公钥管理配置详细手册.pdfVIP

目 录 1 公钥管理配置 1-1 1.1 非对称密钥算法简介 1-1 1.1.1 基本概念 1-1 1.1.2 数据加解密算法分类 1-1 1.1.3 非对称密钥算法的应用 1-1 1.2 配置本地的非对称密钥对 1-2 1.2.1 生成非对称密钥对 1-2 1.2.2 显示或导出非对称密钥对的主机公钥 1-3 1.2.3 销毁非对称密钥对 1-3 1.3 配置远端主机的公钥 1-3 1.4 公钥显示和维护 1-4 1.5 公钥管理典型配置举例 1-5 1.5.1 手工配置远端主机的公钥 1-5 1.5.2 从公钥文件中导入远端主机的公钥 1-6 i 1 公钥管理配置 1.1 非对称密钥算法简介 1.1.1 基本概念 算法：加密和解密过程中使用的一组变换规则。 明文：未加密的信息。 密文：加密后的信息。 密钥：一组特定的字符串，是控制明文和密文变换的唯一参数，起到“钥匙”的作用。加密 和解密都是在密钥的参与下进行的。 1.1.2 数据加解密算法分类 如 图 1-1所示，为了保证数据在网络中安全传输，不被攻击者非法窃听和恶意篡改，发送方在发送 数据之前需要对数据进行加密处理，即通过一定的算法，利用密钥将明文数据变换为密文；接收方 接收到密文数据后，对其进行解密处理，即通过一定的算法，利用密钥将密文数据恢复为明文，以 获得原始数据。 图1-1 加密和解密变换关系 根据加密解密过程中使用的密钥是否相同，可以将数据加解密算法分为： 对称密钥算法：数据加密和解密时使用相同的密钥。常用的对称密钥算法包括 AES （Advanced Encryption Standard，高级加密标准）、DES （Data Encryption Standard，数据加密标准） 等。 非对称密钥算法：数据加密和解密时使用不同的密钥，一个是对外公开的公钥，一个是由用 户秘密保存的私钥。通过公钥（或私钥）加密后的数据只能利用对应的私钥（或公钥）进行 解密；从公钥很难推断出私钥。 1.1.3 非对称密钥算法的应用 非对称密钥算法可以用于加解密和数字签名： 加解密：发送者利用接收者的公钥对报文进行加密，拥有对应私钥的合法接收者使用私钥对 数据进行解密，从而可以保证数据的机密性。 数字签名：发送者利用自己的私钥对数据进行加密，接收者利用发送者的公钥对数据进行解 密。由于通过私钥加密后的数据只能利用对应的公钥进行解密，因此根据解密是否成功，就 可以判断发送者的身份，如同发送者对数据进行了“签名”。例如，用户 1 使用自己的私钥 对数据进行签名后，发给用户 2，用户 2 利用用户 1 的公钥验证签名，如果签名是正确的，那 么就能够确认该数据来源于用户 1。 1-1 非对称密钥算法包括 RSA （Rivest Shamir and Adleman）和 DSA （Digital Signature Algorithm， 数字签名算法）。RSA 既可以用于加解密，又可以用于签名，而 DSA 只用于签名。 非对称密钥算法的计算量较大，运算速度较慢。如果利用非对称密钥算法对整个报文进行加密和解 密，则会影响报文的处理速度。因此，对称密钥算法经常用来加解密数据，以保证数据传输的安全 性；而非对称密钥算法经常用于只需对较短的数