ＳＣＥＰ协议分析及其关键实现技术Ｉ华中科技大学计算机学院李兴瑜
ＳＣＥＰ简单证书登记协议分析参与者之间流动的数据，协｝义的安全性将来，ｃＡ自
ｓＣＥＰ（ｓｉｍＤｌｅｃｅｒｔｉｆｉｃａｔｅＥｎｒ０１１被破坏。为了避免“中问人”攻击，必须１）｝
中请：ｍｅｎｔＰｒｏｔｏｃ０１）协议是ｖｅｒｉｓｉｇｎ公司为对端实体的公钥和身份进行鉴别。ｓｃＥＰ提
２）每ｃｉｓｃｏ系统开发的证书登记解决方案。目供了两种的鉴别方法：手１：鉴别和基于
前广泛应用ｊ二ＰＫＩｃｌｉｅｎｔ和ｃＡ实现。Ｉ）ｒｅ。ｓｈａｒｅｓｅｃｌｅｔ的鉴别ｃ的审批；ＳＣＥＰ尽量使用现有的技术，如ＰＫＣＳ＃７和（１）手工鉴别：３）向ＰＫｃｓ＃１０等，用一种可以升级的方式向网端实体提交登记请求，并等待，直到证书的答络设备安全地颁发数字证书。ＣＡ操作员通过ｉｎｔｅｒｎｅｔ以外的可靠方法４）拦实体（Ｅｎｔｉｔｙ）确认端实体的身份。书的更莉ｓｃＥＰ中有三种实体：端实体（Ｅｎｄ（２）基于ｐｒｅ—ｓｈａｒｅｓｅｃｒｅｔ的鉴别：５）｛Ｅｎｔｎｙ，如ＩＰｓＥＣ客户），数字证．｝５认证ｃＡｓｅｒＶｅｒ为每一个的端实体颁发一６）产中心（ｃＡ）和审核授权部门（Ｒｅｇｉｓｔｒｙ个唯一的ｓｈａｒｅｓｅｃｒｅｔ。这个ｓｈａｒｅｓｅ一审杉ＡＬｌｔｈｏｒｉｔｖ．ＲＡ）。ｃｒｅｔ对应该端实体的登记请求，并阻只有ＲＡ｛端实体（ＥｎｄＥｎｔｉｔｙ）该端实体知道这个ｓｈａｒｅｓｅｃｒｅｔ。当端实发放和管端实体足指在证书的ｓｕｂｊｅｃｔｎａｍｅ域体向ｃＡ提交登记清求时，ｃＡ要求端实体所产生酐或者在Ｘ．ｊＯ９ｖ３扩展版本中提交它的ｐａｓｓｗｏｒｄ（即ｐｒｅｓｈａｒｅ端实体足ｓｕ０ｊｅｃｔＡｌｔＮａｍｅ域中定义名字的实体。端ｓｅｃｒｅｔ）。端实体把它的ｐｒｅ—ｓｈａｒｅｓｅＰＫＣｓ＃７ｊ实体由以下三个要素唯一标识：完整规范ｃｒｅｔ填进ＰＫｃＳ：肆１０属性域，再经过ＰＫｃｓ＃７体除了移的域名，ＩＰ地址和序列号。的包装，加密发给ＣＡ。ＣＡ提取ｐｒｅ＿ＳｈａｒｅＣＡ颁发自端实体必须能够产生非对称密钥，并ｓｅｃｒｅｔ并与ＣＡ保存的比较，从而鉴别端图ｌ有存储空间保存它的私钥。如果端实体没实体的身份。统由ＲＡ、有足够的空问保存它的证书，那么当证书数字证书认证中心（ＣＡ）模块、诅颁发后，端实体应具有从ＣＡ查询它自己证ＣＡ是证书的签发机构，它是ＰＫＩ的核库模块希书的能／Ｊ。所有的ＳｃＥＰ客户的密钥对任何心。ｃＡ中心作为网络中受信任的第三方，个系统雕时候都唯一对应着一个ｓｕ０ｊｅｃｔｎａｍｅ。这专门解决公钥体系中的合法性问题。务，由ｃＡ叫做ｃｅｒｔｉｆｉｃａｎａｍｅ唯一性。要求在ｓｃＥＰｃＡ为每个使用公开密钥体系的用户理等各巧客户名字和密钥对问建立唯一的映射。任（如人、服务器等）发放一个数字证书，用…，何时候～旦名字发生改变，或者密钥对发于证明该用户的身份以及公开密钥的合法Ｌ竺。．—Ｐ生更改，现有的证书应该被撤销。性。从技术上说，证书的作用就是绑定用住实际应用中，即使端实体和ｃＡ使用广的身份以及其与公钥的匹配关系。而ｃＡ加密的方式进行通信，仍然可能被所谓的正是确苞这种绑定关系的机构。同时，为Ｌ兰：～卜“中间人’’（ｍａｎｉｎｔｈｅｍｉｄｄｌｅ）攻击。由了保证数字证忙不被攻击者伪造和篡改，千ｔｔ中间人”１］ｒ以窃取并操纵存ｓ（、ＦＰ｛力、议ＣＡ将对数字证书进行数字签名。归纳起
日Ｉ№ｎｒｏｓ洲够ｌ２蚴２ 万方数据