数字证书的工作原理

1 为什么需要数字证书

        三方支付机构在和银联网联交互的时候，通常会使用数字证书进行加签验签，那么为什么要用数组证书呢。核心是要解决密钥传输被截获的问题，比如在非对称加密中，三方支付公司需要获取银联的公钥信息，但是如果请求被第三方拦截的话，公钥信息就可能被替换，会导致三方支付公司用第三方的公钥进行加密，交互信息存在泄露的风险（谁也不想自己的银行卡密码被泄露）。因此，引入证书，用于鉴别服务端的身份。如果服务端的身份鉴定失败，那么就终止请求。

证书颁发给使用者后，使用者就会拿着证书到处证明自己的身份。如果我们收到了一个这样的证书，怎么才能判断这个证书就是合法的，不是伪造的呢？证书中存储的有签名信息，假设交互的双方是A和B。A收到了B发过来的证书，想要验证这个证书的真伪，通过如下步骤：

1）A首先需要获取到为B颁发证书的那个CA的公钥，用这个公钥解密证书中的签名，得到摘要信息1

2.）A使用证书中签名算法里面的HASH算法对证书进行HASH计算，得到一个摘要信息2。

3.）A将摘要信息1和摘要信息2进行对比，如果两者一致，就说明证书确实是由这个CA颁发的（能用CA的公钥解密说明该CA确实持有私钥），并且没有被篡改过，该证书没有问题。

当然，也会同时检查证书是否在有效期内。

2 数组证书的要素

数字证书通常包含一下要素：

Issuer (证书的发布机构)

指出是什么机构发布的这个证书，也就是指明这个证书是哪个公司创建的(只是创建证书，不是指证书的使用者)。对于上面的这个证书来说，就是指"SecureTrust CA"这个机构。

Valid from , Valid to (证书的有效期)

也就是证书的有效时间，或者说证书的使用期限。 过了有效期限，证书就会作废，不能使用了。

Public key (公钥)

这个我们在前面介绍公钥密码体制时介绍过，公钥是用来对消息进行加密的，第2章的例子中经常用到的。这个数字证书的公钥是2048位的，它的值可以在图的中间的那个对话框中看得到，是很长的一串数字。

Subject (主题)

这个证书是发布给谁的，或者说证书的所有者，一般是某个人或者某个公司名称、机构的名称、公司网站的网址等。 对于这里的证书来说，证书的所有者是Trustwave这个公司。

Signature algorithm (签名所使用的算法)

就是指的这个数字证书的数字签名所使用的加密算法，这样就可以使用证书发布机构的证书里面的公钥，根据这个算法对指纹进行解密。指纹的加密结果就是数字签名(第1.5节中解释过数字签名)。

Thumbprint, Thumbprint algorithm (指纹以及指纹算法)

这个是用来保证证书的完整性的，也就是说确保证书没有被修改过，这东西的作用和2.7中说到的第3个问题类似。 其原理就是在发布证书时，发布者根据指纹算法(一个hash算法)计算整个证书的hash值(指纹)并和证书放在一起，使用者在打开证书时，自己也根据指纹算法计算一下证书的hash值(指纹)，如果和刚开始的值对得上，就说明证书没有被修改过，因为证书的内容被修改后，根据证书的内容计算的出的hash值(指纹)是会变化的。 注意，这个指纹会使用"SecureTrust CA"这个证书机构的私钥用签名算法(Signature algorithm)加密后和证书放在一起。