公钥基础设施（KI）讲义.ppt

《公钥基础设施（KI）讲义.ppt》由会员上传分享，免费在线阅读，更多相关内容在PPT专区-天天文库。

1、本资料来源课前回顾身份认证的概念、组成、身份认证的物理基础及认证方式Kerberos认证方案的思想本周教学内容公钥基础设施(PublicKeyInfrastructure--PKI)Kerberos技术的最大缺陷就是不能提供信息的不可否认性。公钥密码技术的出现为身份认证协议带来了强有力的方法和手段，目前被广泛采用的是以X.509数字证书为基础的PKI体制。3.3公钥基础设施(PKI)PKI(PublicKeyInfrastructure)就是利用公钥密码理论和技术建立的提供安全服务的基础设施PKI是一种标准的密钥管理平台，它能够为所有网络应用透明地提供采用加密和数据签名等密码服务所

2、必须的密钥和证书管理。3.3公钥基础设施(PKI)美国是最早(1996)推动PKI建设的国家。1998年中国的电信行业建立了我国第一个行业CA，此后金融、工商、外贸、海关和一些省市也建立了自己的行业CA或地方CA。3.3公钥基础设施(PKI)3.3.2PKI提供的服务信息的机密性（Confidentiality）：保证信息不泄露或不暴露给那些未授权掌握这一信息的实体，保证通信双方的信息保密，在信息交换过程中没有被窃听的危险，或者即使窃听了也无法得到原文的真实含义。信息的完整性（Integrity）：防止信息在传输过程中被非法的第三方恶意篡改或者其他传输中的信息失真。身份认证（Aut

3、hentication）：为对付假冒攻击而提供对某个实体身份的真实性认证，实现有效鉴别通讯双方的身份。信息的不可否认性（Non-Repudiation）：文件传输一旦完成，发送方不能够否认他发送的信息，接收方也不能否认他所收到的信息。（一）PKI基本组件证书和CRL存储器密钥服务器证书颁发机构CA注册认证机构RA下图是RFC2510中定义的PKI实体模型。其他CA证书和CRL存储库终端实体RACA初始化注册/认证证书及密钥更新/恢复获取证书和CRL发布证书发布证书/CRLPKI用户PKI管理实体带外装载证书交叉认证PKI的核心，负责数字证书的签发和管理。受信任的第三方，职责是确保C

4、A签发数字证书的公钥的质量，签名私钥的安全，整个签名过程的安全等，处理证书撤销和更新、发布并维护数字证书和CRL及交叉认证处理专门负责受理用户申请证书；对证书申请人的合法性进行认证，并决定是批准或拒绝证书申请，不负责签发证书；接收和授权密钥备份和恢复请求；接收和授权证书吊销请求；也称作目录服务器，是数字证书和CRL的集中存放地，类似网上的“白页”，LDAPPKI组成（续）PKI的安全策略:建立和定义一个组织信息安全的指导方针，同时也定义密码系统使用的处理方法和原则PKI应用接口系统：是PKI内部服务与用户之间的桥梁。（二）PKI运作流程初始化阶段终端实体注册申请（在线或离线）注册机

5、构审核证书创建和签发证书获取使用阶段撤销管理阶段（二）PKI运作流程—初始化终端实体RACA1.注册表格请求2.注册表格应答3.注册表格提交4.注册建立请求5.注册建立结果6.注册结果7.请求证书8.证书响应验证证书的有效性验证证书的真实性验证证书的可用性（二）PKI运作流程—使用（二）PKI运作流程—撤销终端实体CARA1.证书撤销请求2.证书撤销响应带外请求撤销请求撤销响应三、密钥/证书生命周期的管理公钥/私钥对的产生（PKCS#，口令保护）密钥备份/恢复密钥/证书的更新密钥/证书归档四、证书包含的信息身份证和证书的比较3.3.5PKI的信任模型建立一个管理全世界所有用户的全球

6、性PKI是不现实的。各个国家都建立自己的PKI，一个国家内部再分别建立不同行业或不同地区的PKI。为了实现跨地区、跨行业，甚至跨国际的安全电子业务，这些不同的PKI之间的互联互通和相互信任是不可避免的。对于大范围的PKI，一般会有很多的CA，这些CA之间应当具有某种结构的联系，以使不同CA之间的证书认证简单方便。为使得跨CA域的用户能够安全通信，需要在CA之间建立信任关系。信任模型（TrustModel）提供了建立和管理信任关系的框架，选择信任模型是构筑和运作PKI所必需的一个环节。目前提出的PKI信任模型有：3.3.5PKI信任模型严格层次模型对等（网状）信任模型混合型信任模型可

7、信CA列表模型3.3.5PKI信任模型严格层次模型认证机构CA的严格层次结构可以描绘为一棵倒置的树，树根在顶上，树枝向下伸展，树叶在最下面的末端。在这棵倒置的树上，根代表一个对整个PKI域内的所有实体都具有特别意义的CA，通常被称作根CA，把它作为信任的根或称“信任锚”。在根CA的下面是零层或多层的中间CA，因为是属于根的，也称作子CA，子CA可作为中间节点，再伸出分支，最后是树的叶子，被称作终端实体或称为终端用户。子CA根CA子CA子CA子CA子CA子CA子CA用户