Presentasi sedang didownload. Silahkan tunggu

Presentasi sedang didownload. Silahkan tunggu

第十二章 证书服务和公钥基 础设施( PKI ) 2005 12. 信息安全的四大要素 机密性 — 保证电子商务、电子政务、办公自 动化、个人隐私中涉及的大量保密信息在网络 上传输的过程中不被窃取。 完整性 — 保证电子商务、电子政务中涉及的 交易信息不被中途篡改或通过重复发送进行虚 假交易。

Presentasi serupa


Presentasi berjudul: "第十二章 证书服务和公钥基 础设施( PKI ) 2005 12. 信息安全的四大要素 机密性 — 保证电子商务、电子政务、办公自 动化、个人隐私中涉及的大量保密信息在网络 上传输的过程中不被窃取。 完整性 — 保证电子商务、电子政务中涉及的 交易信息不被中途篡改或通过重复发送进行虚 假交易。"— Transcript presentasi:

1 第十二章 证书服务和公钥基 础设施( PKI )

2 信息安全的四大要素 机密性 — 保证电子商务、电子政务、办公自 动化、个人隐私中涉及的大量保密信息在网络 上传输的过程中不被窃取。 完整性 — 保证电子商务、电子政务中涉及的 交易信息不被中途篡改或通过重复发送进行虚 假交易。

3 身份鉴别 — 网上交易的双方很可能素昧平 生,相隔千里,因此方便而可靠地确认对方 身份的方式是交易的前提。 不可否认性 — 保证信息是由签名者自己 签名发送的,签名者不能否认或难以否认。  信息安全的解决方案 ——PKI 公钥体系

4 PKI 之动机 公钥技术 如何提供数字签名功能 如何实现不可否认服务 公钥和身份如何建立联系 为什么要相信这是某个人的公钥 公钥如何管理 方案:引入证书 (certificate) 通过证书把公钥和身份关联起来

5 PKI(Public Key Infrastructure) 定义: 用公钥原理和技术实施和提供安全服务的具 有普适性的安全基础设施

6 PKI 的组成 一个完整的 PKI 应该包括 认证机构 (CA) 证书库 证书注销 密钥备份和恢复 客户端软件

7 PKI 基本组件 RA(Registration Authority) 把用户的身份和它的密钥绑定起来 —— 建立 信任关系 CA(Certificate Authority) 发证 证书库 / 目录 保存证书,供公开访问

8 PKI 中的证书 证书 (certificate) ,有时候简称为 cert PKI 适用于异构环境中,所以证书的格式在所 使用的范围内必须统一 证书是一个机构颁发给一个安全个体的证明, 所以证书的权威性取决于该机构的权威性 一个证书中,最重要的信息是个体名字、个体 的公钥、机构的签名、算法和用途 最常用的证书格式为 X.509 v3

9 X.509 证书示意图

10 CA(Certificate Authority) 职责 接受用户的请求 ( 由 RA 负责对用户的身份信息进行验证 ) 用自己的私钥签发证书 提供证书查询 接受证书注销请求 提供证书注销表 各个组件和功能示意图 健壮的数据 库系统 无缝的目录接口 CA 硬件 管理和运 行平台 安全的审计 密钥 PKI

11 CA 层次结构 对于一个运行 CA 的大型权威机构而言,签发证 书的工作不能仅仅由一个 CA 来完成 它可以建立一个 CA 层次结构 根 CA 中间 CA

12 CA 层次结构的建立 根 CA 具有一个自签名的证书 根 CA 依次对它下面的 CA 进行签名 层次结构中叶子节点上的 CA 用于对安全个体进 行签名 对于个体而言,它需要信任根 CA ,中间的 CA 可 以不必关心 ( 透明的 ) ;同时它的证书是由底层的 CA 签发的

13 在 CA 的机构中,要维护这棵树 在每个节点 CA 上,需要保存两种 cert (1) Forward Certificates: 其他 CA 发给它的 certs (2) Reverse Certificates: 它发给其他 CA 的 certs

14 使用服务器证书 一个服务器证书是你的服务器的一个电 子 ID ,它可让你的服务器执行两个重要 的功能来确保通信的安全:为用户标识 自己和加密传送到这些用户的信息。 SSL 加密需要一个服务器证书被绑定到你的 网站中。该证书包含有 “ Keys ” ,在你的网 站和请求安全信息的用户间建立一个安 全连接时,需要用到这些 keys 。

15 客户证书映射 客户端的证书和服务端的是等价的。客 户证书是一个数字 ID ,该 ID 是用来向你 的 Web 服务器标识一个客户的,并且可 让你的服务器使用客户证书映射。客户 证书映射将一个客户的证书映射为一个 Windows 用户帐号,并且可以自动认证 和允许带有这些证书和正确帐号的用户 进行访问。

16 exmaple 例如,一个称为 Vicky 的用户拥有一个客户证书, 她点击了一个到该公司网站的雇员信息部分的 连接,她的浏览器就会将其证书信息放到其服 务器请求的头部,服务器就会检索该证书的一 个映射。如果用户的证书是正确的,并且映射 到一个有效的 Windows 用户帐号,而且该帐号 允许访问这些内容, Vicky 就会被自动地认证, 请求的数据也会出现在她的浏览器中。

17 服务器上安装证书服务 在 “ 控制面板 ” 中运行 “ 添加或删除程序 ” ,切换到 “ 添 加 / 删除 Windows 组件 ” 页,在 “ Windows 组件向导 ” 对话框中,选中 “ 证书服务 ” 选项,接下来 选择 CA 类型, 选择 “ 独立根 CA ” ,然后为该 CA 服务器起个名字, 设置证书的有效期限 指定证书数据库和证书数据库日志的位置后

18 申请数字证书 一 制作请求文件 运行 IIS ,在站点上,属性,目录安全性, 服务器证书,然后按照这个向导做下去, 在最后一步,它会要求你将信息保存到 一个文本文件,保存成一个文本文件。 服务器文件

19 二提交申请 申请证书, 选 择高级申请,选择 “ 使用 base64 编码的 PKCS #10 文件提交一个证书申请,或使 用 base64 编码的 PKCS #7 文件更新证 书申请 ” ,将那个文本文件的内容粘贴到 第一个文本框中。 文件

20 颁发 IIS 网站证书 虽然完成了 IIS 网站证书的申请后,但这时它还处 于挂起状态,需要颁发后才能生效。 在 “ 控制面板 → 管理工具 ” 中,运行 “ 证书颁发机构 ” 程序。 在 “ 证书颁发机构 ” 左侧窗口中展开目录,选中 “ 挂 起的申请 ” 目录 在右侧窗口找到刚才申请的证书,鼠标右键点击 该证书,选择 “ 所有任务 → 颁发 ” 。

21 把证书保存到文件 点击 “ 颁发的证书 ” 目录,打开刚刚颁发 成功的证书,在 “ 证书 ” 对话框中切换到 “ 详细信息 ” 标签页。点击 “ 复制到文件 ” 按 钮,弹出证书导出对话框,一路下一步, 在 “ 要导出的文件 ” 栏中指定文件名,最后 点击 “ 完成 ” 。

22 导入证书 运行 IIS ,在站点上,属性,目录安全性, 服务器证书,然后按照这个向导做下去, 把刚才的文件导入进去 服务器文件

23 作业 1 简述 pki 的概念, 基本组成部分, 实际应用 2 如何利用证书服务提高局域网的安全性


Download ppt "第十二章 证书服务和公钥基 础设施( PKI ) 2005 12. 信息安全的四大要素 机密性 — 保证电子商务、电子政务、办公自 动化、个人隐私中涉及的大量保密信息在网络 上传输的过程中不被窃取。 完整性 — 保证电子商务、电子政务中涉及的 交易信息不被中途篡改或通过重复发送进行虚 假交易。"

Presentasi serupa


Iklan oleh Google