新版Windows CA 证书服务器配置——申请数字证书
Ｗindows CＡ证书服务器配置(二) —- 申请数字证书
在ＩＥ地址栏中输入证书服务系统的地址,进入服务主页:
点击‘申请一个证书’进入申请页面:
如果证书用作客户端身份认证，则可点击‘Ｗeb浏览器证书’或‘高级证书申请’,一般用户申请‘Ｗeb浏览器证书’即可,‘高级证书申请’里有更多选项，也就有很多专业术语，高级用户也可点击进入进行申请.
这里我们以点击申请‘Wｅｂ浏览器证书’为例：
申请‘Wｅｂ浏览器证书',‘姓名’是必填项，其他项目可不填，但由于CＡ服务器的管理员是根据申请人的详细信息决定是否颁发的，所以请尽量多填,并且填写真实信息,因为CＡ管理员会验证申请人的真实信息,然后进行颁发。
需注意的一点是,‘国家（地区）’需用国际代码填写,CN 代表中国。
如果想查看更多选项,请点击‘更多选项’：
在‘更多选项'里,默认的CSＰ为Mｉcrｏsoｆt Eｎhanced CrｙptogrａｐhiｃProvｉder v1。0,选择其他CSＰ不会对认证产生影响。
默认情况下‘启用强私钥保护’并没有勾选上，建议将它勾选上，点击提交后就会让申请人设置证书的安全级别，如果不将安全级别设置为高级并用口令进行保护,则只要机器上装有该证书,任何人都可以用它作为认证,所以建议将
证书设置为高级安全级别,用口令进行保护。以下将作相应操作，点击‘提交’:
单击‘是’：
单击‘设置安全级别'：
将安全级别设置为‘高',单击‘下一步’后会弹出口令设置窗口:
输入口令,对证书进行加密，并记住密码,因为在以后调用该证书的时候，浏览器会弹出输入密码的窗口.
单击‘完成’：
单击‘确定',浏览器页面跳向如下:
单位数字证书申请表 请如实填写本表，*为必填项，并提交相应证明材料至北京数字认证股份有限公司或其设立的注册机构审核。 1. 证书办理类型 *证书业务类型： *证书有效期： 证书应用信息： 应用归属单位： 大庆市公共资源交易中心 应用系统名称： 大庆市公共资源交易管理平台 2. 申请单位资料 *单位名称： *法定代表人： *通信地址： *邮政编码：*单位电话： 单位传真： *经办人姓名： *经办人手机： 经办人电子邮箱： *经办人证件名称： *证件号码：*证件1 营业执照副本 统一社会信用代码 *证件2 组织机构代码证 组织机构代码： 4. 受理审批（受理单位填写） 初次办理证书更新 信息变更丢失补办损坏补办 密码解锁证书吊销1年其他
北京数字认证股份有限公司电子认证服务协议数字证书是电子认证服务机构签发的包含数字证书使用者身份信息和公开密钥的电子文件。 北京数字认证股份有限公司（以下简称BJCA），是工业和信息化部批准的电子认证服务机构和国家密码管理局批准的电子政务电子认证服务机构，遵照《中华人民共和国电子签名法》为用户提供数字证书相关的电子认证服务。 本协议中的用户指数字证书持有人以及申请使用数字证书的实体。 为明确各方权利和义务，BJCA和用户就数字证书的申请和使用等事宜达成以下协议，共同遵守执行。 第一条申请 1.用户在申请数字证书时，应提供真实、完整和准确的信息及证明材料。如因故意或过失未向BJCA或其设立的注册机构 提供真实、完整和准确的信息，导致BJCA签发证书错误，造成相关各方损失的，由用户承担相关责任。 2.BJCA设立的注册机构作为证书业务受理单位和服务支持单位，负责用户的信息录入、身份审核和证书制作工作。用户 在申请数字证书时应遵照注册机构的规程办理手续。 3.BJCA设立的注册机构应完全遵守BJCA安全操作流程进行用户身份审核和证书制作。 4.BJCA积极响应各注册机构发出的证书申请请求，及时为通过审核的用户签发证书。如果由于设备或网络故障而导致签 发数字证书错误、延迟、中断或者无法签发，BJCA不承担任何赔偿责任。 5.用户在获得数字证书时应及时验证此证书所匹配的信息，如无异议则视为接受证书。 第二条使用 1.BJCA签发的数字证书用于网络上的用户身份标识、数字签名验证及密钥分配，各应用系统可根据需要对其用途进行定 义，但不包括涉及违反国家法律、法规或危害国家安全的用途。 2.用户应确保其应用系统能为数字证书提供安全的应用环境，若因网络、主机、操作系统或其他软硬件环境等存在安全 漏洞，由此导致的安全事故及相关后果，BJCA不承担责任。 3.用户应当妥善保管BJCA签发的数字证书、私钥及保护密码，不得泄漏或交付他人。如用户保管不善导致数字证书遭盗 用、冒用、伪造或者篡改，用户应当自行承担相关责任。 4.数字证书对应的私钥为用户本身访问和使用，用户对使用数字证书的行为负责。所有使用数字证书在网上交易和网上 作业中的活动均视为用户所为，因此而产生的相关后果应当由用户自行承担。 5.数字证书一律不得转让、转借或转用。因转让、转借或转用而产生的相关后果应当由用户自行承担。 6.BJCA承诺，在现有的技术条件下，由BJCA签发的数字证书不会被伪造、篡改。如果发生数字证书被篡改、伪造，经确 认确属BJCA责任，BJCA承担赔偿责任。赔偿方法参照《北京数字认证股份有限公司电子认证业务规则》。 第三条更新 1.数字证书的有效期自证书受理之日起计算。若在数字证书有效期到期后，用户仍需继续使用数字证书，必须在数字证 书到期前一个月内向BJCA设立的注册机构提出数字证书更新请求。否则，证书到期将自动失效，BJCA对此不承担责任。 2.因技术需要，BJCA有权要求用户及时更新数字证书。用户在收到更新通知后，应在规定的期限内到BJCA设立的注册机 构更新证书。若用户逾期没有更新证书，因此而产生的相关后果应当由用户自行负责。 第四条吊销 1.如遇数字证书私钥泄露丢失、证书中的信息发生重大变更、或用户不希望继续使用数字证书的情况，用户应当立即到 BJCA设立的注册机构申请吊销证书。吊销手续遵循各注册机构的规定。BJCA在接到吊销申请后，在24小时内吊销用户的数字证书。用户应当承担在证书吊销之前所有因使用数字证书而造成的责任。 2.如果用户主体资格灭失（如企业注销等），法定责任人应携带相关证明文件及原数字证书，向注册机构请求吊销用户证 书。相关责任人应当承担其数字证书在吊销前所有使用数字证书而造成的相关后果。 3.对于下列情形之一，BJCA有权主动吊销所签发的证书： ?用户申请证书时，提供不真实信息； ?证书对应的私钥泄露或出现其他证书的安全性得不到保证的情况； ?用户不能履行或违反了相关法律、法规和本协议所规定的责任和义务； ?法律、法规规定的其他情形。 第五条其他 1.BJCA不对由于意外事件或其他不可抗力事件而导致暂停或终止全部或部分证书服务承担任何责任。 2.本协议条款可由BJCA随时更新，BJCA会通过网站******进行通知和公布，更新后的协议一旦公布即替代原来的协议 条款。用户如果不接受修改后的协议，可于通知发布之日起十五日内，向BJCA设立的注册机构提出吊销证书的申请。 如果逾期没有提出异议，则视为同意接受修订后的协议。 3.本协议与BJCA网站上公布的《北京数字认证股份有限公司电子认证业务规则》共同构成关于数字证书的完整协议。 4.本协议的解释适用中华人民共和国法律。若用户与BJCA之间发生任何纠纷或争议，首先应友好协商解决，协商不成的， 双方同意将纠纷或争议提交北京市海淀区法院管辖。 5.用户确认已经认真阅读并完全理解本协议中的各项规定，用户在申请表上签名盖章即表明接受本协议的约束，本协 议即时生效。
CA（证书颁发机构）配置概述图解过程 一．CA（证书颁发机构）配置概述 由于现在安全问题日益严重，为了保证数据传输的性，交易者双方身份的确定性等问题，我们需要采用一种安全机制来实现这些功能，在这里我们来探讨以下PKI体系中的“证书”，也就是如何来构建一个CA的环境来保证安全性。 CA（证书颁发机构）主要负责证书的颁发、管理以及归档和吊销，我们可以把证书认为是我们开车需要使用的驾驶执照。证书包含了拥有证书者的、地址、电子、公钥、证书有效期、发放证书的CA、CA的数字签名等信息。证书主要有三大功能：加密、签名、身份验证。这里不在具体阐述加密相关知识，这里主要讨论如何来实现CA的环境。 CA的架构是一种层次结构的部署模式，分为“根CA”和“从属CA”：“根CA”位于此架构中的最上层，一般它是被用来发放证书给其他的CA（从属CA）。在windows系统中，我们可以构建4种CA：企业根CA和企业从属CA（这两种CA只能在域环境中）；独立根CA 和独立从属CA。 安装CA：通过控制面板--添加删除程序--添加删除windows组件--证书服务，在安装过程中选择安装的CA类型，再这里我们选择独立根CA，输入CA名称以及设置有效期限，完成向导即可。（在这里注意：安装证书服务前先安装IIS）申请证书：CA服务装好以后就可以直接申请证书了，申请证书有两种方法：通过MMC控制台（此方法只适用于企业根CA和企业从属CA）和通过WEB浏览器。在这里我们只能选择WEB浏览器的方式，找到一台客户端计算机，在IE浏览器中输入[url]ca[/url]服务器的IP地址或者计算机名/certsrv 即可。然后选择申请新证书，选择证书的类型，输入正确的信息，即可获得证书。 使用证书：我们可以自己架设一个最简单的POP3服务器，来实现服务。现在假设lily 要向lucy发送一封加密和签名电子，在lily这边的outlook中选择工具----，选择lily的，再单击属性--安全，选择证书就可以了。在lucy处做同样的操作。 二．证书服务器图解过程试验拓扑：
3. 咨询服务电话：400-6682666 业务系统CA应用业务须准备的申请资料（以下资料需采用A4纸单面复印） 1. 数字证书业务申请表（一式一份三联，加盖公章）； 2. 工商营业执照复印件（一式一份，加盖公章）； 3. 组织机构代码证复印件（一式一份，加盖公章，可选，若用户以后要升级为“一卡通”数字证书必需提交）； 4. 纳税人登记证复印件（一式一份，加盖公章，可选，若用户以后要升级为“一卡通”数字证书必需提交）； 5. 经办人身份证或其他有效证件复印件（正反面）一份； 6. 单位介绍信（一式一份，加盖公章）； 7. 用户应携带以上资料原件供业务办理时查验。 用户声明：我单位在此郑重声明: 我单位授权经办人办理数字证书开通应用业务，保证表内所填内容完全属实，接受据此颁发的数字证书，明确“HUNCA数字证书用户责任书”中所阐述的权利及义务，并承担相应法律责任。 经办人（签名）受理人（签名） 申请单位（盖章）证书受理点（盖章） 年月日年月日
数字证书申请责任书 数字证书用于网上作业中的身份识别和信息加密，湖南数字认证服务中心有限公司（以下简称湖南CA）作为权威的、公正的第三方机构，为网络用户（以下简称用户）发放各类数字证书。为确保在网上作业中，数字证书能正确标识用户身份，所有用户在申请和使用数字证书时必须严格遵循以下规程。 一、湖南CA发放的数字证书只能用于在网络（Internet / Intranet/ Extranet）上标识用户身份，各应用系统可以根据该功能对其用途进行定义。数字证书不能作为其他任何用途，湖南CA不承担由此产生的任何责任。 二、湖南CA委托证书受理点进行用户的信息录入、身份审核和证书制作工作。用户在申请数字证书时请遵照证书受理点的规程办理手续。在通过证书受理点的录入、审核和制作后，用户即可获得所申请的数字证书。 三、证书受理点在进行用户身份审核或证书制作时，将充分遵守湖南CA安全操作流程，严格审核用户身份，确保证书信息与用户身份保持一致。由于受理点的审核与操作失误造成的事故将由受理点承担责任。 四、湖南CA将积极响应各证书受理点发出的证书申请请求，及时为通过审核的用户签发证书。如果由于湖南CA的设备或网络故障而导致签发数字证书错误、延迟、中断或者无法签发，湖南CA将重新签发证书，但不承担任何赔偿责任。 五、由于不可抗力原因（如地震、战争等）而暂停或终止全部或部分证书服务，湖南CA不承担任何赔偿责任。 六、湖南CA承诺，在现有的技术条件下，由湖南CA签发的数字证书不会被伪造、篡改。如果发生数字证书被篡改、伪造，用户举报并经确实，湖南CA承担赔偿责任。 七、随技术的进步，湖南CA有权要求用户更换数字证书。用户在收到更新通知时，应在规定的期限内到湖南CA更新证书，若逾期用户没有更新证书，所引起的后果由用户自行承担。 八、用户在证书受理点办理证书时，故意或过失提供不真实资料，导致湖南CA签发证书错误，导致他人损失时，由用户承担一切责任。 九、用户应当妥善保管湖南CA所签发的数字证书，不得泄漏或交付他人。如因故意、过失导致他人知道
实验数字证书的申请与使用（参考） 实验性质与背景知识 本实验为必做课程实验，分为认知性、验证性和应用性实验。 数字证书提供了一种在 Internet 上身份验证的方式，是用来标志和证明网络通信双方身份的数字信息文件，与司机驾照或日常生活中的身份证相似。数字证书是由一个由权威机构即CA机构，又称为证书授权（Certificate Authority）中心发行的，人们可以在交往中用它来识别对方的身份。在网上进行电子商务活动时，交易双方需要使用数字证书来表明自己的身份，并使用数字证书来进行有关交易操作。数字证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间，发证机关（证书授权中心）的名称，该证书的序列号等信息，证书的格式遵循相关国际标准。 本实验包括数字证书的下载、安装，以及使用数字证书发送加密和签名的安全电子邮件。 作业做好后应该有如下图例： （7）图三 实验步骤 A、在https://www.doczj.com/doc/2f13187648.html,网站申请数字证书并安装到自己的机器中。 申请证书： 第一步，登录Ca365的网站https://https://www.doczj.com/doc/2f13187648.html,，点击安装根证书，完成根证书安装。 第二步，点击注册，进入注册页面，在注册页面中按规定要求填写注册信息。（建议大家用163信箱，配置OUTlooK可以统一） 第三步，辨识码为自己设置的密码。
第四步，进入邮箱，收管理员发来的电子邮件，点击邮件中的链接，进入获取证书的页面，点击“获取”，进入确认页面，输入个人身份号(管理员电子邮件中发来的号码)，完成安装。 B、在IE中查看数字证书 首先在打开Internet Explorer，在Internet Explorer的菜单上，单击“工具”菜单中的“Internet选项”。选取“内容”选项卡，点击“证书”按钮来查看读者信任的当前证书的列表。 点击“个人”选项卡可以查看读者已经申请的个人数字证书；选定读者要查看的个人数字证书，然后单击“查看” 按钮，可以查看证书的详细信息。 注意，要先安装该网站的根证书，并将机器时间设置成正确的当前时间，有的同学所用的机器时间显示不对也无法正常实验。 找到其他人的证书(没有私钥的)也安装到自己的机器中。两个同学一组，互相安装证书。 注意： 电子邮件的加密前提是必须要收件人和发件人都有数字证书，如果发件人想要给指定的收件人发送加密邮件的时候，那么必须有这个指定的收件人发送的签名邮件，如果使用Outlook Express或者Outlook接收邮件，那么在收件箱中收取邮件，选定该邮件单击右键选择“将发件人添加到通讯簿”选项，则系统会自动将收到邮件的签名证书导入系统，这样在下一次想要给对方发送加密邮件的时候，只需要选中加密按钮即可完成加密过程。 C 证书的导出
在填写申请表之前，请仔细阅读以下注意事项： ●请用钢笔或圆珠笔如实、准确、清楚地一式三份填写并加盖单位公章，带*栏为必填项。 ●申请证书所需提交的资料如下：①组织机构代码证(副本)的原件和复印件；②单位性质的证明文件 原件和复印件③申请应用项目证照(副本)的原件和复印件；④经办人有效身份证件的原件和复印 件。 （注：以上所有复印件，必须加盖申请单位公章） ●在正式申请证书前请仔细阅读“数字证书用户责任书”，一旦递交申请书则视作承认并遵守责任书 中的各项规定。 第 一 联 江 西 CA 留 存
在填写申请表之前，请仔细阅读以下注意事项： ●请用钢笔或圆珠笔如实、准确、清楚地一式三份填写并加盖单位公章，带*栏为必填项。 ●申请证书所需提交的资料如下：①组织机构代码证(副本)的原件和复印件；②单位性质的证明文件 原件和复印件③申请应用项目证照(副本)的原件和复印件；④经办人有效身份证件的原件和复印 件。 （注：以上所有复印件，必须加盖申请单位公章） ●在正式申请证书前请仔细阅读“数字证书用户责任书”，一旦递交申请书则视作承认并遵守责任书 中的各项规定。 第 一 联 受 理 点 留 存
在填写申请表之前，请仔细阅读以下注意事项： ●请用钢笔或圆珠笔如实、准确、清楚地一式三份填写并加盖单位公章，带*栏为必填项。 ●申请证书所需提交的资料如下：①组织机构代码证(副本)的原件和复印件；②单位性质的证明文件 原件和复印件③申请应用项目证照(副本)的原件和复印件；④经办人有效身份证件的原件和复印 件。 （注：以上所有复印件，必须加盖申请单位公章） ●在正式申请证书前请仔细阅读“数字证书用户责任书”，一旦递交申请书则视作承认并遵守责任书 中的各项规定。 第 一 联 用 户 留 存
CA数字证书申请与使用指引 一、网上在线申请证书 1、申请人登陆广州市数字证书管理中心服务网站https://www.doczj.com/doc/2f13187648.html,，进入“机构证书”下的“申办证书”。 2、阅读申请责任书并同意责任书，填写网办应用资料，选择证书使用年限，填写申请人相关资料信息，填写单位（企业）相关资料信息，选择领取证书服务网点，并提交申请。 3、打印申请表、申请责任书各一式三份并加盖单位公章，同时准备单位企业的相关证件。 申请人自证书申请成功起，7－10个工作日后，登陆https://www.doczj.com/doc/2f13187648.html,查询证书受理状态，如状态为可领取，即可携带相关申请资料与费用前往所选网点领取证书。 二、领取数字证书须提交的资料 1、数字证书申请表（一式三份，加盖公章）； 2、数字证书申请责任书（一式三份，加盖公章）； 3、组织机构代码证复印件（一式三份，加盖公章）； 4、营业执照复印件（一式三份，加盖公章）； 5、国税税务登记证复印件（一式三分，加盖公章）； 6、经办人有效证件（身份证或护照）复印件（一式三份正反面，加盖公章） 三、数字证书的收费标准： 数字证书收费标准按照省物价局的标准执行，新办数字证书介质工本费200元/个，证书类型为机构和业务的服务年费100元/年/每应用；证书类型为个人的的服务年费80元/年/每应用。 付款方式：现金支付（领取数字证书时缴纳） 四、数字证书驱动下载和安装： 温馨提示：PIN即密码,初始密码统一为“123456”。 1、数字证书驱动程序下载 请登陆:https://www.doczj.com/doc/2f13187648.html,，点击右上角“下载专区”下载对应的驱动程序(国税)，然后选择“数字证书客户端驱动程序” 2、数字证书驱动程序安装 温馨提示：安装驱动程序时，请不要插CA证书，驱动程序安装在默认的路径下，切勿更改路径。如果要重新安装客户端驱动程序，请先将原来安装的驱动程序卸载。 ●双击下载的客户端驱动程序,解压文件。 ●双击USB驱动包.EXE，按照提示点击“确定”→“下一步”→“完成” ●然后再双击数字证书客户端.exe，确认移除证书，点击“下一步”→“完成” ●安装成功后，电脑桌面上有一个“数字证书客户端”的标志。 注：数字证书在领取时已激活，要在24小时后方可以使用。 五、证书登陆： （确保证书证书连接USB接口）证书登陆广州市国家税务局网https://www.doczj.com/doc/2f13187648.html,--网上办税--〉网上办税大厅--〉证书登陆--〉输入PIN码（初始密码为：123456）---〉点击登陆--〉进入网上办税界面进行办税操作。 六、服务咨询联系方式： 咨询服务热线：83963838-3线 服务监督、投诉电话：12343
在IE地址栏中输入证书服务系统的地址，进入服务主页： 点击‘申请一个证书’进入申请页面： 如果证书用作客户端身份认证，则可点击‘Web浏览器证书’或‘高级证书申请’，一般用户申请‘Web浏览器证书’即可，‘高级证书申请’里有更多选项，也就有很多专业术语，高级用户也可点击进入进行申请。 这里我们以点击申请‘Web浏览器证书’为例： 申请‘Web浏览器证书’，‘姓名’是必填项，其他项目可不填，但由于CA服务器的管理员是根据申请人的详细信息决定是否颁发的，所以请尽量多填，并且填写真实信息，因为CA管理员会验证申请人的真实信息，然后进行颁发。 需注意的一点是，‘国家（地区）’需用国际代码填写，CN代表中国。 如果想查看更多选项，请点击‘更多选项’： 在‘更多选项’里，默认的CSP为Microsoft Enhanced Cryptographic Provider ，选择其他CSP不会对认证产生影响。 默认情况下‘启用强私钥保护’并没有勾选上，建议将它勾选上，点击提交后就会让申请人
设置证书的安全级别，如果不将安全级别设置为高级并用口令进行保护，则只要机器上装有该证书，任何人都可以用它作为认证，所以建议将证书设置为高级安全级别，用口令进行保护。以下将作相应操作，点击‘提交’： 单击‘是’： 单击‘设置安全级别’： 将安全级别设置为‘高’，单击‘下一步’后会弹出口令设置窗口： 输入口令，对证书进行加密，并记住密码，因为在以后调用该证书的时候，浏览器会弹出输入密码的窗口。 单击‘完成’： 单击‘确定’，浏览器页面跳向如下： 到这一步，申请人已经向CA服务器发送证书信息，并等待CA管理员对其进行核对，然后决定是否要颁发，如果CA管理员核对信息后决定颁发此证书，则申请人在其颁发之后再次访
单位数字证书申请表应用项目：证书业务受理号： 申 请 单位 资料单位名称：法定代表人： 详细地址：省市县（区）街(路)号邮政编码：□□□□□□电子邮件：联系电话：传真： 业务主管部门（分局）：所属部门：应用扩展： 单位证书类型：□单位身份证书□单位电子商务证书□单位代码签名证书 单位类别：□企业□事业□国家机关□社会团体□人民团体 组织机构代码证号（质监）：□□□□□□□□—□ 事业单位法人登记证注册号：社会团体登记注册号： 营业执照注册号（工商）：单位社会保障号（社保）： 税务登记证号（地税）：税务登记证号（国税）： 操作类型证书申请□ 证书更新□更改DN或E-MAIL □证书补发□证书延期证书注销□证书挂起□永久注销 证书恢复□ 证书资料证书有效期□12个月□24个月□其他个月（或天）存放介质：□USB-Key □智能卡□其他 申办人资料姓名：身份证号：□□□□□□□□□□□□□□□□□□联系电话：电子邮件： 申请单位在此声明： 1、本单位申请证书提供的资料完全真实。并愿意承担由于提供 的资料虚假失实而导致的一切后果。 2、本单位已认真阅读并同意遵守《数字证书申请责任书》中的各项规定。 3、本单位同意将“申请单位资料”中的内容写入数字证书并可以进行公开。 申请单位（盖章）： 日期：年月日受理单位（盖章）： 日期：年月日介质唯一标识码： 受理人受理员：录入员：审核员：制证员：备注： 填写说明： 1、在填写申请表之前，请仔细阅读申请表背面的《数字证书申请责任书》； 2、请用钢笔或圆珠笔如实、准确、清楚地填写申请表，各页均需加盖申请单位公章；--------------- 辽宁C A 留存------------------ --------------- 辽宁C A 留存------------------
机构（企业）数字证书业务申请表 业务受理人员（签名） 证书受理点（盖章） 年月日
GDCA数字证书用户协议 签发证书的CA机构【本协议内指数安时代科技股份有限公司（简称“CA机构”或“GDCA”）】是依据《中华人民共和国电子签名法》获得电子认证服务许可并在广东省注册登记的第三方电子认证服务机构，CA机构作为依法设立并获得《电子认证服务许可证》的第三方信任机构，依法向社会用户（以下简称“用户”）颁发数字证书,用于电子商务活动及电子政务公众服务。本协议中的“证书”指由国家认可的，具有权威性、可信性和公正性的第三方证书认证机构（CA）进行数字签名的一个可信的数字化文件。为进一步明确双方权利与义务，按照《中华人民共和国电子签名法》及《电子认证服务管理办法》等有关规定，双方就数字证书的申请和使用达成以下用户约定: 一、《GDCA数字证书用户协议》（简称“本协议”或“用户协议”）由用户与CA机构共同缔结，本协议具有合同效力。请用户务必审慎阅读、充分理解各条款内容，特别是免除或者限制CA机构责任的条款、对用户权利进行限制的条款以及约定争议解决方式和司法管辖的条款。前述免责、限制及争议解决方式和管辖条款可能以黑体加粗等方式提示用户注意，用户对该等条款的确认将可能导致在特定情况下的被动、不便及损失，请用户在签署本协议之前再次阅读前述条款。双方确认前述条款并非属于《合同法》第40条规定的“免除其责任、加重对方责任、排除对方主要权利的条款，并同意该条款的合法性及有效性。用户须同意接受本协议所有服务条款，并对本协议进行签署后，才能继续申请或使用CA机构提供服务的数字证书。 二、CA机构的权利与义务 （一）CA机构权利： 1、有权要求用户提供真实、完整、准确的材料和信息。2、有权要求用户按时交纳服务费用。3、有权要求用户在规定的时间、条件以及范围内遵守约定，使用数字证书。4、有权要求用户对所知的CA机构的商业秘密进行保密。 （二）CA机构义务：1、在网上交易和网上作业中，交易双方使用证书时可通过CA机构验证对方证书的有效性。如果由于CA机构的原因导致数字证书主体的身份认证错误，造成用户或他人损失时，CA机构承担赔偿责任，赔偿方法参照签发证书的CA机构《电子认证业务规则》（该业务规则报工业和信息化部备案，并在签发证书的CA机构官方网站）上公布。 三、用户的权利与义务 （一）用户权利：1、有权要求CA机构提供有效的数字证书。2、有权在因CA机构原因导致数字证书主体的身份认证错误，给用户造成损失时要求CA机构给予赔偿。 （二）用户义务：1、提供可验证的真实、完整、准确的材料和信息，不得提供虚假、无效的材料和信息；2、妥善保管CA机构所签发的数字证书和密码口令，不得泄漏或交付他人；3、在使用自己的密钥或数字证书时，应当使用可依赖、安全的系统；4、知悉数字证书已经失密或者可能已经失密时，应当及时告知CA机构及相关各方，并终止使用该数字证书；5、必须在证书有效期内使用该证书；不得使用已失密或可能失密、已过期、被中止、被撤销或被吊销的数字证书；6、按时向CA机构及业务受理点交纳服务费用。 四、有下列情形之一的，应当免除CA机构的责任：（一）用户在申请和使用CA机构的数字证书时，有违反本协议第三条所列义务之一的；（二）用户故意、过失导致数字证书密钥泄密或被盗用、冒用、伪造或者篡改的；（三）由于意外事件或不可抗力而导致数字证书签发错误、延迟、中断、无法签发，或暂停、终止全部或部分证书服务的。本项所规定之“不可抗力”，是指不能预见、不能避免并不能克服的客观情况。包括但不限于：1、自然现象或者自然灾害，包括地震、火山爆发、滑坡、泥石流、雪崩、洪水、海啸、台风等自然现象；2、社会现象、社会异常事件或者政府行为，包括政府颁发新的政策、法律和行政法规，或战争、罢工、骚乱等社会异常事件；3、关联单位如电力、电信、通讯部门服务中断；4、CA机构签发的数字证书只能用于在网络（Internet/Intranet/Extranet）上标识用户身份、确保电子数据的保密性、完整性和不可抵赖性。用户将数字证书用于其他用途引起的一切法律后果，CA机构不承担责任； 5、CA机构有权要求用户及时更换数字证书，用户在收到技术更新通知时，应在规定的期限内到CA机构更新数字证书，若逾期用户没有按时更新数字证书所导致的后果，CA机构不承担任何责任；6、CA机构已谨慎地遵循了国家法律、法规规定的数字证书认证业务规则，而仍有损失产生的。 五、有下列情形之一的，CA机构有权主动吊销所签发的数字证书，并且不承担任何责任：（一）新密钥对替代旧的密钥对；（二）与数字证书中的公钥相对应的私钥被泄密；（三）数字证书中的相关信息有所变更；（四）由于数字证书不再需要用于原来的用途而要求终止；（五）用户未按时缴纳数字证书更新费用的；（六）用户不能履行相关法律、法规和用户协议等所规定的责任和义务；（七）用户申请初始注册时，提供不真实材料；（八）数字证书已被盗用、冒用、伪造或者篡改；（九）其他因相关法律、法规或政策的要求采取的临时作废数字证书措施的。 六、数字证书的注销：用户不希望继续使用数字证书时或者因自然人死亡、单位解散等原因导致用户主体不存在时，法定责任人应当携带相关证明文件及原数字证书，向CA机构请求注销用户数字证书。CA机构在接到业务受理点的注销申请后，在24小时内正式注销用户的数字证书。用户应当承担其数字证书在注销前产生的一切责任。 七、数字证书的更新：当数字证书超过有效期时，用户如需要继续使用，须在证书失效期前30天内向CA机构或业务受理点提出数字证书更新请求。CA机构不承担因用户不及时更新数字证书而造成数字证书失效所带来的任何责任。 八、本协议的变更：本协议如有修订而涉及用户及业务受理点的权利、义务时，CA机构须在官方网站上公布或者按照用户在申请证书时提供的联系方式进行通知。用户如果因此而需要撤销或变更证书的，应当在CA机构公布修订的相关信息之日起十五日之内，向CA机构提出申请。逾期没有提出，则视为同意并遵照新修订的用户协议所确定的权利和义务。 九、本协议不适用于CA机构签发的测试证书。用户使用测试证书所导致的后果，CA机构不承担任何责任。 十、违约责任：若任意一方违反了本协议的约定，需要向对方承担相应的违约责任。 十一、因本协议产生的争议，双方协商解决，解决不了的由CA机构所在地人民法院进行管辖。 十二、本协议需要用户签字盖章且用户资料经CA机构审核通过才能生效,本协议的生效日期为CA机构盖章之日。 用户方（签字/盖章）： CA机构（盖章）： 单位经办人/负责人（签字）：经办人员（签字）： 日期：日期：
实验2 数字证书的申请及安装 【实验目的】1. 了解认证体系的体制结构、功能、作用、业务范围及运行机制。 2. 掌握网上申请个人数字证书的方法。 3．掌握数字证书的导入、导出和安装。 【实验环境】Windows操作系统（推荐使用windows xp）、Internet、Internet Explorer 【主要内容】 1. 通过搜索国内认证机构网站，了解其功能、作用及所提供的业务 2.在“中国数字认证网”网站（https://www.doczj.com/doc/2f13187648.html,/）为自己申请“个人安全电子邮件证书”。 3.证书查看、导入和导出。 4.使用申请的数字证书发送签名和加密电子邮件（选做） 【实验导读】 数字证书的原理及作用 数字证书采用PKI（Public Key Infrastructure）公开密钥基础架构技术，利用一对互相匹配的密钥进行加密和解密。用户采用自己的私钥对发送信息加以处理，形成数字签名。由于私钥为本人所独有，这样可以确定发送者的身份，防止发送者对发送信息的抵赖性。接收方通过验证签名还可以判断信息是否被篡改过。 数字证书的颁发 数字证书是由认证中心（CA机构，Certificate Authority）颁发的。 认证中心是能向用户签发数字证书以确认用户身份的管理机构。它作为电子商务交易中受信任的第三方，一方面为每个使用公开密钥的用户发放一个数字证书，其作用是证明证书中列出的用户合法拥有证书中列出的公开密钥；另一方面承担公钥体系中公钥的合法性检验的责任。 ?数字证书颁发过程 数字证书颁发过程如下：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，
Windows CA 证书服务器配置(一) —— Microsoft 证书服务安装Windows CA 证书服务器配置(一) —— Microsoft 证书服务安装 2008-09-24 10:03 安装准备：插入Windows Server 2003 系统安装光盘 添加IIS组件： 点击‘确定’，安装完毕后，查看IIS管理器，如下： 添加‘证书服务’组件：
如果您的机器没有安装活动目录，在勾选以上‘证书服务’时，将弹出如下窗口： 由于我们将要安装的是独立CA，所以不需要安装活动目录，点击‘是’，窗口跳向如下：
默认情况下，‘用自定义设置生成密钥对和CA证书’没有勾选，我们勾选之后点击‘下一步’可以进行密钥算法的选择： Microsoft 证书服务的默认CSP为：Microsoft Strong Cryptographic Provider，
默认散列算法：SHA-1，密钥长度：2048——您可以根据需要做相应的选择，这里我们使用默认。点击‘下一步’： 填写CA的公用名称（以AAAAA为例），其他信息（如邮件、单位、部门等）可在‘可分辨名称后缀’中添加，有效期限默认为5年（可根据需要作相应改动，此处默认）。 点击‘下一步’：
点击‘下一步’进入组件的安装，安装过程中可能弹出如下窗口： 单击‘是’，继续安装，可能再弹出如下窗口： 由于安装证书服务的时候系统会自动在IIS中（这也是为什么必须先安装IIS 的原因）添加证书申请服务，该服务系统用ASP写就，所以必须为IIS启用ASP 功能，点击‘是’继续安装：
‘完成’证书服务的安装。 开始》》》管理工具》》》证书颁发机构，打开如下窗口： 我们已经为服务器成功配置完公用名为AAAAA的独立根CA，Web服务器和客户端可以通过访问该服务器的IIS证书申请服务申请相关证书。 此时该服务器（CA）的IIS下多出以下几项：
资质章单位数字证书申请表 请如实填写本表，*为必填项，并提交相应证明材料至北京数字认证股份有限公司（以下简称：数字认证公司）或其设立的注册机构审核。 I. 证书办理类型 *证书业务类型：初次办理证书更新信息变更丢失补办 损坏补办 密码解锁证书吊销 *证书有效期：1年其他 证书应用信息：应用归属单位： （数字证书应用的信息系统所属单位，如：市质监局） 应用系统名称： （数字证书在什么信息系统中使用，如：质监年审系统） II. 申请单位资料 *单位名称：*法定代表人： *通信地址：*邮政编码： *单位电话：单位传真： *经办人姓名：*经办人手机：经办人电子邮箱： *经办人证件名称：*证件号码： *证件1 工商营业执照工商营业执照注册号：(或其他批准成立证照号码) *证件2 组织机构代码证组织机构代码：- 证件3 税务登记证其他证件 证件号码：其他关键信息项：（如：计算机代码）III. 申请单位声明 申请单位在此郑重声明： 1、本单位为申请数字证书而提供的资料完全真实、准确、完 整，并授权上述经办人办理数字证书。本单位愿意承担由于 提供的资料虚假、误导、重大遗漏而导致的一切后果。 2、本单位已认真阅读并完全理解《北京数字认证股份有限公 司电子认证服务协议》中的各项规定。在此申请表上盖章即 表明本单位确认并同意该服务协议的全部内容，接受该协议 的约束。 3、本单位同意数字认证公司收集本单位所提交的上述信息， 用于签发数字证书及相关用途。 经办人签名： 申请单位（公章）： 申请日期：年月日IV. 受理审批（受理单位填写） 数字证书密码卡序列号：证书业务操作员签名： 提交材料 ①填写完整的本表(一式两份) (加盖公章) ②提供本表所示证件1、2复印件一份(加盖公 章) ③提供经办人有效身份证复印件一份（加盖公 章） ④《资质章单位电子印章采样表》一份（加盖 资质印章）没有资质印章的，打印检验报告首 页
贵州省公共资源交易中心电子交易平台 机构（业务）数字证书申请表 请用碳素或黑色水笔如实填写，一式一份，填写完成后请签名并盖章。 1.*首次办理数字证书流程请参照中心官网办事指南“贵州省公共资源交易中心初次办理流程及数字证书申请指南” 2.用户必须保证所填内容属实；在正式申请证书前请仔细阅读“数字证书申请责任书”，一旦递交申请和经用户同意并 签名盖章的证书申请责任书则视作承认并遵守责任书中的各项规定，如违反规定，将承担相关责任。 3.证书的有效期自证书签发之日起计算，请在证书失效期前20个工作日内提出证书更新申请。 4.咨询客服热线：4007000813。 用户须准备的申请资料及办理地点：CA应用业务须准备的申请资料（以下资料需采用A4纸单面复印） 1.业务办理授权书（可在贵州省交易中心官网或贵州CA官网下载，一式一份，加盖公章）； 2.组织机构代码证复印件（一式一份，加盖公章，携带原件核对）； 3.企业须提交“企业法人营业执照（副本）”或“营业执照（副本）”复印件（一式一份，加盖公章，携带原件核对）； 事业单位须交“事业单位法人登记证（副本）”或“事业单位登记证（副本）”复印件（一式一份，加盖公章，携带原件核对）； 国家机关和人民团体须提交本机关、团体有关负责人签发的有效函件复印件（一式一份，加盖公章，携带原件核对）； 社会团体须提交“社会团体登记证（副本）”复印件（一式一份，加盖公章，携带原件核对）； 4.经办人身份证复印件（正反面）（一式一份，加盖公章）； 用户声明：我单位在此郑重声明: 我单位授权经办人在贵州省公共资源交易中心办理数字证书业务申请，保证表内所填内容完全属实，接受据此颁发的数字证书，明确“GZCA数字证书用户责任书”中所阐述的权利及义务，并承担相应的法律责任。 经办人（签名） 申请单位（盖章）证书受理点（盖章）年月日年月日
实验二数字证书的申请及安装 【实验目的】1. 了解认证体系的体制结构、功能、作用、业务范围及运行机制。 2. 掌握网上申请个人数字证书的方法。 3．掌握数字证书的导入、导出和安装。 【实验环境】Internet、Internet Explorer 【主要内容】1. 通过搜索国内认证机构网站，了解其功能、作用及所提供的业务 2.在“中国协卡认证体系”网站（https://www.doczj.com/doc/2f13187648.html,）为自己 申请“个人安全电子邮件证书”。 3.登录广东省电子商务认证中心网站（https://www.doczj.com/doc/2f13187648.html,），为 自己申请试用版网证通数字证书。 【操作流程】 图1-9 数字证书的申请及安装流程 【实验导读】 数字证书的原理及作用 数字证书采用PKI（Public Key Infrastructure）公开密钥基础架构技术，利用一对互相匹配的密钥进行加密和解密。用户采用自己的私钥对发送信息加以处理，形成数字签名。由于私钥为本人所独有，这样可以确定发送者的身份，防止发送者对发送信息的抵赖性。接收方通过验证签名还可以判断信息是否被篡改过。
数字证书的颁发 数字证书是由认证中心（CA机构，Certificate Authority）颁发的。 认证中心是能向用户签发数字证书以确认用户身份的管理机构。它作为电子商务交易中受信任的第三方，一方面为每个使用公开密钥的用户发放一个数字证书，其作用是证明证书中列出的用户合法拥有证书中列出的公开密钥；另一方面承担公钥体系中公钥的合法性检验的责任。 ?数字证书颁发过程 数字证书颁发过程如下：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。用户就可以使用自己的数字证书进行相关的各种活动。 作为个人用户，你既可以为自己申请数字证书，也可以为一台安全服务器申请数字证书。数字证书有试用版和正式版两种，试用版申请过程在网上即时完成，并立即可以免费使用。正式版数字证书则需要额外的处理方法及时间，一般过程是用户首先在网上填写数字证书申请资料，认证中心在接收到申请请求后，它将对申请人的身份进行审核，当用户的申请请求满足认证中心的所有要求后，认证中心将为其制作证书，然后发送给申请人或者是申请人在网上下载自己的证书。 ?根证书及根证书下载 所谓根证书，是CA认证中心与用户建立信任关系的基础，用户的数字证书必须有一个受信任的根证书，用户的数字证书才是有效的。从技术上讲，证书其实包含三部分，用户的信息，用户的公钥，还有CA中心对该证书里面的信息的签名，要验证一份证书的真伪（即验证CA中心对该证书信息的签名是否有效），需要用CA中心的公钥验证，而CA中心的公钥存在于对这份证书进行签名的证书内，故需要下载该证书，但使用该证书验证又需先验证该证书本身的真伪，故又要用签发该证书的证书来验证，这样一来就构成一条证书链的关系。根证书是一份特殊的证书，它的签发者是它本身，下载根证书就表明你对该根证书以下所签发的证书都表示信任，而技术上则是建立起一个验证证书信息的链条，证书的验证追溯至根证书即为结束。所以说用户在使用自己的数字证书之前必须先下载根证书。 ?个人数字证书 数字证书是在Internet上用来证明用户身份的一种方式，它是一份包含用户身份信息、用户密钥信息以及CA中心数字签名的文件。申请个人数字证书可以为Internet用户提供发送电子邮件的安全和访问需要安全连接（需要客户证书）的站点。
C A服务器配置原理与图 解过程 SANY GROUP system office room 【SANYUA16H-
CA（证书颁发机构）配置概述图解过程 一．CA（证书颁发机构）配置概述 由于现在安全问题日益严重，为了保证数据传输的机密性，交易者双方身份的确定性等问题，我们需要采用一种安全机制来实现这些功能，在这里我们来探讨以下PKI体系中的“证书”，也就是如何来构建一个CA的环境来保证安全性。 CA（证书颁发机构）主要负责证书的颁发、管理以及归档和吊销，我们可以把证书认为是我们开车需要使用的驾驶执照。证书内包含了拥有证书者的姓名、地址、电子邮件帐号、公钥、证书有效期、发放证书的CA、CA的数字签名等信息。证书主要有三大功能：加密、签名、身份验证。这里不在具体阐述加密相关知识，这里主要讨论如何来实现CA的环境。 CA的架构是一种层次结构的部署模式，分为“根CA”和“从属CA”：“根CA”位于此架构中的最上层，一般它是被用来发放证书给其他的CA（从属CA）。在windows系统中，我们可以构建4种CA：企业根CA和企业从属CA（这两种CA只能在域环境中）；独立根CA和独立从属CA。 安装CA：通过控制面板--添加删除程序--添加删除windows组件--证书服务，在安装过程中选择安装的CA类型，再这里我们选择独立根CA，输入CA名称以及设置有效期限，完成向导即可。（在这里注意：安装证书服务前先安装IIS）申请证书：CA服务装好以后就可以直接申请证书了，申请证书有两种方法：通过MMC控制台（此方法只适用于企业根CA和企业从属CA）和通过WEB浏览器。在这里我们只能选择WEB浏览器的方式，找到一台客户端计算机，在IE浏览器中输入服务器的IP地址或者计算机名/certsrv即可。然后选择申请新证书，选择证书的类型，输入正确的信息，即可获得证书。 使用证书：我们可以自己架设一个最简单的POP3服务器，来实现邮件服务。现在假设lily要向lucy发送一封加密和签名电子邮件，在lily这边的outlook中选择工具--帐户--邮件，选择lily的帐户，再单击属性--安全，选择证书就可以了。在lucy处做同样的操作。 二．证书服务器图解过程试验拓扑： 试验内容以及拓扑说明：
深圳市组织机构数字证书申请表 请仔细阅读本申请书，用碳素或黑色水笔如实填写。带*的为必填项，填写完成后请签名并加盖申请单位公章。 所需资料： 1.组织机构代码证原件及加盖单位公章的复印件（如己领取“多证合一”证照的无需此项）； 2.企业须提交营业执照副本原件及加盖单位公章的复印件； 社会组织须提交社会组织登记证副本原件及加盖单位公章的复印件； 事业单位须提交事业单位法人登记证副本原件及加盖单位公章的复印件； 国家机关、群团须提交机构编制部门的批准文件原件及加盖单位公章的复印件，或统一社会信用代码证书原件及加盖单位公章的复印件； 3.法定代表人/负责人身份证原件及加盖单位公章的复印件（正反面），如果法定代表人/负责人为港、澳、台人士或外国人， 则提供回乡证、台胞证或护照； 4.经办人身份证原件及加盖单位公章的复印件（正反面），如果经办人为港、澳、台人士或外国人，则提供回乡证、台胞证 或护照。 用户郑重声明: 我单位自愿办理组织机构数字证书业务，授权以下申请人办理数字证书相关手续事宜，保证表内所填内容完全真实有效，并已认真阅读且同意遵守《数字证书用户告知书》中各项内容及规定，接受据此颁发的数字证书，如有违反，愿意承担由此引起的一切后果及承担相关法律责任。 申请人（签名）: 申请单位（盖章） 年月日
数字证书用户告知书 数字证书是网络用户的电子身份证明，是用来证明证书持有者身份的电子介质，它提供了在互联网上验证通信双方身份的方法。深圳市电子商务安全证书管理有限公司、数安时代科技股份有限公司、广东省电子商务认证有限公司、北京数字认证股份有限公司（以下简称数字证书服务机构）作为依法设立并获得《电子认证服务许可证》的权威、可信、公正的第三方信任机构，根据国家相关法律、法规，为用户提供合法的数字证书申请、审核、签发和管理等电子认证服务。为保障数字证书申请人和数字证书服务机构各方的合法权益，本着平等、自愿的原则，告知如下： 一、用户的权利与责任 1、用户在申请数字证书时，须按照数字证书服务机构的有关规定办理申请，提供真实、完整、准确的信息及证明材料。 2、用户在获得数字证书时应及时检查证书所匹配的信息，如无异议则视为接受证书。 3、数字证书具有有效期，用户如需继续使用数字证书，必须在数字证书到期前一个月内向数字证书服务机构提出数字证书续期申请。 4、用户应妥善保管数字证书服务机构签发的数字证书和保护密码，不得泄漏或交付他人；且数字证书一律不得转让、转借或转用。 5、如遇数字证书遗失、被窃，或数字证书私钥泄露，用户应当立即到数字证书服务机构申请挂失或注销证书。 6、如遇证书中的信息发生变更，用户应当立即到数字证书服务机构申请证书变更。 7、有下列情况之一的，由用户承担责任： （1）故意或过失提供不真实资料，造成相关各方损失的； （2）因转让、转借或转用证书而产生的一切损失的； （3）用户不慎将数字证书丢失，或因故意、过失导致他人知道或遭盗用、冒用、伪造或者篡改造成相关各方损失的； （4）因用户信息发生变化且未及时通知数字证书服务机构更新证书信息而造成损失的； （5）未按规定缴纳证书服务费用导致证书到期自动失效的。 二、数字证书服务机构的权利与责任 1、遵照《电子认证业务规则》及相关流程签发证书。 2、证书签发权属于数字证书服务机构。 3、数字证书服务机构采用国家密码管理局认可的证书存储介质，证书存储介质的保修期为一年；在保修期内经确认属于质量问题的，数字证 书服务机构提供免费的维修或更换服务，否则不提供保修服务。 4、基于安全的理由，数字证书服务机构有权要求用户及时更新数字证书；用户在收到更新通知时，应在规定的期限内到数字证书服务机构更 新证书；若用户逾期没有更新证书，所产生的后果由用户自行承担。 5、数字证书服务机构提供多种渠道的客户服务，包括语音、传真、电子邮件及网站等，详情以数字证书服务机构网站公告的信息为准。 6、对于下列情形之一，数字证书服务机构有权主动注销所签发的证书： （1）用户申请证书时提供不真实信息； （2）用户未按规定缴纳证书服务费用； （3）证书对应的私钥泄露或出现其他证书的安全性得不到保证的情况； （4）用户不能履行或违反了相关法律、法规和本协议所规定的责任和义务； （5）法律、法规规定的其他情形。 三、附则 证书申请人一旦递交经签名或盖章的证书申请表，本告知书即为送达。