第8章 公钥基础设施及其应用.ppt

[本章要点] PKI的基础技术是加密和认证；PKI的核心机构是认证中心（CA）；CA的核心元素是数字证书。 PKI的特性、基本组成、四个常用信任模型。 CA的五个主要功能和四大基本组成。 数字证书的基本类型、基本功能和管理过程等。 中国PKI体系建设现状、总体框架构想、基本目标和指导思想、当前建设的主要工作。 亚洲、美国、加拿大、欧洲PKI体系现状分析。 Windows 2000的PKI/CA服务。 公钥基础设施概述 1.1 PKI基本概念 1.2 PKI功能与特性 1.3 PKI的基本组成 1.4 PKI加密/签名原理 1.1 PKI基本概念 PKI是Public Key Infrastructure的缩写，意为公钥基础设施，是一个用非对称密码算法原理和技术实现的、具有通用性的安全基础设施。PKI利用数字证书标识密钥持有人的身份，通过对密钥的规范化管理，为组织机构建立和维护一个可信赖的系统环境，透明地为应用系统提供身份认证、数据保密性和完整性、抗抵赖等各种必要的安全保障，满足各种应用系统的安全需求。 PKI是一种遵循既定标准的密钥管理平台,能够为电子商务、电子政务、网上银行和网上证券等所有网络应用提供一整套安全基础平台，它是创建、颁发、管理、撤销公钥证书所涉及到的所有软件、硬件的集合体。 加密技术和认证技术是PKI的基础技术，PKI的核心机构是认证中心，数字证书是PKI最关键的产品和服务。 1.2 PKI功能与特性 PKI要求具有如下性能： ①可扩展性。能满足电子商务不断发展的需要。 ②方便用户。保证其安全和经济性。 ③支持与远程参与者通行无阻。 ④支持多政策。 ⑤透明性和易用性。 ⑥互操作性。 ⑦简单的风险管理。 ⑧支持多平台。 ⑨支持多应用。 1.3 PKI的基本组成 权威认证机构(CA) 数字证书库 密钥备份及恢复系统 证书作废系统 应用接口（API） 1.4 PKI加密/签名原理 一、PKI加密密钥对的使用原理 发送方欲将加密数据发送给接收方，首先要获取接收方的公开的公钥，并用此公钥加密要发送的数据，即可发送；接收方在收到数据后，只需使用自己的私钥即可将数据解密。此过程中，假如发送的数据被非法截获，由于私钥并未上网传输，非法用户将无法将数据解密，更无法对文件做任何修改，从而确保了文件的机密性和完整性。 二、PKI签名密钥对的使用原理 此过程与加密过程相对应。接收方收到数据后，使用私钥对其签名并通过网络传输给发送方，发送方用公钥解开签名，由于私钥具有唯一性，可证实此签名信息确实为由接收方发出。此过程中，任何人都没有私钥，因此无法伪造接收方的签名或对其作任何形式的篡改，从而达到数据真实性和不可抵赖性的要求。 PKI系统的常用信任模型 2.1 认证机构的严格层次结构模型 2.2 分布式信任结构模型 2.3 Web模型 2.4 以用户为中心的信任模型 信任模型主要阐述了以下几个问题： ● 一个PKI用户能够信任的证书是怎样被确定的？ ● 这种信任是怎样被建立的？ ● 在一定的环境下，这种信任如何被控制？ 2.1 认证机构的严格层次结构模型 ①根CA认证直接连接在它下面的CA。 ②每个CA都认证零个或多个直接连接在它下面的CA。 ③倒数第二层的CA认证终端实体。 2.2 分布式信任结构模型 与在PKI系统中的所有实体都信任唯一一个CA的严格层次结构相反，分布式信任结构把信任分散在两个或多个CA上。也就是说，A把CA1 作为他的信任锚，而B可以把CA2做为他的信任锚。因为这些CA都作为信任锚，因此相应的CA必须是整个PKI系统的一个子集所构成的严格层次结构的根CA（CA1是包括A在内的严格层次结构的根，CA2是包括B在内的严格层次结构的根）。 2.3 Web模型 在这种模型中，许多CA的公钥被预装在标准的浏览器上。这些公钥确定了一组浏览器用户最初信任的CA。 2.4 以用户为中心的信任模型 在以用户为中心的信任模型中，每个用户自己决定信任哪些证书。通常，用户的最初信任对象