《[精选]第十章加密技术标准、法律法规9021.pptx》由会员分享，可在线阅读，更多相关《[精选]第十章加密技术标准、法律法规9021.pptx（45页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、2介绍介绍3第十章 加密技术标准、法律法规加密技术标准数字签名标准和电子签名法 安全电子交易规范SET国外相关PKT体系建设标准国内相关PKT体系建设标准4ISO7498-2ISO7498-2安全标准安全标准ISO7498-2提供了以下五种可选择的安全服务 认证 访问控制 数据保密 数据完整性 防止否认AuthenticationAccess controlData IntegrityData Confidentiality（Non-reputation5加密技术标准加密技术标准 数字加密标准DES高级加密标准AES6数字签名标准数字签名标准 数字签名 数字签名标准 数字签名标准DSS(美国)
2、7数字签名数字签名 对文件进行加密解决了传送信息的保密问题，而防止他人对传输的文件进行破坏，以及如何确定发信人的身份还需要采取其它的手段，这一手段就是数字签名。在电子商务安全保密系统中，数字签名技术有着特别重要的地位，在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中，都要用到数字签名技术。在电子商务中，完善的数字签名应具备签字方不能抵赖、他人不能伪造、在公证人面前能够验证真伪的能力。8数字签名技术数字签名技术 数字签名基于公共密钥体制A传送方B接收方9数字签名标准数字签名标准DSSDSS 数字签名的应用涉及到法律问题 1991年8月30日,美国国家标准与技术学会NIST公布了数字签名标
3、准DSS（现在叫联邦信息处理标准FIPS）指定数字签名算法（DSA）DSS签名使用FIPS l80-1和安全hash标准（SHS）产生和核实数字签名 指定安全hash算法（SHA）10电子签名法电子签名法数字签名的应用涉及到法律问题法国是第一个制定数字签名法的国家美国于1991年公布数字签名标准（DSS）后，部分州已制定了数字签名法11安全电子交易规范安全电子交易规范SET SET 在开放的因特网上处理电子商务，保证买卖双方传输数据的安全成为电子商务的重要的问题。为了克服SSL安全协议的缺点，满足电子交易持续不断地增加的安全要求，为了达到交易安全及合乎成本效益的市场要求，VISA国际组织及其它
4、公司如Master Card、Micro Soft、IBM等共同制定了安全电子交易（SET：Secure Electronic Transactions）公告。这是一个为在线交易而设立的一个开放的、以电子货币为基础的电子付款系统规范。12SETSET协议要达到的目标协议要达到的目标（1）保证电子商务参与者信息的相互隔离。客户的资料加密或打包后边过商家到达银行，但是商家不能看到客户的帐户和密码信息；（2）保证信息在Intemet上安全传输，防止数据被黑客或被内部人员窃取；（3）解决多方认证问题，不仅要对消费者的信角卡认证，而且要对在线商店的信誉程度认证，同时还有消费看、在线商店与银行间的认证；（
5、4）保证了网上交易的实时性，使所有的支付过程都是在线的；（5）规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上。13SETSET安全协议的工作原理安全协议的工作原理（1）消费者利用已有的计算机通过因特网选定的物品，并下电子订单（关于产品属性的字段）；（2）通过电子商务服务器与网上商场联系，网上商场做出应答，告诉消费者的订单的相关情况（是否改动以及关于购买属性的关键字段）；（3）消费者选择付款方式，确认订单，签发付款指令（此时SET介入）；（4）在SET中，消费者必须对定单和付款指令进行数字签名，同时利用双重签名技术保证商家看不到消费者的
6、帐号信息；（5）在线商店接受定单后，向消费者所在银行请求支付认可，信息通过支付网关到收单银行，再到电子货币发行公司确认，批准交易后，返回确认信息给在线商店；（6）在线商店发送定单确认信息给消费者，消费者端软件可记录交易日志，以备将来查询；（7）在线商店发送货物或提供服务，并通知收单银行将钱从消费者的帐号转移到商店帐号，或通知发卡银行请求支付。14SETSET协议的意义协议的意义SET主要使用电子认证技术，其认证过程使用RSA和DES算法，因此，可以为电子商务提供很强的安全保护;由于安全电子交易规范是由信用卡发卡公司参与制定的，一般认为，安全电子交易规范的认证系统是有效的;SET规范是目前电子商
7、务中最重要的协议，它的推出必将大大促进电子商务的繁荣和发展;SET将建立一种能在因特网上安全使用银行卡进行购物的标准。15SETSET协议存在的一些问题协议存在的一些问题 协议没有说明收单银行给在线商店付款前，是否必须收到消费者的货物接收证书。如果在线商店提供的货物不符合质量标准，消费者提出异议，责任由谁承担？协议没有担保“非拒绝行为”，这意味着在线商店没有办法证明订购是由签署证书的、讲信用的消费者发出的；SET技术规范没有提及在事务处理完成后，如何安全地保存或销毁此类数据，是否应当将数据保存在消费者、在线商店或收单银行的计算机里。这种漏洞可能是这些数据以后受到潜在的攻击。16世界各国密码政策
8、介绍17概况概况1999年6月，美国的Electronic Privacy Information Center公布了其对世界各国密码政策的调查结果。1、当今许多国家对密码的使用没有控制，密码的使用、生产、销售均不受限制。2、各国和国际组织在密码的法律和政策方面向着更加宽松的方向迈进。3、出口控制依然是密码自由流动和发展的最大障碍。4、美国继续在全球推行其加密出口控制的政策，并迫使其它国家采纳其限制性的政策。18出口控制的作用出口控制的作用出口控制政策是各国政府限制加密产品发展的强有力手段。出口控制降低了自由获得加密产品的可能性，特别是从美国的公司。出口控制不利于制定国际通用的加密标准，而且造
9、成不同程序间的互操作性很差。出口控制在网络化的今天形同虚设，强的牢不可破的加密程序可以在几钞钟内传遍世界各地。19美国的密码政策美国的密码政策（一）（一）1999.9.16,克林顿政府宣布了其最新的密码产品出口控制条例。尽管这些政策远未落实，但却表明美国政府多年来对强加密的敌视态度正在转变。任何密钥长度的硬件、软件加密产品，只要经过一个“one-time technical review”无需许可证即可出口。密钥长度不超过64比特的密码产品不受任何限制。但要满足Wassennaar协议要求。20美国的密码政策美国的密码政策（二）（二）尽管放松的出口控制政策是美国工业界在加密之争中的一次胜利，斗
10、争仍未结束。政府提议的CESA（Cyberspace Electronic Security Act）明确规定使用密钥托管，CESA要求一个可信第三方为政府机构必要时提供密钥。零售产品可以出口给任何国家的任何用户，包括个人、商业公司、非政府用户等。但必须除开七个支持恐怖主义的国家（Cuba,Iran,Iraq,Libya,North Korea,Sudan and Syria.）。加密源代码、工具箱和芯片仍受控制，不超过56比特密钥长度的可以出口。21英国的密码政策英国的密码政策目前对密码产品的进口和国内使用没有任何限制。英国是美国推行密钥托管系统的强力支持者，已在筹建国内的密钥托管系统。22
11、我国对安全设备我国对安全设备的部分政策的部分政策国家安全主管部门负责对党政机关的重要部门和要害部位实行安全技术检查。公安机关负责公共信息网络的安全监察和打击计算机犯罪；国家保密机关对信息网络进行安全保密检测。国家规定：安全保密场所使用的进口专用设备，必须经过安全技术检查方可使用。国家有关部门对安全产品进行检测与认证，并实行许可证制度。中华人民共和国计算机信息网络国际联网管理暂行规定明确要求：接入单位及服务商必须“具有健全的安全保密管理制度和技术保护措施。”23我国对商用密码设备的管理我国对商用密码设备的管理加密设备，有核密、普密、商密之分，所有密码算法必须由国家密码管理委员会审批；商用密码的科
12、研任务由国家密码管理机构指定单位承担，科研成果由国家密码管理机构审查、鉴定；商用密码产品由国家密码管理机构许可的单位销售；进口密码产品以及含有密码技术的设备或出口商用密码产品，必须报经国家密码管理机构批准；任何单位或个人只能使用经国家密码管理机构认可的商用密码产品。24PKIPKI的规划和建设的规划和建设PKI 作为国家信息化的基础设施，涉及到电子政务、电子商务以及国家信息化的整体发展战略等多层面问题，是相关技术、应用、组织、规范和法律法规的总和，其本身是国家综合实力的体现。25国际上国际上PKIPKI标准情况标准情况 定义PKI的标准：ITU X.509协议 PKI应用标准：安全的套接层协议
13、SSL、传输层安全协议TLS、安全的多用途互连网邮件扩展协议S/MIME和IP安全协议IPSEC等 26美国美国PKIPKI体系结构体系结构27加拿大政府加拿大政府PKIPKI体体系结构系结构28两种体系的比较两种体系的比较体系结构上 美国联邦PKI体系结构比较复杂，联邦的桥CA仅是一个桥梁；而加拿大政府PKI体系结构比较简单，中央认证机构仿佛是一个根CA。在信任关系的建立上 美国联邦PKI体系结构中的联邦的桥CA是各信任域建立信任关系的桥梁；在加拿大政府PKI体系中，各信任域之间建立信任关系必须经过中央认证机构。采用的技术上 美国联邦PKI体系中的成员采用多种不同的PKI产品和技术；而加拿大
14、政府PKI体系中强调使用Entrust公司的技术。在组成成员上 美国联邦PKI体系中除了各级政府，不同的政府机构外，还可包括与政府或政府机构有商业往来的合作伙伴；而加拿大政府PKI体系中的成员都是联邦的各级政府或政府机构 29我国的我国的PKIPKI发展规划发展规划30我国的我国的PKIPKI体系建设情况体系建设情况我国的PKI体系建设包括:PKI基础设施的建设 PKI相关法律法规的建设 PKI标准的建设 31PKI PKI 基础设施建设基础设施建设区域类CA证书机构大多以地方政府为背景、以公司机制来运作，主要为本地行政区域内电子商务业务与面向公众服务的电子政务业务发放证书；行业类CA证书机构
15、以部委或行业主管部门为背景，以非公司机制或公司机制运作，在本部委系统或行业内为电子政务业务和电子商务业务发放证书；商业类CA证书机构以公司机制运作，面向全国范围为电子商务业务发放证书；内部自用类CA 证书机构，主要是企事业单位自建的证书机构，为自身内部业务发放证书，不向公众提供证书服务。32国内国内PKIPKI相关法规相关法规建设建设中华人民共和国电子签章条例（草案）上海市数位认证管理办法 关于同意制定本市电子商务数字证书价格的通知 广东省电子交易条例 33国内国内PKIPKI相关标准建设相关标准建设2002 年4 月新立的全国信息安全标准化技术委员会非常重PKI 标准化工作，7 月份在北京成
16、立了PKI/PMI（WG4）工作组。2002 年底，X.509C 证书格式规范国家标准送审稿和信息安全专用术语通过全国信息安全标准化技术委员会组织的评审，X.509C 证书格式规范国家标准送审稿已向国家标准化管理委员会申报为国家标准。另外WG4工作组还承担了公安部下达的PKI系统安全保护等级评估准则和PKI系统安全保护等级技术要求两个行业标准的制订工作，并将由工作组组织修改完善后向全国信息安全标准化技术委员会申报为国家标准。34我国涉及加密技术的法律法规我国涉及加密技术的法律法规GB/T 15277-1994 信息处理64位块加密算法操作方式 ISO8372:1987 BG/T 15278-1
17、994 信息处理-数据加密-物理层互操作性要（ISO9160:1988）BG 15851-1995 信息技术-安全技术-带消息恢复的数字签名方案（ISO/TEC 9796:1991）GB 15852-1995 信息技术-安全技术-用块加密算法作校验函数的数据完整性机制（ISO/IEC 9797:1994）GB 15853.1-1995 信息技术-安全技术-实体鉴别机制第1部分：一般模型（ISO/ICE 9798-1:1991)GB 15853.2-信息技术-安全技术-实体鉴别机制第2部分：使用对称加密算法的实体鉴别ISO/IEC9798-2:1994）GB 15853.3-信息技术-安全技术-
18、实体鉴别第3部分：用非对称签名的机制（ISO/IEC 9798-3:1997）已经制定的标准项目：35我国涉及加密技术的法律法规我国涉及加密技术的法律法规GB/T 15843.1-1999信息技术 安全技术 实体鉴别 第1部分：概述(idt ISO/IEC9798-1:1997)GB/T 15843.4-1999 信息技术 安全技术 实体鉴别 第4部分：采用密码校验函数的机制(idt ISO/IEC9798-1:1995)GB/T 17903.2-1999 信息技术 安全技术 抗抵赖 第2部分：使用对称技术的机制(idt ISO/IEC13888-1:1998)GB/T 17903.3-199
19、9 信息技术 安全技术 抗抵赖 第3部分：使用非对称技术的机制(idt ISO/IEC13888-3:1997)GB/T 17902.1-1999 信息技术 安全技术 带附录的数字签名第1部分：概述 已经制定的标准项目：36我国涉及加密技术的法律法规我国涉及加密技术的法律法规安全电子数据交换标准安全电子高务标准 第1部分：密钥管理框架信息技术-n位块密码算法的操作方式GJB 1894-94 自动化指挥系统数据加密要求正在制定中的标准项目：37 国际相关法律法规现状与特点国际相关法律法规现状与特点瑞典年就颁布了数据法，涉及到计算机犯罪问题，这是世界上第一部保护计算机数据的法律。38国际相关法律法
20、规和标准国际相关法律法规和标准国际标准化组织（ISO）信息技术安全标准国际电信联盟标准（ITU-T）欧洲计算机制造商协会信息安全标准（ECMA）美国信息技术安全标准 美国国家标准（ANSI）美国联邦标准（FIPS）美国国防部指令（DODD）39ISOISO信息技术安全标准信息技术安全标准 ISO 8372:1987 信息处理-64位块加密算法的操作方式 ISO/IEC 9796:1996 信息技术-安全技术-带消息恢复 的数字签名方案 ISO/IEC 9797:1993 信息技术-安全 技术-用块密码算法作密码校验 函数的数据完整性机制 ISO/IEC 9798-1:1991 信息技术-安全技
21、术-实体鉴别 机制-第1部分：一般模型 ISO/IEC 9798-2:1994 信息技术-安全技术-实体鉴别 机制-第2部分：使用对称加密算法的实体鉴别 ISO/IEC 9798-3:1993 信息技术-安全技术-实体鉴别 机制-第3部分：使用公开密钥算法的实体鉴别 ISO/IEC 9798-4:1995 信息技术-安全技术-实体鉴别 机制-第4部分：使用加密校验函数的机制 ISO/IEC 9979:1991 加密算法的登记规程40ISOISO信息技术安全标准信息技术安全标准 ISO/IEC 10116:1991 信息技术-n位块加密算法的操作 方式 ISO/IEC 10118-1:1994
22、信息技术-安全技术-散列函数 第1部分：概述 ISO/IEC 10118-2:1994 信息技术-安全技术-散列函数 第2部分：用n位块密码算法的散列函数 ISO/IEC 10164-7:1992 信息技术-开放系统互连-系统 管理 第7部分：安全报警报告功能 ISO/IEC 10164-8:1993 信息技术-开放系统互连-系统 管理 第8部分：安全审计跟踪功能 ISO/IEC 10745:1995 信息技术-开放系统互连-上层安 全模型 ISO/IEC 11577:1995 信息技术-开放系统互连-网络 层安全协议 ISO/IEC 11770-1 信息技术-安全技术-密钥管理 第1 部 分
23、：框架 ISO/IEC 11770-2 信息技术-安全 技术-密钥管理 第2部分：使用对称技术的机制 ISO/IEC TR 13335-1 信息技术安全管理 第1部分：IT安全概念和模型41国际电信联盟国际电信联盟ITU-TITU-T标准标准 ITU-T建议X463 信息技术-MHS管理：安全管理功能（ISO 11588-3）42ECMAECMA信息安全标准信息安全标准 ECMA-138:1989 开放系统安全-数据元素及服务定义 ECMA-205:1993 专用远程通信网（PIN）-安全评估用商业贸 易取向的功能性类别（COFC）ECMA-206:1993 安全上下文管理的联系上下文管理 E
24、CMA-219:1994 密钥分配功能的鉴别和特许属性安全应用 ECMA-TR/46:1988 开放系统中安全-安全框架 ECMA-TR/46:1993 保密信息处理与产品评估的角度43美国国家标准（美国国家标准（ANSIANSI）ANSI X3.92-1981 数据加密算法ANSI X3.105-1983 信息系统-数据链加密ANSI X3.106-1983 信息系统-数据加虎法-操作方式ANSI X9.9-1986 金融机构的消息鉴别（批量）ANSI X9.17-1985 金融机构的密钥管理ANSI X9.19-1986 金融机构零售消息鉴别ANSI X9.23-1988 批量金融消息的金
25、融机构加密ANSI X9.24-1992 金融机构零售密钥管理ANSI X9.26-1990 批量金融系统用金融机构接受签名的鉴别ANSI X9.28-1991 金融服务中金融机构多中心密钥管理ANSI X9.30-1993 公开密钥加密44美国联邦标准（美国联邦标准（FIPSFIPS）FIPS-39:1976 计算机系统安全术语汇编FIPS-41:1975 实现1974年保密措施的计算机保密性指南FIPS-46:1977 数据内部密码标准FIPS-73:1981 计算机应用安全指南FIPS-74:1980 NBS数据密码标准的使用导则FIPS-88:1981 数据库管理完整性保证及控制导则F
26、IPS-83:1981 计算机网络访问控制用户特许技术应用导则FIPS-102:1983 计算机安全认证和鉴别指南FIPS-113:1985 计算机数据加密鉴别FIPS-140-1:1994 密码模块的安全要求FIPS-171:1992 使用ANSI X9.17的密钥管理FIPS-180:1993 安全的散列标准FIPS-181:1993 自动的口令发生器 FIPS-185:1994 证书加密标准FIPS-186:1994 数字签名标准FIPS-188:1994 信息传送用标准安全标号45美国国防部指令（美国国防部指令（DODDDODD）DODI 5200-1-1982 DOD信息安全保密程序 DODI 5200-1-R-1986 信息安全保密程序规章 DODI 5200.28-1988 自动信息系统安全保密要求 DODI 5200.28-M-1973 实现、解除测试和评估的的ADP安全 保密技术和规程 DODI 5200.28-STD-1985 国防可信计算机系统评估准则 DODD 5215.1-1982 计算机安全保密评估中心 DODD 5215.2-1986 计算机安全保密技术脆弱性报告程序