PKI認(rèn)證體系原理課件

PKI認(rèn)證體系原理北京寶興達(dá)信息技術(shù)有限公司PKI認(rèn)證體系原理北京寶興達(dá)信息技術(shù)有限公司1數(shù)據(jù)通訊的安全要素有效性機(jī)密性完整性可靠性/不可抵賴性/鑒別審查能力數(shù)據(jù)通訊的安全要素有效性2PKI模式—新的信任模式

(PublicKeyInfrastructure)WIN32認(rèn)證權(quán)威公認(rèn)認(rèn)證方式自由交流ABCPKI模式—新的信任模式

(PublicKeyInfr3PKI模式PKI是一個(gè)完整系統(tǒng)維持一個(gè)可靠的網(wǎng)絡(luò)環(huán)境提供非對(duì)稱式加密算法數(shù)字簽名可向許多不同類型的應(yīng)用提供服務(wù)PKI意味著密鑰管理證書管理PKI模式PKI是一個(gè)完整系統(tǒng)4一些密碼學(xué)基本概念對(duì)稱式加密(SymmetricCryptographic)非對(duì)稱式加密(AsymmetricCryptographic)密鑰交換協(xié)議(KeyAgreement/Exchange)哈希算法(Hash)報(bào)文認(rèn)證碼(MAC)數(shù)字簽名(DigitalSignature)數(shù)字證書(DigitalID/Certificate)認(rèn)證中心(CertificateAuthority)一些密碼學(xué)基本概念對(duì)稱式加密(SymmetricCrypt5基于對(duì)稱密鑰的加密方法加密Encryption“我們的五年計(jì)劃是...”解密Decryption老李小王老李和小王使用同一把密鑰密鑰密鑰老李使用密鑰進(jìn)行加密小王使用密鑰進(jìn)行解密Internet“Py75c%bn&*)9|fDe^bDFaq#xzjFr@g5vMd’rkgMs”密文“我們的五年計(jì)劃是...”基于對(duì)稱密鑰的加密方法加密“我們的五年計(jì)劃是...”解密老李6非對(duì)稱加密算法加密Encryption解密Decryption老李小王老李和小王使用不同的密鑰老李使用對(duì)方的公鑰對(duì)會(huì)話密鑰進(jìn)行加密小王使用自己的私鑰進(jìn)行解密得到會(huì)話密鑰Internet“Py75c%bn&*)9|fDe^bDFaq#xzjFr@g5vMd’rkgMs”密文私鑰公鑰密鑰密鑰小王的公鑰小王的私鑰非對(duì)稱加密算法加密解密老李小王老李和小王使用不同的密鑰老李使7RSA算法

R、S、A是三個(gè)科學(xué)家名字的組合，即R.L.Rivest、A.Shamir和L.Adleman，RSA公鑰系統(tǒng)受到了廣泛的重視，并有以該算法為基礎(chǔ)的國(guó)際標(biāo)準(zhǔn)。該算法基于數(shù)論的非對(duì)稱密碼體制，是建立在大整數(shù)的素?cái)?shù)因子分解的困難上的，屬于分組密碼體制。簡(jiǎn)單的說(shuō)：知道兩個(gè)質(zhì)數(shù)，求出它們的乘積，很容易；但知道一個(gè)整數(shù)，分解成兩個(gè)質(zhì)數(shù)就很復(fù)雜了。

RSA是非對(duì)稱加密算法，加密與解密的密鑰不同，這與DES算法有區(qū)別。RSA主要缺點(diǎn)是產(chǎn)生密鑰受到素?cái)?shù)產(chǎn)生技術(shù)的限制；密鑰分組長(zhǎng)度較長(zhǎng)，運(yùn)算速度較低。RSA算法R、S、A是三個(gè)科學(xué)家名字的組合，即8哈希（Hash)密碼學(xué)中哈希的幾個(gè)基本要求輸入可為任意長(zhǎng)度輸出定長(zhǎng)函數(shù)單向足夠小的沖突可能性Hash“我們的五年計(jì)劃是…”“B*U@9374392l;qHUHW”哈希（Hash)密碼學(xué)中哈希的幾個(gè)基本要求Hash“我們的五9數(shù)字簽名Internet老李小王老李和小王使用不同的密鑰老李使用小王的公鑰對(duì)簽名進(jìn)行核實(shí)小王使用私鑰對(duì)消息進(jìn)行簽名私鑰公鑰核實(shí)簽名對(duì)消息簽名“我們亟需定購(gòu)100套Windows2000”“dkso(Sc#xZ02f+bQaur}”“我們亟需定購(gòu)100套Windows2000”“我們亟需定購(gòu)100套Windows2000”數(shù)字簽名Internet老李小王老李和小王使用不同的密鑰老李10數(shù)字證書證書的目的，身份信息，公鑰由認(rèn)證中心(CertificateAuthority)發(fā)布擁有者公鑰認(rèn)證中心標(biāo)識(shí)Subject:老李NotBefore:10/18/99NotAfter:10/18/04Signed:Cg6&^78#@dxSerialNumber:29483756Subject’sPublickey:公鑰SecureEmailClientAuthentication擴(kuò)展域擁有者身份信息有效期限Issuer:INETCA1認(rèn)證中心(CA)的數(shù)字證書證書發(fā)布ID號(hào)數(shù)字證書證書的目的，身份信息，公鑰擁有者公鑰認(rèn)證中心標(biāo)識(shí)Su11認(rèn)證中心(CertificateAuthority)密鑰的管理及傳遞，認(rèn)證權(quán)威認(rèn)證中心(CA)的相關(guān)問(wèn)題證書請(qǐng)求及發(fā)放過(guò)程證書驗(yàn)證過(guò)程證書的撤銷及更新層次認(rèn)證，信任鏈認(rèn)證中心(CertificateAuthority)密鑰的12PKI認(rèn)證體系的載體1、ESAM嵌入式安全控制模塊內(nèi)置RSA,3DES、HASH等算法，可與終端綁定2、CPU卡內(nèi)置RSA算法，可隨身攜帶，需配合讀卡設(shè)備使用，可放入終端中，也可隨身攜帶。3、電子鑰匙相當(dāng)與將CPU卡或者ESAM與讀卡器集成為一體，通常直接與PC機(jī)進(jìn)行通訊，攜帶較方便PKI認(rèn)證體系的載體1、ESAM嵌入式安全控制模塊13

Internet/Intranet瀏覽器/Client讀卡器卡瀏覽器/Client讀卡器卡CA中心防火墻Web服務(wù)器及應(yīng)用軟件數(shù)據(jù)庫(kù)防火墻銀行等數(shù)據(jù)接收網(wǎng)關(guān)業(yè)務(wù)處理流程PK典型應(yīng)用系統(tǒng)構(gòu)成電子鑰匙或電子鑰匙或?yàn)g覽器/Client讀卡器卡瀏覽器/Clien14在電子簽名、加密中的應(yīng)用流程“我們的五年計(jì)劃是...”明文這是ＨＡＳＨ算法算出摘要“Py75c%bn...”“g5v’r…”電子鑰匙明文數(shù)字證書簽字簽字A私鑰簽名對(duì)稱加密（如：3DES）會(huì)話密鑰數(shù)字信封B公鑰電子簽名包密文加密過(guò)后的文件A方Internet/Intranet數(shù)字信封密文會(huì)話密鑰對(duì)稱加密（如：3DES）明文數(shù)字證書簽字“我們的五年...”明文A公鑰“g5v’r…”簽字摘要二簽名解出經(jīng)A簽字的摘要摘要一由明文生成的摘要B方作比較如果摘要一和二相同則確定是A發(fā)送的文件且內(nèi)容完整B私鑰電子鑰匙在電子簽名、加密中的應(yīng)用流程“我們的五年計(jì)劃是...”明文這15PKI認(rèn)證體系原理北京寶興達(dá)信息技術(shù)有限公司PKI認(rèn)證體系原理北京寶興達(dá)信息技術(shù)有限公司16數(shù)據(jù)通訊的安全要素有效性機(jī)密性完整性可靠性/不可抵賴性/鑒別審查能力數(shù)據(jù)通訊的安全要素有效性17PKI模式—新的信任模式

(PublicKeyInfrastructure)WIN32認(rèn)證權(quán)威公認(rèn)認(rèn)證方式自由交流ABCPKI模式—新的信任模式

(PublicKeyInfr18PKI模式PKI是一個(gè)完整系統(tǒng)維持一個(gè)可靠的網(wǎng)絡(luò)環(huán)境提供非對(duì)稱式加密算法數(shù)字簽名可向許多不同類型的應(yīng)用提供服務(wù)PKI意味著密鑰管理證書管理PKI模式PKI是一個(gè)完整系統(tǒng)19一些密碼學(xué)基本概念對(duì)稱式加密(SymmetricCryptographic)非對(duì)稱式加密(AsymmetricCryptographic)密鑰交換協(xié)議(KeyAgreement/Exchange)哈希算法(Hash)報(bào)文認(rèn)證碼(MAC)數(shù)字簽名(DigitalSignature)數(shù)字證書(DigitalID/Certificate)認(rèn)證中心(CertificateAuthority)一些密碼學(xué)基本概念對(duì)稱式加密(SymmetricCrypt20基于對(duì)稱密鑰的加密方法加密Encryption“我們的五年計(jì)劃是...”解密Decryption老李小王老李和小王使用同一把密鑰密鑰密鑰老李使用密鑰進(jìn)行加密小王使用密鑰進(jìn)行解密Internet“Py75c%bn&*)9|fDe^bDFaq#xzjFr@g5vMd’rkgMs”密文“我們的五年計(jì)劃是...”基于對(duì)稱密鑰的加密方法加密“我們的五年計(jì)劃是...”解密老李21非對(duì)稱加密算法加密Encryption解密Decryption老李小王老李和小王使用不同的密鑰老李使用對(duì)方的公鑰對(duì)會(huì)話密鑰進(jìn)行加密小王使用自己的私鑰進(jìn)行解密得到會(huì)話密鑰Internet“Py75c%bn&*)9|fDe^bDFaq#xzjFr@g5vMd’rkgMs”密文私鑰公鑰密鑰密鑰小王的公鑰小王的私鑰非對(duì)稱加密算法加密解密老李小王老李和小王使用不同的密鑰老李使22RSA算法

R、S、A是三個(gè)科學(xué)家名字的組合，即R.L.Rivest、A.Shamir和L.Adleman，RSA公鑰系統(tǒng)受到了廣泛的重視，并有以該算法為基礎(chǔ)的國(guó)際標(biāo)準(zhǔn)。該算法基于數(shù)論的非對(duì)稱密碼體制，是建立在大整數(shù)的素?cái)?shù)因子分解的困難上的，屬于分組密碼體制。簡(jiǎn)單的說(shuō)：知道兩個(gè)質(zhì)數(shù)，求出它們的乘積，很容易；但知道一個(gè)整數(shù)，分解成兩個(gè)質(zhì)數(shù)就很復(fù)雜了。

RSA是非對(duì)稱加密算法，加密與解密的密鑰不同，這與DES算法有區(qū)別。RSA主要缺點(diǎn)是產(chǎn)生密鑰受到素?cái)?shù)產(chǎn)生技術(shù)的限制；密鑰分組長(zhǎng)度較長(zhǎng)，運(yùn)算速度較低。RSA算法R、S、A是三個(gè)科學(xué)家名字的組合，即23哈希（Hash)密碼學(xué)中哈希的幾個(gè)基本要求輸入可為任意長(zhǎng)度輸出定長(zhǎng)函數(shù)單向足夠小的沖突可能性Hash“我們的五年計(jì)劃是…”“B*U@9374392l;qHUHW”哈希（Hash)密碼學(xué)中哈希的幾個(gè)基本要求Hash“我們的五24數(shù)字簽名Internet老李小王老李和小王使用不同的密鑰老李使用小王的公鑰對(duì)簽名進(jìn)行核實(shí)小王使用私鑰對(duì)消息進(jìn)行簽名私鑰公鑰核實(shí)簽名對(duì)消息簽名“我們亟需定購(gòu)100套Windows2000”“dkso(Sc#xZ02f+bQaur}”“我們亟需定購(gòu)100套Windows2000”“我們亟需定購(gòu)100套Windows2000”數(shù)字簽名Internet老李小王老李和小王使用不同的密鑰老李25數(shù)字證書證書的目的，身份信息，公鑰由認(rèn)證中心(CertificateAuthority)發(fā)布擁有者公鑰認(rèn)證中心標(biāo)識(shí)Subject:老李NotBefore:10/18/99NotAfter:10/18/04Signed:Cg6&^78#@dxSerialNumber:29483756Subject’sPublickey:公鑰SecureEmailClientAuthentication擴(kuò)展域擁有者身份信息有效期限Issuer:INETCA1認(rèn)證中心(CA)的數(shù)字證書證書發(fā)布ID號(hào)數(shù)字證書證書的目的，身份信息，公鑰擁有者公鑰認(rèn)證中心標(biāo)識(shí)Su26認(rèn)證中心(CertificateAuthority)密鑰的管理及傳遞，認(rèn)證權(quán)威認(rèn)證中心(CA)的相關(guān)問(wèn)題證書請(qǐng)求及發(fā)放過(guò)程證書驗(yàn)證過(guò)程證書的撤銷及更新層次認(rèn)證，信任鏈認(rèn)證中心(CertificateAuthority)密鑰的27PKI認(rèn)證體系的載體1、ESAM嵌入式安全控制模塊內(nèi)置RSA,3DES、HASH等算法，可與終端綁定2、CPU卡內(nèi)置RSA算法，可隨身攜帶，需配合讀卡設(shè)備使用，可放入終端中，也可隨身攜帶。3、電子鑰匙相當(dāng)與將CPU卡或者ESAM與讀卡器集成為一體，通常直接與PC機(jī)進(jìn)行通訊，攜帶較方便PKI認(rèn)證體系的載體1、ESAM嵌入式安全控制模塊28

Internet/Intranet瀏覽器/Client讀卡器卡瀏覽器/Client讀卡器卡CA中心防火墻Web服務(wù)器及應(yīng)用軟件數(shù)據(jù)庫(kù)防火墻銀行等數(shù)據(jù)接收網(wǎng)關(guān)業(yè)務(wù)處理流程PK典型應(yīng)用系統(tǒng)構(gòu)成電子鑰匙或電子鑰匙或?yàn)g覽器/Client讀卡器卡瀏覽器/Clien29在電子簽名、加密中的應(yīng)用流程“我們的五年計(jì)劃是...”明文這是ＨＡＳＨ算法算出摘要“Py75c%bn...”