 证书知识
数字证书
 | 数字证书是由权威公正的第三方机构即CA中心签发的，以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障网络应用的安全性?br /> 数字证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以对外公开，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制?br /> 用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点?
?）保证信息是由签名者自己签名发送的，签名者不能否认或难以否认?
?）保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件?br /> 数字证书可用于：发送安全电子邮件、访问安全站点、网上证券、网上招标采购、网上签约、网上办公、网上缴费、网上税务等网上安全电子事务处理和安全电子交易活动?br /> 数字证书的格式一般采用X.509国际标准?/td> |
|
|
|
证书知识
PMI
授权管理基础设施PMI (Privilege Management Infrastructure)是国家信息安全基础设施的一个重要组成部分，目标是向用户和应用程序提供授权管理服务，提供用户身份到应用授权的映射功能，提供与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权和访问控制机制，简化具体应用系统的开发与维护?br /> 授权管理基础设施PMI以资源管理为核心，对资源的访问控制权统一交由授权机构统一处理，即由资源的所有者来进行访问控制。同公钥基础设施PKI相比，两者主要区别在于：PKI证明用户是谁，而PMI证明这个用户有什么权限，能干什么，而且授权管理基础设施PMI需要公钥基础设施PKI为其提供身份认证?br /> 授权管理基础设施PMI 在体系上可分为三级，分别是SOA 中心、AA 中心和AA 代理点。在实际应用中这种分级体系需要灵活配置，可以是三级、二级或一级?br /> SOA 中心
信任源点（SOA 中心）是整个授权管理体系的中心业务节点，也是整个授权管理基础设施PMI 的最终信任源和最高管理机构。SOA 中心的职责主要包括授权管理策略的管理、应用授权受理、AA 中心的设立审核及管理、授权管理体系业务的规范化等?br /> AA 中心
AA中心是授权管理基础设施PMI 的核心服务节点，是对应于具体应用系统的授权管理分系统，由具有设立AA 中心业务需求的各应用单位负责建设，并与SOA 中心通过业务协议达成相互信任关系。AA 中心的职责主要包括应用授权受理、属性证书的发放和管理以及AA代理点的设立审核和管理等。AA 中心需要为其所发放的所有属性证书维持一个历史记
录和更新记录
AA 代理?/font>
AA 代理点是授权管理基础设施PMI 的用户代理节点，也称为资源管理中心，是与具体应用用户的接口，是对应AA 中心的附属机构，接受AA 中心的直接管理，由各AA 中心负责建设，并报经主管的SOA 中心同意并签发相应的证书。AA 代理点的设立和数目由各AA 中心根据自身的业务发展需求而定。AA 代理点的职责主要包括应用授权服务代理和应用授权审核代理等，负责对具体的用户应用资源进行授权审核，并将属性证书的操作请求提交到授权服务中心进行处理?
|
证书知识
CA工作原理
数字安全证书利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，而保留其私有密钥。购物者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送以商户，然后由商户用自己的私有密钥进行解密?br /> 用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点?br /> (1) 保证信息是由签名者自己签名发送的，签名者不能否认或难以否认?br /> (2) 保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件?
|
证书知识
CA中心
数字证书认证中心（Certficate Authority,CA）就是一个负责发放和管理数字证书的权威机构。对于一个大型的应用环境，认证中心往往采用一种多层次的分级结构，各级的认证中心类似于各级行政机关，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户?认证中心主要有以下几种功能：
(1) 证书的颁?/font>
中心接收、验证用?包括下级认证中心和最终用?的数字证书的申请，将申请的内容进行备案，并根据申请的内容确定是否受理该数字证书申请。如果中心接受该数字证书申请，则进一步确定给用户颁发何种类型的证书。新证书用认证中心的私钥签名以后，发送到目录服务器供用户下载和查询。为了保证消息的完整性，返回给用户的所有应答信息都要使用认证中心的签名?
(2)证书的更?/font>
认证中心可以定期更新所有用户的证书，或者根据用户的请求来更新用户的证书?
(3)证书的查?/font>
证书的查询可以分为两类，其一是证书申请的查询，认证中心根据用户的查询请求返回当前用户证书申请的处理过程；其二是用户证书的查询，这类查询由目录服务器来完成，目录服务器根据用户的请求返回适当的证书?
(4)证书的作?/font>
当用户的私钥由于泄密等原因造成用户证书需要申请作废时，用户需要向认证中心提出证书作废的请求，认证中心根据用户的请求确定是否将该证书作废。另外一种证书作废的情况是证书已经过了有效期，认证中心自动将该证书作废。认证中心通过维护证书作废列表(Certificate Revocation List,CRL)来完成上述功能?
(5)证书的归?/font>
证书具有一定的有效期，证书过了有效期之后就将作废，但是我们不能将作废的证书简单地丢弃，因为有时我们可能需要验证以前的某个交易过程中产生的数字签名，这时我们就需要查询作废的证书。基于此类考虑，认证中心还应当具备管理作废证书和作废私钥的功能?
|
|
|
证书知识
CA中心证书的管?/h2>
CA中心同时要对所发的证书进行管理，其管理功能如下?br /> ①证书的检?br /> 这里的证书包括有效证书和已撤消证书。用户在验证发送方数据时，需要查验发送方数字安全证书。这就需要检索有效证书库。另一方面，证书可能在其有效期限内被认证机构撤消，所以，用户也需要检索已撤消证书库?br /> ②撤消证?br /> 在证书的有效期已到、用户的身份变化、用户的密钥遭到破坏或被非使用等情况下，认证机构就应撤消原有的证书?br /> ③备份证书数据库
④有效地保护证书和密钥服务器的安全?
|
证书知识
数字安全证书功能介绍
| 由于Internet网电子商务系统技术使在网上购物的顾客能够极其方便轻松地获得商家和企业的信息，但同时也增加了对某些敏感或有价值的数据被滥用的风险。买方和卖方都必须对于在因特网上进行的一切金融交易运作都是真实可靠的，并且要使顾客、商家和企业等交易各方都具有绝对的信心，因而因特网（Internet）电子商务系统必须保证具有十分可靠的安全保密技术，也就去说；必须保证网络安全的四个要素，即信息传输的保密性?数据交换的完整性、发送信息的不可否认性、交易者身份的确定性?BR> 为了保证网络的四大要素，一般采用加密算法。在加密算法中，一般采用对称加密和非对称加密结合的方式。常见的方法如数字信封，数字签名等，都采用两者结合的方式比如A发信息给B，B先将自己的公钥发送给A，A用B的公钥对数据进行加密，发给B，B收到后，用自己的私钥解密?问题出现在A收到B的公钥时，如何知道肯定是B的公钥，而不是其他人的。这时候就出现了一个第三方的概念。犹如现实生活中，朋友之间的介绍?ABC三人?AB是朋友，BC是朋友，但AC本来不认识，如果B介绍，AC就可以互相认识了。在电子商务环境中，A的公钥由CA签发，B的公钥由CA签发，由于AB共同信任CA签发，所以可以彼此信任。CA签发就是把用户的公钥和用户的身份进行挂钩，使用户可以证明该公钥是属于该人的?/TD> | | 数字安全证书主要有以下四大功能： |  | 一、信息的保密?/FONT>
交易中的商务信息均有保密的要求。如信用卡的帐号和用户名被人知悉，就可能被盗用，订货和付款的信息被竞争对手获悉，就可能丧失商机。而CA中心颁发的数字安全证书保证了电子商务的信息传播中信息的保密?BR>二、交易者身份的确定?/FONT>
网上交易的双方很可能素昧平生，相隔千里。要使交易成功首先要能确认对方的身份，对商家要考虑 客户端不能是骗子，而客户也会担心网上的商店不是一个玩弄欺诈的黑店。因此能方便而可靠地确认对方身份是交易的前提。对于为顾客或用户开展服务的银行、信用卡公司和销售商店，为了做到安全、保密、可靠地开展服务活动，都要进行身份认证的工作。而CA中心颁发的数字安全证书可保证网上交易双方的身份，银行和信用卡公司可以通过CA认证确认身份，放心的开展网上业务?BR>三、不可否认?/FONT>
由于商情的千变万化，交易一旦达成是不能被否认的。否则必然会损害一方的利益。例如订购黄金， 订货时金价较低，但收到订单后，金价上涨了，如收单方能否认受到订单的实际时间，甚至否认收到订单的事实，则订货方就会蒙受损失。因此CA中心颁发的数字安全证书确保了电子交易通信过程的各个环节的不可否认性，使交易双方的利益不受到损害?BR>四、不可修改?/FONT>
交易的文件是不可被修改的，如上例所举的订购黄金。供货单位在收到订单后，发现金价大幅上涨了，如其能改动文件内容，将订购数1吨改?克，则可大幅受益，那么订货单位可能就会因此而蒙受损失?因此CA中心颁发的数字安全证书也确保了电子交易文件的不可修改性，以保障交易的严肃和公正?/TD> |
|
证书知识
|