pki应用浅谈pki应用浅谈.doc

HUNAN UNIVERSITY PKI原理与技术论文 论文题目： PKI在校园网中的应用 学生姓名： 学生学号： 20110806222 专业班级： 信息安全1102班 学院名称： 信息科学与工程学院 指导老师： 张伟 2015 年 1 月 4 日 由于当前Internet的不安全性，今天的网络研究人员必须解决如何在这样一个历史遗留的不安全网络上安全地承载日益增多的高价值事务。PKI在理论上很好的解决了大型网络中的密钥管理问题，可以作为各种基本安全服务和上层安全产品的公共密钥服务平台，而且其引入的数字签名提供了对称密码学中难以获得的许多重要功能。 校园网实施PKI除了具有普遍性障碍外，还有一些自己特有的问题和需求：网络接入设备已经是PKI一Ready，但其PKI功能尚未被利用；校园网应用需要真正的安全单点登录方案；随着校园网应用系统的不断增多，记忆和管理这些不同系统中的/帐号/口令变成了用户的沉重负担，用户往往会趋向于选择简单易记的口令，甚至在不同系统中完全使用相同的口令，这大大降低了攻击者破解用户口令的代价。另外，访问任何应用都需要进行登录也降低了用户的工作效率。因此，对单点登录的需求应运而生。单点登录即希望用户侮次上网，只登录一次，就能进入各种应用，而且可以在不同应用中方便地切换。目前校园网采用的统一口令认证系统就是朝这个方向迈出的第一步，它使用户在很多校内应用中可以采用一致的帐号/口令，减轻了用户记忆、管理口令的负担，口令质量可以得到提高。 但是，这种统一口令认证系统仍然存在不足，尤其是：用户口令在有的环节可能出现明文传输或者被遭攻破/恶意的应用服务器泄漏，从而危及整个统一口令系统的安全；现在的单点登录必须首先登录一个特定的应用，然后才能自由切换到其它应用，很不灵活；统一口令系统只帮助应用系统解决了认证问题，在认证阶段之后，应用系统自身的安全性并未得到任何改善 这些潜在的问题和不足，都需要一种更为健全的安全单点登录方案来解决 。 校园网PKI还必须解决如何安全漫游的问题：校园网用户有移动办公和学习的需要，经常要从不同的电脑上网，应该允许用户无论在哪里用哪台电脑上网都可以安全方便地获得和使用自己的私钥和证书。从成本和安全性考虑，可以开发一套校园网私钥漫游下载系统，通过一个漫游客户端软件允许用户随时随地安全地从一个漫游服务器下载私钥和证书实现漫游，这个漫游客户端将在内存中为用户安全地存储和管理私钥，并通过操作系统级的接口向其它使用证书的应用软件提供证书和私钥服务，当用户离开时，它自动删除本机上存储的用户私钥和证书。 漫游系统中存在一个可以随时随地访问的中央服务器，它安全地存储了用户私钥和证书，以供漫游下载。整个系统中需要解决的问题包括：如何保证私钥在中央服务器存储、下载、上载(当用户更新密钥对时)、以及客户端解密和使用私钥过程的安全，对于PKI能否真正被校内用户所接受非常地关键。校园网PKI必须为个人用户提供在线的证书管理功能，校园网巨大的用户数量伴随着频繁的证书撤销/更新请求，使得管理员的工作相当繁重，因此需要能够允许用户在线进行证书申请、更新、撤销等工作，需要一个终端用户的在线证书管理系统以降低以管理员的工作负担。这一要求同时也决定了校园网颁发个人证书的CA应当在线，其安全性可以通过采用硬件安全模块(HSM)而不是软件方式，以及防火墙等措施来保护。 校园网PKI需要通过现有认证系统进行初始化。对于数万用户的校园网，采用人工验证的做法成本太高，而且效率也低，在牺牲一定安全性的前提下，可以利用校园网现有的认证系统通过网络对用户进行PKI初始认证。很多PKI的反对意见认为，PKI还不能提供良好的漫游特性，也不具有广泛的应用支持，因此帐号/口令认证方式不能废除。但实际两种认证方式不是非此即彼的关系，PKI不会废除帐号/口令，而帐号/口令也不应该排斥PKI，两者各有其最适合的应用场合和服务对象。帐号/口令在上述PKI初始化时就非常有用；另外在用户私钥丢失时，也可以通过帐号/口令来在线撤销证书；而PKI在需要高安全性的场合以及在单点登录方面就比帐号/口令更有优势。应用的需求是多样的，PKI和帐号/口令两种方式不会互斥，而是会长期共存，互为补充，才更符合实际需要。国外高校的PKI实践经验也证明的确是这样 。 个人证书还可以保证用户在Web站点安全单点登录、图书馆资源问题、正版软件下载、Web表单签名等方面保证个人的秘密信息不被攻击和纂改。服务器证书可保证给合法用户授权，保证网络资源被合理应用；安全时间戳与普通的数字签名一起可以提供不可否认特性；代码签名可保证数据的完整性不被破坏。 结合校园网中用户群体相对固定和己知的特点，可以提出一种基于PKI的集