基于RBAC的PMI体系构建及其应用.pdf

《基于RBAC的PMI体系构建及其应用.pdf》由会员分享，可在线阅读，更多相关《基于RBAC的PMI体系构建及其应用.pdf（64页珍藏版）》请在三一文库上搜索。

1、分类号T P 3 9 30 8 学置里! 删旦磐 密级公开 螽簧雹手辩毅幺警 硕士学位论文 题c 中英文，目基王旦壁垒盟。必! 体歪扭建厘篡应旦 一旦蛔鼬_ a 叫! 耻扭P M ! 曼! 业礁! ! 峰篓随鲤生螋腆A 作者姓名 学科门类 提交论文E l 期 彭亚锋指导教师姓名、职务 刘东苏教授 管理堂学科、专业 一蜻攫学 一二9 Q 土生二月 接要 摘要 计算机网络是信息社会的基础，它能有效地实现资源共享，假资源共享和信 息安全爨对矛盾髂。随骜资源共享静进一步加强，随之丽来的镶息安全翔题也 基蕊突滋，隽爨诀涯、蔽袋瓣毽秘诱弱控懿冕瓣络安全戆重要舔分，箍忿宅稻残 为当前依崽安全领域中研究的热点

2、。 对用户进行正确辨识并实施有效的权限管理，是保证信息安全的重要基础。 公钥基础设施P l ( I 向信息使用者和提供者提供了认证功能，但在通过身份认证后， 用户可以傲什么，或说授权领域，则没有进一莎涉及。为了解决这个l 窀题权限管 理基戳设魏f M 毛P r i v i l e g eM a n a g e m e n tl n f r a s W a c t u r e ) 应运嚣生。P M I 鹣嚣标是鑫委 户藕应用程序提供授权管理服务，提供魇户身份剃应用授权的映射功能，提供与 实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权和访问控制 机制。授权与访问控制密不W 分，目前在

3、访问控制领域引起国际上熙多关注和研 究的是熬乎角色的访闯控制( R B A C ，R o l e - b a s e d A c c e s sC o n t r 0 1 ) 。 零文麓授投窝访楚控铡镞域遴行了较为深入戆磷究，劳设专 嶷溪了一令基予 R B A C 蘩J P M I 体系。首先维念p M l 的基本模薹l 和潦予角色访闯的特点，提出一耱基 于角色的授权模型( R B A M ，R o l e b a s c dA u t h o r i z a t i 咖M o d e l ) ，实现用户一角色一 权限的分配模式。然后结合P K I 的身份认证、P M I 权限管理和R B A

4、 M 建立系统的基 于角色P M I 授权访问体系( R A P M I ) ，描述了R A P M I 体系的实现过程。弗结合其特点， 定义了R A P M I 髂系豹授权谤溺繁蝰。最嚣将R A P M I 俸系疲瑁溺上银露镞域，绘爨其 痤瘸模燮黻及现实意义。 关键词：权限管理基础设施基于角色的访问控制属性证书策略网上银行 A b s t r a c t A b s t r a c t C o m p u t e rn e t w o r ki st h ef o u n d a t i o no fi n f o r m a t i o ns o c i e t y , w h i c h

5、c a nb ec a r r i e d o u tf o rr e s o u r c e s h a r i n g ，w h i l ei n f o r m a t i o ns e c u r i t y a n dr e s o u r c e s h a r i n g a r e c o n t r a d i c t e d W i t ht h ed e v e l o p m e n to fr e s o u r c es h a r i n g , t h ep r o b l e mo fi n f o r m a t i o n s e c u r i t yi

6、 sm o r ea n dm o r es e r i o u s I d e n t i t ya u t h e n t i c a t i o n , p r i v i l e g em a n a g e m e n ta n d a c e e s sc o n t r o la r et h ei m p o r t a n tp a r t si nn e t w o r ks e c u r i t y T h u st h e ya r et h er e s e a r c h f o c u si ni n f o r m a t i o ns e c u r i t

7、 ya r e a I t Si m p o r t a n tt or e c o g n i z et h er i g h tu s e ra n di m p l e m e n tt h ee f f e c t i v ep r i v i l e g e m a n a g e m e n t ，w h i c hi st h eb a s i st oe u s u r et h ei n f o r m a t i o ns e c u r i t y P I Gh a ss u p p l i e dt h e a u t h e n t i c a t i o nf e

8、a t u r ef o rt h ei n f o r m a t i o nu s e ra n dh o l d e r , b u tw h a tc a nu s e rd oa f t e rt h e a u t h e n t i c a t i o n ，i nt h i sa r e aP I Gc a n ts u p p o r t I no r d e rt os o l v et h ep r o b l e m ，P M I ( P r i v i l e g eM a n a g e m e n tI n f r a s t r u c t u r e ) g

9、e n e r a t e d P M I a i n l st o p r o v i d e w i t h a u t h o r i z a t i o nm a n a g e m e n ts e r v i c et ot h eu s e ra n da p p l i c a t i o n , a n dt op r o v i d et h e f u n c t i o no fm a p p i n gt h eu s e ri d e n t i t yt oa p p l i c a t i o na u t h o r i z a t i o n I tc a

10、na l s op r o v i d e t h ea u t h o r i z a t i o na n dc o n t r o lm e c h a n i s mr e s p o n d i n gt ot h ep r a c t i c a l a p p l i c a t i o n p r o c e s s i n gm o d e T h i sa u t h o r i z a t i o na n dc o n t r o lm e c h a n i s mh a sn or e l a t i o n w i t h s p e c i f i ca p p

11、 l i c a t i o ns y s t e md e v e l o p m e n ta n dm a n a g e m e n t T h er e l a t i o n s h i pb e t w e e n A u t h o r i z a t i o na n da c c e s sc o n t r o li sn o td i v i d e d N o w , i nt h ea C C e S Sc o n t r o la r e a , R B A C ( R o l e - b a s e dA c c e s sC o n t r 0 1 ) p r

12、 o v o k em o r ea t t e n t i o n i ni n t e r n a t i o n a l A c c o r d i n gt ot h i sp a p e r , a u t h o rm a k e sm o r ee f f o r to nt h ea u t h o r i z a t i o na n da c c e s s c o n t r o l ，d e s i g n sa n di m p l e m e n t sR B A C - b a s e dP M Ia r c h i t e c t u r e F i r s t

13、 l y , o nt h e f o u n d a t i o no fP M Ib a s i cm o d e la n dr o l e - b a s e df e a t u r e s ，a u t h o rd e s i g n sar o l e - b a s e d a u t h o r i z a t i o nm o d e l ( R B A M ) A n dp r e s e n tau s e r - r o l e - a u t h o r i z a t i o nm o d u l e T h e n , c o m b i n i n gw i

14、 t hP K I ，P M Ia n dR B A M ，a u t h o re s t a b l i s h e sar o l e - b a s e da u t h o r i z a t i o n a c c e s ss y s t e mR A P M I ，w h i l ed e s c r i b et h ei m p l e m e n t a t i o np r o c e d u r e A n d ，a c c o r d i n gt o i t sf e a t u r e s ，a u t h o rd e f i n e st h ea u t

15、h o r i z a t i o n a c A s sp o l i c y O nt h ee n d , R A P M Ii s a p p l i e di no n l i n eb a n ks y s t e m ；t h ea p p l i c a t i o nm o d e li sd e s i g n e da tt h es a m et i m e ，a n d t h e nd e s c r i b e st h ea c t u a lv a l u e K e y w o r d s ：P M IR B A CA CP o l i c y O n l

16、i n eB a n k 缩噻语 本文所用到的主要缩略语 A b b r e v i a t i o n 0 r i g i n a l M e m o P P u b l m K e yI n f r a s t r u c t u r e公钥基础设施 P M l P r i v i l e g eM a n a g e m e n t援激警理基撩设施 I n f r a s t r u c t u r e R B A CR o l e - B a s e dA c c e s sC o n t r o l 基于角色的访问控制 C A C e r t i f i c a t eA u t h

17、 o r i t y认证中心 S Q AS o u r c eo f A u t h o r i t y 起始授毂瓿镌 A A A t t r i b u t e A u t h o r i t y 属性管理梳构 P K C P u b l mK e yC e r t i f i c a t e公钥证书 A CA r t t i b u t eC e r t i f i c a t e属性证粥 ，RACR o l eA s s i g n m e n tA C 角色分配属谯证书 R S CR o l eS p e c i f i c a t i o nA C建色纛蓬藩佼涯书 避A c c e

18、s sC o n t r o lE n f o r c e m e n t 访问控制执杼单元 F u n c t i o n s A D FA o c c s sC o n t r o lD e c i s i o nF u n c t i o n s 访问控制决饿单元 R B A R o l e - B a s e d A u t h o r i z a t i o nM o d e l基于是色戆授较模型 B S o AB a n k So | A银行最高授权机构 B A AB a n k A A 银行属性权威 O n l i n eB a n k 0 n l i n eB a n k网上银

19、行 西安电子科技大学 学位论文独创性( 或创新性) 声明 秉承学校严谨的学风和优良的科学道德，本人声明所呈交的论文是我个人在 导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特别加以标 注和致谢中所罗列的内容以外，论文中不包含其他人已经发表或撰写过的研究成 果；也不包含为获得西安电子科技大学或其它教育机构的学位或证书而使用过的 材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中做了明确的说 明并表示了谢意。 申请学位论文与资料若有不实之处，本人承担一切的法律责任。 本人签名：寥亚簿日期压呼! 厶# f 西安电子科技大学 关于论文使用授权的说明 本人完全了解西安电子科技大学有

20、关保留和使用学位论文的规定，即：研究 生在校攻读学位期间论文工作的知识产权单位属西安电子科技大学。学校有权保 留送交论文的复印件，允许查阅和借阅论文：学校可以公布论文的全部或部分内 容，可以允许采用影印、缩印或其它复制手段保存论文。同时本人保证，毕业后 结合学位论文研究课题再攥写的文章一律署名单位为西安电子科技大学。 ( 保密的论文在解密后遵守此规定) 本学位论文属于保密，在一年解密后适用本授权书。 本人签名：系；亚绛日期丝Z ! ：i 导师签名：翻j ! 甚日期之1 2 ：! ：罩 f 第一章绪论 第一章绪论 1 1 研究背景 网络和信息系统是现代社会最重要的信息基础设施，已经渗透到社会的各

21、个 领域。金融经济、文化教育、政府管理、军事和社会生活越来越多地依赖计算机 网络。然而，因特网本身的开放性、跨国界等特性，在给人们带来巨大便利的同 时，也带来了一些不容忽视的网络安全问题。资源共享和信息安全是一对矛盾体， 为了解决这一问题人们提出了很多对应的网络安全方案，身份认证、权限管理和 访问控制是网络安全应用的重要内容，因此它们成为当前信息安全领域中研究的 热点。许多应用系统都需要从这方面采取相应的安全措施。 在当前的信息安全领域中，基于公钥基础设施( P m r ) 建立起来的身份认证技术 已经非常成熟，公钥基础设施P K I 向信息使用者和提供者提供了认证功能，但在通 过身份认证后，

22、用户可以做什么，或说授权领域，则没有进一步涉及。对一些大 型的组织结构来说( 比如银行机构) ，其网络结构比较复杂，应用系统比较多，如 果分别对不同的应用系统采用不同的安全策略，则管理变得越来越复杂，甚至难 以控制。不同的用户对应不同的应用系统，由于机构的网络结构比较复杂，应用 系统和用户都是分散分布的，因此对用户的访问控制和权限管理就显得非常复杂 和凌乱。机构必须要能控制“谁”能够访问机构的信剧。2 1 ，用户访问的是“什么信 息”，哪个用户被授予什么样的“权限”。一旦机构确定了权限管理和发布的方式， 访问控制系统就可以根据机构发放的权限以及定义的安全策略控制用户访问，保 护应用系统。然而，

23、过去在权限生命周期管理，权限的表达和权限管理方式方面 没有更成熟更实用的成果，权限管理方案发展相对滞后。为了解决这个问题 P M I ( P r i v i l e g eM a n a g e m e n tI n f r a s t r u c t u r e ) 权限管理基础设施应运而生。 权限管理基础设施P M I 是国家信息安全基础设施( N a t i o n a lI n f o r m a t i o n S e c u r i t yI n f r a s t r u c t u r e ，N I S I ) 的一个重要组成部分，目标是向用户和应用程 序提供授权管理服务，提供

24、用户身份到权限的映射功能，提供与实际处理模式相 对应的、与具体应用系统开发和管理无关的授权和访问控制机制，简化具体应用 系统的开发与维护。 与权限管理发展滞后相反，近几年在访问控制领域也即授权服务领域，已经 十分成熟，在过去的研究和应用中已经获得了很多成果，建立了我们目前主要使 用的D A C ，A C L ，M A C ，R B A C 访问控制模型，其中A C L 和M A C 得到了最普遍的应用。目 前，R B A C 模型也已经比较成熟，支持了最新的应用。 权限管理作为P K I 的一个领域得到了快速的发展，人们已经意识到需要超越当 2 基于R B A C 的P M I 体系的构建及其

25、应用 前P K I 提供的身份验证和机密性，步入授权验证的领域。近几年建立在属性证书( A C ， A t t r i b u t eC e r t i f i c a t e ) 的P M I 得到了广泛的研究，尤其将其与最新的访问控制 理论基于角色的访问控制( R B A C ) 结合。 1 2 国内外研究现状 总的来说，P K I 是建立在公钥密码系统的基础之上的，用来给各种需要安全保 证的用户提供保密性、完整性、真实性以及不可否认性安全服务的一种解决方案。 权限管理作为P K I 的一个领域得到了快速的发展。 在过去的六年中，权限管理作为安全的一个领域得到快速发展，也提出了几 种权限管

26、理方案，如K e r b e r o s ，基于策略服务器方案，但目前应用和研究的热点集 中于基于P K I 的P M I 研究。在P K I 得到较大规模应用以后，人们已经认识到需要超 越当前P K I 提供的身份验证和机密性，步入授权领域，提供信息环境的权限管理将 成为下一个主要目标。P M I 实际提出了一个新的信息保护基础设施，能够系统地建 立起对认可用户的授权。建立在P K I 基础上的P M I ，对权限管理进行了系统的定义 和描述，已经将权限管理研究推到了应用前沿。 关于权限管理和访问控制已经有了很多相关的标准【1 1 。1 9 9 5 年，发布了访问控 制的标准框架( I S

27、O I E C1 0 1 8 1 3 1 r r o - TR e x ：X 8 1 2 ) 4 3 1 ，它主要定义了访问控制的 基本概念，定义了通用的访问控制服务和机制，定义了访问控制服务和机制的协 议功能需求，定义了访问控制的管理需求，阐明了访问控制服务和机制与其他安 全服务和机制的相互作用关系。 在1 9 9 7 年X 5 0 9 ( v 3 ) 脚】中定义了基本的属性证书语法( 属性证书第1 版本) ， 在2 0 0 0 年发布的X 5 0 9 ( w ) 1 4 4 l 中定义了P M l 的框架结构，其中定义了扩展属性证 书的语法( 第2 版) ，定义了P M I 模型，规定了委

28、托路径处理，定义了标准P M I 扩 展集，并增加了目录服务对象定义。 2 0 0 0 年O p e nG r o u p 提出了授权A P I ( A Z NA P I ) ，定义了标准应用编程接口， 用来实现访问控制体系结构符合I S O I E C1 0 1 8 1 3 1 r r u - TR e e X 8 1 2 规定的系统。 2 0 0 0 年N I S T ( N a t i o n a lI n s t i t u t eo fS t a n d a r d sa n dT e c h n o l o g y ) 发布了基于角 色的访问控制建议标准，定义了R B A C (

29、R o k - - B 勰e dA c c e s sC o n t r 0 1 ) 的参考模 型。 关于P M I 的标准正在制定当中，I E T F 正在进行的P E R M I S ( P r i v i l E g ea n dR o l e M a n a g e m e n tI n f r 够t m c t u r cS t a n d a r d sV a l i d a t i o n ，权限和角色管理基础设施标准验 证) 项目，并计划推出P E R M I SA P I 的标准和相关的R F C 。R S A 已提出了I E T F 草案 A nI n t e r n e

30、tA t t r i b u t eC e r t i f i c a t eP r o f i l ef o rA u t h o r i z a l 【i o n 第一章绪论 3 ( d r a f t - i e t f - p k i x - a c S 0 9 p r o f ) 国外已经有了P M I 相关的产品，如E n t r u s t ：S e c u r eC o n t r o l 国内对P M I 的研究已经开始，也已经有类似的产品出现，但是还没有相应的 应用实例。国内的有些公司，例如：吉大正元信息技术股份有限公司的J I T S S O 在P M I 的产品探索和研

31、究上进行了一定的工作。该产品中使用了基于角色的权限 管理模型，集中地进行权限管理，支持资源信息的自动获取，并具有完善的审计 功能。 现阶段基于角色的P M l 在权限管理和访问控制领域是研究的热门，国内外学者 在这方面做了不少理论研究，其理论也趋于成熟。 1 3 论文结构 本文针对P M I 理论及应用进行研究，论文的结构如下： 第一章绪论。简述了论文中的研究背景、研究意义和所完成的工作等基本情 况。 第二章P M I 基本介绍。简单介绍了P I G 基本原理，概述了P M I 系统的组成、属 性证书格式、基本模型以及P M I 与P I G 对比。 第三章访问控制。本章首先简单介绍了两种访问

32、控制自主访问控制和强制访 问控制，重点介绍了基于角色的访问控制。其次介绍了访问控制的一般框架。 第四章基于R B A C 的P W I 体系构建( I L A P M I ) 。这一章是本文的重点，首先介绍 了X 5 0 9 属性证书的扩展，引入角色特性，在改进P M I 三种基本模型的基础上，给 出了一种P M I 模型即基于角色的授权模型R B A M 。结合P I G 、访问控制框架、R B A M 建了基于R B A C 的P M I 体系R A P M I ，并讨论R A P M I 的实现流程和策略规则，最后总 结R A P M I 的特点。 第五章R A P M I 在网上银行的

33、应用。本章将R A P M I 体系应用到网上银行，结合 现行网上银行的特点，定义了网上银行用户的角色，构建了R A P M I 网上银行总体 应用模型，在第四章给出的R A P M I 体系授权访问策略基础上，简单描述了R A P M I 在网上银行应用的授权访问策略的x M 晾示。 1 4 论文所做工作 论文以基于角色的P M I 为研究的基础，结合现有P K I 在银行系统的广泛应用， 作了进一步的研究和应用，论文所做的主要工作有： 一提出基于角色的授权模型R B A M ，并给出其形式化描述和优点； 二建立了一种基于R B A M 模型的P M I 体系R A P M I ，设计了R

34、A P M I 体系框架、实现过 4 基于R B A C 的P M I 体系的构建及其应用 程和实现流程； 三基于R A P M I 体系提出统一的授权和访问控制策略，并基于X M L 描述策略规范； 四理论联系实践，分析P K I 技术在网上银行领域应用的现状和不足，将R A P M I 体系应用到网上银行系统，给出其网络安全环境下的应用模型，用X M L 表示了 其授权访问策略。分析了应用的可行性。 第二章P M I 基本介绍 第二章P M I 基本介绍 2 1 网络基础设施 5 在电子通信网络中，凡是用以连接不同的计算机，使之可以互联互通的一切 基础元素都属于网络基础设施的概念 3 1

35、，它是包括所有的硬件、软件、人员、策略 和规程的总和。如果观察一下现在随处可见的无线应用，比如手机、寻呼机、P D A 等，这些移动设备同样组成了无线的分布网络，它们所需要的基站、无线网桥， 甚至卫星等，也同样属于基础设施范畴。 2 1 1 安全基础设施的概念 安全基础设施必须依照同样的原理，同样提供基础服务，也就是说要具有普遍 性。它为整个组织提供的是保证安全的基本框架，并且可以被组织内任何需要安 全的应用和对象使用。安全基础设施的“接入点”必须是统一的、便于使用的( 就像 U S B 接口一样) 。只有这样，那些需要使用这种基础设施的对象在使用安全服务时， 才不会遇到太多的麻烦。具有普适性

36、的安全基础设施首先应该是适用于多种环境 的框架。安全基础设施能够保证应用程序增强数据和资源的安全，保证增强与其 他数据和资源进行交换中的安全。 2 2 1P K I 的定义 2 2 公钥基础设施P K I 基本原理 P K I 是“P u b l i cK e yI n f r a s t r u c t u r e ”的缩写 2 3 1 ，意为“公钥基础设施”。简单地说， P K I 技术就是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全 基础平台的技术和规范。是建立在公钥密码体制上的信息安全基础设施，为应用 提供身份认证、加密、数字签名、时间戳等安全服务。公钥体制是目前应用最广

37、 泛的一种加密体制，在这一体制中，加密密钥与解密密钥各不相同，发送信息的 人利用接收者的公钥发送加密信息，接收者再利用自己专有的私钥进行解密。这 种方式既保证了信息的机密性，又能保证信息具有不可抵赖性。目前，公钥体制 广泛地用于C A 认证、数字签名和密钥交换等领域。 公钥基础设施( P K I ) 是信息安全基础设施的一个重要组成部分，是一种普遍适 用的网络安全基础设施。P K I 是2 0 世纪8 0 年代由美国学者提出来了的概念，实际上， 授权管理基础设施、可信时日J 戳服务系统、安全保密管理系统、统一的安全电子 政务平台等的构筑都离不开它的支持。数字证书认证中心c A 、审核注册中心

38、R A ( R c g i s t r a t i o nA u t h o r i t y ) 、密钥管理中心K M ( K c yM a n a g e r ) 都是组成P K I 的关键组 6 基于R B A C 的P M I 体系的构建及其应用 件。作为提供信息安全服务的公共基础设施，P K l 是目前公认的保障网络社会安全 的最佳体系。 2 2 2P K I 的内容 使用基于公钥技术系统的用户建立安全通信信任机制的基础是：网上进行的任 何需要安全服务的通信都是建立在公钥的基础之上的，而与公钥成对的私钥只掌 握在他们与之通信的另一方。这个信任的基础是通过公钥证书的使用来实现的。 公钥证

39、书就是一个用户的身份与他所持有的公钥的结合，在结合之前由一个可信 任的权威机构c A 来证实用户的身份( 该c A 可根据国情和实际情况由职能部门或法 律部门建立) ，然后由其对该用户身份及对应公钥相结合的证书进行数字签名，以 证明其证书的有效性。P I G 必须具有权威认证机构C A 在公钥加密技术基础上对证 书的产生、管理、存档、发放以及作废进行管理的功能，包括实现这些功能的全 部硬件、软件、人力资源、相关政策和操作程序，以及为P K I 饲g 系中的各成员提供 全部的安全服务。 一个标准的P I G 域必须具备以下主要内容： ( 1 ) 认证机构C A ( C e r t i f i c

40、 a t eA u t h o r i t y ) C A 是P K I 的核心执行机构，是P I G 的主要组成部分，业界人士通常称它为认证 中心。从广义上讲，认证中心还应该包括证书申请注册机构R A ( R e g i s t r a t i o n A u t h o r i t y ) ，它是数字证书的申请注册、证书签发和管理机构。C A 的主要职责包括： 验证并标识证书申请者的身份。对证书申请者的信用度、申请证书的目的、身份 的真实可靠性等问题进行审查，确保证书与身份绑定的正确性。确保c A 用于签名 证书的非对称密钥的质量和安全性。为了防止被破译，C A 用于签名的私钥长度必 须足

41、够长并且私钥必须由硬件卡产生，私钥不出卡。 ( 2 ) 证书和证书库 证书是数字证书或电子证书的简称，它符合x 5 0 9 标准，是网上实体身份的证 明。证书是由具备权威性、可信任性和公正性的第三方机构签发的，因此，它是 权威性的电子文档。 证书库是C A 颁发的证书和证书撤销列表( C e r t i f i c a t eR e v o c a t i o nL i s t ，简称 C R L ) 的集中存放地，它像网上的“白页”一样，是网上的公共信息库，可供公众进 行开放式查询。由于证书和证书撤销列表的不可伪造性，所以可在数据库中公布， 无须任何形式的要求来保护这些证书。 在L D A

42、P ( L i g h t w e i g h tD i r e c t o r yA c c e s sP r o t o c o l ，轻型目录访问协议) 尚未出 现之前，通常是由各应用程序使用各自特定的数据库来存储证书及C R L ，并使用 第二章P M I 基本介绍 7 各自特定的协议实现访问。这种方案有很大的局限性，因为数据库和访问协议的 不兼容性，限制了人们无法使用其他应用程序实现对证书的访问。I _ D A Y 作为一种 标准的开放协议，很好的解决了上述问题，L D A P 目录服务支持分布式存放，这将 是任何一个大规模的P I G 系统成功实施的关键，也是创建一个有效的认证机构

43、C A 的关键技术之一。 ( 3 ) 密钥备份及恢复 密钥备份及恢复是密钥管理的主要内容，用户由于某些原因将解密数据的密 钥丢失，从而使已被加密的密文无法解开。为避免这种情况的发生，P l ( I 提供了密 钥备份与密钥恢复机制：当用户证书生成时，加密密钥即被C A 备份存储；当需要 恢复时，用户只需向c A 提出申请，C A 就会为用户自动进行恢复。 “) 密钥和证书的更新 ( 5 ) 证书历史档案 ( 6 ) 客户端软件 交叉认证 P K I 的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字 签名等。 2 2 3X 5 0 9 公钥证书 X 5 0 9 证书C A 所颁发数

44、字证书中应用范围最广泛的一种证书。x 5 0 9 证书是国， 际电信联盟电信( u T ) 部分标准以及国际标准化组织( 1 S O ) 的证书格式标准 1 4 ，5 1 。X 5 0 9 证书是随P I G 的形成而新发展起来的安全机制，当前版本是X 5 0 9v 3 ， 相对于以前的版本，( 注：X 5 0 9v 4 版本提出属性证书) ，它加入了扩展字段网， 极大地增进了证书的灵活性。X 5 0 9 证书支持身份的鉴别和识别、完整性、保密性 既不可否认性等安全服务。 X 5 0 9 标准给出了公钥证书格式的定义，如图2 1 所示【6 】 由图可知，每一个证书都有定义好的标准字段： 版本信

45、息：证书版本号，X 5 0 9 证书至今已有4 种版本。 证书序列号：特定C A 颁发的每一个证书都有一个唯一的序列号。 签名算法标识符：签名字段由算法标识符和相应参数组成，用以标识证书签 名所使用的算法，典型的取值是m d 5W i t hR S A E n c r y p t i o n ，表明先用m d 5 摘要算法 对证书内容进行散列，然后使用R S A 公钥对该散列值进行加密，形成证书的数字 签名。 发行者名称：证书的发行机构名称，即签发该证书的C A 的名称。 有效期：证书的有效期，定义证书的有效期起始时间和终止时间。 8 基于R B A C 的P M l 体系的构建及其应用 证书

46、持有者的名称；证书主体，也就是持有证书的终端实体的名称； 证书持有者的公开密钥信息：主体的公钥信息，由公钥算法、参数和主体的 公钥组成； 发行者唯一标识符：由于签发者名称有出现重复的可能，因此该字段用于唯 证书持有者 版本信息 证书序列号 算法 参数 发行者名称 起始时间 终止时间 证书持有者的名称 算法 ：密钥：嚣： 发行者惟一标识符 证书持有者的惟一标识符 扩展 算法 ，萎数 加密 一 * 蛏 N * 疆 ：蘧羹 n * 蛏 图2 1X 5 0 9 公钥证书格式 一标识签发者。该字段可选，只有在v 2 及以后版本中使用。 证书持有者的唯一标识符：主体唯一标识符，由于主体名称有出现重复的可

47、能，因此该字段用于唯一标识证书主体。该字段可选，只有在v 2 及以后版本中使 用。 扩展：证书扩展域，由扩展字段m 以及一个标志位c r i t i c a l 组成。在不改变证书 格式的前提下，允许在证书中加入各种不同的扩展信息从而增加证书功能。标志 位的作用是指示该扩展是否为关键扩展，当它为真的时候，表明该扩展必须被处 理；如果为假，则该字段可以被忽略。标准扩展在X 5 0 9 中进行了详细定义，具体 内容见X 5 0 9 标准协议。另外，任何组织还可以定义自己的私有扩展。 签名：发行证书的C A 的签名。一份有效的证书必须包括C A 的签名，用以证明 用户和其拥有的公钥是经过认证了的，是

48、可信的。C A 使用签名字段中标识的签名 第二章P M I 基本介绍 9 算法对整个证书数据结构进行签名，并把签名数据保存在数字证书中。 正是由于哺i 准”的存在，一份有效的X 5 0 9 证书可以用于其他任何符合X 5 0 9 标准的应用。X 5 0 9 公钥证书由P K I 的核心组件c A 签发，用以证明证书持有者与证 书中包含的公钥的对应关系。 2 3 权限管理基础设施原理和内容 2 3 1P M I 的提出 传统的应用系统通常是通过使用用户名和口令的方式来实现对用户的访问控 制的，而对权限的控制是每个应用系统分别进行的，不同的应用系统分别针对保 护的资源进行权限的管理和控制，这种方式

49、存在一些缺点。同时，又因为不同系 统的设计和实施策略不同，导致了同一机构内存在多种权限管理的现状。目前， 缺乏有效的权限管理带来了以下问题【1 l = 1 权限管理混乱 对一个机构而言，数据和人力资源都是统一的。但是由于系统设计的原因， 可能同时对相同的人员采用不同的管理方式，对机构内的共享数据采用了不同的 权限分配策略，这显然不合理，也不利于对机构资源的管理。 2 带来系统的不安全因素 不同的权限管理策略产生的安全强度是不同的。这就可能造成机构信息安全 管理的漏洞，因此入侵者就有可能瞄准那些权限管理相对不安全的系统进行集中 攻击，这就给机构资源的安全性带来极大的危害。 3 权限管理依赖于访问控制应用 权限的赋予和撤销往往都是在访问控制应用中产生的，不同的访问控制应用 之间尽管有相同的用户和授权策略却往往不能互相使用对方产生的权限。每个应 用都要维护自己的用户信息和授权方法，权限无法在分布的应用中和远程应用中 使用。 4 资源所有者没有权限