操作系统安全5(公钥基础设施删减版本,2课时).pptVIP

五章：公钥基础结构PKI PKI的功能 PKI的组件 数字证书 PKI的发展现状 windows 支持的PKI服务 5.1 PKI功能 PKI(Public Key Infrastructure)是一个用非对称密码算法原理和技术实现的，具有通用性的安全基础设施。 PKI利用数字证书标识密钥持有人的身份，通过对密钥的规范化管理，透明地为应用系统提供身份认证、数据必威体育官网网址性和完整性、不可否认性等各种必要的安全保障。 PKI正成为安全体系结构的核心部分，有了它，许多 标准的安全应用成为可能。例如： (1)电子商务 (2)电子政务 (3)网上银行 (4)安全电子邮件 (5)虚拟专用网(VPN) PKI的功能 PKI的组件 数字证书 PKI的发展现状 windows 支持的PKI服务 5.2、PKI的组件 组件1：证书注册机构（RA） RA(Registration Authority)是面对用户的窗口，它负责接收用户的证书申请，审核用户的身份， RA也负责向用户发放证书。 注册功能有时可以通过CA直接实现，但有时将这部分功能分离成RA(registration authority)来实现。 组件2：证书颁发机构（CA） CA(Certification Authority)是PKI的核心，CA通 过签发证书将一个主体与其公钥进行捆绑公证 CA有两个知名的属性：CA的名字和CA的公钥。 功能 CA执行的基本的PKI功能： 签发证书(例如：创建和签名)； 发布它的当前(例如：期限未满)证书和CRL，因此用户可以获得他们需要实现安全服务的信息； 维持有关到期证书的状态信息档案 证书将用户公钥和名字等其他信息绑定起来，CA使用它的签名私钥对证书信息进行数字签名。 CA机构的数字签名使得攻击者不能伪造和篡改证书，CA不能否认它签名的证书（抗抵赖性）。 信任模式 第三方信任 是指两个实体以前没有建立起信任关系，但双方与共同的第三方有信任关系，第三方为两者的可信任性进行了担保，由此建立起来的信任关系。 信任模式 如果两个CA交换密钥信息，这样每个CA都可以有效地验证另一方CA密钥的可信任性，我们称这样的过程为交叉认证。交叉认证是第三方信任的扩展。 组件3：证书库 证书库是证书的集中存放地，用户可以从此处获得其他用户的证书 构造证书库可以采用X.500 (目录标准)，数据库等。 组件4：档案库 档案库是一个被用来解决将来争执的信息库，为CA承担长期存储文档信息的责任。 档案的主要任务是储存和保护充足的信息来决定在一份旧的文档中数字签名是可以信任的。 组件5：密钥备份及恢复系统 如果用户的解密私钥丢失，则密文无法解密，造成数据丢失 密钥的备份与恢复应由可信机构来完成。 密钥的备份与恢复只能针对解密私钥，签名私钥不能备份。 组件6：证书废除处理系统 证书在有效期之内由于某些原因可能需要废除 废除证书是将证书列入证书黑名单（CRL）来完成。 CRL一般存放在目录系统中。 组件7：PKI应用系统接口 PKI的价值在于使用户能够方便地使用加密，数字签名等安全服务 一个完整的PKI必须提供良好的应用接口，使各种应用能够与PKI交互，确保所建立起来的网络环境的可信性 PKI的功能 PKI的组件 数字证书 PKI的发展现状 windows 2000支持的PKI的特性 5.3、数字证书 证书结构 证书存储标准 证书的验证 1 x.509 数字证书 2 windows中数字证书的存储标准 X.509标准 最基本的证书存储标准格式（DER ， Based64） PKCS#7 标准 用来传输签名数据的标准格式 PKCS#12标准 用来传输证书和私钥的标准格式 个人信息交换（PKCS#12） 是Windows支持导出证书及相关私钥的唯一格式。 证书用户EFS（加密文件系统）或EFS故障恢复才可导出私钥 加密消息语法标准（PKCS#7）(不常见) 允许将证书及证书路径中的所有证书从一台计算机传输到另一台计算机或可移动媒体上。 扩展名为.p7b DER编码的二进制X.509 可由不在Windows服务器上的证书颁发机构使用，因此它支持互操作性。 扩展名为.cer Base64编码的X.509 同上。 3 证书的验证 第一步：验证真实性。证书是否为可信任的CA认证中心签发？ 证书链 第二步：验证有效性。证书是否在证书的有效使用期之内。 第三步：验证可用性。证书是否已废除？ PKI的功能 PKI的组件 数字证书 PKI的发展现状 windows 支持的PKI服务 5.4国内PKI发展现状 PKI的功能 PKI的组件 数字证书 PKI的发展现状 windows 支持的PKI服务 5.5 Windows 支持的PKI的服务 证书 证书服务（安装在 Serv