17 - 02 - 18 计算机网络（39）（KPI/数字证书）

公钥基础设施PKI：

PKI( Public Key Infrastructure )

电子商务蓬勃发展，但是进行电子交易的互联网用户所面临的安全问题有：

    一，保密性 ：如何保证电子商务中涉及的大量保密信息在公开网络的传输过程中不被窃取；

　　二，完整性 ：如何保证电子商务中所传输的交易信息不被中途篡改及通过重复发送进行虚假交易；

　　三，身份认证与授权 ：在电子商务的交易过程中，如何对双方进行认证，以保证交易双方身份的正确性；

四，抗抵赖 ：在电子商务的交易完成后，如何保证交易的任何一方无法否认已发生的交易。这些安全问题将在很大程度上限制电子商务的进一步发展，因此如何保证Internet 网上信息传输的安全，已成为发展电子商务的重要环节。

策略：用PKI（公钥基础设施）技术采用证书管理公钥，通过第三方的可信任机构--认证中 心CA(Certificate Authority)，把用户的公钥和用户的其他标识信息（如名称、e-mail、身份 证号等）捆绑在一起，在Internet 网上验证用户的身份。眼下，通用的办法是采用基于PKI 结构结合数字证书，通过把要传输的数字信息进行加密，保证信息传输的保密性、完整性，签名保证身份的真实性和抗抵赖。

数字证书就是互联网通讯中标志身份信息的一串数字，提供了一种在Internet上验证通信实体身份的方式，数字证书不是数字身份证，而是身份认证机构盖在数字身份证上的一个章或印（或者说一个签名）。它是由权威机构——CA（证书授权，Certificate Authority）机构中心发行的，人们可以在网上用它来识别对方的身份。

数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。数字证书还有一个重要的特征就是只在特定的时间段内有效。

数字证书是一种权威性的电子文档，可以由权威公正的第三方机构，即CA（例如中国各地方的CA公司）中心签发的证书，也可以由企业级CA系统进行签发。

它以数字证书为核心的加密技术(加密传输、数字签名、数字信封等安全技术)可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性及交易的不可抵赖性。使用了数字证书，即使您发送的信息在网上被他人截获，甚至您丢失了个人的账户、密码等信息，仍可以保证您的账户、资金安全。

原理：数字证书里存有很多数字和英文，当使用数字证书进行身份认证时，它将随机生成128位的身份码，每份数字证书都能生成相应但每次都不可能相同的数码，从而保证数据传输的保密性，即相当于生成一个复杂的密码。

数字证书绑定了公钥及其持有者的真实身份，它类似于现实生活中的居民身份证。

一些有趣的特点（支付宝为例）：安全性（1）为了避免传统数字证书方案中，由于使用不当造成的证书丢失等安全隐患，支付宝创造性的推出双证书解决方案：支付宝会员在申请数字证书时，将同时获得两张证书，一张用于验证支付宝账户，另一张用于验证会员当前所使用的计算机。 （2）第二张证书不能备份，会员必须为每一台计算机重新申请一张。这样即使会员的数字证书被他人非法窃取，仍可保证其账户不会受到损失。唯一性（1）支付宝数字证书根据用户身份给予相应的网络资源访问权限（2）申请使用数字证书后，如果在其他电脑登录支付宝账户，没有导入数字证书备份的情况下，只能查询账户，不能进行任何操作，这样就相当于您拥有了类似“钥匙”一样的数字凭证，增强账户使用安全。方便性（1）即时申请、即时开通、即时使用。

数字证书的格式普遍采用的是X.509V3国际标准，一个标准的X.509数字证书包含以下一些内容：

    证书的版本信息；

　　证书的序列号，每个证书都有一个唯一的证书序列号；

　　证书所使用的签名算法；

　　证书的发行机构名称，命名规则一般采用X.500格式；

　　证书的有效期，通用的证书一般采用UTC时间格式，它的计时范围为1950-2049；

　　证书所有人的名称，命名规则一般采用X.500格式；

　　证书所有人的公开密钥；

　　证书发行者对证书的签名。

 

数字证书的应用是广泛的，目前主要包括：发送安全电子邮件、访问安全站点、网上招标投标、网上签约、网上订购、安全网上公文传送、网上缴费、网上缴税、网上炒股、网上购物和网上报关等。其中包括大家最为熟悉的用于网上银行的USBkey和部分使用数字证书的VIEID即网络身份证。

--------————————————————————————————————————整理自《计算机网络》/百度百科