PKI Guide 2001

1. AKA安全沙龙：PKI漫谈
PKI 漫谈
Kevin Wang

2. 第 0 章 绪论

3. §0.1 What’s PKI?
 PKI ， Short for Public Key Infrastructure.
 PKI 正在快速地演进中，从不同的角度出发，
有不同的定义 .
 PKI 是一个用公钥概念和技术来实施和提供安
全服务的具有普适性的安全基础设施 .

4. PKI 的组成

5. §0.2 PKI 基础
 公钥密钥学 (Public Key Cryptography)
公钥密码学解决的核心问题是密钥分发 .
 目录服务 (Directory Services)
目录服务的目的是建立全局 / 局部统一的命令
方案 .
 数字证书 (Digital Certificate)

6. 密码学与信息安全
 信息的私密性 (Privacy)
对称加密
 信息的完整性 (Integrity)
数字签名
 信息的源发鉴别 (Authentication)
数字签名
 信息的防抵赖性 (Non-Reputation)
数字签名 ＋ 时间戳

7. §0.3 PKI 的由来
 信任管理
从根本上讲， PKI 是表示和管理信任关系的工
具;
 数字化、电子化社会的基础之一
在数字化社会中，实体间建立信任关系的关键
是能彼此确定对方的身份；

8. 互联网困境

9. §0.4 PKI 进展
 标准化进展
IETF PKIX 、 SPKI Workgroup ； NIST ， DOT
(Department of the Treasury) ； TOG (The Open
Group) ； and others (include WAPForum, etc)
 产品与工程
From Pilot Projects to Practices, Various Vendors
and Products
 PKI 应用
MS Outlook/Netscape Messanger (S/MIME),
IE/Navigator (SSL/TLS), PGP

10. PKI – Queensland’s Toad?

11. 第 1 章 密码学

12. §1.1 密码学的历史与发展
 密码学的演进
单表代替－ > 多表代替－ > 机械密 ( 恩格玛 )
－ > 现代密码学 ( 对称与非对称密码体制 ) － >
量子密码学
 密码编码学和密码分析学
 应用领域
军事，外交，商业，个人通信，古文化研究等

13. §1.2 传统密码学
 历史悠久，最古老与最现代的密码学
 基本特点：加密和解密采用同一个密钥
let C = Cipher text, P = Plain text, k is key, E()/D()
is the encryption/decryption function, then
C=E(P, k), P=D(C, k)
 基本技术
替换 / 置换和移位

14. DES
 DES 是第一个得到广泛应用的密码算法；
 DES 是一种分组加密算法，输入的明文为 64
位，密钥为 56 位，生成的密文为 64 位；
 DES 是一种对称密码算法，源于 Lucifer 算法
，其中采用了 Feistel 网络 (Feistel Network) ，
即 Li = Ri −1
Ri = Li −1 ⊕ f ( Ri −1 , K i )
 DES 已经过时，基本上认为不再安全；
http://dir.yahoo.com/Computers_and_Internet/Security_and_E

15. IDEA
 Xuejia Lai 和 James Massey 提出；
 IDEA 是对称、分组密码算法，输入明文为 64
位，密钥为 128 位，生成的密文为 64 位；
 IDEA 是一种相对较新的算法，虽有坚实的理
论基础，但仍应谨慎使用 ( 尽管该算法已被证
明可对抗差分分析和线性分析 ) ；
 IDEA 是一种专利算法 ( 在欧洲和美国 ) ，专利
由 Ascom-Tech AG 拥有 ;
 PGP 中已实现了 IDEA ；

16. RC 系列
 RC 系列是 Ron Rivest 为 RSA 公司设计的一系
列密码 ：
 RC1 从未被公开，以致于许多人们称其只出现在 Rivest
的记事本上；
 RC2 是变长密钥加密密法； (RC3 在设计过程中在
RSADSI 内被攻破 );
 RC4 是 Rivest 在 1987 年设计的变长密钥的序列密码；
 RC5 是 Rivest 在 1994 年设计的分组长、密钥长的迭代
轮数都可变的分组迭代密码算法；
 DES(56),RC5-32/12/5, RC5-32/12/6,RC-32/12/7 已
分别在 1997 年被破译；

17. AES Candidate 和 Rijndeal
 AES 评选过程
 最后的 5 个候选算法： Mars, RC6, Rijndael,
Serpent, and Twofish
 Rijndael 算法的原型是 Square 算法，其设计策
略是宽轨迹策略 (Wide Trail Strategy) ，以针对
差分分析和线性分析；
 Rijndael 是迭代分组密码，其分组长度和密钥
长度都是可变的；为了满足 AES 的要求，分组
长度为 128bit ，密码长度为 128/192/256bit ，相
应的轮数 r 为 10/12/14 。

18. Summary
 DES 是应用最广泛的对称密码算法 ( 由于计算
能力的快速进展， DES 已不在被认为是安全的
)；
 IDEA 在欧洲应用较多；
 RC 系列密码算法的使用也较广 ( 已随着 SSL
传遍全球 );
 AES 将是未来最主要，最常用的对称密码算法
；

19. §1.3 公钥密码学
 Whitefield Diffie ， Martin Hellman ，《 New
Directions in Cryptography 》 ,1976
 公钥密码学的出现使大规模的安全通信得以实
现 – 解决了密钥分发问题；
 公钥密码学还可用于另外一些应用：数字签名
、防抵赖等；
 公钥密码体制的基本原理 – 陷门单向函数
(troopdoor one-way function)

20. RSA
 Ron Rivest, Adi Shamir 和 Len Adleman 于 1977
年研制并于 1978 年首次发表；
 RSA 是一种分组密码，其理论基础是一种特殊
的可逆模幂运算，其安全性基于分解大整数的
困难性；
 RSA 既可用于加密，又可用于数字签名，已得
到广泛采用；
 RSA 已被许多标准化组织 ( 如
ISO 、 ITU 、 IETF 和 SWIFT 等 ) 接纳；
 RSA-155(512 bit), RSA-140 于 1999 年分别被分

21. RSA (cont.)
设 n 是两个不同奇素数之积，即 n = pq ， 计算
其欧拉函数值 Φ(n)=(p-1)(q-1).
随机选一整数 e,1≤e<Φ(n), (Φ(n),e)=1.
因而在模 Φ(n) 下 ,e 有逆元
d = e −1 mod(n)
取公钥为 n,e, 秘密钥为 d.(p,q 不再需要，
应该被舍弃，但绝不可泄露 )
Ek ( x) = x e mod n, x ∈ Z n
定义加密变换为
解密变换为 y ) = y d mod n, y ∈ Z n
Dk (

22. DH/DSA
 Diffie-Hellman(DH) 是第一个公钥算法，其安全
性基于在有限域中计算离散对数的难度；
 DH 可用于密钥分发，但不能用于加 / 解密报文
；
 DH 算法已得到广泛应用，并为许多标准化组
织 (IETF 等 ) 接纳；
 DSA 是 NIST 于 1991 年提出的数字签名标准
(DSS), 该标准于 1994 年 5 月 19 日被颁布；
 DSA 是 Schnorr 和 Elgemal 签名算法的变
型 ,DSA 只能用于数字签名不能用于加密；

23. Elgemal
 Elgemal 于 1985 年基于离散对数问题提出了一
个既可用于数字签名又可用于加密的密码体制
； ( 此数字签名方案的一个修改被 NIST 采纳为
数字签名标准 DSS)
 Elgemal,Schnorr 和 DSA 签名算法都非常类似。
事实上，它们仅仅是基于离散对数问题的一般
数字签名的三个例子。

24. Summary
 RSA 是最易于实现的；
 Elgemal 算法更适合于加密；
 DSA 对数字签名是极好的，并且 DSA 无专利
费，可以随意获取；
 Diffie-Hellman 是最容易的密钥交换算法；

25. §1.4 单向杂凑 (Hash) 函数
 杂凑 (Hash) 函数是将任意长的数字串 M 映射
成一个较短的定长输出数字串 H 的函数，我们
关心的通常是单向杂凑函数；
 强单向杂凑与弱单向杂凑 – ( 无碰撞性
collision-free) ；
 单向杂凑函数的设计理论
 杂凑函数除了可用于数字签名方案之外，还可
用于其它方面，诸如消息的完整性检测、消息
的起源认证检测等
 常见的攻击方法

26. MD 系列
 Ron Rivest 设计的系列杂凑函数系列 :
 MD4[Rivest 1990, 1992, 1995; RFC1320]
 MD5 是 MD4 的改进型 [RFC1321]
 MD2[RFC1319], 已被 Rogier 等于 1995 年攻破
 较早被标准化组织 IETF 接纳，并已获得广泛
应用
 安全性介绍

27. SHA 和 SHA-1
 NIST 和 NSA 为配合 DSS 的使用，设计了安全
杂凑标准 (SHS) ，其算法为 SHA[FIPS PUB
180] ，修改的版本被称为 SHA-1[FIPS PUB
180-1]
 SHA/SHA-1 采用了与 MD4 相似的设计准则，
其结构也类似于 MD4 ，但其输出为 160bit
 目前还没有针对 SHA 有效的攻击

28. RIPE-MD
 欧共体的 RIPE[RACE 1992] 计划下开发的杂凑
算法，为 MD4 的变型，是针对已知的密码攻
击而设计的，杂凑值为 128bit;
 RIPE-MD 的改进型为 RIPEMD-160 ；

29. HMAC
 HMAC 是利用散列函数计算报文鉴别码
值
HMAC 能够证明嵌入散列函数提供的安
全性有某些合理的密码分析强度

30. SHA 与 MD4 和 MD5 的比较
MD4 SHA MD5
Hash 值 128bit 160bit 128bit
分组处理长 512bit 512bit 512bit
基本字长 32bit 32bit 32bit
步数 48(3*16) 80(4*20) 64(4*16)
消息长 ≤2^64bit 2^64bit 不限
基本逻辑函 3 3( 第 2,4 轮相 4
数
常数个数 3 同)
4 64
速度 约为 MD4 的 约为 MD4 的
3/4 1/7

31. §1.5 各种算法的特点
 对称密码算法
加 / 解密速度快，但密钥分发问题严重
 非对称密码算法
加 / 解密速度较慢，但无密钥分发问题
 杂凑函数
计算速度快，结果长度统一

32. §1.6 进一步的读物
 Bruce Schneier, 《 Applied Cryptography: Protocols,
algorithms and source code in C 》 ,1996
 Simon Singh, 《 The Code Book 》 ,1999
 冯登国，裴定一 , 《密码学导引》 , 科学出版社 , 1999
 王育民，刘建伟 , 《通信网的安全 -- 理论与技术》 ,
西安电子科技大学出版社 , 1999
 梁晋，施仁，王育民等 , 《电子商务核心技术 – 安
全电子易协议的理论与设计》 ,2000
 William Stallings 著，杨明，胥光辉，齐望东等译 , 《
密码编码学与网络安全：原理与实践 ( 第二版 ) 》 , 电
子工业出版社， 2001

33. 第 2 章 X.500 目录服务和数
字证书

34. §2.1 概述
 证书和证书吊销列表 (CRL) 的存储 ( 主要针
对 X.509 格式来说 ) 是 X.500 和目录服务标
准的主题

35. §2.2 X.500 目录服务
 X.500, ITU-T Recommendation: The Directory –
Overview of Concepts and Models.
 X.500 目录服务是一个高度复杂的信息存储机
制，包括客户机 - 目录服务器访问协议、服务
器 - 服务器通信协议、完全或部分的目录数据
复制、服务器链对查询的响应、复杂搜寻的过
滤功能等 .
 X.500 对 PKI 的重要性 .

36. §2.3 X.509 数字证书
 X.509, ITU-T Recommendation: Information
Technology – Open System Interconnection – The
Directory: Authentication Framework
 X.509 是 X.500 标准系列的一部分，在 PKI 的发
展中， X.509 起到了无可比拟的作用 .
 X.509 定义并标准化了一个通用的、灵活的证
书格式 .
 X.509 的实用性来源于它为 X.509 v3 和 X.509 v2
CRL 定义的强有力的扩展机制 .

37. §2.4 LDAP 协议
 LDAP, Lightweight Directory Access Protocol.
 LDAP 的发展
LDAP v1, v2, v3, ldapbis, ldapext, ldup

38. 第 3 章 PKI 及其构件

39. §3.1 综述
 PKI 是生成、管理、存储、分发和吊销基于公
钥密码学的公钥证书所需要的硬件、软件、人
员、策略和规程的总和。
 PKI 的构件， PKI 的安全策略

40. §3.2 PKI 构件
 A PKI includes the following components:
CA, RA, Directory, EE, PKI-enabled Applications,
Certificate Status Checking
 PKI 构件及证书生命周期 ( 接下页 )

41. PKI 构件与证书生命周期 ( 接上页
)

42. PKI 实体

43. 常见的信任模型

44. VeriSign PKI 层次图

46. §3.3 PKI 运作与 CPS
 CPS 是 CA 在发行公钥证书时使用的实践
(practice, 惯例 ) 的声明，统率 PKI 的整体运作
 RFC2527 - Certificate Policy and Certification
Practices Framework
 VeriSign, Entrust, DoD PKI, SHECA, CFCA etc.

47. VeriSign CPS 处于中心角色

48. §3.4 PMI 与 TSA
 PMI, 即 Privilege Management Infrastructure, 在
ANSI, ITU X.509 和 IETF PKIX 中都有定义
特权管理服务 (PKI Based) 依赖于策略，所谓策
略就是将实体、组和角色与相应的特权进行映
射 ( 如 列出实体名称或角色被允许还是禁止的
权限 ).
 TSA, 即 Time Stamp Authority[RFC3162, Time-
Stamp Protocol]
TSA 是一个产生时间戳记号的可信第三方，该
时间戳记号用以显示数据在特定时间前已存在

49. 特权管理基础设施机制
 实现特权管理基础设施 (PMI) 有很多机制
，大致可以分为三类：
基于 Kerberos 基于策略服务器 基于属性证书
原理 对称密码技术 有一个中心服务器 , 创建 AC ， PKI
、维护和验证身份、组和
优点 性能诱人 角色
控制高度集中，单点管理 完全分布处理，
具有失败拒绝的
缺点 不便于密钥管理 容易成为通信的瓶颈 优点
性能不高 ( 原因是
，单点失败 基于公钥的操作 )
适用环境 有大量的实时事 是地理上在一起的实体环 是需要支持不可
务处理环境中的 境的最好选择，有很强的 否认服务的授权
授权 中心管理控制功能 的最佳选择
其它 RFC1510, 实现有
DCE, SESAME

50. 第 4 章 PKI 实践 – 技术
问题

51. §4.1 数字证书
 证书与数字证书
Loren M. Kohnfelder, 1978 (bachelor thesis)
 数字证书的用途
Authentication, Authorization and Authority
Delegation
 常见的数字证书格式
X.509, PGP, SDSI/SPKI, X9.59(AADS), AC,
Others

52. X.509 数字证书 (VeriSign)

53. §4.2 证书验证与证书生命周期
 证书有效性或可用性验证
 密钥 / 证书生命周期
初始化阶段：终端实体注册 -> 密钥对产生 ->
证书创建和密钥 / 证书分发，证书分发，密钥
备份
颁发阶段：证书检索，证书验证，密钥恢复，
密钥更新
取消阶段：证书过期，证书恢复，证书吊销，
密钥历史，密钥档案

54. Cert Lifecycle in VeriSign CPS

55. §4.3 交叉认证
 交叉认证是把以前无关的 CA 连接在一起的机
制
 交叉认证可以是单向的，也可以是双向的
 不同的交叉认证信任模型
Subordinated Hierarchy ， Cross-certified
Mesh ， Hybrid ， Bridge CA ， Trust Lists etc.
 域内交叉认证，域外交叉认证
 约束
名字约束，策略约束，路径长度约束

56. §4.4 标准化 (PKIX 文档概况 )
 概貌 (Profiles) – RFC2459
 运作协议 – RFC2559, RFC2560, RFC2585, etc.
 管理协议 – RFC2510, RFC2511, RFC2797, etc.
 策略概要 (Policy Outline) – RFC2527
 时间戳、数据验证和数据认证服务 –
RFC3029, RFC3161
Time-Stamp, Data Verification, and Data
Certification Services

57. §4.5 互操作
 MISPC, Minimum Interoperability Specifications
for PKI Components
http://csrc.nist.gov/pki/mispc/welcome.html
 PKI Forum
http://www.pkiforum.org/

58. 第 5 章 PKI 实践 – 非技术问
题

59. §5.1 CP 与 CPS
 CP, Certificate Policy
定义了一个用户对其它用户数字证书信任的程
度
 CPS, Certification Practice Statement
人们与组织根据 CA 的 CPS 来确定他们对该
CA 的信任程度
 RFC 2527
Internet X.509 Public Key Infrastructure
Certificate Policy and Certification Practices
Framework

60. PKI 的安全策略
 Certification Practice Statement
 证书政策
 责任与其它法律考虑

61. §5.2 运作考虑
 客户端软件
 在线需求与离线运作
 物理安全
 硬件部件
 用户密钥的威胁
 灾难恢复

62. §5.3 PKI 涉及到的法律问题
 数字签名的法律状况
 PKI 的法律框架
许可权，角色与责任，私有 PKI( 企业 PKI)
 密码管理政策与法规 ( 不同的密码管理政策 )

63. 第 6 章 PKI 应用

64. §6.1 SSL/TLS
 由 Netscape ， IETF TLS 工作组开发
 SSL/TLS 在源和目的实体间建立了一条安全通道 ( 在传
输层之上 ) ，提供基于证书的认证、信息完整性和数
据保密性
 SSL 体系结构： SSL 协议栈
SSL 握手 SSL 修改 SSL 告警 HTTP
协议 密文协议 协议 协议
SSL 记录协议
TCP
IP

65. §6.2 S/MIME & PGP
 PGP, Phil Zimmerman, 1991
 PGP 的操作描述、加密密钥和密钥环、公开密钥管理
 RFC2440 ，
 S/MIME
 RFC822 -> MIME -> S/MIME v2, v3
 S/MIME 的功能
 S/MIME 证书的处理
 S/MIME 增强的安全服务
Signed receipt ， Security Label 和 Security mailing list.

66. §6.3 IPSec
 IP 层的安全包括了 3 个功能域：鉴别、机密性
和密钥管理
 IPSec 的重要概念
鉴别报头 (AH), 封装安全有效负载 (ESP), 传输
模式 , 隧道模式 , 安全关连 (SA), 安全关连组
(SA Bundle), ISAKMP.
 IPSec ， IPv6 将使互联网 ( 尤其是网络安全 ) 发
生巨大变化

67. IPSec(Cont.)
 IPSec 安全服务
AH ESP( 只加密 ) ESP( 加密并鉴别
)
访问控制 * * *
无连接完整性 * *
数据源的鉴别 * *
拒绝重放的分组 * * *
机密性 * *
有限的通信量的机密性 * *
 IPSec 密钥管理
人工，自动， ISAKMP/Oakley

68. IPSec 文档结构概况
体系结构
ESP 协议 AH 协议
加密算法 鉴别算法
DOI
密钥管理

69. §6.4 SET
 1996 年 2 月， IBM, Microsoft, Netscape, RSA,
Terisa 和 VeriSign 开发了 SET v1( 针对
MasterCard 和 Visa 安全标准的需要而出现的
 SET 是开放的、设计用来保护 Internet 上信用
卡交易的加密和安全规范
 从本质上， SET 提供了三种服务：
 在交易涉及的各方之间提供安全的通信信道
 通过使用 X.509 v3 数字证书来提供信任。
 保证机密性，因为信息只是在必要的时候、必要的地方
才对交易各方可用
 交易过程：购买请求、支付认可和支付获取

70. §6.5 时间戳服务
 RFC3161 (TSP, Time Stamp Protocol)
 时间戳也是一种安全服务 － 可信第三方时间
戳权威 (TSA, Time Stamp Authority) 签名某信息
，为此信息在特定时间前存在提供证据
 数字签名 ＋ 时间戳 可提供不可否认服务
 TDA(Temporal Data Authority)

71. §6.6 DVCS
 RFC3029, Data Validation and Certification
Service
 DVCS 是验证提交给它的特定数据的正确性的
可信第三方

72. 第 7 章 PKI 厂商、产品及
实现

73. §7.1 著名的 PKI 厂商
 VeriSign (http://www.verisign.com/)
 Entrust (http://www.entrust.com/)
 Baltimore (http://www.baltimore.com/)
 RSA Security (http://www.rsasecurity.com/)

74. Differences between Enterprise CA And Trade CA
 Enterprise CA is a model that your company hold
everything of PKI including CA, RA, Directory Server etc.
Entrust ， Baltimore ， RSA Security, InfoSec, JIT, Koal
and NetFront etc.
 Trade CA is another model that a trusted third party (often
are PKI vendors) will manage every thing for you, but
maybe you can control the user enrollment process.
Verisign, CFCA, CTCA
 The selection between them will base on a lot things, such as
trust relationship, the control you have on the end users etc

75. §7.2 著名的 PKI 实现 (open
source)
 OpenCA Project (http://www.openca.org/)
 OSCAR PKI Project (http://oscar.dstc.qut.edu.au/)
 Jonah PKIX (http://web.mit.edu/pfl/)
 pyCA (http://www.pyca.de/)
 Mozilla Open Source PKI Project
http://www.mozilla.org/projects/security/pki/

76. §7.2 著名的密码算法 Toolkit
 OpenSSL Project (Open Source)
http://www.openssl.org/
 CDSA (Open Source)
http://developer.intel.com/ial/security/
 RSA BSAFE (Commercial Version)
http://www.rsasecurity.com/products/bsafe/index.html

77. 第 8 章 标准化进展

78. §8.1 概述
 ITU 系列标准
 IETF PKIX, SPKI etc.
 SET
 PKCS
 其它

79. 第 9 章 传统 PKI 的不足

80. 第 10 章 PKI 的新进展

81. 附录 1 信任模型

82. 附录 2 术语表

83. 附录 3 参考文献

84. 附录 4 国内的 PKI 发展情况

85. 致谢 !
 Arthur Jin (who remind me to add RC2/RC4)
 Chorus Li (who remind me to add something about
domestic PKI vendors)
 Yongtian Zhang (who spent time to review the
outline and give me his important comments)
 Frank Lau, Richard Wei, WHIZ Labs, & AKA etc.

86. Any Questions
or
Comments?