何 為 認 證 中 心（CA）
http://m.dcyhziu.cn 2007/6/5 源自:中華職工學習網(wǎng) 【字體：
】
】
政 府 上 網(wǎng) 和 電 子 商 務 是 今 年 計 算 機 應 用 領 域 的 兩 大 熱 點。 要 推 廣 這 兩 方 面 的 應 用， 解 決 網(wǎng) 絡 安 全 是 其 中 十 分 關 鍵 的 一 環(huán)， 例 如 不 久 前 中 國 人 民 銀 行 籌 建 的 金 融 認 證 中 心（Root CA） 就 是 為 建 設 我 國 電 子 商 務 提 供 安 全 保 障 的 基 礎 設 施。
那 么， 到 底 什 么 是 認 證 中 心 呢 ？ 在 回 答 這 個 問 題 之 前， 我 們 首 先 需 要 介 紹 數(shù) 字 證 書 的 概 念。
數(shù) 字 證 書 就 是 網(wǎng) 絡 通 信 中 標 志 通 信 各 方 身 份 信 息 的 一 系 列 數(shù) 據(jù)， 其 作 用 類 似 于 現(xiàn) 實 生 活 中 的 身 份 證。 它 是 由 一 個 權 威 機 構 發(fā) 行 的， 人 們 可 以 在 交 往 中 用 它 來 識 別 對 方 的 身 份。 數(shù) 字 證 書 的 格 式 一 般 采 用X.509 國 際 標 準。 一 個 標 準 的X.509 數(shù) 字 證 書 包 含 以 下 一 些 內(nèi) 容： 證 書 的 版 本 信 息； 證 書 的 序 列 號， 每 個 用 戶 都 有 一 個 唯 一 的 證 書 序 列 號； 證 書 所 使 用 的 簽 名 算 法； 證 書 的 發(fā) 行 機 構 名 稱， 命 名 規(guī) 則 一 般 采 用X.400 格 式； 證 書 的 有 效 期， 現(xiàn) 在 通 用 的 證 書 一 般 采 用UTC 時 間 格 式， 它 的 計 時 范 圍 為1950 ～2049； 證 書 所 有 人 的 名 稱， 命 名 規(guī) 則 一 般 采 用X.400 格 式； 證 書 所 有 人 的 公 開 密 鑰（ 關 于 公 開 密 鑰 的 信 息 詳 見 非 對 稱 密 碼 算 法 的 有 關 內(nèi) 容）； 證 書 發(fā) 行 者 對 證 書 的 簽 名。
此 外，X.509 證 書 格 式 還 預 留 了 擴 展， 用 戶 可 以 根 據(jù) 自 己 的 需 要 進 行 擴 展。 目 前 比 較 典 型 的 擴 展 如： Microsoft IE 的 擴 展、Netscape 的 擴 展 和SET（Secure Electronic Transaction） 的 擴 展 等。
我 們 可 以 使 用 數(shù) 字 證 書， 通 過 運 用 對 稱 和 非 對 稱 密 碼 體 制 等 密 碼 技 術 建 立 起 一 套 嚴 密 的 身 份 認 證 系 統(tǒng)， 從 而 保 證： 信 息 除 發(fā) 送 方 和 接 收 方 外 不 被 其 他 人 竊 取； 信 息 在 傳 輸 過 程 中 不 被 篡 改； 發(fā) 送 方 能 夠 通 過 數(shù) 字 證 書 來 確 認 接 收 方 的 身 份； 發(fā) 送 方 對 于 自 己 發(fā) 送 的 信 息 不 能 抵 賴。
認 證 中 心 就 是 一 個 負 責 發(fā) 放 和 管 理 數(shù) 字 證 書 的 權 威 機 構。 對 于 一 個 大 型 的 應 用 環(huán) 境， 認 證 中 心 往 往 采 用 一 種 多 層 次 的 分 級 結 構， 各 級 的 認 證 中 心 類 似 于 各 級 行 政 機 關， 上 級 認 證 中 心 負 責 簽 發(fā) 和 管 理 下 級 認 證 中 心 的 證 書， 最 下 一 級 的 認 證 中 心 直 接 面 向 最 終 用 戶。 處 在 最 高 層 的 是 金 融 認 證 中 心（Root CA）， 它 是 所 有 人 公 認 的 權 威， 如 人 民 銀 行 總 行 的 CA。 認 證 中 心 的 系 統(tǒng) 結 構 如 下 圖 所 示。
認 證 中 心 主 要 有 以 下 幾 種 功 能：
證 書 的 頒 發(fā)
中 心 接 收、 驗 證 用 戶（ 包 括 下 級 認 證 中 心 和 最 終 用 戶） 的 數(shù) 字 證 書 的 申 請， 將 申 請 的 內(nèi) 容 進 行 備 案， 并 根 據(jù) 申 請 的 內(nèi) 容 確 定 是 否 受 理 該 數(shù) 字 證 書 申 請。 如 果 中 心 接 受 該 數(shù) 字 證 書 申 請， 則 進 一 步 確 定 給 用 戶 頒 發(fā) 何 種 類 型 的 證 書。 新 證 書 用 認 證 中 心 的 私 鑰 簽 名 以 后， 發(fā) 送 到 目 錄 服 務 器 供 用 戶 下 載 和 查 詢。 為 了 保 證 消 息 的 完 整 性， 返 回 給 用 戶 的 所 有 應 答 信 息 都 要 使 用 認 證 中 心 的 簽 名。
證 書 的 更 新
認 證 中 心 可 以 定 期 更 新 所 有 用 戶 的 證 書， 或 者 根 據(jù) 用 戶 的 請 求 來 更 新 用 戶 的 證 書。
證 書 的 查 詢
證 書 的 查 詢 可 以 分 為 兩 類， 其 一 是 證 書 申 請 的 查 詢， 認 證 中 心 根 據(jù) 用 戶 的 查 詢 請 求 返 回 當 前 用 戶 證 書 申 請 的 處 理 過 程； 其 二 是 用 戶 證 書 的 查 詢， 這 類 查 詢 由 目 錄 服 務 器 來 完 成， 目 錄 服 務 器 根 據(jù) 用 戶 的 請 求 返 回 適 當 的 證 書。
證 書 的 作 廢
當 用 戶 的 私 鑰 由 于 泄 密 等 原 因 造 成 用 戶 證 書 需 要 申 請 作 廢 時， 用 戶 需 要 向 認 證 中 心 提 出 證 書 作 廢 請 求， 認 證 中 心 根 據(jù) 用 戶 的 請 求 確 定 是 否 將 該 證 書 作 廢。
另 外 一 種 證 書 作 廢 的 情 況 是 證 書 已 經(jīng) 過 了 有 效 期， 認 證 中 心 自 動 將 該 證 書 作 廢。 認 證 中 心 通 過 維 護 證 書 作 廢 列 表(Certificate Revocation List，CRL) 來 完 成 上 述 功 能。
證 書 的 歸 檔
證 書 具 有 一 定 的 有 效 期， 證 書 過 了 有 效 期 之 后 就 將 被 作 廢， 但 是 我 們 不 能 將 作 廢 的 證 書 簡 單 地 丟 棄， 因 為 有 時 我 們 可 能 需 要 驗 證 以 前 的 某 個 交 易 過 程 中 產(chǎn) 生 的 數(shù) 字 簽 名， 這 時 我 們 就 需 要 查 詢 作 廢 的 證 書。 基 于 此 類 考 慮， 認 證 中 心 還 應 當 具 備 管 理 作 廢 證 書 和 作 廢 私 鑰 的 功 能。
總 的 說 來， 基 于 認 證 中 心 的 安 全 方 案 應 該 很 好 地 解 決 網(wǎng) 上 用 戶 身 份 認 證 和 信 息 安 全 傳 輸 問 題。 一 般 一 個 完 整 的 安 全 解 決 方 案 包 括 以 下 幾 個 方 面：
認 證 中 心 的 建 立；
密 碼 體 制 的 選 擇， 現(xiàn) 在 一 般 都 采 用 混 合 密 碼 體 制（ 即 對 稱 密 碼 和 非 對 稱 密 碼 的 結 合）；
安 全 協(xié) 議 的 選 擇， 目 前 較 常 用 的 安 全 協(xié) 議 有：SSL（Secure Socket Layer）、S －HTTP（Secure HTTP） 和SET 等。
其 中， 認 證 中 心 的 建 立 是 實 現(xiàn) 整 個 網(wǎng) 絡 安 全 解 決 方 案 的 關 鍵 和 基 礎， 它 的 建 立 對Internet 上 電 子 商 務 與 政 府 上 網(wǎng) 應 用 的 開 展 具 有 非 常 重 要 的 意 義。
那 么， 到 底 什 么 是 認 證 中 心 呢 ？ 在 回 答 這 個 問 題 之 前， 我 們 首 先 需 要 介 紹 數(shù) 字 證 書 的 概 念。
數(shù) 字 證 書 就 是 網(wǎng) 絡 通 信 中 標 志 通 信 各 方 身 份 信 息 的 一 系 列 數(shù) 據(jù)， 其 作 用 類 似 于 現(xiàn) 實 生 活 中 的 身 份 證。 它 是 由 一 個 權 威 機 構 發(fā) 行 的， 人 們 可 以 在 交 往 中 用 它 來 識 別 對 方 的 身 份。 數(shù) 字 證 書 的 格 式 一 般 采 用X.509 國 際 標 準。 一 個 標 準 的X.509 數(shù) 字 證 書 包 含 以 下 一 些 內(nèi) 容： 證 書 的 版 本 信 息； 證 書 的 序 列 號， 每 個 用 戶 都 有 一 個 唯 一 的 證 書 序 列 號； 證 書 所 使 用 的 簽 名 算 法； 證 書 的 發(fā) 行 機 構 名 稱， 命 名 規(guī) 則 一 般 采 用X.400 格 式； 證 書 的 有 效 期， 現(xiàn) 在 通 用 的 證 書 一 般 采 用UTC 時 間 格 式， 它 的 計 時 范 圍 為1950 ～2049； 證 書 所 有 人 的 名 稱， 命 名 規(guī) 則 一 般 采 用X.400 格 式； 證 書 所 有 人 的 公 開 密 鑰（ 關 于 公 開 密 鑰 的 信 息 詳 見 非 對 稱 密 碼 算 法 的 有 關 內(nèi) 容）； 證 書 發(fā) 行 者 對 證 書 的 簽 名。
此 外，X.509 證 書 格 式 還 預 留 了 擴 展， 用 戶 可 以 根 據(jù) 自 己 的 需 要 進 行 擴 展。 目 前 比 較 典 型 的 擴 展 如： Microsoft IE 的 擴 展、Netscape 的 擴 展 和SET（Secure Electronic Transaction） 的 擴 展 等。
我 們 可 以 使 用 數(shù) 字 證 書， 通 過 運 用 對 稱 和 非 對 稱 密 碼 體 制 等 密 碼 技 術 建 立 起 一 套 嚴 密 的 身 份 認 證 系 統(tǒng)， 從 而 保 證： 信 息 除 發(fā) 送 方 和 接 收 方 外 不 被 其 他 人 竊 取； 信 息 在 傳 輸 過 程 中 不 被 篡 改； 發(fā) 送 方 能 夠 通 過 數(shù) 字 證 書 來 確 認 接 收 方 的 身 份； 發(fā) 送 方 對 于 自 己 發(fā) 送 的 信 息 不 能 抵 賴。
認 證 中 心 就 是 一 個 負 責 發(fā) 放 和 管 理 數(shù) 字 證 書 的 權 威 機 構。 對 于 一 個 大 型 的 應 用 環(huán) 境， 認 證 中 心 往 往 采 用 一 種 多 層 次 的 分 級 結 構， 各 級 的 認 證 中 心 類 似 于 各 級 行 政 機 關， 上 級 認 證 中 心 負 責 簽 發(fā) 和 管 理 下 級 認 證 中 心 的 證 書， 最 下 一 級 的 認 證 中 心 直 接 面 向 最 終 用 戶。 處 在 最 高 層 的 是 金 融 認 證 中 心（Root CA）， 它 是 所 有 人 公 認 的 權 威， 如 人 民 銀 行 總 行 的 CA。 認 證 中 心 的 系 統(tǒng) 結 構 如 下 圖 所 示。
認 證 中 心 主 要 有 以 下 幾 種 功 能：
證 書 的 頒 發(fā)
中 心 接 收、 驗 證 用 戶（ 包 括 下 級 認 證 中 心 和 最 終 用 戶） 的 數(shù) 字 證 書 的 申 請， 將 申 請 的 內(nèi) 容 進 行 備 案， 并 根 據(jù) 申 請 的 內(nèi) 容 確 定 是 否 受 理 該 數(shù) 字 證 書 申 請。 如 果 中 心 接 受 該 數(shù) 字 證 書 申 請， 則 進 一 步 確 定 給 用 戶 頒 發(fā) 何 種 類 型 的 證 書。 新 證 書 用 認 證 中 心 的 私 鑰 簽 名 以 后， 發(fā) 送 到 目 錄 服 務 器 供 用 戶 下 載 和 查 詢。 為 了 保 證 消 息 的 完 整 性， 返 回 給 用 戶 的 所 有 應 答 信 息 都 要 使 用 認 證 中 心 的 簽 名。
證 書 的 更 新
認 證 中 心 可 以 定 期 更 新 所 有 用 戶 的 證 書， 或 者 根 據(jù) 用 戶 的 請 求 來 更 新 用 戶 的 證 書。
證 書 的 查 詢
證 書 的 查 詢 可 以 分 為 兩 類， 其 一 是 證 書 申 請 的 查 詢， 認 證 中 心 根 據(jù) 用 戶 的 查 詢 請 求 返 回 當 前 用 戶 證 書 申 請 的 處 理 過 程； 其 二 是 用 戶 證 書 的 查 詢， 這 類 查 詢 由 目 錄 服 務 器 來 完 成， 目 錄 服 務 器 根 據(jù) 用 戶 的 請 求 返 回 適 當 的 證 書。
證 書 的 作 廢
當 用 戶 的 私 鑰 由 于 泄 密 等 原 因 造 成 用 戶 證 書 需 要 申 請 作 廢 時， 用 戶 需 要 向 認 證 中 心 提 出 證 書 作 廢 請 求， 認 證 中 心 根 據(jù) 用 戶 的 請 求 確 定 是 否 將 該 證 書 作 廢。
另 外 一 種 證 書 作 廢 的 情 況 是 證 書 已 經(jīng) 過 了 有 效 期， 認 證 中 心 自 動 將 該 證 書 作 廢。 認 證 中 心 通 過 維 護 證 書 作 廢 列 表(Certificate Revocation List，CRL) 來 完 成 上 述 功 能。
證 書 的 歸 檔
證 書 具 有 一 定 的 有 效 期， 證 書 過 了 有 效 期 之 后 就 將 被 作 廢， 但 是 我 們 不 能 將 作 廢 的 證 書 簡 單 地 丟 棄， 因 為 有 時 我 們 可 能 需 要 驗 證 以 前 的 某 個 交 易 過 程 中 產(chǎn) 生 的 數(shù) 字 簽 名， 這 時 我 們 就 需 要 查 詢 作 廢 的 證 書。 基 于 此 類 考 慮， 認 證 中 心 還 應 當 具 備 管 理 作 廢 證 書 和 作 廢 私 鑰 的 功 能。
總 的 說 來， 基 于 認 證 中 心 的 安 全 方 案 應 該 很 好 地 解 決 網(wǎng) 上 用 戶 身 份 認 證 和 信 息 安 全 傳 輸 問 題。 一 般 一 個 完 整 的 安 全 解 決 方 案 包 括 以 下 幾 個 方 面：
認 證 中 心 的 建 立；
密 碼 體 制 的 選 擇， 現(xiàn) 在 一 般 都 采 用 混 合 密 碼 體 制（ 即 對 稱 密 碼 和 非 對 稱 密 碼 的 結 合）；
安 全 協(xié) 議 的 選 擇， 目 前 較 常 用 的 安 全 協(xié) 議 有：SSL（Secure Socket Layer）、S －HTTP（Secure HTTP） 和SET 等。
其 中， 認 證 中 心 的 建 立 是 實 現(xiàn) 整 個 網(wǎng) 絡 安 全 解 決 方 案 的 關 鍵 和 基 礎， 它 的 建 立 對Internet 上 電 子 商 務 與 政 府 上 網(wǎng) 應 用 的 開 展 具 有 非 常 重 要 的 意 義。
|
|
相關鏈接
|
|