4.5 数字证书法的应用

主讲老师石淑华数字证书原理及应用1数字证书简介2数字证书原理3数字证书特点4数字证书应用目录1.了解数字证书的原理；2.了解数字证书的具体过程；3.掌握数字证书的特点4.掌握数字证书的应用场景。本章学习目标在现实世界中，交易双方是通过签订合同、并在合同上签字或盖章，来表明交易双方的真实身份以及对合同内容的确认。但是，如果这种交易是在互联网上进行的，比如进行网上招标采购、网上缴费、网上税务、网上招生等活动时，合同或文件是以电子文档形式表现及传递的，交易的双方可能相隔千里、素昧平生，此时识别交易双方的真实身份、保证交易的安全性、真实性、不可否认性的一种有效的方法就是应用数字证书进行认证。数字证书是由权威公正的第三方机构CA(CertificateAuthority,即证书授权中心)签发的，用来标识网络用户身份信息的一系列数据。就如同现实生活中我们每一个人都要拥有一张证明个人身份的身份证一样，数字证书用来在网络通讯中识别通讯各方的身份。数字证书简介数字证书建立了公钥与个体之间一一对应的关系，也就是说，通过公钥可以确定该个体是谁，就像现实生活中我们可以通过身份证号确定一个人一样。当有争议发生时，可以通过CA进行仲裁。为了防止证书被伪造，每份证书都有CA的签名，相当于CA给每份证书上都加盖了公章。数字证书的格式一般采用X.509国际标准，通常包含如下内容：1.证书的版本号；2.证书的序列号，每个证书都有一个在CA内部唯一的证书序列号；3.签名算法标识符,即证书所使用的签名算法,如RSA算法；4.签发人的名字，即CA的名字；5.证书的有效期，一般采用UTC时间格式,它的计时范围为1950-2049；6.个体的名称，即证书持有人的名称；7.个体的公钥信息；8.CA对证书的签名等。数字证书简介数字证书主要采用不对称加密技术，其特点是：加密与解密过程由不同的密钥来完成；当知道加密算法时，从加密密钥得到解密密钥在计算上是不可行的；两个密钥中的任何一个都可以用做加密而另一个用做解密(不是必须的)。选择其中的一把密钥对外公开，称之为公钥，公钥用于加密和验证签名；另一把则仅为用户本人所知，称之为私钥，私钥用于解密及签名。数字证书中常用的签名算法为RSA算法。数字证书原理图10.1传输结构图基于公开密钥进行加密/解密的基本过程为：1.发送方用接收方的公钥加密明文信息,生成密文；2.发送方将密文发送给接收方；3.接收方收到密文后，用自己的私钥进行解密，得到明文信息即使在第2步，信息被第三方截获，由于他没有接收方的私钥，因此无法对密文进行解密运算，因而无法得到明文，从而保证了信息的保密性。数字证书过程基于公开密钥的RSA签名/鉴别的基本过程为：1.发送方用自己的私钥对信息进行加密，生成密文，发给接收方；2.如果接收方能用发送方的公钥解密密文，由于公钥是与私钥互相配对使用的，并且私钥仅为个体所独有，由此可以肯定消息是由发送方发来的，也就是说发送方对此不能抵赖。数字证书过程利用Hash函数，接收方可以验证消息在传递过程中有没有被更改，即检验消息的完整性或真实性。基本的验证过程为：1.发送方对消息M进行Hash运算,生成消息摘要H(M)；2.发送方对消息摘要用自己的私钥进行加密，生成E[H(M)],然后将其与消息M合并后一同发给接收方；3.接收方从收到的信息中分离出消息M和E[H(M)],并用发送发的公钥对E[H(M)]进行解密,得到消息摘要H(M)；4.接收方对M进行Hash运算，比较其结果与第3步中得到的消息摘要H(M)是否一致，如果一致，则说明消息在传递过程中没有被更改；否则，证明消息已被第三方修改过，则应作废。数字证书过程数字证书综合运用加密、签名以及验证过程，可以解决网络通信中的四大根本问题，即：信息除发送方和接收方外，不被其他人窃取；信息在传输过程中不被篡改；通信双方能够识别对方身份；发送方对于自己所发送的信息不能抵赖。这个完整的解决方案如下：1.发送方对消息M进行Hash运算,生成消息摘要H(M)；2.发送方对消息摘要用自己的私钥进行加密，生成E[H(M)],即进行签名，然后将其与消息M进行合并，生成M||E[H(M)];3.发送方用接收方的公钥加密M||E[H(M)],生成密文后传递给接收方；4.接收方接到密文后,首先用自己的私钥进行解密，得到M||E[H(M)]；5.接收方从M||E[H(M)]中分离出M和E[H(M)],并用发送方的公钥解密E[H(M)],得到消息摘要H(M)；6.接收方对M进行Hash运算，比较其结果与第5步中得到的消息摘要H(M)是否一致，来验证消息在传输过程中有没有被篡改。这实际是一个先签名，后加密的解决方案，保证了信息在传输过程中的安全保密性，而且可以防止出现信息篡改、身份假冒以及交易抵赖等问题。因此，利用数字证书可以实现安全网络通信。数字证书过程数字证书特点4数字证书的优点1、安全当用户申请证书时，计算机上会有两个不同的证书用于验证用户的交互信息。如果您的计算机以其他方式使用，则用户必须获得证书以验证计算机的使用。即使有人偷了你的证书，它也不能被备份或获取用户帐户信息。从而保证了账户信息的安全性。2、独特性数字证书根据用户的身份授予相应的访问权限。如果将计算机更改为登录帐户，则用户将无法执行备份证书，并且只能执行该操作以验证帐户信息。数字证书是一个公钥，所谓只有一个密钥可以解锁锁，这是一个独特的体现。3、便利性数字证书可以直接由CA中心用户打开，不需要数字证书这是非常可靠的。它可以有效地保证数据信息网络的安全，在用户浏览数据信息网络或进行在线交易时使用数字证书。数字证书的特点数字证书的安全性分析首先，国内CA机构颁发的SSL数字证书很多没有通过微软的认证，这样，IE浏览器无法识别，并且会显示警告信息；其次，SSL证书中没有浏览器能自动识别和通过http访问的吊销列表，这意味着：如果证书颁发机构发现某个SSL证书有问题，或是欺诈网站，则可以吊销此证书，但由于浏览器无法识别有效的吊销列表因此无法实时监测到此证书是否已经吊销，这样问题会相当严重，这就相当于一个公司的营业执照被吊销而无法查实一样。比如，CNNIC颁发给客户的SSL证书的吊销列表一个是不可访问的，另一个是LDAP方式的吊销列表，是浏览器无法直接访问的，因此无法确认该SSL证书是否有效。数字证书的特点电子印章在传统商务活动中，为了保证交易的安全与真实，一份书面合同或公文要由当事人或其负责人签字、盖章，以便让交易双方识别是谁签的合同，保证签字或盖章的人认可合同的内容，在法律上才能承认这份合同是有效的。而在电子商务的虚拟世界中，合同或文件是以电子文件的形式表现和传递的。在电子文件上，传统的手写签名和盖章是无法进行的，这就必须依靠技术手段来替代。能够在电子文件中识别双方交易人的真实身份，保证交易的安全性和真实性以及不可抵赖性，起到与手写签名或者盖章同等作用的签名的电子技术手段，称之为电子签名数字证书应用数字证书应用数字证书在网络安全领域的应用由于数字证书具有加密和解密的过程，在获取信息之前需要对其进行验证，在信息传输过程中起到一定的作用。因此，在网络安全的进程中，越来越多的领域开始利用数字证书来保证信息的安全。1、它可以保证电子邮件的安全性安全电子邮件证书主要由CA签名中心、公钥、电子邮件地址、加密证书和数字签名组成。使用安全电子邮件可以发送和接收电子邮件，以确保证书的安全性、完整性和确定性。它也可以存储在移动U盘或硬盘电子邮件中。安全电子邮件使用公钥算法来消除篡改电子邮件签名的可能性。此外，只有在电子邮件证书对应绑定的电子邮件帐户时，用户才能对电子邮件进行签名和加密。数字证书应用2、保证了登录网站的安全性随着互联网上网站数量的增加，钓鱼网站的各种仿冒品也在增加，主要是通过诈骗手段对用户账户信息、身份信息进行网上诈骗，从而危及人民生命安全。当用户无法确定网站是否安全时，互联网上的信息就不安全，这将严重影响网络的发展，从而避免财务和身份信息的泄露，并可以利用数字证书加密技术，让用户获取信息。在因特网上使用数字证书技术是安全可靠的。同时，利用能够验证目标站点的证书来保证由于滥用假冒站点或钓鱼站点服务而造成的损失。数字证书应用3、可以保证供应商的真实性只要网络的重要性体现在数据传输和资源共享上，共享软件可以给用户带来极大的便利，但这种便利也会给网络带来负面影响。用户可以在网络上共享软件，但如果没有一定的认证，软件的安全性就无法保证，软件的来源也无法追查，而且可以利用网络号来鉴别真伪，降低在病毒存在网络安全的假冒程序或软件的风险。4、安全终端保护为了防止一些最重要的外围信息被犯罪分子窃取、销毁或篡改，目前，它是一种采用数字证书核心技术的登录系统，可以实