《密钥分配和用户认证》由会员分享，可在线阅读，更多相关《密钥分配和用户认证（24页珍藏版）》请在金锄头文库上搜索。
1、 第2部分 网络安全应用第4章 密钥分配和用户认证第5章 传输层安全第6章 无线网络安全第7章 电子邮件安全第8章 IP安全第4章 密钥分配和用户认证提纲4.1 基于对称加密的密钥分发4.2 基于非对称加密的密钥分发4.3 PKI4.1 基于对称加密的密钥分发A选定密钥K，并通过物理方法传递给B.第三方选定密钥K，并通过物理方法传递给A和B.如果A和B在之前使用过一个密钥，一方能够将使用就密钥加密的新密钥传递给另一方.如果A和B各自有一个到达第三方C的加密链路，C能够在加密链路上传递密钥给A和B.针对上述第四种方案，用到两种类型的密钥：会话密钥：一次通信过程中使用的密钥。永久密钥：用于分发会话
2、密钥的密钥。4.1 基于对称加密的密钥分发4.2 基于非对称加密的密钥分发uDiffie-Hellman密钥交换被广泛应用，但是它的缺陷是不能为两个通信者提供认证。u使用像RSA这样的非对称加密算法来分发密钥是不错的选择。4.2 基于非对称加密的密钥分发假设Alice和Bob准备进行如下秘密通信：uAlice: 我叫Alice，我的公开密钥是Ka，你选择一个会话密 钥K，用Ka加密后传送给我。uBob:使用Ka加密会话密钥K；uAlice：使用K加密传输信息；uBob:使用K加密传输信息；存在问题：u1、Bob怎么知道一定是Alice和他通信？（数字签名）u2、Bob如何知道Ka一定是Alic
3、e的公钥?（公钥证书）4.3 PKIuPKI（Public Key Infrastructure）含义为“公钥基 础设施”，PKI技术是利用公钥理论和技术建立的提供信 息安全服务的基础设施uPKI的基础技术包括加密、数字签名、数据完整性机制 、数字信封等。uPKI基础设施采用证书管理公钥，通过第三方的可信任 机构-认证中心，把用户的公钥和用户的其他标识信息捆 绑在一起，在Internet网上验证用户的身份。uPKI基础设施把公钥密码和对称密码结合起来，在 Internet网上实现密钥的自动管理，保证网上数据的安全 传输。u从广义上讲，所有提供公钥加密和数字签名服务的系 统，都可归结为PKI系统
4、的一部分。1、PKI提供的基本服务u认证 采用数字签名技术，签名作用于相应的数据之上 数据源认证服务 身份认证服务u完整性u保密性 用公钥分发随机密钥，然后用随机密钥对数据加密u不可否认 发送方和接受方的不可否认2、PKI之动机u如何提供数字签名功能u如何实现不可否认服务u公钥和身份如何建立联系为什么要相信这是某个人的公钥u公钥如何管理方案：引入证书(certificate)通过证书把公钥和身份关联起来3、PKI基本组成(至此) uPKI由以下几个基本部分组成： 端实体 公钥证书 证书作废列表（CRL） 策略管理机构（PMA） 认证机构（CA） 注册机构（RA） 存储库(Repository)
5、 1)、端实体（end entity）：一个用来表示终端用户 、设备或者任何其他的可以在公钥证书的主体域被 确定身份的实体的通用术语。 2)、公钥证书：由可信实体签名的电子记录，记录将 公钥和密钥（公私钥对）所有者的身份捆绑在一起 。公钥证书是PKI的基本部件。 3)、证书作废列表（CRL）：作废证书列单，通常 由同一个发证实体签名。当公钥的所有者丢失私钥 ，或者改换姓名时，需要将原有证书作废。 4)、策略管理机构（PMA）：监督证书策略的产生 和更新，管理PKI证书策略。3、PKI基本组成 3、PKI基本组成 5)、认证机构（CA）互联网定义：一个可信实体，发放和作废公钥证书，并对各作 废证
6、书列表签名。国防部定义：一个授权产生/签名/发放公钥证书的实体。CA全面负责证书发行和管理（即，注册进程控制，身份标识和认证进程，证书制造进程，证书公布和作废及密钥的更换）。CA还全面负责CA服务和CA运行。联邦政府定义：被一个或多个用户所信任发放和管理X.509公 钥证书和作废证书的机构。6)、注册机构（RA）互联网定义：一个可选PKI实体（与CA分开），不对数字证书或证书作废列单（CRL）签名，而负责记录和验证部分或所有有关信息（特别是主体的身份），这些信息用于CA发行证书和CRL以及证书管理中。RA在当地可设置分支机构LRA。PKIX用语：一个可选PKI实体与CA分开，RA的功能随情况而
7、不同，但是可以包括身份认证和用户名分配，密钥生成和密钥对归档，密码模件分发及作废报告管理。国防部定义：对CA负责当地用户身份（标识）识别的人。3、PKI基本组成 3、PKI基本组成 7)、存储库(Repository)：一个电子站点，存放证书和作废证书 列表（CRL），CA在用证书和作废证书。u证书(certificate)，有时候简称为cert。uPKI适用于异构环境中，所以证书的格式在所使用的范围内必须统一。u证书提供了一种在Internet上验证身份的方式，作用类似于驾照和身份证。是一个机构颁发给一个个体的证明，所以证书的权威性取决于该机构的权威性。u一个证书中，最重要的信息是个体名字、
8、个体的公钥、机构的签名、算法和用途。u最常用的证书格式为X.509 v3。4、PKI中的证书版本号1、2、3序列号证书唯一序列号，整数算法标识产生证书的签名算法标识符以及参数颁发者建立和签署证书的机构CA的名字有效期证书有效的起止日期主体名证书持有者的名字主体公钥签名算法、相关参数、证书持有者的公开密钥颁发者唯一标识符唯一标识CA主体唯一标识符唯一标识证书持有者扩展密钥和策略信息、主体和颁发者属性、证书路径等数字签名签名算法标识符、参数、EKCA( H ( 证书所有数据 ) )X.509证书格式：5、密钥的产生u用户自己生成密钥对，然后将公钥传送给CA。uCA替用户生成密钥对，然后将其传送给用
9、户，要求CA可信性高。6、PKI的运行1）署名用户向证明机构（CA）提出数字证书申请； 2）CA验明署名用户身份，并签发数字证书； 3）CA将证书公布到证书库中； 4）署名用户对电子信件数字签名作为发送认证，确保信件完整性，不可否认性，并发送给依赖方。 5）依赖方接收信件，用署名用户的公钥验证数字签名，并到证书库查明署名用户证书的状态和有效性； 6）证书库返回证书检查结果。证书机构 CA证书库署名用户依赖方3124657、CA信任关系 当一个安全个体看到另一个安全个体出示的证书时，他是否信任 此证书？信任难以度量，总是与风险联系在一起 可信CA如果一个个体假设CA能够建立并维持一个准确的“个体-公钥 属性”之间的绑定，则他可以信任该CA，该CA为可信CA 信任模型单个CA层次信任模型交叉认证信任模型（网状认证）CA层次结构 对于一个运行CA的大型权威机构而言，签发证书的工作不能仅 仅由一个CA来完成。 它可以建立一个CA层次结构。 根CA中间CACA交叉认证
