网络安全-PKI

网络安全-PKI

       我们都知道，计算机网络上没有绝对的安全，所以为咯实现数据安全传输，只有通过各种加密传输尽可能保证数据完整性和真实性。常见的加密算法有单向加密，对称加密，非对称加密。单向加密一般用于数据完整性（提取特征码）；对称加密速度快，一般用于数据加密；非对称加密速度慢，一般只用于身份验证。现在网络应用最为广泛的就是PKI咯。

 

---

           由于表达不够流畅，下面多是转载内容，便于大家理解。

         PKI（Public Key Infrastructure ）即"公开密钥体系"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。

PKI（Public Key Infrastructure ）是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范。它能够为所有网络应用 提供加密和数字签名等密码服务及所必需的密钥和证书管理体系， 简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。用户可利用PKI平台提供的服务进行安全的电子交易，通信和互联网上的各种活动。

一般PKI是通过SSl实现的，即安全套接子层。SSL(Secure Sockets Layer) 由 Netscape 公司开发的一套 Internet 数据安全协议 。它已被广泛地用于 Web 浏览器与服务器之间的身份认证和加密数据传输。 SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持 。准确来讲，只是个半层协议，是可选择的。

 

 SSL通讯示意图如图1所示：

     2 SSL 通讯说明

    在该部分，将对图1所示的示意图进行说明。为了说明的方便，在本文中称客户端为B，服务器端为S。

    STEP 1: B——〉S（发起对话，协商传送加密算法）

    你好,S！我想和你进行安全对话，我的对称加密算法有DES,RC5，我的密钥交换算法有RSA和DH，摘要算法有MD5和SHA。

    STEP2: S——〉B（发送服务器数字证书）

    你好,B！那我们就使用DES－RSA－SHA这对组合进行通讯，为了证明我确实是S，现在发送我的数字证书给你，你可以验证我的身份。

    STEP 3: B——〉S（传送本次对话的密钥）

    （检查S的数字证书是否正确，通过CA机构颁发的证书验证了S证书的真实有效性后。生成了利用S的公钥加密的本次对话的密钥发送给S）

    S, 我已经确认了你的身份，现在将我们本次通讯中使用的对称加密算法的密钥发送给你。

    STEP4: S——〉B（获取密钥）

    （S用自己的私钥解密获取本次通讯的密钥）。

    B, 我已经获取了密钥。我们可以开始通信了。

    STEP5: S<——>B（进行通讯）

    说明：一般情况下，当B是保密信息的传递者时，B不需要数字证书验证自己身份的真实性，如 电子银行的应用，客户需要将自己的账号和密码发送给银行，因此银行的服务器需要安装数字证书来表明自己身份的有效性。在某些B2B应用，服务器端也需要对客户端的身份进行验证，这时客户端也需要安装数字证书以保证通讯时服务器可以辨别出客户端的身份，验证过程类似于服务器身份的验证过程。

    此外需要说明的是，在一些电子商务的应用中，可能还会使用到电子签名，或者为了信息交换的更加安全，会增加电子签名和消息校验码（MAC）。

 

为了便于了解SSL，下面在简要介绍一下信息加密相关知识。使用密钥类型加密信息的加密算法可以分为以下几类：HASH 编码、对称加密和非对称加密三类。

    HASH 编码是使用HASH算法从任意长度的消息中计算HASH值的一个过程，HASH值可以说是消息的指纹，因为对于任何不同的消息，几乎总有不同的HASH值。因此在SSL通讯过程中， 可以对消息的 HASH 值进行加密，确保传递的消息在传输过程中没有被修改。

    非对称加密或称之为公钥加密使用数学上相关的两个数值来对信息进行编码（加密），其中一个数字称为公钥，另一个称为私钥。公钥加密的信息可以用私钥解密，私钥加密的信息可以用公钥解密。由于公钥可以大面积发放，因此公钥加密在SSL加密通信中应用于对密钥的加密或者进行数字签名。

    对称加密和非对称加密相比的区别在于对称加密中，加密信息和解密信息使用同样的密钥，因此该密钥无法公开。 但是其具有加密、解密快速的特点。

    在SSL通讯中，首先采用非对称加密交换信息，使得服务器获得浏览器端提供的对称加密的密钥，然后利用该密钥进行通讯过程中信息的加密和解密。为了保证消息在传递过程中没有被篡改，可以加密HASH编码来确保信息的完整性。

 

 

数字证书就是标志网络用户身份信息的一系列数据，用来在网络通讯中识别通讯各方的身份，即要在 Internet 上解决 " 我是谁 " 的问题，就如同现实中我们每一个人都要拥有一张证明个人身份的身份证或驾驶执照一样，以表明我们的身份或某种资格。
   数字证书是由权威公正的第三方机构即 CA 中心签发的，以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的 机密性 、 完整性 ，以及 交易实体身份的真实性 ， 签名信息的不可否认性 ，从而保障网络应用的安全性。
   数字证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。 每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以对外公开，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密 。在公开密钥密码体制中，常用的一种是 RSA 体制。
   用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：
   （ 1 ）保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；
   （ 2 ）保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。

 

数字证书就是网络通讯中标志通讯各方身份信息的一系列数据，其作用类似于现实生活中的身份证。它是由一个权威机构发行的，人们可以在交往中用它来识别对方的身份。

最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间，发证机关(证书授权中心)的名称，该证书的序列号等信息，