网络安全原理与应用（第三版）课件 第3章 密码学应用

网络安全原理与应用(第三版)2024/9/5网络安全原理与应用（第三版）1第四章密码学应用

对称密钥体制、公钥体制的密钥管理方法消息认证的原理和方法数字签名PKI的原理数字证书的应用OpenSSL的使用2024/9/5网络安全原理与应用（第三版）24.1密钥管理一切秘密寓于密钥之中密码算法是固定的，密钥作为系统的一个可变的输入部分，与被加密的内容进行融合，生成密文。算法和密钥的分离极大地促进了密码学技术。密钥管理成为一个密码系统的核心领域2024/9/5网络安全原理与应用（第三版）3密码算法公开，促进了信息加密的标准化及产业化；密钥可以方便地更换，从而增加了系统的抗攻击能力4.1.1密钥产生及管理概述

一个密钥在生存期内一般要经历以下几个阶段：l

密钥的产生l

密钥的存储和分配l

启用密钥/停有密钥l

替换密钥或更新密钥l

撤销密钥l

销毁密钥

2024/9/5网络安全原理与应用（第三版）4密钥分类根据不同的场合，密钥可分为：会话密钥加密数据密钥加密密钥加密会话密钥主密钥加密密钥加密密钥2024/9/5网络安全原理与应用（第三版）5密钥产生不同密钥的产生方法：主密钥安全性至关重要，故要保证其完全随机性、不可重复性和不可预测性。可用投硬币、骰子，噪声发生器等方法产生密钥加密密钥数量大(N(N-1)/2),可由机器自动产生,安全算法、伪随机数发生器等产生会话密钥可利用密钥加密密钥及某种算法(加密算法,单向函数等)产生。初始密钥类似于主密钥或密钥加密密钥的方法产生2024/9/5网络安全原理与应用（第三版）6密钥产生（续）密钥产生方式：必须在安全环境中产生密钥，以防止对密钥的非授权访问。密钥生产形式现有两种一种是由中心(或分中心)集中生产，也称有边界生产；另一种是由个人分散生产，也称无边界生产。2024/9/5网络安全原理与应用（第三版）7密钥的生成方法举例手工方式：

应考虑密钥空间、弱密钥问题，例如：姓名、生日、常用单词等，这样的密钥都是弱密钥。字典攻击可破解40%的密钥。解决方法：增加复杂性、随机机自动方式：用自动处理设备产生的随机位串伪随机序列物理随机序列准随机序列2024/9/5网络安全原理与应用（第三版）8密钥的生成方法举例线性同余算法基于密码算法的随机数生成器

循环加密；DES的输出反馈（OFB）模式；ANSIX9.17密钥生成器。

BBS(Blum-Blum-Shub)生成器。2024/9/5网络安全原理与应用（第三版）9密钥产生：线性同余算法有四个参数模数m(m>0)；乘数a(0≤a<m)；增量c(0≤c<m)；种子X0(0≤X0<m)；由迭代公式

得到随机数数列{Xn}。线性同余算法产生密钥2024/9/5网络安全原理与应用（第三版）10LCG算法实现-python2024/9/5网络安全原理与应用（第三版）11密钥产生：循环加密循环加密方式生成伪随机数

周期为N的计数器CC+1加密算法主密钥KmXt=Ekm[c+1]2024/9/5网络安全原理与应用（第三版）12密钥产生：X9.17X9.17加密加密加密2024/9/5网络安全原理与应用（第三版）132024/9/5网络安全原理与应用（第三版）14密钥分配密钥分发集中式有集中的中心服务器来负责密钥分配分布式用户之间直接密钥交换密钥的更新

通信密钥应经常改变，但密钥分发工作很繁重。

从旧的密钥中产生新密钥，也称为密钥更新。

更新密钥可以使用单向散列函数进行2024/9/5网络安全原理与应用（第三版）15密钥存储密钥存储一种是将所有密钥或公钥存储在专用媒体（软盘、芯片等），这种形式只有在KDC等集中式方式下才能实现。第二种是用对方的公钥建立密钥环各自分散保存（如PGP）。第三种是将各用户的公钥存放在公用媒体中(PKI)。前两种都需要解决密钥传递技术，以获取对方的公钥第三种还要解决公用媒体的安全技术，即数据库的安全问题。2024/9/5网络安全原理与应用（第三版）16密钥存储（续）密钥的保护除了公钥密码系统中的公钥外，所有的密钥需要保密最安全的方法是将其放在物理上安全的地方无法用物理的办法进行安全保护时(1)秘密共享协议：将一个密钥分成两部分，委托给两个不同的人；(2)通过机密性（例如，用另一个密钥加密）和/或完整性服务来保护。极少数密钥(主密钥)以明文存储于有严密物理保护的密码器中,其他密钥都被(主密钥或次主密钥)加密后存储2024/9/5网络安全原理与应用（第三版）17密钥存储举例（m,n）门限方案将一个密钥K分成n份，每一份称为K的“影子”，知道任意m个或更多个密钥块就能够恢复出密钥K，知道的密钥块少于m，则无法恢复密钥，F(x)=(Rm-1xm-1+Rm-2xm-2+…+R1x+K)modpn个不同的xi（如xi=1，2，3，…，n），计算ki=F(xi)做为K的n个影子，将（p,xi,ki）分发给n个秘密共享者的第i个人，然后销毁R1，R2，…，Rm-1和K。重构K：ki=(Cm-1xim-1+Cm-2xim-2+…+C1xi+K)modp，至少m个影子就可以恢复出上式中的系数2024/9/5网络安全原理与应用（第三版）18密钥的撤销和销毁密钥使用的时间越长，泄露的机会就越多，受攻击的可能性和可行性也越大；密钥已受到威胁或安全级别不够高等情况，应该被撤销并停止使用；过了有效期限的密钥自动撤销并重新生成和启用新的密钥；被撤销的旧密钥仍需要继续保密；密钥的销毁要清除一个密钥所有的踪迹；2024/9/5网络安全原理与应用（第三版）192024/9/5网络安全原理与应用（第三版）204.1.2对称密码体制的密钥管理2024/9/5网络安全原理与应用（第三版）21（1）会话密钥（SessionKey）：当两个端系统要相互通信时，它们建立一个逻辑连接。在逻辑连接期间，使用一个一次性的密钥来加密所有的用户数据，这个密钥称为会话密钥。会话密钥在会话结束后就失效。（2）永久密钥（PermanentKey）：为了分配会话密钥，在两个实体之间使用永久密钥。（1）基于对称加密的密钥分配—KDCKDC的基本思想

2024/9/5网络安全原理与应用（第三版）22缺陷：集中的管理方式通信量较大；KDC出现问题引起整个网络安全通信的崩溃；好处：每个用户不必保存大量的密钥通信做到一次一个密钥假设A打算与B进行安全地通信首先A通过一定的途径获得B的公钥；然后A随机产生一个对称密钥K，并用B的公钥加密对称密钥K发送给B；B接收到加密的密钥后，用自己的私钥解密得到密钥K。在这个对称密钥的分配过程中，不再需要在线的密钥分配中心，也节省了大量的通信开销。

（2）基于公钥体制的密钥分配2024/9/5网络安全原理与应用（第三版）232024/9/5网络安全原理与应用（第三版）244.1.3公钥体制的密钥管理

公钥体系的密钥管理需求：公钥的完整性要求如何保证公钥确实属于声称的所有者？实现公钥和公钥持有人身份的绑定私钥的机密性要求2024/9/5网络安全原理与应用（第三版）25主要有两种公钥管理模式，一种采用证书的方式，另一种是PGP采用的分布式密钥管理模式。公开密钥的管理

（1）公钥证书可信的第三方来签发和管理证书—CA（CertificateAuthority）。CA收集证书申请人的信息，并为之生成密钥对，CA为申请者生成数字证书，将申请者的身份与其公钥绑定，并用自己的私钥对生成的证书进行签名。证书可以放在CA的证书库里保存，也可以由证书持有者在本地存储。一个用户要与另一个用户进行通信时，他可从证书库里获取对方的公钥证书，并使用CA的公钥验证签名证书的合法性并获取对方的公钥。2024/9/5网络安全原理与应用（第三版）26这个方案的前提是CA必须是通信双方都信任的，且CA的公钥必须是真实有效的（2）分布式公钥管理用于PGP的分布式密钥管理，采用了通过介绍人（introducer）的密钥转介方式，适用于分散的用户群假设B与C和D是朋友，由C和D在B的密钥上签名；现在假设B要与一个新来者A通信，B就把由C和D签名的两个公钥副本交给A，如果A认识并相信两个介绍人中的一个，她有理由相信B的公钥是合法的。随着时间的推移，Bob可以收集到更多介绍人的签名。2024/9/5网络安全原理与应用（第三版）27优点：不需要建立一个人人都信任的CA，缺点：不能保证A肯定认识介绍人中的一个，因而不能保证她相信B的公钥。2024/9/5网络安全原理与应用（第三版）284.2消息认证MessageAuthentication：报文鉴别（消息认证，消息鉴别）Message：消息、报文。Authentication：鉴别、认证。认证：消息的接收者对消息进行的验证真实性：消息确实来自于其真正的发送者，而非假冒；（来源认证）完整性：消息的内容没有被篡改。（内容认证）是一个证实收到的消息来自可信的源点且未被篡改的过程。2024/9/5网络安全原理与应用（第三版）294.2.1消息认证过程H–实现消息认证的函数2024/9/5网络安全原理与应用（第三版）30认证函数认证函数分为三类：消息加密函数(Messageencryption)用信息的密文作为对信息的认证。散列函数(HashFunction)是一个公开的函数，它将任意长的信息映射成一个固定长度的信息消息认证码HMAC(Hash-basedMessageAuthenticationCode)是对信源消息的一个编码函数。2024/9/5网络安全原理与应用（第三版）311、使用对称加密产生消息认证码2024/9/5网络安全原理与应用（第三版）322、Hash函数HashFunction哈希函数、摘要函数输入：任意长度的消息报文M输出：一个固定长度的散列码值H(M)是报文中所有比特的函数值单向函数2024/9/5网络安全原理与应用（第三版）33散列算法比传统的加密算法执行速度快，而且密码散列算法的库函数容易得到，使得利用散列算法来产生消息认证码的方法得到较为广泛的认可认证函数：Hash函数（续）M||H(M)HM比较BobAliceH2024/9/5网络安全原理与应用（第三版）342024/9/5网络安全原理与应用（第三版）35将秘密密钥与Hash算法结合H：散列函数；M：消息；Yi：消息M的第i个块L：消息M分块的数目；b：消息块的长度；n：散列码的长度；K：秘密密钥；K+：K的左侧填充0，达到bbit；ipad：00110110（0x36）重复b/8次；opad：01011100（0x5C）重复b/8次IV：Hash函数的初始化向量HMAC2024/9/5网络安全原理与应用（第三版）364.2.2数字签名DigitalSignature传统签名的基本特点签名是可信的：能与被签的文件在物理上不可分割签名是不可抵赖的：签名者不能否认自己的签名签名不能被伪造：除了合法者外，其他任何人不能伪造其签名签名是不可复制的：对一个消息的签名不能通过复制的方式变为另外一个消息的签名签名是不可改变的：经签名的消息不能被篡改容易被验证数字签名是传统签名的数字化能与所签文件“绑定”签名者不能否认自己的签名容易被自动验证签名不能被伪造2024/9/5网络安全原理与应用（第三版）37数字签名数字签名实际上是附加在数据单元上的一些数据或是对数据单元所作的密码变换，这种数据或变换能使数据单元的接收者确认数据单元的来源和数据的完整性，并保护数据，防止被人（如接收者）伪造。本质特征：签名只有通过签名者的私有信息才能产生，实现抗抵赖服务数字签名应是所发送数据的函数，即签名与消息相关，从而防止数字签名的伪造和重用2024/9/5网络安全原理与应用（第三版）38公钥机制与Hash生成签名M||KRbEKRb(H(M))HHM比较EDBobAliceKUb2024/9/5网络安全原理与应用（第三版）392024/9/5网络安全原理与应用（第三版）40数字签名（续）基于仲裁的数字签名方案（arbitrateddigitalsignature）。2024/9/5网络安全原理与应用（第三版）41(1)

A→C：EKAC[M||IDA||H(M)](2)

C→B：EKBC[IDA||M||EKAC[IDA||H(M)]||T]使用仲裁者实现数字签名1）A用KAC加密准备发给B的消息M，并将之发给仲裁者。2）仲裁者用KAC解密消息。3）仲裁者把这个解密的消息及自己的证明S（证明消息来自于A）用KBC加密。4）仲裁者把加密的消息送给B。5）B用与仲裁者共享的密钥KBC解密收到的消息，就可以看到来自于A的消息M和来自仲裁者的证明S。(1)

A→C：EKAC[M||IDA||H(M)](2)

C→B：EKBC[IDA||M||EKAC[IDA||H(M)]||T]S2024/9/5网络安全原理与应用（第三版）42仲裁签名安全分析可信的：A和B都信任C;不可伪造；KAC只有A与仲裁者有，别人无法用KAC与仲裁者通信;不可复制：如果B把仲裁者的证明S（证明消息来自于A）附在别的文件上，通过仲裁者时，仲裁者就会发现消息与证明S不符合。不可抵赖：A不承认自己发送的消息M时，仲裁者的证明S可以帮助解决问题；2024/9/5网络安全原理与应用（第三版）43带时间标记的签名潜在威胁：把签名和文件一起重用；解决办法：把消息加上时间标记，然后再进行签名例：B第一次到银行里进行支票的转账时，银行验证签名并将之存储在数据库里；如果B再次使用这个数字支票，银行验证时，搜索数据库时会发现该支票上的时间标记与数据库中记录的已转账的支票的时间一样2024/9/5网络安全原理与应用（第三版）44多重签名即对同一消息需要多人的签名。利用公钥加密体制与单向散列函数也很容易做到这一点。1）A用自己的私人密钥对文件的散列值进行签名。2）B用自己的私人密钥对文件的散列值进行签名。3）B把文件与自己的签名及A的签名一起发送给C。4）C用A的公开密钥验证A的签名，用B的公开密钥验证B的签名。2024/9/5网络安全原理与应用（第三版）45盲签名1）A将消息m乘以一个随机数得到m′，这个随机数通常称为盲因子，A将盲消息发给B。2）B在收到的消息m′上签名，然后将签名Sig(m′)发给A。3）A通过去除盲因子可从B在m′上的签名Sig(m′)中获得B对m的签名Sig(m)。2024/9/5网络安全原理与应用（第三版）46盲签名两个显著的特点：一是签名者对消息的内容是不可见的;二是签名被公开后，签名者不能追踪签名。2024/9/5网络安全原理与应用（第三版）472024/9/5网络安全原理与应用（第三版）484.4公钥基础设施——PKI

从广义上讲，PKI就是一个用公钥概念和技术实现的、为网络的数据和其它资源提供具有普适性安全服务的安全基础设施。完整的PKI系统包括：权威认证机关(CA)数字证书库密钥备份及恢复系统证书作废系统应用接口等

2024/9/5网络安全原理与应用（第三版）49认证机关（CA）：CA是一个基于服务器的应用，是数字证书的申请及签发机关。CA必须具备权威性；用户相信CA的行为和能力对于保障整个系统的安全性和可靠性是值行信赖的。数字证书库：存储已签发的数字证书及公钥，用户可由此获得所需的其他用户的证书及公钥;一个基于LDAP的目录服务。与已注册证书的人进行安全通信，任何人都可以从该目录服务器获取注册者的公钥。2024/9/5网络安全原理与应用（第三版）50PKI

组成目录服务-例子2024/9/5网络安全原理与应用（第三版）512024/9/5网络安全原理与应用（第三版）52密钥备份及恢复系统：用户丢失了密钥,则数据将无法被解密。PKI提供备份与恢复密钥的机制。但须注意，密钥的备份与恢复必须由可信的机构来完成。并且，密钥备份与恢复只能针对解密密钥，签名私钥不能够作备份。证书作废系统：与日常生活中的各种身份证件一样,证书有效期以内也可能需要作废，原因可能是密钥介质丢失或用户身份变更等。为实现这一点,PKI必须提供作废证书的一系列机制。应用接口：PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的PKI必须提供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保安全网络环境的完整性和易用性。2024/9/5网络安全原理与应用（第三版）53PKI

组成4.4.2CA的功能（1）证书颁发申请者在CA的注册机构（RA）进行注册，申请证书;CA对申请者进行审核，审核通过则生成证书;颁发给申请者。证书的申请可采取在线申请和亲自到RA申请两种方式。证书的颁发也可采取两种方式，一是在线直接从CA下载，一是CA将证书制作成介质（磁盘或IC卡）后，由申请者带走。（2）证书更新当证书持有者的证书过期、证书被窃取、丢失时;证书的更新包括证书的更换和证书的延期两种情况;

证书的更换实际上是重新颁发证书，而证书的延期只是将证书有效期延长，其签名和加密信息的公/私密钥没有改变。2024/9/5网络安全原理与应用（第三版）54（3）证书撤销证书持有者可向CA申请撤销证书。CA通过认证核实，即撤销证书职，通知有关组织和个人，并写入CRL。（4）证书和CRL的公布CA通过LDAP服务器维护用户证书和CRL。用户通过访问LDAP服务器就能够得到他人的数字证书或能够访问CRL。（5）证书状态的在线查询通常CRL发布为一日一次，CRL的状态同当前证书状态有一定的滞后证书状态的在线查询通过向OCSP服务器发送OCSP查询包实现，在线证书状态查询比CRL更具有时效性。2024/9/5网络安全原理与应用（第三版）55CA对证书进行有效性和真实性的认证，在多个CA的系统中，由特定CA发放证书的所有用户组成一个域。同一域中的用户可以直接进行证书交换和认证;不同域的用户的公钥安全认证和递送,需要通过建立一个可信赖的证书链或证书通路实现。（6）证书认证2024/9/5网络安全原理与应用（第三版）56若用户U1与用户U2进行安全通信，只需要涉及三个证书（U1、U2、CA1）若U1与U3进行安全通信，则需要涉及五个证书（U1、CA1、PCA、CA3、U3）（7）制定政策CA私钥的保护：CA签发证书所用的私钥要受到严格的保护，不能被毁坏，也不能非法使用。

CRL的更新频率：CA的管理员可以设定一个时间间隔，系统会按时更新CRL。通知服务：对于用户的申请和证书过期、废除等有关事宜的回复。保护CA服务器：必须采取必要的措施以保证CA服务器的安全。您必须保证该主机不被任何人直接访问，当然CA使用的http服务端口除外。审计与日志检查：为了安全起见，CA对一些重要的操作应记入系统日志。

2024/9/5网络安全原理与应用（第三版）574.4.3PKI的体系结构1、单个CA的PKI结构单个CA的PKI结构中，只有一个CA，它是PKI中的所有用户的信任点，为所有用户提供PKI服务。在这个结构中，所有用户都能通过该CA实现相互之间的认证。单个CA的PKI结构简单，容易实现；但对于具有大量的、不同群体用户的组织不太适应，其扩展性较差。2、分层结构的PKI一个以主从CA关系建立的PKI称为分层结构的PKI。在这种结构中，所有的用户都信任最高层的要CA，上一层CA向下一层CA发放公钥证书。若一个持有由特定CA发证的公钥用户要与由另一个CA发放公钥证书的用户进行安全通信，需解决跨域的认证问题，这一认证过程在于建立一个从根出发的可信赖的证书链。2024/9/5网络安全原理与应用（第三版）582024/9/5网络安全原理与应用（第三版）59例：X.509CA层次结构A想验证B：XWVYZB2024/9/5网络安全原理与应用（第三版）603、网络结构的PKI系统以对等的CA关系建立的交叉认证扩展了CA域之间的第三方信任关系，这样的PKI系统称为网状结构的PKI。交叉认证包括两个操作：第一个是两个域之间信任关系的建立，这通常是一个一次性操作。在双边交叉认证的情况下，每个CA签发一张“交叉证书”；第二个操作由客户端软件来完成，这个操作就是验证由已经交叉认证的CA签发的用户证书的可信赖性，是一个经常性执行的操作。

2024/9/5网络安全原理与应用（第三版）61CA1和CA2通过互相颁发证书，来实现两个信任域内网络用户的相互认证。如果User1要验证User2证书的合法性，则首先要验证CA2对User2证书的签名，那它就要取得CA2的证书以获得CA2的公钥，因为User1信任CA1，则它信任由CA1给CA2颁发的证书，通过该证书，User1信任User2的证书。即形成一条信任路径：User1

CA1

CA2

User2.2024/9/5网络安全原理与应用（第三版）624.5数字证书4.5.1数字证书的类型及格式个人证书中包含证书持有者的个人身份信息、公钥及CA的签名，在网络通讯中标识证书持有者的个人身份，可用于网上购物、网上证券、网上金融、网上拍卖、网上保险等多种应用系统。

Web服务器证书是WebServer与用户浏览器之间建立安全连接时所使用的数字证书。WebServer申请了证书并装载成功，进行相关的配置后，即可与用户浏览器建立安全连接。可以要求浏览器客户端拥有数字证书，建立通信时WebServer和浏览器交换证书，验证对方身份后建立安全连接通道。代码签名证书是CA中心签发给软件开发者的数字证书，包含证书持有者的身份信息、公钥及CA的签名。软件开发者使用代码签名证书对软件进行签名

.企业证书中包含企业身份信息、公钥及CA的签名，在网络通讯中标识证书持有企业的身份，可用于网上税务申报、网上办公系统、网上招标投标、拍买拍卖、网上签约等多种应用系统。

2024/9/5网络安全原理与应用（第三版）63X.509数字证书格式2024/9/5网络安全原理与应用（第三版）64（1）版本号（Version）：指定证书的版本。（2）序列号（SerialNumber）：由证书颁发者分配的唯一标识符，用于区分不同的证书。（3）签名算法标识（SignatureAlgorithm）：用于指定数字签名算法的标识符。（4）颁发者（Issuer）：包含颁发者的标识。（5）有效期（Validity）：包括证书的起始日期和截止日期。（6）主体（Subject）：包含证书所描述实体的标识信息。（7）公钥信息（SubjectPublicKeyInfo）：包含与证书主体相关联的公钥及其算法标识。（8）扩展（Extensions）：包含可选的附加信息，用于支持各种功能，如密钥用途、基本约束、扩展密钥用途等。版本V1中不包含扩展。（9）数字签名（SignatureValue）：由颁发者使用其私钥对证书的内容进行数字签名。浏览器中的数字证书2024/9/5网络安全原理与应用（第三版）652024/9/5网络安全原理与应用（第三版）66Edge：设置

隐私

安全性

证书管理3．认证机构和证书机构（CA）负责颁发公钥证书的机构称为证书机构（CertificateAuthority），它也是对证书进行认证的机构，每一个颁发出去的证书上，都有颁发者的私钥签名。证书机构的主要功能是根据策略机构制定的策略颁发证书，负责维护证书库和证书撤销列表（CRL）等。一个用户可以从CA那里得到某个用户的数字证书，并用CA的公钥来验证证书的完整性、可用性，通过CRL可以知道该证书是否已被撤销等。2024/9/5网络安全原理与应用（第三版）674.证书撤销列表（CRL）证书撤销列表是一种包含已经被撤销（吊销）的证书序列号的列表，用于检查证书是否有效。如果证书撤销，就意味着该证书不再可信，可能因为私钥丢失、证书持有者不再被信任等原因。CRL包含以下信息：颁发者名称（IssuerName）：指明撤销列表的颁发者，即签署CRL的证书颁发机构。上次更新时间（LastUpdateTime）：指定CRL的最后更新时间。下次更新时间（NextUpdateTime）：指定下一次CRL更新的预计时间