信息安全复习八：公开密钥基础设施（PKI）

水深无声 2024-03-22 09:05 139阅读 0赞

## 一、章节梗概 ##

1.公钥技术回顾  
**建立在非对称密码算法基础上**：公钥和私钥对  
**服务**:保密性、完整性、认证和抗抵赖  
**用于加密的密钥对**：公钥加密，私钥解密  
**用于签名的密钥对**：私钥签名，公钥验证

2.PKI之动机数字证书格式  
**动机**：  
如何提供数字签名功能  
如何实现不可否认服务  
公钥和身份如何建立联系（1.为什么要相信这是某个人的公钥2.公钥的权限  
公钥如何管理

**方案**：  
**引入证书**，通过证书把公钥和身份关联起来

**数字证书的结构**：  
![在这里插入图片描述][7c31f731e4584386928aa4a3dddcf5ac.png]  
3.PKI的组成  
4.PKI信任关系  
5.PKI的应用  
6.一些参考链接  
[1.5分钟让你知道什么是PKI][1.5_PKI]  
[2.PKI基础知识，及PKI流程][2.PKI_PKI]

## 二、PKI的组成 ##

### 2.1 定义 ###

**定义**：用公钥原理和技术实施和提供安全服务的具有普适性的安全基础设施

**一个完整的PKI应该包括**：  
证书授权中心(CA)  
证书库  
证书注销  
密钥备份和恢复  
自动密钥更新  
密钥历史档案  
交叉认证  
支持不可否认  
时间戳  
客户端软件

### 2.2 PKI中的证书 ###

**1.证书**：有时候简称为cert，证书是一个机构颁发给一个安全主体的证明，所以证书的权威性取决于该机构的权威性

**2.一个证书中，最重要的信息是**：主体名字、主体的公钥、机构的签名、算法和用途

3.签名证书和加密证书分开

4.PKI适用于异构环境中，所以证书的格式在折使用的范围内必须统一  
最常用的证书格式为X.509 v3

5.证书格式遵循X.509国际标准（实际是X.500系列标准的一个

6.**证书的内容还应表明证书的有效性**:  
证书没有过期  
密钥没有修改  
用户仍然有权使用这个密钥  
CA负责回收证书，发行无效证书清单

7.证书使用  
证书帮助证实个人身份，你的证书和你的密钥就是你是谁的证据

**8.X.509证书格式**  
a.版本1、2 、3  
b.序列号:在CA内部唯一签名算法标识符，指该证书中的签名算法  
c.签发人名字：CA的名字  
d.有效时间：起始和终止时间  
e.主体名字  
f.主体的公钥信息:算法，参数，密钥  
g.签发人唯一标识  
h.主体唯一标识符  
i.扩展域  
j.签名

### 2.3 PKI组成 ###

软硬件系统：支撑整个PKI信息系统允许的各种基础软硬件环境，如操作系统，网络环境。

PKI策略：PKI安全策略建立和定义了一个组织信  
息安全方面的指导方针，同时也定义了密码系统使用的处理方法和原则。它包括一个组织怎样密钥和有价值的信息，根据风险的级别定义安全控制的级别。

**一般情况下，在PKI中有两种类型的策略:**  
一是证书策略，用于管理证书的使用，比如，可以确认某一CA是在Internet上的公有CA,还是某一企业内部的私有CA；

另外一个就是CPS(Certificate Practice  
Statement) 。一些由商业证书发放机构(CCA)或者可信的第三方操作的PKI系统需要制定CPS，这是一个包含如何在实践中增强和支持安全策略的一些操作过福的详细文档。它包括CA是如何建立和运作的，证书是如何发行、接收和废除的，密钥是如何产生、注册的，以及密钥是如何存储的，用户是如何得到它的等等。

### 2.4 CA ###

**CA服务器职责:**  
●接收证书签发的请求(由RA负责对用户的身份信息进行验证）  
●用自己的私钥签发证书  
●接收证书撤销请求  
●签发证书注销表

**CA的功能主要有两个:**  
1签发证书;  
2.签发证书撤销列表

**典型的CA系统包括：**  
注册机构RA  
CA服务器  
LDAP目录服务器  
数据库服务器  
安全服务器  
![在这里插入图片描述][e2f8bdf5211a4db594976931fe618ae7.png]  
![在这里插入图片描述][6d3bbe2f8c954eeab5a1f998d44a1c50.png]  
![在这里插入图片描述][d4aaf953b75b45fcaf6161011e87d1a4.png]  
![在这里插入图片描述][cf47a69b159844adae5852a435ec095f.png]  
CA系统基本组件  
![在这里插入图片描述][ac4df7bb26844225ab9209d8cb16045d.png]  
![在这里插入图片描述][ef1f8df3024a4ce29ab6716200662e2c.png]  
![在这里插入图片描述][500296e481f84c789f1497dd825272c8.png]

## 3. PKI信任关系 ##

层次结构的信任模型  
交叉认证模型  
网状信任模型  
桥接信任模型  
[数据安全与保密][Link 1]

### 3.1 层次结构的信任模型 ###

对于一个运行CA的大型权威机构而言，签发证书的工作不能仅仅由一个CA来完成，它可以建立一个CA层次结构

**根CA具有一个自签名的证书  
根CA依次对它下面的CA进行签名  
层次结构中叶子节点上的CA用于对安全主体进行签名**

**对于主体而言，它需要信任根CA ,中间的CA可以不必关心（透明的)；同时它的证书是由底层的CA签发的**

在CA的机构中，要维护这棵树在每个节点CA上，需要保存两种cert  
（1) Forward Certificates:其他CA发给它的certs  
（2) Reverse Certificates:它发给其他CA的certs

![在这里插入图片描述][c741a425c613422ba70ae54c511870b5.png]  
A拿到D的证书要怎么验证？  
小结:  
**只要用户A从根CA开始拿到自签名证书，然后从根CA开始一级一级验证过来，每一级验证不能出错，到最后链条走通了，那么A可以信任CA2签发给D的证书，然后A可以拿到D的公开密钥**

层次结构CA中证书的验证  
![在这里插入图片描述][5bfa069778224645b308a64c35313492.png]

### 3.2 交叉认证 ###

两个不同的CA层次结构之间可以建立信任关系。  
①单向交叉认证  
一个CA可以承认另一个CA在一定名字空间范围内的所有被授权签发的证书  
②双向交叉认证

交叉认证的约束  
名字约束、路径长度约束、策略约束

### 3.3 网状信任模型 ###

完全连接网状、不完全连接网状

混合信任模型：层次和交叉信任混合到一起使用

### 3.4 桥接信任模型（BCA） ###

![在这里插入图片描述][b6c30bd9baa04fc8ad4adc89a175da99.png]  
![在这里插入图片描述][90d1a341ce9f4102a25c6350933569cb.png]  
![在这里插入图片描述][223a50b5463249a0ad0c73782c653a18.png]

## 3.PKCS系列标准 ##

PKCS是由RSA公司及其合作伙伴制定的一组公钥密码学标准，其中包括证书申请、证书更新、证书撤销列表发布、扩展证书内容以及数字签名、数字信封的格式等方面的一系列相关协议。

## 4.PKI提供的基本服务 ##

![在这里插入图片描述][5fafe3930b4b48fdbe9df482a5f3b0f6.png]

## 5.PKI应用 ##

基本的应用：文件保护、E-mail、Web应用

其它：VPN、SSL/TLS、WAP

PKI实现的选择：建立自己的PKI、购买一个PKI、从第三方购买PKI服务、等待一个政府PKI、PKI和应用联合开发，相互协作

立法情况  
电子签名法  
√美国, 2000年,克林顿  
√中国,2004年,个别应用有限制

[7c31f731e4584386928aa4a3dddcf5ac.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/33477a1b14a04dd996b5415e55cc206f.png
[1.5_PKI]: https://zhuanlan.zhihu.com/p/30136885
[2.PKI_PKI]: https://blog.csdn.net/huakai_sun/article/details/79988465
[e2f8bdf5211a4db594976931fe618ae7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/f8585e0d3d534534bd2e730651d025d4.png
[6d3bbe2f8c954eeab5a1f998d44a1c50.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/aa8b222eb071426aa637dc12285b04e2.png
[d4aaf953b75b45fcaf6161011e87d1a4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/4ae9a9a727c3478aa09e1de53d20c073.png
[cf47a69b159844adae5852a435ec095f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/66e1726f3bf9474581a612da48212f0d.png
[ac4df7bb26844225ab9209d8cb16045d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/45bfa0dd172945c28b055dbeabfa405b.png
[ef1f8df3024a4ce29ab6716200662e2c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/85bba6000c174161afb9af12cc2fcb12.png
[500296e481f84c789f1497dd825272c8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/ca4c456ed8e745b3b62048b001993ba3.png
[Link 1]: https://blog.csdn.net/play_fun_tech/article/details/10469805
[c741a425c613422ba70ae54c511870b5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/0ee238c901b14656b8100f579a75e8ed.png
[5bfa069778224645b308a64c35313492.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/0895a396cac343ce979e4e4c35c27a85.png
[b6c30bd9baa04fc8ad4adc89a175da99.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/c69611ea36d245a28e2c33eef451a81b.png
[90d1a341ce9f4102a25c6350933569cb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/ae4ca15541b746069d3bd8fc666f9a23.png
[223a50b5463249a0ad0c73782c653a18.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/d5866bf508e743319754a80272c804ce.png
[5fafe3930b4b48fdbe9df482a5f3b0f6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/22/fee63d04e5254b59a74428d8c7dc9891.png