公鑰基礎(chǔ)設(shè)施pki講義(編輯修改稿)
2025-02-01 19:15 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 子 CA 子 CA 子 CA 子 CA 子 CA 子 CA 用戶 用戶 用戶 用戶 用戶 嚴(yán)格層次模型 每個(gè)用戶都有兩個(gè)證書：子 CA和根 CA ? 嚴(yán)格層次的信任模型的最大好處是其自上而下的管理性，非常適用于有相同組織結(jié)構(gòu)的團(tuán)體內(nèi)部（如企業(yè)，政府等）。在一個(gè)行業(yè)內(nèi)部，由行業(yè)聯(lián)盟建立統(tǒng)一的嚴(yán)格層次的信任模型 PKI也是可行的，但對(duì)于全球而言，由于不可能建立一個(gè)為全球用戶所共同信任的根CA，所以嚴(yán)格層次的信任模型不能直接用于建立全球統(tǒng)一 PKI在嚴(yán)格層次的信任模型中。 ? 如果一個(gè) CA（特別是根 CA）的私鑰泄漏，則以其作為根的整個(gè)子樹上的 CA證書以及終端實(shí)體的證書都將作廢。 PKI 信 任 模 型 ? 2．對(duì)等信任模型 ? 在對(duì)等信任模型中，各 CA都持有自簽名的 CA證書，并獨(dú)立運(yùn)作， CA之間通過(guò)交叉認(rèn)證實(shí)現(xiàn)相互信任。 PKI 信 任 模 型 ? 3．混合型信任模型 ? 混合型信任模型中， CA之間的關(guān)系既存在嚴(yán)格層次的信任關(guān)系，也存在對(duì)等的信任關(guān)系。一個(gè)組織可以根據(jù)需要把一些 CA部署成層次結(jié)構(gòu)，而另一些 CA部署成對(duì)等關(guān)系。某一層次結(jié)構(gòu)內(nèi)的一個(gè) CA私鑰泄漏時(shí)，其影響范圍只是以它為根的子樹?；旌闲托湃文Ｐ偷奶攸c(diǎn)是存在多個(gè)根 CA，每一個(gè)嚴(yán)格層次的CA域的根 CA可以和另一個(gè)嚴(yán)格層次的 CA域的根 CA進(jìn)行交叉認(rèn)證。 PKI 信 任 模 型 ? 3．混合型信任模型 PKI 信 任 模 型 ? 4．可信 CA列表模型（ Web模型） ? 可信 CA列表模型中存在多個(gè)可信的根 CA，這些可信的根 CA的證書被預(yù)先提供給客戶端系統(tǒng)。 ? 這種模型建構(gòu)在瀏覽器的基礎(chǔ)上，瀏覽器廠商在瀏覽器中內(nèi)置了多個(gè)根 CA，每個(gè)根 CA相互間是平行的，瀏覽器用戶信任這多個(gè)根 CA并把這多個(gè)根 CA作為自己的信任錨。 ? 可信 CA之間不再需要進(jìn)行交叉認(rèn)證，客戶端對(duì)證書的驗(yàn)證也變得簡(jiǎn)單，目前 IE和 Netscape瀏覽器中就預(yù)裝了諸如 Versign， Thawte和 Baltimore等根 CA的證書。 PKI 信 任 模 型 4．可信 CA列表模型（ Web模型） ? 依賴于瀏覽器 ? 將一些 CA的公鑰預(yù)裝在使用的瀏覽器上 ? 這些 CA作為根 CA 4．可信 CA列表模型（ Web模型） ? 由于不需要依賴目錄服務(wù)器，這種模型在方便性和簡(jiǎn)單互操作性方面有明顯的優(yōu)勢(shì)，但是也存在許多安全隱患。 ? 1）例如，因?yàn)闉g覽器的用戶自動(dòng)地信任預(yù)安裝的一些根 CA的公鑰，即使這些根 CA中有一個(gè)是“壞的”（例如該 CA從沒有認(rèn)真核實(shí)被認(rèn)證的實(shí)體），安全性將被完全破壞。 ? 2）另外
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1