第五講CA系統(tǒng)安全第5講CA系統(tǒng)安全2025/3/3概述

PKI/CA是安全基礎(chǔ)設(shè)施，但CA的安全是十分重要的。CA系統(tǒng)在設(shè)計(jì)時(shí)必須充分考慮其安全性：首先進(jìn)行安全威脅分析；其次設(shè)計(jì)安全策略、安全技術(shù)保障及安全管理規(guī)范。

CA系統(tǒng)的安全體系包括：安全策略、產(chǎn)品技術(shù)安全、主機(jī)安全、操作安全、人員操作安全安全、網(wǎng)絡(luò)安全和物理環(huán)境安全。此外，還必須考慮數(shù)據(jù)級(jí)或系統(tǒng)級(jí)的災(zāi)難恢復(fù)技術(shù)（系統(tǒng)）。

見P141圖6-12025/3/31.物理安全和環(huán)境安全設(shè)計(jì)

物理安全和環(huán)境安全是整個(gè)系統(tǒng)安全的基礎(chǔ)，要把CA系統(tǒng)的危險(xiǎn)降到最低，需要選擇合適的設(shè)施和位置。

首先，考慮電池干擾與輻射；其次，要設(shè)置放火裝置；此外，還要防止恐怖犯罪及其他事故等。2025/3/32.網(wǎng)絡(luò)安全設(shè)計(jì)由于CA系統(tǒng)是與互聯(lián)網(wǎng)連接的，因此網(wǎng)絡(luò)安全防護(hù)是至關(guān)重要的。

（1）網(wǎng)絡(luò)安全目標(biāo)要求

（2）CA中心的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施見圖6-2P143

（3）網(wǎng)絡(luò)安全區(qū)域的劃分：注冊(cè)發(fā)布區(qū)和安全區(qū)

（4）防火墻保護(hù)

（5）入侵檢測與漏洞掃描

（6）防病毒入侵2025/3/3數(shù)據(jù)備份與恢復(fù)數(shù)據(jù)備份與恢復(fù)可以采用數(shù)據(jù)級(jí)備份和系統(tǒng)備份。（1）數(shù)據(jù)庫數(shù)據(jù)的備份與恢復(fù)（2）目錄服務(wù)器數(shù)據(jù)的恢復(fù)2025/3/3操作系統(tǒng)安全性

CA系統(tǒng)中，服務(wù)器一般采用安全性較高的Unix系統(tǒng)；客戶機(jī)一般采用Unix或Windows操作系統(tǒng)。2025/3/3數(shù)據(jù)庫安全（1）數(shù)據(jù)庫安全的目標(biāo)：

保證客戶信息的安全性

保證存儲(chǔ)在數(shù)據(jù)庫中的數(shù)據(jù)不被非法訪問

維護(hù)數(shù)據(jù)的完整性和統(tǒng)一性

維護(hù)備份數(shù)據(jù)，并保護(hù)在發(fā)生異常情況時(shí)，最大限度地恢復(fù)數(shù)據(jù)

防止數(shù)據(jù)庫系統(tǒng)軟件因可能存在的后門或其他缺陷引起用戶的失秘（2）權(quán)限控制P1452025/3/3（3）數(shù)據(jù)完整性控制P145（4）數(shù)據(jù)庫備份P1452025/3/3目錄服務(wù)器的安全性在CA中，目錄服務(wù)器負(fù)責(zé)用戶與系統(tǒng)公用信息的發(fā)布，在安全性設(shè)計(jì)時(shí)，需要達(dá)到以下目標(biāo)：

（1）防止黑客對(duì)數(shù)據(jù)的篡改、刪除

（2）防止位授權(quán)用戶對(duì)數(shù)據(jù)的篡改、刪除

（3）目錄服務(wù)器的數(shù)據(jù)遭受到侵害，可以及時(shí)、有效地恢復(fù)數(shù)據(jù)2025/3/3CA系統(tǒng)安全性1.CA安全管理密鑰安全管理是CA系統(tǒng)安全的核心。

CA的密鑰管理應(yīng)包括：

CA中心私鑰的管理2.密鑰安全管理用戶密鑰的安全管理（1）CA密鑰管理CA的根密鑰安全是至關(guān)重要的。CA密鑰的安全，主要指CA的簽名密鑰的安全。2025/3/3①加密模塊產(chǎn)生CA密鑰的方法必須采用硬件加密模塊。因?yàn)橛布用苣K屬于國家安全保護(hù)產(chǎn)品，加密算法采用國內(nèi)標(biāo)準(zhǔn)，并經(jīng)過國家密碼管理部門批準(zhǔn)。這種加密模塊要做到：CA私鑰不出機(jī)，具有密鑰存儲(chǔ)、備份和恢復(fù)功能。密鑰恢復(fù)要按規(guī)定的程序，實(shí)行多人在場、多口令控制機(jī)制。加密機(jī)必須存放在安全的地方（如六面體鋼板機(jī)房、雙指紋門控系統(tǒng)。注：加密模塊本地化并非不執(zhí)行國際標(biāo)準(zhǔn)，而是要求本地化模塊應(yīng)具有PKCS#11接口標(biāo)準(zhǔn)。2025/3/3②根密鑰的產(chǎn)生與更新③根密鑰的使用④支持的加密算法（2）用戶密鑰管理P1472025/3/33.通信安全

CA系統(tǒng)與其子系統(tǒng)間的通信安全必須要得到保證，CA中心系統(tǒng)除使用SPKM（簡單公鑰模式）協(xié)議外，還將采用主機(jī)加密服務(wù)器的硬件手段對(duì)通信進(jìn)行加密。

（1）SPKM概述

SPKM允許建立單方或雙方的身份驗(yàn)證，可以為客戶端和服務(wù)器端雙方提供高靠性的身份認(rèn)證。

SPKM使用多種加密方法，如基于非對(duì)稱密碼算法的數(shù)字簽名，比對(duì)傳統(tǒng)對(duì)稱算法、數(shù)據(jù)完整性計(jì)算的MAC方式安全；對(duì)于某些環(huán)境可以做到數(shù)字簽名的不可否認(rèn)性；

SPKM的數(shù)據(jù)格式和處理過程比其他機(jī)制更可靠且簡單；

SPKM中定義的密鑰管理協(xié)議完全和X.509及PEM（增強(qiáng)型私人郵件（PrivacyEnhancedMail）格式兼容；認(rèn)證系統(tǒng)中各服務(wù)器之間的通信系統(tǒng)采用SPKM機(jī)制，可以確保通信的安全。2025/3/3

（2）主機(jī)加密服務(wù)器：主要系統(tǒng)間的通信進(jìn)行加密，做到系統(tǒng)全程加密通信，確保系統(tǒng)間通信的安全。

（3）簽發(fā)系統(tǒng)的安全簽發(fā)服務(wù)器的安全：簽發(fā)服務(wù)器是CA的核心，擁有最高的安全級(jí)別，尤其對(duì)安全性、可靠性和抗攻擊性要求最高。主要的安全措施：P1482025/3/34.管理子系統(tǒng)安全性

（1）管理子系統(tǒng)管理員

（2）管理員權(quán)限等級(jí)制

（3）管理系統(tǒng)應(yīng)用安全2025/3/35.審計(jì)系統(tǒng)與日志安全

（1）系統(tǒng)日志

CA中心采用集中式的日志記錄與管理。日志有本地日志和系統(tǒng)日志。CA審計(jì)是保障CA運(yùn)行安全的第三道防線。

（2）本地日志

（3）審計(jì)子系統(tǒng)2025/3/36.RA注冊(cè)系統(tǒng)的安全性

（1）RA管理應(yīng)用的安全策略

管理員密鑰的產(chǎn)生P150RA管理員的安全管理P151

（2）RA注冊(cè)服務(wù)器和CA簽發(fā)服務(wù)器通信的安全2025/3/37.系統(tǒng)的證書申請(qǐng)及下載過程的安全

（1）密鑰生成及存儲(chǔ)的原則

（2）用戶身份的識(shí)別P151用戶證書發(fā)放時(shí)，通過CA向授權(quán)用戶發(fā)行參考號(hào)（Ref#）和授權(quán)碼（AuthCode）來識(shí)別唯一性的用戶。

Ref#和AuthCode由CA產(chǎn)生，Ref為用戶參考碼，起到唯一標(biāo)識(shí)用戶ID的作用；AuthCode為用戶授權(quán)碼，而且只能由Authrity通過系統(tǒng)私鑰產(chǎn)生，起到口令的保護(hù)作用。使用系統(tǒng)私鑰產(chǎn)生AuthCode保證了該碼的不可偽造性，以及用戶接受證書的唯一性。2025/3/38.CA中心數(shù)據(jù)恢復(fù)

（1）數(shù)據(jù)恢復(fù)的內(nèi)容P152

（2）恢復(fù)方式P1532025/3/39.LDAP目錄服務(wù)器的恢復(fù)一般情況下，目錄服務(wù)的內(nèi)容不需要備份，但需要進(jìn)行數(shù)據(jù)恢復(fù)，然后進(jìn)行LDAP目錄服務(wù)的恢復(fù)。2025/3/310.安全策略及安全管理安全管理對(duì)一個(gè)CA來說是至關(guān)重要的，“三分技術(shù)七分管理”……2025/3/311.安全策略安全策略是一個(gè)組織在構(gòu)建一個(gè)計(jì)算機(jī)系統(tǒng)時(shí)，采取安全防范、實(shí)施安全措施的指導(dǎo)思想，是整個(gè)系統(tǒng)的安全基礎(chǔ)。是在系統(tǒng)安全需求的基礎(chǔ)上，所制定的一套安全框架和安全規(guī)劃，用它來規(guī)范系統(tǒng)安全建設(shè)。