第四章 PKI 与PMI认证.pptVIP

第四章 PKI 与PMI认证技术 公钥基础设施（Public Key Infrastructure，PKI）是一个采用非对称密码算法原理和技术来实现并提供安全服务的、具有通用性的安全基础设施。PKI技术采用证书管理公钥，通过第三方的可信任机构———认证中心(Certificate Authority， CA)——把用户的公钥和用户的标识信息捆绑在一起，在Intenet上验证用户的身份，提供安全可靠的信息处理。 目前通用的办法是采用建立在PKI基础之上的数字证书，通过把 要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。 相互关系示意图 4.1 什么是PKI？ Public Key Infrastructure 公开密钥基础设施 普适性、系统 是用公钥概念与技术来实施和提供安全服务的普遍适用的安全基础设施 (Carlistle Adams) 产生、管理、存储、分发和撤销基于公开密钥密码学的公钥证书所必须的软件、硬件、人、策略和处理过程的集合 (IETF) 是硬件、软件、策略和人组成的系统，当完全并且正确的实施后，能够提供一整套的信息安全保障，这些保障对保护敏感的通信和交易是非常重要的 (GAO：美国审计总署 ) 4.1.1 澄清概念 PKI Public Key Infrastructure CA Certification Authority 数字证书认证中心、认证中心、CA中心 是PKI系统的最核心部件 可以认为PKI的其他部件是依附于CA的 所以，在非学术场合，我们看到CA和PKI的概念是混用 PKI就在我们身边 各种实例（一） 中国各大银行已大规模地推广基于个人数字证书的网上银行身份认证，防止银行账号被窃和网银欺诈 25家银行采用数字证书，根据央行05年10月26日颁布的《电子支付指引》，凡使用数字证书等安全认证方式的网银用户，将不会存在每日、每笔网上支付金额的限制 ICAO（国际民用航空组织International Civil Aviation Organization）制定了PKI数字证书的电子护照标准 每个香港公民一人一个智能身份证，每个智能身份证上配发一个全球通用的由香港邮政局颁发的个人数字证书 各种实例（二） 中国电子口岸基于移动运营商无线网络（联通CDMA或移动GPRS），利用手机等移动终端，实现公众的，商务的，政务的应用。基于中国电子口岸CA系统，建立起电子口岸的WPKI，移动应用安全架构，最终满足企业的安全要求 CERNET2网络中间件技术研究与试验：证书服务和PKI技术 校园信息化基础平台：基于CA/PKI的信息安全技术 美国军方采用基于PKI技术的网络身份证/工作证 4.1.2 PKI的功能和特性 一个完整的PKI应具备以下功能: 根据X.509标准发放证书， 产生密钥对 密钥备份及恢复 证书、密钥对的自动更换 加密密钥对和签名密钥对的分离 管理密钥和证书 为用户提供PKI服务，如用户安全登录、增加和删除用户、恢复密钥、检验证书等。 完整的PKI系统包括： 认证机构(CA)、 数字证书库、 密钥备份及恢复系统、 证书撤销处理系统 PKI应用接口系统 一般构建PKI也是围绕这五个系统进行的 PKI提供的基本服务 认证 采用数字签名技术，签名作用于相应的数据之上 被认证的数据 —— 数据源认证服务 用户发送的远程请求 —— 身份认证服务 远程设备生成的challenge信息 —— 身份认证 完整性 PKI采用了两种技术 数字签名：既可以是实体认证，也可以是数据完整性 MAC(消息认证码)：如DES-CBC-MAC或者HMAC-MD5 必威体育官网网址性 用公钥分发随机密钥，然后用随机密钥对数据加密 不可否认 发送方的不可否认 —— 数字签名 接受方的不可否认 —— 收条 + 数字签名 4.1.2 PKI的功能和特性 PKI应具有的性能： 可扩展性。满足电子商务不断发展的需要。 方便用户。保证安全性和经济性。 支持与远程参与者通行无阻。 支持多政策。允许不同用户接受不同的政策。 透明性和易用性。PKI屏蔽了整个提供服务的过程。 互操作型。PKI建立在标准的平台基础之上（加密标准、签名标准、hash标准等），是保证多厂商PKI环境的互操作性的关键。 简单的风险管理。 支持多平台。PKI适合不同的开发环境和不同的开发平台，如windows、unix等 。 支持多应用。如文件传送安全、文件存储安全、电子邮件安全、Web应用安全等保护。 4.1.3 PKI的基本组成 一个完整的PKI系统由认证机构(CA)、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口（API）五大系统构成。 1.认证中心PKI的核心是信任关