APP開發(fā)安全系統(tǒng)之密鑰 PKI的主要組件詳解。
APP開發(fā)公司在處理項目信息安全時，將組成PKI的兩個基本元素分別是公鑰密碼和公鑰證書管理。對于公鑰密碼而言，要想利用給定的公鑰計算出私鑰是無法實現(xiàn)的。因此，公鑰可以公開發(fā)布。APP項目開發(fā)公鑰密碼系統(tǒng)的優(yōu)勢在于發(fā)送方能夠利用接收方的公鑰對消息進(jìn)行加密，之后發(fā)送給接收方。同時，在不同的應(yīng)用環(huán)境中，公私密鑰對的功能是不同的，如加密與解密以及簽名與簽名的驗證。
起初，公鑰密碼系統(tǒng)被認(rèn)為是較為理想的密碼系統(tǒng)，主要原因是不需要利用安全信道傳送密鑰，從而避免了密鑰泄露的風(fēng)險。但可能存在的一種情景是，黑客可能會冒充發(fā)送方A向接收方B發(fā)送公鑰e'，而接收方會誤以為這就是發(fā)送方的公鑰e。之后，黑客會對A發(fā)送給B的數(shù)據(jù)流進(jìn)行監(jiān)聽，并且使用自己的私鑰d'解密獲取原始消息，再用B的公鑰e進(jìn)行加密，發(fā)送給B。上述情景表明，對公鑰的數(shù)據(jù)源進(jìn)行認(rèn)證是非常必要的，可以利用公鑰證書管理的方式實現(xiàn)。
數(shù)字證書能夠唯一地將用戶與用戶的公鑰相綁定，最簡單的實現(xiàn)手段是通過外部實體，將用戶的基本信息和公鑰打包，再使用外部實體的私鑰進(jìn)行簽名。這里的外部實體是指可信的第三方，例如證書機構(gòu)，用戶的基本信息包括用戶名、所在的公司名、E-mail地址、發(fā)布者證書的相關(guān)信息、發(fā)布日期和過期日期等。在對證書簽名驗證成功的情況下，證書上的公鑰便可正常使用了。
用戶在接收到由A簽名的消息后，可認(rèn)為這條消息的發(fā)送者就是A，但黑客可能利用此點發(fā)起重放攻擊。例如，某人發(fā)消息給銀行，內(nèi)容是支付10元給A，試想A竊聽到這條消息，則A可以向銀行多次發(fā)送，形成重放攻擊。消除該攻擊方式的解決方法是，加入發(fā)送時間、序號ID或者其他唯一標(biāo)識于簽名消息中。對于TLS/SSL協(xié)議而言，通過在消息中加入ID號，即可防止重放攻擊。
APP開發(fā)關(guān)于密鑰系統(tǒng)的PKI的主要技術(shù)組件和功能
PKI安全體系對外公開，提供了一系列對外接口和安全標(biāo)準(zhǔn)。PKI技術(shù)中包含下述實體功能的軟/硬件的集合:終端實體（EE)、注冊機構(gòu)（RA）、證書機構(gòu)(CA)、PKI目錄。PKI主要的技術(shù)組件和操作流程如圖3-6所示。
以下列出了PKI的主要技術(shù)組件，不同技術(shù)組件之間能夠進(jìn)行互操作。
1.終端實體應(yīng)用程序
提供給終端用戶使用的軟件，具體功能介紹如下。
①生成并存儲公私鑰對，供用戶使用;
②能夠進(jìn)行數(shù)字簽名，并提交數(shù)字證書應(yīng)用程序;
③申請更新數(shù)字證書;
④申請撤銷數(shù)字證書;
⑤查找、檢索數(shù)字證書，并撤銷相關(guān)信息;
⑥對數(shù)字證書的有效性進(jìn)行驗證，并讀取證書的內(nèi)容;
⑦生成數(shù)字簽名，并對其合法性、有效性進(jìn)行驗證。
2．APP開發(fā)關(guān)于密鑰注冊機構(gòu)
完全與終端實體和CA相兼容，并且支持相似的基本功能。例如，密鑰的生成、存儲與訪問，對數(shù)字簽名和數(shù)字證書進(jìn)行處理。一個注冊機構(gòu)一般能夠為PKI中的多個CA及終端實體提供服務(wù)。注冊機構(gòu)的主要作用是支持用戶的特定需求。
①用戶注冊:利用用戶注冊，能夠找出PKI的潛在參與者。注冊機構(gòu)在一特定的DB中生成用戶對象，而用戶對象中含有諸多用戶屬性，這些屬性均在注冊策略中定義，如用戶名字、題目、E-mail地址等內(nèi)容。
②對用戶進(jìn)行認(rèn)證:利用此過程，注冊機構(gòu)第一次對證書應(yīng)用（主體）的身份進(jìn)行認(rèn)證，同時，確定特定的公鑰（需要驗證的公鑰）屬于此應(yīng)用。
③同意終端用戶的請求:針對終端用戶的請求，注冊機構(gòu)可以做出同意與否的決定。例如，終端用戶第一次申請數(shù)字證書，或者針對已過期的證書申請更新。
④證書撤銷:注冊機構(gòu)能夠命令CA撤銷用戶的數(shù)字證書。同時，根據(jù)PKI的撤銷策略，撤銷理由可以選擇提供或者不提供。
3.APP開發(fā)關(guān)于證書機構(gòu)
一般由CA管理員安裝、配置、啟動后，便能夠自動運行。CA猶如一個絕對可信的簽名發(fā)動機，主要負(fù)責(zé)簽發(fā)、管理數(shù)字證書，并且能夠撤銷用戶提交的請求。因此，CA在以PKI業(yè)務(wù)規(guī)則為基礎(chǔ)的執(zhí)行中，扮演著非常關(guān)鍵的角色?？偟膩碚f，CA主要具備下述功能。
①密鑰認(rèn)證:CA簽發(fā)用戶的公鑰，并且發(fā)布與公鑰相綁定的數(shù)字證書。
②證書更新:在用戶證書過期時，發(fā)布新的數(shù)字證書。
③證書撤銷:將用戶的數(shù)字證書添加至撤銷列表中。
④證書公布:將用戶的數(shù)字證書放入PKI目錄，用戶在該目錄中能夠查找并檢索數(shù)字證書。
⑤撤銷列表維護(hù):對撤銷列表進(jìn)行實時維護(hù)，使得撤銷列表與當(dāng)前的PKI目錄保持一致。
⑥撤銷列表公布:將撤銷列表放入PKI目錄中，用戶在該目錄中能夠查找和檢索證書。好了，
深圳APP開發(fā)公司本文關(guān)于“ APP開發(fā)安全系統(tǒng)之密鑰 PKI的主要組件詳解”知識就分享到這里，謝謝關(guān)注，博納網(wǎng)絡(luò)編輯整理。
