1. 加密技术

密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制。

数据加密的技术分为两类，即对称加密（私人密钥加密）和非对称加密（公开密钥加密）。

1-1 对称加密算法

文件加密和解密使用相同的密钥。

常用的对称加密算法：

1. 数据加密标准算法简称DES：运算速度块、密钥产生容易；适合在当前大多数计算机上用软件方法实现；适合于在专用芯片上实现。

2. 三重DES（3DES或TDEA）：在 DES 的基础上采用三重DES，密钥长度加倍；发送方式，K1加密–>k2解密–>K1加密；接收方式，K1解密–>k2加密–>K1解密

3. RC-5：是在RCF2040中定义的

4. 国际数据加密算法（IDEA）：密钥为 128位置；是一种据库块加密算法

5. 高级加密标准（AES）算法：基于排列（对数据进行重新安排）和置换（将一个数据单元替换为另一个）运算。AES 是一个迭代的、对称密钥分组的密码，可使用 128、192和256位密钥。

1-2 非对称加密算法

因为加密和解密使用的是两个不同的密钥。非对称加密算法需要两个密钥：公开密钥和私有密钥。若使用公开密钥进行加密则私有密钥才能解密；反之；

优缺点：保密性好；加密和解密花费的事件长、速度慢，不适合对文件加密，适合少量数据加密。

RSA算法是一种公钥加密算法；安全性是基于大素数分解的困难性能。

1-3 秘钥管理

包括密钥生产、密钥备份和恢复、密钥更新等

• 密钥生产
  密钥对的产生是证书申请中的一步，产生的私密由用户保留，公密由和其他信息交给CA中心进行签证，从而产生证书。普通/测试证书由浏览器或固定的终端应用产生。重要（商家证书、服务器证书）的证书，一般由专用应用或CA中心直接产生。

• 密钥备份和恢复
  在 PKI（公开密钥体系） 系统中，即使密钥丢失，使用 PKI 的企业和组织必须仍能得到确认，受密钥保护的重要信息也必须能够恢复。

• 密钥更新
  对没和由CA颁发的证书都会有有效期，密钥对生命周期的长短由签发证书的CA中心来确定，各证书的有效期都不同。

• 多密钥的管理
  Kerberos 建立了一个安全的、可信任的密钥中心（KDC），每个用户只要知道一个和KDC进行会话的密钥就可以了。

2. 认证技术

主要解决网络通信过程中通信双方的身份认可。涉及加密（对称加密、不对称加密、两种混合）和密钥交换。认证一般有账户名/口令认证、使用摘要算法认证和基于PKI认证。

• 认证机构：数字证书的申请及签发机关（CA）；

2-1 关键绩效指标（PKI）

• PKI 的主要目的：通过自动管理密钥和证书为用户建立一个安全的网络运行环境，是用户可以在多种环境下方便的使用加密和数字签名技术，保证网上数据的机密性、完整性和有效性。

• PKI标准化主要有两方面：

  • 1、RSA 公司的公钥加密标准；
  • 2、一组具有互操作性的公钥基础设施协议；

2-2 Hash 函数与信息摘要

信息摘要：简要地描述一份较长的信息或文件。用于创建数字签名（是唯一的）。

例子：MD5（MD表示信息摘要）

• MD5（MD表示信息摘要）：是被广泛应用的 Hash 函数。特点：压缩性（长度固定）、容易计算、抗修改性、强抗碰撞。

2-3 数字签名

• 数字签名过程
  信息发送者对信息生成信息摘要–>信息发送者使用私钥签名信息摘要–>把信息本身和已签名的信息摘要一起发送出去–>（使用同一个散列函数）接收者对信息本身生成新的信息摘要，并使用公钥对信息摘要进行验证。

• 数字加密过程：

  • 1、信息发送者需要生成一个对称密钥，用该密钥加密要发送的报文。
  • 2、信息发送者用接收者的公钥加密对称密钥。
  • 3、数字信封：步骤1和步骤2结合在一起的结果。
  • 4、接收者使用私钥解密被解密的对称密钥，再用对称密钥解密被加密的密文，得到原文。

• 总结：数字加密是多对一的关系；任何知道公钥的人都可向接收方发送加密信息；采用对称加密算法和非对称加密算法，保证发送信息的保密性。

2-4 SSL 协议

SSL 是安全套接层，主要用于提高应用程序之间数据的安全系数。是一个保证计算机通信安全的协议。

提供以下3方面的服务：

• 1、用户和服务器的合法性认证。
  是它们确信数据被送到正确的客户端和服务器上。验证用户的合法性，安全套层协议要求在握交换数据时，进行数字认证。
• 2、加密数据易隐藏被发送的数据。
  在客户端与服务器进行数据交换之前，交换SSL初始握手信息，在 SSL 握手信息中采用了各种加密技术对其加密，保证其机密性和数据完整性，并用数字证书进行鉴别，防止破译。
• 3、保护数据的完整性。
  安全套接层协议采用 Hash 函数和机密共享的方法来提供信息的完整性服务，建立客户端与服务器之间的安全通道。

• 主要经过的阶段：
  接通（服务响应）–>密码交换–>会谈密码–>检验–>结束。
  发送时，信息用对称密钥加密，对称密钥用非对称算法加密，再把两个包捆绑在一起送过去。

2-4 数字事件戳技术

是数字签名技术的一种变种应用。

• 数字时间戳服务（DTS）
  是网上电子商务安全服务项目之一，提供电子文件的日期和时间信息的安全保护。
  是一个经加密后形成的凭证文档。

• 包括如下3步骤：
  文件的摘要–>DTS收到文件的日期和时间–>DTS的数字签名