Public-key Infrastructure最全版.pptVIP

CA: Certificate Authority (3) Certificate Authority CA 是 Certificate Authority 的縮寫，在微軟繁體中文 WINDOWS 上翻譯成憑證授權。認證中心是 X.509 的一環。認證中心也是一種憑證，上面附有認證中心本身的資料，但不是用來加解密，而是用來簽發憑證，證明憑證所有人和憑證上所載的資料無誤。 每一個合格的認證中心 (CA) 上，會有一個管轄它的最高層認證中心 (Root CA) 的簽名，表示最高層認證中心授權給它，可以簽發別人的憑證。當程式碰到沒見過的憑證，憑證上簽名的認證中心 (CA) 也沒見過時，只要檢查認證中心上附的最高層認證中心 (Root CA) 的簽名無誤，即代表這個最高層認證中心 (Root CA) ，認為這個認證中心 (CA) 的憑證簽發過程很仔細，檢查資料很詳實，所以授權給它，准許它可以簽發憑證 (Certificate) 。所以這個認證中心 (CA) 簽發的憑證 (Certificate) ，憑證上的資料也沒有問題。 Reference: http://www.imacat.idv.tw/tech/sslcerts.html What is a CA ? (1) Certificate Authority (認證中心) Trusted server which signs certificates One private key and relative public key Tree structure of X.509 Root CA What is a CA ? (2) Root CA (最高層認證中心) Micro$oft 翻譯成「根目錄授權憑證」 通常 Root CA 不會直接用來簽發憑證，而是授權給一些中間的認證中心，讓這些中間的認證中心來簽發憑證 Root CA 自己幫自己簽名 沒有再上層可以為他簽名 認可最高層認證中心 經由 secure channel 安裝 Root CA 的憑證 Root CA 只能由一些著名可靠的公司來擔任 無法再向上查驗，所以不可隨便加進系統信任的 Root CA What is a CA ? (3) Tree structure of CA 每個合格的 CA，都會有一個管轄它的最高層 CA 的簽名，表示 Root CA 授權給它，可以簽發別人的憑證 當程式碰到沒見過的憑證，憑證上簽名的 CA 也沒見過時，只要檢查 Root CA 的簽名無誤，就接受這個憑證 Cost of certificate HiTrust : NT $30,000 / per year / per host Myself : NT $0 Certificate (1) 電子憑證 / 公開金鑰憑證 / 網路身份證 A certificate is issued by a CA X A certificate of a user A consists: The name of the issuer CA X His/her public key Apub The signature Sig(Xpriv, A, Apub) by the CA X The expiration date Applications Encryption / Signature Certificate (2) Alice: Generate Apub, Apriv CA X: (3) Generate Sig(Xpriv, Alice, Apub, T) (2) Alice, Apub, ID proof (4) Sig(Xpriv, Alice, Apub, T) CertA,X=[Alice, Apub, Sig(Xpriv, Alice, Apub, T)] Note: CA does not know Apriv Certificate (3) Guarantee of CA and certificate Guarantee the public key is of someone Someone is not guaranteed to be safe Security of transmitting DATA Transmit session key first Public-key cryptosystem Transmit DATA by session key Symmetric-key cryptosystem OpenSSL OpenSSL / In system /usr/src/crypto/openssl In ports security/openssl ports/Mk/bsd.openssl