数字证书基础-X.509协议

数字证书的两个基本概念：

1. 公钥加密，私钥解密；私钥签名，公钥验签。

2. 根证书应该被无条件信任，根证书通过可靠途径获得。

1. 证书状态查询

提供证书回收状态查询的两种机制：

1.OCSP --online certficate status protocol (rfc2560)。Firefox3 缺省就是使用OCSP协议。

2.CRLs --certificate revocation lists

2. X.509中的实体

end entity

CA:certification authority

RA:registeration authority, 向CA申请证书之间，需要先向RA注册。

CRL Issuer：代替CA发布CRLs

repository：存储证书和CRL

3. PEM

PEM: InternetPrivacy Enhanced Mail (PEM)

PEM中的架构:

第一层：IPRA,level-1，为PCAs颁发证书

第二层：PCAs，level-2，为CA颁发证书。不同的PCAs面向不同类型的用户。

第三层：CA.level-3,也可处于更低的级别。

X.509 V3允许certification path不起源于IPRA，可以起源于user'sdomain，因为有些时候，localdomain是最可信的。

4. 证书类型

证书分为CA证书和end-entity 证书，可以通过Basic Constraints[x.509 4.2.1.9]中的subject type区分。其中CA证书分为如下三类：

cross-certificate:             issuer 和 subject不一样。

self-issued certificates：自颁发证书。issuer 和 subject一样，to support changes in policy or operations。

self-signed certificates：自签证书，即根证书。是一种特殊的self-issued certificates。使用自己的密匙对证书签名。根证书是一种特殊证书，必须受到客户无条件的信任。

证书是自颁发证书而不是自签证书的情形：

CA在一定情形下需要进行密匙更换，比如private key泄露。CA在进行密钥更替时，存在两个密钥对（新密钥对和旧密钥对），为了平滑过渡，需要另外生成3个证书。

证书1： 新密匙对的self-signed 证书，新的根证书。

证书2：self-issued证