PKI技术基础--吉大正元
PKI介绍
产品与工程 From Pilot Projects to Practices, Various Vendors and Products PKI应用 MS Outlook (S/MIME), IE/Navigator (SSL/TLS)
第1章 密码学
§1.1 密码学的历史与发展
ห้องสมุดไป่ตู้
密码学的演进
C=E(P, k), P=D(C, k)
基本技术
替换/置换和移位
DES
DES是第一个得到广泛应用的密码算法；
DES是一种分组加密算法，输入的明文为64位， 密钥为56位，生成的密文为64位；
DES是一种对称密码算法，源于Lucifer算法，其 中采用了Feistel网络(Feistel Network)，即
RC系列
RC系列是Ron Rivest为RSA公司设计的一系列密 码：
RC1从未被公开，以致于许多人们称其只出现在Rivest 的记事本上； RC2是变长密钥加密算法；(RC3设计过程中在RSADSI 内被攻破); RC4是Rivest在1987年设计的变长密钥的序列密码； RC5是Rivest在1994年设计的分组长、密钥长的迭代轮 数都可变的分组迭代密码算法；
VeriSign, Entrust, SHECA, CFCA etc.
VeriSign CPS处于中心角色
第4章 PKI实践 – 技术问题
X.509数字证书(VeriSign)
§4.4 标准化(PKIX文档概况)
概貌(Profiles) – RFC2459
运作协议 – RFC2559, RFC2560, RFC2585, etc.
吉大正元产品简介
注销
功能介绍－KM Server
机构管理
• 使用CA“通信证书”作为就证书注册 • 可限制CA机构能够提取的密钥类型和密钥数量
权限管理
• 超级管理员只能完成授权业务管理员操作 • 其他所有业务管理由业务管理员完成
审计管理
• 统计业务量 • 审计操作日志
• 两个基础设施：安全技术基础设施、安全管理基础设施
• 一个平台：应用安全支撑平台 • 五个统一服务：即统一的用户管理服务、统一的身份认 证服务、统一的授权服务、统一访问控制服务、统一的 安全审计服务。 保护原有用户投资、尽量避免调整应用
吉大正元产品体系介绍
安全 应用 应用 安全 支撑 平台 安全 管理 设施
功能介绍－RA Server
证书管理
• 证书申请、证书下载、证书查询、证书更新 • 证书冻结、证书解冻、证书注销 • 批量申请证书、批量下载证书
用户管理
• 用户组管理 • 添加用户、修改用户、删除用户 • 冻结用户、解冻用户、注销用户
功能介绍－RA Server
模板管理
• 获取已授权模板列表 • 设置审核策略：手动审核、自动审核
开发用API
JIT RA Toolkit JIT OCSP Toolkit
功能介绍－CA Server
CA Server的核心作用
• 签发、管理证书和CRL • 以证书为中心管理数据
业务管理员
证书管理 模板管理 超级管理 员 自定义扩展域管理 权限管理
系统初始化 系统管理 员 系统配置管理
功能介绍－OCSP Server
OCSP核心功能
• 提供在线证书状态查询服务 • 支持对多CA提供证书状态查询服务
PKIPMI系统产品简介.
3
PMS产品简介
主要内容
• • • •
管理员及其管理 用户管理 群体管理 应用注册与管理
•
授权管理
4
管理员及相互关系
系统管理员 （初始化系统）
超级管理员
审计管理员
用户管理员
应用管理员
由 上 至 下 的 任 命 关 系
下级用户管理员
下级用户管理员
审核管理员
下级应用管理员 （授权管理员）
5
用户分级管理与管理员
STS产品简介
主要功能
• • • •
安全传输 传递权限 应用管理 管理员管理
11
总体设计－证书应用流程图
12
Contact me ……
吉大正元信息技术股份有限公司 网址：
13
省厅定义的群体 地市定义的群体
2. 群体支持分级管理
3.可分类管理(如:委部机关 、本省、外省)
8
应用注册与管理
主要功能
1.应用注册
在PMS中注册应用系统 应用角色 应用属性 应用管理员
2. 应用管理
9
授权管理
授权管理主要功能
• •
给用户授权 给群体授权
•
支持用户分级授权管理
10
PKI/PMI系统产品简介
主要内容
• AAS产品简介
• PMS产品简介
• 应用安全支撑平台（STS）产品简介
• 在PMS中给用户签证与授权流程
• 用户访问受保护应用流程
2
AAS产品简介
加密机 AA Server
PMS Server
说明：
1、AAS功能：属性证书签发 2、AAS只与加密机、PMS Server相联
十年吉大正元二次亮剑
十年吉大正元二次亮剑作者：邱燕娜来源：《中国计算机报》2009年第15期尽管一直保持低调,但是长春吉大正元信息技术股份有限公司(以下简称吉大正元)在我国以密码算法为支撑的安全领域的地位却不容忽视。
在4月21日举办的第十届信息安全大会上,吉大正元荣获“影响十年·中国信息安全发展突出贡献企业奖”,这是对吉大正元10年来一直专注于以密码算法为支撑的安全领域的一个恰如其分的评价。
首次亮剑:引进先进的PKI技术吉大正元主要从事信息安全产品的研发、生产、销售,并提供安全咨询、安全评估和安全集成等服务。
成立于1999年的吉大正元见证了我国以密码算法为支撑的信息安全产业的发展历史。
当时我国有几十家相关企业,经过10年的大浪淘沙,吉大正元成为硕果仅存的几家企业之一。
吉大正元副总裁张全伟告诉记者,2003年是吉大正元发展的一个分水岭。
2003年以前,一批技术型的海归来到吉大正元,引入了全球最先进的PKI技术,促进了我国运营CA的产生和发展。
2003年,随着金盾工程的全面展开,吉大正元也开始了面向电子政务、电子商务的认证、授权与责任认定进行技术及产品研发的征程。
从那以后,吉大正元始终坚持技术创新,产品主要以电子证书认证技术为核心,目前已经打造出安全基础类产品、应用安全支撑类产品、安全应用类产品等系列产品。
到目前为止,吉大正元已经承建了300多个知名大中型信息安全项目,涉及的用户包括政府、军队、军工、金融、电信、能源、大中型企业、区域CA等。
同时,吉大正元参与制定了多项国家、行业PKI/PMI及信息安全相关标准,是WG4(PKI/PMI 标准组)、WG3(密码算法和密码模块工作组)和WG7(安全管理工作组)的主要成员和子项目召集单位,是国家商用密码管理局基础设施工作组、可信计算工作组和电子交易密码应用工作组成员单位。
二次亮剑:建立可信可控的安全架构张全伟分析说,目前我国的信息化建设正在从网络时代向信息时代跨越。
吉大正元电子证书认证系统SRQ05技术白皮书
JIT SRQ05 V5.0.2吉大正元电子证书认证系统技术白皮书Version 1.2有意见请寄：************.cn中国·北京市海淀区知春路113号银网中心B座12层电话：86-010-******** 传真：86-010-********吉大正元信息技术股份有限公司声明本文档是吉大正元信息技术股份有限公司的机密文档，文档的版权属于吉大正元信息技术股份有限公司，任何使用、复制和公开此文档的行为都必须经过吉大正元信息技术股份有限公司的书面许可。
内部资料请注意保密版本、密级及修改记录目录1前言 (1)1.1应用场景描述 (1)1.2需求描述 (1)1.3术语和缩略语 (3)1.3.1术语 (3)1.3.2缩略语 (4)2产品概述 (5)2.1产品简介 (5)2.2产品实现原理 (5)2.3产品系统架构 (7)3功能流程 (8)3.1产品功能 (8)3.1.1认证中心（CA Server） (8)3.1.2注册中心（RA Server） (8)3.1.3密钥管理中心（KM Server） (8)3.1.4在线证书状态查询服务（OCSP Server） (8)3.2工作流程 (9)3.2.1认证中心（CA Server） (9)3.2.2注册中心（RA Server） (12)3.2.3密钥管理中心（KM Server） (16)3.2.4在线证书状态查询系统（OCSP Server） (20)4产品特点 (20)4.1丰富完备的功能 (20)4.2部署灵活、操作简单 (21)4.3完全符合国内、国际PKI建设标准 (21)4.4系统平台的高安全性 (22)4.5稳定的性能保证系统的高可用性 (23)4.6广泛的平台兼容性 (23)4.7系统架构的可扩展性 (24)4.8良好的易用性与安全清晰的管理模式 (24)4.9应用平台的开放性 (25)5运行部署 (25)5.1交付产品和系统配置 (25)5.1.1产品逻辑结构图 (25)5.1.2产品清单 (26)5.1.3推荐配置 (27)5.2产品规格和L ICENSE机制 (27)5.3系统组成 (27)5.3.1部署结构－全面型 (27)5.3.2部署结构－精简型 (29)5.3.3部署结构－密钥托管型 (30)6资质证书 (32)7典型案例 (32)图表目录图表1-1术语对照表 (4)图表1-2缩略语对照表 (4)图表2-1系统体系结构 (7)图表4-1SRQ05支持的标准 (22)图表5-1逻辑结构图 (25)图表5-2产品清单 (26)图表5-3推荐配置 (27)图表5-4部署结构图－全面型 (28)图表5-5系统组成清单－全面型 (29)图表5-6部署结构图－精简型 (29)图表5-7系统组成清单－精简型 (30)图表5-8部署结构图－密钥托管型 (31)图表5-9系统组成清单－密钥托管型 (31)1 前言1.1 应用场景描述在现实生活中，表达人身份的是居民身份证，而在当前信息化程度越来越高的网络环境中，证书越来越被广泛的用来代表人、设备、服务器等实体的身份；现实生活中，居民身份证是由公安局进行颁发和管理的，那么在网络环境中，用来颁发和管理身份证书就是公钥基础设施。
pki技术的基本原理及常规应用
pki技术的基本原理及常规应用PKI技术的基本原理及常规应用一、PKI技术的概念PKI技术是公钥基础设施（Public Key Infrastructure）的缩写，是一种安全通信机制。
它通过使用非对称加密算法和数字证书来确保通信的机密性、完整性和可信度。
PKI技术包括公钥加密、数字签名、证书管理等多个方面。
二、PKI技术的基本原理1. 公钥加密公钥加密是指使用公钥对数据进行加密，只有私钥才能解密。
在此过程中，发送方需要获取接收方的公钥，并使用该公钥对数据进行加密。
接收方收到数据后，使用自己的私钥进行解密。
2. 数字签名数字签名是指将消息摘要与发送者的私钥进行加密生成签名，并将该签名与消息一起发送给接收者。
接收者可以使用发送者的公钥来验证签名是否正确，从而确保消息没有被篡改过。
3. 证书管理证书管理是指建立一个可信任的第三方机构（CA）来颁发数字证书，以确保公钥和实体之间的关系可信。
数字证书包含了实体（如个人或组织）和其对应公钥信息，并由CA进行签名认证。
三、PKI技术的常规应用1. 数字证书数字证书是PKI技术的核心，它可以用于各种场景，如SSL/TLS协议中的HTTPS，VPN连接等。
数字证书还可以用于身份认证、电子邮件签名和加密等。
2. 数字签名数字签名可以用于文件和数据的完整性验证，确保数据没有被篡改。
数字签名还可以用于电子合同、电子票据等场景。
3. 数字信封数字信封是指将数据进行加密，并将加密后的数据和接收者公钥一起发送给接收者。
接收者使用自己的私钥进行解密，从而确保通信内容机密性和完整性。
4. VPN连接VPN连接是指通过公共网络建立安全通信隧道，以实现远程访问。
PKI技术可以在VPN连接中使用数字证书进行身份验证和加密通信。
5. 身份认证PKI技术可以用于实现用户身份认证，如在网银系统中使用数字证书进行用户身份认证。
四、总结PKI技术是一种安全通信机制，它通过公钥加密、数字签名和证书管理等多个方面来确保通信的机密性、完整性和可信度。
PKI基本知识
ITU-T X.509
• X.509
– 国际标准：idt ISO/IEC9594-8：1998 ITU-T Rcc.X.509:1997
– X.509是PKI的雏形，PKI是在X.509标准的基础 上发展起来的
– 已经达到标准化的最高水平，非常稳定 – X.509标准有三个版本，版本2和版本3是对版
• 废除证书一般是把证书列入证书撤销列表 中（CRL）来实现
PKI应用系统接口
• PKI的价值在于使用户能够方便地使用加密 、数字签名等安全服务
• 一个完整的PKI必须提供良好的应用接口， 使得各种应用能够以安全、一致、可信的 方式与PKI进行交互，确保所建立起来的网 络环境的可信性。
PKI的功能
国内PKI发展现状
国内现状-服务提供商
• 创原世纪 • 国创科技 • 信安科技 • 吉大正元 • 天威诚信 • 国瑞数码
著名的CA机构
• 目前世界上最著名的CA认证中心是美国Verisign公司， 发展到目前为止已经为超过2700万web站点提供了认证 服务，其个人客户就更多了，世界500强的绝大多数企 业的网上业务都用Verisign的认证服务。
令人可以信任的环境和机制
– 信息的机密性 – 信息的完整性 – 信息的真实性 – 不可抵赖性
为什么需要PKI
PKI的组成部分
• 证书签发机构（CA） • 证书注册机构（RA） • 证书库 • 密钥备份及恢复系统 • 证书废除处理系统 • 应用系统接口
证书签发机构CA
• CA（Certificate Authority）是PKI的核心 • CA对任何一个主体的公钥进行公证 • CA通过签发证书将主体与公钥进行捆绑
– 加密传输
密钥备份与恢复
PKI基础知识与技术原理
PKI基础知识与技术原理PKI（Public Key Infrastructure，公钥基础设施）是一种用于建立和管理公钥的框架和技术体系。
在现代通信和信息安全领域，PKI被广泛用于实现加密，数字签名，身份认证等安全功能。
本文将介绍PKI的基础知识和技术原理。
PKI的基本概念和结构PKI由以下几个基本组件组成：1.证书颁发机构（CA）：负责颁发和管理数字证书的机构。
CA验证证书请求者的身份，并使用自己的私钥对其公钥进行签名，生成数字证书。
2.注册机构（RA）：协助CA进行身份验证，并收集和验证相关的证书申请信息。
3.证书库：存储已经签名的数字证书的数据库，提供证书的查询和验证功能。
4.证书撤销列表（CRL）：包含所有被吊销的证书的列表，用于确认一些证书是否有效。
5.客户端/用户：需要使用PKI的终端用户或设备。
PKI的工作流程1.申请证书：用户通过向CA提交自己的公钥和相关的身份信息，向CA请求颁发数字证书。
3.证书颁发：一旦身份验证通过，CA会使用自己的私钥对公钥进行签名，生成数字证书，并将其发送给用户。
4.证书验证：用户在使用证书时，需要验证其有效性和真实性。
用户可以使用证书库中的证书撤销列表（CRL）或在线查询CA的证书吊销状态来确认证书的有效性。
5.证书更新与吊销：如果用户的证书过期或无效，用户需要向CA申请更新或吊销证书。
CA会验证用户的身份，并根据情况更新或吊销证书。
PKI的技术原理PKI使用了非对称加密算法，其中包括公钥和私钥。
公钥可以公开向他人提供，用于加密数据和验证数字签名。
私钥则需要严格保密，用于解密数据和生成数字签名。
PKI的主要应用场景有：1.加密：使用接收者的公钥对数据进行加密，只有接收者才能使用自己的私钥解密。
2.数字签名：使用发送者的私钥对数据进行签名，接收者可以使用发送者的公钥验证签名的真实性。
3.身份认证：使用数字证书对用户进行身份验证，以确保网络交互的安全性和真实性。
PKI基础知识
Private key
Alice
01101001001001111010
Bob’s payslip
Bob’s Public key
X15/^ow83h7ER源自39DJ3HX15/^ Alice
Alice
Alice 的私钥
Bob,你好！ … … Bob,你好！ … … *Th?shi… 09*）%？S…
DSA
*Th?shi…
原哈希值 Alice的公钥 Alice的公钥
25
哈希算法和公钥加密的结合( 哈希算法和公钥加密的结合(续)
Bob验证数字签名的过程： Bob验证数字签名的过程： 验证数字签名的过程
对称密钥
密文
Bob,你好！ … … sr*)%sth
CAST
… …
17
对称加密和非对称加密的结合( 对称加密和非对称加密的结合(续)
公钥库
Alice
密文
sr*)%sth 7(*?67s
Bob的公钥 Bob的公钥
… …
… sr*)%sth … …
对称密钥
RSA
7(*?67s …
18
对称加密和非对称加密的结合( 对称加密和非对称加密的结合(续)
ow83h7ERH39DJ3H
Alice’s Digital Signature
+
29
密钥长度的选择
取决于加密数据的重要程度 取决于加密数据的保护时间 对称算法还是公开密钥算法
30
密钥长度的选择( 密钥长度的选择(续)
X=2n X=280 X=1,208,925,819,614,629,174,706,176 宇宙的年龄= 宇宙的年龄=261秒
PKI系统中加密机的设计分析
PKI系统中加密机的设计分析1吉大正元信息技术股份有限公司高建峰摘要PKI(Public Key Infrastructure)1技术是流行的网络身份认证技术和手段，目前我们国家PKI系统开始大规模的建设。
密码系统的设计是PKI系统的核心，本文主要分析了PKI系统中加密机的设计。
关键词CA1证书1Design of securiy server in PKI systemJilin University Information Technologies Com.,Ltd Gao JianfengAbstract PKI has been recognized as one of the most effective tools for providing security for networks. PKI system of our coutry begin to be constructed on a large scale.The securiy server is kernel of the PKI system .Designs of securiy server in PKI system is analyzed in the paper.Key words certificate authority certificate1前言随着信息革命的兴起和信息时代的到来，世界范围内正在掀起一场迅猛的信息化浪潮，呈现出以信息为根本特征的崭新面貌。
在这一新的发展机遇与历史抉择面前，许多国家纷纷确立以推进信息化为特征的发展战略，在信息化建设的过程中如何解决在开放的网络体系中用户身份的认证、传输信息的保密、信息的防篡改、信息的防抵赖行为是信息化建设过程中必须要解决的问题。
目前的安全技术，只有PKI技术通过加密、数字签名技术手段可以完美的解决以上的安全问题。
建设PKI基础设施、使用PKI技术成为了信息化建设的一个关键步骤。
吉大正元简介-新
公司介绍
1999年2月成立
注册资本：13530万元
主营业务：信息安全产品的研发、生产、销售，提供 安全咨询、安全集成和行业应用开发等服务 国内最大的公钥基础设施（PKI）产品供应商 在PKI电子证书认证系统领域处于绝对领先地位 拥有88项自主知识产权，67项资质证书 国家密码管理局认定的首批商用密码产品生产定点单 位和销售许可单位
双机热备
产品特点
多样的身份认证机制 支持所有的B/S、C/S架构的应用系统 应用系统零改造接入 细粒度的访问控制 完善的监控审计、支持日志报送 支持分权管理 完全的网络兼容性和应用兼容性 自身安全性高 WEB方式管理、无客户端软件，简单易用
产品简介
CA产品
安全支撑体系框架如下：
LDAP目录服务系统
CRL校验 CRL校验
产生 Token
数字签名服务器
签名/验签 签名验签 中间件 应用系统1 访问
PKI/CA体系
访问请求 证书管理 证书申请/下载
身份认证网关
信息传递
portal SSO
访问 访问
应用系统1
证书管理员
用户 客户端软件
其他系统
证书发放
登录认证
开发用API
JIT RA Toolkit
连接CA，实现证书管理功能
JIT OCSP Toolkit
连接OCSP，实现证书状态查询功能
功能介绍－CA Server
CA Server的核心作用
• 签发、管理证书和CRL • 以证书为中心管理数据
证书管理 模板管理 超级管理 员 自定义扩展域管理 权限管理 业务管理员
PMI技术白皮书
PMI技术白皮书总部：中国·长春前进大街2266号电话：86-0431-*******传真：86-0431-******* 吉大正元信息技术股份有限公司目录产品相应技术PMI概览计算机网络能有效地实现资源共享，但资源共享和信息安全是一对矛盾体。
随着资源共享的进一步加强，随之而来的信息安全问题也日益突出，而身份认证，权限和访问控制又是网络应用安全的两个重要内容，因此它们也成为了当前信息安全领域中的研究热点。
许多应用系统都需要分别在这两个方面采取了相应的安全措施。
但是，对一些大型的组织机构来说，其网络结构比较复杂，应用系统比较多，如果分别对不同的应用系统采用不同的安全策略，则管理将变得越来越复杂，甚至难以控制。
不同的用户对应不同的应用系统，由于机构的网络结构比较复杂，应用系统和用户都是分散分布的，因此对用户的访问控制和权限管理就显得非常的复杂和凌乱。
而机构必须要能够控制：有“谁”能够访问机构的信息，用户访问的是“什么信息”，哪个用户被授予什么样的“权限”。
一旦机构确定了权限管理和发布的方式，访问控制系统就可以根据机构发放的权限以及定义的安全策略控制用户访问，保护应用系统。
然而，过去在权限生命周期管理，权限的表达和权限管理方式方面没有更成熟更实用的成果，权限管理方案发展相对滞后。
相反，访问控制，或者说授权服务，已经十分成熟，在过去的研究和应用中已经获得了很多的成果，建立了我们目前主要使用的DAC，ACL，MAC，RBAC访问控制模型，其中ACL 和MAC得到了最普遍的应用。
目前，RBAC模型也已经比较成熟，支持了最新的应用。
传统的应用系统通常是通过使用用户名和口令的方式来实现对用户的访问控制的，而对权限的控制是每个应用系统分别进行的，不同的应用系统分别针对保护的资源进行权限的管理和控制，这种方式存在一些缺点。
同时，又因为不同系统的设计和实施策略不同，导致了同一机构内存在多种权限管理的现状。
目前，缺乏有效的权限管理带来了以下问题：⏹权限管理混乱对一个机构而言，数据和人力资源都是统一的。
国家电子政务外网电子认证体系推广分析
国家电子政务外网电子认证体系推广分析高建峰(吉大正元信息技术股份有限公司，北京 100086)摘要：我国电子政务建设已经取得了很大的成绩，国家电子政务外网建设已经完成，电子认证体系的建设也已经完成，具备推广的条件，但从总体上看，我国电子政务建设仍存在比较大的问题。
论文主要论述了国家电子政务外网认证体系推广的必要性，指出了推广过程中需要注意的问题。
关键词：电子认证体系证书中图分类号：TP309.7 文献标识码：AThe analysis of the Public Key Infrastructure (PKI) of The national exterior e-governmentnetwork（GAO Jian-feng Jilin University Information Technologies Co.,Ltd）【Abstract】E-government construction in China has made great achievements, The national exterior e-government network construction has been completed and the Public Key Infrastructure (PKI) has been completed, with the promotion of the conditions, but generally speaking,e-government construction in China is still relatively large question. This article focuses on the Public Key Infrastructure (PKI)of the the national exterior e-government network to promote the need for the Public Key Infrastructure (PKI)，pointing out that the promotion of the process need to pay attention to.【Keywords】Public Key Infrastructure (PKI) Certificate0 引言随着改革开放和社会主义现代化建设的进一步推进，我国电子政务建设已经取得了很大的成绩。
吉大正元数字签名服务器-管理员手册20091215_2.0.22
V2.0.22
长春吉大正元信息技术股份有限公司 Jilin University Information Technologies Co., Ltd.
录
1. 引言 ................................................................................................................................................................... 4 1.1. 概述 ................................................................................................................................................... 4 1.2. 定义 ................................................................................................................................................... 4
2.1.1. V1000/V3000 ............................................................................................................................................. 6
3.1. 数字签名管理 ................................................................................................................................... 8 3.1.1. 签名管理 ................................................................................................................................................... 8 3.1.2. 验签管理 ................................................................................................................................................. 10 3.1.3. 服务监控 ................................................................................................................................................. 15 3.1.4. 权限管理 ................................................................................................................................................. 16 3.1.5. 业务日志 ................................................................................................................................................. 16 3.2. 数字信封管理 ................................................................................................................................. 20 3.2.1. 加密管理 ................................................................................................................................................. 20 3.2.2. 解密管理 ................................................................................................................................................. 23 3.2.3. 对称加解密管理 ..................................................................................................................................... 25 3.2.4. 服务监控 ................................................................................................................................................. 26 3.2.5. 权限管理 ................................................................................................................................................. 27
数字认证、卫士通、飞天、吉大正元、中孚、格尔：密码产业链深度梳理
数字认证、卫士通、飞天、吉大正元、中孚、格尔密码产业链深度梳理提到“密码”一词，你可能会联想到开机“密码”、微信登录“密码”、支付“密码”等，但这些“密码”，实际上还不能叫做密码，它们只是个简单的“口令”，是一种简单、初级的身份认证手段。
这些口令，与《密码法》中的“密码”差异巨大。
真正的密码，指的是使用特定变换的方法，对信息等进行加密保护、安全认证的产品技术和服务。
它一般藏在安全支付设备中、网络系统内，以保护信息安全。
密码，分为核心密码、普通密码、商用密码。
其中，核心密码（绝密）、普通密码（普密）用于保护行政级保密信息，而商用密码，则用于保护不属于行政级保密的信息的商用领域。
所以，与大众相关性更高且可以商业化的商用密码产业链，是我们今天研究的重点。
商用密码这条产业链，属于网络安防的细分分支。
对网络安防领域，我们之前在科技版报告库中，做过系列梳理，包括终端防护（奇安信）、超融合+安防（深信服）、老牌网络安防（启明星辰）、数据可视化（中新赛克）等。
对本案所在的商用密码产业链，其上中下游，依次为：上游——密码/安全芯片、印刷电路板、服务器等IT设备及软件开发工具，代表公司包括浪潮信息（毛利率11.88%）、深南电路（毛利率26.53%）、生益科技（毛利率26.65%）。
（对深南、生益，我们在科技版报告库中，做过研究）中游——以密码技术为核心的产品、服务提供商，产品包括智能IC 卡、智能密码钥匙（USB Key）、密码机、电子签章、数字证书认证系统等。
代表公司包括卫士通（毛利率32.54%）、飞天诚信（38.37%）、中孚信息（69.87%）、格尔软件（58.56%）、数字认证（60.27%）。
综合网安厂商，部分产品涉及密码技术，如启明星辰（65.79%）、奇安信（56.72%）、深信服（72.19%），以及硬盘等数字产品巨头Western Digital、Samsung Electronics。
（对启明星辰、深信服、奇安信，我们在科技版报告库中，都做过研究，此处不详述）下游——客户主要是机关、军工、银行、证券，以及大型企业集团。
PKI技术基础--吉大正元
篡改 发出的信息被篡改过吗？
身份认证
不可抵赖
?
伪造 我在与谁通讯?
未发出
Claims
未收到
是否发出/收到信息?
8
如何解决电子通讯中的安全要素
密码技术 （加密 & 解密）
• 对称加密
• 共享 密钥
• 非对称加密
• 公共/私有 密钥对
密码技术的特殊应用： • 数字签名
• 数字证书
Digital Certificate
6
什么是 PKI ?
Public Key Infrastructure (PKI) . . . . . . 是硬件、软件、人员、策略 和操作规程的总和，它们要完成创建、管理、 保存、发放和废止证书的功能
PKI 基于公开密钥加密算法来保证网络通讯安全
7
网络通讯的四个安全要素
机密性 完整性
拦截 通讯是否安全?
• 交叉认证、审计、统计
• 支持多级CA • 支持逻辑CA • 支持证书模板 • 支持双证书 • 支持汉字证书 • 支持密钥管理中心（KMC） • 支持OCSP（在线证书状态查询）
受理点
RA
RA
受理点
受理点
受理点
24
Registration Authority - RA
• 进行用户身份信息的审核，确 保其真实性； • 本区域用户身份信息管理和维 护； • 数字证书的下载； • 数字证书的发放和管理。
非对称 加密算法
*> *ql3*UY *> *ql3*UY #~00873/JDI #~00873/JDI c4(DH: IWB(883 c4(DH: IWB(883 LKS9UI29as9eeasdofi LKS9UI29as9eeasdofi qw9vijhas9djerhp7goe.> qw9vijhas9djerhp7goe.> (*Y23k^wbvlqkwcyw83 (*Y23k^wbvlqkwcyw83 zqw-_89237xGyjdc zqw-_89237xGyjdc Biskdue di7@94 Biskdue di7@94
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
15
PKI技术的典型应用
身份认证
身份认证是鉴别资源的访问者的合法性的基础手段
通常的认证方式：用户名+口令 用户名+口令方式的脆弱性
安全隐患 口令破解技术的发展 管理因素
16
用户名+口令的安全隐患
安全隐患
• • • •
密码容易被无意中泄漏； 黑客和木马工具层出不穷，密码很容易被窃取； 由于密码长度有限，设置密码时没有进行强密码限制，导致密码 可能被猜测、穷举、破译； 应用系统逐步丰富，如果用户密码多了就容易忘记。
12
非对称加密算法
没有共享的密钥。两把密钥同时产生；一把为公钥，另一 把为私钥；因此也被称为一对密钥。
解密
*> *ql3*UY *> *ql3*UY #~00873/JDI #~00873/JDI c4(DH: IWB(883 c4(DH: IWB(883 LKS9UI29as9eeasdofi LKS9UI29as9eeasdofi qw9vijhas9djerhp7goe.> qw9vijhas9djerhp7goe.> (*Y23k^wbvlqkwcyw83 (*Y23k^wbvlqkwcyw83 zqw-_89237xGyjdc zqw-_89237xGyjdc Biskdue di7@94 Biskdue di7@94
非对称 加密算法
To: The Bank To: The Bank From: Tom Jones From: Tom Jones Date: 31 Dec 99 Date: 31 Dec 99 Please transfer Please transfer One Million Dollars One Million from account Dollars 1234567 account 1234567 tofrom account 7654321, to account 7654321, TomJones TomJones
HSM
CA
D/B
HSM PKI enabled applications
PKIX
RA
D/B
RA
D/B
RA
D/B
SPKM
受理点
Public Bob
HASH
• 使用CA的私钥 • 保证信息的真实性和完整性
• 遵守X.509标准
Signed with trusted private Private CA key
Digital Signature
14
数字证书 VS 身份证
• 姓名：王明 • 序列号： 484865 • 签发者：XXXCA • • • •
•
•
发布时间：2002-01-01 有效时间：2002-12-31 Email：wm@ 公钥：38ighwejb 私钥： 42qdyeipv ……
• 姓名：王明 • 编号： 110104197312061536 • 签发者：北京市公安局海淀 分局 • 发布时间：2000-04-05 • 有效期：20年 • 住址：北京市海淀区中科院 南路6号
对称加密 算法
To: The Bank To: The Bank From: Tom Jones From: Tom Jones Date: 31 Dec 99 Date: 31 Dec 99 Please transfer Please transfer One Million Dollars One Million from account Dollars 1234567 account 1234567 tofrom account 7654321, to account 7654321, TomJones TomJones 11
篡改 发出的信息被篡改过吗？
身份认证
不可抵赖
?
伪造 我在与谁通讯?
未发出
Claims
未收到
是否发出/收到信息?
8
如何解决电子通讯中的安全要素
密码技术 （加密 & 解密）
• 对称加密
• 共享 密钥
• 非对称加密
• 公共/私有 密钥对
密码技术的特殊应用： • 数字签名
• 数字证书
Digital Certificate
非对称加密算法
没有共享的密钥。两把密钥同时产生；一把为公钥，另 一把为私钥；因此也被称为一对密钥。
加密
To: The Bank To: The Bank From: Tom Jones From: Tom Jones Date: 31 Dec 99 Date: 31 Dec 99 Please transfer Please transfer One Million Dollars One Million from account Dollars 1234567 account 1234567 tofrom account 7654321, to account 7654321, TomJones TomJones
17
口令的破解技术
破解技术
• • • • •
穷举法（蛮力猜测） 利用技术和管理漏洞 字典法破译 通过网络监听非法得到用户口令 采用缺省口令直接猜测
18
几种认证方式的比较
用户名/口令 动态口令 生物特征 数字证书 （非对称密钥 ） 高
安全性
低
较高
高
双向认证
单向
单向
单向
双向
确保信息的保 密性、完整性 和不可否认性 成本
• 国家保密局：涉及国家秘密的计算机信息系统集成资质证书 • 公安部：计算机信息系统安全专用产品销售许可证 • 国家信息安全测评认证中心：信息安全认证产品型号证书 • 国家密码管理局:系统安全性审查 • 解放军信息安全测评认证中心：军用信息安全产品认证证书 • 国家信息产业部:CA运营执照
21
PKI系统的总体介绍
解密
*> *ql3*UY *> *ql3*UY #~00873/JDI #~00873/JDI c4(DH: IWB(883 c4(DH: IWB(883 LKS9UI29as9eeasdofi LKS9UI29as9eeasdofi qw9vijhas9djerhp7goe.> qw9vijhas9djerhp7goe.> (*Y23k^wbvlqkwcyw83 (*Y23k^wbvlqkwcyw83 zqw-_89237xGyjdc zqw-_89237xGyjdc Biskdue di7@94 Biskdue di7@94
3
• 但人们担心的是 . . .
Internet上没人知道你是一只狗
4
常用的安全防护手段
基于口令验证 防火墙 入侵检测 漏洞扫描 安全审计 防病毒Байду номын сангаас
5
我们将找到答案 ……
加密算法： 对称加密 非对称加密 网络安全 解决方案 数字证书 证书链 Certification Authorities & PKI
不能
不能
不能
能
低
较高
最高
高
19
什么是 PKI ?
Public Key Infrastructure (PKI) . . . . . . 是硬件、软件、人员、策略 和操作规程的总和，它们要完成创建、管理、 保存、发放和废止证书的功能
PKI 基于公开密钥加密算法来保证网络通讯安全
20
国家的相关管理机构
非对称 加密算法
*> *ql3*UY *> *ql3*UY #~00873/JDI #~00873/JDI c4(DH: IWB(883 c4(DH: IWB(883 LKS9UI29as9eeasdofi LKS9UI29as9eeasdofi qw9vijhas9djerhp7goe.> qw9vijhas9djerhp7goe.> (*Y23k^wbvlqkwcyw83 (*Y23k^wbvlqkwcyw83 zqw-_89237xGyjdc zqw-_89237xGyjdc Biskdue di7@94 Biskdue di7@94
13
什么是数字证书?
一个 数字证书 是 . . .
• 一个包含用户身份信息的文件
• CA的名称 （颁发机构） • Bob的名称 （对象） • Bob的公钥
• 数字签名
• 由可信的第三方进行签名
Certification Authority
• Issuer (CA) • Subject (Bob) • Subject’s Public Key
PKI技术基础
吉大正元信息技术股份有限公司 2007年9月
PKI技术的引入
如何保证网络上的通讯安全？
• 使用LAN/Internet . . .
• • • • • • • • • 发送邮件 分发软件 发送敏感的或私有的数据 进行应用系统访问 如何确认某人的身份? 如何知道我连接的是一个可信的站点? 怎样才能保证我的通讯安全? 怎样确定电子信息是否被篡改? 如何证明某人确实给我发过电子邮件?
受理点
27
KMC
CA
RA
RA
受理点
受理点
受理点
PKI系统标准结构
PKIX CMP, Cert
LDAPv3, DAP
CA
KMC
Cross Certification
CA
D/B
HSM
Signing Algorithms RSA, DSA, ECDSA
Directory Services
LDAP
CA
D/B
• 交叉认证、审计、统计
• 支持多级CA • 支持逻辑CA • 支持证书模板 • 支持双证书 • 支持汉字证书 • 支持密钥管理中心（KMC） • 支持OCSP（在线证书状态查询）