信息安全導(dǎo)論第12章pkipmi技術(shù)(編輯修改稿)
2025-02-25 01:04 本頁面
【文章內(nèi)容簡介】 PKI／ PMI技術(shù) 2. 功能? 完成證書的驗證工作，為所有應(yīng)用以一致、可信的方式使用公鑰證書提供支持。? 以安全、一致的方式與 PKI的密鑰備份與恢復(fù)系統(tǒng)交互，為應(yīng)用提供統(tǒng)一的密鑰備份與恢復(fù)支持。n 在所有應(yīng)用系統(tǒng)中，確保用戶的簽名私鑰始終只在用戶本人的控制之下，阻止備份簽名私鑰的行為。返回本節(jié)第 12章 PKI／ PMI技術(shù) n 根據(jù)安全策略自動為用戶更換密鑰，實現(xiàn)密鑰更換的自動、透明與一致。n 為方便用戶訪問加密的歷史數(shù)據(jù)，向應(yīng)用提供歷史密鑰的安全管理服務(wù)。n 為所有應(yīng)用訪問統(tǒng)一的公用證書庫提供支持。n 以可信、一致的方式與證書作廢系統(tǒng)交互，向所有應(yīng)用提供統(tǒng)一的證書作廢處理服務(wù)。第 12章 PKI／ PMI技術(shù) n 完成交叉證書的驗證工作，為所用應(yīng)用提供統(tǒng)一模式的交叉驗證支持。n 支持多種密鑰存放介質(zhì)，包括 IC卡、 PC卡、安全文件等。n PKI應(yīng)用接口系統(tǒng)應(yīng)該是跨平臺的。 第 12章 PKI／ PMI技術(shù) PKI的功能和要求 證書、密鑰對的自動更換 交叉認證 其他一些功能 對 PKI的性能要求 返回本章首頁第 12章 PKI／ PMI技術(shù) 證書、密鑰對的自動更換n 證書、密鑰都有一定的生命期限。當用戶的私鑰泄露時，必須更換密鑰對；n 另外，隨著計算機速度日益提高，密鑰長度也必須相應(yīng)地增長。因此， PKI應(yīng)該提供完全自動（無須用戶干預(yù)）的密鑰更換以及新證書的分發(fā)工作。 返回本節(jié)第 12章 PKI／ PMI技術(shù) 交叉認證 n 每個 CA只能覆蓋一定的作用范圍（域）。n 兩個 CA安全地交換密鑰信息，這樣每個 CA都可以有效地驗證另一方密鑰的可信任性，我們稱這樣的過程為交叉認證。n 事實上，交叉認證是第三方信任的擴展，即一個 CA的網(wǎng)絡(luò)用戶信任其他所有自己 CA交叉認證的 CA用戶。 返回本節(jié)第 12章 PKI／ PMI技術(shù) 交叉認證的操作（ 1）兩個域之間信任關(guān)系的建立，在雙邊交叉認證的情況下，兩個 CA安全地交換他們的驗證密鑰。這些密鑰用于驗證他們在證書上的簽名。為了完成這個操作，每個 CA簽發(fā)一張包含自己公鑰（這個公鑰用于對方驗證自己的簽名）的證書，該證書稱為交叉證書。 返回本節(jié)第 12章 PKI／ PMI技術(shù) （ 2）由客戶端軟件來做。這個操作包含了驗證由已經(jīng)交叉認證的 CA簽發(fā)的用戶證書的可信賴性，這個操作需要經(jīng)常執(zhí)行。這個操作常常被稱為跟蹤信任鏈。 鏈指的是交叉證書確認列表，沿著這個列表可以跟蹤所有驗證用戶證書的 CA密鑰。 第 12章 PKI／ PMI技術(shù) 其他一些功能 1．加密密鑰和簽名密鑰的分隔 如前所述，加密和簽名密鑰的密鑰管理需求是相互抵觸的，因此 PKI應(yīng)該支持加密和簽名密鑰的分隔使用。第 12章 PKI／ PMI技術(shù) 2．支持對數(shù)字簽名的不可抵賴 任何類型的電子商務(wù)都離不開數(shù)字簽名，因此 PKI必須支持數(shù)字簽名的不可抵賴性，而數(shù)字簽名的不可抵賴性依賴于簽名私鑰的惟一性和機密性，為確保這一點， PKI必須保證簽名密鑰與加密密鑰的分隔使用。 第 12章 PKI／ PMI技術(shù) 3．密鑰歷史的管理 每次更新加密密鑰后，相應(yīng)的解密密鑰都應(yīng)該存檔，以便將來恢復(fù)用舊密鑰加密的數(shù)據(jù)。每次更新簽名密鑰后，舊的簽名私鑰應(yīng)該妥善銷毀，防止破壞其惟一性；相應(yīng)的舊驗證公鑰應(yīng)該進行存檔，以便將來用于驗證舊的簽名。 第 12章 PKI／ PMI技術(shù) 對 PKI的性能要求 1．透明性和易用性 2．可擴展性 3．互操作性4．支持多應(yīng)用 5. 支持多平臺第 12章 PKI／ PMI技術(shù) PKI相關(guān)協(xié)議 公開秘鑰證書的標準擴展 LDAP協(xié)議 返回本章首頁第 12章 PKI／ PMI技術(shù) 1. 定義 CCITT（ ITU）針對已經(jīng)被國際標
語文相關(guān)推薦
鄂ICP備17016276號-1