第5章 數(shù)字證書

1、第5章 數(shù)字證書 作者：孟顯勇 清華大學出版社 電子商務安全管理與支付 目前數(shù)字證書的主要類型包括X.509公鑰證書、簡單PKI證書、 PGP證書、屬性證書，每種類型的數(shù)字證書都具有各自的格 式標準。其中使用最為廣泛的數(shù)字證書的格式標準是由ITU （International Telecommunications Union，國際電信聯(lián)盟） 所制定的X.509標準。 5.1 數(shù)字證書概述 5.1.1 數(shù)字證書的格式 ITU制定的數(shù)字證書X.509標準已經(jīng)有三個版本，應用最為廣 泛的是第三版X.509數(shù)字證書標準。第三版X.509數(shù)字證書標 準相對于以前版本增加了擴展字段，增加了證書的靈活性和

2、適用性。 第三版X.509數(shù)字證書標準增加了擴展項，即可以將任意數(shù)目 的擴展字段添加到數(shù)字證書中。數(shù)字證書應用程序可以按照 需要定制特殊的名稱格式來描述持有者的身份而不采用X.500 的名稱格式。每個擴展項都由三部分組成：擴展類型的對象 標識符、關(guān)鍵程度指示器、擴展字段值。 5.1 數(shù)字證書概述 5.1.2 X.509第三版數(shù)字證書的格式 X.509數(shù)字證書標準增加了擴展項，為數(shù)字證書的使用增添了 靈活性。隨著X.509數(shù)字證書擴展項的廣泛使用，ISO、ITU和 ANSI等組織制定了一系列X.509數(shù)字證書的擴展標準，擴展 標準主要包括以下幾個部分： 1. 密鑰的擴展信息 2. 政策的擴展信息

3、 3. 主體及頒發(fā)者的擴展信息 4. 認證路徑約束的擴展 5.1 數(shù)字證書概述 5.1.3 數(shù)字證書的擴展標準 在基于公鑰加密體制的安全體系中，任何通信實體都擁有一 對密鑰對，密鑰對中包含公鑰和私鑰，并且公鑰與私鑰相互 結(jié)合使用。安全、可靠的密鑰對生成技術(shù)是保證信息安全通 信的基礎(chǔ)，目前密鑰對的生成方式主要有： （1）由密鑰對持有者系統(tǒng)生成。密鑰對由持有者系統(tǒng)生成并 存儲于系統(tǒng)中，密鑰對在使用過程中始終未離開系統(tǒng)，這種 密鑰對生成和管理技術(shù)可以有效地防止密鑰對的泄露。 （2）由密鑰管理中心系統(tǒng)生成。密鑰對在密鑰管理中心的 系統(tǒng)中生成，然后通過安全信道分發(fā)到密鑰對持有者系統(tǒng)， 這種密鑰對生成技術(shù)

4、主要適合處理能力和儲存空間都有限的 持有者系統(tǒng)。 5.2 密鑰對管理技術(shù) 5.2.1 密鑰對的生成 通常利用信息安全保密技術(shù)將私有密鑰存儲于各種存儲介質(zhì) 中，私有密鑰的存儲方式主要有以下幾種： （1）將私有密鑰加密后存儲于計算機硬盤或其他數(shù)據(jù)存儲媒 介中。 （2）將私有密鑰存儲于不可寫的硬件存儲器中。 （3）將私有密鑰存儲于數(shù)字證書服務器中。 5.2 密鑰對管理技術(shù) 5.2.2 私有密鑰的保護 密鑰對的主要更新方式如下： 1. 用于加密的密鑰對更新 2. 用于數(shù)字簽名的密鑰對更新 用于數(shù)字簽名的密鑰對更新要能夠保證密鑰對的歷史有效性和實 時有效性。 歷史有效性。 實時有效性。 3. 認證機構(gòu)的

5、數(shù)字簽名密鑰對更新 認證機構(gòu)的密鑰對更新會涉及到整個認證系統(tǒng)的數(shù)字證書，當認 證機構(gòu)發(fā)布新的根證書時，需要將所有用戶對原密鑰對的信任關(guān) 系轉(zhuǎn)移到新密鑰對上來。為了有效地轉(zhuǎn)移新密鑰對和舊密鑰對之 間的信任關(guān)系，認證機構(gòu)會同時頒發(fā)“新私鑰舊公鑰”和“舊私 鑰新公鑰”這兩個過渡證書。 5.2 密鑰對管理技術(shù) 5.2.3 密鑰對的更新 1. 認證機構(gòu) CA（Certificate Authority，認證機構(gòu)）通常被稱為認證中心、 證書授權(quán)機構(gòu)，是由具有權(quán)威性和公正性的可信第三方機構(gòu) 組成。認證機構(gòu)是整個信任鏈的起點，是認證系統(tǒng)的重要組 成部分，任何網(wǎng)絡通信實體可以從CA中心獲得CA的證書，用 于驗證

6、認證機構(gòu)所發(fā)放數(shù)字證書的數(shù)字簽名，從而確定證書 是否合法。認證機構(gòu)的具體功能是采用公鑰加密技術(shù)為網(wǎng)絡 中的通信實體提供身份認證服務，負責簽發(fā)和管理數(shù)字證書。 5.3 數(shù)字證書的申請與應用 5.3.1 數(shù)字證書的注冊管理機構(gòu) 2. 注冊機構(gòu) RA（Registration Authority，注冊機構(gòu)）負責驗證和錄入 證書申請者的信息，并按照特定的政策和管理規(guī)范對申請 者的資格進行審查，是用戶和認證機構(gòu)CA之間的接口。主 要功能是向CA轉(zhuǎn)發(fā)從安全服務器傳輸過來的證書申請請求， 并向目錄服務器和安全服務器轉(zhuǎn)發(fā)CA頒發(fā)的數(shù)字證書和證 書撤銷列表。認證機構(gòu)可以設置多個注冊機構(gòu)，并且注冊 機構(gòu)可以分散在

7、不同的注冊地點，便于數(shù)字證書申請人申 請數(shù)字證書。 5.3 數(shù)字證書的申請與應用 5.3.1 數(shù)字證書的注冊管理機構(gòu) 1. 數(shù)字證書的申請 數(shù)字證書可分為個人數(shù)字證書、機構(gòu)數(shù)字證書和設備數(shù)字證 書等。用戶可以根據(jù)實際需要來申請不同類型的數(shù)字證書。 2. 本地注冊機構(gòu) LRA（Local Registration Authority，本地注冊機構(gòu)）是為方 便數(shù)字證書申請人注冊數(shù)字證書而建立的注冊機構(gòu)，主要負 責辦理注冊手續(xù)，如填表、驗證身份和取證（簽字、指紋） 等。數(shù)字證書申請人可以在本地注冊機構(gòu)提交身份證明文件， 但是本地注冊機構(gòu)不能制作證書。通常數(shù)字證書的安全級別 越高，需要提供的用戶資料越

8、多，因此本地注冊機構(gòu)便于申 請人注冊。 5.3 數(shù)字證書的申請與應用 5.3.2 數(shù)字證書的注冊 數(shù)字證書的生成過程主要包括身份資料驗證、制作數(shù)字證書和發(fā) 放數(shù)字證書。數(shù)字證書的具體生成過程如圖5-9所示，主要過程如 下： （1）申請人將申請數(shù)字證書所需要的相關(guān)身份認證資料提交給認 證機構(gòu)。 （2）認證機構(gòu)核實申請人的身份認證資料，并將申請人信息添加 到數(shù)字證書。 （3）持有認證機構(gòu)私鑰的簽證設備對簽發(fā)的數(shù)字證書進行數(shù)字簽 名。 （4）認證機構(gòu)將包含用戶信息、私有密鑰和數(shù)字簽名等信息的數(shù) 字證書發(fā)送給用戶。 （5）認證機構(gòu)將數(shù)字證書存儲到數(shù)字證書數(shù)據(jù)庫中。 （6）認證機構(gòu)對用戶的數(shù)字證書進行存

9、檔處理。 （7）認證機構(gòu)記錄數(shù)字證書生成過程的相關(guān)細節(jié)，以及數(shù)字證書 其他的活動記錄。 5.3 數(shù)字證書的申請與應用 5.3.3 數(shù)字證書的生成 數(shù)字證書的更新有兩種情況： 1. 用戶數(shù)字證書更新 2. CA數(shù)字證書更新 5.3 數(shù)字證書的申請與應用 5.3.4 數(shù)字證書的更新 電子郵件證書可以實現(xiàn)郵件通信的保密性、完整性、身份 可認證性和不可否認性。 （1）保密性。 （2）完整性。 （3）身份可認證性。 （4）不可否認性。 5.3 數(shù)字證書的申請與應用 5.3.5 數(shù)字證書在電子郵件中的應用 利用數(shù)字簽名分發(fā)數(shù)字證書必須以公鑰基礎(chǔ)設施為基礎(chǔ)， 簽名者利用數(shù)字簽名分發(fā)數(shù)字證書和證書認證鏈上的其

10、他 證書，因此，根據(jù)證書認證鏈來判斷是否附加數(shù)字證書或 附加哪些數(shù)字證書由簽名者來決定。但是從不同的簽名驗 證者到簽名者具有不同的數(shù)字證書認證路徑，因此對于存 在多個認證路徑的認證系統(tǒng)中，簽名者很難判斷或決定從 簽名者到驗證者之間的認證路徑。若簽名者將所有必需的 數(shù)字證書附在數(shù)字簽名中，將會增加大量的冗余信息，所 以，驗證者通常采用比較可靠的證書獲取方法來獲取所缺 少的數(shù)字證書，例如檢索目錄或數(shù)字證書數(shù)據(jù)庫。 5.4 數(shù)字證書的分發(fā) 5.4.1 利用數(shù)字簽名分發(fā)數(shù)字證書 利用目錄服務器分發(fā)數(shù)字證書的基本過程是在網(wǎng)絡中建立 目錄服務器用于管理和分發(fā)數(shù)字證書，各種用戶可以根據(jù) 需要通過目錄服務器下

11、載數(shù)字證書。利用目錄服務器分發(fā) 數(shù)字證書提高了數(shù)字證書的分發(fā)效率，彌補了數(shù)字簽名分 發(fā)數(shù)字證書的不足。用戶通過查詢目錄服務器獲得所需的 其他用戶的數(shù)字證書及其他相關(guān)信息，例如數(shù)字證書所有 者的基本信息或電子郵件地址等。相對于數(shù)字簽名分發(fā)方 式，目錄服務器分發(fā)方式不需要通信雙方相互發(fā)送數(shù)字證 書，降低了通信成本。 5.4 數(shù)字證書的分發(fā) 5.4.2 利用目錄服務器分發(fā)數(shù)字證書 通常利用數(shù)字簽名和目錄服務器可以分發(fā)數(shù)字證書，此外 還可以通過安全傳輸協(xié)議或傳輸通道來分發(fā)數(shù)字證書。如 果數(shù)字證書具有自我保護功能，用戶可以通過公開網(wǎng)絡傳 輸數(shù)字證書，而不需要安全通信協(xié)議和安全信道的支持。 例如S/MIM

12、E協(xié)議可用于通過E-mail申請和接收數(shù)字證書， 也可以通過Web服務器分發(fā)和管理數(shù)字證書，另外PKI （Public Key Infrastructure，公鑰基礎(chǔ)設施）工作組基于 X.509標準制定了一系列數(shù)字證書管理和分發(fā)協(xié)議，用戶可 以利用HTTP和FTP協(xié)議通過Web方式請求、獲取數(shù)字證書， 對于需要重復使用的數(shù)字證書還可以存儲在本地的目錄服 務器中。 5.4 數(shù)字證書的分發(fā) 5.4.3 其他的數(shù)字證書分發(fā)方法 1. 用戶撤銷數(shù)字證書 當用戶已知或懷疑證書密鑰泄露、證書主體名稱變更或者證書主 體與認證機構(gòu)的關(guān)系發(fā)生變化時，證書持有者可以在數(shù)字證書的 終止日期之前向認證機構(gòu)提出數(shù)字證書

13、撤銷申請。認證機構(gòu)負責 處理數(shù)字證書的撤銷申請，并及時將證書添加到數(shù)字證書撤銷列 表中，數(shù)字證書的撤銷也表示證書有效性的終結(jié)。 2. 認證機構(gòu)撤銷數(shù)字證書 在數(shù)字證書的有效使用期內(nèi)，認證機構(gòu)可以撤銷處于非正常使用 狀態(tài)的數(shù)字證書。例如，數(shù)字證書的持有者沒有向認證機構(gòu)繳納 管理費用，數(shù)字證書的應用超出認證機構(gòu)所允許的功能范圍，或 者政府權(quán)力機構(gòu)提出撤銷某個數(shù)字證書。 3. 企業(yè)撤銷數(shù)字證書 企業(yè)可以根據(jù)數(shù)字證書的應用情況撤銷數(shù)字證書，例如，企業(yè)可 以撤銷職位發(fā)生變化的企業(yè)內(nèi)部員工的無效數(shù)字證書，也可以撤 銷退休或離職員工的無效數(shù)字證書。 5.5 數(shù)字證書的撤銷 5.5.1 數(shù)字證書的撤銷申請 1

14、. 證書撤銷表 5.5 數(shù)字證書的撤銷 5.5.2 數(shù)字證書撤銷表的格式 2. X.509標準的證書撤銷表格式 5.5 數(shù)字證書的撤銷 5.5.2 數(shù)字證書撤銷表的格式 1. 定期公布數(shù)字證書撤銷表 2. 廣播數(shù)字證書撤銷表 3. 進行在線狀態(tài)檢查 4. 發(fā)行短期數(shù)字證書 5. 其他數(shù)字證書撤銷方法 5.5 數(shù)字證書的撤銷 5.5.3 撤銷數(shù)字證書的方法 在實際應用中，認證機構(gòu)的數(shù)字證書撤銷表需要包含所有最 終用戶的證書撤銷信息，這樣數(shù)字證書撤銷表的主體數(shù)目可 能達到數(shù)萬、數(shù)十萬、甚至數(shù)百萬，結(jié)果會導致數(shù)字證書撤 銷表因過于龐大而難于管理，甚至會面臨失控的危險。因此， 在第二版X.509證書標準中增加了數(shù)字證書撤銷表分發(fā)點。 1. 數(shù)字證書撤銷表分發(fā)點 2. 發(fā)放數(shù)字證書撤銷表分發(fā)點 5.5 數(shù)字證書的撤銷 5.5.4 證書撤銷表分發(fā)點 本章主要介紹了數(shù)字證書的基礎(chǔ)知識，主要包括數(shù)字證書 的基本格式和標準、數(shù)字證書的密鑰對管理、數(shù)字證書的 申請、數(shù)字證書的分發(fā)以及數(shù)字證書的撤銷等。重點掌握 數(shù)字證書的基本結(jié)構(gòu)以及數(shù)字證書擴展部分的基本功能； 掌握數(shù)字證書密鑰對的生成方法、存儲方式和更新方法； 重點掌握數(shù)字證書認證機構(gòu)和注冊機構(gòu)的主要職能，以及 認證機構(gòu)生成和更新數(shù)字證書的基本過程，并了解數(shù)字證 書的主要分發(fā)方法；重點掌握數(shù)字證書撤銷的基本概念、 數(shù)