网络安全——密钥管理

密钥管理

• • 1、密钥种类及分级保护
  • • 1.1、密钥的种类
    • 1.2、密钥的分级保护
  • 2、密钥的协商与分配
  • • 2.1、基于对称密码体制的密钥分配
    • 2.2、基于公钥密码体制的密钥分配
  • 3、Diffie-Hellman密钥交换
  • • 3.1、D-H密钥交换的理论基础
    • 3.2、D-H密钥交换算法描述
    • 3.3、D-H密钥交换算法的应用
  • 4、密钥管理机制
  • • 4.1、密钥管理基础设施（KMI）
    • 4.2、公钥基础设施（PKI）
    • 4.3、授权管理基础设施（PMI）

密钥是密钥算法在对信息进行加解密变换时所使用的秘密参数，是密码系统安全的核心要素，需强化安全管理。密钥管理涵盖内容广泛，虽有时与"密码管理"混用，但其内涵更聚焦于密钥全生命周期的关键问题，而密码管理通常指向更宽泛的范畴（如密码政策制定、密码测评等）​。密钥管理的核心研究对象覆盖密钥从生成到销毁的全流程，具体包括密钥生成、分配协商、保护存储、更换注入、吊销销毁等关键环节。密码管理政策则聚焦密码管理的法规制度层面，典型如我国《中华人民共和国密码法》​；密码测评是对密码产品的安全性、合规性开展评估，以验证其安全效能。本章重点围绕密钥管理展开探讨。密钥管理的核心目标有二：其一，保障密码系统对密钥的安全使用与动态维护；其二，确保密钥自身的绝对安全。

1、密钥种类及分级保护

密钥管理是支撑机密性、完整性、消息认证、实体认证、数字签名等密码安全技术的基础。密钥作为密码算法的核心参数，功能类比日常钥匙，负责实现明文与密文间的变换操作。根据柯克霍夫（Kerckhoffs）假设，密码算法的安全性本质上依赖于密钥保护，而非算法本身的保密------密码算法可公开，密码设备可能遗失，同型号设备仍可持续使用；但密钥一旦丢失或失效，不仅合法用户无法恢复明文，更可能导致非法用户窃取信息。由此可见，密钥的保护与安全管理在实际应用中至关重要。

1.1、密钥的种类

在密码学中，对称密码主要包括分组密码和序列密码，有时也将哈希函数和消息认证码归入此类，其对应密钥统称为对称密钥。公钥密码体制则存在公钥与私钥之别，称之为非对称密钥，有时也包括基于公钥密码的数字签名和一些密钥交换算法。因此，从算法角度可将密钥分为3类：对称密钥、公钥、私钥。对密钥的保护既要确保其完整性，又必须保证私钥和对称密钥的机密性。

若按用途划分，密钥又可分为以下几种。

1）基本密钥

基本密钥（Base Key）​，又称初始密钥（PrimaryKey）​，可用kp表示，是用户选定或由系统分配、在较长时间（相对会话密钥）内由一对用户所专用的密钥，故又称为用户密钥（User Key）​。kp既要求安全，又要便于变换，能够在确定的范围内配置，在规定的时间更换。

2）会话密钥

会话密钥（Session Key）是两个通信终端用户在一次通信或数据交换中使用的密钥，记作ks。当用它对传输的数据进行保护时称为数据加密密钥，当用它保护文件时称为文件密钥。会话密钥的作用是使用户可以不必很频繁地更换基本密钥，有利于密钥的安全及管理。会话密钥一般是动态地、仅在需要进行对会话数据加密时才产生，可由用户双方预先约定或动态生成，也可以由系统动态生成并赋予通信双方。通常ks由通信双方专用，故又称为专用密钥。会话密钥一般是对称密钥，因为加密和解密使用同一密钥。

在实际应用中，基本密钥kp常与会话密钥ks通过混合器共同参与或控制密码变换，即由某种算法构造的密钥生成器产生用于加密数据的密钥流，且每次会话均更换会话密钥。

3）密钥加密密钥

密钥加密密钥（Key Encrypting Key）是指对传送的会话密钥进行加密时采用的密钥，也称为次主密钥或辅助（二级）密钥，用ke表示。通信网络中每个节点都分配一个ke。为了安全起见，各节点的密钥加密密钥应互不相同。在主机和主机之间以及主机与各终端之间传送会话密钥时，都需要有相应的密钥加密密钥。

4）主机主密钥

主机主密钥（Host Master Key）是用于对密钥加密密钥实施加密保护的密钥，存储于主机处理器中，用km表示。

除上述几种密钥类型外，还包括用户选择密钥（用于保障同一类密码机不同用户使用差异化密钥）​、族密钥、算法更换密钥等。此类密钥的核心作用在于，在不显著增加密钥更换工作量的前提下，有效扩展可用密钥的容量。

1.2、密钥的分级保护

保障密钥安全具有关键意义。除密钥分配环节需实施保护外，密钥的使用与存储环节同样需要确保安全。保护密钥最直接的方式是将其存储于物理环境安全或运行可靠的介质中。若难以实现安全可靠的环境条件，则可引入密钥分级保护机制。通常，密码系统采用三级密钥管理架构，层级由高至低依次为主机主密钥、密钥加密密钥、会话密钥（或文件密钥）​，如图3.8所示。具体而言：①主密钥终身固定，用于标识密钥机的核心特征，承担对密钥加密密钥的加密保护功能；②密钥加密密钥按周期更新，其动态性在通信过程中体现用户身份特征，用于对会话密钥实施加密；③会话密钥按单次会话生成并更新，其临时性特征用于界定会话边界，实现会话隔离。

密钥分级保护是密钥管理的核心手段，实施分级保护是保障密钥系统安全的必然要求。分级密钥保护机制有助于提升密钥系统的整体安全性。

• 当少量处于高层级的主密钥注入系统后，下级密钥可在上级密钥的保护下，依据系统密码协议动态更新，从而使密钥系统形成动态运行机制，有效提升攻击难度。
• 密钥分级管理遵循"层级越低，更换越频繁"的原则。
• 通过密码算法实现上级密钥对下级密钥的加密保护，可确保下级密钥丢失时不影响上级密钥安全，最大限度降低安全风险。

密钥管理分级保护架构的选择与应用场景密切相关，部分场景可采用两级架构，即主密钥与工作密钥。工作密钥可直接供上层应用程序调用，具体包括存储加密密钥、预共享密钥、MAC密钥、签名私钥等类型。实际应用中，三级或两级管理架构的选择需根据安全产品所涉及加密场景的复杂程度来确定。针对复杂加密场景，建议采用三级管理架构。

2、密钥的协商与分配

毫无疑问，所有密码系统的安全性均依赖于密钥------密钥是决定整个密码体制安全强度的核心要素。在密钥的全生命周期中，每个阶段都至关重要，其中密钥分配与存储往往是最具挑战性的问题，而密钥分配更是密码系统设计的关键环节。

2.1、基于对称密码体制的密钥分配

非对称密码体制的优势在于无需预先交换密钥即可建立安全信道，但其加密和解密效率通常低于对称密码（如RSA算法的效率显著低于DES、AES等对称密码算法）​。因此，在实际应用中，对称密码多用于加密"长消息"​，而密钥的安全交换仍需依赖密钥交换协议解决。此类协议中，通常需要引入可信权威机构（如可信第三方、认证服务器、密钥分配中心（KDC）​、密钥交换中心等）​，由其承担用户身份认证、证书颁发、密钥初始化等职责。

当两个用户（包括主机、进程或应用）采用对称密码体制通信时，首先需建立共享的秘密密钥，且为防范攻击者窃取，该密钥需定期更新。因此，对称密码系统的安全强度与密钥分配技术直接相关。一般而言，用户A与用户B获取共享密钥的典型方法有以下4种：

• 用户A自主选取密钥，通过物理手段传递给用户B。
• 由可信第三方选取密钥，通过物理手段分别传递给用户A和用户B。
• 若用户A与B已共享一个初始密钥，其中一方生成新密钥后，通过已有密钥加密并发送给另一方。
• 若用户A、B与可信第三方C两两之间存在独立保密信道，C可为A、B生成密钥，并通过各自保密信道分别发送。

前两种方法属于人工密钥分发。在通信网络中，若仅个别用户需要保密通信，人工分发密钥是可行的；但当所有用户均要求支持加密服务时，任意两个通信用户都需共享唯一密钥------假设有n个用户，则密钥总数为n（n-1）/2。显然，当n较大时，人工分发的成本将急剧攀升，不再适用。

第三种方法存在明显缺陷：若攻击者窃取用户某一初始密钥，即可推导出后续所有密钥；此外，为所有用户分配初始密钥的成本同样高昂。

第四种方法是实际应用中较为常见的方案，其中第三方通常为专门的密钥分配中心（KDC）​。在此架构下，每个用户需与KDC共享一个主密钥；KDC通过主密钥为用户生成会话密钥，用于二者间的保密通信，通信结束后会话密钥即被销毁。若网络用户规模大且分布广泛，单一KDC难以承担全局密钥分配任务时，可采用多级KDC的分级管理结构。

2.2、基于公钥密码体制的密钥分配

公钥密码体制的核心应用之一是为对称密码系统提供密钥分配支持。其密钥分配方法主要包含以下类型。

1）公开发布

公开发布是指用户将自身公钥主动发送给其他用户，或向特定团体广播。例如，广泛应用的优良保密协议（PrettyGood Privacy, PGP）采用RSA算法，其用户常将公钥附加于消息后发送至公共区域（如互联网邮件列表）​。该方法虽操作简便，但存在显著缺陷------任何主体均可伪造公开发布的公钥信息。

2）公用目录表

公用目录表由可信实体构建并维护动态公钥目录，用于发布注册用户的公钥信息。目录由该实体的管理员定期更新 并公布，用户可通过电子方式访问查询。相较于公开发布，此方法安全性有所提升，但仍面临潜在攻击风险。若对公钥目录的分配规则施加更严格控制（如限制修改权限、增加审计机制）​，可进一步增强其安全性。

3）公钥管理机构

公钥管理机构与公钥目录表机制类似，由专门机构为用户构建并维护动态公钥目录。注册用户均已知悉该管理机构的公钥，而管理机构持有对应私钥，并通过密钥分配协议（如Needham-Schroeder公钥协议）实现双方实体认证与密钥互认。

4）公钥证书

尽管公钥管理机构能提供密钥分配服务，但其作为集中式枢纽可能成为系统瓶颈，且目录表易受篡改攻击。因此，实际应用中更常用公钥证书实现密钥分配------用户通过证书直接交换公钥，无需依赖管理机构。公钥证书由证书管理机构（CA）签发，包含与用户私钥匹配的公钥、用户身份信息、时间戳等数据项，所有信息经CA私钥签名后形成完整证书。此方法不仅能确保密钥信息的机密性，还能通过CA签名实现信息源的身份认证（如X.509数字证书即具备此功能）​。

完成公钥分配后，用户即可利用公钥密码体制开展保密通信。需注意的是，公钥加密因效率较低，通常不直接用于大规模数据加密，但其核心优势在于高效支持对称密码体制的密钥分配。

3、Diffie-Hellman密钥交换

1976年，Diffie与Hellman在论文《密码学的新方向》中首次提出密钥交换算法，简称D-H密钥交换算法（或协议）​。该算法的核心目标是使通信双方在非安全信道上安全交换共享密钥，为后续通信提供加密密钥支持。作为最早的密钥交换算法之一，D-H协议已被广泛应用于商业产品中。

3.1、D-H密钥交换的理论基础

D-H算法的安全性依赖于离散对数问题的计算困难性。其理论基础可通过以下定义展开：首先定义素数p的本原根。如果整数a是素数p的一个本原根（对于正整数gcd（a, p）=1，如果a是模p的本原根，那么a是整数模p乘法群的一个生产元）​，且其幂可以产生1～（p-1）之间的所有整数，也就是说，若a是素数p的本原根，则a mod p,a2mod p，...，a（p-1）mod p是各不相同的整数，且以某种排列方式组成了从1～（p-1）所有整数的一个置换。

如果对任意整数b和素数p的本原根a，都可以找到唯一的指数i，使得b≡ai modp, 0≤i≤（p-1）​，那么，指数i称为b的以a为基数的模p的离散对数，记为d loga, p（b）​。

D-H算法的含义是：当已知大素数p和它的一个本原根a后，对给定的b，要计算i，被认为是很困难的，而根据给定的i计算b，却相对容易。

3.2、D-H密钥交换算法描述

设用户A、B两者进行通信前需要交换密钥，首先A、B共同选取素数p及其本原根a（p和a均公开）​。之后，用户A选择一个一次性的私有密钥XA（XA＜p）​，计算出公开密钥YA，并将其发送给用户B。同样，用户B选择一个私有密钥XB（XB＜p）​，计算出公开密钥YB，并将其发送给用户A作为响应。用户A和B各自收到对方的公钥后，A用YB和XA计算出共享密钥K, B用YA和XB计算出共享密钥K。整个D-H密钥交换流程如图所示。

基于本原根的定义及性质，可以描述D-H密钥交换算法如下：

• 有两个全局公开的参数，一个素数p和一个整数a, a是p的一个本原根。
• 假设用户A和B希望交换一个密钥，用户A选择一个作为私有密钥的随机数XA（XA＜p），并计算公开密钥插图。A对XA的值保密存放而使YA能被B公开获得。类似地，用户B选择一个私有的随机数XB（XB＜p），并计算公开密钥插图。B对XB的值保密存放而使YB能被A公开获得。

• （3）用户A产生共享秘密密钥的计算方式是插图。同样，用户B产生共享秘密密钥的计算方式是插图。这两个计算产生相同的结果：

插图，因此相当于双方已经交换了一个相同的秘密密钥：插图。

• 因为XA和XB是保密的，一个敌对方可以利用的参数只有p、a、YA和YB。因而敌对方被迫取离散对数来确定密钥。例如，要获取用户B的秘密密钥，敌对方必须先计算XB=Inda, p（YB），然后使用用户B采用的同样方法计算其密钥K。D-H算法的安全性依赖于这样一个事实：虽然计算以一个素数为模的指数相对容易，但计算离散对数却很困难。对于大的素数，计算出离散对数几乎是不可能的。

例如：密钥交换中所使用的素数p（p=353）和a（a=3，是353的一个本原根）​，A和B分别随机选择私有密钥XA=159和XB=21，分别计算其公开密钥：YA≡3159mod 353=77; YB≡321mod 353=219。

在A和B相互交换公开密钥后，各自通过计算得到共享密钥：K≡插图；插图。

如果攻击者能够获得p=353、a=3和公开密钥YA=77、YB=219，要计算出138是一个难解问题。当然，用穷举法确定密钥138也是可能的。特别地，攻击者也可以通过寻找方程3amod 353=77或3pmod 353=219的解来确定该公共密钥。使用穷举法需要计算3模353的若干幂，当计算结果等于77或者219时则停止。因为3159mod353=77，所以指数为159时可以得到期望的结果。但对于较大的数，这种方法实际上是不可行的。

3.3、D-H密钥交换算法的应用

D-H密钥交换算法是一种确保共享密钥安全穿越不安全网络的方法，其核心目标是完成通信双方对称密钥的安全交互。该算法的巧妙之处在于，即使在不安全环境（存在监听者）下，密钥信息也不会泄露；基于此密钥，通信双方可进一步开展加密与解密操作。目前，D-H密钥交换算法已广泛应用于网络通信领域，例如HTTPS协议采用的TLS（传输层安全协议）和IPsec协议采用的IKE（互联网密钥交换协议）均以D-H密钥交换作为核心密钥交换算法。

需特别指出的是，D-H密钥交换算法仅用于密钥交换，无法直接实现消息加密和解密，且存在以下两点局限性：其一，算法未提供双方身份的认证信息，因此无法抵抗中间人攻击；其二，算法具有计算密集型特征，若攻击者发起大量密钥请求，被攻击者将耗费大量计算资源求解无用的幂次方，而非执行实际业务操作。

4、密钥管理机制

密钥管理不仅直接影响系统安全性，还涉及系统可靠性、有效性与经济性，因此在信息安全领域占据日益重要的地位。当前，主流密钥管理机制主要分为3类：适用于封闭网络的集中式密钥管理中心（KMI）机制、适用于开放网络的公钥基础设施（PKI）机制，以及我国的授权管理基础设施（PMI）机制。

4.1、密钥管理基础设施（KMI）

密钥管理基础设施（Key Management Infrastructure,KMI）是一种集中式密钥管理机制，由密钥管理中心（Key Management Center, KMC）提供统一的密钥管理服务，其核心组件包括密钥生成服务器、密钥数据库服务器及密钥服务管理器等。KMI基于秘密通道（物理通道）实现密钥分发，经历了从静态分发到动态分发的技术演进，目前已成为专用网中应用较为广泛的密钥管理方案。

1）静态分发

静态分发是在KMC与所属用户建立信任关系的基础上，由KMC统一生成、分发和更换密钥的预配置技术。其主要配置结构包括以下3类。

• 点对点密钥配置结构：支持单钥或双钥实现。单钥模式可为身份鉴别提供可靠参数，但无法支持不可否认服务；数字签名等场景需依赖双钥模式。
• 一对多密钥配置结构（星型密钥配置结构）：支持单钥或双钥实现，是点对点分发的扩展形式。该结构中，密钥管理中心集中保留所有终端的密钥，各终端仅保留自身密钥。一对多密钥配置在银行清算、军事指挥、数据库系统等领域仍为主流技术，也是构建秘密通道的主要手段。
• 格状网密钥配置结构（端到端密钥配置结构）：支持单钥或双钥实现，密钥配置数量为全网终端中任意两端组合的数量。

2）动态分发

动态分发是一种"请求-分发"机制（与静态分发相对应的电子分发模式）​，主要用于实时通信中会话密钥的建立。该机制在一定程度上缓解了密钥管理规模化带来的矛盾，主要包含以下两种分发方式。

• 基于私钥的单钥分发：其特点是通过静态分发预先配置的星型密钥结构，主要解决会话密钥的分发问题，操作简单易行。
• 基于私钥的公钥分发：其特点是将公私钥对均视为秘密变量（或分离处理，私钥作为秘密变量、公钥作为公开变量），通过动态请求实现密钥分发。

4.2、公钥基础设施（PKI）

公开密钥基础设施（Public Key Infrastructure, PKI）是遵循标准化规范的密钥管理平台，适用于开放性网络环境。PKI能够为所有网络应用提供加密、数字签名等密码服务，以及所需的密钥与证书管理功能，从而保障互联网信息传递的安全性、真实性、完整性与不可抵赖性。通过PKI可便捷构建并维护可信的网络计算环境，使用户在无法直接交互的场景中，能够确认彼此身份及交换信息的安全性，进而安全开展各类活动。PKI技术是网络安全技术的核心。

1）PKI基本组成

狭义上，PKI通常指数字证书管理系统；广义上，所有基于PKI技术、提供公钥加密与数字签名服务的网络安全信任体系均可称为PKI系统。PKI的核心技术围绕数字证书的全生命周期（申请、颁发、使用、撤销）展开，其主要目标是通过自动化密钥与证书管理，为用户建立安全的网络运行环境，支持多场景下加密与数字签名技术的便捷应用，最终保障互联网数据安全。

一个典型、完整且有效的PKI应用系统至少需包含以下核心组件：认证机构（CA）​、数字证书库、密钥备份与恢复模块、证书撤销服务及PKI应用接口。PKI体系的构建即围绕这些基础构件展开，其典型架构如图所示。

• 认证中心（CA）。作为数字证书的申请与签发机构，CA是PKI的核心，需具备高度权威性。通常，CA由三部分构成：注册中心，负责为用户提供证书申请的持续服务；证书申请受理与审核机构，负责证书申请的受理与审核；认证中心服务器，负责证书生成、发放、管理及各类事务处理。
• 数字证书库。数字证书库用于存储已签发的数字证书及公钥，是网络中的公共信息库，用户可通过其获取所需的其他用户证书及公钥。
• 密钥备份与恢复。当用户因意外原因丢失解密密钥时，将导致密文数据无法解密。为避免合法数据丢失，PKI提供密钥备份与恢复机制------当需要恢复时，用户向CA提交申请，CA将自动完成恢复操作。需特别说明的是，密钥备份与恢复仅针对解密密钥，签名私钥为确保唯一性不可备份。
• 证书撤销。证书撤销是PKI的必备组件。与实体身份证件类似，证书有效期内可能因密钥介质丢失、用户身份变更等原因需要注销。为此，PKI需建立系列证书作废机制。
• PKI应用接口。PKI的核心价值在于让用户便捷使用加密、数字签名等安全服务，因此完整的PKI需配备完善的接口系统，支持各类应用以安全、一致、可信的方式与PKI交互，保障网络环境的安全性、可靠性与易用性。

2）PKI的体系标准

随着PKI的广泛应用，为保障不同产品间的兼容性，标准化成为其发展的必然要求。从PKI体系的演进历程看，相关体系标准主要包括以下4类：

• ASN.1（抽象语法标记，Abstract Syntax NotationOne）。ASN.1是ISO/ITU-T制定的标准，定义了数据表示、编码、传输及解码的格式规范。其通过一套完整的形式化格式描述对象结构，与编程语言无关，也不涉及数据的具体语义或应用场景。
• X.500目录服务。X.500是已被ISO采纳的目录服务系统标准，定义了机构如何在全局范围内共享名称及相关对象。在PKI体系中，X.500用于唯一标识实体（如机构、个人或服务器）。尽管X.500被视为实现目录服务的理想方案，但其实现成本较高且运行效率相对较低，优势在于具备信息模型、多功能性及开放性。
• PKIX（X.509公钥基础设施，Public KeyInfrastructure on X.509）。PKIX系列标准规范了X.509证书在互联网环境中的应用，涵盖证书生成、发布与获取，各类密钥生成与发布机制，以及标准实施的结构框架等内容。
• PKCS（公钥密码学标准，Public KeyCryptography Standards）。PKCS由美国RSA实验室制定，是一组公钥密码学标准，涵盖证书申请、更新、作废列表发布、扩展内容定义及数字签名、数字信封格式等系列协议。

除上述协议外，基于PKI体系构建的应用协议还包括安全电子交易协议（SET）​、安全套接层协议（SSL）等。

3）PKI的优势

PKI作为一种密钥管理安全技术，具备良好的扩展性，适用于开放业务场景，被广泛应用于多个领域，展现出强大的技术优势。基于公钥密码技术支持的数字签名具备可公开验证且不可仿冒的特性，为网络环境提供了理论上的安全保障，其核心优势体现在以下方面：

• （1）不可抵赖性：公钥密码技术支持的数字签名具备可公开验证且不可仿冒的特性，为可追究性服务提供了不可替代的技术支撑。
• （2）数据保密性：PKI不仅能为相互信任的实体间提供机密性服务，还可为陌生用户间的通信提供保密支持，覆盖更广泛的安全需求场景。
• （3）用户独立验证：数字证书支持用户独立验证，无需依赖在线查询。PKI通过数字证书直接绑定末端实体的密钥，而非采用在线查询或分发模式，突破了传统安全验证服务必须在线的限制。
• （4）证书撤销机制：PKI提供完善的证书撤销机制，为意外场景（如密钥泄露、用户身份变更等）提供补救措施，增强用户对系统的信任度。该机制支持对静态身份或动态角色的统一管理，为用户提供灵活的安全服务。
• （5）强互联能力：PKI遵循人类社会的信任模式构建多形式互联机制，能够有效服务于符合人类习惯的大型网络信息系统。其互联技术为消除网络空间的信任孤岛提供了关键技术保障。

4.3、授权管理基础设施（PMI）

授权管理基础设施（Privilege ManagementInfrastructure, PMI）是我国国家信息安全基础设施的重要组成部分，是由属性证书（Attribute Certificate,AC）​、属性权威机构（Attribute Authority, AA）​、属性证书库等组件构成的综合性系统，主要用于实现权限与证书的生成、管理、存储、分发及撤销等功能。

属性证书（AC）是一种数据结构，核心包含证书所有者ID、颁发者ID、签名算法、有效期、属性等信息。属性证书由属性权威机构（AA）进行数字签名，将证书持有者的 认证信息与特定属性值绑定，实现权限的精准分配。属性权威机构（AA）是负责发布属性证书、分配权限的认证机构，与PKI中的认证中心（CA）在逻辑和物理层面均保持独立。

目前，PMI已成为电子商务等网络应用中不可或缺的安全支撑系统。它以身份证书为载体，同步记录用户身份信息与权限信息，为身份认证提供有效手段，并为网络系统中访问控制的实施奠定基础。

PMI是在PKI解决信任与统一安全认证问题后提出的，其核心目标是解决统一的授权管理与访问控制问题。通过分离X.509标准中PKI的权限管理功能，PMI提供了更严格、便捷且高效的访问控制机制，是基于系统架构实现的权限管理解决方案。