密鑰管理與pkippt課件(參考版)
2025-01-24 21:33本頁面
【正文】 ? 角色和角色的成員可以定義不同的有效期。這非常適合于分布式應(yīng)用。 ? 角色的分配可以使用代理模式。管理員定義好角色對資源的訪問特權(quán)后，就可以專注于對用戶的管理。這樣，特權(quán)的分配和用戶的管理就分離開來，管理員可以為整個組或角色分配特權(quán)，而不是單個單個地為用戶分配特權(quán)。 44 PKI ＆ PMI 實體對比 45 屬性可以表達(dá)的含義－組和角色 ? 角色 提供了一種間接分配特權(quán)的方法。為了申請簽證，通常要出示護(hù)照，并且其過程相對簡單一些。而 Attribute Certificate（ AC） 將持有者的名字和一系列 “屬性” 綁定在一起，這些屬性用來表征證書持有者屬于哪個用戶組，屬于什么角色，他持有什么樣的安全許可，或者其他的某些授權(quán)信息。 ? NameConstraints CA證書中表明證書路徑中它之后的任何證書的主體名字都必須在列出的某棵子樹內(nèi)。 ? 策略映射 PolicyMappings 證書路徑跨越兩個策略域時完成映射。 如果值為 0，表示該 CA只能頒發(fā)最終實體證書，而不能頒發(fā)CA證書。其中，根證書是自簽名的，用它自己的公鑰進(jìn)行驗證 ? 一直到驗證 B的證書中的簽名 ? 如果所有的簽名驗證都通過，則 A可以確定所有的證書都是正確的，如果他信任根 CA，則他可以相信 B的證書和公鑰 ? 問題：證書鏈如何獲得？ 28 下屬層次信任模型的好處 ? 管理開銷小 ? 可擴(kuò)展性好 ? 層次結(jié)構(gòu)與組織的內(nèi)部結(jié)構(gòu)比較吻合 ? 公共信任錨可以簡化 CA證書分發(fā) ? 最終實體到信任錨的路徑固定使得可以在最終實體證書中傳送路徑 ? 支持其他方式信任模型的應(yīng)用嚴(yán)重匱乏 29 對等信任模型－交叉認(rèn)證 ? 兩個不同的 CA層次結(jié)構(gòu)之間可以建立對等信任關(guān)系 ? 單向交叉認(rèn)證 ? 一個 CA可以承認(rèn)另一個 CA在一定名字空間范圍內(nèi)的所有被授權(quán)簽發(fā)的證書 ? 雙向交叉認(rèn)證 ? 交叉認(rèn)證的約束 ? 名字約束 ? 路徑長度約束 ? 策略約束 30 混合信任模型 ? 連接下屬層次結(jié)構(gòu) 層次結(jié)構(gòu)的根 CA間建立雙向交叉認(rèn)證 ? 層次結(jié)構(gòu)中的交叉鏈接 層次結(jié)構(gòu)的中間 CA間可以直接建立交叉認(rèn)證鏈接 31 限制信任模型 通過各種類型的限制，達(dá)到實現(xiàn)對信任模型的更佳控制。 ? 信任域 公共控制下或服從于一組公共策略的系統(tǒng)集。 ? 例如，用戶密鑰被泄露， CA的密鑰被泄露，或者用戶不再使用某一個 CA頒發(fā)的證書等。 ? CA 用其私有密鑰對證書進(jìn)行了簽名 ? 用戶可用 CA 的公開密鑰驗證證書的有效性； ? 任何擁有 CA 公開密鑰的用戶都可以從證書中提取被該證書認(rèn)證的用戶的公開密鑰； ? 除了 CA外，任何用戶都無法偽造證書或篡改證書的內(nèi)容； ? 由于證書是不可偽造的，可將證書存放數(shù)據(jù)庫（即目錄服務(wù)）中，而無需進(jìn)行特殊的保護(hù)。 ? 證書路徑約束 ? 這類擴(kuò)展字段用于在簽發(fā)給 CA的證書中包含一定的約束。 14 PKI中的證書 cont. ? 證書 (certificate)， 有時候簡稱為 cert ? PKI適用于
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1