公钥基础设施(PKI)讲义课件

1、课前回顾身份认证的概念、组成、身份认证的物理基础及认证方式Kerberos认证方案的思想本周教学内容公钥基础设施(Public Key Infrastructure-PKI)Kerberos技术的最大缺陷就是不能提供信息的不可否认性。公钥密码技术的出现为身份认证协议带来了强有力的方法和手段，目前被广泛采用的是以X.509数字证书为基础的PKI体制。3.3 公钥基础设施(PKI)PKI(Public Key Infrastructure)就是利用公钥密码理论和技术建立的提供安全服务的基础设施PKI是一种标准的密钥管理平台，它能够为所有网络应用透明地提供采用加密和数据签名等密码服务所必须的密钥和证

2、书管理。3.3 公钥基础设施(PKI)美国是最早(1996)推动PKI建设的国家。1998年中国的电信行业建立了我国第一个行业CA，此后金融、工商、外贸、海关和一些省市也建立了自己的行业CA或地方CA。3.3 公钥基础设施(PKI)3.3.2 PKI提供的服务信息的机密性（Confidentiality）：保证信息不泄露或不暴露给那些未授权掌握这一信息的实体，保证通信双方的信息保密，在信息交换过程中没有被窃听的危险，或者即使窃听了也无法得到原文的真实含义。信息的完整性（Integrity）：防止信息在传输过程中被非法的第三方恶意篡改或者其他传输中的信息失真。身份认证（Authenticatio

3、n）：为对付假冒攻击而提供对某个实体身份的真实性认证，实现有效鉴别通讯双方的身份。信息的不可否认性（Non-Repudiation）：文件传输一旦完成，发送方不能够否认他发送的信息，接收方也不能否认他所收到的信息。（一） PKI基本组件证书和CRL存储器密钥服务器证书颁发机构CA注册认证机构RA 下图是RFC 2510中定义的PKI实体模型。 其他CA证书和CRL存储库终端实体RACA初始化注册/认证证书及密钥更新/恢复获取证书和CRL发布证书发布证书/CRLPKI用户PKI管理实体带外装载证书交叉认证PKI的核心，负责数字证书的签发和管理。受信任的第三方，职责是确保CA签发数字证书的公钥的质

4、量，签名私钥的安全，整个签名过程的安全等，处理证书撤销和更新、发布并维护数字证书和CRL及交叉认证处理专门负责受理用户申请证书；对证书申请人的合法性进行认证，并决定是批准或拒绝证书申请，不负责签发证书；接收和授权密钥备份和恢复请求；接收和授权证书吊销请求；也称作目录服务器，是数字证书和CRL的集中存放地，类似网上的“白页”，LDAPPKI组成（续）PKI的安全策略:建立和定义一个组织信息安全的指导方针，同时也定义密码系统使用的处理方法和原则PKI应用接口系统：是PKI内部服务与用户之间的桥梁。（二） PKI运作流程初始化阶段 终端实体注册申请（在线或离线） 注册机构审核 证书创建和签发 证书获

5、取使用阶段撤销管理阶段（二） PKI运作流程初始化终端实体RACA1.注册表格请求2.注册表格应答3.注册表格提交4.注册建立请求5.注册建立结果6.注册结果7.请求证书8.证书响应验证证书的有效性验证证书的真实性验证证书的可用性（二） PKI运作流程使用（二） PKI运作流程撤销终端实体CARA1.证书撤销请求2.证书撤销响应带外请求撤销请求撤销响应三、 密钥/证书生命周期的管理公钥/私钥对的产生（PKCS#，口令保护）密钥备份/恢复密钥/证书的更新密钥/证书归档四、 证书包含的信息身份证和证书的比较3.3.5 PKI的信任模型建立一个管理全世界所有用户的全球性PKI是不现实的。各个国家都建

6、立自己的PKI，一个国家内部再分别建立不同行业或不同地区的PKI。为了实现跨地区、跨行业，甚至跨国际的安全电子业务，这些不同的PKI之间的互联互通和相互信任是不可避免的。对于大范围的PKI，一般会有很多的CA，这些CA之间应当具有某种结构的联系，以使不同CA之间的证书认证简单方便。为使得跨CA域的用户能够安全通信，需要在CA之间建立信任关系。信任模型（Trust Model）提供了建立和管理信任关系的框架，选择信任模型是构筑和运作PKI所必需的一个环节。目前提出的PKI信任模型有：3.3.5 PKI 信 任 模 型严格层次模型对等（网状）信任模型混合型信任模型可信CA列表模型3.3.5 PKI

7、 信 任 模 型严格层次模型认证机构CA的严格层次结构可以描绘为一棵倒置的树，树根在顶上，树枝向下伸展，树叶在最下面的末端。在这棵倒置的树上，根代表一个对整个PKI域内的所有实体都具有特别意义的CA，通常被称作根CA，把它作为信任的根或称“信任锚”。在根CA的下面是零层或多层的中间CA，因为是属于根的，也称作子CA，子CA可作为中间节点，再伸出分支，最后是树的叶子，被称作终端实体或称为终端用户。 子CA根CA子CA子CA子CA子CA子CA子CA用户用户用户用户用户严格层次模型每个用户都有两个证书：子CA和根CA严格层次的信任模型的最大好处是其自上而下的管理性，非常适用于有相同组织结构的团体内部

8、（如企业，政府等）。在一个行业内部，由行业联盟建立统一的严格层次的信任模型PKI也是可行的，但对于全球而言，由于不可能建立一个为全球用户所共同信任的根CA，所以严格层次的信任模型不能直接用于建立全球统一PKI在严格层次的信任模型中。如果一个CA（特别是根CA）的私钥泄漏，则以其作为根的整个子树上的CA证书以及终端实体的证书都将作废。3.3.5 PKI 信 任 模 型2对等信任模型在对等信任模型中，各CA都持有自签名的CA证书，并独立运作，CA之间通过交叉认证实现相互信任。 3.3.5 PKI 信 任 模 型3混合型信任模型混合型信任模型中，CA之间的关系既存在严格层次的信任关系，也存在对等的信

9、任关系。一个组织可以根据需要把一些CA部署成层次结构，而另一些CA部署成对等关系。某一层次结构内的一个CA私钥泄漏时，其影响范围只是以它为根的子树。混合型信任模型的特点是存在多个根CA，每一个严格层次的CA域的根CA可以和另一个严格层次的CA域的根CA进行交叉认证。3.3.5 PKI 信 任 模 型3混合型信任模型3.3.5 PKI 信 任 模 型4可信CA列表模型（ Web模型）可信CA列表模型中存在多个可信的根CA，这些可信的根CA的证书被预先提供给客户端系统。这种模型建构在浏览器的基础上，浏览器厂商在浏览器中内置了多个根CA，每个根CA相互间是平行的，浏览器用户信任这多个根CA并把这多个

10、根CA作为自己的信任锚。可信CA之间不再需要进行交叉认证，客户端对证书的验证也变得简单，目前IE和Netscape浏览器中就预装了诸如Versign，Thawte和Baltimore等根CA的证书。3.3.5 PKI 信 任 模 型4可信CA列表模型（ Web模型）依赖于浏览器将一些CA的公钥预装在使用的浏览器上这些CA作为根CA4可信CA列表模型（Web模型）由于不需要依赖目录服务器，这种模型在方便性和简单互操作性方面有明显的优势，但是也存在许多安全隐患。1）例如，因为浏览器的用户自动地信任预安装的一些根CA的公钥，即使这些根CA中有一个是“坏的”（例如该CA从没有认真核实被认证的实体），安

11、全性将被完全破坏。2）另外一个潜在的安全隐患是没有实用的机制来撤销嵌入到浏览器中的根CA密钥，如果发现一个根密钥是“坏的”或者与根CA的私钥发生泄密，要使全世界数百万个浏览器都自动地废止该密钥的使用是不可能的。3.3.5 PKI 信 任 模 型4可信CA列表模型3.3.5 PKI 信 任 模 型以用户为中心的信任模型，在这种信任模型中，每个用户都直接决定信赖哪个证书和拒绝哪个证书。没有可信的第三方作为CA，终端用户就是自己的根CA著名的PGP软件就是以用户为中心信任模型的实例。（P151图示）3.3.5 PKI 信 任 模 型3.3.6 PKI典型应用1安全电子邮件：2Web服务安全：利用PK

12、I技术，SSL协议实现了浏览器和服务器之间对应用层透明的安全通信。 3.VPN应用：基于PKI技术的IPSec协议现已成为架构VPN的基础。4PKI更广泛的应用3.3.7 PKI发展现状（一）国外PKI发展现状：以美国为代表的发达国家代表了国际PKI发展的主流。 （二）我国PKI发展现状:自1998年中国出现第一家CA认证机构（上海市CA中心）开始，PKI/CA认证体系作为信息安全的基础设施之一，经历了一个快速发展的阶段，先后建立有70多家CA认证机构，主要是由政府出资建立的行业性CA和区域性CA，还有少数自主筹资建立的商业CA。国外常见的CA有VeriSign、GTE Cyber Trust

13、、Thawte等。国内常见的CA有：中国数字认证网（）、北京数字证书认证中心（）、中国金融认证中心（/）、上海证书管理中心（/）、广东省电子商务认证中心（/）等。1、只要有坚强的意志力，就自然而然地会有能耐、机灵和知识。2、你们应该培养对自己，对自己的力量的信心，百这种信心是靠克服障碍，培养意志和锻炼意志而获得的。3、坚强的信念能赢得强者的心，并使他们变得更坚强。4、天行健，君子以自强不息。5、有百折不挠的信念的所支持的人的意志，比那些似乎是无敌的物质力量有更强大的威力。6、永远没有人力可以击退一个坚决强毅的希望。7、意大利有一句谚语：对一个歌手的要求，首先是嗓子、嗓子和嗓子我现在按照这一公式

14、拙劣地摹仿为：对一个要成为不负于高尔基所声称的那种“人”的要求，首先是意志、意志和意志。8、执着追求并从中得到最大快乐的人，才是成功者。9、三军可夺帅也，匹夫不可夺志也。10、发现者，尤其是一个初出茅庐的年轻发现者，需要勇气才能无视他人的冷漠和怀疑，才能坚持自己发现的意志，并把研究继续下去。11、我的本质不是我的意志的结果，相反，我的意志是我的本质的结果，因为我先有存在，后有意志，存在可以没有意志，但是没有存在就没有意志。12、公共的利益，人类的福利，可以使可憎的工作变为可贵，只有开明人士才能知道克服困难所需要的热忱。13、立志用功如种树然，方其根芽，犹未有干；及其有干，尚未有枝；枝而后叶，叶

15、而后花。14、意志的出现不是对愿望的否定，而是把愿望合并和提升到一个更高的意识水平上。15、无论是美女的歌声，还是鬓狗的狂吠，无论是鳄鱼的眼泪，还是恶狼的嚎叫，都不会使我动摇。16、即使遇到了不幸的灾难，已经开始了的事情决不放弃。17、最可怕的敌人，就是没有坚强的信念。18、既然我已经踏上这条道路，那么，任何东西都不应妨碍我沿着这条路走下去。19、意志若是屈从，不论程度如何，它都帮助了暴力。20、有了坚定的意志，就等于给双脚添了一对翅膀。21、意志坚强，就会战胜恶运。22、只有刚强的人，才有神圣的意志，凡是战斗的人，才能取得胜利。23、卓越的人的一大优点是：在不利和艰难的遭遇里百折不挠。24、

16、疼痛的强度，同自然赋于人类的意志和刚度成正比。25、能够岿然不动，坚持正见，度过难关的人是不多的。26、钢是在烈火和急剧冷却里锻炼出来的，所以才能坚硬和什么也不怕。我们的一代也是这样的在斗争中和可怕的考验中锻炼出来的，学习了不在生活面前屈服。27、只要持续地努力，不懈地奋斗，就没有征服不了的东西。28、立志不坚，终不济事。29、功崇惟志，业广惟勤。30、一个崇高的目标，只要不渝地追求，就会居为壮举；在它纯洁的目光里，一切美德必将胜利。31、书不记，熟读可记；义不精，细思可精；惟有志不立，直是无着力处。32、您得相信，有志者事竟成。古人告诫说：“天国是努力进入的”。只有当勉为其难地一步步向它走去

17、的时候，才必须勉为其难地一步步走下去，才必须勉为其难地去达到它。33、告诉你使我达到目标的奥秘吧，我唯一的力量就是我的坚持精神。34、成大事不在于力量的大小，而在于能坚持多久。35、一个人所能做的就是做出好榜样，要有勇气在风言风语的社会中坚定地高举伦理的信念。36、即使在把眼睛盯着大地的时候，那超群的目光仍然保持着凝视太阳的能力。37、你既然期望辉煌伟大的一生，那么就应该从今天起，以毫不动摇的决心和坚定不移的信念，凭自己的智慧和毅力，去创造你和人类的快乐。38、一个有决心的人，将会找到他的道路。39、在希望与失望的决斗中，如果你用勇气与坚决的双手紧握着，胜利必属于希望。40、富贵不能淫，贫贱不

18、能移，威武不能屈。41、生活的道路一旦选定，就要勇敢地走到底，决不回头。42、生命里最重要的事情是要有个远大的目标，并借助才能与坚持来完成它。43、事业常成于坚忍，毁于急躁。我在沙漠中曾亲眼看见，匆忙的旅人落在从容的后边；疾驰的骏马落在后头，缓步的骆驼继续向前。44、有志者事竟成。45、穷且益坚，不坠青云之志。46、意志目标不在自然中存在，而在生命中蕴藏。47、坚持意志伟大的事业需要始终不渝的精神。48、思想的形成，首先是意志的形成。49、谁有历经千辛万苦的意志，谁就能达到任何目的。50、不作什么决定的意志不是现实的意志；无性格的人从来不做出决定。我终生的等待，换不来你刹那的凝眸。最美的不是下

19、雨天，是曾与你躲过雨的屋檐。征服畏惧、建立自信的最快最确实的方法，就是去做你害怕的事，直到你获得成功的经验。真正的爱，应该超越生命的长度、心灵的宽度、灵魂的深度。生活真象这杯浓酒，不经三番五次的提炼呵，就不会这样可口！人格的完善是本，财富的确立是末能力可以慢慢锻炼，经验可以慢慢积累，热情不可以没有。不管什么东西，总是觉得，别人的比自己的好！只有经历过地狱般的折磨，才有征服天堂的力量。只有流过血的手指才能弹出世间的绝唱。对时间的价值没有没有深切认识的人，决不会坚韧勤勉。第一个青春是上帝给的；第二个的青春是靠自己努力的。不要因为寂寞而恋爱，孤独是为了幸福而等待。每天清晨，当我睁开眼睛，我告诉自己：

20、我今天快乐或是不快乐，并非由我所遭遇的事情造成的，而应该取决于我自己。我可以自己选择事情的发展方向。昨日已逝，明朝未及，我只有过好每一个今天，唯一的今天。昨日的明天是今天。明天的昨日是今天。为什么要计较于过去呢（先别急着纠正我的错误，你确实可以在评判过去中学到许多）。但是我发现有的人过分地瞻前顾后了。为何不想想“现在”呢？为何不及时行乐呢？如果你的回答是“不”，那么是时候该重新考虑一下了。成功的最大障碍是惧怕失败。这些句子都教育我们：不要惧怕失败。如果你失败了他不会坐下来说：“靠，我真失败，我放弃。”并且不是一个婴儿会如此做，他们都会反反复复，一次一次地尝试。如果一条路走不通，那就走走其他途径

21、，不断尝试。惧怕失败仅仅是社会导致的一种品质，没有人生来害怕失败，记住这一点。宁愿做事而犯错，也不要为了不犯错而什么都不做。不一定要等到时机完全成熟才动手。开头也许艰难，但是随着时间的流逝，你会渐渐熟悉你的事业。世上往往没有完美的时机，所以当你觉得做某事还不是时候，先做起来再说吧。喜欢追梦的人，切记不要被梦想主宰；善于谋划的人，切记空想达不到目标；拥有实干精神的人，切记选对方向比努力做事重要。太阳不会因为你的失意，明天不再升起；月亮不会因为你的抱怨，今晚不再降落。蒙住自己的眼睛，不等于世界就漆黑一团；蒙住别人的眼睛，不等于光明就属于自己！鱼搅不浑大海，雾压不倒高山，雷声叫不倒山岗，扇子驱不散大

22、雾。鹿的脖子再长，总高不过它的脑袋。人的脚指头再长，也长不过他的脚板。人的行动再快也快不过思想！以前认为水不可能倒流，那是还没有找到发明抽水机的方法；现在认为太阳不可能从西边出来，这是还没住到太阳从西边出来的星球上。这个世界只有想不到的，没有做不到的！不是井里没有水，而是挖的不够深；不是成功来的慢，而是放弃速度快。得到一件东西需要智慧，放弃一样东西则需要勇气！终而复始，日月是也。死而复生，四时是也。奇正相生，循环无端，涨跌相生，循环无端，涨跌相生，循环无穷。机遇孕育着挑战，挑战中孕育着机遇，这是千古验证了的定律！种子放在水泥地板上会被晒死，种子放在水里会被淹死，种子放到肥沃的土壤里就生根发芽结

23、果。选择决定命运，环境造就人生！1、只要有坚强的意志力，就自然而然地会有能耐、机灵和知识。2、你们应该培养对自己，对自己的力量的信心，百这种信心是靠克服障碍，培养意志和锻炼意志而获得的。3、坚强的信念能赢得强者的心，并使他们变得更坚强。4、天行健，君子以自强不息。5、有百折不挠的信念的所支持的人的意志，比那些似乎是无敌的物质力量有更强大的威力。6、永远没有人力可以击退一个坚决强毅的希望。7、意大利有一句谚语：对一个歌手的要求，首先是嗓子、嗓子和嗓子我现在按照这一公式拙劣地摹仿为：对一个要成为不负于高尔基所声称的那种“人”的要求，首先是意志、意志和意志。8、执着追求并从中得到最大快乐的人，才是成

24、功者。9、三军可夺帅也，匹夫不可夺志也。10、发现者，尤其是一个初出茅庐的年轻发现者，需要勇气才能无视他人的冷漠和怀疑，才能坚持自己发现的意志，并把研究继续下去。11、我的本质不是我的意志的结果，相反，我的意志是我的本质的结果，因为我先有存在，后有意志，存在可以没有意志，但是没有存在就没有意志。12、公共的利益，人类的福利，可以使可憎的工作变为可贵，只有开明人士才能知道克服困难所需要的热忱。13、立志用功如种树然，方其根芽，犹未有干；及其有干，尚未有枝；枝而后叶，叶而后花。14、意志的出现不是对愿望的否定，而是把愿望合并和提升到一个更高的意识水平上。15、无论是美女的歌声，还是鬓狗的狂吠，无论

25、是鳄鱼的眼泪，还是恶狼的嚎叫，都不会使我动摇。16、即使遇到了不幸的灾难，已经开始了的事情决不放弃。17、最可怕的敌人，就是没有坚强的信念。18、既然我已经踏上这条道路，那么，任何东西都不应妨碍我沿着这条路走下去。19、意志若是屈从，不论程度如何，它都帮助了暴力。20、有了坚定的意志，就等于给双脚添了一对翅膀。21、意志坚强，就会战胜恶运。22、只有刚强的人，才有神圣的意志，凡是战斗的人，才能取得胜利。23、卓越的人的一大优点是：在不利和艰难的遭遇里百折不挠。24、疼痛的强度，同自然赋于人类的意志和刚度成正比。25、能够岿然不动，坚持正见，度过难关的人是不多的。26、钢是在烈火和急剧冷却里锻炼

26、出来的，所以才能坚硬和什么也不怕。我们的一代也是这样的在斗争中和可怕的考验中锻炼出来的，学习了不在生活面前屈服。27、只要持续地努力，不懈地奋斗，就没有征服不了的东西。28、立志不坚，终不济事。29、功崇惟志，业广惟勤。30、一个崇高的目标，只要不渝地追求，就会居为壮举；在它纯洁的目光里，一切美德必将胜利。31、书不记，熟读可记；义不精，细思可精；惟有志不立，直是无着力处。32、您得相信，有志者事竟成。古人告诫说：“天国是努力进入的”。只有当勉为其难地一步步向它走去的时候，才必须勉为其难地一步步走下去，才必须勉为其难地去达到它。33、告诉你使我达到目标的奥秘吧，我唯一的力量就是我的坚持精神。3

27、4、成大事不在于力量的大小，而在于能坚持多久。35、一个人所能做的就是做出好榜样，要有勇气在风言风语的社会中坚定地高举伦理的信念。36、即使在把眼睛盯着大地的时候，那超群的目光仍然保持着凝视太阳的能力。37、你既然期望辉煌伟大的一生，那么就应该从今天起，以毫不动摇的决心和坚定不移的信念，凭自己的智慧和毅力，去创造你和人类的快乐。38、一个有决心的人，将会找到他的道路。39、在希望与失望的决斗中，如果你用勇气与坚决的双手紧握着，胜利必属于希望。40、富贵不能淫，贫贱不能移，威武不能屈。41、生活的道路一旦选定，就要勇敢地走到底，决不回头。42、生命里最重要的事情是要有个远大的目标，并借助才能与坚

28、持来完成它。43、事业常成于坚忍，毁于急躁。我在沙漠中曾亲眼看见，匆忙的旅人落在从容的后边；疾驰的骏马落在后头，缓步的骆驼继续向前。44、有志者事竟成。45、穷且益坚，不坠青云之志。46、意志目标不在自然中存在，而在生命中蕴藏。47、坚持意志伟大的事业需要始终不渝的精神。48、思想的形成，首先是意志的形成。49、谁有历经千辛万苦的意志，谁就能达到任何目的。50、不作什么决定的意志不是现实的意志；无性格的人从来不做出决定。我终生的等待，换不来你刹那的凝眸。最美的不是下雨天，是曾与你躲过雨的屋檐。征服畏惧、建立自信的最快最确实的方法，就是去做你害怕的事，直到你获得成功的经验。真正的爱，应该超越生命的长度、心灵的宽度、灵魂的深度。生活真象这杯浓酒，不经三番五次的提炼呵，就不会这样可口！人格的完善是本，财富的确立是末能力可以慢慢锻炼，经验可以慢慢积累，热情不可以没有。不管什么东西，总是觉得，别人的比自己的好！只有经历过地狱般的折磨，才有征服天堂的力量。只有流过血的手指才能弹出世间的绝唱。对时间的价值没有没有深切认识的人，决不会坚韧勤勉。第一个青春是上帝给的；第二个的青春是靠自己努力的。