下载文档原格式
PKI技术及其应用
邓晓军
【期刊名称】《湖南冶金职业技术学院学报》
【年(卷),期】2004(0)4
【摘要】介绍了公钥基础设施(PublicKeyInfrastructure,简称PKI)技术及其组成,分析了PKI的应用现状和前景。
并针对这种目前建设网络安全基础与核心的技术,讨论了在我国开展PKI建设存在的一些问题,并对如何应对这些问题提出了相关的解决办法。
【总页数】4页(P40-42)
【关键词】信息安全;公钥基础设施(PKI);数字签名;数字证书
【作者】邓晓军
【作者单位】湖南冶金职业技术学院
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.电子签名技术在区域卫生信息平台中的几点应用探索——基于PKI技术的卫生系统电子认证服务应用 [J], 王晓花;王新华;邵淼;马洁
2.PKI技术在应用系统中的应用 [J], 尹晓晖
3.PKI技术在质检机构客户身份认证系统中的应用 [J], 康剑萍; 何曙; 王沈敏
4.PKI技术在电子病历系统中的应用 [J], 陈芝
5.基于PKI技术在电力系统信息网络中的安全应用分析 [J], 唐波
因版权原因，仅展示原文概要，查看原文内容请购买。
pki试题数据加密与PKI技术一、判断题1、数字签名技术是网络环境中进行公文签发、项目审批等流程必不可少的技术手段。
对3、身份认证的目的是进行权限的控制，从而在网络环境中建立起按级别划分的行政管理制度。
对2、数据加密技术可以通过对电子文档进行数字签名，来保证文档不被篡改，一旦被篡改，可以马上检查出来。
错4、对文件进行数字签名和验证签名一方面可以确认文件发送者的身份，另一方面也可以保证文件的完整性且不被篡改。
对6、USB-KEY在设计中采用了独特的安全性设计，使得证书的私钥不会从USB-KEY中读出造成泄密，因此保证了密钥的安全，也进一步保存了证书的安全性。
对5、VPN技术是一种密钥管理平台，它能够为网络应用提供加密和数字签名等安全服务以及所必需的密钥和证书管理体系。
错7、VPN是一种架构在公用通信基础设施上的专用数据通信网络，利用网络层安全协议（尤其是IPSec）和建立在PKI上的加密与签名技术来获得机密性保护。
对8、PPTP/L2TP是IETF（Internet Engineer Task Force）完善的安全标准，它把几种安全技术结合在一起形成一个较为完整的体系，通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。
错10、CA认证作为信息安全基础设施之一，为互联网上用户身份的鉴别提供了重要手段。
对9、Stunnel是一个可以用SSL对任意TCP 连接加密的程序。
对二、单选题1、古典密码的代表密码体制主要有：A、单表代替密码B、Caesar密码C、Vigenere密码D、Hill密码 A2、1977年1月，美国政府决定采纳哪个公司的设计的方案作为非机密数据的正式数据加密标准。
A、DELLB、微软C、IBMD、SUN C3、IDEA算法用来加密的密钥有多少位？A、24B、56C、64D、128 D4、DES算法用来加密的密钥有多少位？A、24B、56C、64D、128 B5、NIST将3-DES指定为过渡的加密标准的时间是：A、1997年B、1998年C、1999年D、2000年 C6、在3DES算法中，密钥最高可以达到多少位？A、96B、128C、168D、200 C7、3DES在EDE工作模式的情况下时，它的有效密钥为多少位？A、168B、112C、64D、56 B8、以下哪个算法是Schnorr和ElGamal签名算法的变种，被美国NIST作为DSS （DigitalSignature Standard）。
PKI技术及其发展应用PKI（Public Key Infrastructure，公钥基础设施），是一种基于非对称加密技术的安全体系，用于确保网络通信的机密性、完整性和身份认证。
PKI技术的发展应用范围广泛，包括数字证书、数字签名、SSL/TLS协议、电子邮件安全等。
PKI技术的核心是公钥和私钥的配对使用。
私钥只有持有者知道，用于数据的加密和数字签名；公钥可以公开，用于数据的解密和验证签名。
通过公钥加密，发送者可以将数据安全地传输给接收者，只有接收者使用其私钥才能解密数据。
而通过私钥签名，发送者可以确保数据的完整性和真实性，接收者可以通过发送者的公钥验证签名。
1.数字证书：数字证书是PKI体系中最重要的组成部分。
数字证书通过授权机构（CA）签发，用于确认公钥和身份的关联性。
证书中包含公钥、持有者的身份信息等，由CA对这些信息进行签名。
通过验证证书，用户可以确认数据的真实性和完整性，从而确保通信的安全。
2.数字签名：数字签名是PKI技术中的一项重要应用，用于验证数据的真实性和完整性。
发送者使用私钥对数据进行签名，接收者使用发送者的公钥验证签名。
如果数据在传输过程中被篡改，验证过程将失败。
数字签名被广泛应用于电子合同、电子交易等场景，以确保数据的可靠性。
3. SSL/TLS协议：SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是一种基于PKI的安全传输协议。
通过使用数字证书和非对称加密，SSL/TLS协议可以确保网络通信的安全性。
SSL/TLS协议被广泛应用于网上银行、电子商务等需要保护用户隐私和数据安全的场景。
4.电子邮件安全：PKI技术可以用于确保电子邮件的机密性和完整性。
通过使用数字证书和加密算法，可以对邮件内容进行加密，防止被窃听和篡改。
同时，数字签名可以确保邮件的真实性和完整性。
1.长期可信性：PKI技术的可信性依赖于授权机构（CA）。
pki课程设计一、课程目标知识目标：1. 学生能理解PKI（公钥基础设施）的基本概念，掌握其组成要素和运作原理；2. 学生能了解数字证书的申请、使用和管理过程，理解其在网络安全中的作用；3. 学生能掌握加密技术的基本原理，了解公钥和私钥的应用场景。
技能目标：1. 学生能够运用所学知识，独立完成数字证书的申请和使用过程；2. 学生能够运用加密技术，实现简单的数据加密和解密操作；3. 学生能够分析网络安全问题，提出基于PKI的解决方案。
情感态度价值观目标：1. 培养学生关注网络安全，提高网络素养，树立正确的网络安全观念；2. 培养学生团队协作精神，学会在合作中解决问题，尊重他人意见；3. 培养学生主动学习、探究问题的兴趣，激发学生对信息技术学科的热爱。
课程性质：本课程为信息技术学科，旨在帮助学生了解和掌握PKI相关知识，提高网络安全意识和技能。
学生特点：本课程针对初中年级学生，他们对信息技术有一定的基础，好奇心强，善于探究，但可能对网络安全知识掌握不足。
教学要求：结合学生特点，采用案例教学、任务驱动等方法，注重实践操作，提高学生的实际应用能力。
在教学过程中，关注学生的个体差异，鼓励学生提问和分享，使他们在合作与交流中提高综合素质。
通过本课程的学习，使学生具备基本的网络安全知识和技能，为未来的网络生活打下坚实基础。
二、教学内容1. PKI基本概念：介绍PKI的定义、作用及其在网络安全中的应用；- 教材章节：第二章“网络安全基础”- 内容列举：公钥与私钥、加密与解密、数字签名、证书权威（CA）2. 数字证书：讲解数字证书的类型、申请流程、使用方法及管理策略；- 教材章节：第三章“数字证书与身份认证”- 内容列举：证书类型、证书申请、证书使用、证书吊销与更新3. 加密技术：阐述对称加密、非对称加密的原理及在实际应用中的选择；- 教材章节：第四章“加密技术及其应用”- 内容列举：对称加密算法、非对称加密算法、混合加密系统4. 实践操作：组织学生进行数字证书申请、使用及加密解密操作；- 教材章节：第五章“实践操作”- 内容列举：证书申请与使用、加密解密实验、案例分析5. 网络安全解决方案：讨论基于PKI的网络安全解决方案，提高学生问题分析能力；- 教材章节：第六章“网络安全解决方案”- 内容列举：网络安全威胁、基于PKI的解决方案、实际案例分析教学大纲安排：第一课时：PKI基本概念及加密技术原理第二课时：数字证书的申请与使用第三课时：实践操作（数字证书申请、加密解密实验）第四课时：基于PKI的网络安全解决方案及案例分析教学内容注重科学性和系统性，结合教材章节，使学生在理论学习与实践操作中掌握PKI相关知识，提高网络安全意识和技能。
网络与信息安全管理员模拟试题（含答案）一、单选题（共69题，每题1分，共69分）1.PKI系统组成不包括()。
A、注册机构B、终端实体C、认证机构D、SSL正确答案：D2.以下不属于侧信道技术（利用非通信信道物理信息如能量消耗变化、电磁辐射变化进行分析攻击）的攻击技术是()。
A、能量分析B、计时分析C、B误注入D、干扰技术正确答案：D3.在Linux系统中，环境变量()指定了保存历史命令记录的条数。
A、HISTSIZEB、PATHC、USERD、TERM正确答案：A4.关于OSPF路由协议以下说法不正确的是()。
A、OSPF是一种内部网关协议B、OSPF协议的默认管理距离是C、OSPF是一种距离矢量路由协D、OSPF是一种链路状态路由协正确答案：C5.对消防安全监管，归属政府哪个职能部门管理()？A、电信管理B、公安机关C、工商行政D、文化行政正确答案：B6.Linux系统使用()命令挂载磁盘和分区。
A、mountB、partitionC、labelD、disk正确答案：A7.当个人信息控制者停止运营其产品或服务时，下列做法不正确的是()。
A、在暗网出售个人信息B、及时停止继续收集个人信息的活动C、将停止运营的通知以逐一送达或公告的形式通知个人信息主体D、对其所持有的个人信息进行删除或匿名化处理正确答案：A8.某单位一个大办公室内共需放置24台台式计算机，那么在进行网络规划时，一般考虑采用的传输介质是()。
A、微波B、多模光纤C、双绞线D、单模光纤正确答案：C9.互联网信息内容治理原则中，行政监管原则具有的优势不包括()。
A、权威性B、技术专业性C、公正性D、灵活性正确答案：D10.()是传输层以上实现两个异构系统互连的设备。
A、路由器B、网关C、集线器D、网桥正确答案：A11.PKI系统组成不包含()？A、评估机构B、认证机构C、注册机构D、证书撤销列表发布正确答案：A12.著作权的权利内容包括发表权、署名权、修改权、展览权、表演权、放映权、广播权、信息网络传播权、摄制权等。
2012-2013学年第1学期期中考试试题课程名称《PKI技术及其应用》
考试方式（开）卷适用专业09计科
考试时间（ 120 ）分钟
一、名词解释（20分，每小题4分）
1．公钥基础设施
2. 数字证书
3. 信任关系
4．证书生命周期
5．认证惯例陈述
二、选择题(10分，每题2分)
1.数字证书不包括( )
A. 证书所有人公钥
B.证书有效期
C. 证书所有人私钥
D. 认证机构名
2.中国PKI论坛成立于( )
A. 1980 年
B. 1990年
C. 1998年
D. 2001年3．RA与CA功能的一个主要不同点在于（）
A．注册、注销以及批准或拒绝对用户证书属性的变更要求B．对证书申请人进行合法性确认
C．发放证书
D．向有权拥有身份标记的人当面分发标记或恢复旧标记
4. 以下哪种形式不是简单鉴别( )
A.刮刮卡
B. 口令+ID以明文方式传输
C.随机数加密保护
D.三向认证鉴别
5．下列哪种方式不是PKI管理的传输方式（）A．基于TCP的管理协议 B．基于文件大小的协议
C．通过电邮的管理协议D．通过HTTP的管理协议
三、简答题( 共30分，每题10分)
1．PKI的核心服务有哪些？
2. CA如何对证书进行更新？
3. 信任模型是什么？有哪几种典型的信任模型？
四、分析题( 共40分，每题20分)
1．试详细描述DES算法，并描述加密和解密的过程。
2. 试分析CA系统在网络基础上实施的安全性。
《PKI技术及其应用》标准答案
1. 公钥基础设施：是一个用非对称密码算法原理和技术实现并提供安全服务的具有通用性的安全基础设施。
2. 数字证书：又叫“数字身份证”、“网络身份证”，是由认证中心发放并经认证中心数字签名的，包含公开密钥拥有者以及公开密钥相关信息的一种电子文件，可以用来证明数字证书持有者的真实身份。
3. 信任关系：当两个认证机构中的一方给对方的公钥或双方给对方的公钥颁发证书时，二者之间就建立了这种信任关系。
4. 证书生命周期：证书申请、证书生成、证书存储、证书发布、证书废止这一过程就是证书的生命周期。
5．认证惯例陈述：一种认证惯例陈述可采取CA宣布的形式，包括它的信任系统详细情况及它在操作中和在支持颁发证书中采用的惯例，或者它可以是一种适用于CA的条令或规则和相似的主题。
它也可以是CA和签署者之间的部分契约。
一种认证惯例陈述也可由多份文档、公共法律组合、私人合同或声明组成。
二、选择题(10分，每题2分)
1. C
2. D
3.C
4.D
5.B
三、简答题( 共30分，每题10分)
1. (1)PKI服务的认证性:使得实体甲可以用自己的私钥加密一段挑战
信息，乙收到信息后用甲的公钥(如果乙不知道甲的公钥可以到公开的网站或机构去查明)对信息进行解密，从而确定甲就是甲所声明的实体本身。
(2)PKI服务的保密性:采用了类似于完整性服务的机制，具体如下：
a.甲生成一个对称密钥(使用密钥协商协议)。
b. 用对称密钥加密数据(使用对称分组密码)。
c.将加密后的数据发送给对方。
(3)不可否认性服务是指从技术上保证实体对他们的行为的诚实性。
最受关注的是对数据来源的不可抵赖，即用户不可能否认敏感消息或文件。
此外，还包括其他类型的不可否认性，如传输的不可否认性、创建的不可否认性以及同意的不可否认性等。
2.这个过程依赖于CA，使用它先前的密钥签名新证书，并且使用新密钥签名旧证书。
结果是根CA经历一次密钥更新创建了4个证书。
这4个证书是：
旧用旧证书原始自签名证书，此时先前的CA私钥被用来签名CA证书中先前的公开密钥。
旧用新证书用新CA私钥签名的CA证书中的原始公开密钥。
新用旧证书用先前的CA私钥签名的CA证书中的新的公开密钥。
新用新证书用新CA私钥签名的CA证书中的新的公开密钥。
先前的CA证书(旧用旧证书)在密钥更新事件发生时由所有依赖方拥有。
新用旧证书允许新产生的CA公开密钥由先前的、可信的密钥证实。
一旦新密钥是可信的，依赖方获得的新CA证书(新用新证书)将能够信任它，此时旧用旧证书和新用旧证书对于依赖方不再是必要的。
新用旧证书的有效期限从新CA密钥的密钥产生时间开始，在所有依赖方转移到承认新密钥的适当日期结束。
最后的可能时间是先前的密钥的过期期限。
旧用新证书实现旧密钥对向新密钥对的平滑转换，其有效期从先前的密钥对产生的日期开始，到旧用旧证书过期的日期结束。
在CA新旧证书交迭时期，旧证书
和新证书都可以使用。
3. 信任模型描述了建立信任关系的方法，寻找和遍历信任路径的规则。
信任关系可以是双向的或单向的。
有严格层次结构、对等结构、网状结构、用户为中心、混合结构等。
四、分析题( 共40分，每题20分)
1.算法描述－密钥产生
⏹独立地选取两大素数p和q(各100～200位十进制数字)
⏹计算n=p×q，其欧拉函数值ϕ(n)=(p－1)(q－1)
⏹随机选一整数e，1≤e<ϕ(n)，gcd(ϕ(n), e)=1
⏹在模ϕ(n)下，计算e的有逆元d=e-1mod ϕ(n)
⏹以n，e为公钥。
秘密钥为d。
(p, q不再需要，可以销毁。
)
算法描述－加密和解密
⏹加密
将明文分组，各组对应的十进制数小于n
c=m e mod n
⏹解密
m=c d mod n
加解密：用户A以B的公钥加密消息m，传输给B后，B用自己的私钥进行解密。
签名：用户A以自己的秘密钥S k A对消息m进行A的专用变换D SKA，A计算密文：c=DSK A(m)送给用户B，B验证c：m=E PKA（c）=E PKA(D SKA(m))
2.在CA系统的网络结构设计中，根据不同应用系统对安全性要求的不同，划分为以下3个安全区域：
第一区域是CA中心信息发布区域，包括信息发布服务器和证书接口服务器；第二区域是CA中心核心区域，包括签名服务器和密钥管理服务器；
第三区域是CA中心证书管理区域，包括证书管理服务器和本地RA等。
安全保护是网络安全性设计中重要的一环，采用多层安全保护技术提高系统安全性，既限制外部对系统的非授权访问，也限制内部对外部的非授权访问，还限制内部系统之间,特别是安全级别低的系统对安全级别高的系统的非授权访问。
CA中心业务受理审核系统同远程RA业务受理审核系统的连接方案，通过邮政综合网的广域网平台方式连接，采用数字信封进行数据封装，保障数据传输的安全性和可靠性。
同样，远程RA业务受理审核系统与公众Internet网物理上是分开的，加上采用防火墙控制访问权限，能有效保证系统的安全性。
在网络设计上，采用交换式以太网，数据包在LAN上是从一台机器到另一台机器，其他机器无法窃听，从而提高了网络安全性。
采用分布式的实时网络安全监测系统来实时监测网络上发生的情况，以帮助网络管理者了解何时攻击在进行、入侵者何时并以何种方式试图进入网络。
系统备份服务器作为全网重要数据的备份中心，备份的数据包括受理审核系统的用户信息、证书、证书注销列表等。
可以采取多种网络安全设备联合的形式，对CA系统网络基础实施的安全性进行保障。
采用防火墙、IDS、防杀病毒、。
网络扫描和分析等手段。
