PKI技术专题：5、产品与技术.docx

PKI技术专题：5、产品与技术网络世界与现实世界的区别有很重要的两点:开放性和匿名性。这两个特点使得网络世界如此的迷人,但也正是这两点给网络世界带来了巨大的安全风险,而PKI技术正是解决此问题的一把钥匙。随着Internet的迅猛发展与普及,每天都有不少公司和个人都在利用Internet进行在线交易;雇员们通过电子邮件和计算机网络共享文件和信息;人们在自己家里的计算机上更新银行户头。但所有的应用都必须有安全保障。PKI技术的广泛应用就正好能满足人们对网络交易安全保障的需求。当然,作为一种基础设施,PKI的应用范围非常广泛,并且在不断发展之中,这里主要介绍当前技术领域里PKI技术的几个比较典型的应用实例。一、虚拟专用网络(VPN)PKIwithIPSec在过去几年中,VPN越来越为企业所青睐。它是一种架构在公用通信基础设施上的专用数据通信网络,利用网络层安全协议(尤其是IPSec)和建立在PKI上的加密与签名技术来获得私有性。同租用线路等方法相比,VPN既节省开销又易于安装和使用,已经成为企业架构Intranet和Extranet的首选。通常,企业在架构VPN时都会利用防火墙和访问控制技术来提高VPN的安全性,这只解决了很少一部分问题,而一个现代VPN所需要的安全保障,如认证、机密、完整、不可否认以及易用性等都需要采用更完善的安全技术。具体来说,口令用来防止未授权的个人直接访问敏感数据,而防火墙用来防止公司以外的未授权个人访问公司内部信息,然而这种安全技术也存在很多漏洞。首先,它对来自内部的攻击根本束手无策,而且在公司内部,口令又是如此的脆弱。(统计结果表明,世界范围内的安全损失绝大部分来自内部攻击。)其次,访问控制并不能保证传输数据的安全性,数据在网络上传播时,无论是内部网还是外部网,任何一个人都可以进行截取或篡改,甚至通信的双方对这种截取或篡改可能根本一无所知。另外,如果要进行网上交易,必然会遇到更多的安全问题,如不可否认性,这类问题也不是防火墙和口令所能解决的。幸运的是,在过去的十几年中,公钥密码学的发展使得以上安全要求可以被很好地满足。从广义上讲,这就是PKI技术,它帮助企业在开放网络上实现现实世界里的安全机制,甚至可以极大地改进其安全特性。信封和专门的信使被成熟的数据加密技术所替代,这可以保证其内容只有接受方能读取;手写签名和印章被数字签名所替代,这不仅能保证信息是来自于某个实体,而且能保证信息在传递过程中没有被修改过;身份证明,如护照、身份证、执照等可以被数字证书所替代,这也就是所谓的数字ID;最后,各种用于集中化控制、审计和授权的机制,如由政策机构、行业协会或会计师事务所提供的审计和授权,都可以被数字世界里负责管理加密、签名和数字ID的基础设施所替代。就技术而言,除了基于防火墙的VPN之外,还可以有其他的结构方式,如基于黑盒的VPN、基于路由器的VPN、基于远程访问的VPN或者基于软件的VPN。现实中构造的VPN往往并不局限于一种单一的结构,而是趋向于采用混合结构方式,以达到最适合具体环境、最理想的效果。在实现上,VPN的基本思想是采用秘密通信通道,用加密的方法来实现。具体协议一般有三种:PPTP、L2TP和IPSec。其中,PPTP(Point-to-PointTunnelingProtocol)是点对点的协议,基于拨号使用的PPP协议使用PAP或CHAP之类的加密算法,或者使用Microsoft的点对点加密算法MPPE。而L2TP(Layer2TunnelingProtocol)是L2FP(Layer2ForwardingProtocol)和PPTP的结合,依赖PPP协议建立拨号连接,加密的方法也类似于PPTP,但这是一个两层的协议,可以支持非IP协议数据包的传输,如ATM或X.25,因此也可以说L2TP是PPTP在实际应用环境中的推广。无论是PPTP,还是L2TP,它们对现代安全需求的支持都不够完善,应用范围也不够广泛。事实上,缺乏PKI技术所支持的数字证书,VPN也就缺少了最重要的安全特性。简单地说,数字证书可以被认为是用户的护照,使得他(她)有权使用VPN,证书还为用户的活动提供了审计机制。缺乏数字证书的VPN对认证、完整性和不可否认性的支持相对而言要差很多。基于PKI技术的IPSec协议现在已经成为架构VPN的基础,它可以为路由器之间、防火墙之间或者路由器和防火墙之间提供经过加密和认证的通信。虽然它的实现会复杂一些,但其安全性比其他协议都完善得多。由于IPSec是IP层上的协议,因此很容易在全世界范围内形成一种规范,具有非常好的通用性,而且IPSec本身就支持面向未来的协议IPv6。总之,IPSec还是一个发展中的协议,随着成熟的公钥密码技术越来越多地嵌入到IPSec中,相信在未来几年内,该协议会在VPN世界里扮演越来越重要的角色。二、安全电子邮件PKIwithS/MIME作为Internet上最有效的应用,电子邮件凭借其易用、低成本和高效已经成为现代商业中的一种标准信息交换工具。随着Internet的持续增长,商业机构或政府机构都开始用电子邮件交换一些秘密的或是有商业价值的信息,这就引出了一些安全方面的问题,包括*消息和附件可以在不为通信双方所知的情况下被读取、篡改或截掉;*没有办法可以确定一封电子邮件是否真的来自某人,也就是说,发信者的身份可能被人伪造。前一个问题是安全,后一个问题是信任,正是由于安全和信任的缺乏使得公司、机构一般都不用电子邮件交换关键的商务信息,虽然电子邮件本身有着如此之多的优点。其实,电子邮件的安全需求也是机密、完整、认证和不可否认,而这些都可以利用PKI技术来获得。具体来说,利用数字证书和私钥,用户可以对他所发的邮件进行数字签名,这样就可以获得认证、完整性和不可否认性,如果证书是由其所属公司或某一可信第三方颁发的,收到邮件的人就可以信任该邮件的;,无论他是否认识发邮件的人;另一方面,在政策和法律允许的情况下,用加密的方法就可以保障信息的保密性。现实中,PGP加密已经在电子邮件通信中得到了一定范围内的应用,这也是一种公钥加密体制,但所使用的范围比较狭窄,需要通信双方事先沟通。而基于PKI的安全电子邮件则具有普遍意义,因为PKI的用户群可以是开放的。目前发展很快的安全电子邮件协议是S/MIME(TheSecureMultipurposeInternetMailExtension),这是一个允许发送加密和有签名邮件的协议。该协议的实现需要依赖于PKI技术。三、Web安全PKIwithSSL浏览Web页面或许是人们最常用的访问Internet的方式。一般的浏览也许并不会让人产生不妥的感觉,可是当您填写表单数据时,您有没有意识到您的私人敏感信息可能被一些居心叵测的人截获,而如果您或您的公司要通过Web进行一些商业交易,您又如何保证交易的安全呢?一般来讲,Web上的交易可能带来的安全问题有:*诈骗:建立网站是一件很容易也花钱不多的事,有人甚至直接拷贝别人的页面。因此伪装一个商业机构非常简单,然后它就可以让访问者填一份详细的注册资料,还假装保证个人隐私,而实际上就是为了获得访问者的隐私。调查显示,邮件地址和信用卡号的泄漏大多是如此这般。*泄漏:当交易的信息在网上赤裸裸的传播时,窃听者可以很容易地截取并提取其中的敏感信息。*篡改:截取了信息的人还可以做一些更高明的工作,他可以替换其中某些域的值,如姓名、信用卡号甚至金额,以达到自己的目的。*攻击:主要是对Web服务器的攻击,例如著名的DDOS(分布式拒绝服务攻击)。攻击的发起者可以是心怀恶意的个人,也可以是同行的竞争者。为了透明地解决Web的安全问题,最合适的入手点是浏览器。现在,无论是InternetExplorer还是NetscapeNavigator,都支持SSL协议(TheSecureSocketsLayer)。这是一个在传输层和应用层之间的安全通信层,在两个实体进行通信之前,先要建立SSL连接,以此实现对应用层透明的安全通信。利用PKI技术,SSL协议允许在浏览器和服务器之间进行加密通信。此外还可以利用数字证书保证通信安全,服务器端和浏览器端分别由可信的第三方颁发数字证书,这样在交易时,双方可以通过数字证书确认对方的身份。需要注意的是,SSL协议本身并不能提供对不可否认性的支持,这部分的工作必须由数字证书完成。结合SSL协议和数字证书,PKI技术可以保证Web交易多方面的安全需求,使Web上的交易和面对面的交易一样安全。四、更广泛的应用电子商务这个词对我们来说早已不再陌生,然而它的发展有哪些技术上的障碍呢?硬件、软件或者带宽?其实,电子商务的核心问题是安全问题,虽然它有潜在的巨大市场和廉价的成本,但出于对风险的考虑,一个谨慎的商家也不会在一个开放和匿名的环境里进行有一定规模和效益的商业行为。PKI技术正是解决电子商务安全问题的关键,综合PKI的各种应用,我们可以建立一个可信任和足够安全的网络。在这里,我们有可信的认证中心,典型的如银行、政府或其他第三方。在通信中,利用数字证书可消除匿名带来的风险,利用加密技术可消除开放网络带来的风险,这样,商业交易就可以安全可靠地在网上进行。网上商业行为只是PKI技术目前比较热门的一种应用,必须看到,PKI还是一门处于发展中的技术。例如,除了对身份认证的需求外,现在又提出了对交易时间戳的认证需求。PKI的应用前景也决不仅限于网上的商业行为,事实上,网络生活中的方方面面都有PKI的应用天地,不只在有线网络,甚至在无线通信中,PKI技术都已经得到了广泛的应用。1