PKI与CA
PKI和CA技术
PKI（Public Key Infrastructure ）即"公钥基础设施"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。
PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。
PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。
PKI综述PKI是Public Key Infrastructure的缩写，是指用公钥概念和技术来实施和提供安全服务的具有普适性的安全基础设施。
这个定义涵盖的内容比较宽，是一个被很多人接受的概念。
这个定义说明，任何以公钥技术为基础的安全基础设施都是PKI。
当然，没有好的非对称算法和好的密钥管理就不可能提供完善的安全服务，也就不能叫做PKI。
也就是说，该定义中已经隐含了必须具有的密钥管理功能。
X.509标准中，为了区别于权限管理基础设施(Privilege Management Infrastructure，简称PMI)，将PKI定义为支持公开密钥管理并能支持认证、加密、完整性和可追究性服务的基础设施]。
这个概念与第一个概念相比，不仅仅叙述PKI能提供的安全服务，更强调PKI必须支持公开密钥的管理。
也就是说，仅仅使用公钥技术还不能叫做PKI，还应该提供公开密钥的管理。
因为PMI仅仅使用公钥技术但并不管理公开密钥，所以，PMI就可以单独进行描述了而不至于跟公钥证书等概念混淆。
X.509中从概念上分清PKI和PMI有利于标准的叙述。
然而，由于PMI使用了公钥技术，PMI的使用和建立必须先有PKI的密钥管理支持。
也就是说，PMI不得不把自己与PKI绑定在一起。
当我们把两者合二为一时，PMI+PKI 就完全落在X.509标准定义的PKI范畴内。
根据X.509的定义，PMI+PKI仍旧可以叫做PKI，而PMI完全可以看成PKI的一个部分。
PKICA
PKI基本组成
• 证书管理机构（CMA）
–将CA和RA合起来称CMA(certificate management authority)。
• 证书存档(Repository)
–一个电子站点，存放证书和作废证书列表（CRL）， CA在用证书和作废证书。
PKI中的证书
• 证书(certificate)
美、加PKI/CA体系对比
• 两种体系的比较
3、采用的技术方面。美国联邦PKI体系中的成员采用多 种不同的PKI产品和技术，如Verisign,Baltimore和Entrust等 公司的技术；而加拿大政府PKI体系中强调使用Entrust公司 的技术。 4、在组成成员方面。美国联邦PKI体系包括各级政府和 与政府有商业往来的合作伙伴；而加拿大政府PKI体系的成 员都是联邦的各级政府。
• 1 PKI基本概念 2 美国、加拿大PKI/CA体系的对比 • 3 PKI中常用的密码技术 • 4 PKI体系结构与功能操作 • 5 X.509标准 • 6 认证机构CA系统
美、加PKI/CA体系对比
• 美国联邦PKI体系 美国联邦PKI是自下而上建立的一个庞大PKI体系。联邦 政府首先成功地在各联邦机构中分别使用了不同的PKI产品， PKI产品的多样性提高了政府机构的工作效率，但也造成了 各机构彼此之间难以互操作的问题。为了增强彼此间合作， 解决不同信任域之间，联邦政府计划联合各联邦机构中独 立的PKI/CA共同组建美国联邦PKI体系。 美国联邦PKI体系主要由联邦的桥认证机构（FBCA， FederalBridgeCA）、首级认证机构（PCA，PrincipalCA） 和次级认证机构（SCA，SubordinateCA）等组成。
PKI基本组成
• PKI由以下几个基本部分组成： –公钥证书 –证书作废列表（CRL） –策略管理机构（PMA） –认证机构（CA） –注册机构（RA） –证书管理机构（CMA） –证书存档（Repository）
PKI-CA系统
2022年3月22日
3
2022年3月22日
4
公开密钥基础设施PKI
PKI的动机 PKI提供的基本服务 PKI的体系结构和组成 PKI的X.509证书 PKI的实际应用中特别关注的问题 PKI密钥的使用周期 PKI的核心－CA系统 PKI的应用
2022年3月22日
5
PKI提供的基本服务
签名证书和加密证书分开
最常用的证书格式为X.509 v3
2022年3月22日
21
X.509证书格式
版本1、2、3 序列号
–在CA内部唯一 签名算法标识符
–指该证书中的签名 算法
签发人名字 –CA的名字
有效时间 –起始和终止时间
个体名字
2022年3月22日
22
X.509证书格式(续)
保密性
– 用公钥分发随机密钥，然后用随机密钥对数据加密
不可否认
– 发送方的不可否认 —— 数字签名
2022–年3月接22日受方的不可否认 —— 收条 + 数字签名
6
PKI安全服务特点－终端用户透明性
一般基础设施具有一个很重要的特点，就是对终端用 户的操作来说几乎完全是透明的。
基础设施应该提供的是一个“黑盒子”级的服务。 因此，所有的安全操作应当隐没在用户的后面，无需 额外的干预，无需用户注意密钥和算法，不会因为用 户的错误操作对安全造成危害。
2022年3月22日
20
PKI中的证书
证书(certificate)，有时候简称为cert
PKI适用于异构环境中，所以证书的格式在 所使用的范围内必须统一
证书是一个机构颁发给一个安全个体的证 明，所以证书的权威性取决于该机构的权 威性
一个证书中，最重要的信息是个体名字、 个体的公钥、机构的签名、算法和用途
ca签名验签的原理
ca签名验签的原理CA（Certificate Authority）是数字证书认证机构，它的主要作用是对用户的证书申请进行验证，并签发数字证书。
CA签名验签是指通过CA对数字证书进行签名和验证的过程。
本文将从CA的角度解释CA签名验签的原理及流程。
我们需要了解数字证书的概念。
数字证书是一种电子文件，用于证明某个实体在网络中的身份信息。
数字证书通常包含了持有人的公钥、持有人的身份信息以及签发机构（即CA）的数字签名。
CA签名验签的原理基于公钥基础设施（PKI）体系。
PKI是一种安全体系架构，它通过使用公钥和私钥来实现安全通信。
在PKI体系中，CA充当着信任的第三方机构的角色，为用户提供数字证书的签发和验证服务。
CA签名验签的流程大致分为以下几个步骤：1. 证书申请：用户首先向CA提交数字证书申请，申请中包含了用户的身份信息以及用户的公钥。
2. 证书验证：CA收到用户的证书申请后，会对用户的身份信息进行验证。
这个过程可以通过多种方式进行，例如CA可以通过电话、邮件或面对面的方式与用户进行核实。
3. 证书签发：经过验证后，CA会使用自己的私钥对用户的证书进行签名。
签名是使用CA的私钥对证书进行加密的过程，它可以保证证书的完整性和真实性。
4. 证书分发：CA将签名后的证书发送给用户。
用户在收到证书后，可以使用CA的公钥对证书进行解密，以验证证书的真实性和完整性。
5. 证书使用：用户在进行安全通信时，可以使用自己的私钥对数据进行加密，然后将加密后的数据和自己的证书一起发送给对方。
对方可以使用CA的公钥对证书进行解密，以验证证书的真实性和完整性，并使用用户的公钥对数据进行解密。
6. 证书验证：对方收到用户发送的证书后，可以使用CA的公钥对证书进行解密，以验证证书的真实性和完整性。
如果验证通过，对方可以使用用户的公钥对数据进行解密。
通过以上流程，CA签名验签实现了对数字证书的签发和验证。
CA 的数字签名可以保证证书的真实性和完整性，防止证书被篡改。
信息安全工程师综合知识真题考点：公钥基础设施PKI各实体的功能
信息安全工程师综合知识真题考点：公钥基础设施PKI
各实体的功能
公钥基础设施PKI各实体的功能：
1、CA
认证中心（CA），是PKI的核心，是PKI的主要组成实体。
它是第三方网上认证机构，负责使用数字证书的签发、撤销、生命周期管理，密钥管理服务。
2、RA
数字证书审批机构（RA），是CA数字证书发放、管理的延伸。
负责接受用户的证书注册和撤销申请，对用户的身份信息进行审查，并决定是否向CA提交签发或撤销数字证书的申请。
RA可以充当CA和它的终端用户之间的中间实体，辅助CA完成其他绝大部分的证书处理功能。
3、目录服务器
CA通常使用一个目录服务器，提供证书管理和分发的服务。
4、终端实体
指需要认证的对象，例如服务器、打印机、E-mail地址、用户等。
5、客户端
指需要基于PKI安全服务的使用者，包括用户、服务进程等。
注：详见《信息安全工程师教程》（第2版）130页
考点相关真题
公钥基础设施PKI是有关创建、管理、存储、分发和撒销公钥证书所需要的硬件、软件、人员、策略和过程的安全服务设施。
公钥基础设施中，实现证书废止和更新功能的是（）。
A．CA
B．终端实体
C．RA
D．客户端
参考答案：A。
ca证书验证原理
ca证书验证原理CA（Certificate Authority）证书验证是一种常见的网络安全机制，用于确保网站的身份和数据的安全性。
本文将介绍CA证书验证的原理。
CA证书验证是基于公钥基础设施（PKI）体系建立的。
PKI使用了一对公钥和私钥，其中公钥用于加密数据，私钥用于解密数据。
CA则充当了信任的第三方，负责颁发和验证证书。
首先，网站所有者需要向CA申请数字证书。
该数字证书中包含了网站的公钥、网站所有者的身份信息以及CA的数字签名。
CA的数字签名是通过使用CA的私钥对证书中的信息进行加密得到的，具有唯一性和不可篡改性。
当用户访问一个网站时，浏览器会检查该网站的数字证书。
首先，浏览器会验证证书的有效期，确保证书在有效期内。
然后，浏览器会检查证书中的CA数字签名是否与内置的信任根证书颁发机构（Root CA）的证书匹配。
如果验证通过，浏览器会使用内置的信任根证书颁发机构的公钥进行解密，以获取CA证书中的信息。
浏览器还会检查证书中的网站域名与用户所访问的域名是否匹配，确保用户访问的网站是可信的。
一旦验证通过，浏览器将使用证书中的公钥加密数据，然后发送给网站。
网站使用其私钥对收到的数据进行解密，并使用对称加密算法保护数据的传输过程。
这样，用户的数据可以安全地传输给网站，同时保护数据免受中间人攻击和窃听行为。
总结起来，CA证书验证基于PKI体系，通过验证证书的有效期、CA数字签名和网站域名等信息，确保用户访问的网站是可信的。
通过使用公钥加密和私钥解密的机制，保护传输的数据安全性。
这样，用户可以在互联网上安全地进行数据交互。
CA认证功能介绍
CA认证功能介绍
一、CA认证简介
CA认证（Certificate Authority）是一种公共密钥基础设施（PKI），用于验证身份和安全交换信息。
它是一种基于数字证书的加密
技术，常用于验证用户的身份和加密数据。
CA认证是使用密钥加密（PK）的一种技术。
它可以确定发送者和接收者的身份，保证隐私，完整性和可
靠性，以及数据安全。
CA认证的运作方式主要分为以下三个步骤：
2.CA机构将申请者的认证信息存储在数据库中，然后用CA机构的私
钥对申请者的身份进行签名；
二、CA认证的优点
1.安全性：CA认证能保证信息不被篡改，保证信息传输的安全；
2.可靠性：CA签发的认证证书可以证明用户的身份，能确保客户端
和服务端之间的信息不会被篡改，确保信息的完整性；
3.权威性：CA是一家具有法律效力的证书发行单位，在信息安全领
域具有重要作用，能确保信息传输的安全；
4.操作方便性：CA认证的操作方便，支持各种主流的操作系统环境；
5.可拓展性：CA认证的体系支持多种用户和权限，可以满足用户的
多样化需求；。
ca证书原理
ca证书原理
CA证书原理。
CA证书，即数字证书认证中心颁发的证书，是一种用于验证网络通信安全性的重要工具。
它通过数字签名和加密技术，确保网络通信过程中的数据安全和可靠性。
本文将介绍CA证书的原理及其在网络安全中的作用。
CA证书的原理主要涉及到公钥基础设施（PKI）和数字签名技术。
PKI是一种基于公钥加密技术的安全体系，它包括数字证书、证书颁发机构（CA）、注册机构（RA）等要素。
数字签名技术则是PKI中的核心技术，它通过将数据进行哈希运算并使用私钥进行加密，生成数字签名，以验证数据的完整性和真实性。
CA证书的生成过程首先需要用户生成一对公钥和私钥，并向CA提交公钥和个人身份信息进行认证。
CA在验证用户身份后，会生成数字证书并使用CA的私钥对数字证书进行签名，形成数字签名。
数字证书中包含了用户的公钥、用户身份信息、CA的信息以及数字签名等内容。
用户在进行网络通信时，可以将自己的数字证书发送给通信对方，对方可以通过CA的公钥验证数字签名的有效性，从而确认证书的真实性。
CA证书在网络安全中扮演着至关重要的角色。
它可以确保通信双方的身份真实性和通信数据的完整性，防止中间人攻击和数据篡改。
此外，CA证书还可以为网络通信提供加密保护，确保数据在传输过程中不被窃取和篡改。
总之，CA证书是网络通信安全的重要保障，它通过PKI和数字签名技术，为网络通信提供了身份验证、数据完整性保护和加密传输等功能。
在今后的网络安全中，CA证书将继续发挥重要作用，保障网络通信的安全可靠。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
使用公共密钥基础结构配置网络安全
公共密钥基础结构 (PKI) 简介 部署证书服务 使用证书 管理证书 为证书配置 Active Directory 证书服务故障分析
使用证书
使用证书
使用“证书申请向导” 使用“证书申请向导” 使用证书服务网页 查看证书
使用“证书申请向导” 使用“证书申请向导”
使用“证书申请向导” 使用“证书申请向导”
公共密钥基础结构 (PKI) 简介 部署证书服务 使用证书 管理证书 为证书配置 Active Directory 证书服务故障分析
部署证书服务
部署证书服务
选择一个 CA 模式 安装证书服务 创建从属 CA 备份和还原证书服务
选择一个 CA 模式
选择一个 CA 模式
企业根 CA 企业根 CA 在证书等级中是顶级 CA。一般情 。 况下， 颁发证书。 况下，企业根 CA 只向从属 CA 颁发证书。 它必须使用 Active Directory 。 企业从属 CA 企业从属 CA 必须有一个父 CA。它必须使用 。 Active Directory 。 独立根 CA 独立根 CA 在证书等级中是顶级 CA。不需要 。 Active Directory。 。 独立从属 CA 独立从属 独立从属 CA 必须有一个父 CA。CA 不需要 。 Active Directory。
使用公共密钥基础结构配置网络安全
公共密钥基础结构 (PKI) 简介 部署证书服务 使用证书 管理证书 为证书配置 Active Directory 证书服务故障分析
公共密钥基础结构 (PKI) 简介
公共密钥基础结构 (PKI) 简介
公钥加密 公钥认证 证书颁发机构 证书等级 Windows 2003 PKI
证书颁发机构 操作 查看 树 证书颁发机构(本地)
Win2153A CA 吊销的证书 颁发的证书 待定申请 不成功的申请 策略设置 申请 ID 2 申请人姓名 二进制证书
吊销证书
序列号 24dbf9e0… 24e925f1… 24ef12b2… 24f6d615… 2553d5b7… 2558fb82… 2ffd8774 …
CA
证书等级
根 CA
证书等级
信任
信任
信任
从属 CA
从属 CA
从属 CA
Windows 2003 PKI
证书服务
颁发 或吊销证书
Windows 2003 PKI
Active Directory
颁发证书
具有 PKI 功能 的应用程序
SSL 和 IPSec
域控制器
域客户计算机
使用公共密钥基础结构配置网络安全
外部用户必须拥有证书 外部用户必须拥有用户账户 外部用户的证书必须是由受信任的 CA 颁发的 外部用户和的证书和 Active Directory 用户账户之间必须 存在名称映射
使用公共密钥基础结构配置网络安全
公共密钥基础结构 (PKI) 简介 部署证书服务 使用证书 管理证书 为证书配置 Active Directory 证书服务故障分析
安装证书服务
安装证书服务
选择 CA 类型
安装证书服务
设置高级属性
输入确认信息
指定数据库， 指定数据库，日志文件以及共享文件夹
创建从属 CA
创建从属 CA
当父 CA 连接在 网络中时选择 该选项 当父 CA 未连接 在网络中时 选择该选项
备份和还原证书服务
备份和还原证书服务
启用“ 启用“证书颁发机构备份 向导”或者“ 向导”或者“证书颁发机 构还原向导” 构还原向导”
公钥加密
公钥加密
2 数据 1 Alice 使用 Bob 的公钥 (Public Key) 加密消息
被加密的消息通过 网络进行传输
3A78
数据 3A78
3 Bob 使用 Bob 的私钥 (Private Key) 把消息解密
公钥认证
公钥认证
2
消息通过网络进行 传输
~*~*~*~
1 Alice 用她的私钥 (Private 用她的私钥 Key) 对消息进行签名
证书服务故障分析
错误
复查事件日志
证书服务故障分析
错误
使用诊断模式
错误
CA 的故障分析
错误
确认证书的有效性
实验 A 安装和配置证书服务
回顾
定义 PKI 概念 部署证书服务 使用证书 管理证书 为证书配置 Active Directory 目录服务 证书服务的故障分析
颁发者说明 确定(O)
使用公共密钥基础结构配置网络安全
公共密钥基础结构 (PKI) 简介 部署证书服务 使用证书 管理证书 为证书配置 Active Directory 证书服务故障分析
管理证书
管理证书
颁发证书 吊销证书 发行证书吊销列表 导入和导出证书
颁发证书
颁发证书
拒绝证书申请 颁发证书
吊销证书
值: Effective Date Thursday, December 10, 1999 … Next Update Monday December 14, 1999 6:… Signature Algorithm sha1RSA
确定
导入和导出证书
导入和导出证书
Hale Waihona Puke 检查证书文件格式 导入证书 导出证书
使用证书模板 申请证书
使用证书服务网页
使用证书服务网页
提交证书申请 提交高级证书申请 检查挂起的申请
查看证书
证书颁发机构
控制台 窗口(W) 帮助(H) 操作 查看 收藏夹
查看证书
颁发给 颁发的单位 树 收藏夹 Equifax Secure eBusines… Equifax Secure eBusiness CA-2 Console Root 证书 Equifax Secure Global eB… Equifax Secure Global eBusiness Certificates – Current User EUnet International Root … EUnet International Root CA 常规 详细 证书路径 Personal FESTE, Public Notary Certs FESTE, Public Notary Certs Trusted Root Certificates FESTE, Verified Certs FESTE, Verified Certs Certificates Enterprise Trust First Data Digital Certific… First Data Digital Certificates Inc. Certification Information Intermediate Certification Authori FNMT Class 2 CA FNMT Class 2 CA Active Directory User Object GlobalSign Root CA GlobalSign Root CA This certificate is intended to: GTE Cyber Trust Global … GTE Cyber Trust Global Root Ensures the identity of a remote computer GTE Cyber Trust Root GTE Cyber Trust Root Proves your identity to a remote computer GTE Cyber Trust Root GTE Cyber Trust Root Ensures software came from software publisher / / Protects software from alteration after publication / / Protects e-mail messages Allows data to be signed with the current line / / IPS SERVIDORES IPS SERVIDORES Microsoft Authenticode(… Microsoft Authenticode(tm) Roo Issued to: Microsoft Root Authority Microsoft Root Authority Microsoft Root Authority NetLock Expressz (Class … NetLock Expressz (Class C) Tan Issued by: Microsoft Root Authority NetLock Kozjegyzoi (Clas… NetLock Kozjegyzoi (Class A) T Valid from 1/10/1997 受信任的根证书颁发机构存储了 107 证书 to 12/31/2020
~*~*~*~
~*~*~*~
3 Bob 使用 Alice 的公钥 (Public Key) 验证来自 Alice 的消息
证书颁发机构
证书颁发机构
1 CA 接收一个认证请 求 2 验证信息
计算机、用户或服务 计算机、
3 使用私钥把数字签名 发送给申请者 4 颁发数字签名作为 安全证书来使用
~*~*~*~
NWTRADERS… ----BEGIN CERT 打开(O) 打开 所有任务(K) 所有任务 刷新(R) 帮助(H) 吊销证书
下一次发行 CRL 时， 吊销的证书将出现在 CRL 上。
吊销证书
发行证书吊销列表
证书颁发机构
控制台 窗口(W) 帮助(H) 操作(A) 查看(V)
发行证书吊销列表
证书颁发机构 二进制证书 Serial 申请 ID 证书吊销列表 Number 证书服务 (本地l) 18 ----BEGIN CERTIFICATE---.. 吊销列表 1aaaf7000000012 常规 MSTest 20 ----BEGIN CERTIFICATE---.. 1c7d7400000014 吊销的证书 证书吊销列表信息 21 E---.. 1e41b500000016 所有任务 发行 颁发的证书 查看 待定申请 域 值 不成功的申请从这里创建窗口 Version V2 刷新 Issuer MSTest, user1@… 属性 帮助 手动发行当前的 CRL