公钥基础设施PKI_公钥基础设施体系-程序员宅基地
技术标签： 信息安全
(1)PKI概念
PKI是对一整套安全基础设施的通称,这套安全基础设施以公钥密码技术为基础,并遵循一系列标准。加密技术是基础,证书服务是核心。PKI支持集中、自动的密钥管理和密钥分配,不但可以为所有的网络应用提供加密及数字签名等服务,而且还可以为这些密码服务提供所需要的密钥和证书管理体系。
(2) PKI组成
公钥基础设施PKI由认证机构CA、注册审批机构RA、证书库CR、密钥备份及恢复系统、证书作废处理系统和PKI应用接口系统等部分组成,如下图所示。
图 PKI系统的逻辑结构
1) 认证机构CA
认证机构CA (CertificateAuthority)负责给电子商务环境中的各个实体签发数字证书。也就是说CA对实体的身份信息及相应的公钥数据进行签名,借此将该实体的公钥和身份绑在一起,来证明各交易实体在网上的身份的真实性,同时负责在电子商务环境中各实体的交易过程中对证书进行检验和管理。
2) 注册审批机构RA
RA (Registration Authority)是数字证书注册审批机构,负责录入证书申请者的信息,也负责审核和发放数字证书等工作;另外,RA还负责管理已发放的证书。
3) 证书库CR
证书库CR (CertificateRepository)是已签发及已撤销证书集中存放的地方,是Internet上的一种公共的信息库。用户可以开放式査询证书库CR,方便、快捷地知道并得到其他用户的证书和公钥。
4) 密钥备份及恢复系统
为保证签名私钥的唯一性为,签名私钥不能够做备份,所以密钥的备份及恢复主要是针对解密私钥(解密公钥只需存档,无需备份)。当用户遗忘解密私钥的访问口令或存储解密私钥的物理介质被破坏时,用加密公钥加密的密文就无法恢复,所以需要对该密钥进行备份并保证能够及时恢复,必须由可以被各方实体都信任的机构(如认证中心CA)来完成。
5) 证书作废处理系统
在数字证书使用过程中可能会出现各种情况,在有些情况下,如若出现密钥存储介质丢失、用户身份变更等问题,证书即使在有效期以内,证书也可能需要作废处理,所以,PKI必须提供一系列作废证书机制。
6) PKI应用接口系统
为了使加密、数字签名等安全服务能够被用户便利的使用,PKI必须提供性能优异的接口,使各种不同的应用都能够安全地、可信地、一致地与公钥基础设施进行交互,为用户提供便利。使用PKI应用接口,不仅网络环境的可信度能够得到保障,而且管理的成本也能有效降低。
7) 安全服务器
安全服务器面向普通用户,用于提供证书和证书撤销列表的申请、浏览以及下载等服务。安全服务器与用户的通信采取安全信道方式(如SsL方式),用户首先得到安全服务器的证书(由cA颁发),然后与所有服务器之间进行通信,包括用户填写的申请信息以及浏览器生成的公钥均以安全服务器的公钥进行加密传输。只有安全服务器利用自己的私钥解密才能得到明文,这样可以防止其他人通过窃听得到明文,从而保证了证书申请和传输过程中的信息安全性。具体实现可以选用基于HITPS的Web服务或LDAP服务。
8) 数据库服务器
数据库服务器用于认证机构中数据(如证书和证书撤销列表等)的存储和管理。实际运转的CA系统的数据库系统应采用多种措施,如磁盘阵列、双机备份和多处理器等方式,以维护数据库系统的安全性、稳定性、可伸缩性和高性能。
(2) 认证中心CA
CA (Certificate Authority)认证中心,它是采用PKI (Public Key Infrastructure)公开密钥基础架构技术,专门提供网络身份认证服务,负责颁发数字证书,并提供对已颁发的数字证书的管理功能,是兼具权威性和公正性的第三方信任机构。一个CA系统主要包括以下几部分[12]:证书服务器CA Server、证书注册中心系统RARegistry、证书客户端、RA服务器RA Server、密钥管理服务器KM Server、证书目录服务器和证书/密钥数据库。如下图所示。
图 CA系统的组成
(3) 数字证书概念
在PKI密钥管理服务中公钥的载体是数字证书,CA就是通过生成、发布、撤销数字证书来提供密钥管理服务。数字证书是一个经CA认证中心签名的包含实体的身份信息(如实体的名称、电子邮件等)和实体公钥信息的文件。数字证书是一个由可信任第三方签名的一张身份证明[14],类似于我们円常生活中的身份证,为持卡人/个人、商户/企业、网关/银行等各实体在网上信息交流及商务交易活动的顺利进行提供有效身份证明。在电子交易中要解决各交易实体间的信任问题,就需要在交易的各个环节,验证双方数字证书的有效性。
1) 数字证书的结构
PKI发展至今存在多种数字证书类型,而且每种数字证书都具有各自不同的格式,目前最为通用的证书标准是X.509。X.509由国际电信联盟(International Telecommunication Union,ITU)制定的数字证书标准,最初的版本是在1988年公布的。X.509证书主要由用户公钥和用户标识符组成。除此以外,证书版本号、序列号、签名算法标识、签发者名称、证书持有人名称和证书有效期等信息也包括在X.509公钥证书之中。X.509证书标准的最新版本是X.509 v3,它定义了包含扩展信息在内的数字证书,该扩展信息扩展了数字证书的功能,具有更大的灵活性,当数字证书在特殊应用环境下使用时,该扩展信息还提供了信息传递所需的内容[12]。
数字证书结构如下:
X.509数字证书结构
| 证书版本号 |
证书序列号 |
签名算法标识符 |
证书颁发者X.500名称 |
证书有效期 |
证书持有者X.500名称 |
证书持有者公钥 |
证书颁发者唯一标识符 |
证书持有者唯一标识符 |
证书扩展部分 |
智能推荐
安装centos7之后要做的几件事_centos libtoolize-程序员宅基地
文章浏览阅读5.5k次，点赞3次，收藏6次。本文主要记录安装Centos7之后要做的几件事，作为备忘一 安装第三方源：（此处以aliyun为例）ps:本文所配置环境均为root权限下，如需在普通环境下配置，命令之前请加上sudoEPEL源： yum install epel-release执行完该命令后，在 /etc/yum.repos.d 目录下会多一个 epel.repo 文件ELRepo 源ELRepo 包含..._centos libtoolize
echarts 显示下载按钮，echarts 自定义按钮，echarts 添加按钮-程序员宅基地
文章浏览阅读2.5k次。echarts 显示下载按钮，echarts 自定义按钮，echarts 添加按钮 >>>>>>>>>>>>>>>>>>>>>>>>>>&_echarts 图标上的下载按钮不能用
el-table表头添加图标_el table 表头加图片-程序员宅基地
文章浏览阅读149次。el-table的表头添加特殊内容。_el table 表头加图片
如何防止网页的背景图片重复 no-repeat_网页重复背景-程序员宅基地
文章浏览阅读1.2w次。（1）现在一般都用css设定了，比如在一个div下设背景图片切不让其重复，则可设一个样式，比如：.nobgrepeat{background:url(背景图片地址) left top no-repeat;}（2）也可以设置背景图片的高宽，要与背景图片的大小一样注意：但是有时候加了 no-repeate之后，图片就会不见了，这种情况与设置的 left _网页重复背景
计算机网络的性能指标以及相关计算_计算机网络数据率计算公式-程序员宅基地
文章浏览阅读1.5k次，点赞2次，收藏17次。用来表示网络的通信线路所能传送数据的能力，因此网络带宽表示在单位时间内从网络中的某一点到另一点所能通过的"最高数据率"单位和速率一样：b/s(kb/s,Mb/s,Gb/s);RTT计算公式：因为是从发送方发送完数据才开始计算的所以公式中并没有结点A的发送时延，但是有结点B的发送时延；结论：若主机在一段链路上连续不断的发送分组，则总时延为所有分组的发送时延+信号在这一段链路上的传播时延；吞吐量受网络的带宽或额定速率的限制；分组丢失率，是指在一定的时间范围内，传输过程中的丢失的分组数量与总分组数量的比率；_计算机网络数据率计算公式
012信息打点-Web应用&企业产权&指纹识别&域名资产&网络空间&威胁情报_资产指纹和应用-程序员宅基地
文章浏览阅读188次。针对各种应用的信息收集（Web网站、APP应用、PC应用、小程序应用、微信公众号等企业资产分五类：Web应用、APP应用、PC端应用、小程序应用、微信公众号、其他产品信息收集目标：某某企业、某某学校、网址、ip地址_资产指纹和应用
随便推点
《QT从基础到进阶·三十五》QT插件实现侧边工具栏tabBar_qt侧面工具栏-程序员宅基地
文章浏览阅读655次，点赞3次，收藏4次。内部先拿到TabBar的dll转为QObject，再把QObject强转为TabBarPlugin对象，这是插件的使用方法，也可以直接new一个TabBarPlugin对象。四个小工具也是由插件实现，先拿到他们的对象，通过对象指针获取他们的界面，再把每个界面addWidget添加到标签栏中。(2)调换tabBar标签栏中所有界面的循序和删除小工具界面。（3）把tabBar标签栏中的小工具界面拖出来在放回去。3、现在可以对标签栏上的所有界面进行交互。（1）可以收缩和展开tabBar。_qt侧面工具栏
Microsoft Office LTSC 2021企业办公新标杆，稳定高效助力业务发展-程序员宅基地
文章浏览阅读267次，点赞4次，收藏10次。总的来说，Office套件的功能特色在于其强大的文档处理、数据分析、演示制作和邮件管理等功能，以及各应用程序之间的协同工作，能够极大地提高用户的工作效率。除了上述三个主要应用程序外，Office套件还包括其他应用程序，如Outlook、OneNote、Publisher和Access等，每个应用程序都有其独特的功能特色，满足用户在不同场景下的办公需求。Office是一款功能强大的办公软件套件，包含了多个应用程序，每个应用程序都有其独特的功能特色。
Elasticsearch--解决JVM 堆内存使用率很高的问题_elasticsearch8占用大量内存-程序员宅基地
文章浏览阅读2k次，点赞22次，收藏16次。本文介绍如何解决ES的JVM 堆内存使用率飙升的问题。_elasticsearch8占用大量内存
《Selenium 2 自动化测试实战》读书笔记_selenium2自动化测试实战-程序员宅基地
文章浏览阅读136次。最近在弄 appium，然后顺便发现了 Selenium 框架和这本书，恰好这本书也介绍了一些软件测试 & 自动化测试的理论知识，遂拿过来学习学习。所以本文几乎没有实践内容，大多都是概念和工具的 mark，后续若有实践，我会来补充的。_selenium2自动化测试实战
树莓派4B 与 stm32 通信_树莓派4b 与 stm32 采用usb-ttl通信-程序员宅基地
文章浏览阅读1.7w次，点赞33次，收藏486次。本文用来记录智能控制课设中的通信环节的实现硬件便是树莓派4Bstm32(我用的是正点原子的STM32F103ZET6的核心板)从头开始做的，带着你去从烧录树莓派，安装STM32的编译环境开始，直到二者成功通信。如何使用串口助手进行调试，以及如何通过代码进行通信。1.准备环节（树莓派已经烧录好镜像可以正常使用，stm32也已经装好keil5的同学可以略过）1.1 树莓派新买的树莓派４B一般TF卡没有烧入镜像（也就是树莓派的操作系统）官方推荐系统是以下三种32位Lite版(无桌面)32位桌面版_树莓派4b 与 stm32 采用usb-ttl通信
Ubuntu系统下JDK环境切换_ubuntu切换jdk-程序员宅基地
文章浏览阅读251次。请注意，如果系统上没有安装Java，你将看到一个类似"command not found"的错误信息，这意味着你需要先安装Java。如果你需要切换到一个新的Java版本，首先需要安装该版本。这将列出系统中已安装的Java版本，并要求你选择默认的Java版本。完成上述步骤后，你已经成功安装并配置了新的Java版本。如果需要切换回先前的Java版本或者安装其他版本，重复步骤2和步骤3即可。首先，我们需要检查系统上已安装的Java版本。接下来，需要配置系统使用新安装的Java版本。_ubuntu切换jdk