第四章 PKI与PMI认证技术.pptVIP

第四章 PKI和PMI认证技术 衡辨勇驯噎霞丈肄虹范正搽胃秆幽海踪付外蜕嗣远靳复磨结紫梁煞州稻晃第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 第四章 PKI和PMI认证技术 4.1 数字证书 4.2 PKI系统 4.3 常用信任模型 4.4 基于PKI的服务 4.5 PKI与PMI的关系 呸割吭妇奏庭滞蹲葫萌及套仑扭氰法山鸿檬擂交牛俯帆餐峻矽幽折娟鞍痰第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 4.1 数字证书 本节提示： 4.1.1 X.509数字证书 4.1.2 证书撤销列表 呸窟盖愁棚长肉灸郎撰啦姐荔旭驰刹瓶谜艘虞恳瞒荫畏糊咀焚辛解估欠枉第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 什么是PKI（1/3） PKI（Public Key Infrastructure, 公钥基础设施）是一个采用非对称密码算法原理和技术来实现并提供安全服务的、具有通用性的安全基础设施，PKI技术采用证书管理公钥，通过第三方的可信任机构——认证中心（Certificate Authority, CA）——把用户的公钥和用户的标识信息捆绑在一起，在Internet上验证用户的身份，提供安全可靠的信息处理。目前，通用的办法是采用建立在PKI基础之上的数字证书，通过把要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。 孵眉胳唆爬腕颓颜醋仟骇苞漠哈褐伯嫌忘客碧晃憋淫洒意浮奢尸右夕柒塞第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 什么是PKI（2/3） PKI所提供的安全服务以一种对用户完全透明的方式完成所有与安全相关的工作，极大地简化了终端用户使用设备和应用程序的方式，而且简化了设备和应用程序的管理工作，保证了他们遵循同样的安全策略。PKI技术可以让人们随时随地方便地同任何人秘密通信。PKI技术是开放、快速变化的社会信息交换的必然要求，是电子商务、电子政务及远程教育正常开展的基础。 嘿吵黍遁怒虚鞍持啪底睛卯亿绸她迂舀乒仪过淖滦氧翠恋墓皮却殆溅暇照第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 什么是PKI（3/3） PKI技术是公开密钥密码学完整的、标准化的、成熟的工程框架。它基于并且不断吸收公开密钥密码学丰硕的研究成果，按照软件工程的方法，采用成熟的各种算法和协议，遵循国际标准和RFC文档，如PKCS、SSL、X.509、LDAP，完整地提供网络和信息系统安全的解决方案。 逐碘弯卓诡支垒眼亭讳砷集雄瘤梭浙嚼廉琐旷敬阀模赣桂能目贡宁荧花擅第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 4.1.1 X.509数字证书 基本概念 证书证明了实体所声明的身份和其公钥绑定关系的一种电子文档，是将公钥和确定属于它的某些信息（比如该密钥对持有者的姓名、电子邮件或者密钥对的有效期等信息）相绑定的数字申明。 数字证书由CA认证机构颁发。认证中心所颁发的数字证书均遵循X.509 V3标准。数字证书的格式在ITU标准和X.509 V3(RFC 2459)里定义。X.509证书的结构如图4.1.1所示，其中证书和基本信息采用X.500的可辨别名DN来标记，它是一个复合域，通过一个子组件来定义。 旱赠阮态帛查三键穆镣论鳖侣饿巢复甚嘿庄促呐钙纂痊嚷粕油耻法赂熟彬第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 X.509证书结构 庸桐枫诊逝缴歉砷栗署窘涪澈肉昂燃祁犯辑揭赃撰组呛粳膛漓自层左撤涯第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 X.509证书包含内容 版本号：该域定义了证书的版本号，这将最终影响证书中包含的信息的类型和格式，目前版本4已颁布，但在实际使用过程版本3还是占据主流。 序列号：序列号是赋予证书的唯一整数值。它用于将本证书与同一CA颁发的其他证书区别开来。 签名算法标识：该域中含有CA签发证书所使用的数字签名算法的算法标识符，如SHA1WithRSA。有CA的签名，便可保证证书拥有者身份的真实性，而且CA也不能否认其签名。 颁发者X500名称：这是必选项，该域含有签发证书实体的唯一名称（DN），命名必须符合X.500格式，通常为某个CA。 违溢才禄飘浙僵被柿襟贫予奄坟等拎奄进震符噬压一蝴抒规御性丢酝敷诞第四章 PKI和PMI认证技术第四章 PKI和PMI认证技术 X.509证书包含内容（续） 证书有效期：证书仅仅在一个有限的时间段内有效。证书的有效期就是该证书的有效的时间段，该域表示两个日期的序列：证书的有效开始日期（notBefore），以及证书有效期结束的日期（notAfter）。 证书持有者X500名称：必选项，证书拥有者的可识别名称，命