安全产品培训

1安全产品培训维豪信息技术有限公司二○○四年六月2培训提纲一、PKI的基础知识二、安全产品介绍三、安全中间件介绍四、应用支撑平台介绍3一、PKI的基础知识1.1信息安全概念1.2PKI的基础知识41.1信息安全概念1.1.1为什么需要信息安全？1.1.2信息系统建设需要什么样的信息安全？1.1.3电子政务的信息安全如何实现？51.1.1为什么需要信息安全？（一）信息安全对政治方面的影响•由于信息网络化的发展，信息领域的战斗已经形成了一个新的思想文化阵地和思想政治斗争的战场。•以美国为首的西方国家，始终认为我们是他们的敌对国家。一直没有放弃对我们的西化、分化、弱化的政策。•美国国务卿奥尔布来特在国会讲：“中国为了发展经济，不得不连入互联网。互联网在中国的发展，使得中国的民主，真正的到来了。”•香港《广角镜》月刊文章：中情局对付中国的＜十条诫令＞61.1.1为什么需要信息安全？（二）信息安全对经济方面的影响•一个国家信息化程度越高，整个国民经济和社会运行对信息资源和信息基础设施的依赖程度也越高。•我国计算机犯罪的增长速度超过了传统的犯罪。97年20几起，98年142起，99年908起，2000年上半年1420起。•利用计算机实施金融犯罪已经渗透到了我国金融行业的各项业务。近几年已经破获和掌握100多起。涉及的金额几个亿。•黑客攻击、计算机病毒造成巨大的经济损失71.1.1为什么需要信息安全？（三）信息安全对社会稳定方面的影响•互连网上散布一些虚假信息、有害信息对社会管理秩序造成的危害，要比现实社会中一个造谣要大的多。•99年4月，河南商都热线一个BBS，一张说交通银行郑州支行行长协巨款外逃的帖子，造成了社会的动荡，三天十万人上街排队，挤提了十个亿。•网上治安问题，民事问题，进行人身侮辱。81.1.1为什么需要信息安全？－总结由于信息涉及到国家机密和重大决策方面的内容，信息安全与否关系到国家安危、社会的稳定和经济的发展，信息安全在电子政务中至关重要；目前电子政务、电子商务体系中存在安全漏洞和安全隐患；现阶段信息系统对互联互通、信息共享的需要对信息安全提出了更高的要求；对加强政府监管，提高工作效率、促进依法行政的要求对信息安全的需要。91.1.2信息系统建设需要什么样的信息安全？系统的安全可靠性信息的安全保密性行为的不可抵赖性实体的可鉴别性对象的可授权性信息的完整性业务管理的安全性101.1.3电子政务的信息安全如何实现？1.1.3.1传统的安全防御手段1.1.3.2基于PKI技术的信任平台111.1.3.1传统的安全防御手段虚拟专用网防火墙访问控制漏洞扫描入侵检测病毒防治121.2PKI的基础知识1.2.1PKI概述1.2.2PKI基础技术131.2.1PKI概述（一）PKI名词解释英文：PublicKeyInfrastructure中文：公钥基础设施PKI是一种遵循既定标准的密钥管理平台,能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子政务应用开发的基础技术。141.2.1PKI概述（二）PKI体系组成部分•证书业务服务系统(证书生产、管理)•密钥管理系统(密钥生产、管理)•证书查询验证服务系统(证书查询服务)•密码服务系统(加密/解密、数字签名及签名验证)PKI体系服务模式“集中式生产、分布式服务”151.2.1PKI概述（三）PKI技术的优势在于可以实现：机密性完整性不可抵赖性可认证性161.2.2PKI基础技术1.2.2.1基础知识1.2.2.2加密1.2.2.3签名1.2.2.4数字信封171.2.2.1基础知识（一）•加密无所不在口令军事通讯•明文：未经加密、可直接看懂的信息•密文：经加密后、表面上无意义的信息181.2.2.1基础知识（二）•算法的安全性算法必须足够强大，根据密文难以导出明文密钥必须足够安全，不必为算法保密•算法满足的准则破译密码的成本超过信息的价值破译密码的时间超过信息有用的生命周期191.2.2.2加密加密概述对称密码算法非对称密码算法单向函数算法20加密概述加密是指使用密码算法对数据作变换，使得只有密钥持有人才能恢复数据面貌。主要目的：防止信息的非授权泄漏。21对称密码算法（一）对称密码学:专用密钥（privatekey）体制用同一密钥加密和解密，这是对称算法的定义。双方必须共享同一对称密钥。22对称密码算法（二）BOBALICE明文文件密文文件加密算法明文文件解密算法通过安全渠道共享密钥加密密钥解密密钥23对称密码算法（三）算法：DES、3DES、RC4、RC5、AES优点：计算开销小，处理速度快,保证了信息的机密性。缺点：密钥管理困难，不能提供信息的完整性及不可抵赖性。24非对称密码算法（一）非对称密码算法是加密密钥与解密密钥不同。每个用户都有一对密钥：一个在信息团体内公开，称为“公钥”，一个由用户秘密保存，称为“私钥”。25非对称密码算法（二）大整数因式分解－RSA解离散对数的困难问题－Diffie-Hellman椭圆曲线问题－ECC26非对称密码算法（三）明文Plaintext加密EncryptEK1(M)PublicKey密文CiphertextprivateKey解密DecryptDK2(M)明文Plaintext优点：便于密钥管理、分发、便于签字签名缺点：计算开销大，处理速度相对较慢27单向函数算法（一）也称HASH算法，用哈希函数(HashFunction)变换后得到hash值，通常称为“数据摘要”哈希函数的意义，是可以将任意长度的信息输入后加以浓缩、转换，成为一长度比较短且固定的输出信息的运算，一般称此输出信息为哈希值。28单向函数算法（二）•哈希函数与加密算法一样，均是将信息加以隐藏•加密算法的结果可以通过适当的方式将结果还原，获得原来的内容•哈希函数则必须具不可逆的单向(One-Way)的特性，使得给定文件时，可以简单快速计算该文件的哈希值，但经过哈希数浓缩、运算后的哈希值，无法还原成先前的信息29单向函数算法（三）Hash函数：将任意长字符串映射成一个较短的定长输出单向性，不可逆运算上的唯一性常用Hash算法：MD2、MD4、MD5、SHA、SHA-1原文数字摘要Hash函数301.2.2.3签名签名概述签名过程数字签名与签名验证数字信封31签名概述签名是指使用密码算法对待发的数据进行加密处理，生成一段信息，附着在原文上一起发送，这段信息类似现实中的签名或印章，接收方对其进行验证，可解决信息传递过程中的完整性和不可抵赖性。目的：提供数据完整性保护和抗否认功能。作用：可以确认下面三件事情：1.消息确实是由发送方发出的(即真实性)2.签名确实是由发送方发出的(即不可否认性)3.接收方收到的信息是完整的(即完整性)32签名过程（一）原文非对称算法加密数字签名数字签名原文比较结果发送方接收方非对称算法解密发送方私钥发送方公钥33签名过程（二）原文Hash算法数字签名数字签名原文Hash算法比较结果发送方接收方非对称算法加密非对称算法解密发送方私钥发送方公钥34签名过程（三）这两种数字签名的主要区别在于：前者是一种对整个消息的签名，适用于短文件信息。后者是一种对压缩信息的签名，适用于长文件信息；35数字签名与签名验证只要能够唯一确定某个人与非对称密钥对之间的对应关系，通过数字签名机制可以确保数据的完整性、不可否认性输入数据HASH算法输入数据的数字摘要非对称算法私有密钥比较二者是否相同HASH算法接收数据的数字摘要数字签名非对称算法公开密钥解签名后的结果HASH算法保证输入数据与数字摘要之间的唯一对应私钥和公钥的唯一对应确保数字摘要的精确还原36数字信封是信息发送端用接收端的公钥，将一个通信密钥加密后，传送给接收端，只有指定的接收端才能打开信封，取得通信密钥，用它来解开传送来的信息。数字信封（一）37数字信封（二）结合对称密码算法和非对称密码算法的优点对称密钥明文密文加密后的对称密钥随机生成加密接收方公钥加密对称密钥明文解密接收方私钥解密38数据机密性、完整性、不可抵赖性AB对称算法密钥—KeyA1签名公钥——KeyA2签名私钥——KeyA3加密公钥—KeyB1加密私钥—KeyB2HashKeyA3KeyA1明文信息摘要数字签名KeyB1数字签名KeyA2明文明文信息摘要1信息摘要2比较数字信封KeyA1密文数字信封密文KeyB2KeyA1KeyA1Hash39总结：各种算法的特点对称密码算法加/解密速度快，但密钥分发问题严重非对称密码算法加/解密速度较慢，但无密钥分发问题，可支持大规模使用杂凑函数计算速度快，结果长度统一，单向性、数据不能恢复40BOB加密+数字签名的作用:•完整性•机密性•身份认证•不可否认性总结：非对称加密和签名的综合应用加密数字签名41总结：不同应用的密钥使用统计应用密钥类型密钥所有者发送加密数据公钥接收方的公钥签名私钥发送方解密收到数据私钥接收方验证数字签名公钥发送方42进一步的问题加密：如何获得接收者的公钥？怎样证明是接收者的公钥?验证签名：如何获得发送者的公钥？怎样证明是发送者的公钥?如何证明确定某个密钥对（公钥）是唯一属于某个个体的？如何获得某个个体的公钥？43培训提纲一、PKI的基础知识二、安全产品介绍三、安全中间件介绍四、应用支撑平台介绍44二、安全产品介绍2.1密码服务器2.2密钥管理系统2.3证书业务系统2.4证书查询验证服务系统2.5智能密码钥匙452.1密码服务系统（一）密码服务器通过统一的对外服务接口，为应用系统提供加解密、签名及签名验证、数字信封服务、产生随机数和对数据进行数字摘要等多种密码服务。462.1密码服务系统（二）应用系统安全中间件模块加解密服务调度密码服务单元1密码服务单元2密码服务单元n....472.2密钥管理系统（一）密钥管理策略的制订密钥的生成密钥的存储密钥的查询密钥的撤消密钥的恢复482.2密钥管理系统（二）CA系统密钥管理服务器密钥生成服务器密钥库管理服务器密钥库管理操作台审计系统密码服务系统密钥恢复服务器492.3证书业务服务系统证书业务服务系统体系结构证书认证系统（CA）证书审核注册系统（RA）50证书业务服务系统体系结构证书业务服务系统特点：“集中式生产、分布式服务”可伸缩配置动态平滑可扩展51证书认证系统CA证书策略服务证书签发证书发布证书管理证书撤销列表签发证书撤销列表发布52证书审核注册服务系统RA证书申请与审核证书下载证书注销、暂停、恢复的受理532.4证书查询验证服务系统•基于LDAP的目录管理•基于LDAP的证书及证书撤消列表查询•基于OCSP的证书状态在线查询•“集中式管理、分布式服务”•性能动态平滑可扩展542.5智能密码钥匙用于存储数字证书、密钥等信息，并为客户端提供加解密、签名/验证、密钥管理等基础安全服务55附:证书发放流程下载证书和经加密的加密私钥RA实体鉴别密码器生成签名密钥对本地保存签名私钥KM取出加密密钥对，对加密私钥用签名公钥加密，并托管加密私钥用户信息及签名公钥提交CA将经加密的加密私钥和公钥下发CA将签名公钥和密钥请求提交KM实体鉴别器密码器LDAP发布证书CA对用户信息和加密公钥等进行签名，生成证书56附:基于PKI的身份验证流程(签名运算)客户端服务器端(1)服务请求(3)验证服务器证书的有效性(4)生成随机数R1(10)验证签名结果SS(R1)(11)用客户端私钥对R2签名得到签名结果SC(R2)(2)服务器端证书(5)客户端证书+R1(6)验证客户端证书的有效性(7)用服务器端私钥对R1签名得到签名结果SS(R1)(8)生成随机数R2(15)返回请求结果(12)SC(R2)(13)验证签名结果SC(R2)(14)对身份验证情况进行日志记录(9)SS(R1)