51CTO下载-第06章+PKI、SSL网站与邮件安全

第六章PKI、SSL网站与邮件安全故事背景麦兜开通了自己的网上银行，他可以在上面进行查询工资，转账以及网上消费等等操作。一天麦兜在网上银行提交了用户名和密码，查询了一下自己的工资情况之后就退出了。第二天一早麦兜来到银行准备转账，可是银行工作人员告诉他说：账户中没有钱了。这是在怎么回事。通过排查发现问题就在于输入账户和密码时没有进行有效的保护，那么通过什么方式，可以杜绝此类事情的发生呢？本章要点PKI概述CA概述与CA的安装Lab1:SSL网站证书Lab2:电子邮件保护证书子级CA的安装证书的管理PKI概述PKI(PublicKeyInfrastructure)可以确保电子邮件,电子商务,文件传送等数据发送的安全。它是一个平台，根据PublicKeyCryptography提供数据加密，身份认证与确保数据完整性的功能。公钥加密－可以提供信息的安全性和机密性数字签名－可以确认信息的真实性和来源的可靠性加密技术对称式加密非对称式加密加密密钥加密是通过数学运算将明文和密钥结合起来产生密文。对称密钥是指加密和和解密的密钥相同，这样为了共享加密数据就要双方必须事先交换加/解密钥。安全吗？非对称密钥是指加/解密钥不同。需要成对的密钥PK和SK。PK加密，SK解密。PK可以在网络上传输，而要解密就必须要SK，因此保护SK是关键。对称式加密~*~*~*~公钥加密（publickeyencryption）EncryptedMessageisSentOverNetwork23A78AliceEncryptsMessagewithBob’sPublicKey.1Data3A78DataBobDecryptsMessagewithBob’sPrivateKey.3数字签名采用数字签名可以保证数据完整性。数字签名是一种由消息、文件或其他数字编码的创建者将标识绑定到信息中的方法。签名信息的过程需要将信息和发送方持有的一些秘密信息传输到称为签名的标签中。数字签名提供了认可和完整性服务数字签名本身就是数据，因此它可以随受保护的源数据一起传输。数字签名使用私钥对签名数据进行加密只有拥有私钥的人才能进行数字签名。任何人都可以通过相应的公钥鉴别数字签名的真伪。如果对签名后的数据进行了数据的任何修改，数字签名将失效。哈希算法数字签名通过使用哈希算法来检验数据在从数据源到目地的传输过程中是否被更改了。哈希算法从原始数据中提取128K的摘要A,并用发送者的私钥加密后发送给接收者。接收者对解密获得的数据也要进行哈希算法获得另一个摘要B，接收者将A和B进行比较，若两者一致说明传输过程未被篡改。公钥认证（publickeyauthentication）MessageisSentOverNetwork2~*~*~*~AliceSignsMessagewithHerPrivateKey.1~*~*~*~~*~*~*~BobValidatesMessageisFromAlicewithAlice’sPublicKey.3CommonUsesofCertificates浏览器加密文件系统加密E-Mail数字标示智能卡数字签名IPSEC证书颁发机构电子证书是由收发双方共同信任的第三方－－认证中心颁发的。证书包含某人的身份信息、公钥和认证中心的数字签名。CA扮演了一种担保人的角色。它保证主体公钥和由CA发布的认证证书所包含的的主体信息之间确切相关。证书层次结构RootCASubordinateCASubordinateCASubordinateCATrustTrustTrust选择CA模型企业根CA是顶级根，企业根CA利用活动目录确定请求者的身份，并确定请求者是否具有为特定的的证书类型所要求的安全性权限。独立存在的根CA是顶级根，它可以是，也可不是某个域的成员并不要求有活动目录。还可以断开与网络的连接企业下层CA在机构内发放证书，但企业下层CA不是最可信的CA。你可以利用某个企业下层CA针对特定用途发放证书。它必须有一个父CA独立存在的下层CA它作为一个孤立的证书服务器运行，或者位于某个CA信任层次结构内。你为公司以外的实体发放证书，你应该建立独立存在的下层CA证书颁发机构CA与根CA的安装无论是邮件保护还是SSL网站安全连接，都必须先申请证书，才可以使用公钥与私钥来执行数据加密与数据认证，证书发放机构叫做CA。CSP中存储了证书申请人的信息，并自动创建一对密钥，然后把私钥存储到申请计算机的注册表中，然后把证书申请数据和公钥一起发到CA。CA用私钥到证书签名，发放给用户，用户将其装到计算机中。Lab1：安装ADCS与架设根CA我们需要通过添加AD证书服务角色的方式将企业根CA或独立根CA安装到server2008。如果是域环境中的企业CA,可以通过组策略让域内的所有用户与计算机自动信任。如果是独立根CA，或不想用组策略信任企业CA，可以通过下载，保存，导入证书的方式来实现信任企业CA。客户端证书的申请CA发放该证书，将它用做PKI内的安全凭证4Computer,User,orServiceCA~*~*~*~CA接受证书请求1确认请求者信息2利用私有密钥将它的的数字签名应用于证书3客户端证书的申请CA(CertigicationAuthority—认证中心)接受证书请求CA按照它的CA身份证明条件确认该请求者的信息CA利用它的私有密钥将他的数字签名应用于该证书CA发放该证书，将它用做PKI内的安全性凭证向CA申请证书的方式利用证书申请向导利用Web浏览器申请证书发放证书复查待处理的证书请求发放待处理的证书请求Lab2：实例演练：SSL网站证书通过本例，我们可以利用架设的CA，按一定的步骤来介绍SSL网站的设置。（连接服务器的客户端必须也要信任此CA，才能正常的进行访问）Web1设置IP:192.168.8.1/24DNS:192.168.8.2DNS1＆独立CAIP:192.168.8.2/24DNS:192.168.8.2Client设置IP:192.168.8.3/24DNS:192.168.8.2SSL网站安全连接发送网站的证书（内含公钥）双方协调安全等级Client创建sessionkey,由网站公钥加密后发送到网站网站利用其私钥将sessionkey解密双方利用会话密钥将加解密数据让网站与浏览器计算机（客户端）信任CA2.在网站上创建证书申请文件3.申请证书与下载证书4.安装证书并进行SSL连接测试Lab3：实例演练：电子邮件保护证书以下我们将说明如何申请电子邮件保护证书，并通过此证书来介绍电子邮件的签名与加密。DNS1＆独立CAIP:192.168.8.2/24DNS:192.168.8.2Client1IP:192.168.8.3/24DNS:192.168.8.2MailServer&Client2IP:192.168.8.1/24DNS:192.168.8.2添加独立子CAUseIfaParentCAIsOnlineUseIfaParentCAIsOffline吊销证书与CRLCA也负责宣告证书的无效，并发布证书撤销清单证书主题的私有密钥受到损坏，或被怀疑受到损害。发现证书是被骗取的作为信任实体的证书主题的状态发生了变化吊销证书发布CRL自动下载CRL导入与导出用户证书用户应该将其申请的证书导出、备份，以后重装计算机时就可以将其备份的证书导入到新系统或新计算机中。导出存档的内容可包含证书、私钥与证书路径，而不同扩展名的文件所存储的数据有所不同。.pfx.p12.p7b.cer证书√√√√私钥√√××证书路径√×√×检测证书文件格式PersonalInformationExchange(PKCS#2)个人信息交换。只有下列某个条件为真时才能导出：1、该证书是针对EFS或EFS恢复的。2、该证书是通过高级证书请求Web页请求的，并且选择了“将密钥标识为可导出的”复选框CryptographicMessageSyntaxStandard(PKCS#7)密码消息句法格式标准。Base64EncordedX.509导入与导出用户证书备份和还原证书服务CertificateAuthorityActionViewTreeNameCertificationAuthority(Local)RevokedCertificatesSaveCAcertificatesandconfigurationWin2153ACAAllTasksViewRefreshExportList….PropertiesHelpBackupCA…StartServiceRestoreCA…RenewCACertificate…StopServiceUsetoStarttheCertificateAuthorityBackupWizardortheCertificateAuthorityRestoreWizard续订证书每台CA自己的证书和其颁发的证书都有一定的有效期限，证书到期前必须续订证书，否则证书就会失效，注意一点：子级CA的证书期限是受上级CA证书期限制约的。证书种类有效期限根CA安装时设置，默认五年子级CA默认最多五年其它的证书不一定，大部分一年总结PKI概述CA概述与CA的安装实例演练:SSL网站证书实例演练:电子邮件保护证书子级CA的安装证书的管理作业比较独立CA和企业CA什么是PKI？SSL如何实现网站的安全访问？如何通过签名和证书保护邮件安全？