第12讲PKI公钥基础设施

第12讲PKI公钥基础设施 张群哲湖南科技职业学院网络教研室zqunzhe 2 本讲主要内容 1 教师讲解鉴别 认证 数字签名数字证书公钥基础设施PKI2 动手实践 CA的基本使用安装CA申请证书管理证书备份和恢复证书 3 1 鉴别 认证 鉴别 authentication 是验证通信对象真实身份的技术 与鉴别容易混淆的另一个概念是授权 authorization 鉴别关心是否在和某个特定的对象进行通信 而授权关心的是允许此对象做什么 例子一个客户进程向某个服务器发出请求 我是管理员 我要删除network txt文件 从文件服务器的观点来看 有两个问题必须回答 客户是否确实为管理员 鉴别 允许管理员删除network old文件吗 授权 4 身份认证 身份认证就是使用户能被正确地进行个人身份识别 而不能假冒的方法 用所知道的进行认证 要求用户输入一些保密信息 如用户名和口令 个人识别号 数字证书等 用所拥有的进行认证 采用一些物理识别设备 如访问卡 钥匙或令牌等 用本征特征进行认证 采用生物统计学系统 基于某种特殊的物理特征对人进行唯一性识别 如指纹 视网膜血管分布图等 用下意识动作进行认证 要求用户进行一些别人无法模仿的动作 提取结果数据 如笔迹 击键习惯等 5 2 数字签名 背景许多法律 财务以及其他文件的真实性和可靠性最终由是否有亲笔签名来确定 而复印件是无效的 如果要用计算机报文代替纸墨文件的传送 就必须找到解决亲笔签名这样问题的办法 这就是数字签名 digitalsignature 数字签名系统必须满足下列三个条件 接收方能够验证发送方所宣称的身份 发送方以后不能否认报文是他发送的 接收方自己不能伪造该报文 6 用公开密钥系统进行数字签名 采用双重加密 就可以同时进行数字签名和保密通信 发送端即先用发送方的私有密钥加密 数字签名 再用接收方的公开密钥对已签名的数据再加密 保密通信 接收端用接收方的私有密钥解除外层加密 数据解密 然后再用发送方的公开密钥解除内层加密 验证签名 7 公钥加密 保密通信 Data 3A78 8 公钥验证 验证签名 9 对公钥的攻击 黑客 H从公钥库中窃取A的公钥Ka 然后用自己的公钥Kh替换Ka 当B要向A发送信息时 B会检索公钥库查找A的公钥 这时B得到的是Kh 他用Kh加密信息后发送给A A的私钥无法解密 H可以截获加密信息并用自己的私钥解密 再使用Ka加密信息后发送给A A B并不知道信息被截获 10 3 数字证书 DigitalCertificate 证书是颁发机构所颁发的证明证书持有人身份的数字声明 证书 用户身份与公钥绑定 公钥必须用数字证书分发 为了防止身份假冒数字证书不能由用户自己产生 应由证书管理机构为公钥签发数字证书 11 证书使用的范围 12 数字证书的种类 基本X 509v1证书扩展X 509v3证书SSL服务器 客户机证书安全电子邮件 S MIME 证书安全电子事务 SET 证书可信代码数字签名证书IPSEC服务器 客户机 终端用户证书可访问服务器秘密信息的成员证书时间戳证书 13 数字证书用途 认证防否认 数字签名 授权数据保密数据完整性 14 证书内容 X 509V3 版本序列号签名算法管理机构名称有效期拥有者名拥有者公钥信息扩展项 15 4 公钥基础设施PKI 公钥基础设施PKI PublicKeyInfrastructure PKI 是目前网络安全建设的基础与核心 是电子商务 政务系统安全实施的基本保障 对PKI技术的研究和开发成为目前信息安全领域的热点 所有提供公钥加密和数字签名服务的系统 都可称为PKI系统 16 图12 1PKI典型系统组成视图 17 PKI的帐户 Users Computers Services 18 证书颁发机构 CA CertificateAuthority 证书颁发机构 CA 身份验证发放证书证书吊销 19 证书管理模型 通用层次结构CA自顶向下层次结构CA 20 通用层次结构CA IPRA PCA1 PCA2 CA1 CA5 CA6 CA7 CA2 CA3 CA4 CA8 a b 21 自顶向下层次结构CA PCA CA1 CA6 CA2 CA5 CA7 CA8 CA3 CA4 CA9 b a 22 证书链 PCA CA1 CA2 A四张证书连在一起 便形成了一条证书链 它是从根结点证书到端实体证书的一条