安全產(chǎn)品培訓(xùn)(編輯修改稿)
2025-03-08 01:45 本頁面
【文章內(nèi)容簡介】 外服務(wù)接口，為應(yīng)用系統(tǒng)提供加解密、簽名及簽名驗證、數(shù)字信封服務(wù)、產(chǎn)生隨機數(shù)和對數(shù)據(jù)進行數(shù)字摘要等多種密碼服務(wù)。 46 2. 1 密碼服務(wù)系統(tǒng)（二） 應(yīng)用系統(tǒng)安全中間件模塊加解密服務(wù)調(diào)度密碼服務(wù)單元1 密碼服務(wù)單元2 密碼服務(wù)單元n....47 密鑰管理系統(tǒng)（一） ? 密鑰管理策略的制訂 ? 密鑰的生成 ? 密鑰的存儲 ? 密鑰的查詢 ? 密鑰的撤消 ? 密鑰的恢復(fù) 48 密鑰管理系統(tǒng)（二） 49 證書業(yè)務(wù)服務(wù)系統(tǒng) ? 證書業(yè)務(wù)服務(wù)系統(tǒng)體系結(jié)構(gòu) ? 證書認證系統(tǒng)（ CA） ? 證書審核注冊系統(tǒng)（ RA） 50 證書業(yè)務(wù)服務(wù)系統(tǒng)體系結(jié)構(gòu) 證書業(yè)務(wù)服務(wù)系統(tǒng)特點： ? “ 集中式生產(chǎn) 、 分布式服務(wù) ” ? 可伸縮配置 ? 動態(tài)平滑可擴展 51 證書認證系統(tǒng) CA ? 證書策略服務(wù) ? 證書簽發(fā) ? 證書發(fā)布 ? 證書管理 ? 證書撤銷列表簽發(fā) ? 證書撤銷列表發(fā)布 52 證書審核注冊服務(wù)系統(tǒng) RA ? 證書申請與審核 ? 證書下載 ? 證書注銷、暫停、恢復(fù)的受理 53 證書查詢驗證服務(wù)系統(tǒng) ? 基于 LDAP的目錄管理 ? 基于 LDAP的證書及證書撤消列表查詢 ? 基于 OCSP的證書狀態(tài)在線查詢 ? “ 集中式管理 、 分布式服務(wù) ” ? 性能動態(tài)平滑可擴展 54 智能密碼鑰匙 用于存儲數(shù)字證書、密鑰等信息，并為客戶端提供加解密、簽名 /驗證、密鑰管理等基礎(chǔ)安全服務(wù) 55 附 :證書發(fā)放流程 下載證書和經(jīng)加密的加密私鑰 RA 實體鑒別密碼器 生成簽名密鑰對 本地保存簽名私鑰 KM 取出加密密鑰對，對加密私鑰用簽名公鑰加密，并托管加密私鑰 用戶信息及簽名公鑰提交 CA 將經(jīng)加密的加密私鑰和公鑰下發(fā) CA 將簽名公鑰和密鑰請求提交 KM 實體鑒別器密碼器 LDAP 發(fā)布證書 CA 對用戶信息和加密公鑰等進行簽名，生成證書 56 附 :基于 PKI的身份驗證流程 (簽名運算 ) 客戶端服務(wù)器端( 1) 服務(wù)請求(3)驗 證服務(wù)器證書的有效性(4)生 成隨機數(shù)R1(10) 驗證簽名結(jié)果SS(R 1)(11) 用客戶端私鑰對R2 簽名 得到簽名結(jié)果SC(R 2)( 2 ) 服務(wù)器端證書( 5 ) 客戶端證書 + R1(6)驗 證客戶端證書的有效性(7)用 服務(wù)器端私鑰對R1 簽名 得 到簽名結(jié)果SS (R1)(8)生 成隨機數(shù)R2( 15 ) 返回請求結(jié)果( 12 ) SC( R2)(13) 驗證簽名結(jié)果SC(R 2)(14) 對身份驗證情況 進行日志記錄( 9 ) SS(R1) + R2LDAP 服務(wù)器OCSP 服務(wù)器57 附 :基于 PKI的身份驗證流程 (加密運算 ) 客戶端服務(wù)器端( 1) 服務(wù)請求(3)驗 證服務(wù)器證書的有效性(4)生 成隨機數(shù)R1(5)用 服務(wù)器端公鑰加密R1 得 到加密結(jié)果ES (R1)(12) 比較隨機數(shù)R1(13) 解密EC(R 2)( 2) 服務(wù)器端證書( 6 ) 客戶端證書 + ES( R1)(7)驗 證客戶端證書的有效性(8)解 密ES (R1)(9)生 成隨機數(shù)R2(10) 用客戶端公鑰加密R2 得到加密結(jié)果EC(R 2)( 17 ) 返回請求結(jié)果( 14 ) R2(15) 比較隨機數(shù)R2(16) 對身份驗證情況 進行日志記錄( 11 ) R1 + EC(R2)LDAP 服務(wù)器OCSP 服務(wù)器58 培訓(xùn)提綱 一、 PKI的基礎(chǔ)知識 二、安全產(chǎn)品介紹 三、安全中間件介紹 四、應(yīng)用支撐平臺介紹 59 簡 介 安全中間件的主要內(nèi)容： 體系結(jié)構(gòu) 應(yīng)用服務(wù)器端 JAVA接口 客戶端應(yīng)用安全控件接口 應(yīng)用配置 60 體系結(jié)構(gòu) 安全中間件以上部分稱之為應(yīng)用接口層。在應(yīng)用層次之上可以采用多種方式來進行封裝和實現(xiàn)，滿足不同的應(yīng)用需求。 應(yīng)用服務(wù)器 密碼服務(wù)器 61 因特網(wǎng) APP Server PKI Server 防火墻 應(yīng)用系統(tǒng)體系結(jié)構(gòu) 62 應(yīng)用系統(tǒng)工作流程 客戶端用戶 A P P 服 務(wù) 器 P K I 服 務(wù) 器 載入證書 交換證書 取得服務(wù)器證書 驗證客戶證書 雙方驗證證書 數(shù)據(jù)通信 數(shù)據(jù)通信 63 應(yīng)用服務(wù)器端接口 應(yīng)用于應(yīng)用服務(wù)器中，作為 PKIServer服務(wù)器的客戶端，調(diào)用PKIServer實現(xiàn)所需的功能。 采用 JAVA技術(shù)，真正的平臺無關(guān)性 包名： 主要功能封裝類： 64 AdvGetCert public String AdvGetCert ( int certType ) 根據(jù)證書類型讀取服務(wù)器證書，證書標(biāo)簽寫在配置文件中，不作為參數(shù)。 certType=1 表示加密證書 certType=2 表示簽名證書 輸出編碼后的證書信息。 65 AdvCheckCert public boolean AdvCheckCert(String i_inCert) 驗證輸入證書的有效性。 i_inCert 輸入為已編碼的證書。 66 AdvSealEnvelope public String AdvSealEnvelope( String i_encCert, int i_symmAlgo, byte[] i_inData) 生成數(shù)字信封，生成對稱密鑰加密數(shù)據(jù)，用公鑰加密對稱密鑰。 i_encCert 輸入已編過碼加密證書。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1