第13章 - 公钥基础结构1
需积分: 0 131 浏览量
2022-08-03
13:26:07
上传
评论
收藏 146KB PDF 举报
第 13 章 公钥基础结构
SJTU, Information Security Engineering Institute, A&D Lab 1
第 13 章 公钥基础结构
公钥加密是用于电子商务、Intranet（企业内部网）、Extranet（企业外部网）和其他网络
应用程序的核心技术。但是，要想充分利用公钥加密带来的好处，就还需要基础结构的支持。
Windows 2000 系统本身包括了一个公钥基础结构（Public Key Infrastructure, PKI），它完全
是利用 Windows 2000 的安全验证体系而设计的。
本章介绍了公钥基础结构的基本原理，包括它们所提供的优点以及实现它们所需要的组
件。同时也介绍了 Windows 2000 的 PKI 组件在提供互操作性、安全性、灵活性和易用性时
是如何传递所需的服务的。
13.1 PKI 基础
13.1.1 公钥加密算法
加密技术是一门保护数据的科学。加密算法从数学上将输入的“明文”数据与“加密密
钥”结合起来生成加密数据（密文）。
在传统的对称加密算法中，用于加密的密钥与用于解密的密钥是相同的。对于想要使用
密钥加密进行通信的双方，只有安全地交换加密和解密密钥后，才能相互交换加密数据。而
公钥加密算法（也叫做非对称加密算法）的基本属性则是：加密和解密使用不同的密钥。用
公钥加密密钥进行的加密是“单向”的，明文虽然可以很容易地转变为密文，但加密密钥却
与解密过程无关。要将密文转回到明文，则必须要用解密密钥（与加密密钥有关，但不相同）。
因此，对于公钥加密来说，每个用户都有一对密钥，由一个“公钥”和一个“私钥”组成。
在知道对方公钥的情况下，可以使用该公钥对一段数据进行加密，然后发送给对方，那么该
密文就只能由对方的私钥解密。
使用公钥加密算法，能够完成以下一些功能。
1. 数字签名
数字签名是一种确保数据完整性和原始性的方法。由于数据被签名并确认了对数据签名
的人或实体的身份，因此数字签名提供有力的证据。数字签名启用“完整性”和“认可”这
两项重要安全功能，这是实施安全电子商务的基本要求。
当数据以明文或未加密形式分发时，通常使用数字签名。因为在分布式计算环境中，网
络上的任何人使用适当的访问都可能读取或改变明文文本而无论是否授权。在这些情况下，
当消息本身的敏感度不能保证加密时，将强制数字签名以确保数据保持原始形式并且没有被
冒名者发送。
2. 认证
身份验证对于安全通信十分重要。用户必须在与另一方通信时有能力证实双方的身份。
网络上的身份验证很复杂，因为通信各方在通信时实际上没有接触，这会为攻击者截获消息
或冒充另一个人或实体提供了可乘之机。
数字证书是提供身份验证的常用保密措施。证书使用加密技术解决物理上缺乏联系的通
信问题。使用这些技术限制攻击者截获、篡改或伪造消息的可能性。这些加密技术使证书难
以修改。因此，实体要冒充他人很困难。
证书中的数据包括来自证书主题的公钥和私钥对的公用加密密钥。对于带有发送方私钥
签名的消息，消息接收方可以使用发送方公钥确认其真实性。公钥可以在发送方证书的副本
上找到。使用证书公钥验证签名可以证实签名是使用证书主题私钥创建的。如果发送方小心
剩余12页未读，继续阅读
评论0