信息系統(tǒng)項目管理師(已改無錯字)
2023-03-18 17:38:14 本頁面
【正文】 IX、 windows、 Mac等平臺。 openssl目前最新的版本是. 無線安全網(wǎng)絡(luò) WLAN 第 28章 PKI公鑰基礎(chǔ)設(shè)施 安全 5要素 PKI基本概念 為了保證 Inter的安全問題，世界各國對其進行了多年的研究 ,初步形成了一套完整的 Inter安全解決方案，即目前被廣泛采用的 PKI技術(shù)(Public Key Infrastructure 公鑰基礎(chǔ)設(shè)施 ),PKI(公鑰基礎(chǔ)設(shè)施 )技術(shù)采用證書管理公鑰，通過第三方的可信任機構(gòu)認證中心 CA(Certificate Authority)，把用戶的公鑰和用戶的其它標識信息 (如名稱、 、身份證號等 )捆綁在一起，在 Inter網(wǎng)上驗證用戶的身份。目前 ,通用的辦法是采用建立在 PKI基礎(chǔ)之上的數(shù)字證書，通過把要傳輸?shù)臄?shù)字信息進行加密和簽名，保證信息傳輸?shù)臋C密性、真實性、完整性和不可否認性，從而保證信息的安全傳輸。 PKI特點 PKI作為一般通用性的安全基礎(chǔ)設(shè)施，必須具備如下主要特點： 節(jié)省費用：在一個大型組織中，實施統(tǒng)一的安全解決方案，比起實施多個有限的解決方案，費用要節(jié)省得多。分散的方案集成困難，新增接入代價大，實施、維護、運營多個點對點的解決方案與單一的基本方案比，開銷要高很多。 互操作性：統(tǒng)一的基礎(chǔ)設(shè)施要比分散多個解決方案具有更高的互操作性，統(tǒng)一安全基礎(chǔ)設(shè)施平臺，開發(fā)方案等標準化，更具互操作性，而分散的解決方案可能采用互不兼容的操作流程和工具平臺。 開放性：任何技術(shù)的早期設(shè)計，都希望將來能和其它企業(yè)間實現(xiàn)互操作。一個基于開放的、國際標準公認的基礎(chǔ)設(shè)施技術(shù)比一個專有的點對點的技術(shù)方案更可信和方便。點對點的技術(shù)方案不能處理多域間的復(fù)雜性，不具有開放性。 一致性：安全基礎(chǔ)設(shè)施為所有的應(yīng)用程序和設(shè)備提供了可靠的、一致的解決方案。與一系列互不兼容的解決方案比，這種一致性的解決方案在一個企業(yè)內(nèi)更易于安裝、管理和維護。 可驗證性：安全基礎(chǔ)設(shè)施為各種應(yīng)用系統(tǒng)和設(shè)備之間的交互提供了可能，因為，所有的交互采用統(tǒng)一的處理方式。也就是說，基礎(chǔ)設(shè)施的操作和交互可以被驗證是否正確，這個獨立的、可信任的驗證機構(gòu)就是認證機構(gòu) CA。在獨立的點對點解決方案之間，安全性很難得到保證，因為即使每一個解決方案都經(jīng)過嚴格測試，但方案間的交互很難進行大規(guī)模的、全面測試。 可選擇性：公鑰基礎(chǔ)設(shè)施會建立許多被授權(quán)的提供者，基礎(chǔ)設(shè)施提供者可以是一個企業(yè)內(nèi)部的特設(shè)機構(gòu)，更主要的是經(jīng)論證的第三方機構(gòu)。使用者可以根據(jù)這些機構(gòu)的專業(yè)技術(shù)水平、價格、服務(wù)功能等因素，自由選擇，這和其它基礎(chǔ)設(shè)施一樣，比如我們接入寬帶可以選擇不通的接入服務(wù)商。 國家公共 PKI體系信任模型 國家公共 PKI體系采用網(wǎng)狀信任模型，由 國家橋中心（ NBCA）、地區(qū)橋中心（ LBCA）、公眾服務(wù)認證中心（ SCA）和注冊機構(gòu)組成。 國家橋中心 NBCA是溝通各地方、各行業(yè) 建立的 CA認證中心的橋梁，它只與 CA進 行交叉認證，不向最終用戶發(fā)放證書； 地區(qū)橋中心 LBCA功能與 NBCA類似，但它是自發(fā)組織的機構(gòu)，代表一批 CA與 NBCA 交叉認證； 國家公共 PKI體系示意圖 F i r e w a l l 1 F i r e w a l l 1 外 網(wǎng)入 侵 檢 測s l a v eL D A P O S C P T S A R A加 密 機F i r e w a l l 2 F i r e w a l l 2 入 侵 檢 測D M Z D M ZC AM a s t e rL D A P D BD BK M CR A 管理 端C A 管理 端W E B和F T P制 證終 端防病 毒加 密 機F i r e w a l l 3 F i r e w a l l 4 安 全 區(qū) K M 區(qū)操 作 區(qū)CA總體結(jié)構(gòu) 為實現(xiàn)相關(guān)服務(wù)所需要硬件體系結(jié)構(gòu)和軟件系統(tǒng)功能 DMZ是英文 “ demilitarized zone”的縮寫，中文名稱為 “ 隔離區(qū) ” ，也稱 “ 非軍事化區(qū) ” 。它是為了解決安裝防火墻后外部網(wǎng)絡(luò)不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題，而設(shè)立的一個非安全系統(tǒng)與安全系統(tǒng)之間的緩沖區(qū)，這個緩沖區(qū)位于企業(yè)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的小網(wǎng)絡(luò)區(qū)域內(nèi)，在這個小網(wǎng)絡(luò)區(qū)域內(nèi)可以放置一些必須公開的服務(wù)器設(shè)施，如企業(yè) Web服務(wù)器、 FTP服務(wù)器和論壇等。另一方面，通過這樣一個 DMZ區(qū)域，更加有效地保護了內(nèi)部網(wǎng)絡(luò)，因為這種網(wǎng)絡(luò)部署，比起一般的防火墻方案，對攻擊者來說又多了一道關(guān)卡。 一個標準的 ： 版本號 — 標識證書的版本（版本 版本 2或是版本 3）。 序列號 — 由證書頒發(fā)者分配的本證書的唯一標識符。 簽名 — 簽名算法標識符，由對象標識符加上相關(guān)的參數(shù)組成，用于說明本證書所用的數(shù)字簽名算法。例如， SHA1和 RSA的對象標識符 就用來說明該數(shù)字簽名是利用 RSA對 SHA1雜湊加密。 頒發(fā)者 — 證書頒發(fā)者的可識別名（ DN），這是必須說明。 有效期 — 證書有效期的時間段。本字段由 ” Not Before”和 ” Not After”兩項組成，它們分別由 UTC時間或一般的時間表示（在 RFC2459中有詳細的時間表示規(guī)則）。 主體 — 證書擁有者的可識別名，這個字段必須是非空的，除非你在證書擴展中有別名。 主體公鑰信息 — 主體的公鑰（以及算法標識符），這一項必須說明。 頒發(fā)者唯一標識符 — 證書頒發(fā)者的唯一標識符，僅在版本 2和版本 3中有要求，屬于可選項。 主體唯 一標識符 —
公司管理相關(guān)推薦
鄂ICP備17016276號-1