非對稱密鑰體制問題研究

耿琳瑩+趙廣超+陳登偉+郭明

【摘要】 本文通過分析非對稱密鑰體制中存在的問題，提出了非對稱密鑰安全解決方案，為非對稱密鑰體制的研究提供一定的借鑒。

【關(guān)鍵詞】 非對稱密鑰 問題 安全 解決方案

隨著信息技術(shù)的廣泛應(yīng)用，信息安全已成為戰(zhàn)爭決定因素，加強(qiáng)信息安全管理、完善法規(guī)制度、創(chuàng)新技術(shù)手段，是確保信息保密性、真實(shí)性、完整性的重要途徑。非對稱密鑰體制不僅解決了傳統(tǒng)的信息加密技術(shù)中難以克服的密鑰傳送和保管問題，而且可以有效解決信息使用者的身份認(rèn)證和數(shù)字簽名問題。

一、非對稱密鑰體制

1、非對稱密鑰的定義。非對稱密鑰體制是相對傳統(tǒng)體制而言的，傳統(tǒng)密鑰體制又稱密鑰體制，用于信息加密和解密的通信密鑰完全相同，如果任何一方密鑰泄露，都必須更換所有的密鑰，因此管理的難度相對較大，而且制密的周期因管理的好壞非周期性變化。加密密鑰公之于眾，解密密鑰只有解密人自己知道，分別成為公開密鑰和私有密鑰，用公開密鑰加密的信息，只有用對應(yīng)的私有密鑰才能解開，而由公開密鑰推出私有密鑰卻是極其困難的。2、 非對稱密鑰體制架構(gòu)。非對稱密鑰體制主要由認(rèn)證中心、注冊機(jī)構(gòu)、數(shù)字證書庫、密鑰備份及恢復(fù)系統(tǒng)、證書撤銷與更新系統(tǒng)、證書策略及認(rèn)證組成[1]，它還包括一系列技術(shù)、協(xié)議和標(biāo)準(zhǔn)，還包括策略、準(zhǔn)則等管理的要求。通過這套體制來確保網(wǎng)上身份認(rèn)證、傳遞信息的保密性、完整性和信息源的不可否認(rèn)性，從而保證網(wǎng)上活動的安全可靠。3、非對稱密鑰運(yùn)行機(jī)制。在非對稱密鑰體制中實(shí)現(xiàn)數(shù)據(jù)完整性服務(wù)的主要方法是數(shù)字簽名；數(shù)據(jù)保密性服務(wù)是發(fā)送方使用接收方的公開密鑰加密，傳遞給對方，接收方使用私有密鑰將密文解密；不可否認(rèn)服務(wù)主要是客戶端在向服務(wù)端發(fā)送信息時，要將信息用自己用于簽名的私有密鑰加密，服務(wù)端接收后由于用該用戶的公開密鑰就能把明文還原出來，所以用戶無法否認(rèn)他發(fā)送了該信息，這就保證了信息的不可否認(rèn)性。

二、非對稱密鑰體制中存在的問題

1、非對稱密鑰體制中信任度呈現(xiàn)出遞減。在非對稱密鑰運(yùn)行機(jī)制中由于根CA不可能直接面對數(shù)目龐大的申請主體[2]，因此CA一般簽發(fā)證書給分支機(jī)構(gòu)，這樣隨著CA和RA的增加，在相互簽署的信任鏈上，信任度是呈現(xiàn)出遞減趨勢的，這給整個非對稱密鑰的廣泛應(yīng)用帶來了很大的局限性。比如：根CA下設(shè)二級域CA，二級域CA下設(shè)RA或三級域CA，但是在實(shí)踐中就不能等同于根CA可以99%的信任RA或三級域CA，信任鏈上逐漸呈現(xiàn)出遞減的趨勢。

2、非對稱密鑰體制并不能保證用戶身份和數(shù)字證書的完全相。CA的簽名僅能夠保證證書與簽發(fā)者的對應(yīng)關(guān)系，但不能保證證書中信息與用戶身份的完全相符[3]。用戶的身份必須通過面對面的確認(rèn)才能保證，而這依賴于身份審核員個人素質(zhì)和認(rèn)真態(tài)度，若稍有不慎，就導(dǎo)致非法用戶的入侵，很有可能導(dǎo)致嚴(yán)重的安全問題[4]。

3、非對稱密鑰體制在使用過程中對終端用戶缺乏保護(hù)。在非對稱密鑰體制結(jié)構(gòu)的分析中，可以看出根CA是整個非對稱密鑰體制系統(tǒng)的運(yùn)作核心和存儲核心，根CA中心的安全性一旦被突破，整個系統(tǒng)的保密性、真實(shí)性、完整性和不可否認(rèn)性都無法保證。而非對稱密鑰體制是建立在終端用戶本地計(jì)算的基礎(chǔ)上，需要用戶自己管理私有密鑰和證書。而終端用戶網(wǎng)絡(luò)安全意識較低，通常會選擇簡單的口令并長期使用，存儲在終端用戶計(jì)算機(jī)上的私有密鑰和證書很容易被竊取或非法篡改，并且普通用戶計(jì)算機(jī)很容易感染病毒或被種上木馬程序，此時用戶很難檢測到私有密鑰是否被泄露或盜用，以至于無法確定應(yīng)該在何時撤銷證書。

三、非對稱密鑰安全解決方案

1、完善認(rèn)證中心的管理。如果在信任鏈中能做到每一個CA的信任度為100%，則至少可以消弱信任鏈傳遞過程中信任度的加速遞減[2]。這方面需要利用完善的法規(guī)制度來約束，并加強(qiáng)CA管理者的技術(shù)和安全培訓(xùn)力度，爭取使每一個CA都能夠?qū)ψ约喊l(fā)放的每一個證書負(fù)責(zé)，確保發(fā)出證書的真實(shí)性和可靠性。2、加強(qiáng)信息安全管理。一是可對各級CA中心的物理設(shè)備安裝門禁系統(tǒng)和防電磁輻射等安全設(shè)備。二是對局域網(wǎng)內(nèi)采取劃分VIAN的方法，以消除不同安全級別的邏輯網(wǎng)段間竊聽的可能性；三是對于遠(yuǎn)程網(wǎng)，采用加密機(jī)和VPN技術(shù)保證各個區(qū)域之間的安全通道。部署基于防火墻的網(wǎng)絡(luò)訪問控制體制、分布式入侵檢測系統(tǒng)、安全路由器、網(wǎng)絡(luò)病毒防護(hù)、漏洞和缺陷掃描設(shè)備等。四是對每一臺主機(jī)都進(jìn)行主機(jī)防護(hù)，包括病毒防護(hù)、主機(jī)防火墻、主機(jī)審計(jì)等，加強(qiáng)對終端用戶網(wǎng)絡(luò)安全防護(hù)技能的培訓(xùn)。3、加強(qiáng)安全管理。一是建立綜合管理中心，負(fù)責(zé)權(quán)限的設(shè)定，網(wǎng)絡(luò)的部署和日常管理。二是健全應(yīng)急響應(yīng)機(jī)制，以便能更好的處理緊急事件、數(shù)據(jù)備份和災(zāi)難恢復(fù)。三是完善網(wǎng)絡(luò)安全審計(jì)制度，重點(diǎn)記錄系統(tǒng)內(nèi)部和網(wǎng)絡(luò)的操作，以備將來發(fā)生問題的取證和認(rèn)定工作。

參 考 文 獻(xiàn)

[1]蔣汝忠， 數(shù)字證書技術(shù)， 今日科技， 2001年3期

[2]李明 郝曉玲 張建，公開密鑰基礎(chǔ)設(shè)施體系及其缺陷分析，商業(yè)研究，2006年3期

[3]荀月鳳 王飛，PKI技術(shù)的應(yīng)用及思考，成都電子機(jī)械高等專科學(xué)校學(xué)報(bào)，2006年4期

[4]李明 郝曉玲 張嵩，公開密鑰基礎(chǔ)設(shè)施體系脆弱性及其對策分析， 哈爾濱工業(yè)大學(xué)學(xué)報(bào)， 2007年4期