密钥管理技术一、密钥管理技术概述
密钥管理是管理从密钥生成到销毁的过程，包括密钥的生成、存储、分发、保护、更新、吊销和销毁。 在这一系列过程中，安全隐患威胁着系统的密钥安全。
确保密钥安全的基础：限制一个密钥的使用时间、密钥长度
二、密钥的分类
为了在网络APP应用中确保密钥安全，不同类型的密钥必须在一个保密系统中扮演不同的角色。 例如，使用会话密钥加密要通信的数据信息，使用密钥加密密钥加密会话密钥以保护会话密钥。
根据密钥方式的不同进行分类，密钥包括对称加密和非对称密钥。
按角色分类：
会话密钥(在通信或数据交换中用于加密用户数据的密钥。 会话密钥通常仅在当前会话中有效，或在短时间内有效)
密钥加密密钥(用于加密密钥(会话密钥)的密钥，即用于加密用户数据的会话密钥) )。
主密钥(一对用户之间长期共享的私钥，通常用作生成会话密钥和密钥加密密钥的种子，用于分发这些密钥并提供安全保护)。
分层密钥的优点：加密系统安全密钥的生成和管理
三、密钥的协商与分发技术
典型的密钥分发方式有两种集中型分发方式、分散型分发方式。 集中式分发方式是指利用网络内的“密钥管理中心”集中管理系统内的密钥，“密钥管理中心”在系统内用户的请求下，向用户提供安全分发密钥的服务。 分布式分发方案由通信方自行协商完成会话密钥共享工程，不受其他方面的限制。
1 .双方密钥协商和Diffie-Hellman密钥交换协议
密钥协商是指需要秘密通信的双方通过公共渠道通信实现共享秘密密钥的过程。
交换协议的安全性：离散对数攻击、中间人攻击
Diffie-Hellman协议的中间人攻击映像：
中间人攻击之所以成功，是因为协议设计中未对来自对方的消息进行认证，即通信对方a和b之间未确认消息来自对方。
对Diffie-Hellman协议的改进具有认证性(添加数字签名技术) )。
2 .密钥分发中心(KDC )如何生成和分发密钥
方法1 :通信启动器生成会话密钥
方式二： KDC为a、b生成通信的会话密钥
四、公钥基础设施PKI
在公钥加密系统中，由于秘密密钥是用户秘密持有的，所以没有秘密密钥的分发问题； 必须解决的问题之一是公钥的权威性公开问题。 公钥基础设施PKI是公钥授权发布的一系列组件。
1.PKI概述
PKI包括证书颁发机构(CA )、公钥证书库、密钥备份&； 由恢复系统、公钥证书吊销系统、PKI APP应用接口等部分组成。 他用公钥的概念和技术实现，有提供安全服务的、
2 .公钥证书
常见证书类型：
X.509公钥证书： X.509标准规定证书可以包含哪些信息，并说明如何记录信息(数据格式)。 X.509结构包括版本号(integer )、序列号)、签名算法(object )、发布者(uutc )和有效期(uutc )。X509的编码方法是TLV结构，使用t表示当前数据的类型(TTT ) 其中，不同的类型值对应于不同的数据类型。 简单的PKI证书PGP证书： PGP (pretty good privacy，中文翻译“优质保密协议”)是用于加密、验证消息的APP应用程序，在加密和验证中采用了IDEA散列算法。 PGP加密结合了一系列散列、数据压缩、对称密钥加密和公钥加密算法。 每个步骤都支持多种算法，可以选择使用其中一种算法。 每个公钥都绑定唯一的用户名和/或电子邮件地址。 3 .公钥证书管理
证书管理是指提供创建、分配和撤消证书等一系列证书管理工作，主要由CA负责
证书管理包括以下几个方面：
搜索证书：如果网络用户需要以公钥加密方式向另一个用户发送加密消息，则必须获取证书才能完成加密操作，或者如果需要验证另一个用户的数字签名，则查询公钥证书以获取该用户的公钥，然后
验证证书：如果网络用户a向网络用户b提供了其公钥证书，则网络用户b可以向CA请求以验证证书的有效性。
证明书的悬挂
销：在超出证书的有效期时，CA可以吊销证书；在由于私钥的泄露而需要更换公私钥对时，用户也可以向CA提出请求吊销证书。4.PKI的信任模型
（1）层次结构信任模型
在这种模式中，认证机构（CA）是严格按照层次结构组织的，整个CA体系可以描绘成一个倒转的树，如图所示。
例：用户3把一系列证书CA<<CA1>>和CA1<<User3>>发给用户1.用户1验证证书并提取用户3的公钥的步骤如下。
①用户1用CA的公钥确认CA<<CA1>>。
②用户1从CA<<CA1>>中提取CA1的公钥。
③用户1用CA1的公钥确认CA1<<User3>>。
④用户1从CA1<<User3>>中提取用户3的公钥。
（2）网状信任模型
网状信任模型也称为分布式信任模型，这种信任模型把信任分散到两个或多个CA上，用于将若干个具有严格层次结构的PKI系统之间互联起来，即在一个组织或一个小的团体中使用层次结构的PKI，而在需要将几个小团体结合成一个大的信任域时，将其互联起来，建立互相之间的信任关系。网状信任模型如图所示。
网状配置：即在所有根CA之间建立交叉认证，形成信任网格。这种方式是以网络结构把根连接起来，每个根都有一个自身的分级结构。
中心辐射配置：建立一个中心地位的CA，并实现其与其他每个CA之间的交叉双向认证，这样，就建立起不同信任域的用户之间信任验证路径。
Web信任模型：这是一种技术密切相关的信任模型，它依赖于浏览器。
以用户为中心的信任：在这种信任模型中，每个用户都自主地决定信赖哪个证书和拒绝哪个证书。
五、密钥管理技术应用
IKE是IPSec的一个重要构成要件，它提供密钥协商与管理机制。当使用IPSec时，必须提供一种方法与对方协商加密算法以及在数据交换中使用的密钥。IKE不是一个单一的协议，而是两个协议的组合，它将Internet安全关联、密钥管理协议和Oakley密钥交换协议集成在一起。
IKE的交换模式有三种：
主模式 ：IKE的主模式为建立第一个阶段的IKE SA提供了一个三阶段机制，用于协商以后的通信参数。
野蛮模式：在该模式中，发起者在交换开始生成一个Diffe-Hellman对，并建议一个SA，以及携带用于对方签名的一次性随机数。
快速模式：在两个通信实体使用主模式或者野蛮模式建立了一个IKE SA之后，它们就可以使用快速模式协商通用的IPSec服务或者生成新的密钥信息。
六、密码管理技术发展趋势
密码管理方案往往和具体的应用环境及安全要求相关，例如，基于门限的密钥管理方案可以提供n个成员共同持有秘密份额，t个成员可以恢复出秘密，而t-1个成员无法恢复出秘密，这种基于秘密共享的思想而设计的方案可以提供安全性更强的密钥管理服务，可能会在未来的多方安全计算中发挥作用。