计算机网络安全技术第5章 密钥管理.pptVIP

5.3 公钥的全局管理 公钥机制涉及到一对密钥，即公开密钥（公钥）和秘密密钥（私钥），如何实现密钥管理是PKI服务系统的关键问题 私钥只能由证书持有者秘密掌握，无需在网上传输。而公钥是公开的，需要在网上传送，故公钥体制的密钥管理主要是公钥的管理问题 5.3.1 公钥的用途 5.3.2 签名密钥和加密密钥 5.3.3 公钥的产生 5.3.4 公钥的获取 5.3.5 密钥备份和恢复 5.3.6 基于X.509证书的PKI 5.3.1 公钥的用途 （1）用于验证数字签名 信息接收者使用发送者的公钥对接收的信息的数字签名进行验证 （2）用于加密信息 信息发送者使用接收者的公钥来加密用于对称加密信息的常规密钥，从而进行加密密钥的传递 5.3.2 签名密钥和加密密钥 （1）签名密钥对的管理 签名密钥对由签名私钥和验证公钥组成。 签名私钥是发送方身份的证明，具有日常生活中公章、私章的效力。为保证其唯一性，签名私钥绝对不能够做备份和存档，丢失后只需重新生成新的密钥对。验证公钥需要存档，用于验证旧的数字签名。 用做数字签名的这一对密钥一般可以有较长的生命期 （2）加密密钥对的管理 加密密钥对由加密公钥和解密私钥组成 为防止密钥丢失时数据无法恢复，解密私钥应该进行备份，同时还可能需要进行存档，以便能在任何时候解密历史密文数据。加密公钥则无需备份和存档，加密公钥丢失时，只需重新产生密钥对即可。 这种密钥应该频繁更换，故加密密钥对的生命周期较短 5.3.3 公钥的产生 （1）用户生成 在这种方式中，用户自己生成密钥对，然后将公钥以安全的方式传送给CA （2）CA生成 这种方式是CA替用户生成密钥对，然后将其以安全的方式传送给用户。该过程必须确保密钥对的机密性、完整性和可验证性。该方式下由于用户的私钥为CA所产生，故对CA的可信性有更高的要求。如果是签名密钥，CA必须在事后销毁用户的私钥 5.3.4 公钥的获取 （1） 由通信对方将自己的公钥随同发送的正文信息一起传送给用户。 （2） 所有的证书集中存放于一个证书库中，用户在网上可从该地点取得通信对方的证书 5.3.5 密钥备份和恢复 在PKI环境中，有时用户会丢失他们的私钥 密钥备份与恢复只能针对解密密钥，而签名密钥不能做备份 密钥的备份与恢复形成了PKI定义的重要部分 公开密钥的管理通常基于公证机制，也就是需要一个通信的双方都信任的第三方来证明通信双方的公开密钥的可靠性，这需要第三方分别对通信双方的公开密钥进行数字签名，生成一个证明这个公开密钥可靠性的证书。在大型网络中，这样的公证中心可以有多个，另外，如果这些公证中心存在信任关系，那么用户可以通过一个签名链来验证一个公证中心签发的证书。 公开密钥管理的另一个重要方面是如何撤消过去签发但现在已经失效的密钥证书 5.3.6 基于X.509证书的PKI 这是一种行业标准或者行业解决方案 在X.509标准中,默认的加密体制是公钥密码体制。为了进行身份认证，X.509标准及公共密钥加密系统提供了数字签名的方案。用户可生成一段信息及其摘要，然后用秘密密钥对摘要加密以形成签名,接收者用发送者的公开密钥对签名解密,并将之与收到的信息摘要进行比较,来确定其真实性 PKI是提供公钥加密和数字签名服务的系统或平台，其目的是管理密钥和证书。它能够为所有网络应用透明地提供加密和数字签名等密码服务所必需的密钥和证书管理。一个机构或组织通过采用PKI系统或平台管理用户密钥和证书能够建立一个安全的网络环境 CA机构，又称为证书授权(Certificate Authority)中心，是电子商务交易中受信任和具有权威性的第三方，承担公钥体系中公钥的合法性检验的责任 CA中心要为每个使用公开密钥的客户发放数字证书，该证书的作用是证明证书中列出的客户拥有证书中列出的公开密钥 CA机构的数字签名使得恶意的第三方不能随意伪造和篡改证书。CA中心负责生成、分配并管理所有参与网上信息交换各方所需的数字证书，并提供一系列密钥生命周期内的管理服务，是安全电子信息交换的核心 （一）认证中心的功能 （二）密钥／证书的生命周期 （三）密钥备份 （四）密钥的恢复 （五）证书撤消 （六）自动更新密钥 （七）密钥历史/档案 第5章 密钥管理 本章要求 密钥的管理内容 密钥分配技术 公开密钥管理体制 本章主要内容 5.1 密钥管理的内容 5.2 密钥的分配 5.3 公钥的全局管理 5.1 密钥管理的内容 5.1.1 密钥的组织结构 5.1.2 密钥生成 5.1.3 密钥储存和保护 5.1.4 密钥更新 5.1.5 密钥分发 5.1.6 密钥验证 5.1.7 密钥的使用 5.1.8 密钥备份 5.1.9