電子商務(wù)安全技術(shù) 第06章 密鑰管理與PKI體系

第五章密鑰管理與數(shù)字證書(shū),5.1密鑰的結(jié)構(gòu)與分配5.2第三方密鑰托管協(xié)議5.3公鑰基礎(chǔ)設(shè)施與認(rèn)證鏈5.4安全認(rèn)證機(jī)構(gòu)與系統(tǒng)介紹,5.1密鑰的結(jié)構(gòu)與分配,密鑰管理概述密鑰的組織結(jié)構(gòu)多層密鑰的體制密鑰的連通和分割密鑰的自動(dòng)分配,密鑰管理概述,密鑰管理的重要性：所有的密碼技術(shù)都依賴(lài)于密鑰。密鑰的管理本身是一個(gè)很復(fù)雜的課題，而且是保證安全性的關(guān)鍵點(diǎn)。,密鑰管理（KeyManagement）：密鑰管理是一門(mén)綜合性的技術(shù)，涉及密鑰的產(chǎn)生、檢驗(yàn)、分發(fā)、傳遞、保管、使用、銷(xiāo)毀的全部過(guò)程，還與密鑰的行政管理制度以及人員的素質(zhì)密切相關(guān)。,密鑰管理的目的：維持系統(tǒng)中各實(shí)體之間的密鑰關(guān)系，以抗擊各種可能的威脅：密鑰的泄露秘密密鑰或公開(kāi)密鑰的身份的真實(shí)性喪失未經(jīng)授權(quán)使用,密鑰管理概述,密鑰管理的方法由一種安全策略來(lái)指導(dǎo)密鑰的產(chǎn)生、存儲(chǔ)、分配、刪除、歸檔及應(yīng)用。具體的密鑰管理方法因所使用的密碼體制（對(duì)稱(chēng)密碼體制和公鑰密碼體制）而異。,密鑰管理概述,密鑰管理系統(tǒng)的要求應(yīng)當(dāng)盡量不依賴(lài)于人的因素：密鑰難以被非法竊??；在一定條件下竊取了密鑰也沒(méi)有用；密鑰的分配和更換過(guò)程對(duì)用戶(hù)是透明的。,密鑰管理概述,一個(gè)密鑰系統(tǒng)可能有若干種不同的組成部分，可以將各個(gè)部分劃分為一級(jí)密鑰、二級(jí)密鑰、n級(jí)密鑰，組成一個(gè)n層密鑰系統(tǒng)。,密鑰的組織結(jié)構(gòu),多層密鑰系統(tǒng)的基本思想用密鑰保護(hù)密鑰,密鑰的組織結(jié)構(gòu),密鑰分類(lèi)：工作密鑰：最底層的密鑰，直接對(duì)數(shù)據(jù)進(jìn)行加密和解密；密鑰加密密鑰：最底層上所有的密鑰，對(duì)下一層密鑰進(jìn)行加密；主密鑰：最高層的密鑰，是密鑰系統(tǒng)的核心。,密鑰的組織結(jié)構(gòu),將用于數(shù)據(jù)加密的密鑰稱(chēng)三級(jí)密鑰，也稱(chēng)工作密鑰；保護(hù)三級(jí)密鑰的密鑰稱(chēng)二級(jí)密鑰，也稱(chēng)密鑰加密密鑰；保護(hù)二級(jí)密鑰的密鑰稱(chēng)一級(jí)密鑰，也稱(chēng)主密鑰。,例如三層密鑰系統(tǒng),因此，二級(jí)密鑰相對(duì)于三級(jí)密鑰來(lái)說(shuō)，是加密密鑰；相對(duì)于一級(jí)密鑰來(lái)說(shuō)，又是工作密鑰。,多層密鑰的體制,單層密鑰體制：如果一個(gè)密鑰系統(tǒng)的功能很簡(jiǎn)單，可以簡(jiǎn)化為單層密鑰體制，如早期的保密通信體制。多層密鑰體制：如果密鑰系統(tǒng)要求密鑰能定期更換，密鑰能自動(dòng)生成和分配等其他的功能，則需要設(shè)計(jì)成多層密鑰體制，如網(wǎng)絡(luò)系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)中的密鑰體制。,密鑰體制的層次選擇由功能決定,多層密鑰的體制,安全性大大提高下層的密鑰被破譯不會(huì)影響到上層密鑰的安全；為密鑰管理自動(dòng)化帶來(lái)了方便除一級(jí)密鑰由人工裝入以外，其他各層密鑰均可由密鑰管理系統(tǒng)實(shí)行動(dòng)態(tài)的自動(dòng)維護(hù)。,多層密鑰體制的優(yōu)點(diǎn)：,密鑰的連通和分割,密鑰的連通連通是指可以在網(wǎng)絡(luò)的一定范圍里實(shí)現(xiàn)保密通信和資源共享；密鑰的分割分割是指實(shí)現(xiàn)保密通信和資源共享的網(wǎng)絡(luò)范圍的限制。,概念相反，本質(zhì)相同,密鑰的連通和分割,連通相互之間實(shí)現(xiàn)保密通信和資源共享，最高的連通能力是任意兩個(gè)用戶(hù)間均可建立獨(dú)立的密碼互通；分割限制可進(jìn)行密碼互通的范圍，使每個(gè)用戶(hù)只能與1023個(gè)用戶(hù)中的某個(gè)子集進(jìn)行密碼互通。,例如：一個(gè)1023個(gè)用戶(hù)的局域網(wǎng),密鑰的連通和分割,從密鑰使用的形式看按空間分割：不同密級(jí)的數(shù)據(jù)、不同的部門(mén)等；按時(shí)間分割：不同的時(shí)間。,密鑰分割的方法,從實(shí)現(xiàn)方法看靜態(tài)分割：注入密碼時(shí)就給定連通范圍；動(dòng)態(tài)分割：定期向規(guī)定范圍內(nèi)的用戶(hù)傳遞密鑰。,密鑰的自動(dòng)分配,規(guī)定使用期限的原因：擁有大量的密文有助于密碼分析；一個(gè)密鑰使用得太多了，會(huì)給攻擊者增大收集密文的機(jī)會(huì)；密鑰使用一段時(shí)間之后有可能被竊取或泄露，限定密鑰的使用期限就相當(dāng)于限制危險(xiǎn)的發(fā)生。,密鑰的使用期限：授權(quán)使用該密鑰的期限,密鑰的自動(dòng)分配,制定使用期限的依據(jù)：不是取決于在這段時(shí)間內(nèi)密碼能否被破譯，而是從概率的意義上看密鑰機(jī)密是否有可能被泄露。,密鑰分配的要求：盡可能的經(jīng)常更換；盡量減少人的參與；實(shí)現(xiàn)密鑰自動(dòng)分配。,密鑰的自動(dòng)分配,密鑰分配技術(shù)密鑰分配中心密鑰分配中心（KDC，KeyDistributionCenter）統(tǒng)一管理和分配密鑰，實(shí)現(xiàn)密鑰的動(dòng)態(tài)分配。,密鑰分配中心的基本思想：每個(gè)用戶(hù)需保管與KDC之間使用的密鑰加密密鑰；密鑰分配中心為每個(gè)用戶(hù)保存互不相同的密鑰加密密鑰。,密鑰的自動(dòng)分配,利用KDC進(jìn)行通信：向密鑰分配中心申請(qǐng)；密鑰分配中心就把用密鑰加密密鑰加過(guò)密的工作密鑰分別發(fā)送給主叫用戶(hù)和被叫用戶(hù)；通信雙方用工作密鑰進(jìn)行通信。,5.2第三方密鑰托管協(xié)議,密鑰托管的概念密鑰托管的應(yīng)用,密鑰托管的概念,什么是密鑰托管：密鑰托管指把通信雙方的會(huì)話密鑰交由合法的第三方，以便讓合法的第三方利用得到的會(huì)話密鑰解密雙方通信的內(nèi)容，從而監(jiān)視雙方的通信。,密鑰托管的機(jī)構(gòu)：政府部門(mén)和法律執(zhí)行部門(mén),密鑰托管的概念,密鑰托管的爭(zhēng)論：為防止未授權(quán)信息泄露提供工具；依法監(jiān)視犯罪分子的通信活動(dòng)；但將泄露私人秘密。,因此，要進(jìn)行密鑰托管，需要政府制定相應(yīng)的法規(guī)，并要嚴(yán)格控制。,密鑰托管的應(yīng)用,密鑰托管的幾個(gè)應(yīng)用：當(dāng)用戶(hù)不小心丟失或破壞了密鑰，通過(guò)向密鑰托管機(jī)構(gòu)申請(qǐng)，可以使用戶(hù)恢復(fù)出加密的文件或資料。當(dāng)執(zhí)行加密的用戶(hù)不在時(shí)，可把加密后的文件傳送給密鑰托管者，密鑰托管者解密后就可把它傳送給合法用戶(hù)。,5.3公鑰基礎(chǔ)設(shè)施與認(rèn)證鏈,公鑰基礎(chǔ)設(shè)施的概念數(shù)字證書(shū)的概念CA認(rèn)證中心,公鑰基礎(chǔ)設(shè)施的概念,什么是公鑰基礎(chǔ)設(shè)施：,公鑰基礎(chǔ)設(shè)施（PKI，PublicKeyInfrastructure）是指用公鑰原理和技術(shù)實(shí)施和提供安全服務(wù)的具有普適性的安全基礎(chǔ)設(shè)施。,PKI是一種標(biāo)準(zhǔn)的密鑰管理平臺(tái)，它能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)據(jù)簽名等密碼服務(wù)所必需的密鑰和證書(shū)管理。,密鑰生命周期,公鑰基礎(chǔ)設(shè)施的概念,一個(gè)完整的PKI至少應(yīng)該包括：認(rèn)證機(jī)構(gòu)(CA)證書(shū)庫(kù)證書(shū)注銷(xiāo)密鑰備份和恢復(fù)自動(dòng)密鑰更新支持不可否認(rèn),公鑰基礎(chǔ)設(shè)施的概念,PKI的基本組件包括：RA(RegistrationAuthority)注冊(cè)機(jī)構(gòu)建立信任關(guān)系CA(CertificateAuthority)認(rèn)證中心發(fā)證證書(shū)庫(kù)/目錄保存證書(shū)，供公開(kāi)訪問(wèn),數(shù)字證書(shū)的概念,什么是數(shù)字證書(shū)：由CA認(rèn)證中心發(fā)放的一個(gè)數(shù)字文件，數(shù)字證書(shū)也稱(chēng)公開(kāi)密鑰證書(shū)，在網(wǎng)絡(luò)通信中標(biāo)志通信各方身份信息的一系列數(shù)據(jù)。,證書(shū)(certificate)，有時(shí)候簡(jiǎn)稱(chēng)為cert；證書(shū)包含了用戶(hù)身份信息、用戶(hù)公鑰信息以及身份驗(yàn)證機(jī)構(gòu)數(shù)字簽名等數(shù)據(jù)。,數(shù)字證書(shū)的概念,證書(shū)的結(jié)構(gòu),數(shù)字證書(shū)的概念,證書(shū)是一個(gè)機(jī)構(gòu)頒發(fā)給一個(gè)安全個(gè)體的證明，所以證書(shū)的權(quán)威性取決于該機(jī)構(gòu)的權(quán)威性,一個(gè)證書(shū)中，最重要的信息是個(gè)體名字、個(gè)體的公鑰、機(jī)構(gòu)的簽名、算法和用途,數(shù)字證書(shū)的概念,電子交易中主要的兩種證書(shū)：持卡人證書(shū)：支付卡的電子化表示商家證書(shū)：接受銀行卡結(jié)算的方式,最常用的證書(shū)格式：X.509V3,X.509證書(shū)格式,版本1、2、3序列號(hào)在CA內(nèi)部唯一簽名算法標(biāo)識(shí)符指該證書(shū)中的簽名算法簽發(fā)人名字CA的名字有效時(shí)間起始和終止時(shí)間個(gè)體名字個(gè)體的公鑰信息,數(shù)字證書(shū)示意圖,CA認(rèn)證中心,CA認(rèn)證中心（CertificationAuthority）受信任的第三方機(jī)構(gòu)，負(fù)責(zé)數(shù)字證書(shū)的發(fā)放、驗(yàn)證等。,CA認(rèn)證中心,CA認(rèn)證中心的功能：,證書(shū)的頒發(fā)證書(shū)的更新證書(shū)的查詢(xún)證書(shū)的作廢證書(shū)的歸檔提供密鑰托管和密鑰恢復(fù)服務(wù),CA認(rèn)證中心,CA的層次結(jié)構(gòu)：,對(duì)于一個(gè)運(yùn)行CA的大型權(quán)威機(jī)構(gòu)而言，簽發(fā)證書(shū)的工作不能僅僅由一個(gè)CA來(lái)完成它可以建立一個(gè)CA層次結(jié)構(gòu),CA認(rèn)證中心,證書(shū)的樹(shù)型驗(yàn)證結(jié)構(gòu)：雙方通信時(shí)，通過(guò)出示由某個(gè)CA簽發(fā)的證書(shū)來(lái)證明自己的身份。如果對(duì)簽發(fā)證書(shū)的CA本身再不信任，則可驗(yàn)證CA的身份，一直到權(quán)威的根CA處，就可確信證書(shū)的有效性。,5.4安全認(rèn)證機(jī)構(gòu)與系統(tǒng)介紹,VeriSign數(shù)字憑證的申請(qǐng)操作1進(jìn)入VeriSign的DigitalID申請(qǐng)主頁(yè)2填寫(xiě)申請(qǐng)單3確認(rèn)申請(qǐng)內(nèi)容，獲得數(shù)字憑證,1進(jìn)入VeriSign的DigitalID申請(qǐng)主頁(yè),申請(qǐng)免