第3 4章 pki与身份认证

《第3 4章 pki与身份认证》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、1第3/4章PKI/PMI技术及身份认证一、PKI技术二、PMI技术三、身份认证技术2PKI就在我们身边电子商务（包括移动商务）电子支付，电子合同、数字签名国防在线访问军事资源、通信保密、文件保密、秘密分级管理、各部门通信协调。电子政务电子公章、资源访问控制、文件保密登录授权VPN345国内外PKI发展二十世纪八十年代，美国学者提出了PKI（公开密钥基础设施）的概念1996年成立了联邦PKI指导委员会1999年，PKI论坛成立2000年4月，美国国防部宣布要采用PKI安全倡议方案2001年6月13日，“

2、亚洲PKI论坛”成立2002年2月经国家计委批准，正式成立了“中国PKI论坛”筹备工作组2002年7月2日到5日在北京召开了“亚洲PKI论坛”第二届年会2007年11月7日，“亚洲PKI联盟”（APKIC，AsiaPKIConsortium）成立大会在中国西安召开。6中国的PKI建设(1)区域型上海CA中心（SHECA）；北京CA（BJCA）；天津CA中心；福建CA中心，湖北CA（简称HBECA）；海南电子商务认证中心（HNECA）；广东省电子商务认证中心行业型金融、电信和外经贸等行业建立的相关证书机构

3、国内十三家商业银行联合建设中国金融认证中心(CFCA)中国电信组建的CTCA由国家外经贸部建立的中国国际电子商务中心（CIECC）国家根CA国家密码管理局7中国的PKI建设(2)获证机构和发证数量，逐年增加至2005年底，15家CA，发证总量236万至2006年底，21家CA，累计发证546万至2007年底，26家CA，初步统计发证约740多万上海CA累计发证突破90万（2007年7月）CFCA累计发证突破100万（2006年7月）山东CA已发放证书40多万张（2006年1月）……8中国的PKI建设(3

4、)应用领域网上支付2006年3月，支付宝公司推出国内支付领域首张数字证书电子病历截至2007年12月，广西医科大学第一附属医院36个临床病区采用电子病历，5万份电子病历使用电子签名2007年，广东中山市人民医院1300余名医护人员制作了证书网上交易平台2007年，广东省开通网上药品采购平台，发放6000多张证书9一、PKI技术PKI的概述PKI（PublicKeyInfrastructure）是硬件、软件、策略和人组成的系统，当完全并且正确的实施后，能够提供一整套的信息安全保障，这些保障对保护敏感的通信

5、和交易是非常重要的。PKI的主要目的是通过自动管理密钥和证书，为用户建立起一个安全的网络运行环境，使用户可以在多种应用环境下应用PKI提供的服务，从而实现网上传输数据的机密性、完整性、真实性和有效性要求。普适性：只要遵循必要的原则，就能使用提供的服务。比如：网络基础设施、电力基础设施等。安全服务：公钥密码的功能、密码的功能等。10PKI是一个完整系统维持一个可靠的网络环境提供非对称式加密算法数字签名可向许多不同类型的应用提供服务PKI意味着密钥管理证书管理PKI模式11认证：采用数字签名技术，签名作用于

6、相应的数据之上被认证的数据——数据源认证服务用户发送的远程请求——身份认证服务远程设备生成的challenge信息——身份认证完整性：PKI采用了两种技术数字签名：既可以是实体认证，也可以是数据完整性MAC(消息认证码)：如DES-CBC-MAC或者HMAC-MD5保密性：用公钥分发随机密钥，然后用随机密钥对数据加密不可否认：发送方的不可否认——数字签名其他：性能问题、使用方式问题等PKI作用12PKI系统由认证中心CA(CertificateAuthority)、证书库、密钥备份及恢复系统、证书作废处

7、理系统和应用接口等主要组成部分，如图PKI认证中心CA证书库密钥备份和恢复系统证书作废处理系统应用接口PKI组成131．CACA是PKI的核心，它是数字证书的签发机构。CA的功能有：证书发放、证书更新、证书撤销和证书验证。CA的核心功能就是发放和管理数字证书。CA主要由安全服务器、CA服务器、注册机构RA(RegistryAuthority，负责证书申请受理审核)、数据库服务器、LDAP目录服务器等部分组成。2．证书库证书库就是证书的集中存放地，包括LDAP(轻型目录访问协议)目录服务器和普通数据库，用

8、于对用户申请、证书、密钥、CRL(证书撤销列表)和日志等信息进行存储和管理，并提供一定的查询功能。一般来说，为了获得及时的服务，证书库的访问和查询操作时间必须尽量的短，证书和证书撤销信息必须尽量小，这样才能减少总共要消耗的网络带宽。PKI组成143．密钥备份及恢复系统密钥的备份与恢复应该由可信的机构来完成，认证中心CA可以充当这一角色。4．证书作废处理系统作废证书一般通过将证书列入作废证书列表（CRL）来完成。证书的作废处理必须在安全及可验