1、公開密鑰基礎(chǔ)設(shè)施（PKI）技術(shù)研究與應(yīng)用,信息安全國家重點實驗室,匯報提綱,PKI介紹 PKI的問題 我們的成果 存在的問題,什么是公開密鑰基礎(chǔ)設(shè)施(PKI),PKI是硬件、軟件、策略和人組成的系統(tǒng)，當完全并且正確的實施后，能夠提供一整套的信息安全保障，這些保障對保護敏感的通信和交易是非常重要的 PKI是一個用公鑰概念與技術(shù)來實施和提供安全服務(wù)的普遍適用的安全基礎(chǔ)設(shè)施,PKI的引入,PKI的基本部件,PKI的引入,PKI技術(shù)是電子政務(wù)的基礎(chǔ),1996年，聯(lián)邦PKI指導(dǎo)委員會成立(FPKISC) 2000年12月，會員包括了27個聯(lián)邦機構(gòu)中的113人 1995年底加拿大政府通信和信息服務(wù)部提供P

2、KI服務(wù) 1998年4月，加拿大部門間PKI工作組成立 2000年12月18日美國IDC預(yù)測 所有發(fā)達國家，許多發(fā)展中國家,PKI的引入,PKI技術(shù)中的問題,非常嚴重的互操作問題 應(yīng)用的初期，技術(shù)和標準仍在發(fā)展 昂貴：開發(fā)、維護、培訓(xùn) 概念和技術(shù)本身的復(fù)雜,PKI的問題,互操作問題,總的原因：標準不清楚，不完全，理解錯誤 “符合標準”的產(chǎn)品可能會被替代和更換 X.509 V3, extension 使用問題 橋CA解決問題，有許多問題需要解決 目錄的互操作問題（協(xié)議，信息組織和安排） API(應(yīng)用程序編程接口)的互操作問題,PKI的問題,PKI仍限于示范工程或特殊應(yīng)用,很小的示范工程 專利系統(tǒng)

3、： 14個法律單位+1獨立發(fā)明人+1公司,1032個證書 National Institutes of Health：500個證書 聯(lián)邦PKI開發(fā) FBAC實驗環(huán)境中演示，(Immature Solution) ACES,in the early phases on implementation 2000年11月，7個定單，2個機構(gòu)免費證書,PKI的問題,開發(fā)與維護PKI仍舊比較昂貴,開發(fā)，配置，維護，現(xiàn)有系統(tǒng)的改造 DOD:2000到2005年， $700,000,000僅進行PKI開發(fā)； $170,000,000改造一些應(yīng)用系統(tǒng)使適合PKI 600 out of 9000-10000 $2

4、00一個證書,PKI的問題,安全策略制定的困難,隱私保護 維護保證（信用）級別 加密密鑰恢復(fù) 長時間數(shù)據(jù)（證據(jù)）保護,PKI的問題,成功的PKI需要全范圍的培訓(xùn),概念和模型比較復(fù)雜 管理員必須正確配置PKI系統(tǒng) 用戶必須會保護他的私鑰 驗證證書，拒絕？無效？不匹配？ 使用PKI的應(yīng)用系統(tǒng)也需要培訓(xùn),PKI的問題,PKI需要什么（PKI中的問題）,高安全性的保障 一個合理科學(xué)的組件結(jié)構(gòu) 一個合理簡單的應(yīng)用結(jié)構(gòu) 一個科學(xué)簡單的運行結(jié)構(gòu) 一種簡單的實現(xiàn),PKI的問題,完成的工作,完成PKI體系建模工作 攻擊容忍的高安全CA系統(tǒng)的建模、設(shè)計與實現(xiàn) 完成了PKI實體的建模與設(shè)計 實驗室PKI最小互操作規(guī)

5、范 開發(fā)PKI中需要全部組建 開發(fā)了兩個PKI的應(yīng)用事例，即VPN和驗證開關(guān) 設(shè)計設(shè)計了自主產(chǎn)權(quán)的基礎(chǔ)系統(tǒng) 一套動態(tài)口令的認證系統(tǒng)，交付公司推廣 參加國家相關(guān)的活動，對PKI進行了推廣宣傳工作,我們的成果,主要成果,一套完善自主產(chǎn)權(quán)的PKI系統(tǒng) 申請發(fā)明專利6個 發(fā)表文章56篇 出版著作8本（包括譯） 2000萬技術(shù)轉(zhuǎn)讓合同，示范工程以南寧（國家級）高新區(qū)名義報廣西科技廳,完成體系建模工作,PKI組件模型 PKI應(yīng)用模型 實現(xiàn)模型,RAA,TAA,LoisPKI系統(tǒng)結(jié)構(gòu),PAC,RAA,RAA,CA,Repository,Query Server,F2F RA,Cl RA,VPN RA,DBA

6、,TA,DBA,Web RA,我們的成果,SKLOIS PKI運行模型,安全操作員,實體管理員,應(yīng)用,實體,實體,實體,實體,實體,電子 目錄,我們的成果,PKI實施模型,私鑰與公鑰,PKI實體,身份標識,策略,PKI證書,PKI證書,PKI證書,我們的成果,CA（入侵容忍）,RAA,Key Center,Combiner,Share Sever,Combiner,Share Sever,Share Sever,Share Sever,Share Sever,資料庫,RA,DBA,離線部件,在線部件,我們的成果,資料倉庫(入侵容忍的Repository),CA,查詢服務(wù)器,Oracle,SQL

7、 Server,證書查詢者,Internet,我們的成果,入侵容忍技術(shù),當部分系統(tǒng)被敵人占領(lǐng)的時候 當部分內(nèi)部職員背叛的時候 當部分系統(tǒng)被病毒或木馬支配的時候 秘密是否被泄露 工作是否能夠繼續(xù),兩層結(jié)構(gòu),RA Agency,Share Server1,Key Distributer,Combiner1,Share Server2,Share Server3,Share Server4,Share Server5,Share Server6,Repository Agent,Combiner2,廣播信道B1,廣播信道B2,廣播信道B3,Combiner3,解決的問題,Combiner的方程求解問

8、題 k=10，t=3時，方程個數(shù)120個，變量11個 Combiner 與Share Server的合謀攻擊問題 Combiner的安全條件與證明 Combiner的安全條件搜索算法 Combiner的數(shù)量問題 效率問題,與國際上典型方案的比較,原理簡單，安全性容易證明 通用性強，對參數(shù)無任何限制 操作透明，自治的管理和調(diào)整 容錯容余，不需額外的設(shè)置，在線更換 高效率=1，Stanford=t,CertCo=t,IBM=2t,完成全部PKI系統(tǒng),原形系統(tǒng)網(wǎng)上測試，網(wǎng)址： 從Web RA到CA到資料庫 IIS服務(wù)器證書（科技部國家重點實驗室網(wǎng)站） 全面兼容包括IE、Outlook Express的簽名、加密,安全PKI應(yīng)用VPN與驗證開關(guān),自主產(chǎn)權(quán)的基礎(chǔ)系統(tǒng),自主