第四章-8教師用書配套課件

第四章PKI數(shù)字認(rèn)證第四章PKI數(shù)字認(rèn)證學(xué)會(huì)分析常見身份認(rèn)證技術(shù)特點(diǎn)、用途學(xué)會(huì)分析常見身份認(rèn)證技術(shù)的優(yōu)點(diǎn)、缺點(diǎn)熟練操作從因特網(wǎng)上申請(qǐng)數(shù)字證書的要求與步驟學(xué)會(huì)分析PKI數(shù)字證書的工作原理熟練操作安全套接子層SSL、電子印章技術(shù)、安全電子郵件技術(shù)在數(shù)字證書中的應(yīng)用本章學(xué)習(xí)目標(biāo)學(xué)會(huì)分析常見身份認(rèn)證技術(shù)特點(diǎn)、用途本章學(xué)習(xí)目標(biāo)身份認(rèn)證是系統(tǒng)審查用戶身份的進(jìn)程，從而確定該用戶是否具有對(duì)某種資源的訪問和使用權(quán)限。身份認(rèn)證通過標(biāo)識(shí)和鑒別用戶的身份，提供一種判別和確認(rèn)用戶身份的機(jī)制身份認(rèn)證技術(shù)在信息安全中處于非常重要的地位，是其他安全機(jī)制的基礎(chǔ)。身份認(rèn)證是系統(tǒng)審查用戶身份的進(jìn)程，從而確定該用戶是否具有對(duì)某4.1.1靜態(tài)口令認(rèn)證靜態(tài)口令認(rèn)證是最簡單也是最常用的身份認(rèn)證方法，它是基于“你知道什么”的驗(yàn)證手段。每個(gè)用戶的密碼是由這個(gè)用戶自己設(shè)定的，也只有用戶自己才知道，因此只要能夠正確輸入密碼，計(jì)算機(jī)就確認(rèn)用戶的合法性。4.1.1靜態(tài)口令認(rèn)證靜態(tài)品令認(rèn)證的優(yōu)點(diǎn)：

一般的系統(tǒng)（如UNIX，WindowsNT，NetWare等）都提供了對(duì)口令認(rèn)證的支持，對(duì)于封閉的小型系統(tǒng)來說不失為一種簡單可行的方法?；陟o態(tài)口令的認(rèn)證方法存在下列不足：靜態(tài)口令認(rèn)證的缺點(diǎn)：1．用戶每次訪問系統(tǒng)時(shí)都要以明文方式輸入口令，容易泄密。2．口令在傳輸過程中可能被截獲。3．用戶訪問多個(gè)不同安全級(jí)別的系統(tǒng)時(shí)，都要求用戶提供口令，用戶為了記憶方便，往往采用相同的口令。靜態(tài)品令認(rèn)證的優(yōu)點(diǎn)：4.1.2短信密碼認(rèn)證短信密碼以手機(jī)短信形式請(qǐng)求包含6位隨機(jī)數(shù)的動(dòng)態(tài)密碼，身份認(rèn)證系統(tǒng)以短信形式發(fā)送隨機(jī)的6位密碼到客戶的手機(jī)上。4.1.2短信密碼認(rèn)證短信密碼認(rèn)證的優(yōu)點(diǎn)：1．安全性：由于手機(jī)與客戶綁定比較緊密，短信密碼生成與使用場(chǎng)景是物理隔絕的，因此密碼在通路上被截取幾率降至最低。2．普及性：只要會(huì)接收短信即可使用，大大降低短信密碼技術(shù)的使用門檻，學(xué)習(xí)成本幾乎為0，所以在市場(chǎng)接受度上面不會(huì)存在阻力。3．易收費(fèi)：對(duì)于運(yùn)營商來說，這和PC時(shí)代互聯(lián)網(wǎng)截然不同的理念，而且收費(fèi)通道非常的發(fā)達(dá)，如果是網(wǎng)銀、第三方支付、電子商務(wù)可將短信密碼作為一項(xiàng)增值業(yè)務(wù)，每月通過手機(jī)終端收費(fèi)不會(huì)有阻力，因此也可增加收益。4．易維護(hù)：由于短信網(wǎng)關(guān)技術(shù)非常成熟，大大降低短信密碼系統(tǒng)上的復(fù)雜度和風(fēng)險(xiǎn)，短信密碼業(yè)務(wù)后期客服成本低，穩(wěn)定的系統(tǒng)在提升安全同時(shí)也營造良好的口碑效應(yīng)，這也是目前銀行也大量采納這項(xiàng)技術(shù)很重要的原因。短信密碼認(rèn)證的優(yōu)點(diǎn)：短信密碼認(rèn)證的缺點(diǎn)：1．移動(dòng)信號(hào)正常覆蓋必須要求在移動(dòng)信號(hào)覆蓋的地區(qū)，如果在一個(gè)封閉的環(huán)境，比如電梯，地下室，隧道、偏僻的山區(qū)等就無法正常收到移動(dòng)信號(hào)，也就不能正常獲取知信密碼。2．存在延遲通過手機(jī)獲取短信密碼，由于空間區(qū)域的復(fù)雜性，獲取短信密碼存在延遲，因此當(dāng)在急于登錄系統(tǒng)時(shí)，而短信密碼遲遲無法接收形成矛盾。短信密碼認(rèn)證的缺點(diǎn)：4.1.3智能卡認(rèn)證

智能卡身份驗(yàn)證方式時(shí)，需要將智能卡插入智能卡讀卡器中，然后輸入一個(gè)PIN碼（相于用戶的口令，通常為四到八位）。這種類型的身份驗(yàn)證既驗(yàn)證用戶持有的憑證，又驗(yàn)證用戶知曉的信息,以此確認(rèn)用戶的身份。4.1.3智能卡認(rèn)證基于智能卡的身份認(rèn)證系統(tǒng)中采用共享密鑰的身份認(rèn)證協(xié)議。其身份認(rèn)證流程如下：1．被認(rèn)證方向認(rèn)證方發(fā)起認(rèn)證請(qǐng)求，并提供自己的身份IDi；2．認(rèn)證方首先查找合法用戶列表中是否存在身份IDi，如果不存在則停止下面的操作，返回被認(rèn)證方一個(gè)錯(cuò)誤信息。如果存在身份IDi，則認(rèn)證方隨機(jī)產(chǎn)生一個(gè)128bit的隨機(jī)數(shù)N，將N傳給被認(rèn)證方；3．被認(rèn)證方接收到128bit的隨機(jī)數(shù)N后，將此隨機(jī)數(shù)N送入智能卡輸入數(shù)據(jù)寄存器中，發(fā)出身份信息加密命令，智能卡利用存儲(chǔ)在硬件中的共享密鑰K采用Rijndael算法對(duì)隨機(jī)數(shù)N進(jìn)行加密，加密后的結(jié)果存放在輸出數(shù)據(jù)寄存器中；4．被認(rèn)證方從智能卡輸出數(shù)據(jù)寄存器中取得加密后的數(shù)據(jù)，傳給認(rèn)證方。認(rèn)證方同樣通過智能卡完成共享密鑰K對(duì)隨機(jī)數(shù)N的加密，如果加密結(jié)果和被認(rèn)證方傳來的數(shù)據(jù)一致則認(rèn)可被認(rèn)證方的身份，否則不認(rèn)可被認(rèn)證方的身份?；谥悄芸ǖ纳矸菡J(rèn)證系統(tǒng)中采用共享密鑰的身份認(rèn)證協(xié)議。其身份智能卡認(rèn)證優(yōu)點(diǎn)：1．安全性2．方便性3．經(jīng)濟(jì)利益4．用戶化5．其他優(yōu)點(diǎn)現(xiàn)金仍然是當(dāng)今社會(huì)中非常重要的一種支付手段。因此，有必要尋找一種更為安全方便，也更為經(jīng)濟(jì)的替代手段來實(shí)現(xiàn)現(xiàn)金收付的功能。當(dāng)前有80%左右的款項(xiàng)收付是通過現(xiàn)金來實(shí)現(xiàn)的。智能卡相對(duì)于支票、信用卡來說有以下二個(gè)長處：（1）降低了操作成本，提高了使用的簡便性，降低了基礎(chǔ)設(shè)施的支持成本，例如銀行系統(tǒng)和電話網(wǎng)的維護(hù)費(fèi)用。（2）在一個(gè)平臺(tái)上集中了信用卡、卡和貨幣存儲(chǔ)卡的多種功能，實(shí)現(xiàn)了一卡多能，例如職工醫(yī)?？?。智能卡認(rèn)證優(yōu)點(diǎn)：智能卡認(rèn)證的缺點(diǎn)：目前智能卡存放信息一般包括兩類：1.采用非接觸射頻識(shí)別技術(shù)，將信息存在半導(dǎo)體芯片中；2.采用磁性記錄技術(shù),把用戶信息存在嵌有磁條的塑料卡中，磁條上記錄有用于機(jī)器識(shí)別的個(gè)人信息。這類卡易于制造，而且磁條上的記錄數(shù)據(jù)也易于轉(zhuǎn)錄，因此要設(shè)法防止仿制。另外采用磁性記錄技術(shù)的智能卡不能與磁體接觸，容易導(dǎo)致消磁。智能卡認(rèn)證的缺點(diǎn)：4.1.4生物認(rèn)證生物識(shí)別技術(shù)是指通過計(jì)算機(jī)與光學(xué)、聲學(xué)、生物傳感器和生物統(tǒng)計(jì)學(xué)原理等高科技手段密切結(jié)合，利用人體固有的生理特性，（如指紋、臉象、紅膜等）和行為特征（如筆跡、聲音、步態(tài)等）來進(jìn)行個(gè)人身份的鑒定技術(shù)。常見的有指紋識(shí)別、足跡識(shí)別、視網(wǎng)膜識(shí)別等。4.1.4生物認(rèn)證指紋識(shí)別技術(shù)：指紋識(shí)別技術(shù)是以數(shù)字圖像處理技術(shù)為基礎(chǔ)，而逐步發(fā)展起來的。相對(duì)于密碼、各種證件等傳統(tǒng)身份認(rèn)證技術(shù)而言，指紋識(shí)別是一種更為理想的身份認(rèn)證技術(shù)。實(shí)現(xiàn)指紋識(shí)別有多種方法。其中有些是仿效傳統(tǒng)的公安部門使用的方法，比較指紋的局部細(xì)節(jié)；有些直接通過全部特征進(jìn)行識(shí)別；還有一些使用更獨(dú)特的方法，如指紋的波紋邊緣模式和超聲波。指紋識(shí)別技術(shù)：指紋識(shí)別優(yōu)點(diǎn)：1.不容易復(fù)制；2.指紋比較固定，不會(huì)隨著年齡的增長或健康程度的變化而變化；3.指紋圖像便于獲取，易于開發(fā)識(shí)別系統(tǒng)，具有很高的實(shí)用性和可行性。指紋識(shí)別優(yōu)點(diǎn)：指紋識(shí)別缺點(diǎn)：1.準(zhǔn)確性和穩(wěn)定性還有待提高，特別是當(dāng)用戶身體受到傷病或污漬的影響，往往導(dǎo)致無法正常識(shí)別。2.指紋識(shí)別容易被盜取，因此目前只適合于一些安全性要求低的場(chǎng)合，對(duì)于一些安全性要求較高的場(chǎng)合如銀行、部隊(duì)等而是改用其它方式的身份識(shí)別。指紋識(shí)別缺點(diǎn)：足跡識(shí)別技術(shù)足跡識(shí)別是通過對(duì)人在站立和行走運(yùn)動(dòng)中，赤足或穿鞋襪的足與地面等承痕表面接觸形成的痕跡來驗(yàn)證用戶身份，主要應(yīng)用于刑偵案件的偵破。足跡識(shí)別技術(shù)足跡識(shí)別的優(yōu)點(diǎn)：1.足跡在現(xiàn)場(chǎng)的出現(xiàn)率非常高，提取率也非常高。2.足跡不易偽裝。即使嫌疑人作案不戴手套，為避免留下指紋會(huì)對(duì)很多動(dòng)作特別注意，但嫌疑人只要作案就必然在現(xiàn)場(chǎng)行走，只要行走就會(huì)反映出正常的行走特征，所以相比其他痕跡，足跡痕跡更難進(jìn)行偽裝。3.現(xiàn)場(chǎng)勘察的一個(gè)重要工作就是從技術(shù)角度確定偵查方向，準(zhǔn)確判斷案件性質(zhì)，判斷現(xiàn)場(chǎng)來去路線，判斷作案過程及人數(shù)等。4.能通過對(duì)足跡大小壓力情況等的初步檢驗(yàn)來判斷穿鞋人年齡、身高、體態(tài)、職業(yè)等特點(diǎn)，為偵查破案提供更多的線索。足跡識(shí)別的優(yōu)點(diǎn)：視網(wǎng)膜識(shí)別技術(shù)視網(wǎng)膜掃描技術(shù)是最古老的生物識(shí)別技術(shù)，通過使用光學(xué)設(shè)備發(fā)出的低強(qiáng)度光源掃描視網(wǎng)膜上獨(dú)特的圖案，進(jìn)而確定身份。視網(wǎng)膜識(shí)別技術(shù)視網(wǎng)膜識(shí)別的優(yōu)點(diǎn)：（1）視網(wǎng)膜是一種極其固定的生物特征，因?yàn)樗?隱藏"的，故而不可能磨損，老化或是為疾病影響；（2）使用者不需要和設(shè)備進(jìn)行直接的接觸；（3）是一個(gè)最難欺騙的系統(tǒng)因?yàn)橐暰W(wǎng)膜是不可見的，故而不會(huì)被偽造。視網(wǎng)膜識(shí)別的優(yōu)點(diǎn)：視網(wǎng)膜識(shí)別的缺點(diǎn)：（1）視網(wǎng)膜技術(shù)未經(jīng)過任何測(cè)試。（2）視網(wǎng)膜技術(shù)激光照射眼球的背面可能會(huì)影響使用者健康可能會(huì)給使用者帶來健康的損壞，這需要進(jìn)一步的研究；（3）對(duì)于消費(fèi)者，視網(wǎng)膜設(shè)備相當(dāng)?shù)陌嘿F，很難進(jìn)一步降低成本，因此視網(wǎng)膜技術(shù)沒有吸引力。視網(wǎng)膜識(shí)別的缺點(diǎn)：虹膜識(shí)別技術(shù)虹膜的形成由遺傳基因決定，人體基因表達(dá)決定了虹膜的形態(tài)、生理、顏色和總的外觀。人發(fā)育到八個(gè)月左右，虹膜就基本上發(fā)育到了足夠尺寸，進(jìn)入了相對(duì)穩(wěn)定的時(shí)期。除非極少見的反常狀況、身體或精神上大的創(chuàng)傷才可能造成虹膜外觀上的改變外，虹膜形貌可以保持?jǐn)?shù)十年沒有多少變化。虹膜識(shí)別技術(shù)虹膜技術(shù)的優(yōu)點(diǎn)：（1）快捷方便（2）授權(quán)靈活：本系統(tǒng)根據(jù)管理的需要，可任意調(diào)整用戶權(quán)限，隨時(shí)了解用戶動(dòng)態(tài)，包括客戶身份、操作地點(diǎn)、功能及時(shí)間次序等，實(shí)現(xiàn)實(shí)時(shí)智能管理；（3）無法復(fù)制（4）配置靈活多樣（5）投入少、免維護(hù)：裝配本系統(tǒng)可以保留原來的鎖，但其機(jī)械運(yùn)動(dòng)件減少，且運(yùn)動(dòng)幅度小，門栓的壽命更長；系統(tǒng)免維護(hù)，并可隨時(shí)擴(kuò)充、升級(jí)，無須重新購置設(shè)備。長遠(yuǎn)來看，效益顯著，并可使管理檔次大大的提高虹膜技術(shù)的優(yōu)點(diǎn)：虹膜技術(shù)的缺點(diǎn)：（1）它沒有進(jìn)行過任何的測(cè)試，當(dāng)前的虹膜識(shí)別系統(tǒng)只是用統(tǒng)計(jì)學(xué)原理進(jìn)行小規(guī)模的試驗(yàn)，而沒有進(jìn)行過現(xiàn)實(shí)世界的唯一性認(rèn)證的試驗(yàn)；（2）很難將圖像獲取設(shè)備的尺寸小型化；（3）需要昂貴的攝像頭聚焦，一個(gè)這樣的攝像頭的最低價(jià)為7000美元；（4）鏡頭可能產(chǎn)生圖像畸變而使可靠性降低；（5）黑眼睛極難讀取；（6）需要較好光源.虹膜技術(shù)的缺點(diǎn)：4.2數(shù)字身份認(rèn)證4.2.1PKI數(shù)字證書的特點(diǎn)1．?dāng)?shù)字證書是PKI的核心工具2．PKI數(shù)字證書具備權(quán)威性3．PKI數(shù)字證書—網(wǎng)上身份證4．PKI數(shù)字證書擔(dān)保公鑰的真實(shí)性5．PKI數(shù)字證書是符合標(biāo)準(zhǔn)的電子證書4.2數(shù)字身份認(rèn)證4.2.2PKI數(shù)字證書分類PKI數(shù)字證書按其應(yīng)用角度、應(yīng)用安全等級(jí)和證書持有者實(shí)體角色可分為不同種類。1．應(yīng)用角度證書（1）服務(wù)器證書（2）電子郵件證書(3）企業(yè)高級(jí)證書2．安全等級(jí)證書（1）企業(yè)高級(jí)證書（2）企業(yè)級(jí)一般證書（3）普通個(gè)人證書4.2.2PKI數(shù)字證書分類3．證書持有者實(shí)體角色證書（1）CA根證書（2）運(yùn)行CA證書(3）CA管理者證書（4）RA管理員證書3．證書持有者實(shí)體角色證書4.2.3數(shù)字身份認(rèn)證工作原理1．公開密鑰完成對(duì)稱加密系統(tǒng)的密鑰交換，完成保密通信4.2.3數(shù)字身份認(rèn)證工作原理2．私鑰加密，公鑰解密完成雙方的身份驗(yàn)證2．私鑰加密，公鑰解密完成雙方的身份驗(yàn)證3．私鑰加密，公鑰解密實(shí)現(xiàn)數(shù)字簽名，完成發(fā)送方身份確認(rèn)3．私鑰加密，公鑰解密實(shí)現(xiàn)數(shù)字簽名，完成發(fā)送方身份確認(rèn)4.3.4PKI數(shù)字認(rèn)證生命周期1．證書申請(qǐng)與審核2．證書生成3．證書發(fā)布與使用4．證書與證書密鑰更新5．證書撒銷6．證書終止4.3.4PKI數(shù)字認(rèn)證生命周期1．證書申請(qǐng)與審核1．證書申請(qǐng)與審核2．證書生成3．證書發(fā)布與使用(1)電子簽發(fā)服務(wù)機(jī)構(gòu)對(duì)證書的發(fā)布(2)密鑰對(duì)和證書的使用(3)依賴方對(duì)公鑰和證書的使用①用簽發(fā)機(jī)構(gòu)的證書驗(yàn)證證書中的簽名，確認(rèn)該證書是簽發(fā)機(jī)構(gòu)簽發(fā)的，并且證書的內(nèi)容沒有被篡改。②檢驗(yàn)證書的有效期，確認(rèn)該證書在有效期之內(nèi)。③查詢證書狀態(tài)，確認(rèn)該證書沒有被注銷。2．證書生成4．證書與證書密鑰更新（1）證書更新方式①證書的有效期將要到期；②密鑰對(duì)的使用期將要到期；③因私鑰泄漏而吊銷證書后，就需要進(jìn)行證書更新；④其他。（2）證書更新請(qǐng)求的處理4．證書與證書密鑰更新5．證書撒銷（1）發(fā)生下列情形之一的，訂戶應(yīng)當(dāng)申請(qǐng)撒銷數(shù)字證書：①數(shù)字證書私鑰泄露；②數(shù)字證書中的信息發(fā)生重大變更；③認(rèn)為本人不能實(shí)際履行數(shù)字證書認(rèn)業(yè)務(wù)規(guī)則。（2）發(fā)生下列情形之一的，簽發(fā)機(jī)構(gòu)可以撒銷其簽發(fā)的數(shù)字證書：①申請(qǐng)實(shí)體申請(qǐng)撒銷數(shù)字證書；②申請(qǐng)實(shí)體提供的信息不真實(shí)；③申請(qǐng)實(shí)體沒有履行雙方合同規(guī)定的義務(wù)；④數(shù)字證書的安全性得不到保證；⑤法律、行政法規(guī)規(guī)定的其他情形。5．證書撒銷（3）撒銷請(qǐng)求的流程（3）撒銷請(qǐng)求的流程6．證書終止①證書有效期滿，申請(qǐng)實(shí)體不再延長證書使用期或者不再重新申請(qǐng)證書時(shí)，申請(qǐng)實(shí)體可以終止證書訂購；②在證書有效期內(nèi)，證書被撒銷后，即證書訂購結(jié)束。6．證書終止4.3數(shù)字身份認(rèn)證關(guān)鍵技術(shù)4.3.1安全套接字層SSL超文本傳輸協(xié)議（HTTP）以明文傳輸信息，這樣很容易造成信息泄漏或遭受攻擊，特別是在電子商務(wù)領(lǐng)域，使用HTTP更是危險(xiǎn)。為安全個(gè)人或金融信息的傳輸，NETSCAPE開發(fā)了安全套接字層（SSL）協(xié)議來管理信息的加密.用以保障在Internet上數(shù)據(jù)傳輸之安全.4.3數(shù)字身份認(rèn)證關(guān)鍵技術(shù)1．B/S架構(gòu)系統(tǒng)安全原理（1）身份認(rèn)證和訪問控制實(shí)現(xiàn)原理（2）信息機(jī)密性實(shí)現(xiàn)原理（3）信息抗抵賴性實(shí)現(xiàn)原理1．B/S架構(gòu)系統(tǒng)安全原理2．SSL完整應(yīng)用流程2．SSL完整應(yīng)用流程4.3.2電子簽章技術(shù)能夠在電子文件中識(shí)別雙方交易的真實(shí)身份，保證交易的安全性和真實(shí)性以及不可抵賴性，起到與手寫簽名或蓋章同等作用的簽名的電子技術(shù)手段，稱之為電子簽章。4.3.2電子簽章技術(shù)1．電子簽章系統(tǒng)通用框架結(jié)構(gòu)1．電子簽章系統(tǒng)通用框架結(jié)構(gòu)2