公钥基础设施PKI：实现和管理电子安全 笔记
信息安全技术 公钥基础设施 证书管理协议
信息安全技术在现代社会中扮演着至关重要的角色，其中公钥基础设施（PKI）和证书管理协议更是信息安全的关键组成部分。
本文将深入探讨这些技术的概念和作用，以及它们在现代网络和通讯中的重要性和运作方式。
一、公钥基础设施（PKI）1.1什么是PKI公钥基础设施是一种电子认证系统，它使用了非对称加密技术来对数据进行加密和数字签名。
PKI通常由证书颁发机构（CA）、注册机构（RA）、证书存储库和吊销列表（CRL）等组成。
1.2 PKI的作用PKI的主要作用是保障在网络上进行的通讯和数据传输的安全性和完整性。
它能够验证通讯双方的身份，并确保数据在传输过程中不会被篡改。
1.3 PKI的优势和挑战PKI的优势在于可以提供高度安全的通讯和数据传输方式，但同时它也面临着管理复杂度高和成本昂贵的挑战。
二、证书管理协议2.1 证书管理协议的概念证书管理协议是用于SSL/TLS证书信任链的一个开放标准。
它定义了一种用于获取、验证和撤销数字证书的协议。
2.2 证书管理协议的作用证书管理协议在保证网络通讯安全中扮演着重要的角色，它能够有效地管理和维护网络中的数字证书，确保它们的有效性和可靠性。
2.3 证书管理协议的发展和实践证书管理协议在互联网和大型企业网络中得到了广泛的应用，它的发展不断完善，并为网络安全提供了重要的保障。
总结信息安全技术是当今社会中不可或缺的一部分，PKI和证书管理协议作为其中重要的组成部分，为网络通讯和数据传输提供了强大的支持和保障。
在未来的发展中，随着网络环境的不断变化和恶意攻击手段的升级，我们需要不断完善和加强这些技术的应用和管理，以确保信息安全得到有效的保障。
个人观点作为信息安全领域的专业人士，我深刻理解PKI和证书管理协议在网络安全中的重要性。
在实际工作中，我也发现了这些技术的复杂性和挑战性，但我相信通过不断的学习和改进，我们能够更好地利用这些技术，保障网络通讯和数据传输的安全性。
以上就是对信息安全技术、PKI和证书管理协议的深度探讨和个人观点共享。
第6章_公钥基础设施__PKI
自行开发的安全应用系统。指各行业自行开发的各种具体应用系统， 如银行、证券的应用系统等。
一个真正完整的PKI还包括认证政策的制定（包括遵循的技 术标准。各CA之间的上下级或同级关系、安全策略、安全 程度、服务对象、管理原则和框架等）、认证规则、运作制 度的制定、所涉及的各方法律关系内容以及技术的实现等。 但在PKI中最重要的核心部分就是认证机构CA。
2019/10/25
6
二、PKI的核心—CA
认证机构（certificate authority）又叫认证 中心，简写为 CA。认证机构作为权威的、
可信赖的、公正的第三方机构，专门负责发
放并管理所有参与网上活动的实体所需的数 字证书。
CA为使用公开密钥的用户发放数字证书，以此 证明证书中列出的用户名称与证书中列出的公开 密钥相对应。
认证机构CA。CA是PKI的核心，负责管理PKI中所有用户（包括各 种应用程序）的数字证书的生成、分发、验证和撤销。
X.500目录服务器。X.500目录服务器用于发布用户的数字证书和数 字证书撤销表信息，用户可通过标准的LDAP协议查询自己或其他人 的数字证书，下载数字证书撤销表。
具有高强度密码算法（如 SSL）的安全WWW服务器。微软的IIS、 Netscape的www服务器、Apache www等。
一个树型结构中的根认证机构Z的作用是极其关键 的，因为所有的认证路径都依赖于对z的信任。
根认证机构的私钥必须得到格外的保护 ，因为根认 证机构只向其他认证机构（而不是最终实体）签发 数字证书，所以一般来讲其签发数字证书的频率并 不很高。
3 公钥基础设施(PKl)
陈家琪网络安全技术－第3章公钥基础设施(PKI)
Windows 2000中，获得密钥对和证书
陈家琪网络安全技术－第3章公钥基础设施(PKI)17陈家琪网络安全技术－第3章公钥基础设施(PKI)18
PKI中的证书
Ø证书(certificate)，有时候简称为cert
ØPKI适用于异构环境中，所以证书的格式在所使
用的范围内必须统一
Ø证书是一个机构颁发给一个安全个体的证明，所
法以证书的权威性取决于
网络安全技术－第3章公钥基础设施(PKI)20
网络安全技术－第3章公钥基础设施(PKI)21
证书的主要内容
：
证书的CA的X.500 DN名字。
包括、组织机构、单位部门和通用
，包括证书开始生效的日期和日期和时间。
每次
使用证书时，在有效期内。
网络安全技术－第3章公钥基础设施
CA层次结构
于一个运行CA的大型权威机构而言作不能仅仅由一个CA来完成
以建立一个CA层次结构
根CA
陈家琪网络安全技术－第3章公钥基础设施(PKI)31
网络安全技术－第3章公钥基础设施(PKI)
33
陈家琪网络安全技术－第3章公钥基础设施(PKI)
申请一个证书PKCS#10
陈家琪网络安全技术－第3章公钥基础设施(PKI)。
公钥基础设施(PKI)的作用
公钥基础设施（PKI）的作用公钥基础设施（PKI）是一种加密技术体系，用于确保网络通信的安全性和可信性。
其作用包括建立和管理密钥、数字证书和数字签名等，为信息安全提供了重要的基础支持。
本文将介绍PKI的概念、功能以及在现代社会中的广泛应用。
一、概述PKI是一种安全基础设施，用于确保通信数据的机密性、完整性和认证性。
它包含了加密算法、数字证书、证书颁发机构（CA）和注册机构（RA）等组件，通过这些组件协同工作，实现了保护网络通信的目标。
二、功能1. 机密性保护：PKI通过使用公钥和私钥配对来实现信息的机密性保护。
发送方使用接收方的公钥将信息加密，只有接收方拥有与其对应的私钥，才能解密信息。
2. 完整性保护：PKI使用数字签名技术来保护数据的完整性。
发送方使用私钥对信息进行签名，接收方使用发送方的公钥来验证数字签名，以确保数据在传输过程中没有被篡改。
3. 身份认证：PKI通过数字证书来验证用户的身份。
数字证书中包含用户的公钥和一些身份信息，由可信的证书颁发机构进行签名和发布。
使用者可以通过验证数字证书的合法性，来确认通信双方的身份。
4. 密钥交换：PKI可以实现安全的密钥交换，确保通信双方的密钥不被窃取或篡改。
通过使用公钥加密算法，通信双方可以在不安全的网络中安全地交换密钥。
三、应用1. 电子商务：PKI在电子商务领域的应用非常广泛。
用户可以通过数字证书进行身份验证，并使用数字签名保护交易的机密性和完整性。
此外，PKI还可以提供交易双方之间的安全通信渠道。
2. 电子政务：PKI可用于政府机构与公民之间的安全通信和身份认证。
通过数字证书的应用，政府机构可以确保公民身份的准确性，并保证与公民之间的信息交互的安全性。
3. 敏感数据保护：PKI对于保护敏感数据的安全性至关重要。
银行、金融机构等行业可以使用PKI来保护客户的个人账户信息和交易数据，从而防止黑客攻击和数据泄露。
4. 远程访问和虚拟专用网络（VPN）：PKI可用于远程访问和VPN连接的安全性保障。
第4章 公钥基础设施PKI
方便经济性
要求PKI能保证用户安全、便捷和经济的使用系统。
多政策性
多政策性可允许不同用户接受不同的认证政策。
兼容性
要求PKI支持多平台、多应用。PKI是遵循一种标准
的，它必须适合于不同的开发环境和不同的开发平台，
如Windows、UNIX等；也必须面向不同的应用来提
供安全保障，如文件传送、电子邮件等。
14
密钥备份及恢复系统
一般地，公钥有两大类用途:用于验证数字签名。 消息接收者使用发送者的公钥对消息的数字签 名进行验证。用于加密信息。消息发送者使用 接收者的公钥加密用于加密消息的密钥,进行数 据加密密钥的传递。
--相应地，系统中需要配置用于数字签名/验证 的密钥对和用于数据加密/脱密的密钥对，这 里分别称为签名密钥对和加密密钥对。这两对 密钥对于密钥管理有不同的要求。
11
2、数字证书库CR（Certificate Repository）
数字证书的集中存放地，提供公众查询，常 用目录服务器提供服务，采用LDAP目录访 问协议。
一般来说，查询的目的有两个：其一是想得 到与之通信实体的公钥；其二是要验证通信 对方的证书是否已进入 “黑名单”。
12
数字证书库CR（Certificate Repository）
公钥基础设施 PKI (public key
infrastructure)又叫公钥体系，是一种利用
公钥加密技术为电子商务的开展提供一套 安全基础平台的技术和规范，用户可利用 PKI平台提供的
可扩展性
要求PKI能满足电子商务不断发展的需要，证书库及作废 证书列表CRL（Certificate Revocation List）有好的扩 展性能 。
10
信息安全学习总结15-PKI技术(初稿)
（十五）PKI技术作者：山石1.PKI概述PKI（Public Key Infrastructure）即"公开密钥基础设施"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。
简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。
PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。
PKI是一个用公钥概念与技术来实施和提供安全服务的普适性基础设施。
PKI也是一种标准的密钥管理平台，它能够为所有的网络应用提供加密和数据签名。
图1 密钥的生命周期2.PKI提供的基本服务（1）认证：采用数字签名技术，签名作用于相应的数据之上●被认证的数据——数据源认证服务●用户发送的远程请求——身份认证服务●远程设备生成的challenge信息——身份认证（2）完整性：PKI采用了两种技术●数字签名：既可以是实体认证，也可以是数据完整性●MAC(Message Authentication Code，消息认证码)：如DES-CBC-MAC或者HMAC-MD5（3）保密性●用公钥分发随机密钥，然后用随机密钥对数据加密（4）不可否认●发送方的不可否认——数字签名●接受方的不可否认——收条 + 数字签名3.PKI中的证书3.1.概述证书（Certificate），有时候简称为cert，是一个经证书授权中心数字签名的、包含公开密钥拥有者信息以及公开密钥的文件。
通过证书可以向系统中的其他实体证明自己的身份，也可通过证书进行公钥分发。
证书是一个机构颁发给一个安全个体的证明，所以证书的权威性取决于该机构的权威性。
证书中，最重要的信息是个体的名字、个人的公钥、机构的签名、算法和用途。
签名证书和加密证书的分开。
PKI适用于异构环境中，所以证书的格式在所使用的范围内必须统一。
最常采用的证书格式为X.509 V3，该证书包括：证书内容、签名算法和使用签名算法对证书的所作的签名等。
公钥基础设施PKI篇
公钥基础设施PKI篇PKI概述企业生意成功与否在很大程度上取决于该企业是否拥有一个安全可靠的网络系统。
目前大多数企业的IT管理人员都为其企业的网络系统采取了某种形式的加密和认证方案。
许多企业的网络管理人员正在利用Web向企业提供安全的Internet商务、虚拟专用网络(VPN)以及远程认证服务,以使其远地雇员拥有对企业网络的存取能力。
然而,当前的大多数安全技术(例如用户名和口令、一次性口令以及双向鉴别)并不适合企业的安全需求,而且这些传统的技术通常需要互不相同的维护与管理措施。
目前,越来越多的企业需要利用网络与其分布在世界各地的分支机构及远地雇员相连,因此它们需要采取最有效的安全手段以保护企业资源。
然而安全防范措施的加强同时也引发了更多额外的管理工作。
值得庆幸的是,公共密钥基础设施(PKI)可帮助企业解决这一难题,它可帮助企业建立一个安全可靠的网络管理系统。
PKI是一种易于管理的、集中化的网络安全方案。
它可支持多种形式的数字认证: 数据加密、数字签字、不可否认、身份鉴别、密钥管理以及交叉认证等。
PKI可通过一个基于认证的框架处理所有的数据加密和数字签字工作。
PKI 标准与协议的开发迄今已有15年的历史,目前的PKI已完全可以向企业网络提供有效的安全保障。
在运行机理上，有近50种有关PKI的标准在过去的15年中得以统一,供应商们的不懈努力较好地解决了其后端数据库的互操作能力。
一个PKI由众多部件组成,这些部件共同完成两个主要功能:为数据加密和创建数字认证。
服务器(即后端)产品是这一系统的核心,这些数据库管理着数字认证、公共密钥及专用密钥(分别用于数据的加密和解密)。
CA(Certificate Authority,认证权威)数据库负责发布、废除和修改X.509数字认证信息,它装有用户的公共密钥、证书有效期以及认证功能(例如对数据的加密或对数字签字的验证)。
为了防止对数据签字的篡改,CA在把每一数字签字发送给发出请求的客户机之前,需对每一个数字签字进行认证。
《电子商务安全》第4章 公钥基础设施PKI与数字证书
（3） 密钥备份及恢复系统
当用户提出恢复密钥的请求时，恢复中心首先从数据库中找到被 条件交付机构加密的会话密钥送往条件交付机构进行解密，再利用解 密得到的会话密钥解密用户的私钥。密钥恢复过程如图4.2所示。一次 密钥恢复过程完成后，密钥恢复中心立即删除该密钥在系统中留下的 痕迹，以密钥泄露。
数字证书的格式一般采用由国际电信联盟（ITU-T）制 定的数字证书国际标准X.509。
数字证书的格式一般采用由国际电信联盟（ITU-T）制 定的数字证书国际标准X.509。
（3） 密钥备份及恢复系统
密钥备份及恢复是密钥管理的主要内容，密钥的备份与恢复必须由 可信的机构来完成，CA可以充当这一角色。
4.3 认证中心
认证中心主要由以下三部分组成：
① 注册服务器。通过Web服务器建立的站点，可为客户提 供每日24小时的服务。因此，客户可在自己方便的时候在 网上提出证书申请和填写相应的证书申请表，免去了排队 等候等烦恼。
② 证书申请受理和审核机构。负责证书的申请和审核。它 的主要功能是接受客户证书申请并进行审核。
（5）证书应用管理系统
证书应用管理系统面向具体的应用，完成对某一确定证书的应用 和管理任务，主要有应用该证书进行加密、签名、验证签名以及对证 书的保存、证书的安全、证书的可信度验证等功能，达到PKI体系透明 应用的目的。
（6）PKI应用系统接口
PKI应用接口系统需要实现以下功能：
完成证书的验证工作；为应用提供统一的密钥备份与 恢复支持；确保用户的签名私钥始终只在用户本人的控制 之下，阻止备份签名私钥的行为；
4.3.3 网状信任模型
在网状信任模型中，每对相邻的CA之间通过互相签发对方的证书 来实现“交叉认证”，这样就在CA间构成了一个双向的信任关系网。 与层次信任模型中每个CA只有惟一的一个根CA不同，网状信任模型 中每个CA都有多个根CA，从而使得在证书链的选取上存在着多种方 式，这也在一定程度上增加了证书链的构造复杂度。
网络安全笔记
1. 什么是PKI？PKI是Public Key Infrastructure 的缩写，意为“公钥基础结构” 。
2. PKI由哪些组件构成？①公钥加密技术②数字证书：用于用户的身份的验证③证书颁发机构（CA）：CA 是一个可信任的实体，负责发布、更新和吊销证书④注册机构（RA）：RA 拥有接受用户的请求等功能3. PKI体系能够实现的功能有哪些？①身份验证②数据完整性③数据机密性④操作的不可否认性4. 什么是密钥？从字面上解释，密钥是秘密信息的钥匙。
掌握了密钥就可以获得保密的信息。
具体来说，密钥是一组信息编码，自身包含了密码规则资料。
信息在发送前需要按照规则进行数据的重新排列组合，打乱了原有的数据顺序，这样即便数据包被第三方截获，他也无法顺利读出其中的内容，而接受方在收到信息后按照相同的规则进行解密就可以清楚无误地得到正确的信息了。
5. 用密钥进行加密，有哪些类型？一般来说密钥加密的方法有三种类型：对称加密、非对称加密和Hash 加密。
①对称加密只使用了一个密钥进行加密解密，所以也可以叫做单密钥加密。
它对密钥本身没有特殊的要求，通信双方只要有一个相同的密钥就行，一个用户把自己需要发送的数据通过密钥加密成混乱的信息，接受方使用相同的密钥把接受到的信息还原成原始数据，这个方法可以在极短的时间内对大量信息进行加密解密。
但是如果密钥在传输过程中就被截获，那么以后的加密过程就形同虚设。
这个方法的优点是使用同一个密钥节省了加密解密所需的时间，但是无法保证密钥的安全性。
目前使用对称密钥算法的是RC5、RC6、Blowfish 和Twofish，其中最后两种算法位数长，而且加密解密速度很快。
②非对称加密采用一对匹配的密钥进行加密、解密。
每把密钥执行一种对数据的单向处理，每把的功能恰恰与另一把相反，一把用于加密时，则另一把就用于解密。
公共密钥是由其主人加以公开的，而私人密钥必须保密存放。
为发送一份保密报文，发送者必须使用接收者的公共密钥对数据进行加密，一旦加密，只有接收方用其私人密钥才能加以解密。
第5章 公钥基础设施PKI
PKI简介
PKI及PKI应用系统
公钥基础设施PKI（Pubic Key Infrastructure）又叫公钥体系，是一种利用公钥加密 技术为电子商务的开展提供一套安全基础平台的技术和规范，用户可利用PKI平台提供 的服务进行安全通信。
PKI系统是什么
• 从广义上讲，所有提供公钥加密和 数字签名服务的系统，都可叫做PKI 系统
证监会下达了《证券公司客户资金账户开立指引》，证券 公司采取网上方式为客户办理开户手续，应当符合以下规 定： • 客户应当使用合法有效的数字证书； • 客户使用的数字证书，可以在完成身份验证后，向证券
公司领取，也可以向国家相关主管部门许可的电子认证 服务机构领取； • 证券公司接受客户通过数字证书办理相关业务，应当按 照《中华人民共和国电子签名法》，确保相关手续的合 法性和有效性。
• PKI的主要目的是通过自动管理密钥 和数字证书，来为用户建立起一个 安全的网络运行环境，使用户可以 在多种应用环境下方便地使用加密 和数字签名技术，从而保证网上数 据的机密性、完整性、有效性
PKI应用系统的功能
• 公钥数字证书的管理 • 证书撤消表的发布和管理 • 密钥的备份和恢复 • 自动更新密钥 • 自动管理历史密钥 • 支持交叉认证
Chapter 5
公钥基础设施PKI
PKI : PUBLIC KEY INFRASTRUCTURE
引例
PKI在网上证券中的应用
• 中国证券登记结算有限责任公司和中国证券业协会分别下达了《证券账户非现场开户实施细则（试行）》和《证券公司开立客户账户规范》，明确 要求了为保障了网上开户必须使用PKI体系的数字证书去保障整个网上开户过程中身份的真实性、操作的安全性、结果的可信性。
第5章 公钥基础设施PKI
• 添加“证书服务”
37
5.3PKI的实施 5.3.2 Windows 2000下的PKI实施工作
1.建立CA
• 选择证书类型
38
5.3PKI的实施 5.3.2 Windows 2000下的PKI实施工作
1.建立CA
• 填写CA信息
39
5.3PKI的实施 5.3.2 Windows 2000下的PKI实施工作
35
5.3PKI的实施 5.3.1 Windows 2000下的PKI技术
Windows 2000下的PKI体系结构
证书服务 活动目录
安全策略
Admin 域
证书登记和撤销
策略分发、证书发行等
域登录
域客户机
DC/KDC
KDC：密钥分发中心。
36
5.3PKI的实施 5.3.2 Windows 2000下的PKI实施工作
5.2.3 CA的建设现状
区域性CA建设分析
上海CA 建立 授权者
1998年2月 上海市人民政府
广东CA
1998年它的前身建立，2000年6月挂 牌更名 广东省人民政府 自主开发
技术来源 自主开发 证书类型 通用证书（个人证书、单位证书、服
通用证书（个人证书、单位证书、服 务器证书、代码签名证书、VPN证书、 务器证书、安全邮件证书、代码签名 无线应用证书）和SET证书 证书） 2000年11月，上海CA组织京、津、沪 等地的CA成立跨区域的协卡认证体系 （UCA） 2003年1月1日，《上海市数字认证管 理办法》和《关于同意制定本市电子 商务数字证书价格的通知》正式实施 2000年广东CA联合海南、湖北、重 庆、广西的CA认证中心建立跨区域 网证通认证体系（NETCA） 2003年2月1日《广东省电子交易条 例》正式实施
《电子商务安全》第4章 公钥基础设施PKI与数字证书
数字证书的格式一般采用由国际电信联盟（ITU-T）制 定的数字证书国际标准X.509。
（3） 密钥备份及恢复系统
密钥备份及恢复是密钥管理的主要内容，密钥的备份与恢复必须由 可信的机构来完成，CA可以充当这一角色。
公钥加密标准PKCS是在RSA安全标准基础上发展起来 的一组公钥密码学标准。PKБайду номын сангаасS已经公布了以下的标准：
（1）定义RSA公钥算法加密和签名机制的PKCS#1。 （2）定义Diffie-Hellman密钥交换协议的PKCS#3。 （3）描述利用从口令派生出来的安全密钥加密字符串 的方法的PKCS#4。 （4）描述公钥证书（主要是X.409证书的扩展格式）标 准语法的PKCS#6。 （5）PKCS#7标准。 （6）描述私钥信息格式的PKCS#8。
4.1.3 PKI的相关标准
（6）描述私钥信息格式的PKCS#8。 （7） PKCS#9标准。 （8）用于描述证书请求语法的PKCS#10。 （9） PKCS#11标准。 （10）描述个人信息交换语法标准的PKCS#12。 （11）椭圆曲线密码体制标准PKCS#13。 （12）伪随机数生成标准PKCS#14。 （13）密码令牌信息格式标准PKCS#14。 其中PKCS#2和PKCS#4已经被合并到PKCS#1中。
CA是数字证书的申请及签发机关，它是PKI的核心执行机构，也是PKI的 核心组成部分，业界人士通常称它为认证中心。从广义上讲，认证中心还应该 包括证书申请注册机构RA（Registration Authority），它是数字证书的申请注 册、证书签发和管理机构。
CA的主要职责包括：
① 验证并标识证书申请者的身份。
公钥基础设施PKI：实现和管理电子安全 笔记
4 PKI服务和实现
4.1 密钥和证书生命周期管理4.1.1 证书颁发
4.1.6 密钥类型
4.1.9 私钥保护
4.2 部署PKI服务
5. 密钥和证书生命周期5.2 密钥管理
密钥管理分为：
●密钥生成
●密钥存储
●密钥传输
●归档密码
●恢复密钥
5.2.3 密钥传输
5.2.4 密钥归档
如果密钥的产生是在CA中心，则密钥归档用CA中心完成，同时下发给用户
如果密钥的产生是在用户端，用户利用CMP协议等上传密钥，进行密钥归档。
如果密钥的产生是在智能卡，则密钥归档无法实现。
（智能卡只能生成密钥不能读出密钥）修改为使用智能卡，但由CA中心生产密钥，负责密钥归档和写入智能卡。
5.2.5 密钥恢复
只恢复加密密钥，签名密钥不恢复。
当前密钥
先前密钥
旧密钥。
第二章：公钥基础设施PKI
11
感谢大家对于课程的支持！！
12
1
1. 基本概念
概念、定义、名词
网络安全特征；常见的不安全原因、因素； 常见攻击手段 安全攻击、安全机制、安全服务及其关系 网络安全模型、网络访问安全模型
基本的安全模型、安全体系结构
基本的加密、认证、密钥交换算法 分组密码算法的工作模式
2
2.PKI体系
PKI基本概念：什么是？为什么要有? PKI组成 证书的基本结构 PKI基本功能 、证书的生命周期、证书链、 交叉认证 SET协议的基本概念、数字信封、双重数字 签名等
VPN种类、功能 Ipsec VPN MLPS原理、MPLS VPN实现方式
7
4. PGP，WEP
PGP的基本功能、安全服务 WLAN的基本概念，网络、密码学基础
TCP、UDP、IP协议，Email相关协议 基本的密码学算法
成绩评定：
考试60% 平时作业25% (大作业15%，课程小作业 10%) 课堂等平时表现5%+课堂测试10% 填空、选择、简答（包含画图）
10
题型
考试时间、地点
时间：
6月10日，8:30-10:30
地点：3B215 答疑时间：
6月3日上午，9:00-11:00，电三楼307、305 6月5日上午，9:00-11:00，电三楼307、305
3
3. IPSec：AH、ESP与IKE
安全关联SA、SAD/SPD IKE
ISAKMP SA设置，主模式&野蛮模式 从原理上理解头标的组成，和大致的功能 相关密钥的推导和作用
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
4 PKI服务和实现
4.1 密钥和证书生命周期管理4.1.1 证书颁发
4.1.6 密钥类型
4.1.9 私钥保护
4.2 部署PKI服务
5. 密钥和证书生命周期5.2 密钥管理
密钥管理分为：
●密钥生成
●密钥存储
●密钥传输
●归档密码
●恢复密钥
5.2.3 密钥传输
5.2.4 密钥归档
如果密钥的产生是在CA中心，则密钥归档用CA中心完成，同时下发给用户
如果密钥的产生是在用户端，用户利用CMP协议等上传密钥，进行密钥归档。
如果密钥的产生是在智能卡，则密钥归档无法实现。
（智能卡只能生成密钥不能读出密钥）修改为使用智能卡，但由CA中心生产密钥，负责密钥归档和写入智能卡。
5.2.5 密钥恢复
只恢复加密密钥，签名密钥不恢复。
当前密钥
先前密钥
旧密钥。