基于pki_pmi的应用安全支撑体系研究

《基于pki_pmi的应用安全支撑体系研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、2010.07技术研究doi：10.3969/j.issn.1671-1122.2010.07.026集成，并系统地建立起对认可用户的特定授权，对权限管理基于进行了系统的定义和描述，完PKI/PMIPKI/PMI的整地提供了授权服务所需过程。应用安全支撑体系研究2总体设计基于PKI/PMI的应用安全11123陈兵，邹翔，沈寒辉，周国勇，万爱霞支撑体系架构，用户要访问应（1.信息网络安全公安部重点实验室，上海200031；2.公安部科技信息化局，北京100741；用系统无论是B/S还是C/S模3.上海电机学院，上海200240）式，都要经

2、过身份认证、授权摘　要：当前PKI/PMI技术发展迅速，各政府行业部门逐步建立了PKI/PMI系统，如访问、策略控制等环节，如图何深化该系统与应用系统的结合已越来越重要。本文提出通过建设基于PKI/PMI的应用安1所示。全支撑体系以有效推进基于PKI/PMI系统的安全应用，设计了基于PKI/PMI的应用安全支撑建设模型，提出了三种应用安全建设策略和相关部署模式和实现方法。该体系技术可广泛应用于当前PKI/PMI技术与应用系统的有机结合。关键词：PKI；PMI；应用改造；认证与授权；安全体系中图分类号：TP393.08　文献标识码：A0概

3、述（CertificateAuthority），把用户的公钥和用户的其它标识信息（如名称、E-mail、图1基于PKI/PMI的应用安全支撑体系图[1]随着PKI/PMI技术的不断深入发在技术上通过关键部件——接口身份证号等）捆绑在一起，在Internet展，我国各政府行业部门的专用网络已装置实现PKI/PMI系统与应用系统的网上验证用户的身份。当前主要采用颁逐步建设了PKI/PMI系统，为了进一步衔接，用户通过PKI进行身份认证，身发数字证书的方式，通过把要传输的推进该系统的安全应用范围，解决该份认证结束后进行权限验证，应用系数字信息

4、进行加密和签名，保证信息传系统与应用系统的结合问题已越来越统采用接口装置作为权限验证的中间部输的机密性、真实性、完整性和不可否重要。由于现实的网络环境中存在的应件。具体过程如下：认性，从而保证信息的安全传输。用系统种类繁多，应用复杂，各应用1）证书用户登录应用系统，接口PMI（PrivilegeManagement系统的信息在保密性、身份认证、完整装置首先对其进行身份验证，如果验证Infrastructure，权限基础设施）是构建性、抗抵赖性以及信息的安全管理等方在PKI基础上的权限基础设施，是属通过，便提取其身份信息（如姓名、单位、面

5、也是千差万别的，如何有效地将已经性证书、属性权威、属性证书库等部部门、身份证等），否则退出；2）接口建好的统一的PKI/PMI系统与各种类件的集合体，用来实现权限和证书的装置验证数字身份证书中的合法身份信型的应用系统衔接起来是有待研究的产生、管理、存储、分发和撤销等功息和应用系统的信息相互比对，可以计重要课题。为此，本文研究并建立基于能。属性权威（AttributeAuthority，即算出用户在该应用系统的角色类型；3）PKI/PMI的应用安全支撑体系，以实现AA）用来生成并签发属性证书（Attribute根据角色类型编码，从目录服务

6、提取相PKI/PMI系统与应用系统的有效衔接。Certificate，即AC）的机构，负责管理应的属性证书，验证属性证书有效性；4）1相关研究属性证书的整个生命周期。属性证书对从属性证书信息库中提取该角色的权限于一个实体的权限的绑定是由一个被数信息，将该权限赋予证书使用者同时提为解决Internet的应用安全问题，字签名了的数据结构来提供的，这种数交给应用；5）应用系统开放相应的权世界各国对其进行了多年的研究，初步据结构称为属性证书，由属性权威签发限供用户访问。形成了一套完整的安全解决方案，PKI[2]并管理，它包括一个展开机制和一系列

7、其中，接口装置可以是硬件系统或和PMI是其中被广泛采用的技术。特别的证书扩展机制。者中间件，主要实现用户证书信息的PKI（PublicKeyInfrastructure-公钥基础设施）[3]是采用证书管理公钥，PMI实际提出了一个新的信息保护识别、与应用系统的接口、属性证书信通过第三方的可信任机构即认证中心CA基础设施，能够与PKI和目录服务紧密息的识别、与PKI及PMI系统的接口、71技术研究2010.07与目录服务的接口等功能。统数字证书的身份认证方式，并对用户集中认证网关。访问应用系统过程作完整审计。集中认客户端需要部署简单签名插

8、件，用3系统实现证网关支持主路与旁路两种部署方式。户登录过程中要在客户端上进行数字签3.1实现策略主路部署方式除提供集中认证功能外，名，通过HTTP://应用实际地址访问应根据第2节的总体结构设计，有三还可