电子政务网络应用安全.ppt

主要内容 第一部分 数字证书相关知识介绍 机遇 当今的时代是信息时代，政务工作也必须要适应时代的要求。在有关部门的重视下，各级政府贯彻落实加强计算机信息化建设工作，利用计算机在文档传递管理、网上报税、网上银行、项目直报、远程通信等工作中都应用了计算机辅助办公，并进入了网络信息共享的阶段。 加密的工具 是通过用户的公钥（Public Key）和私钥(Private Key）来实现的，加密、解密必须用同一个用户的一对公钥和私钥来配对使用。 公钥可以告诉别人，但私钥却一般不能告诉别人，除非授权。就象我们的大楼一样，大门钥匙我们可以给各住户，但各家自己门的钥匙却只能给住户本人，不能随便给。 文件加密与数字签名 “文件加密”与“数字签名”虽然其过程不一样，但原理是一样的，大家注意理解。 文件加密原理 现假设有A公司的老板名叫张三，B公司的老板名叫李四，现张三想传输一个文件file bs给李四，这个文件是有关于一个合作项目标书议案，属公司机密，不能给其它人知道，而恰好有一个C公司的老板王五对A和B公司有关那项合作标书非常关注，总想取得A公司的标书议案，于是他时刻监视他们的网络通信，想如果张三通过网络传输这份标书议案时从网络上截取它。为了防止王五截取标书议案，实现安全传输，我们可以采用以下步骤： 　　 文件加密原理 文件签名原理 数字签名也主要是为了证明发件人身份，就象我们来看到的某文件签名一样，但现在要说的签名是采取数字的方式，它可以防止别人仿签，因为加密后的签名就变得面目全非，别人根本不可能看到真正的签名样子，它与前面所讲的文件加密机理是一样的，但方法不太一样，下面介绍如下。 文件签名原理 和文件加密所举的例子一样，张三要在所发的文件File BS后面要加以签名，以证明这份标书的有效性，同样是发给B公司的老板李四，公司C的老板王五如果想要假冒张三的签名发另一份标书给李四，以达到破坏A公司中标的目的。 　　 公钥的获取与验证 实际上，在张三和李四交换密钥的过程中，王五也可以获得他们的公钥。 那么李四怎样区别哪一个公钥是真正的张三的公钥呢？ 李四可以到第三方发证机关证书目录服务器上进行查询来辨别，就这样王五的阴谋也就不能得逞。 安全是相对的 加密后的文件在解密之前会面目全非，没有对应的密码是无法进行阅读的，更别谈修改了，况且这种密码比一般所使用的密码长许多倍（非对称密码为1024位），而且是配对使用的。据专家分析用任何程序解密的可能性几乎为零，即使能解密，也起码要10000年，这样的解密又有什么意义呢 ？ PKI技术的应用范围 PKI已成为信息安全的核心 如何保障网络应用的安全性？ 首先，一个安全的网络保护着该网络的资源。这些资源包括网络的数据（不管是通过网络传输的数据还是存贮在媒介中的数据），还包括对物理资源的访问权力。 第二，这些资源应该不受有意或无意的破坏。一个安全的网络应该是黑客们所破坏不了的。 最后，对网络资源的保护不能太强制和繁琐。不能为了安全性而把系统设计得很复杂，以至于被授权的人不能以一种简单的方式来访问这些资源。 网络安全必须达到几条基本的要求： （1）我们必须确保数据能够保持私有或保存为一个秘密的格式。我们称之为“机密性”。 （2）我们需要一种授权方式，使需要它的人可以访问那些私有的或秘密的数据。这叫“访问控制”。 （3）当你在处理电子交易的时候。例如，假设你对银行发出一个要求说将100美元在两个帐户之间转移。银行必须能够确信他们收到的正是你所发出的。这称之为“完整性”。 什么是数字证书？ 单位证书 颁发给独立的单位、组织，在互联网上证明该单位、组织的身份。 单位数字证书根据各个单位的不同需要，可以分为单位证书和单位员工证书。 单位证书对外代表整个单位，单位员工证书对外代表单位中具体的某一位员工。 服务器证书 主要颁发给Web站点或其他需要安全鉴别的服务器，证明服务器的身份信息。 服务器数字证书支持目前主流的Web Server，包括但不限于：IIS、Lotus Domino、Apache、iPlant等Web服务器。可存放于服务器硬盘或加密硬件设备上。 基本情况 必须使用获得信息产业部批准的认证中心。 自《中华人民共和国电子签名法》实施一周年以来，获得国家电子认证服务许可证的17家认证机构已经发出了近260万张电子证书。依照电子签名法规定，只有拥有许可证的电子认证机构才能提供电子签名认证服务。 我国目前的140余家电子签名认证服务机构中，仅17家拥有国家电子认证服务许可证，其余的120余家尚未经认证。 发展方向 国家PKI互联工程 证书软件产品一览图 小结 PKI是构建安全信任体系的基础 CA中心只是一个证书发放体系 基于应用驱动的证书应用体系 来自网络的风险 窃听 单位秘