zl—第3章網(wǎng)絡(luò)安全技術(shù)及應(yīng)用-資料下載頁(yè)
2025-01-18 07:31本頁(yè)面
【正文】 可以認(rèn)證其他 CA，也可以直接為終端實(shí)體頒發(fā)證書，但在實(shí)際應(yīng)用中，為了便于管理，用于認(rèn)證下級(jí) CA，不為用戶認(rèn)證終端實(shí)體。 ? 終端實(shí)體就是 PKI的用戶 ，處于層次模型的葉子節(jié)點(diǎn)，其證書由其父節(jié)點(diǎn) CA頒發(fā) 。對(duì)于終端實(shí)體而言，它需要信任根 CA，中間的 CA可以不必關(guān)心。 ? 層次模型中，除根 CA之外的每個(gè)節(jié)點(diǎn) CA上，至少需要保存兩種數(shù)字證書。 ? 向上證書 ：父節(jié)點(diǎn) CA發(fā)給它的證書； ? 向下證書 : 由它頒發(fā)給其他 CA或者終端實(shí)體的證書。 2022/2/8 78 分布式信任模型 ? 信任結(jié)構(gòu) 把信任分散在兩個(gè)或多個(gè) CA上 ， 而每個(gè) CA所在的子系統(tǒng)構(gòu)成系統(tǒng)的子集 ，并且是一個(gè)嚴(yán)格的層次結(jié)構(gòu) 。不同的 CA所簽發(fā)的數(shù)字證書能夠互相認(rèn)證 ， 就需要使用交叉認(rèn)證技術(shù) . ? 所謂 交叉認(rèn)證 就是通過(guò) 在獨(dú)立的 CA間建立起信任關(guān)系，使得它們各自的終端用戶建立起信任關(guān)系 。 終 端 實(shí) 體 A根 C A 1 終 端 實(shí) 體 B根 C A 2交 叉 認(rèn) 證2022/2/8 79 基于 Web模型的信任模型 ? Web模型主要依賴于流行的瀏覽器，當(dāng)前流行的幾款瀏覽器如微軟的 IE瀏覽器、 Mozila的 firefox(火狐貍瀏覽器 ) 等都預(yù)裝了許多 CA的證書。 ? Web模型在方便性和簡(jiǎn)單互操作性方面有明顯的優(yōu)勢(shì)，但是也存在許多問(wèn)題： ? 容易信任偽造的 CA ? 沒(méi)有實(shí)用的機(jī)制來(lái)撤銷嵌入到瀏覽器中的根證書。 2022/2/8 80 以用戶為中心的信任模型 ? 在以用戶為中心的信任模型中，各用戶自己決定信任哪些證書?；?RSA算法的安全電子郵件軟件PGP(Pretty Good Privacy)，采用了這一信任模型。 2022/2/8 81 PKI的應(yīng)用 以為 Windows2022為例，介紹 CA的安裝和使用，以及證書在 IIS中的應(yīng)用和利用證書發(fā)送安全電子郵件。 CA的安裝和證書申請(qǐng) ? 證書安裝 ? 1）使用 administrator身份登錄到 Windows 2022。 ? 2）、單擊控制面板中的“添加或刪除程序”，在 Windows組件向?qū)Ч催x“證書服務(wù)”復(fù)選框，單擊彈出的對(duì)話框“是”按扭。這時(shí)會(huì)彈出對(duì)話框，提示“安裝證書服務(wù)后，計(jì)算機(jī)名和域成員身份都不能更改 ……” 2022/2/8 82 CA的安裝和證書申請(qǐng) ? 彈出對(duì)話框，選擇 CA類型，選擇“企業(yè)根 CA”， 并復(fù)選“用自定義設(shè)置生成密鑰對(duì)和 CA證書” ? 在出現(xiàn)的“公鑰 /私鑰對(duì)”中保持默認(rèn)值，下一步 ? 要求輸入 CA的名稱，這里在“ CA識(shí)別信息”窗口中輸入 CA的名稱“ test_PKI”，如圖 38所示，單擊下一步，其他選擇默認(rèn)值。 ? 保持證書數(shù)據(jù)庫(kù)及其日志信息的保存位置默認(rèn)值，單擊“下一步”按扭，在隨后的停止 Inter信息服務(wù)的對(duì)話框中，單擊“是”。 ? 系統(tǒng)在確定停止 IIS 服務(wù)的運(yùn)行后，系統(tǒng)便會(huì)開始安裝證書服務(wù)器相關(guān)的組件以及程序。在出現(xiàn)的安裝完成窗口中單擊“完成”。 2022/2/8 83 CA的安裝和證書申請(qǐng) ? 證書管理 可以通過(guò)控制臺(tái)管理證書。 ? 在系統(tǒng)菜單運(yùn)行處輸入 mmc命令，啟動(dòng)一個(gè)控制臺(tái)。 ? 在“文件”菜單中單擊“添加 /刪除管理單元” ? 選擇添加“證書頒發(fā)機(jī)構(gòu)”單元。 2022/2/8 84 CA的安裝和證書申請(qǐng) ? CA中包括以下子樹： ? 吊銷的證書：由于密鑰泄密等原因已經(jīng)吊銷的證書； ? 頒發(fā)的證書：由客戶端申請(qǐng)并已經(jīng)頒發(fā)，而且處于有效期可用的證書。頒發(fā)的證書可以選中并改變?yōu)榈蹁N的證書； ? 掛起的申請(qǐng)：是已經(jīng)提交申請(qǐng)而沒(méi)有頒發(fā)證書，可以選擇一個(gè)申請(qǐng)頒發(fā)。 ? 失敗的申請(qǐng)：是沒(méi)有通過(guò)的申請(qǐng)。 ? 證書模版：是可以頒發(fā)證書的模版，安裝證書組件時(shí)，只有選擇企業(yè)根才可以管理證書模板， 2022/2/8 85 CA的安裝和證書申請(qǐng) ? 證書申請(qǐng) ? 以下步驟進(jìn)行證書的申請(qǐng) ? 1）首先在申請(qǐng)證書的主機(jī)上，打開網(wǎng)址 IP地址 /certsrv，申請(qǐng)證書。 ? 2）選擇創(chuàng)建并向此 CA提交一個(gè)申請(qǐng)。 ? 3）選高級(jí)證書申請(qǐng)。 ? 4）用戶可以選擇證書類型，證書類型的多少取決于 CA服務(wù)器端證書模版目錄下的證書類型以及證書的屬性。 2022/2/8 86 CA的安裝和證書申請(qǐng) ? 查看所申請(qǐng)的證書 ? 啟動(dòng) IE瀏覽器，單擊“工具”菜單，并選擇“ Inter選項(xiàng)”。 ? 選擇“內(nèi)容”屬性頁(yè)，并單擊“證書”按鈕。 2022/2/8 87 PKI的應(yīng)用 ? 證書在 IIS（ Inter信息服務(wù)器）中的應(yīng)用 在 IIS 站點(diǎn)設(shè)置證書服務(wù)的步驟如下 ? 選擇 IIS網(wǎng)站 右擊需要申請(qǐng) SSL證書的網(wǎng)站屬性，再點(diǎn)擊“目錄安全性”屬性頁(yè)，最下面有一個(gè)“安全通信”欄。點(diǎn)擊“服務(wù)器證書”就開始證書申請(qǐng)向?qū)В? 2022/2/8 88 證書在 IIS（ Inter信息服務(wù)器）中的應(yīng)用 ? 選擇證書 ? 證書向?qū)У牡谝徊绞沁x擇生成證書，生成證書有多種方法： ? 新建證書是向建立 CA申請(qǐng)生成一個(gè)新證書，需要進(jìn)一步填寫相關(guān)信息； ? 選擇一個(gè)分配的現(xiàn)有證書是從已經(jīng)申請(qǐng)的證書中選擇一個(gè)證書； ? 另外兩種方法是從密鑰管理器備份文件或以 pfx格式保存的文件導(dǎo)入，這種文件需要預(yù)先申請(qǐng)，并以文件形式保存； ? 最后一個(gè)則是將遠(yuǎn)程服務(wù)站點(diǎn)的證書復(fù)制到本地。 2022/2/8 89 證書在 IIS（ Inter信息服務(wù)器）中的應(yīng)用 ? 申請(qǐng)證書 ? 需申請(qǐng)證書時(shí)，選擇立即將證書請(qǐng)求發(fā)送到聯(lián)機(jī)證書頒發(fā)機(jī)構(gòu)，并填寫一些相關(guān)信息，注意一定要設(shè)置防火墻開放 443端口。 ? 提交證書請(qǐng)求 ? 彈出對(duì)話框顯示剛才設(shè)置的信息，單擊完成， ? 設(shè)置有關(guān)參數(shù) ? 證書安裝成功后，網(wǎng)站即可以提供 HTTPS服務(wù)，還可以進(jìn)一步設(shè)置。在“目錄安全性”屬性頁(yè)單擊“編輯”按鈕，彈出設(shè)置“安全通道”對(duì)話框，復(fù)選“要求安全通道（ SSL）”，也就是訪問(wèn)此網(wǎng)站必須使用 HTTPS協(xié)議，還可以設(shè)置“要求 128位加密”，但這樣設(shè)置后，如果用戶使用 IE5瀏覽器就不能正常訪問(wèn)了，如果網(wǎng)站要求用戶使用客戶端證書實(shí)現(xiàn)強(qiáng)身份認(rèn)證，則選“要求客戶端證書”，如果網(wǎng)站既可以不使用客戶端證書，也可以使用客戶端證書，則選“接受客戶端證書”。 2022/2/8 90 用證書發(fā)送安全電子郵件 ? 安全電子郵件主要解決如下問(wèn)題： ? 保密性：電子郵件信息即使被竊取也不泄露郵件的內(nèi)容 ? 身份認(rèn)證：利用發(fā)信人的數(shù)字證書確定發(fā)信人身份，不致他人冒充。 ? 不可否認(rèn)性：收信人則根據(jù)隨郵件發(fā)送的證書上的發(fā)信人公鑰，驗(yàn)證信息是發(fā)信人所發(fā)，而發(fā)信人無(wú)法否認(rèn)。 ? 完整性：利用發(fā)信人數(shù)字證書在傳送前對(duì)電子郵件進(jìn)行數(shù)字簽名，保證電子郵件信息不能被他人在傳輸過(guò)程中修改。 2022/2/8 91 用證書發(fā)送安全電子郵件 ? Outlook 2022發(fā)送簽名和加密的電子郵件的步驟如下 ? 首先需要向 CA服務(wù)器申請(qǐng)數(shù)字證書，注意類型必須是電子郵件保護(hù)證書。 ? 啟動(dòng) outlook 2022，選擇菜單 〉 工具 〉 選項(xiàng)，彈出對(duì)話框。 ? 選擇安全屬性頁(yè)，復(fù)選“給待發(fā)郵件添加數(shù)字簽名”、“以明文簽名發(fā)送郵件”，選擇“設(shè)置”按鈕，彈出“更改安全設(shè)置對(duì)話框” 2022/2/8 92 用證書發(fā)送安全電子郵件 ? 單擊“選擇”按鈕。選擇剛才申請(qǐng)的證書。 ? 選擇剛才申請(qǐng)的證書 ，并選擇哈希算法和加密算法， ? 下面描述如何發(fā)送加密的電子郵件。 ? 導(dǎo)出證書，從收到的帶簽名和證書郵件中導(dǎo)入發(fā)送者的證書，單擊紅色飄帶彈出對(duì)話框，并單擊“詳細(xì)信息”，彈出對(duì)話框，選擇 “簽字人：” ，并單擊“查看信息” 按鈕，彈出屬性頁(yè)，選擇“查看證書按鈕”，彈出屬性頁(yè)對(duì)話框，選擇“詳細(xì)信息”，及“復(fù)制到文件”按鈕，把證書復(fù)制到文件。 2022/2/8 93 用證書發(fā)送安全電子郵件 ? 向通信薄中聯(lián)系人添加證書。 選擇菜單“工具” 〉 “通信薄”，選擇上述添加到通信薄聯(lián)系人作為接收者，選擇證書屬性頁(yè)，單擊“導(dǎo)入”按鈕，導(dǎo)入剛才導(dǎo)出的證書文件。 ? 發(fā)送帶簽名和加密的電子郵件：選擇菜單：工具 〉 選項(xiàng)，彈出對(duì)話框，選擇安全屬性頁(yè)，復(fù)選“加密帶發(fā)郵件的內(nèi)容和附件”，“給待發(fā)郵件添加數(shù)字簽名” ，“以明文簽名發(fā)送郵件” ，向?qū)Ψ桨l(fā)送一個(gè)電子郵件，這時(shí)，接收者就會(huì)收到一個(gè)用自己公鑰加密的電子郵件。
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1