[svc]数字证书基础知识

数字证书基础原理

　　数字证书采用PKI（Public Key Infrastructure）公开密钥基础架构技术，利用一对互相匹配的密钥进行加密和解密。

　　每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥），由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，通过数字的手段保证加解密过程是一个不可逆过程，即只有用私有密钥才能解密，这样保证信息安全无误地到达目的地。用户也可以采用自己的私钥对发送信息加以处理，形成数字签名。由于私钥为本人所独有，这样可以确定发送者的身份，防止发送者对发送信息的抵赖性。接收方通过验证签名还可以判断信息是否被篡改过。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的2048位RSA密钥，需要上千年的计算时间。

数字证书的应用

　　随着Internet的普及、各种电子商务活动和电子政务活动的飞速发展，数字证书开始广泛地应用到各个领域之中，目前主要包括：访问安全站点（服务器证书，即SSL证书）、软件安全认证（代码签名证书）、发送安全电子邮件（个人电子邮件证书）、网上招标投标、网上签约、网上订购、安全网上公文传送、网上缴费、网上缴税、网上炒股、网上购物和网上报关（个人签名及加密证书）等。

数字证书解决的问题

在使用数字证书的过程中应用公开密钥加密技术，建立起一套严密的身份认证系统，它能够保证：
信息除发送方和接受方外不被其他人窃取；
信息在传输过程中不被篡改；
接收方能够通过数字证书来确认发送方的身份；
发送方对于自己发送的信息不能抵赖。
以电子邮件证书为例，数字证书主要可以解决：

保密性：通过使用收件人的数字证书对电子邮件加密，只有收件人才能阅读加密的邮件，这样保证在Internet上传递的电子邮件信息不会被他人窃取，即使发错邮件，收件人由于无法解密而不能够看到邮件内容。

完整性：利用发件人数字证书在传送前对电子邮件进行数字签名不仅可确定发件人身份，而且可以判断发送的信息在传递的过程中是否被篡改过。

身份认证：在Internet上传递电子邮件的双方互相不能见面，所以必须有方法确定对方的身份。利用发件人数字证书在传送前对电子邮件进行数字签名即可确定发件人身份，而不是他人冒充的。

不可否认性：发件人的数字证书只有发件人唯一拥有，故发件人利用其数字证书在传送前对电子邮件进行数字签名后，发件人就无法否认发送过此电子邮件。

数字证书颁发机构

　　数字证书是由认证中心颁发的。认证中心是一家能向用户签发数字证书以确认用户身份的管理机构。

　　为了防止数字凭证的伪造，认证中心的公共密钥必须是可靠的，认证中心必须公布其公共密钥或由更高级别的认证中心提供一个电子凭证来证明其公共密钥的有效性，后一种方法导致了多级别认证中心的出现。

　　数字证书颁发过程如下：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。用户就可以使用自己的数字证书进行相关的各种活动。

参考