信息安全導(dǎo)論課程-ch14-認(rèn)證應(yīng)用系統(tǒng)(編輯修改稿)
2025-03-08 02:26 本頁面
【文章內(nèi)容簡介】 ? Certificate Authority – 權(quán)威的證書簽發(fā)者 ? 接受請求、審核、 (收費(fèi) )、簽發(fā) – 商業(yè) CA機(jī)構(gòu) ? Certificate Request – 申請人產(chǎn)生自己的公鑰 (私鑰 ) – 提交 PKCS10格式的申請 ? 公鑰、自己的身份信息，用戶自己的簽名 ? 審核頒發(fā) – 面對面的交涉 。 代理 RA ? 證書發(fā)布 – X500目錄 。 在線交換 B 證書的獲得等問題 ? 證書是公開的，不需保密 –這很好 ? 信任 –對證書的信任基于對中心的信任 ? CA是分層次的 –以減輕負(fù)載和壓力 (尤其是審核 ) ? 對多個中心的信任 –分散了風(fēng)險，也引入了風(fēng)險 B 證書的自證明 ? 前提 : 已經(jīng)有 CA的公鑰 – CA公鑰一般是自簽名證書的形式 –必須可靠的獲得，離線手工 ? 取得對方的證書 –證書是公開的，不需保密 –查目錄；在線交換 ? 判斷證書是否有效 –驗(yàn)證證書中的簽名是否是 CA的真實(shí)簽名 – (只是說這個證書是有效的 ) B 信任關(guān)系 ? 信任 –信任 CA –信任 CA的簽名 –信任 CA簽發(fā)的證書 –信任該持有人擁有這個公鑰 持有人，公鑰 ? 層次 – CA組織成為層次關(guān)系 –信任鏈 ? 信任某 CA則信任其子 CA及其子 CA簽發(fā)的證書 ? CA之間的相互信任 –相互給對方的公鑰簽署一個證書 B CA Tree ? A和 B之間 如何達(dá)成相互信任 B 證書的撤銷 ? 證書中的有效期 ? 證書提前作廢的原因 – 私鑰泄密 ? 用戶自己的、 CA的 – 持有人身份變化 ? CRL certificate revocation list – 由 CA定期公布的證書黑名單 – 作廢證書的序列號的表 (序列號 ,撤銷時間 ) – 表的創(chuàng)建日期 – 其他信息 ? CRL位置、下次 CRL更新時間 – 簽名 B Online Certificate Status Protocol ? OCSP 在線證書狀態(tài)協(xié)議 –可以用在線方式查詢指定證書的狀態(tài) ? RFC 2560 – OCSP B 使用證書進(jìn)行身份鑒別 ? 前提 : 已經(jīng)有某人的真實(shí)證書 (公鑰 ) –查目錄或在線交換 ? 鑒別 –鑒別對方是否是真實(shí)的持有人 (某人 ) –看對方是否擁有證書中公鑰對應(yīng)的私鑰 –使用挑戰(zhàn)－應(yīng)答機(jī)制 ? 舉例 – SSL協(xié)議 B 使用證書的鑒別過程 鑒別－ A要和 B通信， A要弄清楚 B是否是他所期望的真的 B ? A－ B： A向 B請求證書 ? A－ B： B的證書 ? A ： A檢查 B的證書是否是 A所信任的中心簽發(fā)的 ? A－ B： A給 B一個隨機(jī)報文，讓 B簽個名來看看 ? B ： B簽名，在簽名之前可施加自己的影響成分 ? A－ B： B的簽名 ? A ：檢驗(yàn)是否通過了 B的證書里的公鑰的驗(yàn)證 B Terminology B 術(shù)語： ? Directory – A directory is a database optimized for read operations. Directories often support powerful search and browsing capabilities. ? A directory is like a phone book, and is not like a directory (folder) on your puter. Like a phone book, the directory holds information about a thing, like a doctor: First, you find the phone book, then you find Doctors, then you look for the type of doctor, then you decide which doctor you want to see. The directory is like that. ? － distributed hierarchical database – 分布式層次數(shù)據(jù)庫 ? InterNIC – 發(fā)布人員信息（尤其是證書） B 術(shù)語： LDAP B 術(shù)語： DN distinguished name ? o=FooBar, Inc., c=US – 以 DN ? o= – 用公司的 Inter地址表示的基準(zhǔn) DN ? dc=foobar, dc= – 用 DNS域名的不同部分組成的基準(zhǔn) DN ? =Oatmeal Deluxe,ou=recipes,dc=foobar,dc= – 燕麥粥 食譜 … * dn: =Oatmeal Deluxe, ou=recipes, dc=foobar, dc= – : Instant Oatmeal Deluxe – recipeCuisine: breakfast – recipeIngredient: 1 packet instant oatmeal – recipeIngredient: 1 cup water – recipeIngredient: 1 pinch salt – recipeIngredient: 1 tsp brown sugar
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1