第1页：第10章 认证中心 章节目录
第10章认证中心10.3安全协议10.3.1 SSL安全协议10.3.2 SET安全协议10.3.3 IPSEC协议10.1认证中心概述10.1.1认证中心的定义10.1.2认证中心的结构10.1.3认证中心的职能10.1.4证书作废机制10.1.5认证中心的运作规范10.2中国金融认证中心10.2.1 CFCA的建设10.2.2 CFCA的组成部分10.2.3 CFCA的结构10.2.4 CFCA的证书10.2.5 CFCA的功能10.2.6 CFCA的发展
第2页：教学目标与要求
- 教学目标与要求
- 掌握认证中心的定义、组成、职能；
- 了解中国金融认证中心的建设；
- 掌握CFCA的结构和功能
- 掌握PKI证书及其优势；
- 掌握SSL安全协议；
- 了解SET安全协议、IPSEC协议。
第3页：知识架构
本页为知识架构的图示页面说明，建议结合图片阅读本章知识点之间的层级关系。
第4页：认证中心概述认证中心是一套由各种不同角色
10.1认证中心概述认证中心是一套由各种不同角色，通过认证体系有机的组成在一起的体系，有效的保障网络交易各方的安全。本章介绍中国金融领域唯一合法的第三方安全认证机构CFCA，并在基于认证中心的体系架构上，对认证体系中重要的SSL安全协议和SET协议进行重点讲解。
第5页：10.1.1 认证中心的定义
- 10.1.1认证中心的定义
- 一个可信任的机构能对任何一个主体公钥进行公证，证明主体的身份以及它与公钥的匹配关系。
- 权威认证中心Certficate Authority，是电子交易中信赖的基础。
- 为网上交易各方的信息安全提供有效的、可靠的保护机制。
第6页：认证中心的结构CA中心中的实体
10.1.2认证中心的结构CA中心中的实体：
第7页：10.1.3 认证中心的职能
10.1.3 认证中心的职能：10.1.3认证中心的职能认证中心的基本职能
- 证书的审批
- 证书的发布
- 证书的撤消
- 证书及CRL的分发、存储、检索
- 密钥生存周期管理
第8页：认证中心的职能（证书的审批）
- 10.1.3认证中心的职能1.证书的审批
- 离线方式
- 在线方式通过自身的注册审核体系以下列方式核实相关信息，并审批证书：
第9页：认证中心的职能（证书的发布）
- 10.1.3认证中心的职能2.证书的发布
- 初始化注册/认证
- 证书更新
- 证书作废
- CA密钥对更新
- 在线方式CA对包含用户公钥及其他相关信息的证书使用自己的私钥进行签名并最终颁发给用户。证书发布原因如下：
第10页：10.1.3 认证中心的职能
10.1.3认证中心的职能3.证书的撤消终端用户CA中心1、证书撤消请求2、证书撤消响应RA带外请求1、证书撤销请求2、证书撤消响应
第11页：认证中心的职能（证书及CRL的分发）
- 10.1.3认证中心的职能4.证书及CRL的分发、存储、检索
- 通常使用证书库来存储、检索证书及CRL的消息
- 证书库是证书的集中存放地，是网上的一种公共信息库，用户据此获得其他用户的证书和公钥证书作废
- 构造证书库的最佳方法是采用LDAP协议
第12页：认证中心的职能（密钥生存周期管理）
- 10.1.3认证中心的职能5.密钥生存周期管理
- 密钥更新
- 密钥存档
- 密钥备份
- 密钥恢复
第13页：证书作废机制（证书撤销的发布机制）
- 10.1.4证书作废机制1.证书撤销的发布机制
- 周期性的发布机制例如：证书撤消列表（CRL）
- 在线查询机制例如：在线证书状态协议（OCSP）。
第14页：10.1.4 证书作废机制
10.1.4证书作废机制2.CRL结构版本号签名颁发者本次更新下次更新撤消的证书列表……扩展由授权CA签名颁发（颁发者）CRL的版本标识符（例如：V2）用来签名的算法识别符本次CRL颁布的日期/时间CRL颁发者唯一识别名证书序列号，撤消日期/时间每项CRL扩展本次CRL过期的日期/时间
第15页：证书作废机制（CRL的发布机制）
- 10.1.4证书作废机制3.CRL的发布机制
- 完全CR
- 分段CRL
- 增量CRL周期发布机制适用于CRL查询的离线操作，主要分为如下几种：
第16页：10.1.4 证书作废机制
10.1.4证书作废机制4.在线查询机制IETF颁布的用于检查数字证书在某一交易时间是否有效的标准－在线证书状态协议（OCSP）实时在线地向用户提供证书状态。
第17页：中国金融认证中心CFCA作为权威
10.2中国金融认证中心CFCA作为权威、公正的第三方安全认证机构，采用国际主流的PKI技术，通过发放数字证书确保网上信息传递双方身份的真实性、信息的保密性和完整性、以及网上交易的不可否认性。为网上金融、电子商务、电子政务等行业提供安全认证服务。
第18页：10.2.1 CFCA的建设
- 10.2.1CFCA的建设
- 2000年6月29日，中国金融认证中心挂牌成立。
- 系统建设初期，金融CA每年发放15万张Non-SET证书(其中企业证书3万张，其余为WEB、SSL证书等)；SET证书10万张，企业2万张，个人8万张。
- 2006年7月，CFCA数字证书发放突破100万张。
- CFCA组织并参与有关网上交易规则的制定，确立相应的技术标准，提供跨行网上支付的相互认证。
第19页：10.2.2 CFCA的组成
10.2.2CFCA的组成
第20页：CFCA的结构ROOTCA政策CA运营C
10.2.3CFCA的结构ROOTCA政策CA运营CA普通证书高级证书VPN。。。RCAECAPCAMCACCABCANon-SET体系：PKI SET体系：
第21页：10.2.4 CFCA的证书
- 10.2.4 CFCA的证书
- CFCA个人证书
- CFCA企业证书
- CFCA Web服务器证书
- CFCA手机证书
- CFCA安全电子邮件证书
- VPN设备证书CFCA在各个行业领域广泛使用，主要发布的证书类型为：
第22页：10.2.4 CFCA的证书
- 10.2.4 CFCA的证书
- CFCA个人证书
- CFCA企业证书
- CFCA Web服务器证书
- CFCA手机证书
- CFCA安全电子邮件证书
- VPN设备证书CFCA在各个行业领域广泛使用，主要发布的证书类型为：
第23页：10.2.5 CFCA的功能
- 10.2.5 CFCA的功能
- 证书的申请
- 证书的审批
- 证书的发放
- 证书的归档
- 证书的撤销
- CRL的管理
- CA的管理
- CA自身密钥的管理CFCA证书符合ITU的X.509国际标准。其核心功能为：
第24页：10.3 安全协议
- 10.3安全协议
- SSL安全协议
- SET安全协议
- IPSEC安全协议安全协议是认证中心的基础。安全协议保障了PKI体系中各类信息交互的数据保密性、完整性、一致性和不可抵赖性。常用安全协议有：
第25页：SSL安全协议（SSL的结构HTTP）
10.3.1 SSL安全协议1.SSL的结构HTTP,FTP,…SSL警告协议SSL改变密码格式协议SSL握手协议SSL记录协议TCPIP
第26页：SSL安全协议（SSL的握手协议）
- 10.3.1 SSL安全协议2.SSL的握手协议
- 建立安全能力。客户通过网络向服务商打招呼，服务商响应。
- 服务器身份验证和密钥交换。
- 客户机验证和密钥交换。
- 交换结束信息，完成安全连接的建立。CA自身密钥的管理
第27页：SSL安全协议（SSL的记录协议）
- 10.3.1 SSL安全协议3.SSL的记录协议
- 上层应用数据分段
- 对上层应用数据进行压缩
- 在压缩数据上计算消息认证MAC
- 对压缩数据及MAC进行加密
- 增加SSL记录头。SSL记录协议定义传输数据的格式，用于高层协议的封装，记录协议主要完成下述步骤：
第28页：SSL安全协议（SSL的应用）
- 10.3.1 SSL安全协议5.SSL的应用
- 在点对点的网上银行业务中经常使用。
- 该协议已成为事实上的工业标准，并被广泛应用于Internet和Intranet的服务器产品和客户端产品中。如网景公司、微软公司、IBM公司等
- 结合SSL协议和数字证书，PKI技术可以保证Web交易多方面的安全需求，使Web上的交易和面对面的交易一样安全。
第29页：10.3.2 SET安全协议
- 10.3.2 SET安全协议
- SET是为在Internet上进行在线交易时保证信用卡支付的安全而设立的一个开放的规范。
- 它是由Visa国际组织和万事达组织共同制定的一个能保证通过开放网络(包括Internet)进行安全资金支付的技术标准。
- SET协议1.0主要由SET业务描述、SET程序设计规范和SET协议描述三部分组成。
第30页：10.3.2 SET安全协议
- 10.3.2 SET安全协议
- SET是为在Internet上进行在线交易时保证信用卡支付的安全而设立的一个开放的规范。
- 它是由Visa国际组织和万事达组织共同制定的一个能保证通过开放网络(包括Internet)进行安全资金支付的技术标准。
- SET协议1.0主要由SET业务描述、SET程序设计规范和SET协议描述三部分组成。
第31页：10.3.3 IPSEC协议
- 10.3.3 IPSEC协议
- IPSec提供一种标准的、健壮的以及包容广泛的机制，可为IP及上层协议（如UDP、TCP和ICMP）提供安全保证。
- IPSec用于在Ipv4或Ipv6上提供互操作、高质量、基于密码学的服务。
- IPSec可以支持各种应用，可以在IP层次上加密或验证所有的通信量。
- IPSec支持的安全体系通常同操作系统相结合，集成在操作系统的内核中，成为协议本身的可选部分。
