第九章密钥管理

2. 会话密钥由通信方生成、由KDC传递（3步）
1) A选择会话密钥Ks，用与密钥分配中心KDC共 享的密钥Ka加密Ks与B的身份 ，然后发给KDC 。
A→KDC : EKa[Ks || IDB ]
2) KDC用与A共享的主密钥Ka解密所收到的消 息，用与B共享的密钥Kb加密所得到的会话 密钥Ks及A的身份，然后发给B。
《信息安全技术》
第九章 密钥管理
9.0 概述
密钥是加密解密的关键(KEY) 现代密码系统的安全性主要依赖于对密钥的有 效保护 密钥管理──用于在授权各方间实现密钥关系的 建立和维护的一整套技术和程序
密钥管理负责密钥的生成、存储、分配、使用、 备份/恢复、更新、撤销和销毁等
密钥管理是密码学中最重要、最困难的分支 基本原则──管理、技术并重（三分技术、七分 管理） 木桶原理──密码系统的安全强度取决于最薄弱 的环节 人为泄漏──密钥管理中最薄弱的环节
A→B : KU || IDA
3) B产生会话密钥Ks并用收到的KU加密后 发给A。
B→A : EKU [Ks]
4) A用私钥KR解密得到会话密钥Ks 。 5) A销毁公钥、私钥对，B销毁公钥。 （此协议容易受主动攻击──攻击者假冒B）
5. 改进方法（保密+身份认证）（5步） 1) A用B的公钥加密A的身份和一个现时N1并 发给B。
3) 数字证书链 上层CA向其下层 CA签发证书 下层CA由其上层 CA鉴别身份 顶级CA（根CA、 RCA）无需鉴别 身份 底层CA向终端用 户签发证书
4) 数字证书的管理环节 签发 更新 查询 注销（需维护证书注 销表CRL）
4) 数字证书有效的三条件 有CA的有效签名 在证书有效期之内 证书不在CRL中
5) 数字证书的鉴别 单向鉴别──只鉴别发 起方 双向鉴别──鉴别发起 方和响应方 三向鉴别──鉴别发起 方和响应方以及发起方 到响应方的报文
B→A : EKUa[N1 || N2]
7) A用私钥解密出N1、N2 ，以N1确认B的身份， 用B的公钥KUb加密N2并发给B。
A→B : EKUb[N2]
8) B用私钥解密得到N2以确认A的身份。 （后3步用于A、B相互确认对方的身份）
3. 数字证书 1) 概述 证书由认证中心CA 签发 目的之一──向持有 人提供会话密钥 目的之二──持有人 向对方的证明自己的 身份 常见标准──X.509工 业标准（第三版） 2) X.509证书的格式 （字段意义见P214）
4) A用私钥加密所选会话密钥Ks后再用B 的公钥加密并发给B （既保证只有B能 得到Ks，又使B确信只有A能发出）。
A→B : EKUb [EKRa [Ks]]
5) B用私钥解密出N2后确信对方是A，再用 私钥和A的公钥解密得到会话密钥Ks 。
9.4.2 公开密钥的分发
1. 公开密钥的分发方式 1) 公开发布 优点──简便、 无需安全渠道 缺点──方便了 公钥的伪造行为 2) 建立并维护公钥 目录 优点──杜绝了 公钥的伪造行为 缺点──需要可 信的管理者
KEK的构造步骤： ① 接收用户口令 ② 用与当前时刻有关的随机数或伪随机 数生成盐值SALT ③ 用某混合算法将口令与SALT混合成 一个比特串（相当于产生消息摘要） ④ 从上述比特串中选取足够的位以形成 KEK SALT将与被KEK加密后的数据加密密 钥一起被保存，以便解密时使用
解密数据加密密钥需要再现原来的KEK KEK的再现步骤： ① 接收用户口令 ② 找出原来的SALT ③ 用相同的混合算法将口令与SALT混 合成一个比特串（相当于产生消息摘 要） ④ 从上述比特串中以原来的方式选取位 以再现KEK
1) A用自己的身份和一个一次性随机数N1 （用于认 证对方的身份并对抗重放攻击，称为“现时”， 下同） 向B发出索取会话密钥的请求。
A→B : IDA || N1
2) B用与A共享的密钥K(KEK)加密应答消息，包括 B 所选会话密钥Ks、B的身份、N1的约定函数值 f(N1)、另一现时N2，然后发给A 。
4) B向管理机构发出带时戳T2的请求（要求得 到A的公钥） 。
B→KDC : IDB || IDA || T2
5) 管理机构为B发出应答（包括A的公钥 KUa 、B的请求）。
KDC→B : KUa || IDB || IDA || T2
6) B用私钥解密出N1 ，然后用发自管理机构 的A的公钥KUa加密N1和另一个现时N2，并 发给A 。
3) 带认证的分发（在线服务方式） 优点──可靠、杜绝多种攻击行为 缺点──需要经过多次在线通信才能实现ห้องสมุดไป่ตู้4) 使用数字证书（离线服务方式） 优点──可离线实现 缺点──需要认证中心CA签发
2. 由公钥管理机构实现公钥分配（8步） 1) A向公钥管理机构KDC发出带时戳T1的请求 （要求得到B的公钥） 。
9.3.2 密钥的安全存储
1. 基于口令的软保护 用密钥加密密钥KEK来保护数据加密密 钥 KEK是即时产生、用完即弃的对称密钥 解密数据加密密钥时需再次产生相同的 KEK KEK基于用户的口令而生成 为防止口令相同或口令预计算攻击，在 由口令产生KEK的过程中宜加入一个随 机触发的数，称为“盐值(SALT)”
9.1 密钥的种类和层次结构
9.1.1 密钥的种类──相对而言
1. 数据加密密钥──用于加密反映信息本身的数 据，位于较低层次，分为： 会话密钥(Session Key)──动态产生、一次 一密、用完即弃，用于通信数据的保护 文件密钥──用于存储于外存的静态数据的 保护 2. 密钥加密密钥(Key Encrypting Key,KEK)── 用于对会话密钥或其下层密钥加密密钥进行 加密的密钥，从而实现被保护密钥的在线分 发；而其本身则受到其上层密钥加密密钥或 主密钥的保护
A→B : EKUb [IDA || N1]
2) B用私钥解密出N1，并用A的公钥加密N1 和另一个现时N2后发给A。
B→A : EKUa [N1 || N2]
3) A 用私钥解密出N1 、N2 （因只有B能解 出N1，故A收到后确信对方是B），再 用B的公钥加密N2后发给B。
A→ B : EKUb [N2]
9.1.2 密钥管理的层次式结构
n层密钥结构
K1 f1 K2
密钥协议
K1
f1 K2 f2 ∶
f2 ∶ Kn-1
fn-1 Kn
明文 加密算法 密文
Kn-1 fn-1
Kn
解密算法
明文
1. 由共n级密钥组成n层密钥结构 2. i级密钥Ki是下一级密钥Ki+1的主密钥、 同时是上一级密钥Ki -1的工作密钥 3. 最底层的工作密钥Kn称为数据加密密钥 4. i级密钥Ki通过算法fi保护其下一级密钥 Ki+1 5. i级密钥Ki由其上一级密钥Ki-1经某种变 换而得到 6. 最高层的主密钥以明文形式存储，其余 各级密钥均在其上级密钥作用下动态产 生、用完即弃
9.2 密钥管理的生命周期
1. 主要环节 1) 用户登记──接纳为安全体系中的成员， 包括用户身份特征的获取、创建或交换 2) 初始化──包括系统初始化和用户初始化 3) 密钥材料的安装──将生成密钥所需的要 素装入系统 4) 密钥的生成──主密钥宜用手工方式产生， 其他密钥可在主密钥控制下随机产生 5) 密钥的登记──密钥与用户身份绑定，并 存入密钥库 6) 密钥的使用──对密钥的使用权限、期限 等进行管理
KDC→A : EKa[Ks || IDB || N1 || EKb[Ks || IDA]]
3) A 用Ka解密上述消息，由N1确信对方是 KDC并且不是重放， 由IDB确信请求未被篡 改，存储会话密钥Ks，然后将KDC给B的消 息转发给B 。 A→B : E [Ks || ID ]
Kb A
4) B用Kb解密所收到的消息，由IDA得知 请求由A发出，然后用所得的会话密钥 Ks加密另一个现时N2并发给A。
3. 主密钥(Base Key) ──也称基本密钥(Primary Key) ，用于对密钥加密密钥的保护，位于最 高层次，相对固定，易于更换，从而实现密 钥加密密钥的在线分发，但其本身以明文形 式受物理等方式的保护，可分为： 用户主密钥(User Key) ──由系统分配、由 用户长期掌握 主机主密钥(Host Master Key)──存于整个 系统的主机中，由最高管理者掌握
2. 密钥状态 1) 使用前状态──此时的密钥不可用 2) 使用状态──此时的密钥可正常使用 3) 使用后状态──此时的密钥不再正常 使用，但仍位于存档库，可根据需要 离线访问 4) 过期状态──密钥材料及相关材料被 删除
9.3 密钥的生成与安全存储
9.3.1 密钥的生成 1. 主密钥宜用手工方式利用自然随机现象 产生 2. 密钥加密密钥可在主密钥控制下用伪随 机数产生器或安全算法产生 3. 会话密钥由主机产生，并用目标终端的 密钥加密密钥加密，然后送给终端，终 端接受后用同一密钥解密以得到会话密 钥
7) 密钥材料的备份──对密钥的副本进行短期 存储 8) 密钥的存档──对不再使用的密钥进行注销 和归档，以便长期离线保存 9) 密钥的更新──对超过期限的密钥进行更换 10)密钥的恢复──从备份或存档库中恢复被意 外丢失的密钥 11)密钥的注销与销毁──销毁被注销用户的所 有密钥材料及相关信息 12)密钥的撤销──应对安全威胁或用户关系变 动
KDC→B : EKb[Ks ||IDA]
3) B用Kb解密所收到的消息，从而得到与A的 会话密钥
3. 会话密钥由KDC生成并分配（5步）
1) A向密钥分配中心KDC发出需与B共享会话密 钥的请求（包括A、B身份和一个现时N1）。
A→KDC : IDA || IDB || N1
2) KDC用与A共享的主密钥Ka加密应答消息： 为A、B 所选的会话密钥Ks、B的身份、N1 、 需由A转发给B的消息（用与B共享的主密钥 Kb加密的Ks和A的身份），然后发给A。