信息安全导论第12节pkipmi技术.ppt

3. VPN的应用 基于PKI的虚拟专用网VPN（Virtual Private Network）市场也随着B2B电子商务的发展而迅速膨胀。据Infonetics Research的调查和估计，VPN市场由1997年的2.05亿美元开始以100％的增长率增长，到2001年达到119亿美元。 12.6.1 PMI简介 12.6.2 PERMIS工程 12.6.3 PERMIS的权限管理基础设施（PMI）实现 PMI（Privilege Management Infrastructure），即授权管理基础设施，在ANSI，ITUX.509和IETF PKIX中都有定义。国际电联电信委员会(ITIU—T)2001年发表的X.509的第四版首次将权限管理基础设旋（PMI）的证书完全标准化。X.509的早期版本侧重于公钥基础设施（PKI）的证书标准化。 PMI授权技术的基本思想是以资源管理为核心，将对资源的访问控制权统一交由授权机构进行管理，即资源的所有者来进行访问控制管理。 PKI证明用户是谁，并将用户的身份信息保存在用户的公钥证书中； PMI证明这个用户有什么权限，有什么属性，能做什么，并将用户的属性信息保存在授权证书（管理证书）中。 PMI的体系结构 ： PERMI是欧洲委员会投资的权限和角色管理基础设施标准确认工程，PERMI在建立X .509基于角色的PMI中遇到了挑战 。 PERMIS工程的挑战性在于建立一个基于角色的X.509权限管理基础设施，这个基础设施能够满足这些不同的应用，并且这也意味着它能够用于更广泛的应用中。 1．授权策略 授权策略指定在什么条件下，谁对某种客体具有何种访问权。基于域的策略授权比给每个客体配置各自独立的ACLs(访问控制列表)更可行。 2．权限分配者（PA） PA是SOA或AA(授权服务平台)用来给用户分配权限的工具。由于PERMIS使用RBAC，SOA指定角色ACs的形式用PA给用户分配角色。它将会指定给不同城市中的不同应用中的所有用户 3．PMI API 开放组织已经定义了标准授权API（AZN API），并用C语言指定。它以ISO10183-3访问控制框架为基础，指定了访问控制执行函数（AEF）和访问控制决定函数（ADF）之间的接口。 1．阐述信任关系与信任模型的定义，并列出目前常用的4种信任模型。 2．PKI的组成分为哪几大部分？它们主要的功能各是什么？ 3．请简述交叉认证的过程。 4．X.500、X.509和LDAP三者之间有何区别和联系？ 5．PKI的主要厂商和产品有哪些？PKI的应用现状和前景如何？ 6．PERMIS的权限管理基础设施（PMI）是怎样实现的? 2.作废证书的处理方法 作废证书一般通过将证书列入作废证书表CRL（Certificate Revocation List）来完成。通常，系统中由CA负责创建并维护一张及时更新的CRL，而由用户在验证证书时负责检查该证书是否在CRL之列。 CRL一般存放在目录系统中。 返回本节 1. 作用 PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的PKI必须提供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保所建立起来的网络环境的可信性，同时降低管理维护成本。 返回本节 2. 功能 完成证书的验证工作，为所有应用以一致、可信的方式使用公钥证书提供支持。 以安全、一致的方式与PKI的密钥备份与恢复系统交互，为应用提供统一的密钥备份与恢复支持。 在所有应用系统中，确保用户的签名私钥始终只在用户本人的控制之下，阻止备份签名私钥的行为。 返回本节 根据安全策略自动为用户更换密钥，实现密钥更换的自动、透明与一致。 为方便用户访问加密的历史数据，向应用提供历史密钥的安全管理服务。 为所有应用访问统一的公用证书库提供支持。 以可信、一致的方式与证书作废系统交互，向所有应用提供统一的证书作废处理服务。 完成交叉证书的验证工作，为所用应用提供统一模式的交叉验证支持。 支持多种密钥存放介质，包括IC卡、PC卡、安全文件等。 PKI应用接口系统应该是跨平台的。 12.3.1 证书、密钥对的自动更换 12.3.2 交叉认证 12.3.3 其他一些功能 12.3.4 对PKI的性能要求 返回本章首页 证书、密钥都有一定的生命期限。当用户的私钥泄露时，必须更换密钥对； 另外，随着计算机速度日益提高，密钥长度也必须相应地增长。因此，PKI应该提供完全自动（无须用户干预）的密钥更换以及新证书的分发工作。 返回本节 每个CA只能覆盖一定的作用范围（域）。 两个CA安全地交换密钥信