【计算机第5章 数字证书.ppt

第五章 数字证书 第一节 数字证书简介 所谓数字证书，是一个由使用数字证书的用户群所公认和信任的权威机构（即CA）签署了其数字签名的信息集合。 电子商务中的数字证书是由权威机构发放的用来证明客户身份的技术。 一、数字证书 公开密钥数字证书是一种将客户的身份（证书主体）与某个公开密钥值安全地联系在一起的数据结构。数字证书由认证机构颁发，包含公开密钥持有者信息、公开密钥文件、认证机构的数字签名、密钥的有效时间、认证机构的名称及证书序列号等信息。 数字证书的类型 个人数字证书 第一级提供个人电子邮件的认证，仅与电子邮件地址有关。 第二级提供个人姓名、个人身份等信息的认证。 服务器证书 拥有数字证书的服务器可以自动与客户进行加密通信。 认证中心应： 对企业服务器的管理情况进行考核。 对企业的技术条件进行考核。 对其设备的安全性、可靠性进行调查。 开发者证书 二、认证机构（电子认证服务提供者） 认证机构是承担网上认证服务，能签发数字证书并能确认用户身份的受大家信任的第三方机构。主要任务是受理数字证书的申请、签发和对数字证书进行管理。 三、利用数字证书实现信息安全 加密过程 发送方利用散列函数把要发送的信息散列成固定长度数字摘要。 发送方用自己的私有密钥对数字摘要进行加密，形成数字签名。 把数字签名和自己的数字证书附加在原信息上，利用对称密钥加密，形成加密后的信息。 发送方用接收方数字证书中给出的公开密钥，再次加密形成数字信封。 解密过程 接收方用自己的私有密钥对接收到的数字信封解密，得到发送方用于加密的对称密钥。 用该密钥对接收的加密信息解密，得到信息、数字签名和发送方的数字证书。 接收方用发送方数字证书中的公开密钥对数字签名解密，得到数字摘要。 接收方用同样的散列函数，把解密得到的信息散列成固定长度的数字摘要。 比较两个数字摘要。一致说明传递过程中未被篡改。 验证过程 接收方认为必要时，可以到证书发行者网站检索此证书，验证证书是否有效，并查询证书是否撤消、停用等。 如怀疑发证者的身份，还可以根据证书发行者获得的认证证书，到为其认证的认证机构进行认证，直到找到接收方信任的认证机构为止。 第二节 数字证书的格式 被人们普遍接受并使用得最为广泛的是ITU的X.509标准数字证书格式。 一、基本数字证书格式 版本1格式，在1988年的第1版中定义； 版本2格式，在1993年的第2版中定义； 版本3格式，是在1997年的第3版中定义，并在2000年的第4版中又对其进行了改进。 数字证书的内容 证书的版本信息 证书序列号 证书使用的签名算法 证书的发行机构名称 证书的有效期 证书所有人的名称 证书所有人的公开密钥 证书发行者对证书的签名 版本号：代表数字证书的版本格式是版本l、版本2或版本3。 数字证书序列号：由认证机构发放的代表该数字证书的惟一标识号。 签名算法标识符：认证机构用来对数字证书进行签名所使用的数字签名算法的算法标识符。 数字证书发放者：发行数字证书的认证机构的X.500名称。 有效期：数字证书的起始和终止的日期和时间。 主体：与相应的被验证公钥所对应的私钥持有者的X.500名称。 主体的公钥信息：主体的公钥值以及该公钥被使用时所用的算法标识符。 数字证书发放者的惟一标识符：这是一个可选项，当不同的实体具有相同的名称时，利用该标识符可使发放数字证书的认证机构的X.500名称不具有二义性。 主体的惟一标识符：这是一个可选项，当不同的实体具有同样的名称时，利用该标识符可使主体的X.500名称不具有二义性。 一个X.500目录由一系列目录项组成。每个目录项对应一个现实世界中的对象，如某个人、某个组织或某个设备。每一对象都有一个无二义性的名称，称为特异名（distinguished name，DN）。对象的目录项中包含了有关该对象的一系列属性值。 为支持无二义性命名的需要，所有的X.500目录项在逻辑上被组织成一种树型结构，称为目录信息树（directory information tree，DIT）。目录信息树有一个概念上的根节点和数目不限的非根节点，除了根节点，所有节点都从属于其他节点。除根节点外，每一个节点都对应于一个目录项，并有一个特异名。根节点的特异名为空。 一个目录项的特异名是由该目录项在目录信息树上的直接上级项的特异名和一个相对特异名（relative distinguished name，RDN）来联合构成的，RDN用于区分同一目录项的各个直接下级目录项。 目录项的相对特异名是关于该目录项的一个或多个属性值的一个陈述。更确切地说，它是一系列属性值的申明，是关于目录项的可辨别值（具有惟一性的属性值）的申明，每一个申明都必须是真实的。 在基本数字证书格式中，还包含了一些用于数字证书发放者的数字签名和认证公钥的算