【導(dǎo)讀】建立安全證書體系結(jié)構(gòu)。數(shù)字簽名、數(shù)字信封等技術(shù)。如何實現(xiàn)它們，并使它們能夠真正應(yīng)用起來？如何將公鑰頒發(fā)給個體？如何確定他人的公鑰是否有效、合法？需要的硬件、軟件、人和過程的集合?；趯ΨQ密鑰的數(shù)據(jù)保護。PKI從技術(shù)上解決網(wǎng)上身份認證、信息完整。性、抗抵賴等安全問題。PKI提供一個安全的框架，使得PKI的應(yīng)用?？梢垣@得最終的利益。在WEB服務(wù)器和瀏覽器之間的通信。電子數(shù)據(jù)內(nèi)部交換。在Inter上的信用卡交易。密鑰備份及恢復(fù)系統(tǒng)。事件、情況的預(yù)測、期望和行為。按照涉及到的事件、情。信任具有不確定性。信任與風(fēng)險是相聯(lián)系的。風(fēng)險與應(yīng)對風(fēng)險這一特定方式了。2）依據(jù)預(yù)測結(jié)果及其他參考因素，進行綜合決策，決定被信任者的行為是否發(fā)生；行安全通信，而這兩個CA之間不能交叉認證時，換密鑰就沒有價值的?？煞裾J性、交易者身份的確定性問題。合在一起,每一種網(wǎng)絡(luò)應(yīng)用都有自己的一套密鑰管理，

　　

【正文】 器 。 第七章 公開密鑰設(shè)施 PKI 62 Web模型方便 、 簡單 、 互操作性 好 ， 但存在安全隱患 。 例如 ， 因為瀏覽器的用戶自動地信任預(yù)安裝的所有公鑰 ， 所以即使這些根 CA中有一個是 “ 壞的 ” （ 例如 ， 該 CA從沒有認真核實被認證的實體 ） ， 安全性將被完全破壞 。 A將相信任何聲稱是 B的證書都是 B的合法證書 ， 即使它實際上只是由其公鑰嵌入瀏覽器中的CAbad 簽署的掛在 B名下的 C的公鑰 。 所以 ， A就可能無意間向 C 透露機密或接受 C偽造的數(shù)字簽名 。 這種假冒能夠成功的原因是： A一般不知道收到的證書是由哪一個根密鑰驗證的 。 在嵌入到其瀏覽器中的多個根密鑰中 ， A可能只認可所給出的一些 CA， 但并不了解其他 CA。然而在 Web模型中 ， A的軟件平等而無任何疑問地信任這些 CA， 并接受它們中任何一個簽署的證書 。 第七章 公開密鑰設(shè)施 PKI 63 4)以用戶為中心的信任模型 每個用戶自己決定信任哪些證書 。 通常 ， 用戶的最初信任對象包括用戶的朋友 、 家人或同事 ， 但是否信任某證書則被許多因素所左右 。 在 PGP中 ， 一個用戶通過擔(dān)當(dāng) CA（ 簽署其他實體的公鑰 ） 并使其公鑰被其他人所認證來建立 “ 信任網(wǎng) ”。例如 ， 當(dāng) A收到一個據(jù)稱屬于 B的證書時 ， 她將發(fā)現(xiàn)這個證書是由她不認識的 D簽署的 ， 但是 D的證書是由她認識并且信任的 C簽署的 。 在這種情況下 ， A可以決定信任 B的密鑰 （ 即信任從 C到 D再到 B的密鑰鏈 ） ， 也可能不信任 B的密鑰 （ 認為 “ 未知的 ” B與 “ 已知的 ” C之間的 “ 距離太遠 ” ） 。 此模型依賴于用戶行為 、 決策 ， 不適于普通群體 。 第七章 公開密鑰設(shè)施 PKI 64 實施 PKI應(yīng)考慮的因素 關(guān)鍵：商業(yè)驅(qū)動，而不是以技術(shù)為中心 1)好處：安全的 Email、 EDI、 內(nèi) (外 )部網(wǎng)、實體訪問控制、 Web應(yīng)用、客戶簽名、簡化登錄。 提高工作效率、節(jié)省勞動力、減少風(fēng)險、降低通信費用等。 2)成本因素 3)實施步驟 65 三、 相關(guān)國際標準 PKI (PublicKey Infrastructure)公鑰體系基礎(chǔ)框架 。 PKIX (PublicKey Infrastructure Using )使用 。 由 ISO和 ITU提出的為大型網(wǎng)絡(luò)提供目錄服務(wù)的標準體系 。 為 (Authenticating)體系的標準 。 PKCS(Public Key Cryptography Standards)公鑰加密標準 ， 為 PKI提供一套完善的標準體系 。 第七章 公開密鑰設(shè)施 PKI 66 ， 提供安全目錄服務(wù) 。 目錄是維護用戶信息數(shù)據(jù)庫的服務(wù)器或一組分布式服務(wù)器 。 一份 準字段的集合 ,這些字段包含有關(guān)用戶或設(shè)備及其相應(yīng)公鑰的信息的通用證書格式 ， 所有的證書都符合 。 1988年發(fā)布 ， 此后針對安全問題作了改進 。 1995年發(fā)布 V3版本 ，它在原有版本基礎(chǔ)上進行功能的擴充 。 ， 它定義的證書結(jié)構(gòu) 、 身份驗證協(xié)議已經(jīng)用于 S/MIME、 IPSEC、 SSL/TLS、SET協(xié)議等 。 第七章 公開密鑰設(shè)施 PKI 67 第七章 公開密鑰設(shè)施 PKI PKI 主要特性 v1 amp。 2 v3 證書信息 只有 實體名，包括 CA、證主 (subject)名，證主公鑰及其有效期。 充分擴展，可包含任何信息。 CA 規(guī)范 CA體系鼓勵帶交叉的層狀樹型結(jié)構(gòu)，無信任限制規(guī)范。 CA體系鼓勵帶交叉的層狀樹型結(jié)構(gòu)，有信任限制規(guī)范。 CA、 證主 、用戶 CA、 證主、用戶在概念上嚴格區(qū)分 CA、 證主、用戶 信任關(guān)系 認為每個用戶至少信任一個CA。 CA無法操縱與其它 CA、證主及用戶間的信任關(guān)系。 認為每個用戶至少信任一個 CA。 CA可以規(guī)范與其它CA及證主間的信任關(guān)系。 68 第七章 公開密鑰設(shè)施 PKI 證書有效性驗證方式 離線方式，通過檢查證書有效期及是否出現(xiàn)在最近的 CRL（ 證書吊銷表）上。 支持離線與在線方式。 證書吊銷方法 簡單 CRL。 復(fù)雜的 CRL， 通過功能擴展支持在線方式。 證書形式特點 身份形式的證書。 主要還是身份形式的證書，但支持信任委托形式的證書。 匿名性 匿名程度依賴于 條目的匿名程度。 擴展功能支持徹底的匿名服務(wù)。 69 各版本必須包含下列信息： (1) 用來區(qū)分 (2) 由 CA給每個證書的分配的編號即序列號； (3) 產(chǎn)生證書簽名所用的算法及參數(shù) (4) CA的 (5) 證書有效期：生效日期和截止日期 (6) 持 證人的姓名 、 服務(wù)處所等信息即主題信息 (7) 認證機構(gòu)的數(shù)字簽名 (8) 公鑰值 ， 使用這個公鑰的算法名稱 、 參數(shù) 第七章 公開密鑰設(shè)施 PKI 70 四、 SET支付 支付工具：現(xiàn)金 ?信用卡 。 網(wǎng)上交易 : 商家 、 消費者和銀行通過 Inter交互 ，無法用傳統(tǒng)方法完成支付的查驗過程 。 1995年 ， 信用卡國際組織 、 資訊業(yè)者及網(wǎng)絡(luò)安全專業(yè)團體等開始組成策略聯(lián)盟 ， 共同研究開發(fā)電子商務(wù)的安全交易系統(tǒng) 。 1 9 9 6 年 6 月 ， 由 IBM， Master Card International， Visa International， Microsoft，Netscape等共同制定的標準 SET（ Secure Electronic Transaction） 正式公告 ， 涵蓋了信用卡在電子商務(wù)交易中的交易協(xié)定 、 信息保密 、 資料完整即數(shù)字認證 、 數(shù)字簽名等 。 這一標準被公認為全球網(wǎng)際網(wǎng)絡(luò)的標準 ， 被用于 B2C交易模式中 。 第七章 公開密鑰設(shè)施 PKI 71 在 SET標準中 ， 定義了五種實體： ● 持卡人：擁有信用卡的消費者； ● 商家：在 Inter上提供商品或服務(wù)的商店； ● 支付網(wǎng)關(guān)：由金融機構(gòu)或第三方控制 ， 它處理持卡人購買和商家支付的請求； ● 收單行 (Acquirer)： 負責(zé)將持卡人的帳戶中資金轉(zhuǎn)入商家?guī)舻慕鹑跈C構(gòu)； ● 發(fā)卡行：負責(zé)向持卡人發(fā)放信用卡的金融機構(gòu) 。 第七章 公開密鑰設(shè)施 PKI 72 SET協(xié)議流程： 1） 用戶向商家發(fā)訂單和經(jīng)過簽名 、 加密的信托書 。 書中的信用卡號是經(jīng)過加密的 ， 商家無從得知； 2） 收單銀行收到商家發(fā)來的信托書 ， 解密信用卡號 ，并通過認證驗證簽名； 3） 收單銀行向發(fā)卡銀行查問 ， 確認用戶信用卡是否屬實； 4） 發(fā)卡銀行認可并簽證該筆交易； 5） 收單銀行認可商家并簽證此交易； 6） 商家向用戶傳送貨物和收據(jù)； 第七章 公開密鑰設(shè)施 PKI 73 7） 交易成功 ， 商家向收單銀行索款； 8） 收單銀行按合同將貨款劃給商家； 9） 發(fā)卡銀行向用戶定期寄去信用卡消費賬單 。 SET協(xié)議規(guī)定了參加電子交易各方在交易中的行為規(guī)范和信息交換的過程和規(guī)則 ， 有助于實現(xiàn)安全 、 可靠的電子商務(wù) ， 得到了許多著名網(wǎng)絡(luò)和計算機公司的支持 。 但是 ， SET協(xié)議實施起來很復(fù)雜 ， 因而在短期內(nèi)推廣 SET協(xié)議還存在一定的困難 。 第七章 公開密鑰設(shè)施 PKI