第5讲 CA系统安全

2019/10/2PKI技术2010-2011学年第1学期第5讲CA系统安全22019/10/2第5讲CA系统安全32019/10/2概述PKI/CA是安全基础设施，但CA的安全是十分重要的。CA系统在设计时必须充分考虑其安全性：•首先进行安全威胁分析；•其次设计安全策略、安全技术保障及安全管理规范。•CA系统的安全体系包括：安全策略、产品技术安全、主机安全、操作安全、人员操作安全安全、网络安全和物理环境安全。此外，还必须考虑数据级或系统级的灾难恢复技术（系统）。见P141图6-142019/10/21.物理安全和环境安全设计物理安全和环境安全是整个系统安全的基础，要把CA系统的危险降到最低，需要选择合适的设施和位置。首先，考虑电池干扰与辐射；其次，要设置放火装置；此外，还要防止恐怖犯罪及其他事故等。52019/10/22.网络安全设计由于CA系统是与互联网连接的，因此网络安全防护是至关重要的。（1）网络安全目标要求（2）CA中心的网络安全基础设施见图6-2P143（3）网络安全区域的划分：注册发布区和安全区（4）防火墙保护（5）入侵检测与漏洞扫描（6）防病毒入侵62019/10/2数据备份与恢复数据备份与恢复可以采用数据级备份和系统备份。（1）数据库数据的备份与恢复（2）目录服务器数据的恢复72019/10/2操作系统安全性CA系统中，服务器一般采用安全性较高的Unix系统；客户机一般采用Unix或Windows操作系统。82019/10/2数据库安全（1）数据库安全的目标：◇保证客户信息的安全性◇保证存储在数据库中的数据不被非法访问◇维护数据的完整性和统一性◇维护备份数据，并保护在发生异常情况时，最大限度地恢复数据◇防止数据库系统软件因可能存在的后门或其他缺陷引起用户的失秘（2）权限控制P14592019/10/2（3）数据完整性控制P145（4）数据库备份P145102019/10/2目录服务器的安全性在CA中，目录服务器负责用户与系统公用信息的发布，在安全性设计时，需要达到以下目标：（1）防止黑客对数据的篡改、删除（2）防止位授权用户对数据的篡改、删除（3）目录服务器的数据遭受到侵害，可以及时、有效地恢复数据112019/10/2CA系统安全性1.CA安全管理密钥安全管理是CA系统安全的核心。CA的密钥管理应包括：•CA中心私钥的管理2.密钥安全管理•用户密钥的安全管理（1）CA密钥管理CA的根密钥安全是至关重要的。CA密钥的安全，主要指CA的签名密钥的安全。122019/10/2①加密模块产生CA密钥的方法必须采用硬件加密模块。因为硬件加密模块属于国家安全保护产品，加密算法采用国内标准，并经过国家密码管理部门批准。这种加密模块要做到：CA私钥不出机，具有密钥存储、备份和恢复功能。密钥恢复要按规定的程序，实行多人在场、多口令控制机制。加密机必须存放在安全的地方（如六面体钢板机房、双指纹门控系统。注：加密模块本地化并非不执行国际标准，而是要求本地化模块应具有PKCS#11接口标准。132019/10/2②根密钥的产生与更新③根密钥的使用④支持的加密算法（2）用户密钥管理P147142019/10/23.通信安全CA系统与其子系统间的通信安全必须要得到保证，CA中心系统除使用SPKM（简单公钥模式）协议外，还将采用主机加密服务器的硬件手段对通信进行加密。（1）SPKM概述SPKM允许建立单方或双方的身份验证，可以为客户端和服务器端双方提供高靠性的身份认证。SPKM使用多种加密方法，如基于非对称密码算法的数字签名，比对传统对称算法、数据完整性计算的MAC方式安全；对于某些环境可以做到数字签名的不可否认性；SPKM的数据格式和处理过程比其他机制更可靠且简单；SPKM中定义的密钥管理协议完全和X.509及PEM（增强型私人邮件（PrivacyEnhancedMail）格式兼容；认证系统中各服务器之间的通信系统采用SPKM机制，可以确保通信的安全。152019/10/2（2）主机加密服务器：主要系统间的通信进行加密，做到系统全程加密通信，确保系统间通信的安全。（3）签发系统的安全签发服务器的安全：签发服务器是CA的核心，拥有最高的安全级别，尤其对安全性、可靠性和抗攻击性要求最高。主要的安全措施：P148162019/10/24.管理子系统安全性（1）管理子系统管理员（2）管理员权限等级制（3）管理系统应用安全172019/10/25.审计系统与日志安全（1）系统日志CA中心采用集中式的日志记录与管理。日志有本地日志和系统日志。CA审计是保障CA运行安全的第三道防线。（2）本地日志（3）审计子系统182019/10/26.RA注册系统的安全性（1）RA管理应用的安全策略管理员密钥的产生P150RA管理员的安全管理P151（2）RA注册服务器和CA签发服务器通信的安全192019/10/27.系统的证书申请及下载过程的安全（1）密钥生成及存储的原则（2）用户身份的识别P151用户证书发放时，通过CA向授权用户发行参考号（Ref#）和授权码（AuthCode）来识别唯一性的用户。Ref#和AuthCode由CA产生，Ref为用户参考码，起到唯一标识用户ID的作用；AuthCode为用户授权码，而且只能由Authrity通过系统私钥产生，起到口令的保护作用。使用系统私钥产生AuthCode保证了该码的不可伪造性，以及用户接受证书的唯一性。202019/10/28.CA中心数据恢复（1）数据恢复的内容P152（2）恢复方式P153212019/10/29.LDAP目录服务器的恢复•一般情况下，目录服务的内容不需要备份，但需要进行数据恢复，然后进行LDAP目录服务的恢复。222019/10/210.安全策略及安全管理•安全管理对一个CA来说是至关重要的，“三分技术七分管理”……232019/10/211.安全策略安全策略是一个组织在构建一个计算机系统时，采取安全防范、实施安全措施的指导思想，是整个系统的安全基础。是在系统安全需求的基础上，所制定的一套安全框架和安全规划，用它来规范系统安全建设。一个组织的信息安全策略是高层管理层组织制定的。（1）安全管理策略P153（2）数据安全策略P153-154（3）系统安全策略P154（4）操作安全规则P154242019/10/212.人员管理安全（1）超级管理员P155（2）系统管理员P155（3）审计管理员P156（4）注册（RA）管理员P156