信息安全技術(shù)導(dǎo)論chap04

第四章密鑰管理第四章密鑰管理與PKI技術(shù)1密鑰管理概述根本概念密鑰建立模型公鑰傳輸機(jī)制密鑰傳輸機(jī)制密鑰導(dǎo)出機(jī)制PKI技術(shù)概述現(xiàn)代密碼技術(shù)的一個(gè)特點(diǎn)是密碼算法公開，所以在密碼系統(tǒng)中密鑰才是系統(tǒng)真正的。在任何平安系統(tǒng)中，密鑰的平安管理都是一個(gè)關(guān)鍵要素。由于假設(shè)密鑰本身得不到平安維護(hù)，那么設(shè)計(jì)上再好的密碼系統(tǒng)都是徒勞的。在現(xiàn)實(shí)世界里，密鑰管理是密碼運(yùn)用領(lǐng)域中最困難的部分。第四章密鑰管理與PKI技術(shù)2密鑰管理概述根本概念密鑰建立模型公鑰傳輸機(jī)制密鑰傳輸機(jī)制密鑰導(dǎo)出機(jī)制PKI技術(shù)密鑰分類密鑰生命周期密鑰的產(chǎn)生隨機(jī)產(chǎn)生留意弱密鑰問題密鑰建立技術(shù)需求滿足的性質(zhì)〔1〕數(shù)據(jù)嚴(yán)密〔DataConfidentiality〕。〔2〕篡改檢測(cè)〔ModificationDetection〕。〔3〕身份認(rèn)證〔EntityAuthentication〕。〔4〕密鑰的新穎度〔KeyFreshness〕。〔5〕密鑰控制〔KeyControl〕?！?〕密鑰的隱式鑒別〔ImplicitKeyAuthentication〕。〔7〕密鑰確實(shí)信〔KeyConfirmation〕。〔8〕向前的〔PerfectForwardSecrecy〕。〔9〕效率〔Efficiency〕密鑰的層次構(gòu)造〔1〕主密鑰〔MasterKey〕。主密鑰處于密鑰層次構(gòu)造的最高層，沒有其他的密鑰來維護(hù)主密鑰，所以主密鑰只能用人工方式建立?！?〕加密密鑰的密鑰〔Key-encryptingKeys〕。在密鑰傳輸協(xié)議中加密其他密鑰〔如會(huì)話密鑰〕。這種密鑰維護(hù)其下層的密鑰可以平安地傳輸?！?〕數(shù)據(jù)密鑰〔DataKeys〕。處于密鑰層次構(gòu)造的底層，用于加密用戶的數(shù)據(jù)，以使數(shù)據(jù)可以平安地傳輸。密鑰的生命周期模型第四章密鑰管理與PKI技術(shù)3密鑰管理概述根本概念密鑰建立模型公鑰傳輸機(jī)制密鑰傳輸機(jī)制密鑰導(dǎo)出機(jī)制PKI技術(shù)點(diǎn)對(duì)點(diǎn)密鑰建立模型在同一信任域中的密鑰建立模型在多個(gè)信任域中的密鑰建立模型第四章密鑰管理與PKI技術(shù)4密鑰管理概述根本概念密鑰建立模型公鑰傳輸機(jī)制密鑰傳輸機(jī)制密鑰導(dǎo)出機(jī)制PKI技術(shù)鑒別樹基于身份認(rèn)證的系統(tǒng)第四章密鑰管理與PKI技術(shù)5密鑰管理概述根本概念密鑰建立模型公鑰傳輸機(jī)制密鑰傳輸機(jī)制密鑰導(dǎo)出機(jī)制PKI技術(shù)運(yùn)用對(duì)稱密碼技術(shù)的密鑰傳輸機(jī)制Shamir設(shè)計(jì)的3次傳送協(xié)議運(yùn)用對(duì)稱密碼技術(shù)和可信第三方的密鑰傳輸機(jī)制

運(yùn)用公鑰密碼技術(shù)的點(diǎn)到點(diǎn)的密鑰傳輸機(jī)制同時(shí)運(yùn)用公鑰密碼技術(shù)和對(duì)稱密碼技術(shù)的密鑰傳輸機(jī)制

第四章密鑰管理與PKI技術(shù)6密鑰管理概述根本概念密鑰建立模型公鑰傳輸機(jī)制密鑰傳輸機(jī)制密鑰導(dǎo)出機(jī)制PKI技術(shù)根本密鑰導(dǎo)出可鑒別的密鑰導(dǎo)出樹狀的密鑰導(dǎo)出優(yōu)化的樹狀的密鑰導(dǎo)出第四章密鑰管理與PKI技術(shù)7密鑰管理概述根本概念密鑰建立模型公鑰傳輸機(jī)制密鑰傳輸機(jī)制密鑰導(dǎo)出機(jī)制PKI技術(shù)PKI的主要功能產(chǎn)生、驗(yàn)證和分發(fā)密鑰。簽名和驗(yàn)證。獲取證書。懇求證書作廢。獲取CRL。密鑰更新。審計(jì)。PKI的構(gòu)造CA系統(tǒng)框架PKI系統(tǒng)規(guī)范PKCS系列規(guī)范:PKCS是由美國RSA數(shù)據(jù)平安公司及其協(xié)作同伴制定的一組公鑰密碼學(xué)規(guī)范，其中包括證書懇求、證書更新、證書廢除表發(fā)布、擴(kuò)展證書內(nèi)容、數(shù)字簽名、數(shù)字信封格式等一系列相關(guān)協(xié)議。數(shù)字證書與X.509規(guī)范：國際電信聯(lián)盟ITUX.509協(xié)議，是PKI技術(shù)體系中運(yùn)用最廣泛、也是最根底的一個(gè)國際規(guī)范。它的主要目的在于定義一個(gè)規(guī)范的數(shù)字證書格式，以便為基于X.500協(xié)議的目錄效力提供一種強(qiáng)認(rèn)證手段。PKI系統(tǒng)的典型運(yùn)用虛擬公用網(wǎng)絡(luò):虛擬公用網(wǎng)絡(luò)〔VPN〕是一種架構(gòu)在公用通訊根底設(shè)備上的公用數(shù)據(jù)通訊網(wǎng)絡(luò)，利用網(wǎng)絡(luò)層平安協(xié)議〔如IPSec〕和建立在PKI上的加密與簽名技術(shù)來獲得平安性維護(hù)。平安電子郵件：平安電子郵件協(xié)議S/MIME〔TheSecureMultipurposeInternetMailExtension〕。Web平安：SSL〔SecureSocketsLayer〕