數(shù)字身份認(rèn)證技術(shù)第七章

1、第七章第七章 PKI的常規(guī)應(yīng)用的常規(guī)應(yīng)用PKI常規(guī)應(yīng)用常規(guī)應(yīng)用本章學(xué)習(xí)目標(biāo)本章學(xué)習(xí)目標(biāo) 熟練操作PKI在網(wǎng)上銀行、智能卡、移動(dòng)支付、電子商務(wù)、電子政務(wù)、網(wǎng)上證劵、移動(dòng)數(shù)據(jù)業(yè)務(wù)等領(lǐng)域的應(yīng)用PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.1 PKI技術(shù)在銀行業(yè)中的應(yīng)用 網(wǎng)上銀行 銀行智能卡 移動(dòng)支付PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.1.1 網(wǎng)上銀行 網(wǎng)上銀行是借助互聯(lián)網(wǎng)技術(shù)向客戶提供金融信息服務(wù)和交易服務(wù)的新型模式。 網(wǎng)上銀行的應(yīng)用模式主要包括個(gè)人網(wǎng)銀和企業(yè)網(wǎng)銀兩種。 目前網(wǎng)上銀行主要包括三個(gè)方面的安全隱患： 信息泄漏 篡改 身份識(shí)別PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 PKI 能實(shí)現(xiàn)以下幾方面的安全性： 發(fā)送事物的人確定是源用戶 接收事物

2、的人確實(shí)是目的用戶 數(shù)據(jù)完整性不會(huì)受到威脅PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.1.2 銀行智能卡 智能卡是集成電路發(fā)展的產(chǎn)物，相當(dāng)于是內(nèi)嵌CPU的一個(gè)微型計(jì)算機(jī)平臺(tái)，不僅體積小，而且便于攜帶，與一般的計(jì)算機(jī)一樣具備加密計(jì)算能力和超大容量的存儲(chǔ)空間。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 用戶對(duì)智能卡的操作都是通過卡操作系統(tǒng)COS來實(shí)現(xiàn)的。COS在卡片初始化時(shí)載入智能卡的ROM中，COS通過命令- 響應(yīng)的方式與外界進(jìn)行信息交流。 從功能上可以將COS分為5個(gè)模塊：控制模塊、數(shù)據(jù)傳輸模塊、命令解析模塊、文件管理模塊和安全模塊。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 多款智能卡芯片（如億恒SLE66CX320系列）都帶

3、有隨機(jī)數(shù)發(fā)生器和加密協(xié)處理器或算法加速器。 智能卡利用自身的硬件資源可以在卡內(nèi)生成公鑰、私鑰對(duì)，保存在MF或DF下的密鑰文件中。 這樣做的好處在于私鑰可以永不離開智能卡硬件，任何人包括合法用戶都不能讀出私鑰。比起用戶私鑰保存在易受黑客攻擊的個(gè)人電腦或磁盤中的安全性大大提高。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 基于智能卡的PKI的應(yīng)用 基于智能卡的身份認(rèn)證 基于智能卡的數(shù)字簽名 基于智能卡數(shù)字加密PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.1.3 移動(dòng)支付 從技術(shù)的發(fā)展來看，新型銀行不再僅限于有線網(wǎng)絡(luò)互聯(lián)，移動(dòng)支付、手機(jī)銀行開始走進(jìn)我們的生活，隨之而來的是對(duì)無線通信領(lǐng)域安全的關(guān)注。 移動(dòng)支付安全機(jī)制是傳統(tǒng)信息安全技術(shù)在移動(dòng)環(huán)

4、境下的新發(fā)展。通過發(fā)展新的安全技術(shù)、修改原有解決方案或提出新的解決方案，移動(dòng)安全機(jī)制為移動(dòng)安全支付提供安全技術(shù)保障。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 移動(dòng)支付安全性的一個(gè)關(guān)鍵方面，就是能否對(duì)交易實(shí)體的身份進(jìn)行認(rèn)證。怎么樣選擇安全的身份認(rèn)證體制成為移動(dòng)支付安全性的決定因素. 一個(gè)安全的身份認(rèn)證體制至少需要滿足下列要求： 互相認(rèn)證性互相認(rèn)證性 可確認(rèn)性可確認(rèn)性 不可否認(rèn)性不可否認(rèn)性 不可偽造性不可偽造性PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 WPKI（wireless Public Key Infrastructure），即無線“無線公開密鑰體系”，是PKI結(jié)合移動(dòng)環(huán)境特點(diǎn)的產(chǎn)物。圖7-4 WPKI系統(tǒng)結(jié)構(gòu)圖PKI常規(guī)應(yīng)用

5、常規(guī)應(yīng)用7.2 PKI技術(shù)在電子商務(wù)中的應(yīng)用7.2.1 電子商務(wù)概述 在業(yè)務(wù)上，電子商務(wù)是指實(shí)現(xiàn)整個(gè)貿(mào)易活動(dòng)的電子化，交易各主以電子交易方式進(jìn)行各種形式的商業(yè)交易； 在技術(shù)上，電子商務(wù)采用電子數(shù)據(jù)交換（EDI）、電子郵件（Email）、共享數(shù)據(jù)（Database）、電子公告牌（BBS）以及條形碼（Barcode）等多種技術(shù)。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.2.2 電子商務(wù)存在的主要安全問題 數(shù)據(jù)被非法截獲、讀取或者修改; 身份認(rèn)證; 冒名頂替和否認(rèn)行為。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.2.3 PKI在電子商務(wù)安全方面的應(yīng)用 數(shù)據(jù)傳輸?shù)臋C(jī)密性; 用戶身份的識(shí)別; 信任關(guān)系的建立.PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.2

6、.47.2.4基于基于PKIPKI的電子商務(wù)安全問題的電子商務(wù)安全問題 1針對(duì)針對(duì)CRL的攻擊的攻擊 在PKI中，若用戶私鑰泄漏、證書過期或由于安全原因需要變更證書中某些屬性的時(shí)候，必須向CA申請(qǐng)注銷與之相關(guān)的舊證書。證書被注銷后，與其相關(guān)的公鑰和私鑰將不再有效，用其實(shí)施的行為也不再有效。證書注銷方法常用的是CRL。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 2針對(duì)證書持有者態(tài)度的攻擊針對(duì)證書持有者態(tài)度的攻擊 這類攻擊源于證書持有者的消極態(tài)度，如盲目簽名、證書持有者長(zhǎng)時(shí)間不用證書、私鑰可能泄漏時(shí)不及時(shí)申請(qǐng)注銷證書等等情況給攻擊者留下了可乘之機(jī)和時(shí)間。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 3針對(duì)定制協(xié)議的攻擊針對(duì)定制協(xié)議的攻擊

7、定制協(xié)議攻擊是通過定制一個(gè)協(xié)議并用它來與安全協(xié)議進(jìn)行交互，從而影響安全協(xié)議產(chǎn)生可以利用的消息。這類攻擊多是針對(duì)公鑰的認(rèn)證協(xié)議進(jìn)行的，其條件是PKI中允許多個(gè)協(xié)議中使用同一個(gè)公鑰，這時(shí)可用定制的協(xié)議來影響安全協(xié)議，用安全協(xié)議產(chǎn)生的信息來冒充某個(gè)參與者而成功完成協(xié)議。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.2.5 PKI體系在電子商務(wù)安全方面應(yīng)用評(píng)價(jià) PKI體系結(jié)構(gòu)的安全性分析 PKI的互操作性和擴(kuò)展性問題 我國(guó)PKI應(yīng)用環(huán)境的建設(shè)問題PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.3 PKI技術(shù)在電子政務(wù)中的應(yīng)用 電子政務(wù)（EGovemment）是指政府運(yùn)用現(xiàn)代計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)，將其承擔(dān)的公共管理和服務(wù)職能轉(zhuǎn)移到網(wǎng)絡(luò)上進(jìn)行，同時(shí)實(shí)

8、現(xiàn)政府組織結(jié)構(gòu)和工作流程的重組優(yōu)化，超越時(shí)間、空間和部門分隔的制約，向社會(huì)提供高效優(yōu)質(zhì)、規(guī)范透明和全方位的管理與服務(wù)。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.3.1 電子政務(wù)的安全 電子政務(wù)系統(tǒng)必須實(shí)現(xiàn)如下的信息安全目標(biāo): 可用性目標(biāo) 完整性目標(biāo) 保密性目標(biāo) 可記賬性目標(biāo) 保障性目標(biāo) 電子政務(wù)安全中涉及到的數(shù)字證書認(rèn)證中心CA、審核注冊(cè)中心RA、密鑰管理中心KM 都是組成PKI的關(guān)鍵組件，PKI通過管理密鑰和證書，為用戶建立了一個(gè)安全的網(wǎng)絡(luò)運(yùn)行環(huán)境。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.3.2 PKI在電子政務(wù)中的安全解決方案 1身份認(rèn)證服務(wù) 2信息保密性服務(wù)和數(shù)據(jù)完整性服務(wù) 3不可否認(rèn)服務(wù)PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 7.

9、4 PKI在網(wǎng)上證券中的應(yīng)用 7.4.1 網(wǎng)上證券概述 安全的網(wǎng)上證券交易必須保證以下4點(diǎn)： 身份認(rèn)證 數(shù)據(jù)保密性 數(shù)據(jù)完整性 不可抵賴性 網(wǎng)上證券是指投資者利用互聯(lián)網(wǎng)委托下單，實(shí)現(xiàn)實(shí)時(shí)交易。網(wǎng)上證券交易包含網(wǎng)上炒股和網(wǎng)上銀證轉(zhuǎn)賬等內(nèi)容，涉及股民、交易所、銀行三方。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 7.4.2 PKl在網(wǎng)上證券的組成1. 系統(tǒng)結(jié)構(gòu) （1）CA證書簽發(fā)中心 （2）CA分布式管理中心 （3）服務(wù)器 （4）RA證書注冊(cè)中心PKI常規(guī)應(yīng)用常規(guī)應(yīng)用 7.4.2 PKl在網(wǎng)上證券的組成1. 系統(tǒng)結(jié)構(gòu)PKI常規(guī)應(yīng)用常規(guī)應(yīng)用2. 證書申請(qǐng)與發(fā)放 用戶可以通過RA Client直接在網(wǎng)上進(jìn)行證書的申清并獲

10、取證書，流程如下： 用戶申請(qǐng) RA審核 CA頒發(fā)證書 獲得證書 下載證書PKI常規(guī)應(yīng)用常規(guī)應(yīng)用3.證書吊銷和更新 用戶到營(yíng)業(yè)部填寫申請(qǐng)表，由錄入操作員錄人數(shù)據(jù)，審核操作員根據(jù)用戶的資料進(jìn)行審查，將通過審查的資料向CA提交。用戶通過web頁面填寫資料，發(fā)送給RA服務(wù)器，由審核管理員人工審核，或由RA服務(wù)器自動(dòng)審核，RA服務(wù)器將處理結(jié)果用Email的方式通知用戶。用戶通過RA Client，填寫資料，發(fā)送給RA服務(wù)器，由審核管理員人工審核，或由RA服務(wù)器自動(dòng)審核，RAClient每隔一定的時(shí)間間隔，連接到RA服務(wù)器，查詢處理結(jié)果。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.4.3 網(wǎng)上證券銀證通業(yè)務(wù)實(shí)時(shí)交易數(shù)據(jù)的P

11、KI簽名實(shí)施方案1網(wǎng)上銀證通業(yè)務(wù)簽名加密的PKI認(rèn)證設(shè)計(jì) 在網(wǎng)上銀證通交易中利用PKI進(jìn)行交易的簽名加密，應(yīng)先完成如下證書申請(qǐng)和簽發(fā)過程： （1）用戶向CA申請(qǐng)數(shù)字證書 （2）注冊(cè)機(jī)構(gòu)審核 （3）認(rèn)證系統(tǒng)CA頒發(fā)證書 （4）下載獲得有效數(shù)字證書PKI常規(guī)應(yīng)用常規(guī)應(yīng)用PKI系統(tǒng)的認(rèn)證設(shè)計(jì)PKI常規(guī)應(yīng)用常規(guī)應(yīng)用2網(wǎng)上證券交易簽名加密的實(shí)現(xiàn)方案 本方案中，銀行網(wǎng)點(diǎn)為客戶辦理儲(chǔ)蓄存折（或銀行卡）作為客戶的資金帳戶，同時(shí)為客戶開通網(wǎng)上銀行服務(wù)。指定證券公司的交易系統(tǒng)采用目前成熟的J2EE構(gòu)駕作為交易平臺(tái)，安全、便捷地支持折（或卡）的網(wǎng)上證券交易，其網(wǎng)上交易系統(tǒng)主要包括網(wǎng)上交易業(yè)務(wù)處理系統(tǒng)和支付網(wǎng)關(guān)。PKI常規(guī)應(yīng)用常規(guī)應(yīng)用銀證通交易數(shù)據(jù)的簽名和驗(yàn)證實(shí)現(xiàn)PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.5 PKl在移動(dòng)數(shù)據(jù)業(yè)務(wù)中的應(yīng)用在移動(dòng)數(shù)據(jù)業(yè)務(wù)中的應(yīng)用 交易安全是指用戶在移動(dòng)數(shù)據(jù)業(yè)務(wù)中進(jìn)行的任何交易行為，都有有效的確認(rèn)機(jī)制，這種確認(rèn)機(jī)制能夠保證： （1）只有合法的用戶才能確認(rèn)，非法用戶不能冒充用戶進(jìn)行確認(rèn) （2）交易雙方不能在事后否認(rèn)自己對(duì)當(dāng)前交易的確認(rèn)。保護(hù)交易安全是杜絕非法交易、避免用戶投訴的最終手段PKI常規(guī)應(yīng)用常規(guī)應(yīng)用7.5.1 代碼簽名技術(shù)應(yīng)用 移動(dòng)代碼下載是AP 為手機(jī)用戶提供