YDT1614-2007 公众IP网络安全要求--基于数字证书的访问控制

本标准是 “公众 IP网络安全”系列标准之一。该系列标准预计的结构及名称如下: 1，公众IP网络安全要求— 安全框架; 2.公众IP网络安全要求— 叫基于数字证书的访问控制; 3.公众护网络安全要求— 基于远端接人用户验证服务协议 (RADIUS)的访问控制; 4.公众IP网络安全要求一一 基于DiaJlleter的访问控制。 本标准的附录A、附录B、附录C和附录D均为资料性附录。 本标准由中国通信标准化协会提出并归口。 本标准规定了根据用户所持有的数字证书对普通用户访问网络资源及有偿信息资源的访问挖制要求，同时规定了基于Psc的VPN中对等体之间利用数字证书进行认证的技术要求。 本标准适用于基于数字证书进行访问控制的系统。 2规范性引用文件 下列文件中的条款通过在本标准中的引用而构成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括斟误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 YD/T1322.3-2004电子商务技术要求第三部分：证书及认证系统 YD/T1615-2007公众P网络安全要求—基于远端接人用户验证服务协议（RADIUS）】 的访问控制要求 IEEE 802.1x基于端口的网铬接人控制 ETF RF℃2406（1998） P封装安全载荷（ESP） IETF RFC 2407 1998） 解释ISAKMP的Internet IP安全域ETF RF℃2408（1998） Internet安全联盟及密钥管理协议（ISAKMP） ETF RF℃2409（1998） Internet密钥互换（KE）ET℉RF℃2560（1999） Internet X.509公共密钥基础设施在线证书状态协议IETF RF℃2716（1999） PPP EAP TLS认证协议 ETF RFC2863（2000） 远程拨入用户认证服务（RADIUS） ETF RFC3280（2002） Internet X.509公共基础设施证书和CRL轮廓ETF RR℃3281（2002） 用于认证的Internet属性证书轮廓 ET℉RFC3579（2003） 远程拨人用户认证服务（RADIUS）对可扩展的认证协议（EAP）的支持IETF RFC 3580（2003 EEE802.1X远程拨人用户认证报务（RADIUS）使用指南ETF RF℃3770（2004） 支持以点对点协议（PPP）和无线局域网（WLAN）认证的证书扩展和属性IETF RF℃3748（2004） 可扩展的认证协议（EAP） IETF RFC 4058 2005） 用于承载网络接入认证的协议需求 4.1 定义 下列定义适用于本标准。 4.1.1 证书 可以指属性证书或公共密钥证书。除非特别指出，证书可用于表示属性证书和公共密钥证书(PKC)o 4.1.2 数字证书认证中心 (CA) 一个或多个用户信任的、生成和签署公共密钥证书的权威机构。该机构在证书的整个生存期内负责 管理公共密钥证书。 4.1.3 属性证书认证中心 《AA) 一个或多个用户信任的、生成和签署用户属性证书的权威机构。该机构在属性证书的整个生存期内 负责管理属性证书。 4.1.4 公共密钥证书 (PKC) 包含有关端实体的公共密钥和一些其他信息的数据结构。该证书具有签发该证书的 CA的私有密钥 数字签名。 4.1.5 基于!psec的v户N中的对等体 指在它们之间需要建立IPsec隧道的两个实体。 4.2 符号 下列符号适用于本标准。 HDR:IsAKMp头，其互换类型是模式。若写成HDR*时，表示载荷加密。 SA:指一个或多个建议的SA协商。初始者可以提供多个建议，用于在协商时响应者必须仅返回一 个。 KE :包含有在D断e，Hellman互换中互换信息的密钥载荷。 Nx:临时载荷，x可以是1或r，分别表示IsAKMP的初始者和响应者。 IDx:x的标识载荷，在过程 1期间，x可以是 ‘，ii’，或 “ir’’，分别表示IsAKMp初始者和响应者。 slG:签名载荷。签名的数据是互换特定的。 CERT:证书载荷。 HAsH:hash载荷。Hash的内容对认证方法是特定的。 5 概 迷 5.1 基于数字证书认证的基本原理 基于数字证书的认证，包括对用户所提供的数字证书本身的确认以及对提交数字证书的用户是否为 该数字证书合法持有者的确认。其基本原理为: 1.对数字证书本身有效性的确认 a) 确认数字证书本身包含信息的准确性 . 用户端软件 (或受信 CA)创建一对密钥，其中一个是公开密钥，另外一个是私有密钥。客户准 备一个包括用户ID和用户公开密钥的未签名证书，然后用一种安全的方式把它发送给一个CA。 . CA通过计算该未签名证书的散列值，并用 CA的私有密钥加密该散列值后，产生一个签名 (已 加密的散列码)。CA接着把它附在该未签名的证书上，并把现在已经签名的该证书返还给该客户。 . 客户可以把它的已经通过CA签名的证书发送给任何其他用户。收到证书的用户可以通过计算证 书的散列值 (不包括签名)，并用CA的公开密钥解密该签名，把该散列值与已解密的签名进行比较，以 验证其他用户的证书的准确性。 b)确认数字证书的有效性 . 收到证书的用户在确认用户本身的准确性后，到CA用户数据库中查找用户所提交的证书是否被 列人到证书废弃表中，从而确认用户所提交的证书是否有效。 2.确认提交数字证书的用户是否为所提交的数字证书的合法持有者 . 收到数字证书的一方生成一个随机数，利用所收到的数字证书中所包含的公开密钥加密随机数并 将加密后的随机数发送给发出数字证书的一方。 . 接收到加密后的随机数的一方利用自身的秘密密钥将接收到的加密后随机数解密，并用对方的公 开密钥加密返传给对方。 . 接收到返传回来的信息后，用户利用自身的私有密钥解密接收到的信息，并将解密后的内容与最 初生成的随机数相比较，若两者相同，则可确认对方是该数字证书是合法持有者。 通过上面的两个过程完成基于数字证书对用户身份的认证。本标准中不规定用户如何获得证书以及 与CA本身相关的技术规定。