數(shù)字簽名與認(rèn)證技術(shù)(1)(參考版)
2025-05-18 05:28本頁面
【正文】 ? 屬性權(quán)威（ AA）或權(quán)威源（ SOA）通過頒發(fā)角色分配屬性證書，可以使用戶具備一個(gè)或多個(gè)角色。 ? 然后將角色分配給用戶，用戶可以屬于一個(gè)或者多個(gè)角色，這樣用戶就繼承了該角色所具有的權(quán)限。 PKI/PMI 的基于 RBAC模型與實(shí)現(xiàn)過程 ? 1 基于角色訪問控制模型 ? 一種基于角色訪問控制（ RBAC）核心思想是權(quán)限并不直接分配給用戶，而是分配給角色，角色是分配權(quán)限的一種間接手段 。 ? 三， AA代理點(diǎn)是 PMI的用戶代理節(jié)點(diǎn)，又稱資源管理中心，是與具體應(yīng)用網(wǎng)絡(luò)用戶的接口，是對應(yīng) AA中心的附屬機(jī)構(gòu)，接受 AA中心的直接管理，由各 AA中心負(fù)責(zé)建設(shè)，報(bào)經(jīng)主管的 SOA中心同意，并簽發(fā)相應(yīng)的證書。 ? 一，信任源點(diǎn) SOA是整個(gè)授權(quán)管理體系的中心業(yè)務(wù)節(jié)點(diǎn)，也是整個(gè) PMI的最終信任源和最高管理機(jī)構(gòu)。 ? 交叉認(rèn)證 多個(gè) PKI獨(dú)立地運(yùn)行，相互之間應(yīng)建立信任關(guān)系 PMI系統(tǒng)結(jié)構(gòu) ? 授權(quán)管理基礎(chǔ)設(shè)施（ PMI）授權(quán)服務(wù)體系以高度集中的管理網(wǎng)絡(luò)用戶和為網(wǎng)絡(luò)用戶授權(quán) . ? 并且采用適當(dāng)?shù)木W(wǎng)絡(luò)用戶身份信息來實(shí)現(xiàn)網(wǎng)絡(luò)用戶認(rèn)證，主要是 PKI體系下的數(shù)字證書，也包括動(dòng)態(tài)口令或者指紋認(rèn)證技術(shù)。 ? 自動(dòng)密鑰更新 無需用戶干預(yù) ， 當(dāng)證書失效日期到來時(shí) ，啟動(dòng)更新過程 ， 生成新的證書 ? 密鑰歷史檔案 由于密鑰更新 ， 每個(gè)用戶都會(huì)擁有多個(gè)舊證書和至少一個(gè)當(dāng)前證書 ， 這一系列證書及相應(yīng)私鑰 （ 除簽名私鑰 ） 組成密鑰歷史檔案 。這種密鑰應(yīng)頻繁更換 。 簽名密鑰的生命期較長 。 ? 注冊機(jī)構(gòu) RA 注冊功能也可以由 CA直接實(shí)現(xiàn) ， 但隨著用戶的增加 ， 多個(gè) RA可以分擔(dān) CA的功能 ， 增強(qiáng)可擴(kuò)展性 ， 應(yīng)注意的是 RA不容許頒發(fā)證書或 CRL. ? 證書庫 證書的集中存放地 ， 提供公眾查詢 ， 常用目錄服務(wù)器提供服務(wù) ， 采用 LDAP目錄訪問協(xié)議 。 ? PKI在實(shí)際應(yīng)用上是一套軟件、硬件系統(tǒng)和安全策略的集合，它提供了一整套安全機(jī)制，使網(wǎng)絡(luò)用戶在不知道對方身份或者分布地很廣的情況下，以證書為基礎(chǔ)，通過一系列的信任關(guān)系進(jìn)行網(wǎng)絡(luò)通信和電子商務(wù)交易。 2 PKI 的基本組成 ? 一個(gè)典型的 PKI系統(tǒng)由五個(gè)基本的部分組成： ? 證書申請者、注冊機(jī)構(gòu)、認(rèn)證中心、證書庫和證書信任方。 PKI 的功能與基本組成 ? 1 PKI主要功能 ? 一個(gè)完整的 PKI系統(tǒng)應(yīng)具備以下主要功能： ? 根據(jù) ，證書與 CA產(chǎn)生密匙對，密鑰備份及恢復(fù)，證書，密鑰對的自動(dòng)更換，加密密鑰及簽名密鑰的分隔，管理密鑰和證書，支持對數(shù)字簽名的不可抵賴性，密鑰歷史的管理，為用戶提供 PKI服務(wù)，如網(wǎng)絡(luò)用戶安全登陸、增加和刪除用戶、恢復(fù)密鑰、檢驗(yàn)證書等。 ? 這個(gè)框架避免的了零碎的、點(diǎn)對點(diǎn)的，特別是沒有互操作性的解決方案，引入了可管理的機(jī)制以及跨越多個(gè)應(yīng)用和計(jì)算平臺(tái)的一致安全性。 ? 證書撤銷的實(shí)現(xiàn)方法有多種： ? 一種方法是利用周期性的發(fā)布機(jī)制撤銷證書； ? 另一種方法采用在線查詢機(jī)制，隨時(shí)查詢被撤銷的證書。 ? 還需要構(gòu)建一個(gè)安全有效的網(wǎng)絡(luò)用戶證書撤銷系統(tǒng)。 ? 屬性證書為用戶在網(wǎng)絡(luò)中的屬性證明，將用戶 ID與用戶屬性綁定在一起。 ? PKI實(shí)現(xiàn)了信息交換的保密性、抗抵賴性、完整性和有效性等安全準(zhǔn)則。 ? 公鑰證書將用戶的身份與其公鑰綁定在一起，作為用戶在網(wǎng)絡(luò)中的身份證明。 – 能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用提供采用加密和數(shù)字簽名等密碼服務(wù)所需要的密鑰和證書管理。 ? 從圖 ，因?yàn)橹挥杏脩?A和 B擁有共享密鑰KAB，所以 B能夠確信信息來源的可靠性和完整性。 ? 用戶 A將 M‖SigSA（ dA,H（ m））發(fā)送給用戶 B，用戶 B通過 A的公鑰來確認(rèn)信息是否由 A所發(fā)出，并且通過計(jì)算hash值來對信息 M進(jìn)行完整性鑒別。 2 基于公鑰體制的信息認(rèn)證 ? 基于公鑰體制的信息認(rèn)證技術(shù)主要利用數(shù)字簽名和 hash函數(shù)來實(shí)現(xiàn)。 ? 用戶 B通過解密并驗(yàn)證附于信息 M之后的hash值是否正確。 ? 通過引入單向 hash函數(shù)，可以解決信息完整性的簽別檢測問題，如圖 。 ? 這種認(rèn)證方法可以對信息來源進(jìn)行認(rèn)證，而且它在認(rèn)證的同時(shí)對信息 M也進(jìn)行了加密。 ? 為防止信息 M在傳輸信道被竊聽， A將 M加密后再傳送 。 ? 例如，在網(wǎng)絡(luò)銀行、電子商務(wù)等應(yīng)用中，對于所發(fā)生的業(yè)務(wù)或交易，可能并不需要保密交易的具體內(nèi)容，但是交易雙方應(yīng)當(dāng)能夠確認(rèn)是對方發(fā)送（接收）了這些信息，同時(shí)接收方還能確認(rèn)接收的信息是完整的，即在通信過程中沒有被修改或替換 1 基于私鑰密碼體制的信息認(rèn)證 ? 假設(shè)通信雙方為 A和 B。 信息認(rèn)證技術(shù) ? 信息認(rèn)證技術(shù)是網(wǎng)絡(luò)信息安全技術(shù)的一個(gè)重要方面，它用于保證通信雙方的不可抵賴性和信息的完整性。 ? 另一種方法是使用非對稱密鑰系統(tǒng)，登錄系統(tǒng)時(shí)，按如下協(xié)議進(jìn)行認(rèn)證： ? ①服務(wù)器發(fā)送一個(gè)隨機(jī)數(shù) R給 A； ? ② A用自己的私鑰對 R加密，得到 R1并將它和用戶名一起回傳給服務(wù)器； ? ③服務(wù)器根據(jù)用戶名在數(shù)據(jù)庫中找到 A的公鑰，用它解密 R1，得到 R2； ? ④如果 R2=R，則 A登錄成功。 ? 這里存在著一個(gè)明顯的安全隱患，如果口令表被偷窺（黑客或者系統(tǒng)管理員都有可能），就會(huì)產(chǎn)生嚴(yán)重的后果。 認(rèn)證技術(shù) 基于口令的身份認(rèn)證技術(shù) ? 如果 A要登錄某服務(wù)器（ ATM，計(jì)算機(jī)或其他類型的終端），服務(wù)器怎么知道登錄的人就是 A而不是其他的人呢？ ? 傳統(tǒng)的方法（現(xiàn)在大多數(shù)情況下仍然是這樣）是用口令來解決這個(gè)問題。 3安全 /通用 Inter郵件擴(kuò)展 S/MIME ? (1)S/MIME的功能 ? 因?yàn)?PGP和 S/MIME都是為了提供電子郵件的安全性，所以其功能是很相似的 : ? ① 封裝數(shù)據(jù) ? ②簽名數(shù)據(jù) ? ③透明簽名數(shù)據(jù) ? ④簽名和封裝數(shù)據(jù) ? 與 PGP相比， S/MIME實(shí)現(xiàn)了層次信任模型，比 PGP更安全，有更好的擴(kuò)展性，很容易把規(guī)模從小范圍的組擴(kuò)大到大企業(yè)，也很容易把 S/M
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號(hào)-1