电子商务安全技术 知识第5章 公钥基础设施与数字证书.pptxVIP

第五章 公钥基础设施PKI与数字证书5.1 PKI的基本概念5.2 PKI的组成与工作原理5.3 数字证书的管理5.4 PKI的应用现状5.1 PKI的基本概念5.1.1 第三方认证机构就像现实生活当中，如果没有公安机关，虽然有公民身份证，也无法验证身份证的来源和有效性，并且身份证还有可能被伪造和盗用。第三方认证机构，是指具有可靠的执行认证制度的必要能力，并在认证过程中能够客观、公正、独立地从事认证活动的机构。数字证书，在一定程度上解决了身份认证问题。但公钥的分发安全、权威性、有效性还是不能得到保障。图5-1公开密钥调包风险模型图5.1.2 PKI的定义公钥基础设施PKI（Public Key Infrastructure）是利用公钥密码理论和技术为电子商务、电子政务、网上银行和网上证券等所有网络应用提供一套安全技术平台，它是创建、颁发、管理、撤消数字证书等一系列基础服务的所有软件和硬件的集合。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。美国是最早提出PKI概念的国家,并于1996年成立了美国联邦PKI筹委会。5.1.3 PKI的功能（1）身份认证PKI通过数字证书进行认证，认证时对方知道你就是你，但却无法知道你为什么是你。（2）密钥管理通过加密证书，通信双方可以协商一个秘密，而这个秘密可以作为通信加密的密钥。（3）完整性和不可否认性PKI提供的完整性是可以通过第三方仲裁的，并且这种可以由第三方进行仲裁的完整性是通信双方都不可否认的。图5-3 PKI认证体系的基本模型图5-2 一个典型的全国性CA5.2.2 PKI的工作原理公共（非对称）密钥算法使用加密算法和一对密钥（公钥和私钥）由一个密钥进行加密的信息内容，只能由与之配对的另一个密钥才能进行解密公钥可以广泛地发给与自己有关的通信者，私钥则需要十分安全地存放起来公钥通过数字证书与其拥有者的姓名、工作单位、邮箱地址等捆绑在一起，由权威机构CA负责认证、发放和管理把证书交给对方时就把自己的公钥传送给了对方，证书也可以存放在一个公开的地方，让别人能够方便地找到和下载PKI系统可以应用于以下几个方面：（1）虚拟专用网络（VPN）企业在架构VPN时通常会利用防火墙和访问控制技术来提高VPN的安全性。（2）安全电子邮件可以通过基于PKI的加密和签名技术来实现电子邮件的安全。（3）Web安全可以通过PKI认证系统构建SSL通道，实现网页的HTTPS协议的访问，以保证其安全性。5.2.3 PKI的信任模型PKI信任模型就是用来描述PKI体系在分布式网络环境下如何进行信任传递和信任管理的模型。主要解决以下三个问题：（1）一个实体能够信任的证书是怎样确定的?（2）这种信任是怎样建立的?（3）在什么情形下能够限制或控制这种信任?5.2.3 PKI的信任模型图5-7 严格层次结构信任模型图5-6 单一CA信任模型图5-9 桥式信任模型图5-8 网状信任模型5.2.3 PKI的信任模型图5-10 Web信任模型图5-11 以用户为中心的信任模型在同一信任域内采用严格层次结构信任模型是最好的，而在信任域间的认证和中等规模环境下则网状信任模型比较实用，在非常大的模式下桥CA信任模型为最佳的选择，但是如果采用桥CA信任模型的话，需要有一个与所有域都交叉认证的桥CA，这个桥CA的选取要得到大家的认可，要有一个大家都信任的第三方来承担5.3 数字证书的管理5.3.1 数字证书的基本概念1．数字证书的定义数字证书是用电子手段来证实一个用户的身份和对网络资源的访问权限。证书就是一份文档，记录了用户的公开密钥和其他身份信息。数字证书是由 CA 认证中心颁发的、包含了公开密钥持有者信息以及公开密钥的文件。身份证项目数字证书项目姓名主体名身份证号序列号起始日期相同终止日期相同签发者发证机构照片公钥签章数字签名2．数字证书的功能 数字证书可用于发送安全电子邮件、访问安全站点、网上证券、网上招标采购、网上签约、网上办公、网上缴费、网上税务等网上安全电子事务处理和安全电子交易活动。数字证书主要有以下主要功能：（1）文件加密（2）数字签名（3）身份认证3．数字证书的内容（1）版本号：标示证书的版本（v1，v2，或是v3）。（2）序列号：由证书颁发者分配的本证书的唯一标识符。（3）签名算法：用于说明本证书所用的数字签名算法，例如SHA-1和RSA。（4）颁发者：证书颁发者的可识别名，这是必须说明的。（5）有效期：证书有效的时间段。（6）主体：证书拥有者的可识别名称。（7）主体公钥信息：主体的公钥以及算法标识符，这是必须说明的。（8）颁发者唯一标识符：仅在版本2和版本3中要求，属于可选项。（9）主体唯一标识符：仅在版本2和版本3中要求，属于可选项。（10）扩展：可选的标准和专用扩展，仅在版本