15利用公共密钥基础结构配置网络安全性ppt课件

1、2022/7/12利用公共密钥根底构造配置网络平安性5 2022/7/125-1概述公共密钥根底构造PKIPublic Key Infrastructure用于网络平安，维护数据2000系统包括一个本机PKI以充分利用2000平安性体系构造的优点2022/7/125-2初步引见公共密钥根底构造PKI2000PKI：加密和身份验证包括智能卡验证、EFS、IPSec对于电子商务和要求分布式平安性的方案来说： 公共密码系统是至关重要的2022/7/12 公共密钥加密技术被加密的数据：恣意方式电子邮件、信誉卡数字、网络流量运用公钥、私钥两个密钥二者在数学上彼此相关联2022/7/12公共密钥加密数字信

2、封加密信息经过网络发送23A78Alice加密信息用 Bob的 公共密钥1Data3A78Bob解密信息用Bob的私有密钥3Data2022/7/12 密钥key一个随机字符串与某种算法的结合运用私钥：要保守公钥：对一切潜在的呼应者完全公开在启用了PKI功能的程序中，密钥对用户来说通常是透明的。如：EFS2022/7/12公共密钥身份验证数字签名信息经过网络发送2*Alice标志信息用Alice的私有密钥1*Bob验证信息用Alice的公共密钥32022/7/12 数字签名：验证发送者如签署驱动程序数字签名采用散列算法保证：假设单个字节发生了变化，会生成完全不同的散列，使签名无效。用于身份验证

3、、完好性和防重发的的散列函数MD5，128个二进制位的密钥SHA，160个二进制位的密钥2022/7/12补充资料：数字签名散列算法原理发送方签名信息，同时创建音讯摘要并用私钥加音讯摘要接纳方公钥解密音讯摘要再创建一个音讯摘要二者比较，以保证数据的完好性2022/7/12发放该证书，用做PKI内的平安性凭证4计算机，用户，或者效力CA*CA接受一个证书恳求1确认该恳求者的信息2CA用本人的私有密钥对数字证书进展签名3认证中心CA证书中包含公共密钥和一组属性2022/7/12 认证中心CA担任提供和指派加密密钥、解密密钥和身份验证外部的CA和内部的CA外：大型的商用CA内：如2000证书效力发放

4、证书的过程见前页动画收回证书CA担任宣告证书的无效发布“证书撤销清单CRL2022/7/12证书层次构造运用证书，必需有公共的信任点CA根CA，根本权威普通不用于向终端用户发放证书下层CA下层CA下层CA信任信任信任2022/7/12Windows 2000 PKI域控制器DCSSL和 IPSec证书效力发放和管理数字证书活动目录用于PKI的发布效力启用PKI功能的运用程序域用户计算机如： IE、IIS、Outlook2022/7/12 平安性协议SSL：网景Netscape开发的协议平安套接层SSL用于在Internet通讯中确保平安性和性可用于客户机、效力器、客服的身份验证IPSec：用于

5、在IP层支持平安的信息包交换证书的用途效力器身份验证，如电子商务中验证站点客户机身份验证，如远程访问，智能卡EFS、IPSec2022/7/12企业根CA企业子CA只需企业管理员，才干安装企业CA用于企业内部：企业CA要求恳求证书的用户和计算机在AD中有一个帐号AD、DNS、身份：企业管理组独立根CA独立子CA用于企业之外：独立存在的CA不要求活动目录5-3部署证书效力2022/7/12选择CA模型 企业根 CA 在证书层次构造中是顶级CA，利用AD确定恳求者的身份，通常只为下层CA发放证书独立根 CA在证书层次构造中是顶级CA，不要求AD企业下层CA获得证书从其它CA，要求AD。不是最可信任

6、的，但可只用于特定用途，如：电子邮件、WEB、智能卡验证独立下层CA获得证书从其它CA，不要求AD。需求父CA，如一个外部的商用CA2022/7/12安装证书效力 选择一个CA类型设置高级选项输入标识信息指定数据库和日志文件的位置安装“证书效力：添加/删除程序2022/7/12Windows Components WizardCA Certificate RequestRequest the certificate for this CA by sending the request directly to a parent CA or saving the request to the fi

7、le and sending this file to the CA.Send the request directly to a CA already on the network.Computer name:Parent CA:Save the request to a file:Request file:C:CAConfigPHOENIX_User1BrowseBrowseCancel创建下层CA：得到一个“证书恳求假设一个父CA联机假设一个父CA脱机，存入软盘2022/7/12 来自父CA的文件最低限制应该包含：下层CA的证书和完全的认证途径实验中：独立子CA第一步：安装此CA证书途径

8、过程子CA在安装“证书效力时提出“证书恳求父CA颁发证书父的管理工具CA待处置的恳求子CA安装证书子的管理工具CA安装证书需指定父CA的计算机名2022/7/12备份和复原证书效力 Certificate AuthorityAction ViewTreeNameCertification Authority (Local)Revoked CertificatesSave CA certificates and configurationWin2153A CA一切义务ViewRefreshExport List.PropertiesHelp备份 CAStart Service复原 CARenew

9、 CA CertificateStop Service用来启动CA备份/恢复导游2022/7/12 备份引荐：CA作为系统形状的组成部分予以备份利用管理工具CA，备份依赖于IIS的元数据库，应保证其完好发出的证书越多，越应该及时备份2022/7/12恳求证书：“证书恳求导游MMC证书仅适用：从企业CA恳求证书时要求用户访问权益利用证书模板向计算机发放证书可利用公共密钥战略中的自动证书设置值证书效力WEB页MS的方向演示5-4利用证书2022/7/12查看证书Console RootCertificates Current UesrTrusted Root Certification Autho

10、rConsoleWindowHelpActionViewFavoritesTreeFavoritesConsole RootCertificates Current UserPersonalTrusted Root CertificatesCertificatesEnterprise TrustIntermediate Certification AuthoriActive Directory User ObjectIssued ToIssued ByEquifax Secure eBusinesEquifax Secure eBusiness CA-2Equifax Secure Globa

11、l eBEquifax Secure Global eBusinessEUnet International Root EUnet International Root CAFESTE, Public Notary CertsFESTE, Public Notary CertsFESTE, Verified CertsFESTE, Verified CertsFirst Data Digital CertificFirst Data Digital Certificates Inc.FNMT Class 2 CAFNMT Class 2 CAGlobalSign Root CAGlobalSi

12、gn Root CAGTE Cyber Trust Global GTE Cyber Trust Global RootGTE Cyber Trust RootGTE Cyber Trust RootGTE Cyber Trust RootGTE Cyber Trust Rootvalicert/ valicert/ valicert/ valicert/ valicert/ valicert/ IPS SERVIDORESIPS SERVIDORESMicrosoft Authenticode(Microsoft Authenticode(tm) RooMicrosoft Root Auth

13、orityMicrosoft Root AuthorityNetLock Expressz (Class NetLock Expressz (Class C) TanNetLock Kozjegyzoi (ClasNetLock Kozjegyzoi (Class A) TTrusted Root Certifications Certification Authorities store contains 107 certificatesCertificateGeneralDetailsCertification PathCertification InformationThis certi

14、ficate is intended to:Ensures the identity of a remote computerProves your identity to a remote computerEnsures software came from software publisherProtects software from alteration after publicationProtects messagesAllows data to be signed with the current lineIssued to:Microsoft Root AuthorityIss

15、ued by:Microsoft Root AuthorityValid from1/10/1997 to 12/31/2020Issuer StatementOK2022/7/125-5管理证书当用户向独立CA提交证书恳求时这一恳求被视为待处置的直到CA管理员同意或者回绝为止发放证书：回绝/颁发宣告证书无效：已颁发的证书，吊销发布证书撤销清单CRL：已吊销的，发行CRL客户可在IE中下载CRL2022/7/12宣告证书无效Revoke this CertificateRequest IDRequester NameBinary CertificateSerial NumCertificate

16、 AuthorityAction ViewTreeCertification Authority (Local)Revoked Certificates颁发的证书Pending RequestsFailed RequestsPolicy SettingsWin2153A CA一切义务RefreshHelp吊销证书Open2NWTRADERS-BEGIN CERT24dbf9e024e925f124ef12b224f6d6152553d5b72558fb822ffd8774 当吊销的证书发行之后，吊销的证书出如今CRL中2022/7/12Certification AuthorityConsol

17、eWindowHelpActionViewCertification AuthorityCertificate Services (Local)Manually publish current CRL吊销的证书Issued CertifiMSTestPending ReqFailed Reque一切义务ViewNew window from hereRefreshPropertiesHelp发行Request IDBinary CertificateSerial Number-BEGIN CERTIFICATE-.1aaaf7000000012-BEGIN CERTIFICATE-.1c7d7

18、400000014 E-.1e41b500000016Certificate Revocation ListGeneralRevocation ListCertification Revocation List InformationOKFieldValueVersionV2IssuerMSTest, user1microsoftEffective DateThursday, December 10, 1999 Next UpdateMonday December 14, 1999 6:Signature Algorithmsha1RSAValue:发布证书撤销清单2022/7/12MMC证书可选择能否导出私有密钥导入时，需设置“私有密钥为可导出的导入和导出证书2022/7/125-6针对证书配置活动目录外部用户：AD中无帐号活动目录AD称号映射外部用户必需有证书外部用户必需有用户帐号外部用户的证书必需由信任的CA发行必需在外部用户证书和AD帐号之间创建一个称号映射外部用户20