公钥基础设施PKI_公钥基础设施体系-程序员宅基地

技术标签: 信息安全  

(1)PKI概念

   PKI是对一整套安全基础设施的通称,这套安全基础设施以公钥密码技术为基础,并遵循一系列标准。加密技术是基础,证书服务是核心。PKI支持集中、自动的密钥管理和密钥分配,不但可以为所有的网络应用提供加密及数字签名等服务,而且还可以为这些密码服务提供所需要的密钥和证书管理体系。

(2) PKI组成

    公钥基础设施PKI由认证机构CA、注册审批机构RA、证书库CR、密钥备份及恢复系统、证书作废处理系统和PKI应用接口系统等部分组成,如下图所示。

 

图  PKI系统的逻辑结构

1)  认证机构CA

       认证机构CA (CertificateAuthority)负责给电子商务环境中的各个实体签发数字证书。也就是说CA对实体的身份信息及相应的公钥数据进行签名,借此将该实体的公钥和身份绑在一起,来证明各交易实体在网上的身份的真实性,同时负责在电子商务环境中各实体的交易过程中对证书进行检验和管理。

2)  注册审批机构RA

        RA (Registration Authority)是数字证书注册审批机构,负责录入证书申请者的信息,也负责审核和发放数字证书等工作;另外,RA还负责管理已发放的证书。

3)  证书库CR

        证书库CR (CertificateRepository)是已签发及已撤销证书集中存放的地方,是Internet上的一种公共的信息库。用户可以开放式査询证书库CR,方便、快捷地知道并得到其他用户的证书和公钥。

4)  密钥备份及恢复系统

         为保证签名私钥的唯一性为,签名私钥不能够做备份,所以密钥的备份及恢复主要是针对解密私钥(解密公钥只需存档,无需备份)。当用户遗忘解密私钥的访问口令或存储解密私钥的物理介质被破坏时,用加密公钥加密的密文就无法恢复,所以需要对该密钥进行备份并保证能够及时恢复,必须由可以被各方实体都信任的机构(如认证中心CA)来完成。

5)  证书作废处理系统

         在数字证书使用过程中可能会出现各种情况,在有些情况下,如若出现密钥存储介质丢失、用户身份变更等问题,证书即使在有效期以内,证书也可能需要作废处理,所以,PKI必须提供一系列作废证书机制。

6)  PKI应用接口系统

        为了使加密、数字签名等安全服务能够被用户便利的使用,PKI必须提供性能优异的接口,使各种不同的应用都能够安全地、可信地、一致地与公钥基础设施进行交互,为用户提供便利。使用PKI应用接口,不仅网络环境的可信度能够得到保障,而且管理的成本也能有效降低。

7)  安全服务器

        安全服务器面向普通用户,用于提供证书和证书撤销列表的申请、浏览以及下载等服务。安全服务器与用户的通信采取安全信道方式(如SsL方式),用户首先得到安全服务器的证书(由cA颁发),然后与所有服务器之间进行通信,包括用户填写的申请信息以及浏览器生成的公钥均以安全服务器的公钥进行加密传输。只有安全服务器利用自己的私钥解密才能得到明文,这样可以防止其他人通过窃听得到明文,从而保证了证书申请和传输过程中的信息安全性。具体实现可以选用基于HITPS的Web服务或LDAP服务。

8)  数据库服务器

        数据库服务器用于认证机构中数据(如证书和证书撤销列表等)的存储和管理。实际运转的CA系统的数据库系统应采用多种措施,如磁盘阵列、双机备份和多处理器等方式,以维护数据库系统的安全性、稳定性、可伸缩性和高性能。

(2) 认证中心CA

        CA (Certificate Authority)认证中心,它是采用PKI (Public Key Infrastructure)公开密钥基础架构技术,专门提供网络身份认证服务,负责颁发数字证书,并提供对已颁发的数字证书的管理功能,是兼具权威性和公正性的第三方信任机构。一个CA系统主要包括以下几部分[12]:证书服务器CA Server、证书注册中心系统RARegistry、证书客户端、RA服务器RA Server、密钥管理服务器KM Server、证书目录服务器和证书/密钥数据库。如下图所示。


图    CA系统的组成


(3) 数字证书概念

         在PKI密钥管理服务中公钥的载体是数字证书,CA就是通过生成、发布、撤销数字证书来提供密钥管理服务。数字证书是一个经CA认证中心签名的包含实体的身份信息(如实体的名称、电子邮件等)和实体公钥信息的文件。数字证书是一个由可信任第三方签名的一张身份证明[14],类似于我们円常生活中的身份证,为持卡人/个人、商户/企业、网关/银行等各实体在网上信息交流及商务交易活动的顺利进行提供有效身份证明。在电子交易中要解决各交易实体间的信任问题,就需要在交易的各个环节,验证双方数字证书的有效性。

1)  数字证书的结构

        PKI发展至今存在多种数字证书类型,而且每种数字证书都具有各自不同的格式,目前最为通用的证书标准是X.509。X.509由国际电信联盟(International Telecommunication Union,ITU)制定的数字证书标准,最初的版本是在1988年公布的。X.509证书主要由用户公钥和用户标识符组成。除此以外,证书版本号、序列号、签名算法标识、签发者名称、证书持有人名称和证书有效期等信息也包括在X.509公钥证书之中。X.509证书标准的最新版本是X.509 v3,它定义了包含扩展信息在内的数字证书,该扩展信息扩展了数字证书的功能,具有更大的灵活性,当数字证书在特殊应用环境下使用时,该扩展信息还提供了信息传递所需的内容[12]

数字证书结构如下:

X.509数字证书结构

证书版本号

证书序列号

签名算法标识符

证书颁发者X.500名称

证书有效期

证书持有者X.500名称

证书持有者公钥

证书颁发者唯一标识符

证书持有者唯一标识符

证书扩展部分



版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/ydonghao2/article/details/11093225

智能推荐

使用JDBC连接数据库出现 The server time zone value ‘�й���׼ʱ��‘ is unrecognized or represents more than one解决方案_jdbc.properties timezone-程序员宅基地

文章浏览阅读553次。在 jdbc.properties 文件中的 url 后面加上 ?serverTimezone=UTC加入之前的jdbc.properties文件:user=rootpassword=12345678url=jdbc:mysql://localhost:3306/testdriverClass=com.mysql.cj.jdbc.Driver加入之后:user=rootpassword=12345678url=jdbc:mysql://localhost:3306/test?serv_jdbc.properties timezone

计算机图形学孔令德基础知识,计算机图形学基础教程孔令德答案-程序员宅基地

文章浏览阅读1.4k次。计算机图形学基础教程孔令德答案【篇一:大学计算机图形学课程设】息科学与工程学院课程设计任务书题目:小组成员:巴春华、焦国栋成员学号:专业班级:计算机科学与技术、2009级本2班课程:计算机图形学指导教师:燕孝飞职称:讲师完成时间: 2011年12 月----2011年 12 月枣庄学院信息科学与工程学院制2011年12 月20日课程设计任务书及成绩评定12【篇二:计算机动画】第一篇《计算机图形学》..._计算机图形学基础教程 孔令德 答案

python xlwings追加数据_大数据分析Python库xlwings提升Excel工作效率教程-程序员宅基地

文章浏览阅读1k次。原标题:大数据分析Python库xlwings提升Excel工作效率教程Excel在当今的企业中非常非常普遍。在AAA教育,我们通常建议出于很多原因使用代码,并且我们的许多数据科学课程旨在教授数据分析和数据科学的有效编码。但是,无论您偏爱使用大数据分析Python的程度如何,最终,有时都需要使用Excel来展示您的发现或共享数据。但这并不意味着仍然无法享受大数据分析Python的某些效率!实际上,..._xlwings通过索引添加数据

java8u211_jre864位u211-程序员宅基地

文章浏览阅读911次。iefans为用户提供的jre8 64位是针对64位windows平台而开发的java运行环境软件,全称为java se runtime environment 8,包括Java虚拟机、Java核心类库和支持文件,不包含开发工具--编译器、调试器和其它工具。jre需要辅助软件--JavaPlug-in--以便在浏览器中运行applet。本次小编带来的是jre8 64位官方版下载,版本小号u211版..._jre8是什么

kasp技术原理_KASP基因分型-程序员宅基地

文章浏览阅读5k次。KASP基因分型介绍KASP(Kompetitive Allele-Specific PCR),即竞争性等位基因特异性PCR,原理上与TaqMan检测法类似,都是基于终端荧光信号的读取判断,每孔反应都是采用双色荧光检测一个SNP位点的两种基因型,不同的SNP对应着不同的荧光信号。KASP技术与TaqMan法类似,它与TaqMan技术不同的是,它不需要每个SNP位点都合成特异的荧光引物,它基于独特的..._kasp是什么

华为p50预装鸿蒙系统,华为p50会不会预装鸿蒙系统_华为p50会预装鸿蒙系统吗-程序员宅基地

文章浏览阅读154次。华为现在比较火的还真就是新开发的鸿蒙系统了,那么在即将上市的华为p50手机上会不会预装鸿蒙系统呢?接下来我们就来一起了解一下华为官方发布的最新消息吧。1.华为p50最新消息相信大家都知道,随着华为鸿蒙OS系统转正日期临近,似乎全网的花粉们都在关注华为鸿蒙OS系统优化、生态建设等等,直接忽略了不断延期发布的华为P50手机,如今华为P50系列手机终于传来了最新的好消息,在经过一系列方案修改以后,终于被..._华为手机p50直接预装鸿蒙系统

随便推点

python用什么软件编程好-初学python编程,有哪些不错的软件值得一用?-程序员宅基地

文章浏览阅读2.1k次。Python编程的软件其实许多,作为一门面向大众的编程言语,许多修正器都有对应的Python插件,当然,也有特地的PythonIDE软件,下面我简单引见几个不错的Python编程软件,既有修正器,也有IDE,感兴味的朋友可以本人下载查验一下:1.VSCode:这是一个轻量级的代码修正器,由微软规划研发,免费、开源、跨途径,轻盈活络,界面精练,支撑常见的自动补全、语法提示、代码高亮、Git等功用,插..._python入门学什么好

pytorch一步一步在VGG16上训练自己的数据集_torch vgg训练自己的数据集-程序员宅基地

文章浏览阅读3.2w次,点赞30次,收藏307次。准备数据集及加载,ImageFolder在很多机器学习或者深度学习的任务中,往往我们要提供自己的图片。也就是说我们的数据集不是预先处理好的,像mnist,cifar10等它已经给你处理好了,更多的是原始的图片。比如我们以猫狗分类为例。在data文件下,有两个分别为train和val的文件夹。然后train下是cat和dog两个文件夹,里面存的是自己的图片数据,val文件夹同train。这样我们的..._torch vgg训练自己的数据集

毕业论文管理系统设计与实现(论文+源码)_kaic_论文系统设计法-程序员宅基地

文章浏览阅读968次。论文+系统+远程调试+重复率低+二次开发+毕业设计_论文系统设计法

在python2与python3中转义字符_Python 炫技操作:五种 Python 转义表示法-程序员宅基地

文章浏览阅读134次。1. 为什么要有转义?ASCII 表中一共有 128 个字符。这里面有我们非常熟悉的字母、数字、标点符号,这些都可以从我们的键盘中输出。除此之外,还有一些非常特殊的字符,这些字符,我通常很难用键盘上的找到,比如制表符、响铃这种。为了能将那些特殊字符都能写入到字符串变量中,就规定了一个用于转义的字符 \ ,有了这个字符,你在字符串中看的字符,print 出来后就不一定你原来看到的了。举个例子>..._pytyhon2、python3对%转义吗

java jar 文件 路径问题_「问答」解决jar包运行时相对路径问题-程序员宅基地

文章浏览阅读1.3k次。我这几天需要做一个Java程序,需要通过jar的形式运行,还要生成文件。最终这个程序是要给被人用的,可能那个用的人还不懂代码。于是我面临一个问题:生成的文件一定不能存绝对路径。刚开始我想得很简单,打绝对路径改成相对路径不就行了吗?于是有了这样的代码:String path = "../test.txt";File file = new File(path);……这个写法本身并没有问题,直接运行代码..._jar启动文件路径中存在!

微信读书vscode插件_曾经我以为 VSCode 是程序员专属的工具,直到发现了这些……...-程序员宅基地

文章浏览阅读598次。如果你知道 VSCode,一说起它,你可能第一个想到的就是把它当做一个代码编辑器,而它的界面应该可能大概率是这样的——如果你恰好又是个程序员,那你可能经常会用到它,不管是 Python、JS 还是 C++ 等各种语言对应的文件,都可以用它来进行简单的编辑和整理,甚至是运行和 debug......但是今天要讲的显然不是这些,经过小美的多方研究,发现了即使是对于大多数并不了解 VSCode,也完全不..._vscode weixin read

推荐文章

热门文章

相关标签