H3C-公钥管理配置

目录1 公钥管理配置.....................................................................................................................................1-11.1 公共密钥算法简介.............................................................................................................................1-11.1.1 基本概念.................................................................................................................................1-11.1.2 数据加解密算法分类...............................................................................................................1-11.1.3 非对称密钥算法的应用...........................................................................................................1-21.2 配置本地的非对称密钥对..................................................................................................................1-21.2.1 生成非对称密钥对...................................................................................................................1-21.2.2 导出非对称密钥对的主机公钥.................................................................................................1-31.2.3 销毁非对称密钥对...................................................................................................................1-31.3 配置远端主机的公钥..........................................................................................................................1-41.4 公钥显示和维护.................................................................................................................................1-41.5 公钥管理典型配置举例......................................................................................................................1-51.5.1 手工配置远端主机的公钥........................................................................................................1-51.5.2 从公钥文件中导入远端主机的公钥.........................................................................................1-7本文中标有“请以实际情况为准”的特性描述，表示各型号对于此特性的支持情况可能不同，本节将对此进行说明。

MSR系列路由器特性支持情况说明特性MSR 20-1X MSR 20 MSR 30 MSR 50 使用ECDSA算法生成非对称密钥对No No No No根据指定格式在屏幕上显示本地DSA主Yes Yes Yes Yes 机公钥或导出本地DSA主机公钥到指定文件z H3C MSR系列路由器对相关命令参数支持情况、缺省值及取值范围的差异内容请参见本模块的命令手册。

z H3C MSR系列各型号路由器均为集中式设备。

z设备对接口的实际支持情况请参见“H3C MSR 20/30/50系列路由器接口模块及接口卡手册”。

1 公钥管理配置1.1 公共密钥算法简介1.1.1 基本概念z算法：加密和解密过程中使用的一组变换规则。

z明文：未加密的信息。

z密文：加密后的信息。

z密钥：一组特定的字符串，是控制明文和密文变换的唯一参数，起到“钥匙”的作用。

加密和解密都是在密钥的参与下进行的。

1.1.2 数据加解密算法分类如图1-1所示，为了保证数据在网络中安全传输，不被攻击者非法窃听和恶意篡改，发送方在发送数据之前需要对数据进行加密处理，即通过一定的算法，利用密钥将明文数据变换为密文；接收方接收到密文数据后，对其进行解密处理，即通过一定的算法，利用密钥将密文数据恢复为明文，以获得原始数据。

图1-1加密和解密变换关系根据加密解密过程中使用的密钥，可以将数据加解密算法分为：z对称密钥算法：数据加密和解密时使用相同的密钥。

常用的对称密钥算法包括AES、DES等。

z非对称密钥算法：又称为公共密钥算法。

数据加密和解密时使用不同的密钥，一个是公开的公钥，一个是由用户秘密保存的私钥，从公钥很难推出私钥。

通过公钥（或私钥）加密后的数据只能利用对应的私钥（或公钥）进行解密。

1.1.3 非对称密钥算法的应用非对称密钥算法可以用于加密和数字签名：z加密：发送者利用接收者的公钥对报文进行加密，拥有对应私钥的合法接收者使用私钥对数据进行解密，从而可以保证数据的机密性。

z数字签名：发送者利用自己的私钥对数据进行加密，接收者利用发送者的公钥对数据进行解密。

由于通过私钥加密后的数据只能利用对应的公钥进行解密，因此根据解密是否成功，就可以判断发送者的身份，如同发送者对数据进行了“签名”。

例如，用户1使用自己的私钥对数据进行签名后，发给用户2，用户2利用用户1的公钥验证签名，如果签名是正确的，那么就能够确认该数据来源于用户1。

非对称密钥算法包括RSA（Rivest Shamir and Adleman）、DSA（Digital Signature Algorithm，数字签名算法）和ECDSA（Elliptic Curve Digital Signature Algorithm，椭圆曲线数字签名算法）。

RSA既可以用于加密，又可以用于签名，而DSA和ECDSA只用于签名。

由于非对称密钥算法的计算量较大，速度较慢，因此非对称密钥算法经常用于数字签名，来验证对端的身份。

对称密钥算法经常用于加密数据，以保证数据传输的安全性。

1.2 配置本地的非对称密钥对用户通过命令行可以在本地设备上生成本地非对称密钥对、导出本地非对称密钥对的主机公钥部分和销毁本地非对称密钥对。

1.2.1 生成非对称密钥对表1-1生成非对称密钥对操作命令说明进入系统视图system-view -生成本地DSA、ECDSA或RSA密钥对public-key local create { dsa | ecdsa | rsa }必选缺省情况下，没有生成DSA、ECDSA或RSA密钥对dsa和ecdsa参数的支持情况与设备的型号有关，请以设备的实际情况为准z执行public-key local create命令后，生成的密钥对将保存在设备中，设备重启后不会丢失。

z通过public-key local create rsa命令生成RSA密钥对时，将同时生成两个密钥对——服务器密钥对和主机密钥对，二者分别包括一个公钥和一个私钥。

z RSA服务器密钥和主机密钥模数的最小长度为512位，最大长度为2048位。

生成RSA密钥对时会提示用户输入密钥模数的长度，建议密钥模数的长度大于或等于768位，以提高安全性保证。

z通过public-key local create dsa命令生成DSA密钥对时，只生成一个主机密钥对。

z DSA主机密钥模数的最小长度为512位，最大长度为2048位。

生成DSA密钥对时会提示用户输入密钥模数的长度，建议密钥模数的长度大于或等于768位，以提高安全性保证。

z ECDSA主机密钥模数的最大长度为192位。

1.2.2 导出非对称密钥对的主机公钥对于已经生成的RSA或DSA密钥对，可以根据指定格式在屏幕上显示主机公钥或导出主机公钥到指定文件，从而为在远端配置RSA或DSA主机公钥作准备。

表1-2导出RSA或DSA密钥对的主机公钥操作命令说明进入系统视图system-view -根据指定格式在屏幕上显示本地RSA主机公钥或导出本地RSA主机公钥到指定文件public-key local export rsa { openssh | ssh1 | ssh2 } [ filename ]根据指定格式在屏幕上显示本地DSA主机公钥或导出本地DSA主机公钥到指定文件public-key local export dsa { openssh | ssh2 }[ filename ]根据导出的公钥类型选择相应的命令public-key local export dsa命令的支持情况与设备的型号有关，请以设备的实际情况为准。

1.2.3 销毁非对称密钥对在非对称密钥对过期或泄漏的情况下，用户需要销毁旧的密钥对，并生成新的密钥对。

通过本配置可以实现销毁本地非对称密钥对。

表1-3销毁非对称密钥对操作命令说明进入系统视图system-view -销毁非对称密钥对public-key local destroy { dsa | ecdsa | rsa }必选dsa和ecdsa参数的支持情况与设备的型号有关，请以设备的实际情况为准1.3 配置远端主机的公钥为了实现对远端主机的身份验证，需要在本地设备上配置远端主机的RSA或DSA公钥。