《毕业设计（论文）公钥基础设施理论及实现》由会员分享，可在线阅读，更多相关《毕业设计（论文）公钥基础设施理论及实现（52页珍藏版）》请在金锄头文库上搜索。
1、公钥基础设施理论与实现Theory and Implementation ofPublic Key Infrastructure目录摘要1ABSTRACT2第一章 绪论31.1 引言31.2 PKI概述31.3 背景与技术现状51.4 本文的结构和作者的工作6第二章 PKI密码理论基础72.1 秘密密钥密码72.2 公开密钥密码72.3 单向散列函数82.4 数字签名92.5 信息封装格式9第三章 证书与认证体系103.1引言103.2 X.509v3证书113.3 证书的撤消133.4 认证路径153.5 PKI实施体系结构17第四章 PKI框架、管理和操作204.1 PKI框架模型204.
2、2 PKI管理模块的功能214.3 PKI管理操作224.4 轻型目录访问协议LDAP254.5 在线证书状态协议OCSP30第五章 PKI系统模型的实现335.1 引言335.2 PKI实现的功能模块335.3 PKI实现模型的演示37第六章 PKI应用举例406.1 引言406.2 TLS&SSL协议406.3 为WWW访问建立SSL连接43第七章 结束语46致谢47附录1 术语及缩写词48附录2 参考文献4948- -公钥基础设施理论与实现摘要公钥密码体制已迅速成为电子商务和开放网络中其他同样需要安全和认证的应用的基础。公钥体制广泛使用迫切需要一个公钥基础设施来发布和管理公钥及相关的信息
3、。本文对公钥基础设施的理论、实现和应用进行研究。其可以分为两部分：1）公钥基础设施的理论在首先概述了X.509证书及证书废止表后，讨论了认证路径和PKI认证的体系结构，然后提出了PKI的框架结构，在此基础上，讨论了各实体交换PKI管理信息的管理协议，以及获得证书和证书状态的操作协议。2）公钥基础设施的实现和应用按功能模块讨论实现模型的框架，并建立CA的演示模型并实现以SSL协议为基础的安全Web访问。关键词：公钥基础设施；认证机关；X.509证书；轻型目录访问协议；安全套接字ABSTRACTPublic-Key cryptography is fast becoming the foundat
4、ion for online commerce and other applications that require security and authentication in an open network. The widespread use of public-key cryptography require a public-key infrastructure to publish and manage public-key values.In this thesis, we research some area about public-key infrastructure,
5、 include theory, implementation and application. It can be divided into two parts as the following :1. Theory about PKIFirst, the X.509 certificate and CRL standards are provided, and then the certification path and the PKI structure are analyzed. After a view of the PKI architectural model is built
6、, the management protocols and the operational protocols, in which different entities in the system exchange information needed for proper management of the PKI and obtain information such as certificates or certificate status, is studied.2. Implementation and application of PKIThe function modules
7、of the demo PKI is discussed, and the demo CA is founded. Finaly, according to the demo CA and the SSL protocol, a secure Web connection is established.Key Words :PKI , CA , X.509 Certificate , LDAP , SSL第一章 绪论1.1 引言革命性增长的Internet改变着世界，人们正试图把它当作代替信件、电话、报纸的一个包罗万象的通信载体。而正如一切事物宿命的辨证，Internet的开放设计，也给自身带
8、来了安全问题。对于涉及金钱或法律的敏感数据，Internet上的信息太容易被截获、窃取或伪造了。Internet用户所面临的安全问题可主要归纳为两个：秘密和鉴别。秘密代表信息传输过程中不被窃听或篡改；鉴别代表通信双方确认对方的身份，保证信息不被伪造和不可抵赖。密码学中传统的秘密密钥密码体制为信息提供了加密，并以共享的秘密密钥作为对方的身份鉴别。但该体制中秘密密钥是“生而知之”或通过“带外”途径传递，对于Internet这样的大场面，这显然是不现实的。全新的公开密钥密码体制的出现极好地满足了Internet的需要。公钥系统的用户都有一对相关的密钥，其中一个密钥加密的信息只能被相应的另一个密钥解密
9、。用户保存其中一个作为私钥，而把另一个公开发布为公钥。这样，人们可以用别人的公钥加密信息，而只有私钥持有者才能读懂该信息；还可以用自己的私钥签名信息，其他人利用公钥就可鉴别信息发送者的身份。前面提到的用公钥鉴别信息发送者的身份是通过证书实现的。根据X.509标准，证书是把私钥持有者身份描述和公钥绑定在一起的数字文件。一个值得信赖的公证机关用自己的私钥签名证书，并为私钥持有者身份担保。在Internet上使用公开密钥密码体制的应用越来越广泛，使得迫切需要建立一个可靠、有效的公开密钥（证书）发布途径，这就是公钥基础设施（PKI）。1.2 PKI概述我们可以给公钥基础设施(PKI)如下的定义：在公钥
10、密码理论基础上，产生、管理、存储、发布及撤消证书所涉及的一系列的硬件、软件、人、策略和操作。一个简单的PKI构架如图1-1。端用户向认证机关（CA）申请证书，CA确认签名后，将证书发布到数据仓库；欲使用证书的端用户到数据仓库中读取证书。PKI由三个核心部件构成：l 认证机关（CA）：一个发布证书的实体，可以是内部的服务器，也可以是提供认证功能的外部服务器。l 数据仓库：保存证书，密钥和证书撤消表（CRL）。通常它是基于支持轻型目录访问协议（LDAP）的目录服务。l 管理模块：CA、数据仓库和端用户间互操作的管理，通常由一个管理终端实现。除了以上核心部件，PKI可能还有一种独立的注册机关（RA）
11、。CA在签发证书前，往往需要验证申请人的身份和证书申请中用户信息的正确性。RA把这部分可能需要人工干预的功能从CA中分离了出来。PKI主要功能就是管理证书，具体包括：发布证书，撤消证书，产生和发布CRL，存储和恢复证书及CRL，密钥有效期的管理等。还有一些增强的功能包括时戳和认证路径的确认等。详见下表。功能描述实现用户注册收集用户信息并验证其身份CA或独立的RA发行证书对用户或管理者的申请发出响应，生成证书CA撤消证书产生和发布证书撤消表与CA关联的管理软件存储和恢复证书及CRL使授权用户方便地访问证书和CRL数据仓库通常是一个可由LDAP访问的、安全、拥有备份的目录服务基于策略的认证路径确认
12、认证链中引入并确认是否满足策略限制CA时戳在证书中放置时戳CA或专门的时戳服务器密钥有效期管理密钥的存储、更新和归档手工或专门的软件CA、RA这些PKI部件可以有多种软硬件实现。常见的是以C/S构架中的服务器出现。1.3 背景与技术现状PKI被广泛关注是在Internet电子商务开始兴起以后。鉴于Internet逐渐成为商务和通信的主要载体，商家开始对他们使用的Internet应用提出更高的安全性要求。PKI的产品和服务因适应了这些安全要求而得到广泛关注，公开密钥体制和X.509证书成为了各种应用的认证和授权实现工具。比如，传输层安全协议（TLS）通过证书和公钥加密来进行身份鉴别和协商建立安全
13、通信信道。这种广泛应用在Web浏览上的技术仅仅是个开始，相似的应用还有很多：Email上的S/MIME，群件系统，文件和代码的数字签名，VPN，SET等等。现实中使用两种方法使用PKI，一是利用PKI产品建立自己的PKI系统，代表性的产品有Entrust Technologies公司的Entrust/PKI；二是直接使用第三方CA服务，比如使用Verisign为用户提供的证书服务。另外，目前许多操作系统的开发商正在网络操作系统中集成PKI。NetWare5中Public Key Infrastructure Services（PKIS）为它的NDS网络提供数字证书和公钥加密技术；Microso
14、ft宣布将在Windows 2000中集成Certificate Server和Active Directory；Sun也宣布将在Solaris中集成PKI。尽管国外许多公司已开发出PKI产品，并得到应用，但PKI市场尚未发育成熟。事实上，过去的一年和未来的一、两年是PKI的高速成长期，大量的PKI支持协议标准将出台，建立在这些统一标准上，具有互操作性的产品也会很快出现。不光国外，国内许多有远见的公司也正开始开发PKI产品。技术方面，PKI的相关协议和标准有许多，它们分别由不同的玩家制定。其中包括：ISO/ITU制定的X.509定义了标准的数字证书格式，这是PKI最基础和最广泛的标准。RSA的
15、公钥体制标准（PKCS）定义了许多PKI的基本构件，覆盖从证书申请、更新到CRL发布。较为重要的有PKCS#7，PKCS#10，PKCS#12等。IETF的PKI工作组（PKIX）定义了丰富的可互操作的PKI相关协议或建议。它基于X.509，在PEM的等级结构上增加了灵活性。作为RFC或Internet草案提交的这些文档海纳百川地包括了PKI模型、证书和CRL结构，PKI管理和操作协议等等内容。PKIX的工作有一部分是建立在已有的标准之上，针对PKI相关部分，PKIX对这些标准进行了提炼。PKIX的草案正在Internet上如火如荼地讨论着，并不断有RFC文档出台。IETF还有其他的工作组，如LDAP，S/MIME，TLS，IPSEC等，对PKI提供着支持。它们有的定义了PKI的操作协议LDAP，有的定义TLS等PKI的应用协议，它们与PKIX一起设计着PKI的未来。除了Internet上的标准，各国政府也在开发自己的PKI。美国国家标准与技术局（NIST）的Federal PKI
