17-6-1 分A PKI-CA系统.pptVIP

* CA层次结构 对于一个运行CA的大型权威机构而言，签发证书的工作不能仅仅由一个CA来完成 它可以建立一个CA层次结构 根CA 中间CA * CA层次结构的建立 根CA具有一个自签名的证书 根CA依次对它下面的CA进行签名 层次结构中叶子节点上的CA用于对安全个体进行签名 对于个体而言，它需要信任根CA，中间的CA可以不必关心(透明的)；同时它的证书是由底层的CA签发的 在CA的机构中，要维护这棵树 在每个节点CA上，需要保存两种cert(1) Forward Certificates: 其他CA发给它的certs(2) Reverse Certificates: 它发给其他CA的certs * 层次结构CA中证书的验证 假设个体A看到B的一个证书 B的证书中含有签发该证书的CA的信息 沿着层次树往上找，可以构成一条证书链，直到根证书 验证过程： 沿相反的方向，从根证书开始，依次往下验证每一个证书中的签名。其中，根证书是自签名的，用它自己的公钥进行验证 一直到验证B的证书中的签名 如果所有的签名验证都通过，则A可以确定所有的证书都是正确的，如果他信任根CA，则他可以相信B的证书和公钥 问题：证书链如何获得？ * 证书链的验证示例 * 证书链的验证示例 权威机构为数字证书签名实例： 用权威机构的公钥为左边的数字证书产生一个”签名” ：S权(H(N)) A PA …