《电子商务安全》认证陈修权要点.ppt

CA的密钥——根密钥，是整个系统的核心机密。由硬件加密设备生成之后，就直接存放在其中。公钥，由CA系统软件导出，并生成自签名根证书。私钥，则在通常情况下无法从中取出（除了使用专门的硬件加密设备管理程序进行备份）。 根密钥只能由相应的CA系统软件使用。而CA系统软件所执行的所有与根密钥相关的加解密运算，都在专门的硬件加密设备内部完成，保证加解密运算，不出硬件加密设备。对根密钥对的每次使用，均为有相应的日志纪录。 对该硬件加密设备，应采取其他保护措施后安全存放，从而保证根密钥的安全性。 CA中心的建筑物物理安全标准 CA中心由七层组成。整个CA中心，必须设有完善的访问控制和录像监控系统。 第一、二层，为初级区域。刷卡进入。可以有采光窗户，装有玻璃破碎报警器。 第三层，为敏感区域。不应安装窗户。墙体为增加了钢板的高强度防护墙。 第四、五、六、七层，为高度敏感区域。 在线第四层，为数据中心，是所有网络设备和服务器的存放地点；进入需要同时使用身份识别卡和指纹鉴定，出门需要刷卡。 在线第五层，为屏蔽机房。加装高强度的钢制防盗门。所有线上的敏感操作，都在屏蔽室内进行。所有进出屏蔽室的线路，都经过滤波处理或者将电磁信号转换为光信号，将电磁泄漏减到最低。 在线第六层，为保密机柜。屏蔽机房内的机柜，为牢固地固定在室内的钢结构，不能被推倒或摇动。机柜加装足够强度锁具，不许有直径超过2厘米的孔。钥匙保管在特定的授权人手中，未经授权不能打开。 离线第四层，为密钥生成室，包含密钥生成所用的所有系统；是私钥生成和维护的地方。由于密钥生成需要极高的安全性，所以，不但需要同时使用身份识别卡和指纹鉴定，而且还需要双重访问控制。即必须同时有两个授权人员刷卡取指纹，才能进入密钥生成室；出门时需要两人同时刷卡离开；严禁单个授权人员的访问。 离线第五层，为密钥保管室，用来保护证书签发单元和其他相关的设备（如加密机）。进入密钥保管室，需要同时使用身份识别卡和指纹鉴定；而且是双重访问控制，出门时需要两人同时刷卡离开。 离线第六层为保险柜，保存单独的证书签发单元。保险柜要达到或超过标准重量，使它不能被移动。而且耐火性能保证500摄氏度的火烧一个小时后，柜内温度不会超过50摄氏度。保险柜的钥匙和密码由专人保管。 第七层为保险柜内的保险盒，它是由一个一个的上锁的盒子组成；是用来保存单独的证书签发单元。不打开保险柜，是打不开保险盒的。而且，保险盒要两把钥匙同时使用才能打开，公钥由安全负责人保管，每一个保险盒的私钥分别由专人保管。 密钥管理中心（KMC），是PKI的一个重要组成部分，负责为CA系统提供密钥的生成、保存、备份、更新、恢复、查询等密钥服务，以解决分布式企业应用环境中大规模密码技术应用所带来的密钥管理问题。 一个PKI应该包括： 认证机构(CA) 证书库 证书注销 密钥备份和恢复 自动密钥更新 密钥历史档案 交叉认证 支持不可否认 时间戳 客户端软件 PKI提供的基本服务 认证 采用数字签名技术，签名作用于相应的数据之上 被认证的数据 —— 数据源认证服务 用户发送的远程请求 —— 身份认证服务 远程设备生成的challenge信息 —— 身份认证 完整性 PKI采用了两种技术 数字签名：既可以是实体认证，也可以是数据完整性 MAC(消息认证码)：如DES-CBC-MAC或者HMAC-MD5 保密性 用公钥分发随机密钥，然后用随机密钥对数据加密 不可否认 发送方的不可否认 —— 数字签名 接受方的不可否认 —— 收条 + 数字签名 PKI的应用考虑 在提供前面四项服务的同时，还必须考虑 性能 尽量少用公钥加解密操作，在实用中，往往结合对称密码技术，避免对大量数据作加解密操作 除非需要数据来源认证才使用签名技术，否则就使用MAC或者HMAC实现数据完整性检验 在线和离线模型 签名的验证可以在离线情况下完成 用公钥实现保密性也可以在离线情况下完成 离线模式的问题：无法获得最新的证书注销信息 证书中所支持算法的通用性 在提供实际的服务之前，必须协商到一致的算法 个体命名 如何命名一个安全个体，取决于CA的命名登记管理工作 PKI基本组件 RA(Registration Authority) 把用户的身份和它的密钥绑定起来——建立信任关系 CA(Certificate Authority) 发证 证书库/目录 保存证书，供公开访问 证书的注销机制 由于各种原因，证书需要被注销 比如，私钥泄漏、密钥更换、证书到期、用户变化、CA不再给用户签发证书 PKI中注销的方法 CA维护