认证中心(CA)
认证中心(CA)
❖ CA简介 ❖ CA的技术基础 ❖ CA的功能 ❖ CA的组成框架与数字证书的申请流程
互联网应用存在信息安全隐患
? 假冒的用户
用户
? 假冒的站点
网上应用系统服务器
数据库
如何确认彼此的身份?
在传统的商务中,用来认证商家或客户真实身份的认证证书大多是被 认为公正的第三方机构(如政府部门)颁发的。
❖ 在加/解密时,分别使用了两个不同的密钥:一个可对外界公 开,称为“公钥”;一个只有所有者知道,称为“私钥”。
❖ 用公钥加密的信息只能用相应的私钥解密,反之亦然。 ❖ 同时,要想由一个密钥推知另一个密钥,在计算上是不可能
的。
非对称密码算法
❖ 优点
通信双方事先不需要通过保密信道交换密钥。 密钥持有量大大减少。 非对称密码技术还提供了对称密码技术无法或很难提
❖ 1997年,LDAP第3版本成为互联网标准。目前,LDAP v3 已经在PKI体系中被广泛应用于证书信息发布、CRL信息发 布、CA政策以及与信息发布相关的各个方面。
❖ LDAP不是数据库而是用来访问存储在信息目录(也就是 LDAP目录)中的信息的协议。LDAP主要是优化数据读取 的性能。
OCSP
证书的申请流程
一、用户带相关证明到正是业务受理中心RS申请证书; 二、用户在线填写证书申请表格和证书申请协议书; 三、RS业务人员取得用户申请数据后,与RA中心联系,要求
用户身份认证; 四、RA下属的业务受理点审核员通过离线方式(面对面)审核
申请者的身份、能力和信誉等; 五、审核通过后,RA中心向CA中心转发证书的申请要求; 六、CA中心响应RA中心的证书请求,为该用户制作、签发证
推荐站点
❖ 中国PKI论坛 /
CA的功能
❖ CA的核心功能就是发放和管理数字证书。
❖ CA认证中心的功能主要有:证书发放、证书更新、证书 撤销和证书验证。
❖ 具体描述如下:
❖ (1)接收验证用户数字证书的申请。 (2)确定是否接受用户数字证书的申请,即证书的审批。 (3)向申请者颁发(或拒绝颁发)数字证书。 (4)接收、处理用户的数字证书更新请求。 (5)接收用户数字证书的查询、撤销。 (6)产生和发布证书的有效期。 (7)数字证书的归档。 (8)密钥归档。 (9)历史数据归档。
书,并且交给RS; 七、当用户再次上网要求获取证书时,RS将制作好的证书传给
用户;如果证书介质是IC卡方式,则RS业务人员打印好相 关密码信封传给用户,通知用户到相关业务受理点领取; 八、用户根据收到的用户应用指南,使用相关的证书业务。
什么是数字证书
❖ 数字安全证书就是标志网络用户身份信息的一系列 数据,用来在网络通讯中识别通讯各方的身份,即 要在Internet上解决"我是谁"的问题,就如同现实中 我们每一个人都要拥有一张证明个人身份的身份证 或驾驶执照一样,以表明我们的身份或某种资格。
❖ 数字证书是一个经证书授权中心数字签名的包含公 开密钥拥有者信息以及公开密钥的文件。
❖ 最简单的证书包含一个公开密钥、名称以及证书授 权中心的数字签名。
❖ 一般情况下证书中还包括密钥的有效时间,发证机 关(证书授权中心)的名称,该证书的序列号等信息。
为什么要使用数字证书
❖ 来源-电子商务对认证的需要
公钥密码证书管理。 黑名单的发布和管理。 密钥的备份和恢复。 自动更新密钥。 自动管理历史密钥。 支持交叉认证。
PCA1
PKI体系结构
❖ PAA-政策批准机 构
PAA
❖ PCA-政策CA
❖ CA-认证机构
PCAn ❖ ORA-在线证书申 请
CA1
CAn
CA1
CAn
EE1
ORA
EE1 ORA
❖ 国外厂商 知名CA厂商
我国的CA技术
CA涉及许多先进的密码技术,以此它的建立 与运作需要强大的技术支撑。 比如: 先进的公开密钥与数字摘要机制。 一定长度的密码位数。 高水平的服务质量与认证速度以及管理机制。
我国还没有建立起高水平的跨区域的认证中心, 虽然近几年各个地方建立了一些CA,但规模 都较小。以此阻碍了我国电子商务的发展以 及网上支付的大规模普及。
数字证书的存储
❖ 数字证书的存储介质主要有
软盘 硬盘 IC卡 Usb Key
数字证书的原理
❖ 利用一对互相匹配的密钥进行加密、解密。
❖ 用户自己设定一把特定的仅为本人所知的私有密钥(私钥),
用它进行解密和签名;同时设定一把公共密钥(公钥)并由
本人公开,为一组用户共享,用于加密和验证签名。
A的私钥 签名
❖ CA必须是各行业各部门及公众共同信任的、认可的、 权威的、不参与交易的第三方网上身份认证机构。
❖ CA是PKI的核心组成部分。
CA的作用
CA提供的安全技术对网上的数据、信息发送方、接 收方进行身份确认,以保证各方信息传递的安全性、 完整性、可靠性和交易的不可抵赖性。
交易信息的安全性 交易信息的完整性 交易者身份的可靠性 交易信息的不可抵赖性
❖ 认证机构
证书的签发机构,是PKI的核心,是PKI应用中权威的、可 信任的、公正的第三方机构。
❖ 证书库
是证书的集中存放地,提供公众查询。
❖ 密钥备份及恢复系统
对用户的解密密钥进行备份,当丢失时进行恢复,而签名 密钥不能备份和恢复。
❖ 证书作废处理系统
证书由于某种原因需要作废、终止使用,这将通过证书作 废列表CRL来完成。
证书服务中心 CP
CRL/黑名单库
RS
RA
RA
证书 用户
业务 受理点
证书 用户
业务 受理点
业务 受理点
证书 用户
业务 受理点
证书的发放
证书的发放包括两部分: 一、证书的申请、制作、发放。 二、用户的身份认证。 CA(证书服务中心 )完成第一部分工作,RA
(审核受理处)则完成第二部分工作。对于 RA,持卡人RA由发卡银行,商家的RA由收单 银行等能够认证用户身份的单位来担任。
供的服务:如与哈希函数联合运用可组成数字签名, 可证明的安全伪随机数发生器的构造,零知识证明等。
❖ 缺点
加/解密速度慢、耗用资源大。
❖ 常用算法
RSA
DH
LDAP
❖ LDAP(Lightweight Directory Access Protocol):轻量级目 录访问协议。
❖ LDAP规范(RFC1487)简化了笨重的X.500目录访问协议, 支持TCP/IP,这对访问Internet是必须的。
❖ 传统密码算法 ❖ 加密密钥能够从解密密钥中推算出来,反过来也成立。在
大多数对称算法中,加密解密密钥是相同的。
❖ 优点:
效率高(加/解密速度能达到数十兆/秒或更多),算法简 单,系统开销小,适合加密大量数据。
❖ 缺点:
迸行安全通信前需要以安全方式进行密钥交换,实现困难。 规模复杂。 n个用户的团体需要N2/2个不同的密钥。
CA的功能
❖ 生成密钥对及CA证书 ❖ 验证申请人身份 ❖ 颁布数字证书 ❖ 证书以及持有者身份认证查询 ❖ 证书管理及更新 ❖ 吊销证书 ❖ 制定相关政策 ❖ 保护数字证书服务器安全
CA的组成框架
CA可以分为RS(证书业务受理中心)和CP(证书制作 中心)两部分。
RS负责接收用户的证书申请、发放等与用户打交道的 外部工作,CP负责证书的制作、记录等内部工作。 用户如果要获得数字证书,必须上网,进入CA网站, 实际就是进入了RS网站,向RS申请证书;RS与用 户对话后,可以获得用户的申请信息,然后传递给 CP,CP与RA进行联系,并从RA处获得用户的身份 认证信息后,由CP为用户制作证书,交给RS;当 用户再上网要求获取证书时,RS将制作好的证书传 给用户。
电子商务必须保证买卖双方在因特尔网上的交易真实、 可靠,并具有绝对的信心。
❖ 因特网电子商务系统必须保证具有十分可靠的安全 保密技术,即必须保证网络安全的四大要素 :
信息传输的保密性 数据交换的完整性 发送信息的不可否认性 交易者身份的确定性
数字证书的种类
❖ 个人身份证书 ❖ 个人安全电子邮件证书 ❖ 企业身份证书 ❖ 企业安全电子邮件证书 ❖ 服务器身份证书 ❖ 企业代码签名证书 ❖ 个人代码签名证书
A的公钥 验证
B的公钥 加密
B的私钥 解密
用ห้องสมุดไป่ตู้ A
用户 B
数字证书的颁发
❖ 数字证书是由认证中心(CA)颁发的
❖ 数字证书颁发过程如下:
用户首先产生自己的密钥对,并将公共密钥及部分个 人身份信息传送给认证中心。认证中心在核实身份后, 将执行一些必要的步骤,以确信请求确实由用户发送 而来,然后,认证中心将发给用户一个数字证书,该 证书内包含用户的个人信息和他的公钥信息,同时还 附证有书认=证个中人信心息的+签公名钥信信息息+。CA用的户签就名信可息以使用自己的数 字证书进行相关的各种活动。
❖ OCSP(Online Certificate status Protocol)在线证书状态 协议
❖ 是IETF颁布的用于检查数字证书在某一交易时刻是否仍然有 效的标准。
❖ 该标准提供给PKI用户一条方便快捷的数字证书状态查询通 道,使PKI体系能够更有效、更安全地在各个领域中被广泛 应用。
❖ 它为电子商务提供了一种检验数字证书有效性的途径,比下 载和处理证书撤销清单(CRL)的传统方式更快、更方便和 更具独立性。
❖ 从字面上理解 PKI就是利用公钥理论和技术建立的提供安全 服务的基础设施。 用户可利用PKI平台提供的服务进行安全的电 子交易,通信和互联网上的各种活动。
❖ PKI是创建、颁发、管理、注销公钥证书所涉及到 的所有软件、硬件的集合体。其核心元素是数字 证书,核心执行者是CA认证机构。