8第4章PKI和PMI认证技术教程.ppt

常用信任模型 桥CA模型：桥CA模型实现了一个交叉认证中心，它的目的是提供交叉证书，而不是作为证书路径的根。对于各个异构模式的“根”节点来说，它是它们的同级。当一个企业与桥CA建立了交叉证书，那么，他就获得了与那些已经和桥CA交叉认证的企业进行信任路径构建的能力。 信任链模型：在这种模型中，一套可信任的根的公钥被提供给客户端系统，为了被成功地验证，证书一定要直接或间接地与这些可信任根相连接，浏览器中的证书就是这种应用。 在以上的信任模型中涉及到了一个重要概念：交叉认证。交叉认证是一种把以前无关的CA连接在一起的有用机制，从而使得在它们各自主体群体之间的安全成为可能。 4.4 基于PKI的服务 4.4.1 核心服务 4.4.2 支撑服务 基于PKI的服务 PKI作为安全基础设施，提供常用PKI功能的可复用函数，为不同的用户实体提供多种安全服务，其中分为核心服务和支撑服务。 4.4.1 核心服务 核心服务能让实体证明它们就是其所申明的身份，保证重要数据没有被任何方式的修改，确信发送的数据只能由接收方读懂。 （1）认证：认证即为身份识别与鉴别，即确认实体是其所申明的实体，鉴别其身份的真伪。鉴别有两种：其一是实体鉴别，实体身份通过认证后，可获得某些操作或通信的权限；其二是数据来源鉴别，它是鉴定某个指定的数据是否来源于某个特定的实体，是为了确定被鉴别的实体与一些特定数据有着不可分割的联系。 4.4.1 核心服务 （2）完整性：完整性就是确认数据没有被修改，即数据无论是在传输还是在存储过程中经过检查没有被修改。采用数据签名技术，既可以提供实体认证，也可以保证被签名数据的完整性。完整性服务也可以采用消息认证码，即报文校验码MAC。 （3）保密性：又称机密性服务，就是确保数据的秘密。PKI的机密性服务是一个框架结构，通过它可以完成算法协商和密钥交换，而且对参与通信的实体是完全透明的。 4.4.2 支撑服务 （1）不可否认性服务：指从技术上用于保证实体对它们的行为的诚实性。最受关注的是对数据来源的不可否认，即用户不能否认敏感消息或文件不是来源于它；以及接收后的不可否认性，即用户不能否认它已接收到了敏感信息或文件。此外，还包括传输的不可否认性、创建的不可否认性以及同意的不可否认性等。 4.4.2 支撑服务 （2）安全时间戳服务：用来证明一组数据在某个特定时间是否存在，它使用核心PKI服务中的认证和完整性。一份文档上的时间戳涉及到对时间和文档的Hash值的数字签名，权威的签名提供了数据的真实性和完整性。 （3）公证服务：PKI中运行的公证服务是“数据认证”含义。也就是说，CA机构中的公证人证明数据是有效的或正确的，而“正确的”取决于数据被验证的方式。 4.5 PKI与PMI的关系 4.5.1 授权管理 4.5.2 属性证书 4.5.3 PMI结构模型 4.5.1 授权管理 PMI即是特权管理基础设施，PMI授权技术主要解决有效授权问题。 PMI授权技术提供了一种在分布式计算环境中的访问控制功能，将访问控制机制从具体应用系统中分离出来，使得访问控制机制和应用系统之间能灵活而方便的结合。 PMI授权技术的核心思想是以资源管理为核心，将对资源的访问控制权统一交由授权机构进行管理，即由资源的所有者来进行访问控制。 PKI与PMI的关系 同PKI信任技术相比，两者的区别： PKI证明用户是谁，并将用户的身份信息保存在用户的公钥证书中；而PMI证明这个用户有什么权限，什么属性，能干什么，并将用户的属性信息保存在授权证书（又称授权证书）中。 PMI的最终目标就是提供一种有效的体系结构来管理用户的属性。这包括两个方面的含义： 首先， PMI保证用户获取他们有权获取的信息、做他们有权限进行的操作； 其次，PMI应能提供跨应用、跨系统、跨企业、跨安全域的用户属性的管理和交互手段。 PKI与PMI的关系（续） PMI建立在PKI提供的可信的身份认证服务的基础上， 以属性证书的形式实现授权的管理。PMI体系和模型的核心内容是实现属性证书的有效管理，包括属性证书的产生、使用、吊销、失效等。 在一个应用系统中，授权必须以身份认证为基础，没有经过身份认证的访问控制是没有任何意义的。 PKI与PMI的关系（续） PKI 本身支持各种身份认证的手段如基于口令的身份认证、公钥证书的身份认证机制等等。在PKI已成为信息安全基础设施的情况下，公钥证书为用户提供了强鉴别机制，同样作为基础设施的PMI完全可以而且也应该与PKI有效的结合使用，属性权威可以在属性证书中绑定用户身份证书的有效信息实现PMI与PKI 的关联，使PKI/PMI体系的基础设施为信息安全建设提供一个通用的安全平台。