第四章-數(shù)字證書

第4章數(shù)字證書電子商務(wù)安全與管理2引例——CFCA承諾：

數(shù)字證書被破解損失最高賠80萬

2024/3/17電子商務(wù)安全與管理3引例——CFCA承諾：

數(shù)字證書被破解損失最高賠80萬

數(shù)字證書到底是什么,可以讓中國(guó)金融認(rèn)證中心在網(wǎng)絡(luò)安全狀態(tài)不容樂觀的情況下作出如此承諾？中國(guó)金融認(rèn)證中心又是什么機(jī)構(gòu)呢？2024/3/17電子商務(wù)安全與管理44.1數(shù)字證書簡(jiǎn)介4.2數(shù)字證書的格式4.3公私密鑰對(duì)的管理4.4數(shù)字證書的申請(qǐng)與更新4.5數(shù)字證書的分發(fā)4.6數(shù)字證書的撤銷目錄2024/3/17肖茵茵-電子商務(wù)安全與管理54.1數(shù)字證書簡(jiǎn)介公鑰用戶：加密信息發(fā)送方和數(shù)字簽名驗(yàn)證方公鑰值無需保密，但需保證認(rèn)證性如何向公鑰用戶分發(fā)公鑰？公鑰的手工分發(fā)使用數(shù)字證書系統(tǒng)2024/3/17電子商務(wù)安全與管理6數(shù)字證書，是一個(gè)由使用數(shù)字證書的用戶群所公認(rèn)的和信任的權(quán)威機(jī)構(gòu)（即CA）簽署了其數(shù)字簽名的信息集合。2024/3/174.1數(shù)字證書簡(jiǎn)介數(shù)字證書主體公鑰用戶使用CA的公鑰驗(yàn)證數(shù)字證書規(guī)模效應(yīng)數(shù)字證書的分類思考：SSL和SET數(shù)字證書的不同？請(qǐng)舉例說明不同使用對(duì)象的數(shù)字證書的作用或典型應(yīng)用2024/3/17肖茵茵-電子商務(wù)安全與管理74.1數(shù)字證書簡(jiǎn)介利用數(shù)字證書實(shí)現(xiàn)信息安全2024/3/17電子商務(wù)安全與管理84.1數(shù)字證書簡(jiǎn)介發(fā)送方的工作利用數(shù)字證書實(shí)現(xiàn)信息安全2024/3/17電子商務(wù)安全與管理94.1數(shù)字證書簡(jiǎn)介接收方的工作電子商務(wù)安全與管理104.2數(shù)字證書的格式相關(guān)概念X.509數(shù)字證書格式數(shù)字證書擴(kuò)展標(biāo)準(zhǔn)2024/3/17電子商務(wù)安全與管理11相關(guān)概念X.400協(xié)議X.400：信息處理服務(wù)協(xié)議（MessageHandlingServiceProtocol），是由ITU-T和ISO定義用于電子郵件傳輸?shù)男畔⑻幚矸?wù)協(xié)議與另一種電子郵件協(xié)議-簡(jiǎn)單郵件傳輸協(xié)議SMTP相比，在X.400中，人們更難偽造電子郵件地址和內(nèi)容X.400普遍用于歐洲及加拿大等國(guó)家2024/3/174.2數(shù)字證書的格式肖茵茵-電子商務(wù)安全與管理12相關(guān)概念X.500協(xié)議X.500是用來查詢有關(guān)對(duì)象信息（如某個(gè)人、某個(gè)組織、某個(gè)設(shè)備等）的一種服務(wù)X.500是將局部目錄服務(wù)連接起來，構(gòu)成全球分布式的目錄服務(wù)系統(tǒng)的協(xié)議。X.500組織起來的數(shù)據(jù)就象一個(gè)很全的電話號(hào)碼簿，或者說一個(gè)X.500系統(tǒng)象是一個(gè)分門別類的圖書館。而某一機(jī)構(gòu)建立和維護(hù)的目錄數(shù)據(jù)庫(kù)只是全球名錄數(shù)據(jù)庫(kù)的一部分。2024/3/174.2數(shù)字證書的格式電子商務(wù)安全與管理13相關(guān)概念X.500協(xié)議目錄項(xiàng)屬性值目錄信息樹（DIT，directoryinformationtree）2024/3/174.2數(shù)字證書的格式特異名（DN，distinguishedname）電子商務(wù)安全與管理14相關(guān)概念對(duì)象注冊(cè)系統(tǒng)對(duì)象標(biāo)識(shí)符：一系列整數(shù)組成的唯一值由不同賦值機(jī)構(gòu)所組成的層次結(jié)構(gòu)最高層的賦值規(guī)則2024/3/174.2數(shù)字證書的格式肖茵茵-電子商務(wù)安全與管理15相關(guān)概念認(rèn)證路徑2024/3/174.2數(shù)字證書的格式建立一個(gè)給世界上所有用戶發(fā)放數(shù)字證書的認(rèn)證機(jī)構(gòu)是否實(shí)際？與用戶相關(guān)的證書由某一認(rèn)證機(jī)構(gòu)頒發(fā)，該用戶是否一定要直接擁有此認(rèn)證機(jī)構(gòu)的公鑰？電子商務(wù)中允許存在多個(gè)認(rèn)證機(jī)構(gòu)用戶能找到并使用由可信任的認(rèn)證機(jī)構(gòu)所發(fā)放的包含其它認(rèn)證機(jī)構(gòu)公鑰的證書電子商務(wù)安全與管理16相關(guān)概念認(rèn)證路徑交叉認(rèn)證數(shù)字證書：在認(rèn)證過程中用到的由一個(gè)認(rèn)證機(jī)構(gòu)對(duì)另一個(gè)認(rèn)證機(jī)構(gòu)簽發(fā)的的數(shù)字證書用戶只需信任某一根認(rèn)證機(jī)構(gòu)2024/3/174.2數(shù)字證書的格式肖茵茵-電子商務(wù)安全與管理17X.509數(shù)字證書格式4.2數(shù)字證書的格式2024/3/172024/3/17電子商務(wù)安全與管理184.2數(shù)字證書的格式思考：如果你是數(shù)字證書的設(shè)計(jì)者，會(huì)為證書設(shè)置哪些內(nèi)容？例：一個(gè)有效的數(shù)字證書2024/3/17電子商務(wù)安全與管理194.2數(shù)字證書的格式2024/3/17電子商務(wù)安全與管理204.2數(shù)字證書的格式2024/3/17電子商務(wù)安全與管理214.2數(shù)字證書的格式2024/3/17電子商務(wù)安全與管理224.2數(shù)字證書的格式2024/3/17電子商務(wù)安全與管理234.2數(shù)字證書的格式例：一個(gè)過期的數(shù)字證書電子商務(wù)安全與管理24X.509數(shù)字證書格式基本數(shù)字證書格式（版本1、版本2）4.2數(shù)字證書的格式2024/3/17電子商務(wù)安全與管理25X.509數(shù)字證書格式版本1、2的缺陷版本3通用擴(kuò)展機(jī)制：滿足數(shù)字證書在電子商務(wù)應(yīng)用中的更多要求使用各種命名系統(tǒng)確定數(shù)字證書主體和數(shù)字證書發(fā)放者的身份4.2數(shù)字證書的格式2024/3/17ISO/IECITUANSIX9電子商務(wù)安全與管理26數(shù)字證書擴(kuò)展標(biāo)準(zhǔn)密鑰信息擴(kuò)展機(jī)構(gòu)密鑰標(biāo)識(shí)符主體密鑰標(biāo)識(shí)符密鑰用途擴(kuò)展密鑰用途私鑰使用期政策信息擴(kuò)展數(shù)字證書政策政策映射4.2數(shù)字證書的格式2024/3/17私鑰使用期與證書有效期是否相同？電子商務(wù)安全與管理27數(shù)字證書擴(kuò)展標(biāo)準(zhǔn)主體及發(fā)放者屬性擴(kuò)展主體備用名發(fā)放者備用名主體目錄屬性認(rèn)證路徑約束擴(kuò)展基本約束命名約束政策約束禁止某一政策與數(shù)字證書撤消表（CRL）相關(guān)的擴(kuò)展4.2數(shù)字證書的格式2024/3/17支持各種命名系統(tǒng)電子商務(wù)安全與管理284.3數(shù)字證書中公私密鑰對(duì)的管理密鑰對(duì)的生成私鑰的保護(hù)密鑰對(duì)的更新2024/3/17電子商務(wù)安全與管理29密鑰對(duì)的生成由密鑰對(duì)持有者系統(tǒng)生成保障不可否認(rèn)性由密鑰管理中心系統(tǒng)生成生成高質(zhì)量的密鑰對(duì)便于集中管理需要處理私鑰分發(fā)問題4.3公私密鑰對(duì)的管理2024/3/17根據(jù)實(shí)際情況選擇密鑰對(duì)生成方法密鑰生成與密鑰認(rèn)證分開管理兩種密鑰對(duì)生成方法各有什么優(yōu)勢(shì)？電子商務(wù)安全與管理30私鑰的保護(hù)保護(hù)方法將私鑰存儲(chǔ)在不可寫的硬件模塊或標(biāo)記中，如智能卡中將私鑰存儲(chǔ)在計(jì)算機(jī)硬盤或其他數(shù)據(jù)存儲(chǔ)媒介上的加密數(shù)據(jù)文件中將私鑰存儲(chǔ)在數(shù)字證書服務(wù)器上，當(dāng)用戶通過了服務(wù)器的鑒定，并在服務(wù)器上使用了一段時(shí)間后，該服務(wù)器會(huì)將私鑰傳送給用戶4.3公私密鑰對(duì)的管理2024/3/17對(duì)私鑰的存取必須經(jīng)過身份驗(yàn)證電子商務(wù)安全與管理31密鑰對(duì)的更新對(duì)密鑰對(duì)定期、有規(guī)律的更新，可以有效減少密鑰泄露的危險(xiǎn)數(shù)字證書有效期與密鑰對(duì)有效期的關(guān)系與加密有關(guān)的密鑰對(duì)在數(shù)字證書有效期內(nèi)使用公鑰私鑰有效期很長(zhǎng)數(shù)字簽名密鑰對(duì)歷史有效性：不需要延長(zhǎng)數(shù)字證書有效期實(shí)時(shí)有效性：數(shù)字證書有效期>私鑰有效期認(rèn)證機(jī)構(gòu)數(shù)字簽名密鑰對(duì)自身數(shù)字證書的有效期>所發(fā)放數(shù)字證書的有效期4.3公私密鑰對(duì)的管理2024/3/17例電子商務(wù)安全與管理324.4數(shù)字證書的申請(qǐng)與更新4.4.1數(shù)字證書管理機(jī)構(gòu)作用4.4.2數(shù)字證書的申請(qǐng)注冊(cè)4.4.3數(shù)字證書的生成4.4.4數(shù)字證書的更新2024/3/17電子商務(wù)安全與管理334.4.1數(shù)字證書管理機(jī)構(gòu)的作用

認(rèn)證機(jī)構(gòu)CA，又稱認(rèn)證中心、證書授予機(jī)構(gòu)，是承擔(dān)網(wǎng)上認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書并能確認(rèn)用戶身份的受大家信任的第三方機(jī)構(gòu)

注冊(cè)機(jī)構(gòu)RA，本身并不發(fā)放數(shù)字證書，但RA可以確認(rèn)、批準(zhǔn)或拒絕數(shù)字證書申請(qǐng)人的申請(qǐng)，隨后由CA給經(jīng)過批準(zhǔn)的申請(qǐng)人發(fā)放數(shù)字證書4.4數(shù)字證書的申請(qǐng)與更新2024/3/17以下功能屬于哪個(gè)數(shù)字證書管理機(jī)構(gòu)的職責(zé)？2024/3/17電子商務(wù)安全與管理344.處理用戶數(shù)字證書的變更請(qǐng)求2.批準(zhǔn)或拒絕對(duì)用戶數(shù)字證書屬性的變更要求1.驗(yàn)證證書申請(qǐng)人的身份5.批準(zhǔn)或拒絕撤銷/暫停數(shù)字證書的請(qǐng)求6.處理用戶提出的撤銷請(qǐng)求3.生成數(shù)字證書注冊(cè)機(jī)構(gòu)RA認(rèn)證機(jī)構(gòu)CA4.4數(shù)字證書的申請(qǐng)與更新電子商務(wù)安全與管理354.4.2數(shù)字證書的申請(qǐng)注冊(cè)申請(qǐng)注冊(cè)方式自動(dòng)注冊(cè)在線注冊(cè)網(wǎng)下確認(rèn)身份確認(rèn)方法了解私有信息親自到場(chǎng)身份證明文件4.4數(shù)字證書的申請(qǐng)與更新2024/3/17電子商務(wù)安全與管理364.4.3數(shù)字證書的生成數(shù)字證書的生成步驟數(shù)字證書申請(qǐng)人將數(shù)字證書內(nèi)容信息提供給認(rèn)證機(jī)構(gòu)認(rèn)證機(jī)構(gòu)確認(rèn)信息的正確性由CA給數(shù)字證書加上數(shù)字簽名將數(shù)字證書的一個(gè)副本傳送給用戶將數(shù)字證書的一個(gè)副本傳送到數(shù)字證書數(shù)據(jù)庫(kù)，以便公布數(shù)字證書的一個(gè)副本可以由CA或其他實(shí)體存檔CA將數(shù)字證書生成及發(fā)放過程中的細(xì)節(jié)記錄在審計(jì)日志中4.4數(shù)字證書的申請(qǐng)與更新2024/3/17電子商務(wù)安全與管理374.4.4數(shù)字證書的更新

每份數(shù)字證書的生命周期都是有限的。在數(shù)字證書期滿后需要更換數(shù)字證書。另外，密鑰對(duì)也需要定期更換，而一旦更換了密鑰對(duì)，那就需要用新的數(shù)字證書。對(duì)用戶透明的更新需要用戶參與的更新4.4數(shù)字證書的申請(qǐng)與更新2024/3/17電子商務(wù)安全與管理384.5數(shù)字證書的分發(fā)4.5.1利用數(shù)字簽名分發(fā)數(shù)字證書以證書主體做主導(dǎo)缺陷？浪費(fèi)通信和存儲(chǔ)容量由簽名者保證所有必需的數(shù)字證書不切實(shí)際2024/3/17電子商務(wù)安全與管理394.5.2利用目錄服務(wù)分發(fā)數(shù)字證書以公鑰用戶為主導(dǎo)X.500目錄輕目錄存取協(xié)議LDAP2024/3/174.5數(shù)字證書的分發(fā)SET證書申請(qǐng)協(xié)議2024/3/17電子商務(wù)安全與管理40SET協(xié)議簇證書申請(qǐng)協(xié)議（SETCertificateRegistrationProtocols）支付協(xié)議（SETPurchasePhase）持卡人證書申請(qǐng)協(xié)議商家/支付網(wǎng)關(guān)證書申請(qǐng)協(xié)議SET持卡人證書申請(qǐng)協(xié)議主要步驟2024/3/17電子商務(wù)安全與管理41SET證書申請(qǐng)協(xié)議SET商家證書申請(qǐng)協(xié)議主要步驟2024/3/17電子商務(wù)安全與管理42SET證書申請(qǐng)協(xié)議電子商務(wù)安全與管理434.6數(shù)字證書的撤銷在某些情況下，不得不在數(shù)字證書期滿前終止該數(shù)字證書，這時(shí)，認(rèn)證機(jī)構(gòu)就要撤銷數(shù)字證書2024/3/17數(shù)字證書的實(shí)際使用期可能比原定有效期短電子商務(wù)安全與管理444.6.1請(qǐng)求撤銷數(shù)字證書4.6.2數(shù)字證書撤銷表的格式4.6.3撤銷數(shù)字證書的方法4.6.4X.509標(biāo)準(zhǔn)的數(shù)字證書撤銷表2024/3/174.6數(shù)字證書的撤銷電子商務(wù)安全與管理454.6.1請(qǐng)求撤消數(shù)字證書誰有權(quán)撤銷數(shù)字證書主要依賴于認(rèn)證機(jī)構(gòu)的政策數(shù)字證書撤銷表CRL（CertificateRevocationList）4.6數(shù)字證書的撤銷2024/3/17數(shù)字證書主體認(rèn)證機(jī)構(gòu)其他電子商務(wù)安全與管理464.6.2數(shù)字證書撤消表的格式4.6數(shù)字證書的撤銷2024/3/17電子商務(wù)安全與管理474.6.3撤消數(shù)字證書的方法定期公布數(shù)字證書撤消表廣播數(shù)字證書撤消表進(jìn)行在線狀態(tài)檢查發(fā)行短期數(shù)字證書從數(shù)字證書數(shù)據(jù)庫(kù)中刪除數(shù)字證書4.6數(shù)字證書的撤銷2024/3/17以下情況適合使用哪種撤銷數(shù)字證書的方法？2024/3/17電子商務(wù)安全與管理485.使用OCSP協(xié)議時(shí)2.密鑰泄密的緊急情況下3.數(shù)字證書數(shù)量很多時(shí)7.移動(dòng)無線系統(tǒng)中6.使用目錄服務(wù)分發(fā)數(shù)字證書時(shí)4.開放的全球網(wǎng)絡(luò)環(huán)境下B.廣播CRLC.進(jìn)行數(shù)字證書在線狀態(tài)檢查4.6數(shù)字證書的撤銷A.定期公布CRLD.發(fā)放短期數(shù)字證書E.從數(shù)字證書數(shù)據(jù)庫(kù)中刪除數(shù)字證書8.使用可信任的與認(rèn)證機(jī)構(gòu)相關(guān)聯(lián)的服務(wù)器時(shí)1.企業(yè)內(nèi)部網(wǎng)電子商務(wù)安全與管理494.6.3撤消數(shù)字證書的方法定期公布數(shù)字證書撤消表優(yōu)點(diǎn)：簡(jiǎn)單、經(jīng)濟(jì)缺點(diǎn)：撤銷數(shù)字證書的時(shí)間間隔受CRL發(fā)放周期限制廣播數(shù)字證書撤消表優(yōu)點(diǎn)：保證CRL的及時(shí)分發(fā)缺點(diǎn)：成本高（需要安全的通信路徑、通信量大）、缺乏統(tǒng)一標(biāo)準(zhǔn)4.6數(shù)字證書的撤銷2024/3/17電子商務(wù)安全與管理504.6.3撤消數(shù)字證書的方法進(jìn)行在線狀態(tài)檢查用戶使用數(shù)字證書時(shí)，能夠通過可靠服務(wù)器的在線事務(wù)處理程序獲得相應(yīng)數(shù)字證書的撤銷狀態(tài)信息優(yōu)點(diǎn)：完全實(shí)時(shí)響應(yīng)缺點(diǎn)：成本太高（需要具有一定安全性控制和加密處理能力、能夠?yàn)槊總€(gè)查詢事務(wù)加上數(shù)字簽名的在線可信任服務(wù)器）4.6數(shù)字證書的撤銷2024/3/17電子商務(wù)安全與管理514.6.3撤消數(shù)字證書的方法進(jìn)行在線狀態(tài)檢查在線數(shù)字證書狀態(tài)協(xié)議OCSP請(qǐng)求信息請(qǐng)求者標(biāo)識(shí)符要求查詢狀態(tài)的數(shù)字證書標(biāo)識(shí)符響應(yīng)信息響應(yīng)者標(biāo)識(shí)符產(chǎn)生響應(yīng)的時(shí)間數(shù)字證書標(biāo)識(shí)符狀態(tài)指示信息響應(yīng)有效期擴(kuò)展規(guī)定4.6數(shù)字證書的撤銷2024/3/17電子商務(wù)安全與管理524.6.3撤消數(shù)字證書的方法發(fā)行短期數(shù)字證書適用于資源受到嚴(yán)格限制的數(shù)字證書使用系統(tǒng)，如移動(dòng)無線系統(tǒng)從數(shù)字證書數(shù)據(jù)庫(kù)中刪除數(shù)字證書只適用于通過目錄服務(wù)分發(fā)數(shù)字證書的情況4.6數(shù)字證書的撤銷2024/3/17以下情況適合使用哪種撤銷數(shù)字證書的方法？2024/3/17電子商務(wù)安全與管理535.使用OCSP協(xié)議時(shí)2.密鑰泄密的緊急情況下3.數(shù)字證書數(shù)量很多時(shí)7.移動(dòng)無線系統(tǒng)中6.使用目錄服務(wù)分發(fā)數(shù)字證書時(shí)4.開放的全球網(wǎng)絡(luò)環(huán)境下B.廣播CRLC.進(jìn)行數(shù)字證書在線狀態(tài)檢查4.6數(shù)字證書的撤銷A.定期公布CRLD.發(fā)放短期數(shù)字證書E.從數(shù)字證書數(shù)據(jù)庫(kù)中刪除數(shù)字證書8.使用可信任的與認(rèn)證機(jī)構(gòu)相關(guān)聯(lián)的服務(wù)器時(shí)1.企業(yè)內(nèi)部網(wǎng)電子商務(wù)安全與管理544.6.4X.509標(biāo)準(zhǔn)的數(shù)字證書撤消表X.509數(shù)字證書撤消表格式4.6數(shù)字證書的撤銷2024/3/17電子商務(wù)安全與管理554.6.4X.509標(biāo)準(zhǔn)的數(shù)字證書撤消表X.509數(shù)字證書撤消表格式4.6數(shù)字證書的撤銷2024/3/17電子商務(wù)安全與管理564.6.4X.509標(biāo)準(zhǔn)的數(shù)字證書撤消表4.6數(shù)字證書的撤銷2024/3/17如何控制CRL規(guī)模？小結(jié)數(shù)字證書的定義與分類X.509數(shù)字證書的格式密鑰對(duì)管理數(shù)字證書的申請(qǐng)、更新、分發(fā)SET證書申請(qǐng)協(xié)議數(shù)字證書的撤銷2024/3/17電子商務(wù)安全與管理57重點(diǎn)CA和RA的作用與區(qū)別認(rèn)證路徑的概念CRL的含義與作用2024/3/17電子商務(wù)安全與管理58案例討論CFCA是什么？中國(guó)金融認(rèn)證中心CFCA（ChinaFinancialCertificationAuthority）是經(jīng)中國(guó)人民銀行和國(guó)家信息安全管理機(jī)構(gòu)批準(zhǔn)成立的國(guó)家級(jí)權(quán)威的安全認(rèn)證機(jī)構(gòu)，是重要的國(guó)家金融信息安全基礎(chǔ)設(shè)施之一，也是《中華人民共和國(guó)電子簽名法》頒布后，國(guó)內(nèi)首批獲得電子認(rèn)證服務(wù)許可的CA之一。2024/3/17電子商務(wù)安全與管理59CFCA是什么？2004年底，CFCA建成了“國(guó)家金融安全認(rèn)證系統(tǒng)”，開始向網(wǎng)上銀行、電子商務(wù)、電子政務(wù)提供信息安全解決方案、信息安全產(chǎn)品研發(fā)、信息安全評(píng)估、安全技術(shù)支持、聯(lián)合測(cè)試等全方位的信息安全服務(wù)服務(wù)。該系統(tǒng)的建設(shè)及應(yīng)用受到國(guó)家相關(guān)部門的高度重視，被列進(jìn)國(guó)家863計(jì)劃。系統(tǒng)先后通過了