第六讲网络空间信息系统安全技术PPT课件.ppt

第六讲：网络空间信息系统安全技术一、背景信息安全的要求
二、信息安全的技术
1、PKI(PublicKeyInfrastructure-公钥基础设施)
（1）PKI的概念
PKI（公钥基础设施）技术采用证书管理公钥，通过第三方的可信任机构--认证中心CA(CertificateAuthority)，把用户的公钥和用户的其它标识信息（如名称、e-mail、身份证号等）捆绑在一起，在Internet网上验证用户的身份。目前，通用的办法是采用建立在PKI基础之上的数字证书，通过把要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。
PKI解决安全需求的思路（2）PKI的核心技术
所有提供公钥加密和数字签名服务的系统，都可叫做PKI系统，PKI的主要目的是通过自动管理密钥和证书，可以为用户建立起一个安全的网络运行环境，使用户可以在多种应用环境下方便的使用加密和数字签名技术，从而保证网上数据的机密性、完整性、有效性。数据的机密性是指数据在传输过程中，不能被非授权者偷看；数据的完整性是指数据在传输过程中不能被非法篡改；数据的有效性是指数据不能被否认。一个有效的PKI系统必须是安全的和透明的，用户在获得加密和数字签名服务时，不需要详细地了解PKI是怎样管理证书和密钥的，一个典型、完整、有效的PKI应用系统至少应具有以下部分：
公钥密码证书管理。黑名单的发布和管理。密钥的备份和恢复。自动更新密钥。自动管理历史密钥。支持交叉认证。
单钥密码算法（加密）
单钥密码算法，又称对称密码算法：是指加密密钥和解密密钥为同一密钥的密码算法。因此，信息的发送者和信息的接收者在进行信息的传输与处理时，必须共同持有该密码（称为对称密码）。在对称密钥密码算法中,加密运算与解密运算使用同样的密钥。通常,使用的加密算法比较简便高效,密钥简短,破译极其困难；由系统的保密性主要取决密钥的安全性,所以，在公开的计算器网络上安全地传送和保管密钥是一个严峻的问题。DES（DataEncryptionStandard，数据加密标准）算法，它是一个分组加密算法，它以64bit位（8byte）为分组对数据加密，其中有8bit奇偶校验，有效密钥长度为56bit。64位一组的明文从算法的一端输入，64位的密文从另一端输出。DES是一个对称算法，加密和解密用的是同一算法。DES的安全性依赖所用的密钥。

在通过网络传输信息时，公钥密码算法体现出了单密钥加密算法不可替代的优越性。
公钥密码算法中的密钥依据性质划分，可分为公钥和私钥两种。用户产生一对密钥，将其中的一个向外界公开，称为公钥；另一个则自己保留，称为私钥。凡是获悉用户公钥的任何人若想向用户传送信息，只需用用户的公钥对信息加密，将信息密文传送给用户便可。因为公钥与私钥之间存在的依存关系，在用户安全保存私钥的前提下，只有用户本身才能解密该信息，任何未受用户授权的人包括信息的发送者都无法将此信息解密。
RSA公钥密码算法是一种公认十分安全的公钥密码算法。它的命名取自三个创始人：Rivest、Shamir和Adelman。RSA公钥密码算法是目前网络上进行保密通信和数字签名的最有效的安全算法。RSA算法的安全性基数论中大素数分解的困难性，所以，RSA需采用足够大的整数。因子分解越困难，密码就越难以破译，加密强度就越高。RSA既能用加密又能用数字签名，在已提出的公开密钥算法中，RSA最容易理解和实现的，这个算法也是最流行的。公开密钥数字签名算法（签名）
DSA（DigitalSignatureAlgorithm，数字签名算法，用作数字签名标准的一部分），它是另一种公开密钥算法，它不能用作加密，只用作数字签名。DSA使用公开密钥，为接受者验证数据的完整性和数据发送者的身份。它也可用由第三方去确定签名和所签数据的真实性。DSA算法的安全性基解离散对数的困难性，这类签字标准具有较大的兼容性和适用性，成为网络安全体系的基本构件之一。数字签名与数字信封
公钥密码体制在实际应用中包含数字签名和数字信封两种方式。
数字签名是指用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据。信息接收者使用信息发送者的公钥对附在原始信息的数字签名进行解密获得哈希摘要，并通过与自己用收到的原始数据产生的哈希哈希摘要对照，便可确信原始信息是否被篡改。这样就保证了数据传输的不可否认性。
数字信封的功能类似普通信封。普通信封在法律的约束下保证只有收信人才能阅读信的内容；数字信封则采用密码技术保证了只有规定的接收人才能阅读信息的内容，数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息，再利用接收方的公钥加密对称密码，被公钥加密的对称密码被称之为数字信封。在传递信息时，信息接收方要解密信息