公钥基础设施pki

《公钥基础设施pki》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、公钥基础设施PKI唐文北京大学信息学院软件工程研究所－信息安全研究室http://infosec.pku.edu.cn内容认证逻辑公开密钥基础设施PKI密钥管理组合公钥技术2021/9/182认证逻辑认证逻辑信任逻辑：对主体的认证，对照方法判别注册性，双边性，独有性，一体性，主从性相信逻辑：对客体的认证，推理方法判别（BAN逻辑，NRL逻辑，NCP逻辑）可解性，无重性，占有性主体认证在信息系统中，主体认证在主体之间进行。一个主体对另一个主体进行识别（identify），验明身份（proofofidentity）。主体分为验证方和证明方。主体认证的依据主体认证必须具有某种

2、“信物”，如：合同，协议，照片，证件，ID卡或身份证等。这种“信物”特征应记录在案。发证方是主主体，领证方是从主体。而主体和证件具有一体性。因此，主体认证必须满足注册性，共有性，独特性，一体性，主从性。注册性证明方主体特征应是预先设置或约定的，这就是注册。因为证明通常以对照的方法进行，没有参照物，就无法比较，也就是无法得到证明。很显然，不注册就没有判别的依据。因此注册中包括判别所需的所有有关内容。注册性决定了一个验证主体管辖的证明方是有边界的。而不是无限的。注册性是主体认证和客体认证的主要区别点。共有性共有性强调验证方和证明方具有相同意义的“信物”。过去简单用：“你有什么

3、，你知道什么，你是什么”来定义身份认证的依据。得出你是谁的结论。按着共有性原则，应解释为：“你有的我也有，你知道的我也知道，你是什么的叙述跟我掌握的一样”。“我有，我知道，我是什么”应在注册中体现。独特性“信物”的部分或全部体现在注册中，同样，“信物”的部分或全部体现在证明方所持有的证件中。“信物”的综合特证是唯一的。有别于其它主体的特征。身份特征的分粒度按业务性质可以不同，在敌友识别系统中，只识别敌友双方即可，有的系统则要识别到具体的人，如身份证号或用户名等。一体性证明方必须具有主体和证件的一体性证据。如照片或人脑中的口令等，将证明主体和证件结合成一体化。用于一体性证明

4、的技术有两种，一种是基于主体的生物特征，另一种是基于主体的逻辑特征。在信息系统中往往采用逻辑特征值，如口令或密钥参数。1）生物特征最能够提供一体性证据的是主体固有的生物特征。现有生物特征技术大致如下：类别存储量验证方式判别准确度指纹特征4kB接触型几秒有误判视网膜特征2kB接触型几秒较准确虹膜特征256B非接触型1秒非常准确脸部特征和声音特征16kB非接触型几秒较准确其中，基于脸部特征的一体性验证，还具有可恢复脸部图象的功能，这种功能为事发后的跟踪追查提供有力的证据。逻辑特征逻辑特征是利用参数，如口令或密钥，作为主体身份的特征来进行认证的技术。认证一般通过一种协议来实现。

5、主从性验证主体和证明主体构成主从关系。主从关系以登记，发证的形式体现。主体间互相认证，表面看起来是平等关系，但A方验证B方时，A方是主主体，而B方是从主体，而B方验证A方时，B方成为主主体，A方成为从主体。就一个主体的验证过程来说，不会形成平等关系。主从性指的是直接的从属关系，而不是间接的从属关系。从属关系规定了发证的合法性和有效域。一个系统只能对自己管辖的主体发证，而一个主体的证件只能在所属系统范围内有效。从安全理论的角度，这种关系是单层的，而不能是多层的。主体认证协议口令认证协议一个客户A主机（PC）要登录到服务器（SVR）。必备条件：A:具有SVR配发的ID卡。做管

6、辖性证据；具有用户名和口令，提供一体性证据；具有SVR分发的参数R，提供当次性证据；PC：具有加密算法和加密功能；具有密钥k1;SVR：ID卡合法性验证，验证其管辖性；用户A的用户名(或用户标识PIN)和口令，用于一体性检验；发给A的随机参数，用于当次性和管辖性验证；密钥k1和k2以及加解密功能。身份（标识）认证示意KEY1KEY1，KEY2R，PWAPCSVREKEY1(KEY2)EKEY2(R)用户（PWA)ID卡验证过程：a)用户插卡，卡中的内容输进PC机中。EK1（K2）；EK2（R）；b)PC计算：DK1（Ek1(k2))=k2DK2(R)=R;c)用户敲入口令

7、WPa；d)PC计算EK2（RWPa）;将结果送SVR；e)SVR计算EK2（RWPa）；将结果进行比较。f)如果认证通过，将EK2（NEWR）发回a的ID卡中。公开密钥基础设施PKI公开密钥基础设施PKI1976年Diffie和Hellman在《密码新方向》中提出了著名的D-H密钥交换协议，标志着公钥密码体制的出现。Diffie和Hellman第一次提出了不基于秘密信道的密钥分发，这就是D-H协议的重大意义所在。PKI（PublicKeyInfrastructure）是一个用公钥概念与技术来实施和提供安全服务的具有普适性