网络安全 第九章 数字证书与公钥基础设施

网络安全 第九章 数字证书与公钥基础设施

PKI 的基本概念

公钥基础设施(Public Key Infrastructure,PKI)是一种用公钥密码理论和技术实施和提供安全服务的、具有普适性的安全基础设施。其目的是解决网上身份认证、电子信息的完整性和不可抵赖性等问题。主要任务就是提供数字身份认证

PKI 主要由证书机构(Certificate Authority,CA)、注册机构(Registration Authority,RA)、证书发布库、密钥备份和恢复、证书撤销和 PKI 应用接口组成。

  • 证书机构 CA
    • 负责发放和管理数字证书、提供网络身份认证、负责证书签发和管理
  • 注册机构 RA
    • 根据用户注册信息生成证书申请、证书撤销列表请求管理
  • 证书发布库
    • 用于集中存放 CA 颁发证书和撤销证书列表
    • LDAP 协议是创建高校的大规模 PKI 认证的关键技术
  • 密钥备份和恢复
    • 仅备份和恢复 CA 的公钥 / 私钥对,而非用户的
    • 若用户声明公钥 / 私钥对是用于数据加密的,则 CA 即可对该用户的私钥进行备份,以便丢失后恢复
  • 证书撤销
    • 周期性发布机制:证书撤销列表 CRL
    • 在线证书查询机制:在线证书状态协议 OCSP

PKI 的应用:认证服务、数据完整性服务、数据保密性服务、不可否认服务、公证服务。

数字证书

将用户身份 ID 与其所持有的公钥 PK 绑定,再由 CA 对该用户身份及对应公钥的组合 { ID || PK } 进行数字签名得到 S,然后将 { 签名 S || 身份 ID || 公钥 PK } 加以存储,即数字证书。

数字证书的一般结构:

数字证书的生成步骤:

  • 密钥生成
    • 用户自己生成公钥 / 私钥对
    • 注册机构为用户生成公钥 / 私钥对
  • 用户注册
    • 用户将公钥和证明材料发送给注册机构,申请证书
  • 验证信息
    • RA 验证用户材料,明确是否接受用户注册
    • 检验用户私钥的拥有证明 POP
      • RA 要求用户采用私钥对证书签名请求进行数字签名
      • RA 生成随机数挑战信息,用该用户公钥加密,并将加密后的挑战值发送给用户。若用户能用其私钥解密,则验证通过
  • 证书生成
    • RA 将用户申请数据传递给 CA
    • CA 验证后生成数字证书,发给用户,并在 CA 维护的证书目录中保留一份证书记录

数字证书的签名与认证

证书机构也呈分层结构:

Alice 与 Bob 通信,双方数字证书需要其上层 CA 的分别认证。

数字证书的撤销:

  • 脱机撤销状态检查
    • 证书撤销列表 CRL
      • 检查数字证书有没有过期
      • 确保该证书的序列号没有出现在 CA 发布的 CRL 中
      • 验证整个证书 / 签名机构链
  • 联机撤销状态检查
    • 联机证书验证协议 OCSP
      • 客户机请求 OCSP 服务器,服务器查询 X.500 目录,恢复证书有效性
    • 简单证书验证协议 SCVP

PKI 体系结构 PKIX 模型

PKIX(X.509) 是一个定义了公钥证书格式的标准。应用于 TLS/ SSL 等多种协议中。它提供注册、初始化、认证、密钥对恢复、密钥生成、密钥更新、交叉证书、撤销等多种服务。

PKI 实例

  • 基于 PKI 技术的 IPSec 协议,现在已经成为架构 VPN 的基础。 它可以为路由器之间、防火墙之间,或者路由器和防火墙之间提供经过加密和认证的通信。
  • 基于 PKI 技术的 SSL / TLS 是互连网中访问 WEB 服务器最重要的安全协议,SSL / TLS 都是利用 PKI 的数字证书来认证客户和服务器的身份的。
  • PKI 的市场需求非常巨大,基于 PKI 的应用包括许多内容,如 WWW 安全、电子邮件安全、电子数据交换、信用卡交易安全、 VPN。从行业应用看,电子商务、电子政务等方面都离不开 PKI 技术。

授权管理设施 PMI

PMI,权限管理基础设施或授权管理基础设施,是属性证书、属性权威、属性证书框架等部件的集合体,用来实现属性证书的产生、管理、存储、分发和撤销等功能。

  • 属性证书(AC)
    • 提供一个实体权限绑定的数据结构
  • 属性权威(AA)
    • 生成颁发 AC 的机构
  • 属性证书框架
    • 构建 PMI 的基础

授权技术的核心思想是以资源管理为核心,将对资源的访问控制权统一交由授权机构进行管理,即由资源的所有者来进行访问控制。

PKI 证明用户是谁,将身份信息保存于用户公钥证书中;PMI 证明这个用户有什么权限(属性),将用户的属性信息保存在授权证书中。

PMI 建立在 PKI 提供的可信的身份认证服务的基础上, 以 属性证书的形式实现授权的管理。PMI 体系和模型的核心内容是实现属性证书的有效管理,包括属性证书的产生、使用、吊销、失效等。

Comments

Your browser is out-of-date!

Update your browser to view this website correctly. Update my browser now

×