網(wǎng)絡(luò)安全05-認(rèn)證技術(shù)(2)-資料下載頁(yè)
2025-01-25 12:58本頁(yè)面
【正文】 鑰使用 證書檢驗(yàn) 密鑰過(guò)期 密鑰更新 證書管理 ? 證書注冊(cè) ? 證書存放 ? 證書撤銷 ? 證書驗(yàn)證 ? 證書狀態(tài)查詢 證書注冊(cè) ? 申請(qǐng)人提交證書請(qǐng)求。 ? RA對(duì)證書請(qǐng)求進(jìn)行審核。 ? CA生成證書。 ? 下載并安裝證書 ? 證書發(fā)布 終端 實(shí)體 RA CA 9.證書發(fā)布 證書庫(kù) 證書的更新 ? 最終實(shí)體證書更新 ? 證書過(guò)期 ? 一些屬性的改變 ? 發(fā)放新證書 ? CA證書更新 證書存放 ? 使用 IC卡存放 ? 直接存放在磁盤或自己的終端上 ? USB Key ? 證書庫(kù) 證書撤銷 ? 當(dāng)條件（雇傭關(guān)系結(jié)束、證書中信息修改等）要求證書的有效期在證書結(jié)束日期之前終止，或者要求用戶與私鑰分離時(shí)（私鑰可能以某種方式泄露），證書被撤銷。 RA CA 帶外請(qǐng)求 終端 實(shí)體 證書庫(kù) 證書驗(yàn)證 ? 使用 CA證書驗(yàn)證其他終端實(shí)體證書有效性。 ? 檢查證書的有效期，確保該證書是否有效。 ? 檢查該證書的預(yù)期用途是否符合 CA在該證書中指定的所有策略限制。 ? 在證書撤銷列表（ CRL）中查詢確認(rèn)該證書是否被 CA撤銷。 證書狀態(tài)查詢 ? 定期 下載 證書撤銷列表（ CRL）。 ? 在線證書狀態(tài)協(xié)議 OCSP（ Online Certificate Status Protocol），其目的為了克服基于 CRL的撤銷方案的局限性，為證書狀態(tài)查詢提供即時(shí)的最新響應(yīng)。OCSP使用證書序列號(hào)、 CA名稱和公開密鑰的散列值作為 關(guān)鍵字查詢 目標(biāo)的證書。 PKI的運(yùn)行舉例 ? 1）終端用戶向證明機(jī)構(gòu)（ CA）提出數(shù)字證書申請(qǐng)； ? 2） CA驗(yàn)明終端用戶身份，并簽發(fā)數(shù)字證書； ? 3） CA將證書公布到證書庫(kù)中； ? 4）終端用戶對(duì)電子信件數(shù)字簽名作為發(fā)送認(rèn)證，確保信件完整性，不可否認(rèn)性，并發(fā)送給接受方。 ? 5）接受方接收信件，根據(jù)終端用戶標(biāo)識(shí)向證書庫(kù)查詢證書的狀態(tài)； ? 6）下載終端用戶證書并用其公鑰驗(yàn)證數(shù)字簽名，確定電子信件數(shù)字簽名的有效性； 證書機(jī)構(gòu) CA 證書庫(kù) 終端用 戶 接受方 3 1 2 4 6 5 數(shù)字證書的應(yīng)用（ 1） ? 現(xiàn)有持證人 A向持證人 B傳送數(shù)字信息，為了保證信息傳送的真實(shí)性、完整性和不可否認(rèn)性，需要對(duì)要傳送的信息進(jìn)行數(shù)據(jù)加密和數(shù)字簽名，其傳送過(guò)程如下： ? A準(zhǔn)備好要傳送的數(shù)字信息（明文）。 ? A對(duì)數(shù)字信息進(jìn)行哈希（ hash）運(yùn)算，得到一個(gè)信息摘要。 ? A用自己的私鑰對(duì)信息摘要進(jìn)行加密得到 A的數(shù)字簽名，并將其附在數(shù)字信息上。 ? A隨機(jī)產(chǎn)生一個(gè)加密密鑰（ DES密鑰），并用此密鑰對(duì)要發(fā)送的信息進(jìn)行加密，形成密文。 ? A獲得 B的證書，并用 CA證書驗(yàn)證及檢查證書撤銷列表驗(yàn)證 B證書是否有效。 ? A用 B的公鑰（來(lái)自證書）對(duì)剛才隨機(jī)產(chǎn)生的加密密鑰進(jìn)行加密，將加密后的 DES密鑰連同密文一起傳送給 B。 數(shù)字證書的應(yīng)用（ 2） ? B收到 A傳送過(guò)來(lái)的密文和加過(guò)密的 DES密鑰，先用自己的私鑰對(duì)加密的 DES密鑰進(jìn)行解密，得到 DES密鑰。 ? B然后用 DES密鑰對(duì)收到的密文進(jìn)行解密，得到明文的數(shù)字信息，然后將 DES密鑰拋棄（即 DES密鑰作廢）。 ? B獲得 A的證書，并用 CA證書驗(yàn)證及檢查證書撤銷列表驗(yàn)證 A證書是否有效。 ? B用 A的公鑰（來(lái)自證書）對(duì) A的數(shù)字簽名進(jìn)行解密，得到信息摘要。 ? B用相同的 hash算法對(duì)收到的明文再進(jìn)行一次 hash運(yùn)算，得到一個(gè)新的信息摘要。 ? B將收到的信息摘要和新產(chǎn)生的信息摘要進(jìn)行比較，如果一致，說(shuō)明收到的信息沒(méi)有被修改過(guò)。 CA的系統(tǒng)結(jié)構(gòu) PKI信任模型 ? 單一模型 CA ? 樹狀模型 CA ? 對(duì)等模型 CA ? 網(wǎng)狀模型 CA 單一模型 CA ? 比較理想的情況是建立單一的 CA，由它管理所有證書： ? 特殊的應(yīng)用領(lǐng)域有著特殊的安全需求（安全策略不同）。 ? 證書頒發(fā)和撤銷難于直接控制。 ? 證書庫(kù)難于維護(hù)，難于滿足實(shí)際性能的需求。 ? 根私鑰的維護(hù)更加困難。 樹狀模型 CA A B 根 CA A, B均用 根 CA所發(fā) 證書完成 初始化 樹狀模型 CA（續(xù)） 頒發(fā)者 南信大 主體公鑰 主體 南信大 南信大 CA簽名 頒發(fā)者 南信大 主體公鑰 主體 計(jì)軟院 南信大 CA簽名 頒發(fā)者 計(jì)軟院 主體公鑰 主體 張三 計(jì)軟院 CA簽名 計(jì)軟院的公 /私鑰對(duì) 南信大的公 /私鑰對(duì) 對(duì)等模型 CA B A B A A B 對(duì)等模型 CA（續(xù)） 頒發(fā)者 計(jì)算機(jī)學(xué)院 主體公鑰 主體 信息工程學(xué)院 計(jì)算機(jī)學(xué)院 CA簽名 頒發(fā)者 信息工程學(xué)院 主體公鑰 主體 計(jì)算機(jī)學(xué)院 信息工程學(xué)院 CA簽名 頒發(fā)者 計(jì)算機(jī)學(xué)院 主體公鑰 主體 李四 計(jì)算機(jī)學(xué)院 CA簽名 李四的公 /私鑰對(duì) 信息工程學(xué)院 的公 /私鑰對(duì) 計(jì)算機(jī)學(xué)院 的公 /私鑰對(duì) 頒發(fā)者 信息工程學(xué)院 主體公鑰 主體 張三 信息工程學(xué)院 CA簽名 張三的公 /私鑰對(duì) 橋 CA 不同信任域之間的橋梁 CA，主要負(fù)責(zé)為不同信任域的根 CA頒發(fā)交叉認(rèn)證的證書，建立各個(gè)信任域的擔(dān)保等級(jí)與橋 CA的擔(dān)保等級(jí)之間的一一映射關(guān)系，更新交叉認(rèn)證證書，發(fā)布交叉認(rèn)證證書注銷黑名單。但是它不要求一個(gè)機(jī)構(gòu)在與另一個(gè)機(jī)構(gòu)發(fā)生信任關(guān)系時(shí)必須遵循所確定的這種映射關(guān)系，而是可以采用它認(rèn)為合適的映射關(guān)系確定彼此之間的信任。 網(wǎng)狀模型 CA A B 橋 橋 B 橋 A A 橋 B 橋 A 橋 B 橋 橋 A 橋 B 小結(jié) CA的主要職責(zé) ? 證書的結(jié)構(gòu)，如何實(shí)現(xiàn)用戶身份與其公鑰的綁定。 ? 證書頒發(fā)：申請(qǐng)者在 CA的注冊(cè)機(jī)構(gòu)（ RA）進(jìn)行注冊(cè)，申請(qǐng)證書。 ? 證書廢除：證書持有者可以向 CA申請(qǐng)廢除證書。 ? 證書和 CRL的公布：ＣＡ通過(guò)ＬＤＡＰ服務(wù)器維護(hù)用戶證書和黑名單（ＣＲＬ）。 ? 證書狀態(tài)的在線查詢（ＯＣＳＰ）：比ＣＲＬ更具有時(shí)效性。 ? 證書認(rèn)證：在多ＣＡ系統(tǒng)中，提供對(duì)其它ＣＡ發(fā)布的證書的安全認(rèn)證。 PKI應(yīng)用的考慮 ? 性能 ? 盡量少用公鑰加解密操作，在實(shí)用中，往往結(jié)合對(duì)稱密碼技術(shù)，避免對(duì)大量數(shù)據(jù)作加解密操作 ? 除非需要數(shù)據(jù)來(lái)源認(rèn)證才使用簽名技術(shù)，否則就使用 MAC或者 HMAC實(shí)現(xiàn)數(shù)據(jù)完整性檢驗(yàn) ? 在線和離線模型 ? 簽名的驗(yàn)證可以在離線情況下完成 ? 用公鑰實(shí)現(xiàn)保密性也可以在離線情況下完成 ? 離線模式的問(wèn)題：無(wú)法獲得最新的證書注銷信息 ? 證書中所支持算法的通用性 ? 在提供實(shí)際的服務(wù)之前，必須協(xié)商到一致的算法 ? 個(gè)體命名 ? 如何命名一個(gè)安全個(gè)體，取決于 CA的命名登記管理工作 謝謝！ 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1