毕业设计论文pki技术分析研究论文管理资料.docx

1、毕业设计论文pki技术分析研究论文管理资料PKI技术分析研究摘 要 基于PKI的电子政务系统，近几年得到了迅速的发展，其安全信息技术和PKI建模技术也在不断的完善，我国的电子政务也在得到不断的发展。本文从公开密钥基础设施PKI、基于PKI的公钥技术、PKI体系的应用三个方面，进行了系统的分析和论证，并对其应用技术进行了深入的探讨。为建立科学合理的电子政务PKI体系提供了重要的依据和方法。 关键字：公开密钥基础设施PKI ，公钥技术public key infrastructure PKIAbstractIn recent years, the electronic government aff

2、airs system based on the PKI has obtained the rapid development. Its securityinformation technology and PKI modeling technology are also in consummation, and our countrys electronic government affairs are obtaining the unceasing development. This article has carried on the systematical analysis and

3、the proof from the three aspetcs of the public key infrastructure PKI, the public key technology based on the PKI, and the PKI system application, and carried on the thorough discussion about its application technology, which provides the important basis and the establishment of the scientific and r

4、easonable electron government affairs PKI system.Keywords: public key infrastructure PKI, the public key technology 引 言全球经济发展正在进入信息经济时代，知识经济初见端倪。作为二十一世纪的主要经济增长方式-电子商务，将给各国和世界经济带来巨大的变革，产生深远的影响。电子商务通过大幅度降低交易成本，增加贸易机会，简化贸易流程，提高贸易效率；电子商务提高生产力，改善物流系统，并推动企业和国民经济结构的改革。对电子商务的关注和投入可以发展新兴产业，创造就业机会，推动国家和全球经济的发

5、展。电子商务是一个新兴市场，而且是一种替代传统商务活动的新形式。它有可能彻底改变贸易活动的本质，形成一套全新的贸易活动框架。但如何保证Internet网上信息传输的安全，是发展电子商务的重要环节。 为解决Internet的安全问题，世界各国对其进行了多年的研究，初步形成了一套完整的Internet安全解决方案，即目前被广泛采用的PKI技术(PublicKeyInfrastructure-公钥基础设施)，PKI（公钥基础设施）技术采用证书管理公钥，通过第三方的可信任机构-认证中心CA(CertificateAuthority)，把用户的公钥和用户的其他标识信息（如名称、e-mail、身份证号等）

6、捆绑在一起，在Internet网上验证用户的身份。目前，通用的办法是采用建立在PKI基础之上的数字证书，通过把要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。由此可见，电子政务系统迫切需要建立能够解决信息资源安全的可行性方案，为政务活动建立安全平台。目前，唯一能够全面解决信息资源安全问题的可行性方案是公开密钥基础设施PKI技术。1 公开密钥基础设施PKI PKI基本原理PKI即“公开密钥体系”，是一种遵循既定标准的密钥管理平台。它能够为所有网络应用提供加密和数字、签名等密码服务及所必需的密钥和证书管理体系。原有的单密钥加密技术采用对称型

7、加密算法，采用此算法的加密方法如果用于网络传输中的数据加密，不可避免地出现安全漏洞。而PKI采用非对称的加密算法，即由原文加密成密文的密钥不同于由密文解密为原文的密钥，以避免第三方获取密钥后将密文解密。PKI体制克服了网络信息系统密匙管理的困难，同时解决了数字签名问题，并可用于身份认证，可以较好地解决电子政务信息的安全传输问题。 PKI的基本构成PKI由认证机构(CA)、数字证书库、密钥备份及恢复系统、证书作废处理系统、应用接口系统等五大成分组成。认证机构(CA)：即数字证书的申请及签发机关，CA必须具备权威性的特征。数字证书库:用于存储已签发的数字证书及公钥，用户可由此获得所需的其他用户的证

8、书及公钥。密钥备份及恢复系统：如果用户丢失了用于脱密数据的密钥，则密文数据将无法被脱密，造成数据丢失。为避免这种情况的出现，PKI提供备份与恢复脱密密钥的机制。密钥的备份与恢复应该由可信的机构来完成，CA可以充当这一角色。证书作废处理系统：是PKI的一个重要组件。同日常生活中的各种证件一样，证书在CA为其签署的有效期内也可能需要作废，终止证书的生命期。为实现这一点，PKI提供作废证书的一系列机制。应用接口系统： PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的PKI提供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保所建立起来的网

9、络环境的可信性，同时降低管理维护成本。 电子政务安全中涉及到的数字证书认证中心CA、审核注册中心RA、密钥管理中心KM都是组成PKI的关键组件，PKI通过管理密钥和证书，为用户建立了一个安全的网络运行环境。2 PKI提供的服务公钥基础设施（Public Key InfrastrUCture，简称PKI）是目前网络安全建设的基础与核心，是电子商务安全实施的基本保障。PKI是一种新的安全技术，它由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等基本成分共同组成的。PKI是利用公钥技术实现电子商务安全的一种体系，是一种基础设施，网络通讯、网上交易是利用它来保证安全的。从某种

10、意义上讲，PKI包含了安全认证系统，即安全认证系统-CA/RA系统是PKI不可缺的组成部分。 PKI（PublicKeyInfrastructure）公钥基础设施是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。它所提供的服务主要包括以下三个方面： 在现实生活中，认证采用的方式通常是两个人事前进行协商，确定一个秘密，然后，依据这个秘密进行相互认证。随着网络的扩大和用户的增加，事前协商秘密会变得非常复杂，特别是在电子政务中，经常会有新聘用和退休的情况。另外，在大规模的网络中，两两进行协商几乎是不可能的。透过一个密钥管理中心来协调也会有很大的困难，而且当网络规模巨大时，密钥管理中

11、心甚至有可能成为网络通信的瓶颈。 PKI通过证书进行认证，认证时对方知道你就是你，但却无法知道你为什么是你。在这里，证书是一个可信的第三方证明，通过它，通信双方可以安全地进行互相认证，而不用担心对方是假冒的。 数字证书认证中心（CertficateAuthority,CA）是整个网上电子交易安全的关键环节。它主要负责产生、分配并管理所有参与网上交易的实体所需的身份认证数字证书。每一份数字证书都与上一级的数字签名证书相关联，最终通过安全链追溯到一个已知的并被广泛认为是安全、权威、足以信赖的机构-根认证中心（根CA）。 电子交易的各方都必须拥有合法的身份，即由数字证书认证中心机构（CA）签发的数字

12、证书，在交易的各个环节，交易的各方都需检验对方数字证书的有效性，从而解决了用户信任问题。CA涉及到电子交易中各交易方的身份信息、严格的加密技术和认证程序。基于其牢固的安全机制，CA应用可扩大到一切有安全要求的网上数据传输服务。数字证书认证解决了网上交易和结算中的安全问题，其中包括建立电子商务各主体之间的信任关系，即建立安全认证体系（CA）；选择安全标准（如SET、SSL）；采用高强度的加、解密技术。其中安全认证体系的建立是关键，它决定了网上交易和结算能否安全进行，因此，数字证书认证中心机构的建立对电子商务的开展具有非常重要的意义。 认证中心（CA），是电子商务体系中的核心环节，是电子交易中信赖

13、的基础。它通过自身的注册审核体系，检查核实进行证书申请的用户身份和各项相关信息，使网上交易的用户属性客观真实性与证书的真实性一致。认证中心作为权威的、可信赖的、公正的第三方机构，专门负责发放并管理所有参与网上交易的实体所需的数字证书。开放网络上的电子商务要求为信息安全提供有效的、可靠的保护机制。这些机制必须提供机密性、身份验证特性(使交易的每一方都可以确认其它各方的身份)、不可否认性(交易的各方不可否认它们的参与)。这就需要依靠一个可靠的第三方机构验证，而认证中心（CA：CertificationAuthority）专门提供这种服务。 证书机制是目前被广泛采用的一种安全机制，使用证书机制的前提

14、是建立CA（CertificationAuthority-认证中心）以及配套的RA（RegistrationAuthority-注册审批机构）系统。 CA中心，又称为数字证书认证中心，作为电子商务交易中受信任的第三方，专门解决公钥体系中公钥的合法性问题。CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户名称与证书中列出的公开密钥相对应。CA中心的数字签名使得攻击者不能伪造和篡改数字证书。 在数字证书认证的过程中，证书认证中心（CA）作为权威的、公正的、可信赖的第三方，其作用是至关重要的。认证中心就是一个负责发放和管理数字证书的权威机构。同样CA允许管理员撤销

15、发放的数字证书，在证书废止列表(CRL)中添加新项并周期性地发布这一数字签名的CRL。 RA（RegistrationAuthority），数字证书注册审批机构。RA系统是CA的证书发放、管理的延伸。它负责证书申请者的信息录入、审核以及证书发放等工作；同时，对发放的证书完成相应的管理功能。发放的数字证书可以存放于IC卡、硬盘或软盘等介质中。RA系统是整个CA中心得以正常运营不可缺少的一部分。概括地说，认证中心（CA）的功能有：证书发放、证书更新、证书撤销和证书验证。CA的核心功能就是发放和管理数字证书，具体描述如下： （1）接收验证最终用户数字证书的申请。 （2）确定是否接受最终用户数字证书的

16、申请-证书的审批。 （3）向申请者颁发、拒绝颁发数字证书-证书的发放。 （4）接收、处理最终用户的数字证书更新请求-证书的更新。 （5）接收最终用户数字证书的查询、撤销。 （6）产生和发布证书废止列表（CRL）。 （7）数字证书的归档。 （8）密钥归档。 （9）历史数据归档。 认证中心为了实现其功能，主要由以下三部分组成： 注册服务器：通过WebServer建立的站点，可为客户提供每日24小时的服务。因此客户可在自己方便的时候在网上提出证书申请和填写相应的证书申请表，免去了排队等候等烦恼。 证书申请受理和审核机构：负责证书的申请和审核。它的主要功能是接受客户证书申请并进行审核。 认证中心服务器

17、：是数字证书生成、发放的运行实体，同时提供发放证书的管理、证书废止列表（CRL）的生成和处理等服务。 支持密匙管理通过加密证书，通信双方可以协商一个秘密，而这个秘密可以作为通信加密的密钥。在需要通信时，可以在认证的基础上协商一个密钥。在大规模的网络中，特别是在电子政务中，密钥恢复也是密钥管理的一个重要方面，政府决不希望加密系统被犯罪分子窃取使用。当政府的个别职员背叛或利用加密系统进行反政府活动时，政府可以通过法定的手续解密其通信内容，保护政府的合法权益。PKI能够通过良好的密钥恢复能力，提供可信的、可管理的密钥恢复机制。PKI的普及应用能够保证在全社会范围内提供全面的密钥恢复与管理能力，保证网

18、上活动的健康有序发展。 完整性和不可否认性完整性与不可否认是PKI提供的最基本的服务。一般来说，完整性也可以通过双方协商一个秘密来解决，但一方有意抵赖时，这种完整性就无法接受第三方的仲裁。而PKI提供的完整性是可以通过第三方仲裁的，并且这种可以由第三方进行仲裁的完整性是通信双方都不可否认的。例如，小张发送一个合约给老李，老李可以要求小张进行数字签名，签名后的合约不仅老李可以验证其完整性，其他人也可以验证该合约确实是小张签发的。而所有的人，包括老李，都没有模仿小张签署这个合约的能力。不可否认就是通过这样的PKI数字签名机制来提供服务的。当法律许可时，该不可否认性 可以作为法律依据(美国等一些国家

19、已经颁布数字签名法)。正确使用时，PKI的安全性应该高于目前使用的纸面图章系统。 完善的PKI系统通过非对称算法以及安全的应用设备，基本上解决了网络社会中的绝大部分安全问题(可用性除外)。PKI系统具有这样的能力： 它可以将一个无政府的网络社会改造成为一个有政府、有管理和可以追究责任的社会，从而杜绝黑客在网上肆无忌惮的攻击。在一个有限的局域网内，这种改造具有更好的效果。目前，许多网站、电子商务、安全E-mail系统等都已经采用了PKI技术。3 基于PKI的公钥技术 利用公钥技术对政务信息在存储环节和网间传输环节进行加密，使之以密文存储和传输，可以有效抵卸对信息的恶意攻击。基于PKI的公钥技术主

20、要用公钥加密和数字签名对信息进行加密。公钥加密公钥加密使用两个密钥：一个公钥和一个私钥，这两个密钥在数学上是相关的。为了与对称密钥加密相对照，公钥加密有时也叫做不对称密钥加密。在公钥加密中，公钥可在通信双方之间公开传递，或在公用储备库中发布，但相关的私钥是保密的。只有使用私钥才能解密用公钥加密的数据。使用私钥加密的数据只能用公钥解密。将公钥加密与其它加密形式（如对称密钥加密）结合使用，可以优化性能。PKI还提供了密钥备份系统及恢复系统，防止用户私钥丢失而丢失数据，而当用户身份变更或怀疑私钥泄密, PKI则及时公布证书废除消息，构建了完整的密钥管理体系。 数字签名数字签名是公共密钥技术的另一个用

21、途，是指使用密码算法对待发的数据(报文、票证等)进行加密处理，生成一段信息，附着在原文上一起发送，这段信息类似现实中的签名或印章，接收方对其进行验证，判断原文真伪。数字签名可以分为发送方的签名和接收方的签名。前者用来验证接收者收到的信息确来自于发送者和未经篡改，后者用来确认接收者已收到信息不能否认。主要思想为:发送方的签名指发送方对信息用单向散列函数作一次抽样生成信息摘要，将信息摘要用其私钥加密，生成签名文，再利用接收方的公钥对签名文再次加密生成签名密文传给接收方，接收方用其私钥解密获得签名文，再用发送方的公钥解密还原为信息摘要。接收方将收到的信息用同样的单向散列函数作一次抽样，并与接收到的信

22、息摘要比较，以判断信息是否来自发送者、是否被修改，以验证信息的真实性。接收方的签名指接收方收到信息后，用其私钥对一个签名文件加密并传送给发送者，发送者用接收者的公钥打开签名文件，获取接收方对信息的签收情况。由于私钥具有唯一性，可证实该签名确由接收方发出，从而证实了接收者确实收到了来自发送方的信息、不能否认。4 PKI体系的应用 PKI应用技术PKI技术是信息安全技术的核心，也是电子政务的关键和基础技术。由于通过网络进行的电子政务、电子商务、电子事务等活动缺少物理的接触，因而使得用电子方式验证信任关系变得至关重要。而PKI技术恰好是一种适用于电子商务、电子政务、电子事务的密码技术，它能够有效地解

23、决电子商务应用中的机密性、真实性、完整性、不可否认性和存取控制等安全问题。 典型应用案例分析PKI作为一种在互联网上提供安全保证的工具，在中国的电子政务建设中已经成为保障信息安全的利器。税务系统也建立了自己的信息化平台，北京国税和惠州地税等率先采用PKI及智能卡技术开展企业网上报税的服务。这样关键性的税务行业内应用PKI项目是值得被大家关注的。 网上报税是指税务部门建立专门的申报网站，纳税户通过Internet访问税务部门网站上的网上报税系统，正确填写电子化申报表后，递交申报数据至税务部门服务器，税务部门的WWW服务器对这些数据进行处理、储存，并将处理结果反馈给纳税人的一种电子申报方式。此种方

24、式大大减少了纳税户往返于税务部门、银行的烦恼，大大减轻了税务部门的工作量。由此我们可以预见，网上报税将成为今后主要的税务申报方式。目前网上报税应用中存在的主要信息安全隐患有：身份认证、信息的机密性、信息的完整性和信息的不可抵赖性。针对这些安全隐患，基于PKI技术的、易于实施的网上报税安全认证系统被推出了。通过为参与网上报税应用的各方发放数字证书来对其进行身份标识，并且在网上报税应用执行的过程中通过使用数字证书对各方进行身份验证和签名验证，最终满足网上报税的安全需求，有效地防止各种网上报税安全隐患。 此外，网上报税安全认证系统还能够实现访问控制功能，保证税务部门内部人员和纳税户在网上报税应用中拥

25、有不同的权限，防止税务部门内部人员窃取纳税户敏感信息；能够实现文件加密保存功能，保证存放在税务部门和纳税户计算机上的文件他人无法打开。网上报税安全认证系统支持交叉认证，并可以与MS Exchange、Lotus Notes等办公自动化软件无缝集成。 PKI应用前景由于PKI是重大国家利益和网络经济的发展的制高点，也是推动互联网发展、保障事务处理安全、推动电子政务、电子商务的支撑点。因此，建立健全的国家PKI体系，将有力地促进我国电子政务以及整个国家信息化的发展。PKI支持SSL、IP over VPN、SMIME等协议，这使得它可以支持加密Web、VPN、安全邮件等应用。而且，PKI支持不同C

26、A间的交叉认证，并能实现证书、密钥对的自动更换，这扩展了它的应用范畴。一个完整的PKI产品除主要功能外，还包括交叉认证、支持LDAP协议、支持用于认证的智能卡等。此外，PKI的特性融入各种应用(如防火墙、浏览器、电子邮件、群件、网络操作系统)也正在成为趋势。随着Internet应用的不断普及和深入，政府部门需要PKI支持管理；商业企业内部、企业与企业之间、区域性服务网络、电子商务网站都需要PKI的技术和解决方案；大企业需要建立自己的PKI平台；小企业需要社会提供商业PKI服务。此外，作为PKI的一种应用，基于PKI和虚拟专用网市场也随着B2B电子商务的发展而迅速膨胀。总的来说，PKI的市场需求

27、非常巨大，基于PKI和应用包括了许多内容，如WWW安全、电子邮件安全、电子数据交换、信用卡交易安全、VPN。从行业应用来看，电子商务、电子政务、远程教育等方面都离不开PKI技术。5 PKI应用和发展 虚拟专用网络(VPN)通常，企业在架构VPN时都会利用防火墙和访问控制技术来提高VPN的安全性，这只解决了很少一部分问题，而一个现代VPN所需要的安全保障，如认证、机密、完整、不可否认以及易用性等都需要采用更完善的安全技术。就技术而言，除了基于防火墙的VPN之外，还可以有其他的结构方式，如基于黑盒的VPN、基于路由器的VPN、基于远程访问的VPN或者基于软件的VPN。现实中构造的VPN往往并不局限

28、于一种单一的结构，而是趋向于采用混合结构方式，以达到最适合具体环境、最理想的效果。在实现上，VPN的基本思想是采用秘密通信通道，用加密的方法来实现。具体协议一般有三种：PPTP、L2TP和IPSec。 其中，PPTP(Point-to-Point Tunneling Protocol)是点对点的协议，基于拨号使用的PPP协议使用PAP或CHAP之类的加密算法，或者使用Microsoft的点对点加密算法。 而L2TP(Layer 2 Tunneling Protocol)是L2FP(Layer 2 Forwarding Protocol)和PPTP的结合，依赖PPP协议建立拨号连接，加密的方法也

29、类似于PPTP，但这是一个两层的协议，可以支持非IP协议数据包的传输，因此也可以说L2TP是PPTP在实际应用环境中的推广。 无论是PPTP，还是L2TP，它们对现代安全需求的支持都不够完善，应用范围也不够广泛。事实上，缺乏PKI技术所支持的数字证书，VPN也就缺少了最重要的安全特性。简单地说，数字证书可以被认为是用户的护照，使得他(她)有权使用VPN，证书还为用户的活动提供了审计机制。缺乏数字证书的VPN对认证、完整性和不可否认性的支持相对而言要差很多。 基于PKI技术的IPSec协议现在已经成为架构VPN的基础，它可以为路由器之间、防火墙之间或者路由器和防火墙之间提供经过加密和认证的通信。

30、虽然它的实现会复杂一些，但其安全性比其他协议都完善得多。由于IPSec是IP层上的协议，因此很容易在全世界范围内形成一种规范，具有非常好的通用性，而且IPSec本身就支持面向未来的协议IPv6。总之，IPSec还是一个发展中的协议，随着成熟的公钥密码技术越来越多地嵌入到IPSec中，相信在未来几年内，该协议会在VPN世界里扮演越来越重要的角色。 安全电子邮件 作为Internet上最有效的应用，电子邮件凭借其易用、低成本和高效已经成为现代商业中的一种标准信息交换工具。随着Internet的持续增长，商业机构或政府机构都开始用电子邮件交换一些秘密的或是有商业价值的信息，这就引出了一些安全方面的问

31、题，包括： 1消息和附件可以在不为通信双方所知的情况下被读取、篡改或截掉； 2没有办法可以确定一封电子邮件是否真的来自某人，也就是说，发信者的身份可能被人伪造。 前一个问题是安全，后一个问题是信任，正是由于安全和信任的缺乏使得公司、机构一般都不用电子邮件交换关键的商务信息，虽然电子邮件本身有着如此之多的优点。 其实，电子邮件的安全需求也是机密、完整、认证和不可否认，而这些都可以利用PKI技术来获得。具体来说，利用数字证书和私钥，用户可以对他所发的邮件进行数字签名，这样就可以获得认证、完整性和不可否认性，如果证书是由其所属公司或某一可信第三方颁发的，收到邮件的人就可以信任该邮件的来源，无论他是否

32、认识发邮件的人；另一方面，在政策和法律允许的情况下，用加密的方法就可以保障信息的保密性。 目前发展很快的安全电子邮件协议是S/MIME (The Secure Multipurpose InternetMail Extension)，这是一个允许发送加密和有签名邮件的协议。该协议的实现需要依赖于PKI技术。 Web安全浏览Web页面或许是人们最常用的访问Internet的方式。一般的浏览也许并不会让人产生不妥的感觉，可是当您填写表单数据时，您有没有意识到您的私人敏感信息可能被一些居心叵测的人截获，而如果您或您的公司要通过Web进行一些商业交易，您又如何保证交易的安全呢? 一般来讲，Web上的交易可能带来的安全问题有： 诈骗-建立网站是一件很容易也花钱不多的事，有人甚至直接拷贝别人的页面。因此伪装一个商业机构非常简单，然后它就可以让访问者填一份详细的注册资料，还假装保证个人隐私，而实际上就是为了获得访问者的隐私。调查显示，邮件地址和信用卡号的泄漏大多是如此这般。 泄漏-