X.509、数字签名、CA(Certificate Authority)、自签名证书、PKI
X.509是由国际电联电信委员会（ITU-T）为单点登录（SSO-Single Sign-on）和授权管理基础设施（PMI-Privilege Management Infrastructure）制定的
数字证书的格式标准。X.509定义了（但不仅限于）公钥证书、证书吊销清单、属性证书和证书路径验证算法等证书标准。
数字证书：
在X.509系统中，CA签发的证书依照X.500的管理，绑定了一个 唯一甄别名（DN-Distinguished Name），可以包含多个字段和值，还可以支持 别名（Alternative Name）。
X.509包含了一个证书吊销列表（CRL-Certificate Revocation List）实施的标准，这在PKI系统中经常被人所忽略。IETF提出的检查证书有效性的方法是在线证书状态(OCSP- Online Certificate Status Protocol)。Firefo3 缺省就是使用OCSP协议。
X.509 v3证书数据结构如下：（Firefox->Tools->Options->Advanced->View Certificates可以看到相关证书）
数字签名： H--Hash计算 E--加密计算 D--解密计算
在签发者处，首先求出传递消息Info的HASH值，然后用私钥Private Key对Hash值做加密，然后将传递消息原文Info和经过加密的HASH值一起发给接受者，接受者首先用签发者的公钥解开密码得到传递过来的Hash值，然后对收到的Info原文计算HASH值，然后比对是否相同，如果相同，则认证成功。
CA(Certificate Authority)是数字证书认证中心的简称，是指 颁发证书、废除证书、更新证书、验证证书、管理密钥的机构。CA建立自上而下的信任链， 下级CA信任上级CA，下级CA由上级CA颁发证书并认证。(因为下级CA的证书是用上级CA的密钥加密的，而上级CA的密钥只有自己知道， 因此别人无法冒充上级CA给别人发证书，因此才能形成自上而下的信任链！)
现在主流的浏览器：IE、Firefox，Opera和Safari等都会 预先安装一部分根证书，这些根证书都是受信任的证书认证机构CA，这样他们颁发的证书，浏览器将可以直接信任。虽然用户可以删除或者禁用这些根证书，但事实上，用户很少这么做。在最新的微软平台，甚至会在用户移除了预先安置的根证书后，当用户再访问这些被删除的根证书网站的时候，会自动将这些根证书恢复到信任列表中。
自签名证书的发行机构是用户自己，不在任何一个受信任的CA下，因此默认情况下，浏览器是不信任这个证书的！需要用户 手动添加证书例外、或者导入自签名的根证书！
PKI(Public Key Infrastructure)即"公钥基础设施"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用 提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。
参考：
X.509
PKI
数字证书：
在X.509系统中，CA签发的证书依照X.500的管理，绑定了一个 唯一甄别名（DN-Distinguished Name），可以包含多个字段和值，还可以支持 别名（Alternative Name）。
X.509包含了一个证书吊销列表（CRL-Certificate Revocation List）实施的标准，这在PKI系统中经常被人所忽略。IETF提出的检查证书有效性的方法是在线证书状态(OCSP- Online Certificate Status Protocol)。Firefo3 缺省就是使用OCSP协议。
X.509 v3证书数据结构如下：（Firefox->Tools->Options->Advanced->View Certificates可以看到相关证书）
- Certificate证书
- Version 版本 - Version 3
- Serial Number 序列号 - 01
- Certificate Signature Algorithm 证书签名算法 - PKCS #1 SHA-1 With RSA Encryption
- Issuer 颁发者 - 采用X.500格式
- Validity 有效期
- Not Before 有效起始日期 - 5/13/2005 18:27:17 PM
- Not After 有效终止日期 - 3/22/2015 18:27:17 PM
- Subject 使用者 - 采用X.500格式
- Subject Public Key Info 使用者公钥信息
- Public Key Algorithm 公钥算法 - PKCS #1 RSA Encryption
- Subject Public Key 公钥
- Issuer Unique Identifier (Optional) 颁发者唯一标识
- Subject Unique Identifier (Optional) 使用者唯一标识
- Extensions (Optional) 扩展
- ...
- Certificate Signature Algorithm 证书签名算法 - PKCS #1 SHA-1 With RSA Encryption
- Certificate Signature Value 证书数字签名值
数字签名： H--Hash计算 E--加密计算 D--解密计算
在签发者处，首先求出传递消息Info的HASH值，然后用私钥Private Key对Hash值做加密，然后将传递消息原文Info和经过加密的HASH值一起发给接受者，接受者首先用签发者的公钥解开密码得到传递过来的Hash值，然后对收到的Info原文计算HASH值，然后比对是否相同，如果相同，则认证成功。
CA(Certificate Authority)是数字证书认证中心的简称，是指 颁发证书、废除证书、更新证书、验证证书、管理密钥的机构。CA建立自上而下的信任链， 下级CA信任上级CA，下级CA由上级CA颁发证书并认证。(因为下级CA的证书是用上级CA的密钥加密的，而上级CA的密钥只有自己知道， 因此别人无法冒充上级CA给别人发证书，因此才能形成自上而下的信任链！)
现在主流的浏览器：IE、Firefox，Opera和Safari等都会 预先安装一部分根证书，这些根证书都是受信任的证书认证机构CA，这样他们颁发的证书，浏览器将可以直接信任。虽然用户可以删除或者禁用这些根证书，但事实上，用户很少这么做。在最新的微软平台，甚至会在用户移除了预先安置的根证书后，当用户再访问这些被删除的根证书网站的时候，会自动将这些根证书恢复到信任列表中。
自签名证书的发行机构是用户自己，不在任何一个受信任的CA下，因此默认情况下，浏览器是不信任这个证书的！需要用户 手动添加证书例外、或者导入自签名的根证书！
PKI(Public Key Infrastructure)即"公钥基础设施"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用 提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。
参考：
X.509
PKI