基于pki的電子商務(wù)安全密鑰托管技術(shù)及協(xié)議研究(編輯修改稿)
2025-06-10 23:57 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ，即由數(shù)字證書(shū)認(rèn)證中心機(jī)構(gòu)(CA)簽發(fā)的數(shù)字證書(shū)，在交易的各個(gè)環(huán)節(jié)，交易的各方都需檢驗(yàn)對(duì)方數(shù)字證書(shū)的有效性，從而解決了用戶信任問(wèn)題。證書(shū)庫(kù)是CA頒發(fā)證書(shū)和撤消證書(shū)的集中存放地，可供用戶進(jìn)行開(kāi)放式查詢，獲得其他用戶的證書(shū)和公鑰。證書(shū)是一個(gè)經(jīng)證書(shū)認(rèn)證機(jī)構(gòu)（CA）數(shù)字簽名的包含用戶身份信息，以及公開(kāi)密鑰信息的電子文件。是各實(shí)體(消費(fèi)者、商戶/企業(yè)、銀行等)在網(wǎng)上進(jìn)行信息交流及商務(wù)活動(dòng)的電子身份證。PKI提供的密鑰備份和恢復(fù)解密密鑰機(jī)制是為了解決用戶由于某種原因丟失了密鑰使得密文數(shù)據(jù)無(wú)法被解密的這種情況。為了方便客戶操作，在客戶端裝有軟件，申請(qǐng)人通過(guò)瀏覽器申請(qǐng)、下載證書(shū)，并可以查詢證書(shū)的各種信息，對(duì)特定的文檔提供時(shí)間戳請(qǐng)求等。PKI技術(shù)體系中應(yīng)用最為廣泛、最為基礎(chǔ)的一個(gè)協(xié)議是國(guó)際電信聯(lián)盟ITU的，它主要目的在于定義一個(gè)規(guī)范的數(shù)字證書(shū)格式，認(rèn)證手段。，此外還包括版本號(hào)、證書(shū)序列號(hào)、CA標(biāo)識(shí)符、簽名算法標(biāo)識(shí)、簽發(fā)者名稱、證書(shū)有效期等。5PKI在電子商務(wù)安全密鑰托管中的應(yīng)用相關(guān)的協(xié)議標(biāo)準(zhǔn)在本系統(tǒng)中，公/私鑰對(duì)產(chǎn)生用到的標(biāo)準(zhǔn)為RFC2437；用戶信息系統(tǒng)用到的標(biāo)準(zhǔn)為X680(ASN1標(biāo)準(zhǔn))、X690(DER標(biāo)準(zhǔn))、X509/RFC2459(數(shù)字證書(shū))；簽名標(biāo)準(zhǔn)為ANSIX301和ANSIX302；發(fā)布標(biāo)準(zhǔn)為RFC2510(證書(shū)管理)和標(biāo)準(zhǔn)RFC2560；驗(yàn)證標(biāo)準(zhǔn)為RFC2560和RFC2559；廢止標(biāo)準(zhǔn)為RFC2459和RFC2510。密鑰托管機(jī)密體制的結(jié)構(gòu)密鑰托管加密體制主要由三個(gè)部分組成：密鑰數(shù)據(jù) 密鑰恢復(fù)域 密文明文加密解密明文用戶安全模塊 用戶安全模塊數(shù)據(jù)恢復(fù)密鑰恢復(fù)K密鑰托管模塊解密明文數(shù)據(jù)恢復(fù)模塊（1）用戶安全模塊（USC:UserSecurityComponent）：是硬件設(shè)備或軟件程序，使用密鑰完成對(duì)數(shù)據(jù)的加密和解密，并在數(shù)據(jù)恢復(fù)域附加到加密數(shù)據(jù)上。（2）密鑰托管模塊（KEC：KeyEscrowComponent）：由密鑰托管結(jié)構(gòu)控制，管理數(shù)據(jù)恢復(fù)密鑰的存儲(chǔ)、傳送和使用。它可以是密鑰管理基礎(chǔ)的組成部分。（3）數(shù)據(jù)恢復(fù)模塊（DRC：DataRecoveryComponent）:由算法、協(xié)議和設(shè)備組成。負(fù)責(zé)從密鑰托管模塊提供的私鑰信息和數(shù)據(jù)恢復(fù)域中包含的信息中恢復(fù)出數(shù)據(jù)加密密鑰，從而解開(kāi)密文。安全密鑰托管的步驟密鑰托管最關(guān)鍵，也是最難解決的問(wèn)題是：如何有效的確阻止用戶的欺詐行為，使所有用戶無(wú)法逃脫托管機(jī)構(gòu)的跟蹤。為防止用戶逃避托管，密鑰托管技術(shù)的實(shí)施需要通過(guò)政府的強(qiáng)制措施進(jìn)行。用戶必須先委托密鑰托管代理進(jìn)行密鑰托管，取得托管證書(shū)后才能向證書(shū)授權(quán)認(rèn)證中心申請(qǐng)加密證書(shū)。證書(shū)授權(quán)認(rèn)證中心必須在收到加密公鑰對(duì)應(yīng)的私鑰托管證書(shū)后，再簽發(fā)相應(yīng)的公鑰證書(shū)。為了防止密鑰托管代理濫用職權(quán)及托管密鑰被泄露，用戶的私鑰被分解成若干部分，由不同的密鑰托管代理負(fù)責(zé)保存。只有將所有的私鑰分量合在一起，才能恢復(fù)用戶私鑰的有效性。進(jìn)行密鑰托管的步驟如下：（1）用戶選擇若干個(gè)密鑰托管代理，分給每個(gè)一個(gè)別代理一部分私鑰和一部分公鑰。托管代理根據(jù)所得到的密鑰分量產(chǎn)生相應(yīng)的托管證書(shū)。證書(shū)中包括該用戶的特定標(biāo)識(shí)符（UID：UniqueIdentify）、被托管的那部分公鑰和私鑰、托管證書(shū)的編號(hào)。密鑰托管代理還要用自己的簽名私鑰對(duì)托管證書(shū)進(jìn)行加密，產(chǎn)生數(shù)字簽名，并將其附在托管證書(shū)上。（2）用戶收到所有托管證書(shū)后，將證書(shū)和完整的公鑰遞交給證書(shū)授權(quán)認(rèn)證中心，申請(qǐng)加密證書(shū)。（3）證書(shū)授權(quán)認(rèn)證中心檢驗(yàn)每份托管證書(shū)的真實(shí)性，即是否每個(gè)托管代理都保管了一部分有效的私鑰分量，并對(duì)用戶身份加以確認(rèn)。完成所有的驗(yàn)證工作后，證書(shū)授權(quán)認(rèn)證中心生成加密證書(shū)，發(fā)送給用戶?；赑KI的算法設(shè)計(jì) 選一大素?cái)?shù)p，令a是{0，1，2，?，p1}中與p互素的數(shù)。用戶選擇n個(gè)自然數(shù)X[1]，X[2]，?，X[n]∈[1，p1]A的私鑰為:X=(X[1]+X[2]+?+X[n])modp；相對(duì)應(yīng)的公鑰為:Y=axmodp，令Y[i]=ax[i]modp，i=1，2，?，n而Y=(Y[1]Y[2]?Y[n])modp，所以可把A的私鑰分成n份分別存在n個(gè)委托人那里。整個(gè)密鑰托管的系統(tǒng)框架如圖所示：CA證書(shū)委托人1 證書(shū)委托人N用戶?。?）首先用戶向CA申請(qǐng)到公鑰簽名證書(shū)(此證書(shū)無(wú)需委托簽名)； ?。?）用戶利用自己的公鑰簽名證書(shū)證明身份后，繼續(xù)向CA申請(qǐng)公鑰加密證書(shū)； ?。?）CA發(fā)現(xiàn)沒(méi)有收到用戶的密鑰托管證書(shū)，向用戶發(fā)送索要信息并附帶CA推薦的m≥n為可信賴的委托人的公鑰簽名證書(shū)； ?。?）用戶選擇n位委托人，再次通過(guò)CA認(rèn)證委托人身份的正確性； ?。?）用戶給每一位委托人發(fā)一對(duì)(X[i]，Y[i])委托人向CA驗(yàn)證用戶的身份之后，繼續(xù)通過(guò)公式Y(jié)[i]=ax[i]modp驗(yàn)證(Y[i]，X[i])的正確性。若正確，則產(chǎn)生相應(yīng)的托管證書(shū)。托管證書(shū)包含該用戶的特定標(biāo)示符UID、與被托管的部分私鑰X[i]相對(duì)應(yīng)的那部分公鑰Y[i]、委托人的標(biāo)示符和托管證書(shū)號(hào)。用委托人對(duì)此信息簽名后，發(fā)給用戶；?。?）用戶收到信息后，驗(yàn)證信息的正確性。然后把托管證書(shū)以及完整公鑰Y交給CA繼續(xù)申請(qǐng)公鑰加密證書(shū)；（7）CA收到后繼續(xù)
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1