电子邮件PPT课件

2021/4/10
6
3.2.1 PKI 系统结构
PKI应用
认证中心CA
注册机构 RA
证书签发系统
PKI策略
软硬件系统
PKI 系统结构
2021/4/10
7
3.2.1 PKI 系统结构
PKI策略
PKI策略是一个包含如何在实践中增强和支持安全 策略的一些操作过程的详细文档，它建立和定义 了一个组织信息安全方面的指导方针，同时也定 义了密码系统使用的处理方法和原则。
数字证书采用公钥体制，即利用一对相互匹配的密钥 进行加密、解密。每个用户自己设定一把特定的仅为 本人所知的专有密钥（私钥），用它进行解密和签名； 同时设定一把公共密钥（公钥）以证书形式公开，用 于加密和验证签名。当发送一份保密文件时，发送方 使用接收方的公钥（证书）对数据加密，而接收方则 使用自己的私钥解密，这样的信息在传输和存放时就 可以保证安全性。
2021/4/10
25
3.3 数字证书及管理
3.3.6 证书更新 证书更新包括两种情况：最终实体证书更新
和CA证书更新。
最终实体证书更新，有以下两种方式：
执行人工密钥更新 实现自动密钥更新
2021/4/10
26
3.3 数字证书及管理
3.3.7 证书归档 由于证书更新等原因，一段时间后，每个
2021/4/10
19
3.3.2 证书的申请
证书的申请有离线申请方式和在线申请方式两 种：
离线申请方式
用户持有关证件到注册中心RA进行书面申请。
在线申请方式
用户通过因特网，到认证中心的相关网站下载申请 表格，按内容提示进行填写；也可以通过电子邮件 和电话呼叫中心传递申请表格的信息，但有些信息 仍需要人工录入，以便进行审核。
协议发布
证书和证书撤销信息也可以作为其他信息通信交换协议的一 部分。如通过S/MIME 安全电子邮件协议，TLS协议证书的 交换。
2021/4/10
23
3.3 数字证书及管理
3.3.5 证书撤销 证书由于某种原因需要作废，比如用户身份姓
名的改变、私钥被窃或泄漏、用户与所属企业 关系变更等，PKI需要使用一种方法，通知其 他用户不要再使用该用户的公钥证书，这种通 知、警告机制被称为证书撤销。
2021/4/10
14
3.2 PKI组成
3.2.4 最终实体 最终实体EE（End Entity， EE）是指PKI产
品和服务的最终使用者，可以是个人、组织和 设备。RA管理员、CA管理员、最终用户的角 色关系如图所示
2021/4/10
15
3.3 数字证书及管理
是由认证中心发放并经过认证中心签名的，包含证书 拥有者及其公开密钥相关信息的一种电子文件，可以 用来证明数字证书持有者的真实身份。数字证书是 PKI体系中最基本的元素，PKI系统的所有安全操作都 是通过数字证书来实现的。
说明 版本号 证书唯一序列号 CA签名使用算法 CA名 证书生效日期和失效日期 证书主体 证书主体公开密钥信息 CA唯一标识 证书主体唯一标识 证书扩充内容 CA对以上内容的签名
2021/4/10
18
3.3 数字证书及管理
3.3.2 证书的申请 PKI 系统的证书申请、审核、制作、发布、发
放、存储和使用的工作流程，见图所示
2021/4/10
20
3.3 数字证书及管理
3.3.3 证书生成 如果证书的申请被批准，CA就把证书请求转化
为证书，用CA的私钥对证书进行签名，保证证 书的完整性和权威性，将制作好的证书存储到 证书库中，供CA进行证书的发放和发布。
2021/4/10
21
3.3 数字证书及管理
3.3.4 证书发布 证书必须发布到以下两类实体：
认证中心
认证中心是PKI的信任基础，它负责管理密钥和数 字证书的整个生命周期。
注册机构
注册机构是PKI信任体系的重要组成部分，是用户 （个人或团体）和认证中心之间的一个接口。
2021/4/10
9
3.2.1 PKI 系统结构
证书签发系统
证书签发系统负责证书的发放，例如可以通过用户自己或通 过目录服务器进行发放。目录服务器可以是一个组织中现有 的，也可以是由PKI方案提供的。
PKI应用
PKI的应用非常广泛，包括在Web服务器和浏览器之间的通 信、电子邮件、电子数据交换（EDI）、在因特网上的信用 卡交易和虚拟专用网（VPN）等方面。
PKI应用程序接口系统
一个完整的PKI必须提供良好的应用接口系统（API），以 便各种应用都能够以安全、一致、可信的方式与PKI交互， 确保所建立起来的网络环境可信，降低管理和维护的成本。
求。
2021/4/10
11
3.2.2 认证中心
证书查询：接收用户对数字证书的查询；提供目录 服务，可以查询用户证书的相关信息。
证书撤销：产生和发布证书吊销列表，验证证书状 态；或提供在线证书查询服务OCSP（Online Certificate Status Protocol），验证证书状态。
证书申请者从认证中心处得到的数字证书和用户的 私钥，通常保存在申请证书所用电脑硬盘的隐秘空 间里，一般人无法获取，但可以通过程序导出，存 储在USB盘或其它的计算机里，这样用户数字证书 和私钥就可以在其它的计算机上使用并完成备份。
2021/4/10
28
3.3 数字证书及管理
3.3.9 数字证书的使用 如果证书持有者A需要向证书持有者B传送数字
全国相继成立了多家PKI认证中心和PKI产品开发商.
2021/4/10
5
3.2 PKI组成
3.2.1 PKI 系统结构 一个典型的PKI系统包括PKI策略、软硬件系
统、认证中心（CA Certification Authorities）、注册机构（RA Registration Authority）、证书签发系统和 PKI应用等几个基本部分组成 。PKI系统结构 如图所示。
2021/4/10
3
3.1.2 为什么需要PKI
Internet最大的特点是它的开放性、广 泛性和自发性
网络安全服务包含了信息的真实性、完整性、 机密性和不可否认性等
为了防范用户身份（包括人和设备）的假冒、 数据的截取和篡改以及行为的否认等安全漏洞， 需一种技术或体制来实现对用户身份的认证，
PKI策略的内容一般包括：认证政策的制定、遵循 的技术规范、各CA之间的上下级或同级关系、安 全策略、安全程度、服务对象、管理原则和框架、 认证规则、运作制度的规定、所涉及的法律关系， 以及技术的实现。
2021/4/10
8
3.2.1 PKI 系统结构
软硬件系统
软硬件系统是PKI系统运行所需硬件和软件的集合， 主要包括认证服务器、目录服务器、PKI平台等。
1、数字签名的验证实体。验证实体通过证书获得 签名实体可信的公开密钥，验证消息发送方的数字 签名，对消息发送实体进行身份认证；
2、加密数据的解密实体。加密数据的实体通过证 书获得对方公钥，对发送的数据进行加密，解密实 体使用自己的私钥对信息进行解密。
2021/4/10
22
3.3.4 证书发布
证书的发布方式有以下3种： 离线发布
2021/4/10
16
3.3 数字证书及管理
3.3.1 证书格式 数字证书的格式采用X.509国际标准。 X.509证书格
式的版本到目前为止共有3个版本，通常用v1、v2和 v3表示。
1988年：X.509协议标准的第一版，定义了v1版的证书格式 和CRL（证书吊销列表）格式。
1993年：X.509协议标准的第二版，定义了v2版的证书格式 和修改了上一版的CRL格式。
字段名 Version Serial number Signature algorithm ID Issuer name Validity period Subject (user) name Subject public key information Issuer unique identifier Subject unique identifier Extensions Signature on the above field
证书制作完成后，通过email和软盘等存储介质的方式，离线 分发给申请的用户。在小范围的用户群内使用得很好，该方 式不适合企业级的应用。
资料库发布
将用户的证书信息和证书撤销信息，存储在用户可以方便访 问的数据库中或其他形式的资料库中。例如：轻量级目录访 问服务器 Web 服务器、FTP 服务器、等。
2021/4/10
4
3.1.3 PKI 的发展与应用
自20世纪90年代初期以来，逐步得到许多国家政府和 企业的广泛重视，PKI技术由理论研究进入到商业化 应用阶段。
IETF、ISO等机构陆续颁布了X.509、PKIX、PKCS、 S/MIME、SSL、SET、IPSec、LDAP等PKI应用相 关标准，RSA、VeriSign、Entrust、Baltimore等 企业纷纷推出自己的PKI产品和服务。
用户都会形成多个旧证书和至少一个当前证书， 这一系列旧证书和相应的私钥，就组成了用户 密钥和证书的历史档案，简称密钥历史档案， 因此需要证书归档和管理，以备后用。
2021/4/10
27
3.3 数字证书及管理
3.3.8 用户证书存储
用户数字证书可以存储在计算机的硬盘、USB盘、 IC卡和专用的USB Key盘中。
RA可以认为是CA的代表处、办事处，负责证 书申请者的信息录入、审核及证书发放等具体 工作；同时，对发放的证书完成相应的管理功 能。
2021/4/10
13
3.2.3 注册中心
RA的具体职能包括：
自身密钥的管理，包括密钥的更新、保存、使用、 销毁等。