公钥基础设施教案.pptVIP

本资料来源 ;课前回顾;本周教学内容;Kerberos技术的最大缺陷就是不能提供信息的不可否认性。 公钥密码技术的出现为身份认证协议带来了强有力的方法和手段，目前被广泛采用的是以X.509数字证书为基础的PKI体制。;PKI(Public Key Infrastructure)就是利用公钥密码理论和技术建立的提供安全服务的基础设施 PKI是一种标准的密钥管理平台，它能够为所有网络应用透明地提供采用加密和数据签名等密码服务所必须的密钥和证书管理。 ;美国是最早(1996)推动PKI建设的国家。 1998年中国的电信行业建立了我国第一个行业CA，此后金融、工商、外贸、海关和一些省市也建立了自己的行业CA或地方CA。;3.3.2 PKI提供的服务;（一） PKI基本组件; 下图是RFC 2510中定义的PKI实体模型。 ;PKI组成（续）;（二） PKI运作流程;（二） PKI运作流程—初始化;验证证书的有效性 验证证书的真实性 验证证书的可用性;（二） PKI运作流程—撤销;三、 密钥/证书生命周期的管理;四、 证书包含的信息;身份证和证书的比较;3.3.5 PKI的信任模型;为使得跨CA域的用户能够安全通信，需要在CA之间建立信任关系。 信任模型（Trust Model）提供了建立和管理信任关系的框架，选择信任模型是构筑和运作PKI所必需的一个环节。目前提出的PKI信任模型有：;严格层次模型 对等（网状）信任模型 混合型信任模型 可信CA列表模型 ;严格层次模型;子CA;严格层次的信任模型的最大好处是其自上而下的管理性，非常适用于有相同组织结构的团体内部（如企业，政府等）。在一个行业内部，由行业联盟建立统一的严格层次的信任模型PKI也是可行的，但对于全球而言，由于不可能建立一个为全球用户所共同信任的根CA，所以严格层次的信任模型不能直接用于建立全球统一PKI在严格层次的信任模型中。 如果一个CA（特别是根CA）的私钥泄漏，则以其作为根的整个子树上的CA证书以及终端实体的证书都将作废。;2．对等信任模型 在对等信任模型中，各CA都持有自签名的CA证书，并独立运作，CA之间通过交叉认证实现相互信任。 ;3．混合型信任模型 混合型信任模型中，CA之间的关系既存在严格层次的信任关系，也存在对等的信任关系。一个组织可以根据需要把一些CA部署成层次结构，而另一些CA部署成对等关系。某一层次结构内的一个CA私钥泄漏时，其影响范围只是以它为根的子树。混合型信任模型的特点是存在多个根CA，每一个严格层次的CA域的根CA可以和另一个严格层次的CA域的根CA进行交叉认证。;3．混合型信任模型 ;4．可信CA列表模型（ Web模型） 可信CA列表模型中存在多个可信的根CA，这些可信的根CA的证书被预先提供给客户端系统。 这种模型建构在浏览器的基础上，浏览器厂商在浏览器中内置了多个根CA，每个根CA相互间是平行的，浏览器用户信任这多个根CA并把这多个根CA作为自己的信任锚。 可信CA之间不再需要进行交叉认证，客户端对证书的验证也变得简单，目前IE和Netscape浏览器中就预装了诸如Versign，Thawte和Baltimore等根CA的证书。;4．可信CA列表模型（ Web模型）;4．可信CA列表模型（Web模型）;4．可信CA列表模型;以用户为中心的信任模型，在这种信任模型中，每个用户都直接决定信赖哪个证书和拒绝哪个证书。没有可信的第三方作为CA，终端用户就是自己的根CA 著名的PGP软件就是以用户为中心信任模型的实例。（P151图示）;3.3.6 PKI典型应用;3.3.7 PKI发展现状