使用X509数字证书加密解密实务证书获得和管理.pdfVIP

使用X.509 数字证书加密解密实务(一)--证书的获得和管理 一、 获得证书 2 1、 从CA 获得 2 2、 从windows2003 证书服务中获得 2 3、 使用makecert 工具获得 2 二、 证书的保存 2 1、 保存在证书存储区 2 2、 以文件形式保存4 2.1.带有私钥的证书 4 2.2.二进制编码的证书4 2.3.Base64 编码的证书4 3、 存储区中的证书跟证书文件相互转换4 3.1.使用工具相互转换4 3.1.1 从证书文件导入证书存储区4 3.1.2 从证书存储区导出为证书文件 7 3.2.使用代码相互转换 10 3.2.1 从证书文件导入证书存储区 10 3.2.2 从证书存储区导出为证书文件 11 数字证书（也称作数字证书）将身份绑定到一对可以用来加密和签名数字信息的电子密 钥。数字证书能够验证一个人使用给定密钥的权利，这有助于防止有人利用假密钥冒充其他 用户。数字证书与加密一起使用，可以提供一个更加完整的解决方案，确保交易中各方的身 份。 一、 获得证书 1、从CA 获得 如果是商业应用最好从证书的签发机构CA 获得证书，比如VeriSign ，这样的大的CA 签发的证书已经被一些系统默认为可信任的证书签发机构，它所签发的证书也是被信任的。 但是这样的证书需要购买。 如果不是商业应用，这里推荐一个可以免费申请证书的CA ：/ 2、从windows2003 证书服务中获得 在windows2003 中安装证书服务器，windows2003 服务器即可当做一个小型的CA，可 以申请签发证书。 3、使用makecert 工具获得 微软在framework SDK 中提供了一个生成X.509 数字证书的命令行工具Makecert.exe 。 Makecert 生成证书被保存到命令中指定的证书存储区。 比如使用下面这个命令生成一个证书： makecert -sr CurrentUser -ss My -n CN=MyTestCert -sky exchange -pe 参数说明： -sr CurrentUser -- 指定主题的证书存储位置。Location 可以是 currentuser （默认值）或 localmachine -ss My -- 指定主题的证书存储名称，输出证书即存储在那里。My 表示保存在“个 人” -n CN=MyTestCert -- 指定主题的证书名称。此名称必须符合 X.500 标准。最简单的 方法是在双引号中指定此名称，并加上前缀 CN=；例如，CN=myName。 -sky exchange -- 指定颁发者的密钥类型，必须是 signature、exchange 或一个表示提 供程序类型的整数。默认情况下，可传入 1 表示交换密钥，传入 2 表示签名密钥。 -pe -- 将所生成的私钥标记为可导出。这样可将私钥包括在证书中。 这个命令生成一个名字为 MyTestCert 的证书，被保存到了当前用户的个人证书存储区 内。 Makecert 命令的详细说明请参看微软 Makecert.exe 工具的文档： /library/chs/default.asp?url=/library/CHS/cptools/html/cpgrfcertificatecr eationtoolmakecertexe.asp 二、 证书的保存 1、保存在证书存储区 Makecert 命令生成的证书被保存在证书存储区。证书存储区是系统中一个特殊区域，专 门用来保存X.509 数字证书。 可以在MMC 的证书管理单元中对证书存储区进行管理。Windows 没有给我们准备好直 接的管理证书的入口。自己在MMC 中添加，步骤如下： 