計(jì)算機(jī)安全保密xxxx-06pki(編輯修改稿)
2025-03-03 19:47 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 n 在多層次的嚴(yán)格結(jié)構(gòu)中，終端實(shí)體直接被其上層的 CA認(rèn)證 (也就是頒發(fā)證書 )，但是它們的信任錨是根 CA。1/28/2023 28 信任模型與 PKI體系(3)網(wǎng)狀結(jié)構(gòu) (分布式信任結(jié)構(gòu) )n 以對(duì)等 CA關(guān)系建立的交叉認(rèn)證擴(kuò)展了 CA域之間的對(duì)等關(guān)系，這樣的 PKI系統(tǒng)成為網(wǎng)狀結(jié)構(gòu)。n 把信任分散在兩個(gè)或多個(gè) CA上。1/28/2023 29 信任模型與 PKI體系n 交叉認(rèn)證使多個(gè) PKI域之間實(shí)現(xiàn)互操作。n 交叉認(rèn)證實(shí)現(xiàn)的方法有多種：n 橋接 CA，即用一個(gè)第三方 CA作為橋，將多個(gè) CA連接起來(lái)，成為一個(gè)可信任的統(tǒng)一體；n 多個(gè) CA的根 CA(RCA)互相簽發(fā)根證書，這樣當(dāng)不同 PKI域中的終端用戶沿著不同的認(rèn)證鏈檢驗(yàn)認(rèn)證到根時(shí)，就能達(dá)到互相信任的目的。1/28/2023 30 信任模型與 PKI體系1/28/2023 31 信任模型與 PKI體系(4)以用戶為中心的信任模型：n 每個(gè)用戶自己決定信任那些證書。n PGP中一個(gè)用戶通過(guò)擔(dān)當(dāng) CA，并使其公鑰被其他人所認(rèn)證來(lái)建立信任關(guān)系。n 因?yàn)橐蕾囉谟脩糇陨淼男袨楹蜎Q策能力，所以，以用戶為中心的模型在技術(shù)水平較高和利害關(guān)系高度一致的群體中是可行的，在一般性大群體中不可行。1/28/2023 32 信任模型與 PKI體系(5) web模型：n 許多 CA的公鑰被預(yù)裝在標(biāo)準(zhǔn)的瀏覽器上。這些公鑰確定了一組瀏覽器用戶最初信任的 CA。n 盡管這組根密鑰可以被用戶修改，但普通用戶不精通 PKI，難以修改。n 此時(shí)，瀏覽器廠商充當(dāng)根 CA，而與被嵌入的密鑰相對(duì)應(yīng)的 CA就是它所認(rèn)證的 CA。n 這種認(rèn)證并不是通過(guò)頒發(fā)證書實(shí)現(xiàn)的，而是物理地把 CA的密鑰嵌入瀏覽器。1/28/2023 33 信任模型與 PKI體系1/28/2023 34 信任模型與 PKI體系n Web模型在方便性和簡(jiǎn)單互操作性方面有明顯的優(yōu)勢(shì)，但存在安全隱患。n 瀏覽器用戶自動(dòng)地信任預(yù)安裝的所有公鑰，如果這些根 CA中有 “壞的 ”，安全性將被完全破壞。n 另一個(gè)潛在的安全隱患是沒(méi)有實(shí)用的機(jī)制來(lái)撤銷嵌入到瀏覽器中的根密鑰。n 該模型還缺少有效的方法在 CA和用戶之間建立合法協(xié)議，致使所有的責(zé)任最終由用戶承擔(dān)。1/28/2023 35 信任模型與 PKI體系1/28/2023 36與 PKI相關(guān)的標(biāo)準(zhǔn)1. (1988)范 n 標(biāo)準(zhǔn)方法。2. (1993)信息技術(shù)之開(kāi)放系統(tǒng)互聯(lián)：概念、模型及服務(wù)簡(jiǎn)述 n 它定義了一個(gè)機(jī)構(gòu)如何在全局范圍內(nèi)共享其名字和與之相關(guān)的對(duì)象。 (目錄服務(wù))1/28/2023 37與 PKI相關(guān)的標(biāo)準(zhǔn)3． (1993)信息技術(shù)之開(kāi)放系統(tǒng)互聯(lián)：鑒別框架 4． PKCS系列標(biāo)準(zhǔn) n 由 RSA實(shí)驗(yàn)室制訂的 PKCS系列標(biāo)準(zhǔn)，是一套針對(duì) PKI體系的加解密、簽名、密鑰交換、分發(fā)格式及行為標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)目前已經(jīng)成為 PKI體系中不可缺少的一部分。1/28/2023 38與 PKI相關(guān)的標(biāo)準(zhǔn)5． OCSP在線證書狀態(tài)協(xié)議n OCSP是 IETF頒布的用于檢查數(shù)字證書在某一交易時(shí)刻是否仍然有效的標(biāo)準(zhǔn)。6． LDAP 輕量級(jí)目錄訪問(wèn)協(xié)議 n LDAP規(guī)范 (RFC1487)簡(jiǎn)化了笨重的 錄訪問(wèn)協(xié)議，在功能性、數(shù)據(jù)表示、編碼和傳輸方面都進(jìn)行了相應(yīng)的修改。 1997年 LDAP第3版本成為互聯(lián)網(wǎng)標(biāo)準(zhǔn)。1/28/2023 39與 PKI相關(guān)的標(biāo)準(zhǔn)n SET協(xié)議n SSL協(xié)議1/28/2023 401/28/2023 41 證書n 數(shù)字證書是網(wǎng)絡(luò)通信中標(biāo)志通信各方身份信息的一系列數(shù)據(jù)，其作用類似于現(xiàn)實(shí)生活中的身份證。n 數(shù)字證書由權(quán)威機(jī)構(gòu)發(fā)行，人們交往中它來(lái)識(shí)別對(duì)方的身份。1/28/2023 42 證書n 數(shù)字證書的作用：n 訪問(wèn)需要客戶進(jìn)行身份驗(yàn)證的安全的INTERNET站點(diǎn)時(shí)使用證書。 (雙向 )n 使用對(duì)方的數(shù)字證書 (所攜帶的公鑰 )向?qū)Ψ桨l(fā)送加密的郵件時(shí)使用證書。n 給對(duì)方發(fā)送帶自己的數(shù)字簽名的郵件時(shí)使用證書。1/28/2023 43 證書n 系統(tǒng)證書： CA系統(tǒng)自身的證書；n 用戶證書：個(gè)人用戶證書，企業(yè)用戶證書，服務(wù)器用戶證書。n 用于數(shù)字簽名的證書：保證信息的不可否認(rèn)性；n 用于加密的證書：保證信息的真實(shí)性和完整性。1/28/2023 44 證書1/28/2023 45 證書n 一級(jí)證書：由 CA中心受理、審核、發(fā)放。n 二級(jí)證書：由業(yè)務(wù)受理點(diǎn)受理、審核、發(fā)放。n 三級(jí)證書：由業(yè)務(wù)受理點(diǎn)或網(wǎng)絡(luò)安全地受理、審核、發(fā)放。1/28/2023 46 證書 ：n 證書的格式由 ITUT標(biāo)準(zhǔn) 義。n 該標(biāo)準(zhǔn)中證書包括申請(qǐng)證書個(gè)體的信息和發(fā)行證書 CA的信息。1/28/2023 47ITUT X． 509標(biāo)準(zhǔn)n ；n CR
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1