信息安全技術(shù)第二章-認(rèn)證技術(shù)-文庫(kù)吧資料
2025-02-12 04:52本頁(yè)面
【正文】 根 CA 根 CA 認(rèn)證機(jī)構(gòu) U V Y X b a R 多根信任模型 多根信任模型 ?在便捷性和互操作簡(jiǎn)單性方面優(yōu)勢(shì)比較明顯。 ?接收并驗(yàn)證終端用戶公鑰證書的申請(qǐng)； ?確定是否接受終端用戶公鑰證書的申請(qǐng)，即證書的審批； ?向申請(qǐng)者頒發(fā)公鑰證書 /拒絕證書的發(fā)放； ?接收、處理終端用戶的公鑰證書更新請(qǐng)求及證書的更新； ?接收終端用戶公鑰證書的查詢、撤銷； ?產(chǎn)生和發(fā)布證書廢止列表（ CRL）； ?公鑰證書的歸檔； ?密鑰歸檔； ?歷史數(shù)據(jù)歸檔； 認(rèn)證機(jī)構(gòu) ?認(rèn)證機(jī)構(gòu)組成 ?注冊(cè)服務(wù)器 ?證書申請(qǐng)受理和審核機(jī)構(gòu) ?認(rèn)證機(jī)構(gòu)服務(wù)器 認(rèn)證機(jī)構(gòu) ?層次信任模型 ?可以描繪為一顆倒掛的樹，最上層叫做根 CA（ root CA），在根 CA下面的是子 CA。 ? 擴(kuò)充域。 ? 發(fā)放者惟一標(biāo)識(shí)符。 ? 主體名稱。 CA的名稱 ? 有效期。 ? 簽名算法標(biāo)識(shí)符。 ? 證書序列號(hào)。其默認(rèn)值為第 1版。 ? 不可否認(rèn)性 ? 發(fā)件人的公鑰證書只有發(fā)件人唯一擁有，發(fā)件人進(jìn)行簽名后，就不能否認(rèn)發(fā)送過(guò)某個(gè)文件。 ? 完整性 ? 利用發(fā)件人公鑰證書在傳送前對(duì)電子郵件進(jìn)行公鑰簽名，不僅可以確定發(fā)件人身份，而且可以判斷發(fā)送的信息在傳遞過(guò)程中是否被篡改過(guò)。 ?公鑰證書采用公鑰體制，用戶掌握私鑰，公開公鑰。 公鑰證書 ?公鑰證書 ?公鑰證書就是標(biāo)志網(wǎng)絡(luò)用戶身份信息的一系列數(shù)據(jù)，它用來(lái)在網(wǎng)絡(luò)通信中識(shí)別通信各方的身份。 ? 但手工方式對(duì)于地理上分布的大量用戶是比較困難的和不切合實(shí)際的。但公鑰的完整性和所有權(quán)問(wèn)題是應(yīng)用公鑰機(jī)制的一個(gè)需要解決的問(wèn)題。兩個(gè) Kerberos服務(wù)器互相注冊(cè)。 ? 這樣的環(huán)境被視為一個(gè)管轄國(guó)界 (realm)。 ? Kerberos服務(wù)器必須與每一個(gè)服務(wù)器之間共享一個(gè)保密密鑰。 ?解決辦法 ?ticket reusable ?ticketgranting server Kerberos V4認(rèn)證對(duì)話 ?兩個(gè)問(wèn)題 ?與 ticketgranting ticket相關(guān)的 Lifetime問(wèn)題； ?需要服務(wù)器向客戶進(jìn)行認(rèn)證； ?解決方案 ?session key Kerberos管轄范圍與多重服務(wù) ? 一個(gè)完整的 Kerberos環(huán)境包括一個(gè) Kerberos服務(wù)器，一組工作站，和一組應(yīng)用服務(wù)器，滿足下列要求： ? Kerberos服務(wù)器必須在其數(shù)據(jù)庫(kù)中擁有所有參與用戶的 ID(UID)和口令散列表。 更安全的認(rèn)證對(duì)話 ?兩個(gè)主要問(wèn)題 ?希望用戶輸入口令的次數(shù)最少。 Kerberos Version4 ?引入一個(gè)信任的第三方認(rèn)證服務(wù)，采用一個(gè)基于 Needham Schroeder協(xié)議。 ? 可伸縮。 ? 透明。 ? 可靠。 Kerberos系統(tǒng)應(yīng)滿足的要求 ? 安全。 ? 要求每一個(gè)用戶對(duì)每一個(gè)服務(wù)證明其標(biāo)識(shí)身份，同樣要求服務(wù)器向客戶端證明其標(biāo)識(shí)身份。 三種可能的安全方案 ? 相信每一個(gè)單獨(dú)的客戶工作站可以保證對(duì)其用戶的識(shí)別，并依賴于每一個(gè)服務(wù)器強(qiáng)制實(shí)施一個(gè)基于用戶標(biāo)識(shí)的安全策略。 ? Client/Server網(wǎng)絡(luò)結(jié)構(gòu)。用戶資源和文件受到物理上的安全保護(hù)； ?多用戶分時(shí)系統(tǒng)。 ? Kerberos Version4和 Version5 (RFC1510)。 ? 不是為每一個(gè)服務(wù)器構(gòu)造一個(gè)身份認(rèn)證協(xié)議，Kerberos提供一個(gè)中心認(rèn)證服務(wù)器，提供用戶到服務(wù)器和服務(wù)器到用戶的認(rèn)證服務(wù)。 ? 一個(gè)工作站上一個(gè)用戶可能冒充另一個(gè)用戶操作； ? 一個(gè)用戶可能改變一個(gè)工作站的網(wǎng)絡(luò)地址，從而冒充另一臺(tái)工作站工作； ? 一個(gè)用戶可能竊聽他人的信息交換，并
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1