信息安全概论第23讲

《信息安全概论第23讲》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、信息安全概论第23讲2008年x月y日8.1.2公钥基础设施公钥基础设施PKI（PublicKeyInfrastructure）是信息安全基础设施的一个重要组成部分。PKI是20世纪80年代由美国学者提出来了的概念。PKI是一种标准的公开密钥管理平台。提供的服务有：提供证书管理在线身份识别提供加密和数字签名等密码服务所必需的密钥PKI绝不仅仅涉及到技术层面的问题，还涉及到电子政务、电子商务以及国家信息化的整体发展战略等多层面问题。PKI作为国家信息化的基础设施，是相关技术、应用、组织、规范和法律法规的总和。PKI技术的组成部分：密钥管理系统认证机构

2、CA（CertificateAuthority）证书和证书库证书撤销管理系统PKI应用接口系统密钥管理系统认证机构（CA）证书库证书撤销管理系统PKI应用接口系统图8.3PKI总体框架结构1.认证机构CA（CertificateAuthority）CA是PKI的核心执行机构，是PKI的主要组成部分，通常称为认证机构。是PKI应用中公正可信任的第三方，是证书的申请注册、证书签发和管理机构承担公钥体系中公钥合法性检验的责任，由一个或多个用户信任的组织或实体组成。CA主要由以下三部分组成：注册服务器证书申请受理和审核机构认证服务器2.证书和证书库证书是数

3、字证书或电子证书的简称，分为身份证书和属性证书，用于捆绑用户主体和公钥或户主体和用户的其他属性。证书结构见图8.5。证书证书证书发放以后，需要进行有效的管理，一般有一下三个方面：证书的检索：检索一个合法用户的公钥证书有两种不同安全需求，加密发送数据或验证收到的数字签名；证书的验证：验证一个证书的有效性；证书的撤销：有两种方式导致证书的撤销，一是证书的自然过期，另外是证书在有效期内被作废。图8.5X.509－V3的证书结构证书版本号序列号签名算法标识符颁发者名称有效期主体名称主体公钥信息颁发者惟一标识符主体惟一标识符扩展项颁发者（CA）签名证书3.密

4、钥管理系统密钥管理系统负责密钥的生成、分发、更新、备份及恢复。PKI提供了用户可选的密钥备份与密钥恢复机制：当用户证书生成时，加密密钥即被CA备份存储；当需要恢复时，用户只需向CA提出申请，CA就会为用户自动进行恢复。4.证书撤销管理系统5、PKI应用接口系统根CA子CA子CA子CA用户用户子CA用户用户图8.6CA的严格层次结构为了使用户方便地使用加密、数字签名等安全服务，PKI提供了良好的应用接口系统使各种应用能够以安全、一致、可信的方式与PKI交互。目前，许多网站、电子商务、安全E-mail系统等都已经采用了PKI技术。8.2Web安全8.2

5、.1Web的安全问题1、Web服务诈骗2、敏感信息泄漏。3、冒充合法用户4、漏洞攻击（如DDOS）8.2.2安全协议应用层协议（HTTP、FTP、SMTP等）SSL协议TCPIP安全套接层协议SSL（SecureSocketsLayer）由Netscape公司主要发起的，SSLv3的设计得到了公众和工业界的关注，最终发布为一份Internet草案文档。目前已广泛用于Web浏览器和服务器之间的身份识别和数据加密传输。提供了三种基本的安全服务：（1）机密性。（2）完整性；（3）双向身份识别图8.8SSL在TCP/IP协议栈中的位置SSL握手协议SSL修

6、改密码规格协议SSL报警协议HTTPSSL记录协议TCPIP图8.9SSL协议体系结构上层（SSL握手协议、SSL修改密码规格协议、SSL报警协议）主要用于SSL密钥的管理和身份识别；下层（SSL记录协议位于）为不同的更高层协议提供了基本的安全服务SSL协议中有如下两个重要的概念：（1）SSL连接（2）SSL会话一个会话对应多个连接加密的1.SSL记录协议为SSL连接提供两种服务：（1）机密性（2）消息完整性。内容类型主要版本次要版本压缩后的长度明文（压缩可选）消息鉴别码（MAC）（0、16或20字节）图8.10SSL记录格式表8.1SSL协议可选

7、的加密算法分组密码序列密码算法密钥长度（bit）算法密钥长度（bit）IDEARC2-40DES-40DES3DESFortezza12840405616880RC4-40RC4-12840128图8.11SSL记录协议的具体操作2.修改密码规格协议和报警协议该协议有一条单独消息组成，而消息只包含值为1的一个字节，消息的惟一功能是将挂起状态改变为当前状态，从而更新在该连接中使用的密码机制。用来向对方实体传送SSL相关的报警消息，由两个字节组成，第一个字节的值用来表明警告的严重程度（如果严重程度是致命的，SSL将立刻中止该连接，该会话的其它连接可以继

8、续，但是本次会话不会允许建立新的连接）。第二个字节是用于指明具体警告的代码。4.SSL握手协议是SSL协议中最为复杂的部分