计算机信息安全专题信息加密技术及数字证书

《计算机信息安全专题信息加密技术及数字证书》由会员分享，可在线阅读，更多相关《计算机信息安全专题信息加密技术及数字证书（38页珍藏版）》请在金锄头文库上搜索。

1、作业l网络安全中的保密 性、完整性、不可抵赖性、 身份认证性分别用什么技术 解决?l对称加密与公钥加 密各有什么优缺点?l试述简单的数字签 名过程l试述PKI和数字证 书的含义1密码技术及数字证书信息安全讲座广东商学院信息学院胡玉平2主要内容l网络安全问题l密码技术l数字签名l数字证书3网络安全的四个问题l信息保密性您的 通信信息或隐私被别人偷看了 吗？l信息完整性其他 人发给您的消息或者您发给其 他人的消息被人篡改甚至伪造 了吗？l行为不可否认(抵 赖性)其他人会否认他给您 发送的信息内容吗？l身份认证性和您 通信的人是您所了解的真实的 那个人吗？4主要内容l网络安全问题l密码技术l数字签名

2、l数字证书5对称加密的原理 l明文P(plaintext):可以理解的信 息原文l加密E(Encryption):用某种方法伪装明文以隐藏真 正内容的过程l密文C(Ciphertext):经过加密后将明文变成不容 理解的信息l解密D(Decryption):将密文恢复成明文的过程l加密/解密 算法(Algorithm)用于加密/解密的方法(数学函 数)l密钥(Key):用于控制加密和解 密实现的字符串6加密密钥和解密密钥相同的密码称之为 对称加密。7对称加密的例子 -恺撒密码 l传说在公元前一世纪， 古罗马的恺撒大帝出于军事目的发明 了一种对称密码，我们称之为“恺撒 密码“。这种密码是针对26

3、 个英文字 母（不区分大小写）在字母表中的排 列位置来设计的，每个字母都有一个 固定的位置：8l对这些字母作这样一个 变换：将每个字母变换为与它位置间 隔为5的那个字母现在让我们来看看这将发生什么吧。假设恺撒在一次 战役中损失惨重，他需要告诉盟军自己的处境并请求支援 。现在他用“恺撒密码“加密一条消息，“IAMINDANGER“(意 思是“我处境危险“)，加密后将变成什么呢？根据字母转 换对照表，“IAMINDANGER“将被加密成“NFRNSIFSLJW“, 9现代对称加密标准l在国际上广泛采用的 而且被证明足够安全的对称密码 算法有DES，AES,IDEA， RC2,RC4,RC5等，当然

4、还有很 多其它好的算法。lDES(data encryption standard)20世纪 70年代由IBM公司研制的首个国 际加密标准,它打破了以往加密 算法研究的保密限制.lAES 2000年由美国 商务部推荐的高级加密标准(密 钥长128位,DES密钥长56位)10对称加密的缺点l由于对称密码用于加 密和解密的密钥是完全相同的， 因此，当您想和谁传递一个秘密 消息时，您不得不和他事先单独 找个地方一起协商好相互间的密 钥并非常小心地保管好它 .l如果和100个人通信 ，就要保管100个密钥，和1000 个人通信，就要保管1000个密 钥，这绝对不是一个好主意。这 个问题不解决，将极大影

5、响密码 技术在更大范围的推广使用。11公钥加密的诞生 l1976年，美国斯 坦福大学的研究生Diffie和 教授Hellman极富想象力和 创造力的设想，引来了密码 学思想上的一场深刻变革。 Diffie和Hellman是基于这 样一种考虑的，即用于加密 和解密的密钥是两个不同的 但又相互关联的密钥 12公钥加密带独特锁的保险箱l起初,人们把加解密 比喻成利用钥匙给坚固的保险箱 上锁开锁。这里“带锁的保险箱“ 好比是密码算法，可以用来保存 明文文件，“钥匙“好比是密钥， “将明文文件放入保险箱并用钥 匙锁上“就是加密过程，相反地 ，用钥匙将“锁有文件的保险箱“ 打开取出文件就是解密过程。整 个

6、过程如果没有钥匙，其他人即 使能看到上锁的保险箱（密文） ，也不可能取出该文件，从而达 到了保密的效果。 13公钥加密带独特锁的保险箱l一般来说，对一个普 通的锁，我们总是用相同的钥匙 进行上锁和开锁的 (对称加密)l假设有一位聪明绝顶 的锁匠打造了这样一种“独特的 锁”，之所以说独特，是因为这 种锁配备有两把不同的钥匙，而 且当我们用其中一把钥匙把锁锁 上时，必须而且只能用另外一把 钥匙才能打开。(公钥加密)14公钥加密带独特锁的保险箱lDiffie和Hellman的想法是， 我们每个人都只需要保管好其中一把钥匙 并保证它是秘密和安全的，而另一把钥匙 则需要大家慷慨解囊贡献出来，并放在一 个

7、任何人都能够看到，都能够取到的地方 ，也就是说另一把钥匙是需要公开的。l我们把上面所说的这种独特的 锁称为公钥密码（算法）（也可称为非对 称密码（算法），与锁配对的两把钥匙 称为密钥，其中公开的那把钥匙称为公钥 ，自己保管的那把钥匙称为私钥。用公钥 把锁锁上的过程称为公钥加密，用私钥把 锁打开的过程称为私钥解密。15公钥加密带独特锁的保险箱l假设Alice要给Bob发送如下一条 订购信息 , ，Alice希望能绝对保密，并只让 Bob能知道。为此，Alice可把订单放入“保险 箱“（这只是一个数字保险箱，而非真实保险 箱）中，并用Bob的公钥（Alice 总是能取到 ）给“保险箱“上锁（加密）

8、，然后通过 Internet将“保险箱“邮寄给Bob ,只有Bob才能 用他的私钥打开“保险箱“阅读订单，任何其他 人因为没有Bob的私钥而无法做到这一点。16两种加密算法的比较l对称密码保险箱的诞生和使 用由来已久，迄今为止，各式各样的对称密 码保险箱（算法）不断被设计、被使用，目 前在国际上广泛使用的对称密码保险箱（算 法）具有足够的安全强度，且加解密速度非 常快，其缺点是所有这些对称密码保险箱（ 算法）均无一例外地需要事先协商好密钥， 因此带来密钥管理上的困难；l公钥密码保险箱的思想自 1976年由Diffie和Hellman提出来以后，在两 年后的1978年，才正式由美国麻省理工大学

9、的三位知名教授Rivest、Shamir和Adleman 等人联合设计出来，密码学上称为RSA（三 人名字的第一个字母）公钥密码系统。公钥 密码用全新的方式解决了对称密码存在的密 钥管理难的问题，但其缺点是加密解密速度 较慢 17对称加密与公钥密码的结合使用 l当您要向对方传递一个 秘密消息的时候，您临时产生一个对 称密钥，用对称密码保险箱加密消息 文件，同时你用公钥密码保险箱加密 刚才产生的对称密钥（因为对称密钥 一般数据量很小，加密起来只需用很 短的时间），然后您将两个保险箱同 时传递给对方。对方可以首先用自己 的私钥打开公钥密码保险箱取出对称 密钥，然后用对称密钥打开对称密码 保险箱取出

10、消息文件阅读。这种传递 秘密的方式，既克服了对称密码需要 事先商量好密钥的问题，又弥补了公 钥密码直接加密消息速度慢的缺点。 同时，用公钥密码保险箱安全传递对 称密钥，就好比用保密信封邮寄钥匙 一样，因此我们形象地称之为“数字 信封“。 18加密技术能帮助我们解决了前面提到的 四个问题当中的第一个问题，即信息保密性 问题。采用加密技术，从此我们不用再担心 通信信息或隐私被他人偷看了！19主要内容l网络安全问题l密码技术l数字签名l数字证书20网络安全的四个问题l信息保密性您的 通信信息或隐私被别人偷看了 吗？l信息完整性其他 人发给您的消息或者您发给其 他人的消息被人篡改甚至伪造 了吗？l行为

11、不可否认性 其他人会否认他给您发送的信 息内容吗？l身份认证性和您 通信的人是您所了解的真实的 那个人吗？21简单的数字签名和验证过程假名Alice要发送一 个消息m给BoblAlice用其私钥对消 息m加密,密文s就是Alice对 消息m的签名lAlice将签名及消息 (m,s)发送给BoblBob用Alice的公开 密钥对s进行解密,得到M,如果 M=m,则确认s是m的有效签名 ,m是由Alice发来 的且没有被篡改.22数字签名的特性数字签名是对数 字消息进行签名,以防止消息的 冒名伪造或篡改l可信性:任何人都可 以验证签名的有效性.l不可伪造性:任何其 他人伪造合法签名者签名是很团 难

12、的l不可篡改性:一旦签 名的消息被篡改,任何人都可以 发现消息与签名之间的不一致性l不可抵赖性:签名者 事后不能否认自己的签名23l还记得我们前面提到的 四个问题吧？“数字签名“是不是能解 决其中的第二和第三两个问题呢？答 案是肯定的。l接下来我们只剩下第四 个问题需要解决，即我怎么样才能知 道和我通信的那个人就是我所了解的 真实的那个人呢？看起来数字签名也 帮我们解决了这个问题，因为我们总 能够用Alice的公钥来验证保险箱（尝 试将其打开）是不是Alice发出的。但 问题在于公钥只是一串随机的数字， 它并没有记录上Alice的名字，就像我 们钥匙上不会记录钥匙持有人的名字 一样。前面我们反

13、复提到，我们总是 能取到Alice的公钥，但究竟怎么取呢 ？我们怎么知道所取到的公钥就是 Alice的呢？换句话说，我们每个人该 怎样公布我们那把公开的钥匙，并将 钥匙和我们的名字捆绑在一起呢？24主要内容l网络安全问题l密码技术l数字签名l数字证书25网络信息时代的安全宣言-PKI及数字证书 l公钥基础设施，即 PKI,是通过使用公开密钥技术和 数字证书来提供网络信息字全服 务的基础设施，其最主要的任务 就是要确立可信赖的数字身份， 并管理数字证书及与数字证书相 对应的密钥.换句话说，我们的 公钥是要靠PKI来公布的，公钥 与身份的绑定也要靠PKI来完成 。l目前，国际上已逐渐 形成了一整套

14、成熟的PKI技术标 准，建设PKI这个公钥密码的基 础设施，就犹如20世纪80年代 建设网络的基础设施一样重要。26信任的原理lPKI的最基本原理是 互相信任。在互联网上的安全隐 患中，最难解决的就是“可信任 的关系“，也即“我如何才能够被 人信任？什么样的人我才可以相 信？“的问题，因为在互联网中 人们彼此不直接见面，完全处于 一种虚拟的境界，“在Internet 上，没人知道你是一条狗“，这 一“名言“就是对网民虚拟身份的 生动写照。PKI目前已经成为网 络信息安全的信任基础平台。27什么是认证中心（CA）？ l在PKI当中，认证中心（ Certificate Authority,CA）是

15、负责创建或 者证明身份的可信赖的权威机构。l认证中心的权威来自于国家 的授权。通常，国家授权一个第三方机构 负责创建数字身份并允许其在一定范围内 使用.l被授权的认证中心在一定范 围内颁发数字证书，人们通过在网络上彼 此出示数字证书来证明各自的身份 l目前我们国家的认证中心是 以省（直辖市）为区域来划分范围的。即 国家在每个省（或省级市）都授权成立一 个认证中心，由它们来负责各自省内数字 证书的颁发和管理，并维护各自省内的信 任环境。 28如图所示，Alice和Bob都信任认证权威CA,并都拥有CA颁 发的数字证书。当Alice和Bob要在网络上通信时，他们彼此向 对方出示数字证书，当双方各自

16、都验证对方的数字证书是有效 的之后,他们便认为彼此是值得信赖的。在这里，Alice 和Bob 之间的信任关系是通过第三方认证中心CA建立起来的，我们称 这种信任关系为第三方信任关系。29数字证书（Digital Certificate）?l数字证书是由权威机 构CA发行的一种权威性的文档 ，是网络环境中的一种身份证， 用于证明某一用户的身份以及公 开密钥的合法性。l数字证书绑定了公钥 及其持有者的真实身份，它类似 于现实生活中的居民身份证，所 不同的是数字证书不再是纸质的 证照，而是一段含有证书持有者 身份信息并经过认证中心审核签 发的电子数据，可以更加方便灵 活地运用在电子商务和电子政务 中。30l与身份证一样，数字证 书也需要发放到用户手中。但由于数 字证书不再是纸质的，而是一些电子 数据，因此需要一定的存储介质。目 前，我们采用一个叫电子智能钥匙的 硬件产品（类似于U盘）存储数字证 书。电子智能钥匙小巧美观，携带方 便，它保存用户的数字证书及私钥并 能保证其安全，用户使用时，只需将 电子智能钥匙插入电脑，就能方便地