PKI 体系、数字签名和数字证书

PKI体系结构学习笔记一PKI基础1.1基本概念1.PKI（public key infrastructure）即公钥基础结构2.PKI由公钥加密技术，数字证书，证书颁发机构（CA），注册机构（RA）等组成数字证书用于用户的身份验证，CA是一个可信任的实体，负责发布，更新及吊销证书，RA接收用户请求功能3.数据加密是发送方使用接收方的公钥进行数据加密，接收方使用自己的私钥解密这些数据，数据加密能保证所发送数据的机密性。

数据签名是发送方使用自己的私钥加密，接收方使用发送方的公钥解密，数据签名能保证数据的完整性，操作的不可否认性两个密钥是成对生成，不能由一个推算出另一个，公钥加密的数据由私钥解密，私钥加密的数据由公钥进行加密4.CA(Certificate Authority)是数字证书认证中心的简称，是指发放、管理、废除数字证书的机构。

5.CA的作用是检查证书持有者身份的合法性，并签发证书（在证书上签字），以防证书被伪造或篡改，以及对证书和密钥进行管理。

6.CA的核心功能就是发放和管理数字证书，具体功能描述如下:（1）接收验证用户数字证书的申请。

（2）确定是否接受用户数字证书的申请，即证书的审批。

（3）向申请者颁发（或拒绝颁发）数字证书。

（4）接收、处理用户的数字证书更新请求。

（5）接收用户数字证书的查询、撤销。

（6）产生和发布证书吊销列表（CRL）。

（7）数字证书的归档。

（8）密钥归档。

（9）历史数据归档。

7.数字安全证书就是标志网络用户身份信息的一系列数据，用来在网络通讯中识别通讯各方的身份，即要在Internet上解决"我是谁"的问题，就如同现实中我们每一个人都要拥有一张证明个人身份的身份证或驾驶执照一样，以表明我们的身份或某种资格。

数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。

8.数字证书的存储介质主要有：软盘，硬盘，IC卡，Usb Key9.数字证书的原理：利用一对互相匹配的密钥进行加密、解密。

PKI技术原理核心PKI（Public Key Infrastructure）公钥基础设施是一种用于构建信息安全体系的技术框架，包含了公钥算法、数字证书、证书管理机构、证书的申请和吊销等一系列的组成部分。

其原理核心是使用非对称加密算法来实现安全通信，确保数据的机密性、完整性和不可抵赖性。

PKI的技术原理核心主要包括以下内容：1.公私钥对：PKI使用的是非对称加密算法，其中包括公钥和私钥。

公钥用于加密信息，私钥用于解密信息。

公钥是公开的，任何人都可以获得；而私钥只能由密钥持有者保管，不对外公开。

2.数字证书：PKI通过数字证书来验证用户的身份和公钥的合法性。

数字证书是由证书颁发机构（CA）签发的，包含了用户的公钥、用户的身份信息和CA的签名，用于验证公钥的真实性。

3.证书链：CA的数字证书同样需要得到认证，为了确保CA的证书的真实性，PKI使用了证书链的机制。

证书链将CA的证书进行层级连接，形成一个信任链，使得根证书可信、中间证书的信任由根证书延伸到终端用户的数字证书。

4.证书的申请和吊销：用户需要向CA申请数字证书，并提供一系列的验证步骤，如身份验证、公钥生成等。

如果证书的私钥丢失或被盗用，用户需要向CA申请证书吊销，CA会将证书状态更改为吊销状态，使得证书无效。

5.数字签名：PKI中的数字签名是为了确保数据的完整性和不可抵赖性。

发送方使用私钥对信息进行加密，生成数字签名，并将数字签名和原始信息一起发送给接收方。

接收方使用发送方的公钥对数字签名进行解密，验证签名的真实性和信息的完整性。

6.证书的存储和验证：PKI使用数字证书存储用户的公钥和身份信息。

当通信双方建立连接时，双方会交换数字证书，并使用本地存储的CA的公钥进行证书的验证。

如果证书验证成功，则认为通信双方的身份和公钥是可靠的，可以进行安全通信。

通过上述的技术原理核心，PKI实现了安全通信和身份验证，确保了数据的保密性、完整性和不可抵赖性。

PKI体系公钥基础设施PKI技术与应用发展公钥基础设施PKI技术与应用发展一、概述PKI是“Public Key Infrastructure”的缩写，意为“公钥基础设施”。

简单地说，PKI技术就是利用公钥理论和技术建立的提供信息安全服务的基础设施。

公钥体制是目前应用最广泛的一种加密体制，在这一体制中，加密密钥与解密密钥各不相同，发送信息的人利用接收者的公钥发送加密信息，接收者再利用自己专有的私钥进行解密。

这种方式既保证了信息的机密性，又能保证信息具有不可抵赖性。

目前，公钥体制广泛地用于CA认证、数字签名和密钥交换等领域。

PKI似乎可以解决绝大多数网络安全问题，并初步形成了一套完整的解决方案，它是基于公开密钥理论和技术建立起来的安全体系，是提供信息安全服务的具有普适性的安全基础设施。

该体系在统一的安全认证标准和规范基础上提供在线身份认证，是CA认证、数字证书、数字签名以及相关安全应用组件模块的集合。

作为一种技术体系，PKI 可以作为支持认证、完整性、机密性和不可否认性的技术基础，从技术上解决网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障。

但PKI绝不仅仅涉及到技术层面的问题，还涉及到电子政务、电子商务以及国家信息化的整体发展战略等多层面问题。

PKI作为国家信息化的基础设施，是相关技术、应用、组织、规范和法律法规的总和，是一个宏观体系，其本身就体现了强大的国家实力。

PKI的核心是要解决信息网络空间中的信任问题，确定信息网络空间中各种经济、军事和管理行为主体（包括组织和个人）身份的惟一性、真实性和合法性，保护信息网络空间中各种主体的安全利益。

公钥基础设施(PKI)是信息安全基础设施的一个重要组成部分，是一种普遍适用的网络安全基础设施。

PKI是20世纪80年代由美国学者提出来了的概念，实际上，授权管理基础设施、可信时间戳服务系统、安全保密管理系统、统一的安全电子政务平台等的构筑都离不开它的支持。

U
V
Y
W X C A
Z
B
证书的吊销
每一个CA都必须维护一个证书吊销列表 CRL，其中存放所有未到期而被提前吊销 的证书，包括该CA发放给用户和发放给其 它CA的证书。CRL还必须由该CA签字，然 后存放于目录中以供他人查询。 CRL中的数据域包括发行者CA的名称、建 立CRL的日期、计划公布下一CRL的日期 以及每一被吊销的证书数据域。被吊销的 证书数据域包括该证书的序列号和被吊销 的日期。 当每个用户收到他人消息中的证书时，都 必须通过目录检查这一证书是否已被吊销, 为避免搜索目录引起的延迟以及因此而增 加的费用，用户自己也可维护一个有效证 书和被吊销证书的局部缓存区
认证机构的组成
在OPenCA系统中，整个CA由注册机构(Registration Authority,RA)和 认证中心(CA)、CA管理员平台、访问控制系统以及目录服务器组成。 RA和CA以及CA和数据库之间的通信都是基于SSL协议的加密传输。
客户实体 W e b接 口 L D A P 访问控制
证书注销处理
证书注销列表（Certificate Revocation List，CRL）， 存储在目录服务器上，用于记录尚未过期但已声明作 废的用户证书序列号，供证书使用者在认证对方证书 查询使用。 证书撤销原因：密钥泄漏和证书所有者状态改变。 PKI必须提供一种允许用户检查证书的撤销状态的机 制，X.509允许以下三种情况： （1）证书不可撤销 （2）颁发证书的机构撤销该证书 （3）颁发证书的机构授予其他机构权限并由其他机 构撤销该证书。
证书的获取（续）
含N个证书的证书链可表示为：X1《X2》X2《X3》… XN《B》此时， 任意两个相邻的CA Xi和Xi+1已彼此间为对方建立了证书，对每一 CA来说，由其它CA为这一CA建立的所有证书都应存放于目录中. A 到B的证书链： X《W》W《V》V《U》U《Y》Y《Z》Z《B》， 通过该证书链可以获取B的公钥。 B到A的证书链： Z《Y》Y《U》U《V》V《W》W《X》X《A》