PKI體系如何保障身份安全？

 組件說(shuō)明

數(shù)字證書

PKI中核心載體為數(shù)字證書，即由具有公信力的機(jī)構(gòu)為個(gè)人頒發(fā)的身份ID，其可看作個(gè)人在虛擬網(wǎng)絡(luò)世界的身份ID。

數(shù)字證書的分類一般為4大類：根據(jù)證書持有者分類、根據(jù)秘鑰分類、根據(jù)驗(yàn)證模式分類以及根據(jù)域名分類。

CA中心

CA 中心管理并運(yùn)營(yíng) CA 系統(tǒng)，CA 系統(tǒng)負(fù)責(zé)頒發(fā)數(shù)字證書。專門負(fù)責(zé)頒發(fā)數(shù)字證書的系統(tǒng)稱為 CA 系統(tǒng)，負(fù)責(zé)管理并運(yùn)營(yíng) CA 系統(tǒng)的機(jī)構(gòu)稱為 CA 中心。所有與數(shù)字證書相關(guān)的各種概念和技術(shù)，統(tǒng)稱為 PKI（Public Key Infrastructure）。

身份認(rèn)證

由于網(wǎng)絡(luò)具有開(kāi)放性和匿名性等特點(diǎn)，非法用戶通過(guò)一些技術(shù)手段假冒他人身份進(jìn)行網(wǎng)上欺詐的門檻越來(lái)越低，從而對(duì)合法用戶和系統(tǒng)造成極大的危害。身份認(rèn)證的實(shí)質(zhì)就是證實(shí)被認(rèn)證對(duì)象是否真實(shí)和是否有效的過(guò)程，被認(rèn)為是當(dāng)今網(wǎng)上交易的基礎(chǔ)。在PKI體系中，認(rèn)證中心(Certification Authority，CA)為系統(tǒng)內(nèi)每個(gè)合法用戶辦一個(gè)網(wǎng)上身份認(rèn)證。

數(shù)據(jù)完整性（電子郵件）

數(shù)據(jù)的完整性就是防止非法篡改信息，如修改、復(fù)制、插入、刪除等。在交易過(guò)程中，要確保交易雙方接收到的數(shù)據(jù)與原數(shù)據(jù)完全一致，否則交易將存在安全問(wèn)題。如果依靠觀察的方式來(lái)判斷數(shù)據(jù)是否發(fā)生過(guò)改變，在大多數(shù)情況下是不現(xiàn)實(shí)的。在網(wǎng)絡(luò)安全中，一般使用散列函數(shù)的方法(Hash函數(shù)，也稱密碼雜湊函數(shù))來(lái)保證通信時(shí)數(shù)據(jù)的完整性。通過(guò)Hash算法我們將任意長(zhǎng)度的數(shù)據(jù)通過(guò)變換為長(zhǎng)度固定的數(shù)字摘要(消息認(rèn)證碼，MAC)，并且原始數(shù)據(jù)中任何一位的改變都將會(huì)在相同的計(jì)算條件下產(chǎn)生截然不同的數(shù)字摘要。

數(shù)據(jù)保密性（服務(wù)訪問(wèn)）

數(shù)據(jù)的保密性就是對(duì)需要保護(hù)的數(shù)據(jù)進(jìn)行加密，從而保證信息在傳輸和存儲(chǔ)過(guò)程中不被未授權(quán)人獲取。在PKl系統(tǒng)中，所有的保密性都是通過(guò)密碼技術(shù)實(shí)現(xiàn)的。密鑰對(duì)分為兩種，一種稱作加密密鑰對(duì)，用作加解密；另一種稱作簽名密鑰對(duì)，用作簽名。一般情況下，用來(lái)加解密的密鑰對(duì)并不對(duì)實(shí)際的大量數(shù)據(jù)進(jìn)行加解密，只是用于協(xié)商會(huì)話密鑰，而真正用于大量數(shù)據(jù)加解密的是會(huì)話密鑰。

不可抵賴性（合同）

不可抵賴性保證參與雙方不能否認(rèn)自己曾經(jīng)做過(guò)的事情。在PKI系統(tǒng)中，不可抵賴性來(lái)源于數(shù)字簽名。由于用戶進(jìn)行數(shù)字簽名的時(shí)候．簽名私鑰只能被簽名者自己掌握，系統(tǒng)中的其他實(shí)體不能做出這樣的簽名，因此，在私鑰安全的假設(shè)下簽名者就不能否認(rèn)自己做出的簽名。保護(hù)簽名私鑰的安全性是不可抵賴問(wèn)題的基礎(chǔ)。

數(shù)字簽名

由于單一的、獨(dú)一無(wú)二的私鑰創(chuàng)建了簽名，所以在被簽名數(shù)據(jù)與私鑰對(duì)應(yīng)的實(shí)體之間可以建立一種聯(lián)系，這種聯(lián)系通過(guò)使用實(shí)體公鑰驗(yàn)證簽名來(lái)實(shí)現(xiàn)。如果簽名驗(yàn)證正確，并且從諸如可信實(shí)體簽名的公鑰證書中知道了用于驗(yàn)證簽名的公鑰對(duì)應(yīng)的實(shí)體，那么就可以用數(shù)字簽名來(lái)證明被數(shù)字簽名數(shù)據(jù)確實(shí)來(lái)自證書中標(biāo)識(shí)的實(shí)體。因此，PKI的數(shù)字簽名服務(wù)分為兩部分：簽名生成服務(wù)和簽名驗(yàn)證服務(wù)。

小結(jié)

針對(duì)PKI派拉能提供什么?