pki∕pmi技術(shù)及應(yīng)用ppt-資料下載頁
2025-02-21 13:25本頁面
【正文】 性權(quán)威（ Attribute Authority， AA)、屬性證書（ Attribute Certification，AC)和屬性證書庫 3部分組成。 ?1． 屬性權(quán)威（ AA） ? 屬性權(quán)威（ AA）也稱為 “授權(quán)管理中心 ”或“屬性權(quán)威機(jī)構(gòu) ”，是整個 PMI系統(tǒng)的核心，它為不同的用戶和機(jī)構(gòu)進(jìn)行屬性證書（ AC）創(chuàng)建、存儲、簽發(fā)和撤銷，負(fù)責(zé)管理 AC的整個生命周期。 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ? 如圖 310所示的是 AA的層次結(jié)構(gòu)。其中，在該樹型結(jié)構(gòu)最頂端（樹根）的是權(quán)威源（ Source of Authority， SOA）。 圖 310 AA的層次結(jié)構(gòu) 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?2． 屬性證書（ AC） ? 屬性證書（ AC）是由 PMI的權(quán)威機(jī)構(gòu)（即屬性權(quán)威， AA）簽發(fā)的將實(shí)體與其享有的權(quán)限屬性捆綁在一起的數(shù)據(jù)結(jié)構(gòu)，權(quán)威機(jī)構(gòu)的數(shù)字簽名保證了綁定的有效性和合法性。 AC主要用于授權(quán)管理。屬性證書的格式如圖 311所示。 圖 311 屬性證書的格式 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ?3． 屬性證書庫 ? 屬性證書庫用于存儲屬性證書，一般情況下采用 LDAP目錄服務(wù)器。在屬性證書庫中采用 LDAP目錄服務(wù)器主要出于以下幾點(diǎn)考慮：一是由于 LDAP目錄服務(wù)器能夠處理大量的用戶并發(fā)，這樣便于屬性證書的檢索，并具有更快的響應(yīng)速度；二是 LDAP服務(wù)器具有完善的安全機(jī)制，可以通過訪問控制列表（ ACL）設(shè)置對目錄數(shù)據(jù)的讀和寫的權(quán)限，通過支持基于 SSL的安全機(jī)制完成對明文的加密，可以為屬性證書的管理提供安全保障；三是 LDAP服務(wù)可以跨平臺操作，支持 Windows、 UNIX、 Linux、NetWare等幾乎所有的主流操作系統(tǒng)；四是同步復(fù)制功能。例如，分布在不同地理位置的兩臺目錄服務(wù)器可以通過使用 “推 ”、“拉 ”技術(shù)使服務(wù)器保持?jǐn)?shù)據(jù)的同步和一致；五是 LDAP服務(wù)器的數(shù)據(jù)的組織方式采用樹型層次結(jié)構(gòu)，便于擴(kuò)展。 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 基于角色的訪問控制 ? 傳統(tǒng)的訪問控制機(jī)制主要有自主訪問控制（ Discretionary Access Control， DAC）和強(qiáng)制訪問控制（ Mandatory Access Control， MAC）。 ? 其中，自主訪問控制（ DAC）也叫作基于身份的訪問控制，其主要思想是系統(tǒng)的主體可以自主地將其擁有的對客體的訪問權(quán)限授予其他主體，且這種授予具有可傳遞性。而強(qiáng)制訪問控制（ MAC）也叫基于規(guī)則的訪問控制，其主要思想是將主體和客體分級，根據(jù)主體和客體的級別標(biāo)識來決定訪問控制。特點(diǎn)是便于管理，但靈活性差，完整性方面控制不夠。 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 ? 基于角色的訪問控制（ RoleBased Access Control， RBAC）技術(shù)可以減少授權(quán)管理的復(fù)雜度，降低管理開銷，提高訪問控制的安全性，而且能夠?qū)崿F(xiàn)基于策略的授權(quán)管理和訪問控制。 ? 以資源分配管理為主的 PMI系統(tǒng)，其授權(quán)管理是基于角色的。與傳統(tǒng)的訪問控制機(jī)制相比，在 PMI系統(tǒng)中的基于角色的授權(quán)管理模式主要存在以下三個方面的優(yōu)勢： ? （ 1）授權(quán)管理的靈活性。 ? （ 2）授權(quán)操作與業(yè)務(wù)操作相分離。 ? （ 3）多授權(quán)模型的靈活支持。 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 PMI系統(tǒng)框架 ? 授權(quán)管理基礎(chǔ)設(shè)施（ PMI）在體系上可以分為三級，分別是：權(quán)威源（ SOA）、屬性權(quán)威（ AA）和 AA代理點(diǎn)。在實(shí)際應(yīng)用中，這種分級體系可以根據(jù)需要進(jìn)行靈活配置，可以是三級、二級或一級。 PMI系統(tǒng)的基本框架圖 312所示。 圖 312 PMI系統(tǒng)框架 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 PMI與 PKI之間的關(guān)系 ? 在建設(shè) PMI設(shè)施時，必須擁有足夠安全性的 PKI設(shè)施。其中， PKI負(fù)責(zé)公鑰信息的管理，而 PMI負(fù)責(zé)權(quán)限的管理。 PMI設(shè)施中的每一個 AA實(shí)體和終端用戶都是 PKI設(shè)施的用戶，所以此從應(yīng)用角度來看， PMI和 PKI的發(fā)展是相輔相成并互為條件的。雖然 PMI是在 PKI的基礎(chǔ)上提出的，但是 PMI的應(yīng)用和發(fā)展離不開 PKI設(shè)施的支持。 ? 可以將 PMI和 PKI綁定在一起，也可以讓 PMI與 PKI在物理上分開。 ? PMI和 PKI有很多相似的概念。 《 計算機(jī)網(wǎng)絡(luò)安全技術(shù) 》 實(shí)驗(yàn)操作 —數(shù)字證書的應(yīng)用 ? 本實(shí)驗(yàn)直接通過 Inter上的證書服務(wù)來獲取和管理數(shù)字證書。具體使用了網(wǎng)證通NETCA電子認(rèn)證系統(tǒng)（ 313所示。 ? 具體操作過程見教材。 圖 313一個可提供免費(fèi)數(shù)字證書的機(jī)構(gòu)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1