公钥基础设施PKI_CA.ppt

公钥基础设施PKI/CA 公钥基础设施PKI 1 PKI基本概念 2 美国、加拿大PKI/CA体系的对比 3 PKI中常用的密码技术 4 PKI体系结构与功能操作 5 X.509标准 6 认证机构CA系统 PKI基本概念 什么是PKI？ 公钥基础设施（Public Key Infrastructure） PKI是一个用非对称密码算法原理和技术来实现并提供安全服务的具有通用性的安全基础设施。能够为所有网络应用提供采用加密和数字签名等密码服务所需要的密钥和证书管理。 PKI由多种功能组成，其中核心部分是具有权威性、可信任性及公正性的第三方机构-CA（Certificate Authority） PKI基本概念 为什么需要PKI？ 电子政务、电子商务对信息传输的安全需求 在收发双方建立信任关系，提供身份认证、数字签名、加密等安全服务 收发双方不需要共享密钥，通过公钥加密传输会话密钥 PKI基本概念 非对称密码体制 PKI基本组成 PKI由以下几个基本部分组成： 公钥证书 证书作废列表（CRL） 策略管理机构（PMA） 认证机构（CA） 注册机构（RA） 证书管理机构（CMA） 证书存档（Repository） PKI基本组成 公钥证书 由可信实体签名的电子记录，记录将公钥和密钥（公私钥对）所有者的身份捆绑在一起。公钥证书是PKI的基本部件。 证书作废列表（CRL） 作废证书列单，通常由同一个发证实体签名。当公钥的所有者丢失私钥，或者改换姓名时，需要将原有证书作废。 策略管理机构（PMA） 监督证书策略的产生和更新，管理PKI证书策略。 PKI基本组成 认证机构（CA） 互联网定义：一个可信实体，发放和作废公钥证书，并对各作废证书列表签名。 美国防部定义：一个授权产生，签名，发放公钥证书的实体。CA全面负责证书发行和管理（即，注册进程控制，身份标识和认证进程，证书制造进程，证书公布和作废及密钥的更换）。CA还全面负责CA服务和CA运行。 PKI基本组成 注册机构（RA） 互联网定义：一个可选PKI实体（与CA分开），不对数字证书或证书作废列单（CRL）签名，而负责记录和验证部分或所有有关信息（特别是主体的身份），这些信息用于CA发行证书和CLR以及证书管理中。RA在当地可设置分支机构LRA。 PKIX用语：一个可选PKI实体与CA分开，RA的功能随情况而不同，但是可以包括身份认证和用户名分配，密钥生成和密钥对归档以及作废报告管理等。 PKI基本组成 证书管理机构（CMA） 将CA和RA合起来称CMA(certificate management authority)。 证书存档(Repository) 一个电子站点，存放证书和作废证书列表（CRL），CA在用证书和作废证书。 PKI中的证书 证书(certificate) PKI适用于异构环境中，所以证书的格式在所使用的范围内必须统一； 证书是一个机构颁发给一个安全个体的证明，所以证书的权威性取决于该机构的权威性； 一个证书中，最重要的信息是个体名字、个体的公钥、机构的签名、算法和用途、有效日期； 签名证书和加密证书分开； 最常用的证书格式为X.509 v3； PKI的特点 节省费用。在一个大型的组织中，实施统一的安全解决方案比实施多个有效的解决方案要节省费用。 互操作性。在一个企业中如果实施多个方案无法实现互操作性 开放性。不同企业、行业需要进行电子交易，因此需要开放的、可互操作的方案。 一致的解决方案。 可验证性。可由第三方机构（如CA）验证操作和交互是否正确。而独立的解决方案，每个都要进行测试，各方案之间的交互很难进行大规模的、全面的测试。 可选择性。这里的可选择性是指基础设施的提供者可选择。提供者可以是一个企业的特设机构，也可以由社会上的候选者中选择。它取决于提供者的专业水平、价格、服务功能、名望、公正性、长远稳定性等因素。 PKI相关的标准 证书 X.509 v3 PKCS系统，关于证书操作的标准 PKCS #1，定义RSA算法加密和签名机制。 PKCS #3，定义Diffie-Hellman密钥交换协议。 PKCS #6，描述公钥证书的标准语法。 OCSP，在线证书状态协议 目录服务LDAP 公钥基础设施PKI 1 PKI基本概念 2 美国、加拿大PKI/CA体系的对比 3 PKI中常用的密码技术 4 PKI体系结构与功能操作 5 X.509标准 6 认证机构CA系统 美、加PKI/CA体系对比 美国联邦PKI体系????美国联邦PKI是自下而上建立的一个庞大PKI体系。联邦政府首先成功地在各联邦机构中分别使用了不同的PKI产品，PKI产品的多样性提高了政府机构的工作效率，但也造成了各机构彼此之间难以互操作的问题。为了增强彼此间合作，解决不同信任域之间