精通pki网络安全认证技术与编程实现（读书笔记1）

第一章 PKI基础知识

1.1 PKI概述

1. PKI是public key infrastructure的缩写，即公开密钥基础设施，它是国际上解决开放式互联网络信息安全需求的一套体系。

2.数字证书就是网络通信中标志通信各方身份信息的一系列数据，它由一个权威机构发行，人们可以在交往中用它来识别对方身份。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。

3.数字认证原理：数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户可以设定一把特定的仅为本人所知的私有密钥，用它进行解密和签名；同事设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误的到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。

4.加密技术：密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。对称加密的加密密钥和解密密钥相同；非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。

5.非对称加密技术特点：保密性好，消除了最终用户交换密钥的需要，单加密和解密花费时间长、速度慢，它不适用于对文件加密，只适用于对少量数据进行加密。实际应用中，一般使用公开密钥和对称密钥相结合完成数据的加密。使用公开密钥对文件进行加密传输的实际过程包括以下几个步骤：

(1)发送方生成一个会话密钥（对称密钥）并用接收方的公开密钥对会话密钥进行加密，然后通过网络传输到接收方

(2)发送方对需要传输的文件用会话密钥进行加密，然后通过网络把加密后的文件传输到接收方。

(3)接收方用自己的私有密钥进行解密后得到会话密钥

(4)接收方用会话密钥对文件进行解密，得到文件的明文形式。

6.数字签名技术：对文件进行加密只解决了传送信息的保密问题；防止其他人对传输的文件进行破坏以及确定发信人的身份还需要采取其他的手段，这一手段就是数字签名。目前数字签名 采用较多的是公钥加密技术，如PKCS、PGP等。目前的数字签名建立在公共密钥体制基础上，它是公用密钥加密技术的另一类应用。它的主要方式是，报文的发送方从报文文本中生成一个128位的散列值。发送方用自己的私钥对这个散列值进行加密来形成发送方的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给报文的接收方。报文的接受方首先从接收到的原始报文中计算出128位的散列值，接着再用发送方的公钥来对报文附加的数字签名进行解密。如果两个散列值相同、那么接受方就能确认该数字签名是发送方的。