基于PKI安全通信研究.docVIP

基于PKI安全通信研究 　　摘要：本文简单介绍了公钥体制，并分析了通过公钥体制来创建一种遵循既定标准的密钥管理平台，利用PKI确保信息的机密性、真实性、完整性和不可抵赖性，使公共网络可以安全的进行通信。并给出了通过可信任第三方(CA)实现网上证券交易安全通信的工作流程。 　　关键词：PKI；安全通信；公钥；认证 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)14-20833-02 　　 　　1 引言 　　 　　随着信息化建设的发展，互联网为人们带来了快捷高效的办公方式，而与此同时通过非法入侵，数据报监听和篡改等方式的攻击也一直严重威胁着计算机网络系统的安全。原因是由于互联网的开放性和匿名性所致，不可避免的存在许多安全隐患。网上交易时，各种黑客攻击威胁着交易的安全，他们一旦截获用户信息和交易密码，便可为所欲为，给商家和用户造成不可估量的损失。为此，安全技术和安全服务规范公钥基础设施PKI(Public Key Infrastructure)应运而生。 　　 　　2 PKI概述 　　 　　PKI是一种遵循既定标准的密钥管理平台，它能够为所有的网络用户提供数据的加密和数字签名等密码服务，以及相关的密钥和证书管理体系。PKI所使用的加密算法不同于单钥体制的加密技术，而是采用了非对称的公钥体制加密算法。通过利用这种网络加密方式保证了网上交易和信息传输的机密性、真实性、完整性和不可抵赖性。 　　2.1 公钥体制 　　公钥体制是由Diffie和Hellman首先引入的。采用公钥体制的每个用户都有一对预先选定的密钥：一个是可以公开的K1；另一个则是秘密的K2。公开的密钥K1需要注册公布出来，所以公钥体制又被称为双钥体制。 　　双钥体制的特点是将加密和解密能力分离开来，因而任何一个网络用户都可以对消息加密而只能由拥有私钥的用户解密，或由拥有私钥的用户加密消息使任何一个网络用户解密。前者可用于公共网络中实现保密通信，后者则可用于认证系统中对消息进行数字签名。 　　双钥体制用于保密通信原理如图1所示。用户A(简称A)向用户B(简称B)发送保密信息m。A用B的公开密钥KB1加密m得到密文C=EkB1(m)，再发送给B，B收到后用自己的密钥KB2对密文C进行解密获得明文m。 　　m=DKB2(C)=DKB2(EKB1(m)) 　　 　　双钥体制用于认证的原理如图2所示。A向B发送具有认证性的消息，A使用自己的秘密密钥KA2对消息m进行加密，得到密文C=DKA2(m)连同明文m一起发送给B，B收到后用A注册公布的密钥KA1对C进行解密获得解密结果与明文m比较，如果一致说明该消息是由A发送出来的。 　　 　　2.2 安全服务 　　根据互连网电子商务，电子政务的对计算机网络安全的需求，PKI需要提供的安全服务包括以下几个方面： 　　(1)机密服务：保护信息不被泄露或暴露给非授权用户； 　　(2)真实性服务：保证用户身份的真实可靠； 　　(3)完整性服务：保证数据不被非授权用户增删、修改和替代； 　　(4)不可抵赖性服务：防止参与交易中的一方事后否认曾经发生过的交易。 　　 　　3 安全通信方案 　　 　　3.1 可信任第三方 　　基于PKI的系统首先需要由具有权威性、公证性、可信任性的机构充当可信任第三方（认证中心CA），其作用是为各个网络终端用户提供密钥的签发、生成、发布和管理，以及身份认证和鉴别等工作。当然在实际的系统中还包括有：政府批准机构PAA，政策制定中心PCA，和在线证书申请ORA等来共同构建一个PKI体系。 　　3.2 应用层安全机制 　　应用层使用PKI包括以下几个安全机制，如图3所示。 　　 　　3.3 网上证券交易流程 　　交易原理流程如图4所示。 　　 　　第一步、 申请证书。证书是包含所有者的信息、所有者的公开密钥和证书颁发机构的签名的数据文件，是用来标志和证明网络通信双方身份的。在网上进行通信时，双方需要使用数字证书来表明自己的身份，并使用数字证书来进行相关的操作。首先，券商要想获得安全通信的身份和资格，须向认证中心（CA）注册申请数字证书，然后券商的公钥将被存于服务器的数据库中。用户也同样需要申请数字证书，获得的证书存放在自己的电脑或UKey中。 　　第二步、 身份认证。券商和用户通过Internet互相交换从CA申请到的数字证书，并验证其真实性（包括验证数字签名、证书有效性等）。如任何一方发现对方数字证书有误，则立刻停止操作并记录相关信息进入日志。 　　第三步、安全通信操作。用户使用券商的公钥加密消息，确保信息的机密性，再用自己的私钥对消息进行签名，一并发送给券商服务器。券商用自己的私钥解密消息，同时从证书数据库中取