第11章電子證書(shū)服務(wù)2.ppt

1、2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,1,書(shū)名：Windows Server 2003組網(wǎng)技術(shù) 與實(shí)訓(xùn) 主講： 平寒,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,2,實(shí)驗(yàn)中的問(wèn)題證書(shū)服務(wù)的安裝,1、申請(qǐng)證書(shū)的兩種方法 2、安裝證書(shū)服務(wù)后不能使用Web方式訪問(wèn) 3、證書(shū)服務(wù)中的兩個(gè)重要組件： “證書(shū)頒發(fā)機(jī)構(gòu)”組件 、“證書(shū)”組件 4、證書(shū)的備份和還原 5、證書(shū)的導(dǎo)入和導(dǎo)出 6、證書(shū)的吊銷(xiāo),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,3,第11章 電子證書(shū)服務(wù),2020/8/11,Wi

2、ndows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,4,本次課要點(diǎn),一、數(shù)字證書(shū)的必要性 二、數(shù)字證書(shū)的現(xiàn)實(shí)應(yīng)用 三、簽名與加密 四、案例,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,5,一、數(shù)字證書(shū)的必要性,進(jìn)入互聯(lián)網(wǎng)角色之后，許多企業(yè)會(huì)經(jīng)常遇到這樣的困惑：內(nèi)部管理時(shí)怎樣在網(wǎng)上確認(rèn)員工的身份？網(wǎng)上交易時(shí)對(duì)方發(fā)出的信息是否真實(shí)可信？網(wǎng)上納稅時(shí)怎樣有效的表明企業(yè)的身份？等等,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,6,網(wǎng)絡(luò)中的主要安全隱患,惡意中斷系統(tǒng)-破壞系統(tǒng)的有效性 竊聽(tīng)信息-破壞系統(tǒng)的機(jī)密性 篡改信息-破壞系統(tǒng)

3、的完整性 假冒他人身份 對(duì)貿(mào)易行為進(jìn)行抵賴(lài),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,7,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,8,這或許是迄今為止對(duì)互聯(lián)網(wǎng)最精辟的概括和最流行的一句話，從另一個(gè)側(cè)面來(lái)理解說(shuō)明了在互聯(lián)網(wǎng)上很難識(shí)別真實(shí)身份，這就給犯罪分子提供了可乘之機(jī)，使得現(xiàn)在的互聯(lián)網(wǎng)是越來(lái)越不安全，但是人們又越來(lái)越離不開(kāi)互聯(lián)網(wǎng)了，怎么辦？如何解決用戶信息安全問(wèn)題？,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,9,解決方案,解決上述網(wǎng)絡(luò)中信息安全問(wèn)題的唯一可靠的解決方案是被多年來(lái)的

4、實(shí)踐證明最有效的基于PKI( 公鑰基礎(chǔ)設(shè)施 ) 的數(shù)字證書(shū)解決方案。,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,10,二、數(shù)字證書(shū)的現(xiàn)實(shí)應(yīng)用,認(rèn)證中心的基礎(chǔ)設(shè)施 數(shù)字證書(shū)的用途 數(shù)字證書(shū)的現(xiàn)實(shí)應(yīng)用 數(shù)字證書(shū)的存放形式 數(shù)字證書(shū)的分類(lèi) 數(shù)字證書(shū)的簽發(fā),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,11,認(rèn)證中心的基礎(chǔ)設(shè)置,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,12,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,13,證書(shū)的用途,證書(shū)提供下述功能： 服

5、務(wù)器身份驗(yàn)證利用證書(shū)為網(wǎng)絡(luò)中的客戶機(jī)鑒別服務(wù)器 客戶機(jī)身份驗(yàn)證利用證書(shū)為服務(wù)器提供對(duì)客戶機(jī)的認(rèn)證（如：遠(yuǎn)程訪問(wèn)功能和智能卡身份驗(yàn)證） 程序代碼簽署(數(shù)字簽名)利用與密鑰對(duì)有關(guān)的證書(shū)簽署活動(dòng)內(nèi)容 加密E-mail安全電子郵件，利用與密鑰對(duì)有關(guān)的證書(shū)簽署電子郵件消息（用于加密信函）。 EFS（加密文件系統(tǒng)）利用與密鑰對(duì)有關(guān)的證書(shū)，加密和解密用于還原恢復(fù)加密數(shù)據(jù)的對(duì)稱(chēng)密鑰。 IPSec利用與密鑰對(duì)有關(guān)的證書(shū)，加密基于IP層的傳輸。,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,14,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,15

6、,數(shù)字證書(shū)的現(xiàn)實(shí)應(yīng)用,實(shí)現(xiàn)Web站點(diǎn)的安全連接 數(shù)字簽名或加密電子郵件 認(rèn)證VPN服務(wù) 恢復(fù)加密文件系統(tǒng) 加密PDF文檔 實(shí)現(xiàn)網(wǎng)絡(luò)游戲的信息安全 數(shù)字簽名網(wǎng)上銀行 數(shù)字簽名網(wǎng)絡(luò)交易 等等,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,16,數(shù)字證書(shū)的存放形式,、存儲(chǔ)于硬盤(pán)上 加解密速度快，使用方便 、備份在軟盤(pán)上 方便備份，防止丟失 、IC卡，CPU卡 保密性好，不易被冒充 4、USB接口智能棒 兼容性好，攜帶方便 5、加密卡，加密機(jī) 機(jī)密級(jí)別高 對(duì)大量數(shù)據(jù)處理速度快,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,17,電子鑰

7、匙 ekey,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,18,數(shù)字證書(shū)的分類(lèi),數(shù)字證書(shū)按用途可分為： 簽名證書(shū) 、加密證書(shū) 安全性體現(xiàn)在通過(guò)密碼技術(shù)，建立嚴(yán)密的身份認(rèn)證系統(tǒng)和加解密的保密系統(tǒng)，能夠保證： 信息除發(fā)送方和接收方外不被他人竊取 信息在傳輸過(guò)程中不被篡改 接收方能通過(guò)數(shù)字證書(shū)確認(rèn)發(fā)送方身份 發(fā)送方對(duì)于自己發(fā)送的信息不能抵賴(lài),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,19,數(shù)字證書(shū)的簽發(fā),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,20,三、簽名證書(shū)和加密證書(shū),2020/8/

8、11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,21,公共密鑰機(jī)密技術(shù),加密的目的：以某種方式將數(shù)據(jù)變得難懂，使得只有預(yù)期用戶能夠閱讀它。 加密：通過(guò)數(shù)學(xué)運(yùn)算將明文和加密密鑰結(jié)合起來(lái)，產(chǎn)生密文。 解密：通過(guò)數(shù)學(xué)運(yùn)算將密文和解密密鑰結(jié)合起來(lái)，產(chǎn)生明文。 公共密鑰加密技術(shù)用到了兩個(gè)密鑰：加密密鑰和解密密鑰 密鑰（key）：一個(gè)隨機(jī)字符串與某種算法的聯(lián)合使用。,公共密鑰加密技術(shù),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,22,公共密鑰加密技術(shù),系統(tǒng)使用一對(duì)密鑰來(lái)完成對(duì)數(shù)據(jù)的加密解密： 公共密鑰（公鑰）：是自由發(fā)布的，可以公開(kāi)，以供他人向自己傳輸

9、信息時(shí)加密使用。 私用密鑰（私鑰）：在系統(tǒng)中保存，從不發(fā)布，只有擁有對(duì)應(yīng)私鑰的本人才能解密，從而保證數(shù)據(jù)傳輸?shù)谋Ｃ苄浴?2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,23,公共密鑰加密技術(shù),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,24,公共密鑰加密技術(shù),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,25,公共密鑰身份驗(yàn)證（使用密鑰對(duì)）,與公共密鑰加密技術(shù)類(lèi)似，公共密鑰身份驗(yàn)證也使用了密鑰對(duì)。 但它不利用發(fā)送者的私用密鑰解密消息，而是利用發(fā)送者的公共密鑰鑒別和確認(rèn)該消息的發(fā)送者的有效性。這

10、一私用密鑰被稱(chēng)為數(shù)字簽名。,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,26,公共密鑰身份驗(yàn)證,數(shù)字簽名 說(shuō)明：加密技術(shù)可以提供安全性和機(jī)密性，而數(shù)字簽名可以確認(rèn)信息的真實(shí)性和來(lái)源。 數(shù)字簽名：一種由消息、文件或者其他數(shù)字化編碼信息的創(chuàng)建者將其身份標(biāo)識(shí)和這些消息利用私鑰約束在一起的方法。 數(shù)字簽名用于發(fā)送者的不可抵賴(lài)性，因?yàn)樗借€只有自己有，所以當(dāng)接收者用你的公鑰解密后就可以證明是你無(wú)疑。 數(shù)字簽名本身就是數(shù)據(jù)，因此它們可以與受保護(hù)的原數(shù)據(jù)一起進(jìn)行傳輸，供接收者驗(yàn)證。,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,27,公共密

11、鑰身份驗(yàn)證,數(shù)字簽名使用私鑰對(duì)簽名數(shù)據(jù)進(jìn)行加密，可以確保達(dá)到下述目的： 只有擁有私鑰的人才能進(jìn)行數(shù)字簽名。 任何人都可以通過(guò)相應(yīng)的公鑰鑒別數(shù)字簽名的真?zhèn)巍?如果對(duì)簽名后進(jìn)行了數(shù)據(jù)的任何修改，數(shù)字簽名將失效。,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,28,公共密鑰身份驗(yàn)證,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,29,公共密鑰身份驗(yàn)證,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,30,四、商用CA免費(fèi)案例,1、客戶端個(gè)人證書(shū)的在線申請(qǐng) 2、實(shí)用某個(gè)客戶端登陸演示系統(tǒng),2020/8/

12、11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,31,1、客戶端個(gè)人證書(shū)的在線申請(qǐng),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,32,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,33,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,34,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,35,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,36,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民

13、郵電出版社,37,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,38,2、實(shí)用某個(gè)客戶端登陸演示系統(tǒng),2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,39,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,40,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,41,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,42,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,43,2020/8/11,Windows

14、 Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,44,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,45,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,46,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,47,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,48,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,49,五、案例分析,案例一、EFS加密文件恢復(fù) 案例二、簽名電子郵件 案例三、Web站點(diǎn)的SSL安全連接,2020/8/11

15、,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,50,案例一、EFS加密文件恢復(fù),案例： Windows系統(tǒng)下，某用戶利用EFS加密文件系統(tǒng)加密Windows系統(tǒng)下的文件，若該用戶丟失，或重做系統(tǒng)，加密的文件將不能夠被訪問(wèn)。請(qǐng)問(wèn)，如何避免或解決該問(wèn)題？,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,51,案例一、EFS加密文件恢復(fù),實(shí)驗(yàn)設(shè)計(jì)： 步驟一、jw登錄，加密自己的文件，然后將自己的私鑰導(dǎo)出 步驟二、將jw用戶刪除掉，查看能否訪問(wèn)已經(jīng)加密的文件 步驟三、重建jw用戶并登陸，檢驗(yàn)?zāi)芊裨L問(wèn)已經(jīng)加密的文件 步驟四、在使用新建的jw用戶登陸的情況下

16、，將步驟一導(dǎo)出的jw私鑰導(dǎo)入，然后訪問(wèn)已經(jīng)加密的文件，檢驗(yàn)?zāi)芊裨L問(wèn)成功,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,52,案例二、簽名電子郵件,案例要求： 對(duì)某用戶的電子郵件執(zhí)行數(shù)字簽名和加密，使該用戶的電子郵件更安全且達(dá)到不可抵賴(lài)的目的。,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,53,案例三、Web站點(diǎn)的SSL安全連接,案例要求： 通過(guò)證書(shū)服務(wù)，使Web站點(diǎn)訪問(wèn)更安全。,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,54,小結(jié),數(shù)字證書(shū)的必要性 數(shù)字證書(shū)的應(yīng)用 數(shù)字的案例,2020/

17、8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,55,習(xí)題,一、填空題： 數(shù)字簽名通常利用公鑰加密方法實(shí)現(xiàn)，其中發(fā)送者簽名使用的密鑰為發(fā)送者的_。 二、簡(jiǎn)答題： 1對(duì)稱(chēng)密鑰和非對(duì)稱(chēng)密鑰的特點(diǎn)各是什么？ 2什么是電子證書(shū)？ 3證書(shū)的用途是什么？ 4企業(yè)根CA和獨(dú)立根CA有什么不同？ 5安裝Windows 2000 Server認(rèn)證服務(wù)的核心步驟是什么? 6證書(shū)與 IIS結(jié)合實(shí)現(xiàn) Web站點(diǎn)的安全性的核心步驟是什么?,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,56,實(shí)訓(xùn)項(xiàng)目,基本實(shí)驗(yàn)： 根CA的部署（企業(yè)根CA獨(dú)立根CA） CA的備份與還

18、原 證書(shū)的頒發(fā)、吊銷(xiāo)、恢復(fù) 項(xiàng)目一、Web站點(diǎn)的SSL安全連接 項(xiàng)目二、EFS加密文件恢復(fù) 項(xiàng)目三、簽名電子郵件 項(xiàng)目四、VPN的實(shí)現(xiàn)（思考題）,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,57,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,58,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,59,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,60,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,61,2020/8/11,Windows Server網(wǎng)絡(luò)技術(shù)與實(shí)訓(xùn) 人民郵電出版社,62,2020/8/11,Windo