PKI与证书服务应用

-什么是PKI：

Public Key Infrastructure，公钥基础结构

l PKI由公钥加密技术、数字认证、证书颁发结构（CA），注册机构（RA）等共同组成：数字证书用于用户的身份验证；CA是一个可信的实体，负责发布、更新和吊销证书；RA接受用户的请求等功能

l PKI体系能够实现的功能有：身份认证；数据完整性；数据机密性；操作的不可否认性

-公钥（Public Key）和私钥（Private Key）

密钥是成对生成的，这两个密钥互不相同，两个密钥可以互相加密和解密；不能根据一个密钥来推算得出另一个密钥；公钥对外公开；私钥只有私钥的持有人才知道；私钥应该由私钥的持有人妥善保管。

-数据加密：

发送方式用接收方的公钥加密数据；当接收方使用自己的私钥解密这些数据；数据加密能保证所发送数据的机密性。

-数字签名：

发送方式用自己的私钥加密；接收方使用发送方的公钥解密；身份验证、数据的完整性、操作的不可否认性。

-什么是证书：

l PKI系统中的数字证书简称证书

l 它把公钥和拥有对应私钥的主体的标识信息（如名称、电子邮件、***号等）捆绑在一起

l 证书的主体可以是用户、计算机、服务等

l 证书可以用于很多方面：Web用户身份验证；Web服务器身份验证；安全电子邮件；Internet协议安全（IPSec）

l 数字证书是由权威公正的第三方机构即CA签发的

l 证书包含以下信息：使用者的公钥值；使用者标识信息（如名称和电子邮件地址）；有效期（证书的有效时间）；颁发者标识信息；颁发者的数字签名

-CA的作用：

CA的核心功能就是颁发和管理数字证书；具体描述如下：处理证书申请；鉴定申请者是否有资格接收证书；证书的发放；证书的更新；接收最终用户数字证书的查询、撤销；产生和发布证书吊销列表（CRL）；数字证书的归档；密钥归档；历史数据归档。

-证书的发放过程：

1. 证书申请：用户根据个人信息填好申请证书的信息并提交证书申请信息

2. RA确认用户：在企业内部网中，一般使用手工验证的方式，这样更能保证用户信息的安全性和真实性

3. 证书策略处理：如果验证请求成功，那么系统指定的策略就被应用到这个请求上，比如名称的约束、密钥长度的约束等

4. RA提交用户申请信息到CA：RA用自己私钥对用户申请信息签名，保证用户申请信息是RA提交给CA的

5. CA为用户生成密钥对，并用CA的签名密钥对用户的公钥和用户信息ID进行签名，生成电子证书：这样CA就将用户的信息和公钥捆绑在一起了，然后CA将用户的数字证书和用户的公钥公布到目录中

6. CA将电子证书传送给批准该用户的RA

7. RA将电子证书传送给用户（或者用户主动取回）

8. 用户验证CA颁发的证书：确保自己的信息在签名过程中没有被纂改，而且通过CA的公钥验证这个证书确实由所信任的CA机构颁发