关于证书安全体系的理解

最新推荐文章于 2024-09-18 20:33:32 发布

jerryshi68

最新推荐文章于 2024-09-18 20:33:32 发布

阅读量475

点赞数

分类专栏：证书公钥安全私钥认证文章标签：加密算法网络服务器 c 解密

本文链接：https://blog.csdn.net/jerryshi68/article/details/7004560

版权

证书同时被 3 个专栏收录

1 篇文章 0 订阅

订阅专栏

公钥

1 篇文章 0 订阅

订阅专栏

安全

1 篇文章 0 订阅

订阅专栏

有关计算机网络领域的证书安全体制，常常存在很多理解，如果大家理解不一致，将会造成很多困扰，本文试图从很初浅的概念来阐述该体制的内容。

在现实世界中，人与人的相互信任，往往建立在相互不断增进的了解基础上，但是在计算机网络领域，交易双方通过网络连接，无法直接沟通，如何解决相互信任的问题，有关专家提出证书安全体系，利用该体系，保证交易双方身份真实（防假冒），交易内容安全（防窃取，防非法修改）。下面主要阐述身份认证方面，交易内容安全不再提及。

该体制的基础是公钥和私钥签名和加密算法，如果有一种算法保证：有一对密钥，其中一把为私钥，一把为公钥，它们对应出现。对特定字串，用私钥加密后，只有对应的公钥才能解开，而且知道加密结果和公钥，无法推断出对应的原文和私钥。这种算法就可以用于身份识别，当需要进行身份认证时，A方可以用自己的私钥（A方掌握，永不示人）将原文加密，得到加密后的字串（即签名），将公钥、签名、和原文发送给B方，B方用公钥将签名解密，和原文比较，如果相同，表示A方为公钥对应的身份。但这种方法是有漏洞的，如果中途C方将原文截获，用自己的私钥签名，连同自己的公钥发送给B方，B无法认证到底是A方还是C方，因此在证书安全体制中引入证书概念来保证A方的真实身份。

证书安全体制中，需要交易双方共同信任一个公信机构，如同现实世界中大家信任公安局。大家到公信机构注册，公信机构给每人颁发证书，如同公安局给每人颁发身份证一样。

在证书中，有几项关键内容：

使用者唯一标识
使用者公钥
颁发者唯一标识
颁发者证书签名

如同我们的身份证上有：我的身份证号（使用者唯一标识），公安局名称（颁发者唯一标识），公安局的防伪标识（颁发者证书签名），但是没有使用者公钥，这是计算机证书特有的。

对于公信机构，它自己也有一个证书，称为根证书，此时使用者和颁发者为同一人。

证书安全体制中，上级证书的公钥可以用来验证下级证书的真伪，即用根证书的公钥，验证下级证书的签名，因为该签名是由上级证书的私钥签出来的。

计算机证书和身份证还有一个很大不同，计算机证书可以给任何人公示，可以任意拷贝，而身份证每个人都得自己看管好。

回到上面的例子，如果A，B双方都在公信机构注册，都获得了根证书，自己的证书。A方将自己的证书发给B方，B方发现该证书和自己的证书为同一颁发者，即A证书和B证书中的颁发者唯一标识相同，B认为A方和自己为同一机构的注册者，B用自己保管的根证书中的公钥，验证A证书的真伪，如果为真，说明A的证书确实是公信机构颁发的，但A的身份仍需进一步认证，此时B方给一个随机数（明文发送），要求A方签名，A用自己的私钥签名后，将签名值（仍然明文发送），B方用A方证书中的公钥验证签名，如果和随机数匹配，说明A方确认是A证书的拥有者。如果C方想假冒，将不可能进行，因为C方无A的私钥，签不出名来，即使它有A的证书。而且C方也无法篡改证书，因为公信机构保证每个证书使用者唯一标识的唯一性，如果C方用伪公信机构制造一张假证书，即使用者唯一标识和颁发者唯一标识都拷贝A证书的，但公钥和签名换成假的了，但B方用自己的根证书一验，就知道证书的真假，C方仍然无法欺骗B方。