第十二章 证书服务和公钥基 础设施（ PKI ） 2005 12. 信息安全的四大要素 机密性 — 保证电子商务、电子政务、办公自 动化、个人隐私中涉及的大量保密信息在网络 上传输的过程中不被窃取。 完整性 — 保证电子商务、电子政务中涉及的 交易信息不被中途篡改或通过重复发送进行虚 假交易。

Presentasi berjudul: "第十二章 证书服务和公钥基 础设施（ PKI ） 2005 12. 信息安全的四大要素 机密性 — 保证电子商务、电子政务、办公自 动化、个人隐私中涉及的大量保密信息在网络 上传输的过程中不被窃取。 完整性 — 保证电子商务、电子政务中涉及的 交易信息不被中途篡改或通过重复发送进行虚 假交易。"— Transcript presentasi:

1 第十二章 证书服务和公钥基 础设施（ PKI ） 2005 12

2 信息安全的四大要素 机密性 — 保证电子商务、电子政务、办公自 动化、个人隐私中涉及的大量保密信息在网络 上传输的过程中不被窃取。 完整性 — 保证电子商务、电子政务中涉及的 交易信息不被中途篡改或通过重复发送进行虚 假交易。

3 身份鉴别 — 网上交易的双方很可能素昧平 生，相隔千里，因此方便而可靠地确认对方 身份的方式是交易的前提。 不可否认性 — 保证信息是由签名者自己 签名发送的，签名者不能否认或难以否认。  信息安全的解决方案 ——PKI 公钥体系

4 PKI 之动机 公钥技术 如何提供数字签名功能 如何实现不可否认服务 公钥和身份如何建立联系 为什么要相信这是某个人的公钥 公钥如何管理 方案：引入证书 (certificate) 通过证书把公钥和身份关联起来

5 PKI(Public Key Infrastructure) 定义： 用公钥原理和技术实施和提供安全服务的具 有普适性的安全基础设施

6 PKI 的组成 一个完整的 PKI 应该包括 认证机构 (CA) 证书库 证书注销 密钥备份和恢复 客户端软件

7 PKI 基本组件 RA(Registration Authority) 把用户的身份和它的密钥绑定起来 —— 建立 信任关系 CA(Certificate Authority) 发证 证书库 / 目录 保存证书，供公开访问

8 PKI 中的证书 证书 (certificate) ，有时候简称为 cert PKI 适用于异构环境中，所以证书的格式在所 使用的范围内必须统一 证书是一个机构颁发给一个安全个体的证明， 所以证书的权威性取决于该机构的权威性 一个证书中，最重要的信息是个体名字、个体 的公钥、机构的签名、算法和用途 最常用的证书格式为 X.509 v3

9 X.509 证书示意图

10 CA(Certificate Authority) 职责 接受用户的请求 ( 由 RA 负责对用户的身份信息进行验证 ) 用自己的私钥签发证书 提供证书查询 接受证书注销请求 提供证书注销表 各个组件和功能示意图 健壮的数据 库系统 无缝的目录接口 CA 硬件 管理和运 行平台 安全的审计 密钥 PKI

11 CA 层次结构 对于一个运行 CA 的大型权威机构而言，签发证 书的工作不能仅仅由一个 CA 来完成 它可以建立一个 CA 层次结构 根 CA 中间 CA

12 CA 层次结构的建立 根 CA 具有一个自签名的证书 根 CA 依次对它下面的 CA 进行签名 层次结构中叶子节点上的 CA 用于对安全个体进 行签名 对于个体而言，它需要信任根 CA ，中间的 CA 可 以不必关心 ( 透明的 ) ；同时它的证书是由底层的 CA 签发的

13 在 CA 的机构中，要维护这棵树 在每个节点 CA 上，需要保存两种 cert (1) Forward Certificates: 其他 CA 发给它的 certs (2) Reverse Certificates: 它发给其他 CA 的 certs

14 使用服务器证书 一个服务器证书是你的服务器的一个电 子 ID ，它可让你的服务器执行两个重要 的功能来确保通信的安全：为用户标识 自己和加密传送到这些用户的信息。 SSL 加密需要一个服务器证书被绑定到你的 网站中。该证书包含有 “ Keys ” ，在你的网 站和请求安全信息的用户间建立一个安 全连接时，需要用到这些 keys 。

15 客户证书映射 客户端的证书和服务端的是等价的。客 户证书是一个数字 ID ，该 ID 是用来向你 的 Web 服务器标识一个客户的，并且可 让你的服务器使用客户证书映射。客户 证书映射将一个客户的证书映射为一个 Windows 用户帐号，并且可以自动认证 和允许带有这些证书和正确帐号的用户 进行访问。

16 exmaple 例如，一个称为 Vicky 的用户拥有一个客户证书， 她点击了一个到该公司网站的雇员信息部分的 连接，她的浏览器就会将其证书信息放到其服 务器请求的头部，服务器就会检索该证书的一 个映射。如果用户的证书是正确的，并且映射 到一个有效的 Windows 用户帐号，而且该帐号 允许访问这些内容， Vicky 就会被自动地认证， 请求的数据也会出现在她的浏览器中。

17 服务器上安装证书服务 在 “ 控制面板 ” 中运行 “ 添加或删除程序 ” ，切换到 “ 添 加 / 删除 Windows 组件 ” 页，在 “ Windows 组件向导 ” 对话框中，选中 “ 证书服务 ” 选项，接下来 选择 CA 类型， 选择 “ 独立根 CA ” ，然后为该 CA 服务器起个名字， 设置证书的有效期限 指定证书数据库和证书数据库日志的位置后

18 申请数字证书 一 制作请求文件 运行 IIS ，在站点上，属性，目录安全性， 服务器证书，然后按照这个向导做下去， 在最后一步，它会要求你将信息保存到 一个文本文件，保存成一个文本文件。 服务器文件

19 二提交申请 http://servername/certsrv 申请证书, 选 择高级申请，选择 “ 使用 base64 编码的 PKCS #10 文件提交一个证书申请，或使 用 base64 编码的 PKCS #7 文件更新证 书申请 ” ，将那个文本文件的内容粘贴到 第一个文本框中。 文件

20 颁发 IIS 网站证书 虽然完成了 IIS 网站证书的申请后，但这时它还处 于挂起状态，需要颁发后才能生效。 在 “ 控制面板 → 管理工具 ” 中，运行 “ 证书颁发机构 ” 程序。 在 “ 证书颁发机构 ” 左侧窗口中展开目录，选中 “ 挂 起的申请 ” 目录 在右侧窗口找到刚才申请的证书，鼠标右键点击 该证书，选择 “ 所有任务 → 颁发 ” 。

21 把证书保存到文件 点击 “ 颁发的证书 ” 目录，打开刚刚颁发 成功的证书，在 “ 证书 ” 对话框中切换到 “ 详细信息 ” 标签页。点击 “ 复制到文件 ” 按 钮，弹出证书导出对话框，一路下一步， 在 “ 要导出的文件 ” 栏中指定文件名，最后 点击 “ 完成 ” 。

22 导入证书 运行 IIS ，在站点上，属性，目录安全性， 服务器证书，然后按照这个向导做下去， 把刚才的文件导入进去 服务器文件

23 作业 1 简述 pki 的概念, 基本组成部分, 实际应用 2 如何利用证书服务提高局域网的安全性