06-公钥管理配置
本章节下载: 06-公钥管理配置 (199.31 KB)
目 录
如图1-1所示,为了保证数据在网络中安全传输、不被攻击者非法窃听和恶意篡改,发送方在发送数据之前需要对数据进行加密处理,即通过一定的算法,利用密钥将明文数据变换为密文数据;接收方接收到密文数据后,需要对其进行解密处理,即通过一定的算法,利用密钥将密文数据恢复为明文数据,以获得原始数据。其中,密钥是一组特定的字符串,是控制明文和密文转换的唯一参数,起到“钥匙”的作用。
如果数据加密和解密时使用不同的密钥,则该加/解密算法称为非对称密钥算法。在非对称密钥算法中,加密和解密使用的密钥一个是对外公开的公钥,一个是由用户秘密保存的私钥,从公钥很难推算出私钥。公钥和私钥一一对应,二者统称为非对称密钥对。通过公钥(或私钥)加密后的数据只能利用对应的私钥(或公钥)进行解密。
如果数据加密和解密时使用相同的密钥,则该加/解密算法称为对称密钥算法。
非对称密钥算法包括RSA(Rivest Shamir and Adleman)和ECDSA(Elliptic Curve Digital Signature Algorithm,椭圆曲线数字签名算法)等。
· 对发送的数据进行加/解密:发送者利用接收者的公钥对数据进行加密,只有拥有对应私钥的接收者才能使用该私钥对数据进行解密,从而可以保证数据的机密性。目前,只有RSA算法可以用来对发送的数据进行加/解密。
· 对数据发送者的身份进行认证:非对称密钥算法的这种应用,称为数字签名。发送者利用自己的私钥对数据进行加密,接收者利用发送者的公钥对数据进行解密,从而实现对数据发送者身份的验证。由于只能利用对应的公钥对通过私钥加密后的数据进行解密,因此根据解密是否成功,就可以判断发送者的身份是否合法,如同发送者对数据进行了“签名”。例如,用户1使用自己的私钥对数据进行签名后,发给用户2,用户2利用用户1的公钥验证签名,如果签名是正确的,那么就能够确认该数据来源于用户1。目前,RSA和ECDSA都可以用于数字签名。
非对称密钥算法应用十分广泛,例如SSH(Secure Shell,安全外壳)、SSL(Secure Sockets Layer,安全套接字层)、PKI(Public Key Infrastructure,公钥基础设施)中都利用了非对称密钥算法进行数字签名。SSH、SSL和PKI的介绍,请参见“安全配置指导”中的“SSH”、“SSL”和“PKI”。
本章主要介绍如何管理非对称密钥对,包括:
· 本地非对称密钥对的管理:即管理设备自身的非对称密钥对,包括本地密钥对的生成、销毁、本地主机公钥的显示和导出。
· 远端主机公钥的管理:即将远端主机的主机公钥保存到本地设备。
完成本章中的配置后,并不能实现利用非对称密钥算法进行加/解密和数字签名,只是为其提供了必要的准备。本章中的配置只有与具体的应用(如SSH、SSL)配合使用,才能实现利用非对称密钥算法进行加/解密或数字签名。
表1-1 公钥管理配置任务简介
配置任务 |
说明 |
详细配置 |
|
配置本地非对称密钥对 |
生成本地非对称密钥对 |
根据实际情况选择需要的配置 |
|
显示或导出本地非对称密钥对中的主机公钥 |
|||
销毁本地非对称密钥对 |
|||
配置远端主机的公钥 |
· 生成RSA密钥对时,将同时生成两个密钥对——服务器密钥对和主机密钥对,二者都包括一个公钥和一个私钥。RSA服务器密钥和主机密钥模数的最小长度均为512比特,最大长度为2048比特,缺省长度为1024比特。生成RSA密钥对时会提示用户输入密钥模数的长度,建议密钥模数的长度大于或等于768比特,以提高安全性。
目前,只有SSH1.5中应用了RSA服务器密钥对。
· 生成ECDSA密钥对时,只生成一个主机密钥对。ECDSA主机密钥的长度为192比特。
表1-2 生成本地非对称密钥对
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
生成本地非对称密钥对 |
public-key local create { ecdsa | rsa } |
必选 缺省情况下,不存在任何非对称密钥对 |
执行public-key local create命令后,生成的密钥对将保存在设备中,设备重启后密钥不会丢失。
在某些应用(如SSH)中,为了实现远端主机采用数字签名方法对本地设备进行身份验证,用户需要将本地的主机公钥保存到远端主机上。
将本地的主机公钥保存到远端主机上,有以下三种方法:
· 如表1-3所示,在本地设备上执行display public-key local public命令显示非对称密钥对中的公钥信息,并记录主机公钥数据。如表1-8所示,在远端主机上,通过手工配置的方式将记录的本地主机公钥保存到远端设备上。
· 如表1-4所示,在本地设备上执行public-key local export命令按照指定格式显示本地主机公钥(执行命令时不指定filename参数),通过拷贝粘贴等方式将显示的主机公钥保存到文件中,并将该文件上传到远端主机上。如表1-7所示,在远端主机上,通过从公钥文件中导入的方式将本地的主机公钥保存到远端设备上。
· 如表1-5所示,在本地设备上执行public-key local export命令按照指定格式将本地主机公钥导出到指定文件(执行命令时指定filename参数),并将该文件上传到远端主机上。如表1-7所示,在远端主机上,通过从公钥文件中导入的方式将本地的主机公钥保存到远端设备上。
远端主机上的配置方法,请参见“1.4 配置远端主机的公钥”。“1.4 配置远端主机的公钥”中描述了如何将远端主机的公钥配置到本地主机上,将本地主机公钥配置到远端主机上的过程与此类似,只不过前者需要在本地主机上执行“1.4 配置远端主机的公钥”中的配置,后者需要在远端主机上执行该配置。
操作 |
命令 |
说明 |
显示本地RSA密钥对中的公钥信息 |
display public-key local rsa public [ | { begin | exclude | include } regular-expression ] |
二者至少选择其一 可以在任意视图下执行这两条命令 |
显示本地ECDSA密钥对中的公钥信息 |
display public-key local ecdsa public [ | { begin | exclude | include } regular-expression ] |
执行display public-key local rsa public命令后,会同时显示RSA服务器密钥对和主机密钥对的公钥信息。用户只需记录主机密钥对的公钥信息。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
按照指定格式显示本地RSA主机公钥 |
public-key local export rsa { openssh | ssh1 | ssh2 } |
必选 |
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
按照指定格式将本地RSA主机公钥导出到指定文件 |
public-key local export rsa { openssh | ssh1 | ssh2 } filename |
必选 |
在如下几种情况下,建议用户销毁旧的非对称密钥对,并生成新的密钥对:
· 本地设备的私钥泄露。这种情况下,非法用户可能会冒充本地设备访问网络。
· 保存密钥对的存储设备出现故障,导致设备上没有公钥对应的私钥,无法再利用旧的非对称密钥对进行加/解密和数字签名。
· 密钥对使用了较长时间,可能存在密钥泄露或破译的风险。
· 本地证书到达有效期,需要删除对应的本地密钥对。本地证书的详细介绍,请参见“安全配置指导”中的“PKI”。
表1-6 销毁本地非对称密钥对
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
销毁本地非对称密钥对 |
public-key local destroy { ecdsa | rsa } |
必选 |
在某些应用(如SSH)中,为了实现本地设备对远端主机的身份验证,需要在本地设备上配置远端主机的RSA主机公钥。
配置远端主机公钥的方式有如下两种:
· 从公钥文件中导入:用户事先将远端主机的公钥文件保存到本地设备(例如,通过FTP或TFTP,以二进制方式将远端主机的公钥文件保存到本地设备),本地设备从该公钥文件中导入远端主机的公钥。导入公钥时,系统会自动将远端主机的公钥文件转换为PKCS(Public Key Cryptography Standards,公共密钥加密标准)编码形式。
· 手工配置:用户事先在远端主机上查看其公钥信息,并记录远端主机公钥的内容。在本地设备上采用手工输入的方式将远端主机的公钥配置到本地。手工输入远端主机公钥时,可以逐个字符输入,也可以一次拷贝粘贴多个字符。
· 手工配置远端主机的公钥时,输入的主机公钥必须满足一定的格式要求。通过display public-key local public命令显示的公钥可以作为输入的公钥内容;通过其他方式(如public-key local export命令)显示的公钥可能不满足格式要求,导致主机公钥保存失败。因此,建议选用从公钥文件导入的方式配置远端主机的公钥。
· 远端主机公钥信息的获取方法,请参见“1.3.2 显示或导出本地非对称密钥对中的主机公钥”。
· 设备上最多可以配置20个远端主机的公钥。
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
从公钥文件中导入远端主机的公钥 |
public-key peer keyname import sshkey filename |
必选 |
操作 |
命令 |
说明 |
进入系统视图 |
system-view |
- |
指定远端主机公钥的名称,并进入公钥视图 |
public-key peer keyname |
必选 |
进入公钥编辑视图 |
public-key-code begin |
- |
配置远端主机的公钥 |
逐个字符输入或拷贝粘贴公钥内容 |
必选 在输入公钥内容时,字符之间可以有空格,也可以按回车键继续输入数据。保存公钥数据时,将删除空格和回车符 |
退回公钥视图,并保存配置的主机公钥 |
public-key-code end |
必选 退出公钥编辑视图时,系统自动保存配置的主机公钥 |
退回系统视图 |
peer-public-key end |
- |
在完成上述配置后,在任意视图下执行display命令可以显示配置后公钥管理的信息,通过查看显示信息验证配置的效果。
表1-9 公钥管理显示和维护
命令 |
|
显示本地非对称密钥对中的公钥信息 |
display public-key local { ecdsa | rsa } public [ | { begin | exclude | include } regular-expression ] |
显示保存在本地的远端主机的公钥信息 |
display public-key peer [ brief | name publickey-name ] [ | { begin | exclude | include } regular-expression ] |
公钥管理的配置举例请参见“SSH配置”和“基础配置指导”中的“配置通过Web网管登录设备”。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!