© The McGraw-Hill Companies, Inc., 2007 Chapter 5 公公公公公公公公 Public Key Infrastructure (PKI)
Chapter 5 公開金鑰基礎建設 Public Key Infrastructure (PKI)
Jan 04, 2016
Chapter 5 公開金鑰基礎建設 Public Key Infrastructure (PKI). 5.1 前言. 公開金鑰基礎建設 (PKI) 技術目前已廣受重視，且已成為當前網際網路運作上的核心安全機制。 PKI 與非對稱性金鑰密碼學的概念非常接近，主要包括訊息摘要、數位簽章和加密服務。 要實現這些服務的首要條件是 數位憑證技術 。. 5.2 數位憑證. 前言 金鑰交換或金鑰協議的問題也因此十分嚴重，事實上，也是在設計任何基於電腦密碼學解決方案中最困難的挑戰。在許多考慮之後，這個問題被一個革命性的構想── 數位憑證 所解決。. 數位憑證的概念 - PowerPoint PPT Presentation
Welcome message from author
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
© The McGraw-Hill Companies, Inc., 2007
Chapter 5公開金鑰基礎建設
Public Key Infrastructure (PKI)
© The McGraw-Hill Companies, Inc., 2007
5.1 前言• 公開金鑰基礎建設 (PKI) 技術目前已廣
受重視，且已成為當前網際網路運作上的核心安全機制。
• PKI 與非對稱性金鑰密碼學的概念非常接近，主要包括訊息摘要、數位簽章和加密服務。
• 要實現這些服務的首要條件是數位憑證技術。
© The McGraw-Hill Companies, Inc., 2007
5.2 數位憑證• 前言
– 金鑰交換或金鑰協議的問題也因此十分嚴重，事實上，也是在設計任何基於電腦密碼學解決方案中最困難的挑戰。在許多考慮之後，這個問題被一個革命性的構想──數位憑證所解決。
© The McGraw-Hill Companies, Inc., 2007
• 數位憑證的概念– 數位憑證是一個小型的電腦檔案。
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 憑證管理中心– 一個憑證管理中心是可以發行數位憑證的信譽
機構。• 數位憑證的技術細節
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 數位憑證的建立1. 牽涉個體– RA 通常會提供下列服務：
• 接受和驗證新使用者的註冊資訊• 在終端使用者端產生金鑰• 接受和批准金鑰備份和覆蓋的要求• 接受和批准憑證廢止的要求
© The McGraw-Hill Companies, Inc., 2007
2. 憑證建立步驟
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 為什麼我們應該相信數位憑證 ?– 我已藉由簽署這個憑證來擔保這個使用者擁有
此特定公開金鑰，相信我！
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 憑證階層和自我簽章數位憑證– 憑證管理中心階層從根 CA 開始。
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 交互憑證
© The McGraw-Hill Companies, Inc., 2007
• 憑證廢止– 什麼理由可以廢止數位憑證？
1. 該數位憑證的持有者回報，數位憑證中對應於公開金鑰的私密金鑰被破壞（例如被盜取）。
2. CA 發現在發行憑證時發生錯誤。3. 某憑證為該憑證持有者在職時所發行的，而該持
有者將離開此工作。
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 離線憑證廢止狀態檢查– 當希望知道是否應該相信憑證時，應該依序進
行下列動作：• 憑證有效檢查• 簽章檢查• 憑證廢止檢查
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 線上憑證廢止狀態檢查– 在知道 CRL 或許不是檢查憑證廢止的最好方
法（因為其大小和無時效性）之後，發展出兩個用來檢查線上憑證狀態的新協定，稱為線上憑證狀態協定和簡單憑證驗證協定。
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 憑證種類– 電子郵件憑證– 伺服器端 SSL 憑證– 客戶端 SSL 憑證– 編碼簽章憑證
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 漫遊憑證
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 屬性憑證– 屬性憑證不會包含使用者的公開金鑰；相反的，它被用來建立介於實體及一組該實體屬性（如會員身分、角色、安全證明，或其他授權細節）之間的關係。
© The McGraw-Hill Companies, Inc., 2007
5.3 私密金鑰管理• 保護私密金鑰
© The McGraw-Hill Companies, Inc., 2007
5.4 PKIX 模式• PKIX 服務
– 註冊–初始化– 憑證– 金鑰對復原
– 金鑰產生– 金鑰更新– 交互憑證– 廢止
© The McGraw-Hill Companies, Inc., 2007
• PKIX已發展完整的文件來描述其結構模式的五個區域：– X.509 V3 憑證和 V2 憑證清冊剖繪–操作協定– 管理協定
• 憑證管理協定–政策大綱
• 憑證政策• 憑證實務作業基準
– 時間戳記和資料憑證服務• 時間戳記• 時間戳記管理中心• 資料憑證服務
© The McGraw-Hill Companies, Inc., 2007
5.5 公開金鑰密碼學標準
• 以密碼為基礎的加密標準是一種維護對稱性交談金鑰安全的解決方案。
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 在 PBE 中， KEK 被用來加密對稱性金鑰。KEK 決不會被儲存，其使用程序是產生、使用並立即丟棄。產生 KEK 需要三項輸入（密碼、 salt 和疊代數），其中密碼必須保密，而 salt 和疊代數無需保密。
© The McGraw-Hill Companies, Inc., 2007
• PKCS#8－私密金鑰資訊語法標準• PKCS#10－憑證要求語法標準• PKCS#11－密碼學符記介面標準• PKCS#12－個人資訊交換語法標準• PKCS#14－虛擬隨機數產生標準• PKCS#15－密碼學符記資訊語法標準
© The McGraw-Hill Companies, Inc., 2007
5.6 XML 、 PKL 及安全性• 對於一份 XML文件，我們可以加密：
–整個 XML 文件– 一個事件及其所有子事件– XML 文件的內容– XML 文件的外部參考文獻資源
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• XML 的加密步驟十分簡單，如下：1. 選擇要加密的 XML （上述所列其中一項，亦即全部或部分 XML 文件）。
2. 將要加密的資料轉換成一標準的格式（可選擇的）。
3. 使用公開金鑰加密結果。4. 將加密的 XML 文件寄給指定的接收者。
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• 執行 XML數位簽章的步驟如下：1. 用簽章方法、標準化方法和參考檔案建立一
個簽章資訊元素。2. 標準化 XML 文件。3. 根據簽章資訊元素定義的演算法，計算簽章值。
4. 建立數位簽章（即簽章元素），包括簽章資訊、金鑰資訊與簽章值元素。
© The McGraw-Hill Companies, Inc., 2007
© The McGraw-Hill Companies, Inc., 2007
• XKMS 包含兩個部分– XML 金鑰資訊服務規格– XML 金鑰註冊服務規格
© The McGraw-Hill Companies, Inc., 2007
章節總結• 數位憑證可解決金鑰交換的問題。• 數位憑證類似於一個人的駕照或護照。• 數位憑證連結了使用者及其公開金鑰。• 憑證管理中心 (CA) 可以發行數位憑證。• X.509 協定是用來定義數位憑證的架構。• CA 可以大量載入，也可以卸載一些任務給註冊管
理中心 (RA) 。• 根 CA 使用自我簽章憑證。• CA 階層幫助減少單一 CA 的負荷。• 不同的 CA 在協同工作時需要交互憑證。
© The McGraw-Hill Companies, Inc., 2007
• 憑證的狀態可藉由 CRL 、 OCSP 和 SCVP 等協定來驗證。
• CRL 是離線檢查的。• OCSP 及 SCVP 是線上檢查的。• 數位憑證可為一般／特定目的而發行。• CA 必須提供金鑰管理、建檔、儲存以及回復。• 私密金鑰管理相當重要。• PKIX 模式處理與 PKI 有關的議題。• PKCS 標準涉及 PKI 技術的不同層面。• XML 安全現今已變成一個重要的概念。
Related Documents
