信息安全第7章密钥管理

《信息安全第7章密钥管理》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第7章密钥管理主要内容对称密码体制的密钥管理密钥分级密钥生成密钥的存储与备份密钥分配密钥的更新密钥的终止和销毁公钥密码体制的密钥管理公钥的分配数字证书X.509证书公钥基础设施PKI关于密钥管理密钥体制的安全应当只取决于密钥的安全，而不取决于对密码算法的保密。因此密钥管理是至关重要的。历史表明，从密钥管理的途径窃取秘密要比单纯的破译所花的代价要小得多。密钥管理包括了密钥的产生、存储、分配、组织、使用、更换和销毁等一系列技术问题。对称密码体制的密钥管理和非对称密码体制的管理是完全不同的。对称密码体制的密钥管理对称密码体制的加密钥

2、等于解密钥，因此密钥的秘密性、真实性和完整性必须同时保护。这就带来了密钥管理方面的复杂性。对于大型网络系统，由于所需要的密钥种类和数量都很多，因此密钥管理尤其困难。密钥分级密钥分为初级密钥、二级密钥和主密钥。初级密钥用于加解密数据的密钥二级密钥用于保护初级密钥主密钥密钥管理方案中的最高级密钥，用于对二级密钥进行保护。密钥生成对密钥的基本要求具有良好的随机性，包括长周期性、非线性、统计意义上的等概率性以及不可预测性等。主密钥的产生用于加解密主密钥应当是高质量的真随机序列,常采用物理噪声源的方法来产生。二级密钥的产生利用真随机数产生器

3、芯片来产生二级密钥使用主密钥和一个强的密码算法来产生二级密钥初级密钥的产生把随机数视为受高级密钥（主密钥或者二级密钥）加密后的初级密钥。因此，随机数被解密后得到初级密钥。密钥的存储密钥安全存储的原则是不允许密钥以明文的形式出现在密钥管理设备之外。密钥的存储形态有明文形态、密文形态、分量形态。主密钥的存储以明文形式存储，存储器必须是高度安全的，不但物理上安全，而且逻辑上安全。通常是将其存储在专用密码装置中。二级密钥的存储通常采用以高级密钥加密的形式存储二级密钥。初级密钥的存储初级文件密钥一般采用密文形式存储，通常采用以二级文件密钥加

4、密的形式存储初级文件密钥。初级会话密钥的存储空间是工作存储器，应当确保工作存储器的安全。密钥备份密钥的备份应当是异设备备份，甚至是异地备份。备份的密钥应当受到与存储密钥一样的保护为了减少明文形态的密钥数量，一般采用高级密钥保护低级密钥的方式来进行备份对于高级密钥，不能以密文形态备份。为了进一步增强安全，可采用多个密钥分量的形态进行备份。密钥的备份应当方便恢复，密钥的恢复应当经过授权而且要遵循安全的规章制度。密钥的备份和恢复都要记录日志，并进行审计。密钥分配主密钥的分配采取最安全的分配方法。一般采用人工分配主密钥，由专职密钥分配人员

5、分配并由专职安装人员妥善安装。二级密钥的分配利用已经分配安装的主密钥对二级密钥进行加密保护，并利用计算机网络自动传输分配。KNCEKMKNCDKM网络传输KNC：二级密钥KM：主密钥密钥分配初级密钥的分配通常总是把一个随机数直接视为一个初级密钥被高级密钥加密之后的结果，这样初级密钥一产生就是密文形式。发送方直接把随机数（密文形式的初级密钥）通过计算机网络传给对方，接收端用高级密钥解密获取初级密钥KNC：二级密钥KC：初级密钥RN：随机数产生随机数RNDKNC网络传输接收随机数RNKCDKNCKC利用公钥密码体制来分配密钥①A向B发

6、送自己产生的公钥和A的身份；②B收到消息后，产生会话密钥Ks，用公钥加密后传送给A；③A用私钥解密后得到Ks。可能的问题：冒充具有保密性和认证的分配方法①A用B的公钥加密A的身份和一个一次性随机数N1后发送给B；②B解密得到N1，并用A的公钥加密N1和另外一个随机数N2发送给A；③A用B的公钥加密N2后发送给B；④A选择一个会话密钥Ks，用A的私钥加密后再用B的公钥加密，发送给B，B用A的公钥和B的私钥解密得Ks。密钥的更新主密钥的更新更新时必须重新安装，安全要求与初次安装一样主密钥的更新将要求受其保护的二级密钥和初级密钥都要更新

7、二级密钥的更新重新产生二级密钥并且妥善安装受其保护的初级密钥要更新初级密钥的更新初级会话密钥采用“一次一密”的方式工作，所以更新是非常容易的。初级文件密钥更新要麻烦的多，将原来的密文文件解密并且用新的初级文件密钥重新加密。密钥的终止和销毁终止使用的密钥并不马上销毁，而需要保留一段时间。这是为了确保受其保护的其他密钥和数据得以妥善处理。只要密钥尚未销，就应该妥善保护。密钥销毁要彻底清除密钥的一切存储形态和相关信息，使重复这一密钥变得不可能。公钥密码体制的密钥管理公钥密码体制的密钥管理和对称密码体制的密钥管理有着本质的区别。对称密码体

8、制的密钥本质上是一种随机数或者随机序列，而公钥密码体制本质上是一种单向陷门函数，建立在某一数学难题之上。公钥的分配公开发布公钥动态目录表数字证书公开发布任一通信方将他的公钥发送给另一通信方，或者广播给通信各方。例如发布到BBS上AKUaKUa……K