网络通信之——Https数字证书

最新推荐文章于 2024-04-23 09:32:33 发布

luo_boke

最新推荐文章于 2024-04-23 09:32:33 发布

阅读量2.9k

点赞数 1

分类专栏：网络通信文章标签：数字证书数字证书构成和分发证书签名 ca证书数据通信

本文链接：https://blog.csdn.net/luo_boke/article/details/106018128

版权

网络通信专栏收录该内容

4 篇文章 4 订阅

订阅专栏

数据通信系列目录

数字证书

前言
证书构成
证书的发布及使用流程
Android开发中的运用
总结

博客创建时间：2020.05.11
博客更新时间：2021.02.23

前言

TLS
TLS证书信任，就是从用户证书到中间证书，再到根证书，这样一个溯源的过程，浏览器需要找到道受信任的根证书，才会信任你的证书。
TLS（传输层安全）是更为安全的升级版 SSL。由于 SSL 这一术语更为常用，因此我们通常仍将安全证书称作 SSL。TLS 证书一般有ECC、RSA 或 DSA 三种加密方式可以选择，RSA加密只是其中一种方式

数字证书可以确认其内含的公钥确实是这个证书的所有者(Subject)的，或者证书可以用来确认对方的身份。也就是说，我们拿到一个数字证书，我们可以判断出这个数字证书到底是谁的。

确保了证书的安全可靠才能确保，Https通信传递信息的安全可靠。

证书构成

先通过google浏览器查看百度翻译的数字证书
在这里插入图片描述

主要的几个参数：
1. Issuer CA (证书的发布机构)
指出什么机构颁发的证书，即证书创建者。截图中是 TrustAsia TLS RSA CA这个证书颁发机构。

在证书的发布机构发布证书时，证书的指纹和指纹算法都会加密后再和证书放到一起发布，以防有人修改指纹后伪造相应的数字证书。这里的是用发证机构自己的私钥进行加密的

用户获得数字证书后，可以用证书发布机构的公钥(RSA算法)对指纹和指纹算法解密，也就是说证书发布机构除了给别人发布证书外，他自己本身也有自己的证书。

注意
证书发布机构的证书在我们安装操作系统时，数字证书就已经安装在电脑中了。微软等操作系统开发商会根据一些权威机构的评估选取信誉较好且通过安全认证的证书发布机构，将他们的证书默认安装在系统中。证书机构持有自己数字证书对应的私钥，通过这个私钥加密他发布的证书的指纹（证书hash值）作为证书的数字签名。

证书有效期: 有效期一般12个月起
证书使用者:这里是fanyi.baidu.com

2. 指纹
在这里插入图片描述
证书发布之前会对对证书进行Hash值计算，然后继续用证书签名算法和私钥对hash值进行加密获得结果为指纹

3. 证书格式RSA
RSA一种非对称的加密方法

4. 证书有效期
证书的有效开始时间到截止时间，有效期一般12个月起

5. 证书使用者（Subject ）
这里是fanyi.baidu.com，一般是指申请证书的网站域名

6. 公钥
2048bits的16进制的数组数据,公钥进行server数据的解密

7. 签名算法（Signature algorithm）
截图中采用的是sha256RSA算法, 指的是这个证书的数字签名加密算法。当client从server中获取到加密数据，通过该算法和公钥解密后获取加密的数字签名数据，其内含通信数据的hash值。专用于防止传输过程中，内容信息和签名hash一起被篡改

证书发布机构CA,会使用数字证书的签名算法对证书进行加密，一般电脑系统会自带CA的证书，该证书中有公钥和签名算法用于解密办法

加密信息是证书机构用签名算法的私钥进行加密的，其签名算法和公钥用于解密颁发的证书(如百度公司颁发的证书)。

8. 签名哈希算法（Signature hash algorithm）
又称指纹算法，截图中采用的是sha256算法,通过该算法可以对信息内容进行hash值V2得计算。对比签名算法解密获得的Hash值V1，如果V1与V2一致则信息内容未被修改过，反之亦反。

在证书的发布过程中，发布者会根据指纹算法（一种hash算法）算出整个证书的hash值（指纹），并将指纹和指纹算法放在证书中。hash值是通过签名算法的私钥进行加密的，所以想要获得证书中自带的hash值，需要使用签名算法和公钥解密获得自带的hash值。

签名算法是为了确保指纹hash值得准确性，即是为了验证内容信息的指纹值传递的和自我计算出来的指纹值一致，确保内容信息未被篡改过。**

证书的发布及使用流程

在这里插入图片描述

信息传递验证
在验证完证书安全可用后，服务端和客户端就各自掌握证书的私钥和公钥达到了加密通信要求。例如某网站向客户端发送信息"*************",先验证hash值一致，然后客户端通过签名算法和公钥就能解密出传递的信息，同理服务端收到客户端发送的消息后，验证完hash值一致后根据签名算法和私钥就能解密出传递的信息。

证书的Subject判定
数字证书可以保证数字证书里的公钥确实是这个证书的所有者(Subject)的，或者证书可以用来确认对方的身份。
我们为什么能判定证书的Subject呢？

拿到数字证书放入电脑或移动端后，根据证书的CA名字找到对应证书发布机构的数字证书(含公钥和签名算法)，进行数字签名解密。
通过发证机构的公钥进行解码获取该证书的指纹和指纹算法，然后通证书的签名算法和公钥解密指纹，拿到证书的hash值；通过指纹算法再次计算该证书的指纹获取真实指纹hash值，如果证书包含的指纹和真实指纹一致，则说明证书未被篡改过，证书真实可靠，那么证书中的subject真实可靠。