淺析金融安全中的pki身份認(rèn)證

1、安全視窗PKI的核心是信任關(guān)系的管理三方信任和直接信任是所有網(wǎng)絡(luò)安全產(chǎn)品實現(xiàn)的基礎(chǔ)。而第三方信任是指兩個陌生人都和同一個第三方彼此信任并且第三方也擔(dān)保他們的可信度時，這兩個陌生人就可以做到彼此信任。在任何大規(guī)模的網(wǎng)絡(luò)里基于第三方的信任是必要并且有效的。使用基于PKI基礎(chǔ)平臺的用戶建立安全通信相互信任的基礎(chǔ)是公鑰，網(wǎng)上進行的任何需要提供安全服務(wù)的通信都是建立在公鑰的基礎(chǔ)之上公鑰可以對外公開；而與公鑰成對的私鑰只掌握在通信的另一方，私鑰必須

2、自己嚴(yán)密保管，不得泄露這個信任的基礎(chǔ)是通過公銅證書的使用進行實現(xiàn)公鑰證書是一個用戶在網(wǎng)上的身份證明一是用戶身份與他所持有的公鑰的綁定結(jié)合，在這種綁定之前由一個可信任的權(quán)威機構(gòu)c^來審查和證實用戶的身份然后權(quán)威機構(gòu)c^對用戶身份及其公鑰相結(jié)合形成數(shù)字證一實體的身份以及其公鑰的合法性證明該實體與公鑰的匹配關(guān)系。密鑰備份及恢復(fù)密鑰備份及恢復(fù)是密鑰管理的主要內(nèi)容，是由可信任的認(rèn)證機構(gòu)cA來完成，在用戶的證書生成時，加密密鑰即被cA備份存儲；當(dāng)需

3、要恢復(fù)時用戶向c^提出申請，cA會為用戶自動進行恢復(fù)。密鑰和證書的更新。一個證書的有效期是有限的，為保證證書安全的使用，證書和密鑰必須有一定更換頻度PKI對已發(fā)的證書必須具有更換措施客戶端軟件u為方便客戶操作解決PKI的應(yīng)用問題在客戶的洲覽器端裝有客戶端軟件其功能可實現(xiàn)數(shù)字簽名、加密傳輸數(shù)據(jù)也是安全通信的接收點在認(rèn)證的過程中查詢證書和相關(guān)的證書撇消信息以及進行證書路徑處理；對特定文檔提供時間戳請求等等。交叉認(rèn)證交叉認(rèn)證實現(xiàn)多個PKI域之

4、間實現(xiàn)互操作。這樣，當(dāng)不同的PKI域中的終端用戶沿著不同的認(rèn)證鏈撿驗認(rèn)證到根時達到互相信任的目的一實用PKI系統(tǒng)的評估目前，數(shù)字證書在金融領(lǐng)域中的應(yīng)用面屬網(wǎng)上銀行最為廣泛交易金額大、安全性要求高的企業(yè)網(wǎng)銀基本上都采用了證書安全機制個人網(wǎng)銀中，涉及資金轉(zhuǎn)帳和支付的業(yè)務(wù)一般也霈要數(shù)字證書。還有一些非支付婁的應(yīng)用，例如一些敏感信息的安全傳遞、進入某個系統(tǒng)的身份控制等，也都需要用到數(shù)字證書來加以保障安全正因為如此對采用PKI體系的應(yīng)用就更應(yīng)該進

5、行規(guī)范一個實用的PKI系統(tǒng)必須具有滿足下面屬性：(I)安全可靠性：包括系統(tǒng)安全、數(shù)據(jù)安全和通信安全。PKI系統(tǒng)必須要防止來自系統(tǒng)內(nèi)部和來自系統(tǒng)外部的威脅。保證系統(tǒng)不崩潰，防止信息竊取，要有足夠的能力防止惡意的攻擊a(2)先進性：在綜臺考摩_生價比的維普資訊安全視窗20o12前提下，及時了解和使用先進的技術(shù)、設(shè)備和算法使尸KI系統(tǒng)更先進、更完善c(3)標(biāo)準(zhǔn)性：PKI系統(tǒng)應(yīng)支持多種平臺和應(yīng)用，支持多種證書類型以及支持多種證書發(fā)行和管理協(xié)議滿

6、足交叉認(rèn)證和不同PKI產(chǎn)品的系統(tǒng)集；PKI系統(tǒng)應(yīng)遵循相應(yīng)的國際標(biāo)準(zhǔn)，支持IETFISO、PKCS系列國際標(biāo)準(zhǔn)支持國內(nèi)密碼算法標(biāo)準(zhǔn)。(4)擴展性：采用模塊化設(shè)計，可以根據(jù)用戶需求配置出不同的PK1系統(tǒng)。PKI不能只支持一種應(yīng)用它必須能檔支持以后能得到的應(yīng)用。官必須能夠通過增加額外的c^和R^來支持不斷增長的證書需要另外當(dāng)PKI擴展詹會包含新的服務(wù)需要各種證書的類型和注冊的機制(5)靈活的無縫組合：PKI的各個組成部分的互操作性星很重要的因

7、為有可能它們不都是由一個提供商提供的。比如說c一、可能必須和一個已經(jīng)存在的系統(tǒng)何接口，如果一個組織中已經(jīng)安裝了目錄服務(wù)器的活PK1必須使用開放的標(biāo)準(zhǔn)的接口比如_I~P和xSO0l1)^P)確保它能和所有的兼容標(biāo)準(zhǔn)的目錄服務(wù)工怍(6)易操作性l系統(tǒng)必須是容易操作和透日月的f!f；『r應(yīng)該使非技術(shù)人員，比如商務(wù)管理』~員可以很自信地操作它使他們不需要了解PKI系統(tǒng)是如何管理密鑰和數(shù)字證書通過應(yīng)用程f事提供的簡單圖標(biāo)和對話框就能實現(xiàn)數(shù)據(jù)加密和

8、數(shù)字簽名等服務(wù)(7)經(jīng)濟原則：體現(xiàn)實用性系統(tǒng)提供一個高性能價格比大而全和高精尖并不是成功認(rèn)證系統(tǒng)的衡量標(biāo)準(zhǔn)事實上許多失敗的系統(tǒng)正是由于盲目追求高新技術(shù)而忽視r其實用性，盲目追求完善的系統(tǒng)而忽視了本單位的技術(shù)水平、管理水平和人員素質(zhì)(8)可維護性：整個系統(tǒng)應(yīng)具備良好的可維護性PKI系統(tǒng)的軟，硬件系統(tǒng)都具有良好的模塊化結(jié)構(gòu)保證系統(tǒng)設(shè)計的合理性，配置相關(guān)的管理手段a(9)審計功能：所做的任何事情都要有記錄n每個條目都要表明時間和簽名=即在安全

9、統(tǒng)計中具有較完備的審汁功能。(10)符合國家有關(guān)法律法規(guī)：P1系統(tǒng)完全符臺國家關(guān)于密碼產(chǎn)品的相關(guān)法律、法規(guī)PKI體系改進當(dāng)前l(fā)體系已經(jīng)應(yīng)用到各個領(lǐng)域中但是PK1體系仍然何需要改進之處首先從技術(shù)上說RSA算法是目前使用昂多的公銅算法和雙癬鑰技術(shù)估計未來一段時問密鑰長度介于1024—2048比特之fHlfl~RS、是安全的一般建議個人用戶采用7d8位機構(gòu)1024垃而認(rèn)證機)之采用20481丑而且Rs^算法的可靠性基于分解極大的整數(shù)的困難程度

10、假如找到一種恨快的分解因子婚算法的話那幺用RS、加密的信息的1可靠性就肯定臺極度1=『降所以RSA算浚是需要改進的方面之，有必要尋投更好的公鑰算法來繼續(xù)支撐PK[體系。從管理上說，【】Kl體系本身并沒有對訪問控制進行處理，所以在建設(shè)PKI體系結(jié)構(gòu)時有必要建立起統(tǒng)一的權(quán)限管理體系統(tǒng)一的訪問控制策略和單點登陸方式c一般的安全系統(tǒng)中對于極限的管理采用不同的管理策略、權(quán)限模型不夠統(tǒng)一、權(quán)限過于分散。基于角色的極限管理模型解決了這個問題安全管理人