cissp 2018最新全套培训讲义完整版day027-密码学应用

1、1到目前为止，你已经学习了与学的基础知识、各种学算法的内部工作原理、使用数字证书分发书的公钥基础设施的应用等有关的大量内容。现在，你应该掌握了学的基础知识，下面将研究解决日常通信问题的学技术的高级应用。在接下来的内容中，我们将介绍用学来保护静态数据，例如存储在便携式设备上的数据，还有传输中的数据。使用的技术有: 保护电子邮件、加密Web 通信和网络连接。2TPM本质上是一种安全设计的微控制器，这种微控制器加入了执行加密功能的模块。这些模块可加速与存储加密密钥、散列值和代号序列处理过程。TPM的内部存储是基于非易失性随机存取内存的，这种内存在电源关闭时仍旧可保留其信息，因此称为非易失性内存。TP

2、M内部的内存分为两个不同的部分：持久性（静态）和通用（动态）内存模块。3PGP有两个可用的版本。商业版本使用RSAJ挂行密钥交换，使用IDEAJ挂行加密/，使用MD5生成消息摘要。免费版本则使用Diffie-Hellman密钥交换、Carlisle Adams/Stafford Tavares(CAST)128位的加密/算法以及SHA- 1 散列函数。许多商业机构也提供基于PGP的电子邮件服务作为基于Web的云端邮件服务、移动设备应用程序或Web邮件插件。这些服务通过可管理的邮件安全服务消除了复杂的加密证书配置和维护，并以此吸引了管理员和最终用户。S/MIME协议: 使用RSA 加密算法，并且

3、己经得到包括RSA安全公司在内的业界主要机构的支持。S/MIME依靠X.509证书交换 系统密钥。这些证书包含的公钥被用于数字签名和较长通信会话中使用的对称密钥交换。RSA是S/MIME支持的唯一一个公钥 学协议，这个协议支持AES和3DES对称加密算法。4SSL依赖在浏览器与Web服务器之间交换数字证书以协商加密/参数。SSL协议的目标是建立安全的通信通道，使整个Web浏览器会话保持开放。它取决于对称和非对称加密的组合。具体过程涉及以下步骤:(1) 当用户访问一个网站时，浏览器检索W出服务器的证书，并从中提取服务器的公共密钥。(2) 然后，浏览器创建一个随机的对称密钥，使用服务器的公钥来加密

4、，然后将加密的对称密钥发送到服务器上。(3) 随后，服务器使用自己的私钥对称密钥，这两个系统使用对称加密密钥来交换未来的交互信息。1999年，安全工程师在发布SSL第三版时，提出了将TLS作为SSL标准的替换。与SSL一样，TLS使用TCP端口443。基于SSL技术，TLS包含了许多安全增强功能并最终被大多数应用所采用，替代了SSL。早期版本的TLS在通信双方都不支持TLS时可以降级支持SSL V3.0。然而， 在2011年TLS V1.2不再支持向后兼容性。尽管TLS已经存在了10多年，许多人仍将其误称为SSL。由于这个原因， TLS也获得了SSL3.1的昵称。56公钥基础设施（PKI）由程

5、序、数据格式、措施、通信协议、安全策略以及公钥机制组成，这些组件综合方式运行的，使得分散的人们能够以安全的、预定的方式相互通信。换句话说，PKI在一个环境内建立了一个信任级别。PKI是一种使用公钥 学和X.509标准的ISO身份验证框架，建立这个框架的目的是允许在不同的网络和互联网之间进行身份验证，其中的具体协议和算法并没有明确规定，这也是我们将PKI 称为框架而非特定技术的原因。PKI提供身份验证、性、不可否认性以及消息交换的完整性。PKI是混合对称与不对称密钥算法和方法的系统，前面已讨论了这个内容。公钥学和PKI之间存在差异。公钥学是非对称算法的另一个名称，而PKI与它的名称一样，是一个基

6、础设施。这个基础设施假定接收方的身份能够通过认证完全确定，并且某种非对称算法能够自动执行密钥交换过程。因此，这个基础设施包含了标识用户身份、创建和分发证书、维护和取消证书、分发和维护加密密钥等部分，并使得所有技术能够沟通，而且能够共同运行以达到加密通信和验证身份的目的。公钥学是PKI中的一个组成部分，不过还有其他许多部分一起构成了这个基础设施。7每一个想加入PKI的人都需要一个数字证书，也就是一个包含本人公钥以及其他身份标识信息的凭证。这个证书由可信的第三方（即认证授权机构（Certificate Authority，CA）创建和签发（数字签名）。当CA签发证书时， 它将个人的身份和公钥绑定在

7、一起，并且还负责该个体的真实性。正是这个可信的第三方（即CA）使得没有谋面的双方能够互相验证身份并以安全的方式通信。如果Kevin从没有见过David，但是却想与之安全地通信，同时又假定他们都信任同一个认证授权机构，那么Kevin就能得到David的数字证书，从而开始与David 通信。CA是保管和发布数字证书的可信组织机构（或服务器）。当一个人请求证书时， 注册授权机构（Registration Authority，RA）会验证这个人的身份，并将证书请求提交给CA 。随后， CA 创建证书并签名，再将其发送给请求者，同时为请求者在证书的有效期内保管该证书。当一个人想要与这个人通信的时候， C

8、A 通常要担保该人的身份。当Dave 接收到Kevin 发送的数字证书时，Dave 会对其进行确证。一般来说，通过向Dave 提供数字证书， Kevin 可以宣称：“我知道你不认识和信任我，但这里是你认识和信任的某个人创建的文档。这个文档表明我是好人，你应该信任我”。一旦Dave 确证了数字证书，他就可以提取出Kevin 嵌入在签名内的公钥。此时， Dave 知道这个公钥与Kevin 绑定在一起。他还知道，如果Kevin 使用其私钥创建数字签名，那么自己就可以使用Kevin 的公钥对数字签名进行正确 ，并且知道该签名确实是Kevin发送的。CA可以位于组织内部。这种设置可以使公司能够控制认证授权服务器，设定身份验证的方式，保管证书以及在必要时取消证书。有些CA是专门提供这种服务的组织机构，其他的个人和公司需要付费才能得到这种服务。著名的CA有8CA创建证书的标准是X.509 。注册授权