首先我們要知道什么是密鑰管理？

密鑰管理是一種涉及生成、存儲、使用和更新密鑰的過程。

密鑰的種類

我們知道，對稱密碼主要包括分組密碼和序列密碼。但有時也可以將雜湊函數(shù)和消息認證碼劃分為這一類，將它們的密鑰稱為對稱密鑰；公鑰密碼主要是指公鑰加密算法，有時也包括基于公鑰密碼的數(shù)字簽名和一些密鑰交換算法，將它們的公私鑰稱為非對稱密鑰。

按密鑰的用途分類

基本密鑰

基本密鑰（Base Key），也稱為初始密鑰（Primary Key），用kp表示，是由用戶選定或由系統(tǒng)分配給用戶的可在較長時間（相對于會話密鑰）內(nèi)由一對用戶所專用的秘密密鑰，故又稱為用戶密鑰（User Key）。要求它既安全，又便于更換，與會話密鑰一起去啟動和控制由某種算法構(gòu)造的密鑰生成器，來產(chǎn)生用于加密數(shù)據(jù)的密鑰流。

會話密鑰

會話密鑰（Session Key），是兩個通信終端用戶在一次通話或交換數(shù)據(jù)時所用的密鑰，用ks表示。當用它對傳輸?shù)臄?shù)據(jù)進行保護時稱為數(shù)據(jù)加密密鑰（Data Encrypting Key），當用它保護文件時稱為文件密鑰（File Key）。會話密鑰的作用是使用戶可以不必太頻繁地更換基本密鑰，有利于密鑰的安全和管理方便。這類密鑰可由用戶雙方預(yù)先約定或動態(tài)生成，也可由系統(tǒng)動態(tài)生成并賦予通信雙方，它由通信雙方專用，故又稱為專用密鑰（Private Key）

密鑰加密密鑰

密鑰加密密鑰（Key Encrypting Key），是用于對傳送的會話密鑰進行加密時采用的密鑰，也稱為次主密鑰（Submaster Key）或輔助（二級）密鑰（Secondary Key），用ke表示。通信網(wǎng)中每個節(jié)點都分配有一個這類密鑰。為了安全，各節(jié)點的密鑰加密密鑰應(yīng)互不相同。在主機和主機之間以及主機和各終端之間傳送會話密鑰時都需要有相應(yīng)的密鑰加密密鑰。每臺主機都須存儲有關(guān)至其他各主機和本主機范圍內(nèi)各終端所用的密鑰加密密鑰，而各終端只需要一個與其主機交換會話密鑰時所需的密鑰加密密鑰，稱之為終端主密鑰（Terminal Master Key）。

主機主密鑰

主機主密鑰（Host Master Key），是對密鑰加密密鑰進行加密的密鑰，存儲于主機處理器中，用km表示

如果難以得到安全可靠的環(huán)境，可采用密鑰分級保護方法

密鑰分級保護

• 終端密鑰的保護?？捎枚壨ㄐ琶荑€（終端主密鑰）對會話密鑰進行加密保護。終端主密鑰存儲在主密鑰寄存器中，并由主機對各終端主密鑰進行管理。主機和終端之間就可用共享的終端主密鑰保護會話密鑰的安全
• 主機主密鑰的保護

密鑰交換協(xié)議

我們?yōu)槭裁匆褂妹荑€分配協(xié)議？我們知道相對于對稱密碼而言，公鑰密碼的優(yōu)勢在于無需交換密鑰就可以建立安全信道。但遺憾的是大多數(shù)公鑰密碼（如RSA）都比對稱密碼（如AES）速度慢。因此，在實際應(yīng)用中對稱密碼通常用于加密“長”消息，這樣仍就需要解決密鑰建立問題。密鑰建立問題可通過密鑰交換協(xié)議（也稱為密鑰建立協(xié)議）來解決，大致可分為以下兩類：

密鑰分配協(xié)議

密鑰分配協(xié)議：是指協(xié)議的一個參與方可以建立或獲得一個秘密值，并將此秘密值安全地分發(fā)給協(xié)議的其他參與方

密鑰協(xié)商協(xié)議

密鑰協(xié)商協(xié)議：是指協(xié)議的兩個或多個參與方共同提供信息，推導(dǎo)出一個共享密鑰，在多數(shù)情況下要求參與協(xié)議的任何一方不能預(yù)先確定這個共享密鑰

秘密共享方案

存儲在系統(tǒng)中的所有密鑰的安全性（從而整個系統(tǒng)的安全性）可能最終取決于一個主密鑰。這樣做有兩個缺陷：一是若主密鑰偶然地或蓄意地被暴露，整個系統(tǒng)就易受攻擊；二是若主密鑰丟失或毀壞，系統(tǒng)中的所有信息就用不成了。后一個問題可通過將密鑰的副本發(fā)給信得過的用戶來解決。但這樣做時，系統(tǒng)對背叛行為又無法對付。解決這兩個問題的一個辦法是使用秘密共享方案（Secret Sharing Scheme）

密鑰管理基礎(chǔ)設(shè)施/公鑰基礎(chǔ)設(shè)施

概述

PKI是“Public Key Infrastructure”的縮寫，意為“公鑰基礎(chǔ)設(shè)施”，是一個用非對稱密碼算法原理和技術(shù)實現(xiàn)的、具有通用性的安全基礎(chǔ)設(shè)施。

PKI的目的

PKI是提供公鑰加密和數(shù)字簽名服務(wù)的系統(tǒng)，目的是為了自動管理密鑰和證書，保證網(wǎng)上數(shù)字信息傳輸?shù)臋C密性、真實性、完整性和不可否認性。

PKI的作用

1. 對身份合法性進行驗證

方法：采用數(shù)字簽名技術(shù)，簽名作用于相應(yīng)的數(shù)據(jù)之上實現(xiàn)對身份合法性的驗證

2. 實現(xiàn)數(shù)據(jù)保密性和完整性

保密性：用公鑰分發(fā)會話密鑰，然后用會話密鑰對數(shù)據(jù)加密
完整性：PKI采用了兩種技術(shù)
① 數(shù)字簽名：既可以是實體認證，也可以是數(shù)據(jù)完整性
② MAC(消息認證碼）（消息摘要）的方式

3. 實現(xiàn)數(shù)據(jù)傳輸?shù)陌踩?/li>
4. 實現(xiàn)數(shù)字簽名和不可抵賴性

PKI基于非對稱公鑰體制，采用數(shù)字證書管理機制，可以為透明地為網(wǎng)上應(yīng)用提供上述各種安全服務(wù)，極大地保證了網(wǎng)上應(yīng)用的安全性。

PKI的組成

完整的PKI由六大部分組成

1. 認證機構(gòu)（Certification Authority，CA）：證書的簽發(fā)機構(gòu)，是PKI的核心。功能包括證書的分發(fā)、更新、查詢、作廢和歸檔等。
2. 注冊機構(gòu)（Registration Authority，RA）：RA實現(xiàn)分擔CA部分職責的功能，其基本職責是認證和驗證服務(wù)。
3. 證書庫：集中存放證書，提供公眾查詢。
4. 密鑰備份及恢復(fù)系統(tǒng)：用戶的解密密鑰進行備份，當丟失時進行恢復(fù)，而簽名密鑰不能備份和恢復(fù)。
5. 證書作廢處理系統(tǒng)：證書由于某種原因需要作廢，終止使用，這將通過證書廢除列表CRL(又稱證書黑名單）來完成。
6. 應(yīng)用接口：使各種應(yīng)用能以安全、一致、可信的方式與PKI交互。

認證機構(gòu)的功能

注冊機構(gòu)的功能

證書發(fā)布庫的功能

證書撤銷的方法

1. 利用周期性發(fā)布機制
2. 在線查詢機制