公钥管理与CA服务cernetk

1、东南大学东南大学 1东南大学东南大学 2 用以创建、管理、存储、分配和撤销基用以创建、管理、存储、分配和撤销基于非对称加密体制的公钥证书的一组硬于非对称加密体制的公钥证书的一组硬件、软件、人员、政策和规程的集合件、软件、人员、政策和规程的集合 IETF安全领域的安全领域的PKIX工作组工作组 证书及其属性定义证书及其属性定义 证书访问、管理与状态查询协议证书访问、管理与状态查询协议 辅助服务辅助服务 Policy outline time stamping and data certification services 安全认证方法安全认证方法 属性证书属性证书东南大学东南大学 3 证书及证书

2、及CRL库库 端实体端实体操作交互操作交互管理交互管理交互 RA CA CA管理交互管理交互发布证书发布证书发布证书发布证书发布发布CRLPKI的管理实体的管理实体PKI的用户的用户管理交互管理交互东南大学东南大学 4 公钥的载体公钥的载体 关于该公钥属于某一实体这一事实的数字化关于该公钥属于某一实体这一事实的数字化声明，是该公钥可信度的证明声明，是该公钥可信度的证明 自签名证书自签名证书 确立自己的信誉确立自己的信誉 CA签名证书签名证书 表示一个表示一个CA对另一个对另一个CA的信任传递的信任传递 客户证书客户证书 由由CA服务器担保的客户公钥服务器担保的客户公钥 分为个人证书和服务器证书

3、分为个人证书和服务器证书东南大学东南大学 5Certificate: Data: Version: 3 (0 x2) Serial Number: 46 (0 x2e) Signature Algorithm: md5WithRSAEncryption Issuer: Validity: Not Before: Oct 7 01:53:38 2000 GMT Not After : Oct 7 01:53:38 2001 GMT Subject:东南大学东南大学 6 Subject Public Key Info: Public Key Algorithm: rsaEncryption RSA

4、 Public Key: (1024 bit) Modulus (1024 bit): 00:d9:fd:c6:68:34:0d:67:9e:95:4b:ed:c5:76:05: 0c:cc:49:0e:21:a6:2c:cd:85:22:62:e4:bd:72:5d: 5e:48:65:b8:98:3b:21:b3:65:67:a8:53:cd:63:53: 23:d9:21:37:c3:93:d7:3d:0a:69:ed:da:bf:64:a4: 6c:bb:a4:4b:cf:46:f5:cc:72:74:54:0a:b6:e8:22: 70:69:ca:f7:8d:5b:25:24:bd

5、:11:67:94:dc:97:21: ff:08:7a:50:4c:3a:ff:33:4b:5f:54:66:ea:8e:cb: f0:b3:af:96:ce:d0:78:a4:51:3e:8c:f9:98:52:0a: fd:ad:cb:85:b5:45:d4:14:3f Exponent: 65537 (0 x10001)东南大学东南大学 7 X509v3 extensions: Netscape Cert Type: SSL Client Netscape CA Revocation Url: Netscape Comment: Cernet Eastern China(North)

6、Network Center Certificate Authority东南大学东南大学 8 Signature Algorithm: md5WithRSAEncryption 92:ad:96:f6:4e:10:fa:69:3b:1b:99:61:80:1b:4a:36:49:8f: 0f:1e:d0:96:42:1e:10:13:52:34:2c:03:f8:43:bb:de:96:02: bc:2d:79:7c:54:95:95:a7:60:2e:e5:c4:09:9e:96:8c:c8:c3: 97:55:05:c8:45:5b:b8:e6:9b:87:62:91:d4:0e:f1:c

7、5:43:93: 36:b2:d8:5d:59:f2:6b:da:95:30:a8:d6:72:98:8a:62:9f:43: e0:5e:d0:4b:d2:be:16:b3:f6:81:f7:7e:60:92:24:9d:80:9d: db:ff:89:8f:36:09:df:e1:49:45:fb:db:36:04:cb:51:86:91: c2:53东南大学东南大学 9 自签名证书 子证书 子证书 。 端实体证书。Issuer N am eSubject N am e公钥信息其它信息Issuer N am eSubject N am e公钥信息其它信息Issuer N am eSubje

8、ct N am e公钥信息其它信息Issuer N am eSubject N am e公钥信息其它信息在在CA的层次结构中形成的公钥信任链的层次结构中形成的公钥信任链 Root CA 由端实体直接信任的由端实体直接信任的CA，通常要求通过某种带外方式获，通常要求通过某种带外方式获得该得该CA的公钥。根的公钥。根CA并未要求一定处在层次结构的顶点。并未要求一定处在层次结构的顶点。 Subordinate CA 非端实体直接信任的非端实体直接信任的CA。 Top CA 位于位于PKI层次结构顶点的层次结构顶点的CA。东南大学东南大学 10 X.509证书是离线的，因此使用时的状态与颁证书是离线的

9、，因此使用时的状态与颁发时的状态可能不一致，需要有证书有效性的发时的状态可能不一致，需要有证书有效性的控制机制控制机制 CRL的内容包括的内容包括 CRL的签发者的签发者 签发所使用的算法签发所使用的算法 签发日期签发日期 下一签发日期下一签发日期 被撤销证书的序列号及撤销日期表被撤销证书的序列号及撤销日期表 签发者的数字签名签发者的数字签名 扩展部分扩展部分东南大学东南大学 11东南大学东南大学 12东南大学东南大学 13东南大学东南大学 14东南大学东南大学 15东南大学东南大学 16东南大学东南大学 17东南大学东南大学 18东南大学东南大学 19东南大学东南大学 20 自己的证书自己的

10、证书(yours)：到：到CA服务器申请。服务器申请。 CA服务器证书服务器证书(signers)：连接到有关的：连接到有关的CA服务器处下载。服务器处下载。注意：下载某注意：下载某CA的证书意味着对该的证书意味着对该CA的信任（承认该的信任（承认该CA签发的所有证书）。签发的所有证书）。 他人的证书他人的证书(people)：到：到CA服务器下载，或服务器下载，或在交互（如电子邮件）中获得。在交互（如电子邮件）中获得。 服务器证书服务器证书(Web Sites)：一般在交互中获得。：一般在交互中获得。（以上该分类来源于（以上该分类来源于netscape浏览器）浏览器）东南大学东南大学 21

11、基于基于LDAP的目录服务的目录服务 WWW服务器服务器 电子邮件（电子邮件（PEM） FTP Host certificate (DNS) cache certificate, need current CRL do not need strong security东南大学东南大学 22面向华东北地区各用户单位提供基于面向华东北地区各用户单位提供基于X.509证书的各种证书的各种PKI服务服务: 申请个人证书和服务器证书申请个人证书和服务器证书 查询和下载证书查询和下载证书 查询和下载证书撤销列表查询和下载证书撤销列表(CRL) 查看和下载查看和下载CA证书证书 申请取消证书申请取消证书东南

12、大学东南大学 23东南大学东南大学 24 下载下载CA证书证书建立对建立对CA的信任的关系。的信任的关系。 申请个人证书申请个人证书填写申请表单，生成密钥对，填写申请表单，生成密钥对，并提交证书请求。并提交证书请求。 下载证书下载证书接到接到CA管理员的证书签发通知管理员的证书签发通知后，查询并下载证书。后，查询并下载证书。 使用个人证书使用个人证书在在Email的安全通信中使用的安全通信中使用证书。证书。东南大学东南大学 25 单击主页面左方单击主页面左方“ 下载下载CA证书证书”的链接，的链接，选择选择“下载下载CA证书证书”。东南大学东南大学 26 并在随后出现的页面上选择下载并在随后出

13、现的页面上选择下载PEM格式的格式的CA证书。证书。东南大学东南大学 27 浏览器会跳出下示窗口，提示将进行下载浏览器会跳出下示窗口，提示将进行下载CA证书操作，证书操作，并对并对CA作简要说明。作简要说明。东南大学东南大学 28 浏览器会提示将下载的浏览器会提示将下载的CA证书和相关信息操作，可以证书和相关信息操作，可以选择选择“ more info”查看将证书的详细内容。查看将证书的详细内容。东南大学东南大学 29 下载下载CA证书时需要对证书时需要对CA证书将来的作用范围进行限证书将来的作用范围进行限制。本例中：只允许其验证网站和制。本例中：只允许其验证网站和email用户。用户。东南大

14、学东南大学 30 最后浏览器提示要为该最后浏览器提示要为该CA证书一个便于管理的名字，证书一个便于管理的名字，如如Cernet Eastern China（North）CA。东南大学东南大学 31 下载完成后可从浏览器工具栏中单击下载完成后可从浏览器工具栏中单击”Security”调出调出“Secure Info”窗口，在左侧选择窗口，在左侧选择“ CertificateSigners”，对话框中出现的对话框中出现的CA列表应包含您刚下载的列表应包含您刚下载的CA证书。证书。东南大学东南大学 32 单击主页面左侧的单击主页面左侧的“ 申请个人证书申请个人证书”按钮，页面中间会按钮，页面中间会出

15、现图示申请表。出现图示申请表。 填写相关信息后，填写相关信息后，按按“申请个人证书申请个人证书”按钮提交。按钮提交。东南大学东南大学 33 浏览器提示将要产生一个公钥浏览器提示将要产生一个公钥/私钥对。按私钥对。按”OK”继续继续后浏览器会询问是否需要设置浏览器私钥数据库口令后浏览器会询问是否需要设置浏览器私钥数据库口令保护刚生成的私钥。按保护刚生成的私钥。按”Next”，在最后一个窗口中，在最后一个窗口中按按”Finish”就完成了证书请求过程。就完成了证书请求过程。 管理员会通过管理员会通过email通知您申请证书的通知您申请证书的处理结果。如果证处理结果。如果证书被批准，该邮件书被批准，

16、该邮件中还将包含对应证中还将包含对应证书编号。书编号。东南大学东南大学 34 进入证书服务器主页，单击左侧的进入证书服务器主页，单击左侧的“查询及下载证书查询及下载证书”按钮后，在中间窗口的查询范围中输入自己的证书编按钮后，在中间窗口的查询范围中输入自己的证书编号，本例为号，本例为3号，然后提交。号，然后提交。东南大学东南大学 35 找到自己申请的证书后，按找到自己申请的证书后，按“ 列出证书详细内容列出证书详细内容”进进行进一步操作。行进一步操作。东南大学东南大学 36 在窗口的上方选中在窗口的上方选中“ 自己的证书自己的证书”，单击右的，单击右的“ 下载下载该证书该证书”。东南大学东南大学

17、 37 确认证书已成功下载至浏览器：在浏览器工具栏中单确认证书已成功下载至浏览器：在浏览器工具栏中单击击”Security”,跳出一跳出一”Secure Info”，选择，选择“ Certificate Yours”，对话框中出现的列表应包含，对话框中出现的列表应包含您刚下载的个人证书。您刚下载的个人证书。东南大学东南大学 381. Netscape浏览器的浏览器的“ Security”功能的介绍和设置功能的介绍和设置在工具栏中单击在工具栏中单击”Security”,将跳出一窗口。窗口将跳出一窗口。窗口左侧是各种选项，主页面对应是左侧是各种选项，主页面对应是”Secure Info”选项，选项

18、，显示了浏览器当前页面或显示了浏览器当前页面或Email的相关安全信息。的相关安全信息。东南大学东南大学 39 Passwords：设置浏览器的证书密钥库保护口令和保护：设置浏览器的证书密钥库保护口令和保护级别。级别。东南大学东南大学 40 Navigator:浏览器访问安全浏览器访问安全WEB站点的相关设置。站点的相关设置。 选择需要浏览器发出警告的各种情况。选择需要浏览器发出警告的各种情况。 选择访问选择访问web站点时的证站点时的证书使用方式书使用方式: “Ask Every Time”:每次每次浏览器向服务器出示证浏览器向服务器出示证书时需要人工选择证书。书时需要人工选择证书。 “Se

19、lect Automatically”：只在第一次向站点发送只在第一次向站点发送证书时需要人工干预。证书时需要人工干预。 证书：在访问时使用指证书：在访问时使用指定证书。定证书。 高级配置：高级配置：SSL版本选择版本选择东南大学东南大学 41 Messenger:邮件使用中的安全设定。邮件使用中的安全设定。 设置证书的使用场合：设置证书的使用场合：对所有邮件加密、签对所有邮件加密、签名和对所有名和对所有news签名。签名。 指定安全通信中所使指定安全通信中所使用的证书。用的证书。 发送证书到目录上。发送证书到目录上。 高级配置：加密模块高级配置：加密模块选择选择东南大学东南大学 42 Certificates:浏览器证书数据库管理。浏览器证书数据库管理。 Yours：个人证书管理。可以对个人证：个人证书管理。可以对个人证书进行查看、验证、删除、导入和导书进行查看、验证、删除、导入和导出等操作。出等操作。 People：Email用户证书管理。可以查用户证书管理。可以查看、验证和删除库中的看、验证和删除库中的Ema