计算机网络安全技术与应用第五章.pptVIP

5.3PKI概述（5）密钥和证书的更新系统与日常生活中我们使用的各种各样的身份证件相似，证书也有自己的使用期限，而且由于某种原因在有效期内也可能作废，例如密钥丢失、用户的个人身份信息发生改变、CA对用户不再信任或者用户对该CA不再信任等各种情况。为此，证书和密钥必须要有一定的更新频率。第29页，共49页，星期日，2025年，2月5日证书的更新方式有3种：更换一个或多个主题的证书；更换由某一对密钥签发的所有证书；更换某一个CA签发的所有证书。即使在用户正常使用证书的过程中，PKI也会自动不定时地到目录服务器中检查证书的有效期，当有效期将满时，CA会自动启动更新程序，将旧证书列入作废证书列表（俗称黑名单），同时生成一个新证书来代替原来的证书，并通知用户。第30页，共49页，星期日，2025年，2月5日5.3PKI概述4．PKI的系统功能（1）证书申请和审批作为以数字证书为核心实现的PKI安全系统，证书申请和审批功能是最基本的要求。具备证书的申请和审批功能，提供灵活、方便的申请方式，高效、可靠的审批系统，可以保证由该PKI体系提供安全服务的各方能顺利地得到所需要的证书。（2）产生、验证和分发密钥①用户自己产生密钥对②CA为用户产生密钥对③CA（包括政策批准机构PAA、政策CA机构PCA、CA）自己产生自己的密钥对第31页，共49页，星期日，2025年，2月5日5.3PKI概述（3）证书签发和下载证书签发是PKI系统中的认证中心CA的核心功能。完成了证书的申请和审批后，将由CA签发的相应证书，其中由CA所生成的证书格式应符合X.509V3标准。证书的发放分为离线方式和在线方式两种。（4）签名和验证PKI成员对数字签名和认证可以采用多种算法，例如RSA、ECC、DES等，这些算法可以由硬件、软件或硬软结合的加密模块（硬件）来完成。密钥和证书可以存放在内存、IC卡、USBKey光盘或软盘中。第32页，共49页，星期日，2025年，2月5日5.3PKI概述（5）证书的获取证书可以通过多种方式获取：发送者发送签名信息时，附加发送自己的证书；通过单独发送证书信息的通道；可从访问发布证书的目录服务器获得；或者从证书的相关实体RA处获得。（6）证书和目录查询CA的目录查询通过LDAP协议，实时地访问证书目录和证书撤销列表，提供实时在线查询，以确认证书的状态。这种实时性要求是由金融业务或其他电子政务应用的高度敏感性和高度安全性所决定的。第33页，共49页，星期日，2025年，2月5日5.3PKI概述（7）证书撤销证书在使用过程中可能会因为各种原因而被废止，例如密钥泄密、相关从属信息变更、密钥有效期中止或者CA本身的安全隐患等。因此，证书撤销服务也必须是PKI的一个必需功能。该系统提供了成熟、易用、标准的证书列表作废系统，可供有关实体查询，对证书进行验证。（8）密钥备份和恢复密钥的备份和恢复是PKI中的一个重要内容。因为很多原因可能会造成丢失解密数据的密钥，那么被加密的密文将无法解开，从而造成数据丢失。为了避免这种情况的发生，PKI提供了密钥备份与解密密钥的恢复机制，即密钥备份与恢复系统。第34页，共49页，星期日，2025年，2月5日5.3PKI概述（7）证书撤销证书在使用过程中可能会因为各种原因而被废止，例如密钥泄密、相关从属信息变更、密钥有效期中止或者CA本身的安全隐患等。因此，证书撤销服务也必须是PKI的一个必需功能。该系统提供了成熟、易用、标准的证书列表作废系统，可供有关实体查询，对证书进行验证。（8）密钥备份和恢复密钥的备份和恢复是PKI中的一个重要内容。因为很多原因可能会造成丢失解密数据的密钥，那么被加密的密文将无法解开，从而造成数据丢失。为了避免这种情况的发生，PKI提供了密钥备份与解密密钥的恢复机制，即密钥备份与恢复系统。在PKI中，密钥的备份和恢复分为CA自身根密钥和用户密钥两种情况。第35页，共49页，星期日，2025年，2月5日计算机网络安全技术与应用第五章第1页，共49页，星期日，2025年，2月5日第五章PKI技术掌握身份识别与鉴别的概念及身份识别技术掌握PKI的概念，了解网络中传输信息的安全要求掌握PKI的服务功能和实体构成掌握CA的相关概念、功能和组成掌握数字证书的相关概念了解CA数字证书