PKI与证书服务应用

第五章 PKI与证书服务应用

一、实验目的

 掌握PKI的作用

 掌握CA服务器的配置方法

 掌握SSL安全站点的实现方法

二、实验要求

 完成此实验前请先完成域环境的如下实验要求

 将CA服务器部署为层次结构，即根CA和*从属CA（公司是一个域环境环境）

 公司的web服务器应该通过HTTPS的方式访问；实现基于证书模式的VPN

 为了保证证书的安全性，要求将WEB服务器的证书导出并安全保存起来(导出私钥)

三、实验拓扑

四．实验步骤

基本步骤 详细步骤

1. 搭建环境

1. 在虚拟机上启动三台2008和一台2003分别命名为DC/DNC/rootCA,从属CA，WEB，Client。将四台虚拟机连接在一个虚拟网卡上。IP地址分别设置为192.168.1.1 ，192.168.1.2,192.168.1.3192.168.1.4 首选DNS都设置为192.168.1.1。

2. 将DC/DNS/rootCA,升级为域控制器，域名为，在DNS上创建WWW。将从属CA，WEB，加入域。

3. 在WEB上安装IIS。

2. 在DC/DNC/rootCA上安装Active Directory 证书服务。 服务器管理器-----角色----添加角色----下一步-----选择Active

Directory 证书服务，下一步------选择证书颁发机构和证书颁发机构Web注册，下一步-------选择企业，下一步--------选择根CA，下一步------选择私钥，下一步---配置CA名称页中更名为rootCA---下一步----下一步-----下一步------下一步-----安装-----完成后关闭。

3. 在从属CA上上安装Active 1. 服务器管理器-----角色----添加角色----下一步-----选择Directory 证书服务。并由根CA下载证书，安装证书。 Active Directory 证书服务，下一步------选择证书颁发机构和证书颁发机构Web注册，下一步-------选择企业，下一步--------选择子级CA，下一步------选择私钥，下一步------下一步--------配置CA名称页中更名为congshuCA，下一步----单击浏览-----选中rootCA，确定，下一步----下一步----安装-----完成后关闭。

一．PKI简介

PKI是Public Key Infrastructure的缩写，通常译为公钥基础设施。称为“基础设施”是因为它具备基础设施的主要特征。PKI在网络信息空间的地位与其他基础设施在人们生活中的地位非常类似。电力系统通过延伸到用户端的标准插座为用户提供能源；PKI通过延伸到用户的接口为各种网络应用提供安全服务，包括身份认证、识别、数字签名、加密等。一方面PKI对网络应用提供广泛而开放的支撑；另一方面，PKI系统的设计、开发、生产及管理都可以独立进行，不需要考虑应用的特殊性。

目前，安全的电子商务就是采用建立在PKI基础上的数字证书，通过对要传输的数字信息进行加密和签名来保证信息传输的机密性、真实性、完整性和不可否认性（又称非否认性)，从而保证信息的安全传输和交易的顺利进行。PKI已成为电子商务应用系统、乃至电子政务系统等网络应用的安全基础和根本保障。

PKI的主要目的是通过自动管理密钥和证书，为用户建立起一个安全的网络运行环境，使用户可以在多种应用环境下方便的使用加密和数字签名技术，从而保证网上数据的完整性、机密性、不可否认性。数据的完整性是指数据在传输过程中不能被非法篡改；数据的机密性是指数据在传输过程中，不能被非授权者偷看；数据的不可否认性是指参加某次通信交换的一方事后不可否认本次交换曾经发生过。

二．证书申请

1．PKI组件

PKI主要包括认证中心CA、注册机构RA、证书服务器、证书库、时间服务器和PKI策略等。

（1）CA

CA是PKI的核心，是PKI应用中权威的、可信任的、公正的第三方机构。

CA用于创建和发布证书，它通常为一个称为安全域的有限群体发放证书。创建证书的时候，CA系统首先获取用户的请求信息，其中包括用户公钥（公钥一般由用户端产生，如电子邮件程序或浏览器等），CA将根据用户的请求信息产生证书，并用自己的私钥对证书进行签名。其他用户、应用程序或实体将使用CA的公钥对证书进行验证。如果一个CA系统是可信的，则验证证书的用户可以确信，他所验证的证书中的公钥属于证书所代表的那个实体。

数据加密技术＼PKI技术与应用

[摘要] Internet 技术的普及使用,使得大量的信息必须在网络上进行传输和交换,网络与系统的安全与保密也因此而显得越来越重,论文中给出了两类数据加密技术及PIK技术,并简要介绍了PIK技术的应用。

[关键词] 数据加密 DES算法 RAS算法 公钥 PIK技术

一、引言

目前,Internet已遍及全球,为用户提供了多样化的网络与信息服务,网络信息系统在各行各业发挥了越来越大的作用,各种完备的网络信息系统,使得秘密信息高度集中于计算机中并在网络中进行频繁的信息交换,网络与信息系统的安全与保密问题因此显得越来越重要。

本文描述了两类数据加密技术和建立在公钥理论之上的PIK技术,并对PIK技术的应用作了简单介绍。

二、数据加密技术

数据加密是通过各种网络进行安全的信息交换的基础。通过数据加密可以实现以下安全服务:

(1)机密性:保护被传输的数据免受被动攻击,保护通信量免受分析;

(2)鉴别:确保一个通信是可信的;

(3)完整性:确保数据在传输过程中没有冗余、插入、篡改、重排序或延迟,也包括数据的销毁;

(4)不可抵赖:防止发送方或接收方抵赖所传输的消息;

(5)访问控制:限制和控制经通信链路对主机系统和应用程序进行访问的能力;

(6)可用性:加密技术按照密钥的使用数量分为常规加密技术和公开密钥加密技术。

常规加密技术基于替代和置换技术,其算法是对称的,通信双方的加密密钥和解密密钥是相同的。在设计加密算法时,为了保证安全性,首先,加密算法必须足够强大,使得仅根据密文就能破译是不可能的,其次,必须保证密钥的安全性,并定期改变密钥,常规加密算法速度快,被广泛使用。经典的算法有DES及其各种变形(如Triple DES),IDEA,Blowfish,RC4、RC5以及CAST-128等。在众多的对称加密算

法中,最重要的是DES。

公开密钥加密技术基于数学函数,是非对称的,采用两个不同的密钥——公钥和私钥,公钥公开,私钥保密。公钥和私钥在数学上是相关的,用公钥加密的数据只有用私钥才能解开。使用两个密钥对保密通信、密钥分配和鉴别等领域有着深远的影响。典型的算法有RSA、背包密码,Elliptic Curve、ElGamal算法等等。最有影响的公钥加密算法是RSA,足够位数的RSA能够抵抗到目前为止已知的所有密码攻击。

实训5：配置数字证书服务

实训环境

1．一台Windows Server 2016 DC，主机名为DC。

2．一台Windows Server 2016服务器并加入域，主机名为Server1。

3．一台Windows 10客户端并加入域，主机名为Win10。

实训操作

假设你是一家公司的网站管理员，需要你完成以下工作：

1．在DC上部署企业根CA。

打开“服务器管理器”，单击“添加角色和功能”，打开“添加角色和功能向导”窗口。

逐步单击“下一步”，在 “服务器角色”界面中，勾选“Active Directory证书服务”复选框，然后单击“下一步”。

在 “AD CS角色服务”界面中，勾选“证书颁发机构”和“证书颁发机构Web注册”复选框， 然后单击“下一步”。其中“证书颁发机构Web注册”角色，可以实现通过浏览器向CA进行证书申请的网站功能。

4．最后在 “确认”界面中，单击“安装”，开始安装证书服务。

完成安装后，单击 “配置目标服务器上的Active Directory证书服务”。

在“AD CS配置”向导中的“角色服务”界面，勾选“证书颁发机构”和“证书颁发机构Web注册”。

在“AD CS配置”向导中的“设置类型”界面，选择“企业CA”。

在“AD CS配置”向导中的“CA类型”界面，选择“根CA”。

全部保持默认设置并单击“下一步”，最后单击“配置”按钮，完成证书服务的配置

“证书服务”安装完成后，可以在“服务器管理器”的“工具”菜单中，打开“证书颁发机构”管理工具进行查看。

当域内的用户向企业根CA申请证书时，企业根CA会通过Active Directory得知用户的相关信息，并自动核准、发放用户所要求的证书。

企业根CA默认的证书种类很多，而且是根据 “证书模板”来发放证书的。例如，图中右方的“用户”模板内提供了可以用于将文件加密的证书、保护电子邮件安全的证书与验证客户端身份的证书。