公钥基础设施PKI介绍-网络信息中心.ppt

公钥基础设施PKI介绍 信息安全 PKI理论基础 PKI体系结构 信息安全 随着电子邮件、电子商务、网上银行及资源发布等Internet和Intranet应用的发展，经常需要在开放网络中的不明身份实体之间进行通信，传输大量信息，其中包括一些敏感数据。互联网在给我们带来便利和利益的同时也带来了安全隐患，这些安全问题也阻碍着这些行业的发展。 如何在传输过程中保障这些敏感数据的安全对网络技术的近一步发展至关重要，这一课题己经成为当今计算机网络技术研究的一个热点。 信息安全的定义 信息安全的分类 信息安全服务 信息安全技术与PKI 信息安全的定义 信息安全是指保证信息数据的机密性、完整性和不可否认性，以保证主体对信息资源的控制。在网络环境下，它是网络安全研究中的一个组成部分，它的研究离不开网络安全。从广义上讲，网络环境下的信息安全就是指利用网络管理控制和技术措施，保证在一个网络环境里信息数据的机密性、完整性及可使用性。 分类 用户身份鉴别 信息传输的安全 信息存储的安全 网络传输信息内容的审计 传输的安全 传输的过程中如何防窃取、防纂改、防假冒等就涉及到传输安全。对于信息的传输安全，可以有很多的解决方法，如链路层加密方案、IP层加密方案、应用层加密解决方案等。 存储的安全 信息存储安全主要包括纯粹的数据信 息和各种功能信息两大类。在信息系统中 大多数信息存储在各种存储媒介中，例如 数据库和服务器系统。 信息安全服务 早期的信息安全是主要是通过物理和行政手段来实现的，或者是通过简单密码技术来保障。随着网络技术的发展，需要更加完善的系统来保护那些存储在计算机中文件和其他信息，包括网络中传输的数据信息。进入80年代，信息安全技术有了较大发展，计算机网络安全研究与发展只关注以下几种安全服务，这些服务包括了一个信息安全设施所需要的各种功能。 保密性Confidentiality: 确保在一个计算机系统中的信息和被传输的信息仅能被授权让读取的那方得到。 完整性Integrity: 确保仅是被授权的各方能够对计算机系统中有价值的内容和传输的信息进行权限范围之内的操作，这些操作包括修改、改变状态、删除、创建、时延或重放。 可用性Availability: 即保证信息和信息系统随时为授权者提供服务，而不出现非授权者滥用却对授权者拒绝服务的情况。 不可否认性non-repudiation: 要求无论发送方还是接收方都不能抵赖所进行的传输。 鉴别Authentication: 就是确认实体是它所声明的，用于对人或实体的身份进行鉴别，为身份的真实性提供保证，一般可通过认证机构CA和证书来实现。 信息安全技术与PKI 不存在单一的机制能够提供上述列出的儿种服务，网络环境下的安全服务需要依靠密码技术、身份认证技术、防火墙、防病毒、灾难备份、安全审计、入侵检测等安全机制综合应用起来实现。 在应用层上对信息进行加密的算法或对消息来源进行鉴别的协议已有多年的研究。但在传统的基于对称密钥的加密技术中，密钥的分发的问题一直没有得到很好的解决。并对电子商务、安全电子邮件、电子政务等新的安全应用，传统技术基于共享密钥的鉴别协议对通信主体的身份认证也没有很好的解决。 针对上述问题，世界各国经过多年的研究，初步形成一套完整的Internet安全解决方案，即目前被广泛采用的PKI技术。PKI技术采用证书管理公钥，通过第三方的可信任机构—认证中心CA（Certificate Authority）把用户的公钥和用户的其他标识信息(如名称、E-mail、身份证号等)捆绑在一起。通过Internet的CA机构，较好的解决了密钥分发和管理问题，并通过数字证书，对传输的数据进行加密和鉴别，保证了信息传输的机密性、真实性、完整性和不可否认性。 目前，PKI的安全认证体系得到了各界人士的普通关注。国外的一些大的网络安全公司也都推出了PKI的产品，如美国的VeriSign, IBM、加拿大的Entrust, SUN等，为用户之间的内部信息交互提供了安全保障。 PKI理论基础 密码学有关概念 加密技术理论 数字签名与数字信封 相关概念 密码学最早适用于军事通讯领域，他从诞生的那天起就决定了他的主要作用就是通讯加密。现代密码体制与传统密码体制的最大不同在于:原文的保密性不再依赖于算法本身，而是依赖密钥的保密性，算法