[精选]第5讲 CA系统安全.pptx

《[精选]第5讲 CA系统安全.pptx》由会员分享，可在线阅读，更多相关《[精选]第5讲 CA系统安全.pptx（24页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、PKI技术技术2020202010-201110-201110-201110-2011学年第学年第学年第学年第1 1 1 1学期学期学期学期第第5 5讲讲 CACA系统安全系统安全2023/4/18第第5 5讲讲 CACA系统安全系统安全2023/4/18概述概述 PKI/CA是安全基础设施，但是安全基础设施，但CA的安全是十分重要的。的安全是十分重要的。CA系统在设计时必须充分考虑其安全性：系统在设计时必须充分考虑其安全性：首先进行安全威胁分析；首先进行安全威胁分析；其次设计安全策略、安全技术保障及安全管理标准。其次设计安全策略、安全技术保障及安全管理标准。CA系统的安全体系包括：系统的安全

2、体系包括：安全策略、产品技术安全、主机安全、操作安全、人员操作安全安全策略、产品技术安全、主机安全、操作安全、人员操作安全安全、网络安全和物理环境安全。安全、网络安全和物理环境安全。此外，还必须考虑数据级或系统级的灾难恢复技术系统。此外，还必须考虑数据级或系统级的灾难恢复技术系统。见见P141 图图6-12023/4/181.物理安全和环境安全设计物理安全和环境安全设计 物理安全和环境安全是整个系统安全的基础，要把CA系统的危险降到最低，需要选择适宜的设施和位置。首先，考虑电池干扰与辐射；首先，考虑电池干扰与辐射；其次，要设置放火装置；其次，要设置放火装置；此外，还要防止此外，还要防止 犯罪及

3、其他事故等。犯罪及其他事故等。2023/4/182.网络安全设计网络安全设计 由于由于CA系统是与互联网连接的，因此网络安全防护是至关重要的。系统是与互联网连接的，因此网络安全防护是至关重要的。1网络安全目标要求网络安全目标要求 2CA中心的网络安全基础设施中心的网络安全基础设施 见图见图6-2 P143 3网络安全区域的划分：注册发布区和安全区网络安全区域的划分：注册发布区和安全区 4防火墙保护防火墙保护 5入侵检测与漏洞扫描入侵检测与漏洞扫描 6防病毒入侵防病毒入侵2023/4/18数据备份与恢复数据备份与恢复 数据备份与恢复可以采用数据级备份和系统备份。数据备份与恢复可以采用数据级备份和

4、系统备份。1数据库数据的备份与恢复数据库数据的备份与恢复 2目录效劳器数据的恢复目录效劳器数据的恢复2023/4/18操作系统安全性操作系统安全性 CA系统中，效劳器一般采用安全性较高的系统中，效劳器一般采用安全性较高的Unix系统；客户机一系统；客户机一般采用般采用Unix或或Windows操作系统。操作系统。2023/4/18数据库安全数据库安全1数据库安全的目标：数据库安全的目标：保证客户信息的安全性保证客户信息的安全性 保证存储在数据库中的数据不被非法访问保证存储在数据库中的数据不被非法访问 维护数据的完整性和统一性维护数据的完整性和统一性 维护备份数据，并保护在发生异常情况时，最大限

5、度地恢复数维护备份数据，并保护在发生异常情况时，最大限度地恢复数据据 防止数据库系统软件因可能存在的后门或其他缺陷引起用户的防止数据库系统软件因可能存在的后门或其他缺陷引起用户的失秘失秘2权限控制权限控制 P1452023/4/183数据完整性控制数据完整性控制 P1454数据库备份数据库备份 P1452023/4/18目录效劳器的安全性目录效劳器的安全性 在在CA中，目录效劳器负责用户与系统公用信息的发布，在安全中，目录效劳器负责用户与系统公用信息的发布，在安全性设计时，需要到达以下目标：性设计时，需要到达以下目标：1防止黑客对数据的篡改、删除防止黑客对数据的篡改、删除 2防止位授权用户对数

6、据的篡改、删除防止位授权用户对数据的篡改、删除 3目录效劳器的数据遭受到侵害，可以及时、有效地恢复数据目录效劳器的数据遭受到侵害，可以及时、有效地恢复数据2023/4/18CA系统安全性系统安全性 1.CA安全管理安全管理 密钥安全管理是密钥安全管理是CA系统安全的核心。系统安全的核心。CA的密钥管理应包括：的密钥管理应包括：CA中心私钥的管理中心私钥的管理 2.密钥安全管理密钥安全管理 用户密钥的安全管理用户密钥的安全管理 1CA密钥管理密钥管理 CA的根密钥安全是至关重要的。的根密钥安全是至关重要的。CA密钥的安全，主要指密钥的安全，主要指CA的签的签名密钥的安全。名密钥的安全。2023/

7、4/18 加密模块加密模块 产生产生CA密钥的方法必须采用硬件加密模块。因为硬件加密模块密钥的方法必须采用硬件加密模块。因为硬件加密模块属于属于 保护产品，加密算法采用国内标准，并经过国家密码管理部门保护产品，加密算法采用国内标准，并经过国家密码管理部门批准。批准。这种加密模块要做到：这种加密模块要做到：CA私钥不出机，具有密钥存储、备份和私钥不出机，具有密钥存储、备份和恢复功能。恢复功能。密钥恢复要按规定的程序，实行多人在场、多口令控制机制。密钥恢复要按规定的程序，实行多人在场、多口令控制机制。加密机必须存放在安全的地方如六面体钢板机房、双指纹门加密机必须存放在安全的地方如六面体钢板机房、双

8、指纹门控系统。控系统。注：加密模块本地化并非不执行国际标准，而是要求本地化模注：加密模块本地化并非不执行国际标准，而是要求本地化模块应具有块应具有PKCS#11接口标准。接口标准。2023/4/18 根密钥的产生与更新根密钥的产生与更新 根密钥的使用根密钥的使用 支持的加密算法支持的加密算法 2用户密钥管理用户密钥管理 P1472023/4/183.通信安全通信安全 CA系统与其子系统间的通信安全必须要得到保证，系统与其子系统间的通信安全必须要得到保证，CA中心系统中心系统除使用除使用SPKM简单公钥模式协议外，还将采用主机加密效劳器的简单公钥模式协议外，还将采用主机加密效劳器的硬件手段对通信

9、进行加密。硬件手段对通信进行加密。1SPKM概述概述 SPKM允许建立单方或双方的身份验证，可以为客户端和效劳器端双方提允许建立单方或双方的身份验证，可以为客户端和效劳器端双方提供高靠性的身份认证。供高靠性的身份认证。SPKM使用多种加密方法，如基于非对称密码算法的数字签名，比对传统使用多种加密方法，如基于非对称密码算法的数字签名，比对传统对称算法、数据完整性计算的对称算法、数据完整性计算的MAC方式安全；方式安全；对于某些环境可以做到数字签名的不可否认性；对于某些环境可以做到数字签名的不可否认性；SPKM的数据格式和处理过程比其他机制更可靠且简单；的数据格式和处理过程比其他机制更可靠且简单；

10、SPKM中定义的密钥管理协议完全和中定义的密钥管理协议完全和X.509及及PEM增强型私人邮件Privacy Enhanced Mail格式兼容；格式兼容；认证系统中各效劳器之间的通信系统采用认证系统中各效劳器之间的通信系统采用SPKM机制，可以确保通信的安机制，可以确保通信的安全。全。2023/4/18 2主机加密效劳器：主要系统间的通信进行加密，做到系统全主机加密效劳器：主要系统间的通信进行加密，做到系统全程加密通信，确保系统间通信的安全。程加密通信，确保系统间通信的安全。3签发系统的安全签发系统的安全 签发效劳器的安全：签发效劳器是签发效劳器的安全：签发效劳器是CA的核心，拥有最高的安全

11、的核心，拥有最高的安全级别，尤其对安全性、可靠性和抗攻击性要求最高。级别，尤其对安全性、可靠性和抗攻击性要求最高。主要的安全措施：主要的安全措施：P1482023/4/184.管理子系统安全性管理子系统安全性 1管理子系统管理员管理子系统管理员 2管理员权限等级制管理员权限等级制 3管理系统应用安全管理系统应用安全2023/4/185.审计系统与日志安全审计系统与日志安全 1系统日志系统日志 CA中心采用集中式的日志记录与管理。日志有本地日志和系统中心采用集中式的日志记录与管理。日志有本地日志和系统日志。日志。CA审计是保障审计是保障CA运行安全的第三道防线。运行安全的第三道防线。2本地日志本

12、地日志 3审计子系统审计子系统2023/4/186.RA注册系统的安全性注册系统的安全性 1RA管理应用的安全策略管理应用的安全策略 管理员密钥的产生管理员密钥的产生 P150 RA管理员的安全管理管理员的安全管理 P151 2RA注册效劳器和注册效劳器和CA签发效劳器通信的安全签发效劳器通信的安全2023/4/187.系统的证书申请及下载过程的安全系统的证书申请及下载过程的安全 1密钥生成及存储的原则密钥生成及存储的原则 2用户身份的识别用户身份的识别 P151 用户证书发放时，通过用户证书发放时，通过CA向授权用户发行参考号向授权用户发行参考号Ref#和授和授权码权码AuthCode来识别

13、唯一性的用户。来识别唯一性的用户。Ref#和和AuthCode由由CA产生，产生，Ref为用户参考码，起到唯一标识用为用户参考码，起到唯一标识用户户ID的作用；的作用；AuthCode为用户授权码，而且只能由为用户授权码，而且只能由Authrity通过系统通过系统私钥产生，起到口令的保护作用。私钥产生，起到口令的保护作用。使用系统私钥产生使用系统私钥产生AuthCode保证了该码的不可伪造性，以及用户保证了该码的不可伪造性，以及用户接受证书的唯一性。接受证书的唯一性。2023/4/188.CA中心数据恢复中心数据恢复 1数据恢复的内容数据恢复的内容 P152 2恢复方式恢复方式 P153202

14、3/4/189.LDAP目录效劳器的恢复目录效劳器的恢复 一般情况下，目录效劳的内容不需要备份，但需要进行数一般情况下，目录效劳的内容不需要备份，但需要进行数据恢复，然后进行据恢复，然后进行LDAP目录效劳的恢复。目录效劳的恢复。2023/4/1810.安全策略及安全管理安全策略及安全管理 安全管理对一个安全管理对一个CA来说是至关重要的，来说是至关重要的，“三分技术七三分技术七分管理分管理2023/4/1811.安全策略安全策略 安全策略是一个组织在构建一个计算机系统时，采取安全防安全策略是一个组织在构建一个计算机系统时，采取安全防范、实施安全措施的指导思想，是整个系统的安全基础。范、实施安

15、全措施的指导思想，是整个系统的安全基础。是在系统安全需求的基础上，所制定的一套安全框架和安全是在系统安全需求的基础上，所制定的一套安全框架和安全规划，用它来标准系统安全建设。规划，用它来标准系统安全建设。一个组织的信息安全策略是高层管理层组织制定的。一个组织的信息安全策略是高层管理层组织制定的。1安全管理策略安全管理策略 P153 2数据安全策略数据安全策略 P153-154 3系统安全策略系统安全策略 P154 4操作安全规则操作安全规则 P1542023/4/1812.人员人员 管理安全管理安全 1超级管理员超级管理员 P155 2系统管理员系统管理员 P155 3审计管理员审计管理员 P156 4注册注册RA管理员管理员 P1562023/4/18