庫進行檢索 ? 主體在收到一個證書時，首先檢索 CRL，判斷這個證書是否是有效的 ? 使用 CRL最大的困難是縮短證書吊銷和終端實體知道該消息之間的時間間隔 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 27 OCSP ? 吊銷證書和實際應用此吊銷不允許有時間間隔 ? OCSP， Online Certificate Status Protocol，在線證書狀態(tài)協(xié)議 ? 實時證書吊銷檢查機制 ? 終端實體同 OCSP響應程序之間的消息必須是安全的 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 28 證書存儲庫 ? 證書存儲庫用于存儲、分發(fā)證書和 CRL ? 在應用規(guī)模較大時，需要使用證書庫 ? 證書存儲庫可由所有終端實體和 CA訪問 ? 可以使用的技術 ? 目錄服務 ? LDAP ? FTP 和 HTTP 證書庫 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 29 證書存儲庫 (續(xù) ) —— 目錄服務和 LDAP ? 目錄服務（ Directory Service）是一個在線存儲庫 ? 目錄服務包含對象的有關信息 ? RFC 2587定義了支持 PKI的目錄中所使用的對象類和屬性 ? LDAP， Lightweight Directory Access Protocol，輕量級目錄訪問協(xié)議 ? LDAP用于訪問目錄中的信息，同目錄交互 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 30 證書存儲庫 (續(xù) ) —— FTP和 HTTP ? RFC2585中， FTP和 HTTP定義了傳遞證書和 CRL時的數(shù)據(jù)類型和命名規(guī)則 ? 在 PKI實現(xiàn)中， FTP服務器和 Web服務器可以作為存儲庫使用 ? 大多數(shù) PKI系統(tǒng)不支持 FTP和 HTTP 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 31 時間戳頒發(fā)機構（ TSA） ? PKI可以提供保密性、來源認證和數(shù)據(jù)完整性、不可否認服務 ? 為了更好提供不可否認服務，需要時間戳服務 ? RFC 2022描述了 TSA的使用方式 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 32 PKI體系結構 ? PKI系統(tǒng)中可以包含多個 CA ? 使用的技術 ? 層次結構模型 ? 交叉證明 ? 混合模型 專注 、 專業(yè) 、 創(chuàng)新 、 共贏 33 層次結構模型 ? 在一個層次結構中創(chuàng)建多個 CA ? 最頂層是根 CA，子 CA在根 CA下面 ? 根 CA具有親自簽署的證書，根 CA向子 CA發(fā)行證書 ? 終端實體可以從子 CA或根 CA登記證書 ? 只要終端實體信任根 CA，它也就信任
教學課件相關推薦
鄂ICP備17016276號-1