密钥管理技术
现代密码体制要求密码算法是可以公开评估，整个密码系统的安全性并不取决对密码算法的
保密或者是对密码设备等的保护，决定整个密码体制安全性的因素是密钥的保密性。
密钥管理是密码学保障机密性、数据源认证、数据完整性和数据签名等技术的基础。
密钥的管理水平直接决定了密码的应用水平。
密钥管理的层次结构
密钥分类
按照密钥的生存周期、功能和保密级别划分密钥：
- 会话密钥：在一次通信或数据交换中，用户之间所使用的密钥，是由通信用户之间进行协商得到的
- 密钥加密密钥：一般是用来对传输的会话密钥进行加密时采用的密钥，又称为次主密钥或者二级密钥
- 主密钥：对应于层次化密钥结构中的最高层次，主密钥还起到标识用户的作用
对称密码体制的密钥管理
在对称密码体制下，必须通过安全可靠的途径将密钥送至接收端，系统的保密性取决于密钥的安全性
按照是否需要第三方可信机构，可分为：
- 无中心的密钥建立
- 有中心的密钥建立
无中心的密钥建立
- 使用对称密码技术：在点对点的密钥建立过程中，要求在建立密钥之前参与协议的双方事先共享一个对称密钥，以用作密钥加密密钥来保护建立密钥时双方的通信
- 使用公钥密码技术：参与协议的双方也要事先知道对方的公钥
基于可信第三方的密钥建立
若用户可与可信第三方TTP （如密钥分配中心）之间建立共享密钥，则可借助其在任何两个互不认识的用户之间建立一个共享密钥，无论系统用户多少，预分配的密钥数量都是1。
TTP提供密钥的产生、密钥的鉴别、密钥的分发等服务。
非对称密码体制的密钥管理
在非对称密码系统中，公钥的公开性为信息安全通信带来了深远的影响，同时也为攻击者提供了可乘之机。
攻击者可以用一个假公钥替换用户的真实公钥。因此，发展安全公钥密码系统的关键问题是如何确保公钥的真实性。
公钥密码系统的密钥管理：密钥协商和公钥证书。
公钥证书（Public Key Certificate）是一种包含持证主体标识、持证主体公钥等信息，并由可信任的签证机构CA签署的信息集合。
公钥证书用于确保公钥及其与用户绑定关系的安全
公钥证书中的最重要的信息有：
- 证书持有者的标识
- 证书持有者的公钥
- 签证机构的标识
- 证书的序列号
- 证书的有效期
- 签证机构的签名
公钥管理技术的意义
公钥基础设施PKI
PKI公钥基础设施就是一种用公钥密码理论和技术实施和提供安全服务的、具有普适性的安全基础设施。
PKI的目的：解决网上身份认证、电子信息的完整性和不可抵赖性等安全问题，为网络应用提供可靠安全服务。
PKI的任务：在电子商务和电子政务中，它可以为网络用户提供可信的数字身份认证。
PKI的组成
- 证书机构CA
功能：证书生成、颁发、撤销、更新、归档，CA自我审查，日志审计，密钥恢复 - 注册机构RA
功能：填写用户注册信息，提交用户注册信息，审核，发送生成证书申请，发送证书，登记黑名单，证书撤销列表管理，日志审计，自身安全保证。 - 证书发布库
用于集中存放CA颁发证书和证书撤销列表，支持分布式存放，以提高查询效率，LDAP协议是创建高效的大规模PKI认证的关键技术。 - 密钥备份与恢复
备份：仅备份和恢复CA的公钥/私钥对，而不备份用户的签名密钥
恢复：用户可通过可信任的密钥恢复中心完成密钥恢复 - 证书撤销
两种实现方法：周期性发布机制、在线证书查询机制 - PKI应用接口
应用：认证服务，数据完整性服务，数据保密性服务，不可否认服务，公正服务