與證書服務(wù)應(yīng)用

1、理論部分一. 公匙基礎(chǔ)結(jié)構(gòu)（PKI）1. PKI的概念是通過使用公匙技術(shù)和數(shù)字證書來確保信息的安全2. PKI的組成公匙加密技術(shù):由公匙和私匙組成數(shù)字證書:用于用戶的身份驗證 CA(證書頒發(fā)機構(gòu)):負責發(fā)布,更新和吊銷證書RA(注冊機構(gòu)):接受用戶的請求3. 公匙加密技術(shù):由公匙和私匙組成。兩者成對生成；不能根據(jù)一推算處另一個；公匙對外公開,私匙只有私匙持有人才知道;私匙應(yīng)該由私匙持有人才妥善保管1).數(shù)據(jù)加密(提高數(shù)據(jù)的機密性):發(fā)送放以接受方的公匙加密,接受收到數(shù)據(jù)后,使用自己的私匙解密2).數(shù)字簽名(作用是:身份驗證;數(shù)據(jù)的完整性;操作的不可否認性):送方以自己私匙傳輸數(shù)據(jù),接授方以發(fā)送

2、方的公匙解密4. X.509: 是由國際電信聯(lián)盟(ITU-T)制定的數(shù)字證書標準,已應(yīng)用許網(wǎng)絡(luò)安全應(yīng)用程序,包括IP安全(IPsec).安全套接層(SSL).安全電子交易(SET).安全多媒體Inerter郵件擴展(S/MIME)等5. 使用PKI的協(xié)議:安全套接層(SSL);IP安全(IPsec);HTTPS安全超文協(xié)議二. 證書頒發(fā)機構(gòu)1. 什么是證書:PKI中的數(shù)字證書簡稱證書,它把公匙和擁有對應(yīng)私的主體的標識信息捆綁在一起。證書包含:使用者的公匙值和標識息.有效期.頒發(fā)者的標識信息和數(shù)字簽名2. CA的作用:CA可以自己創(chuàng)建,也可是第三方機構(gòu),在復雜的認證體中,各層CA按照結(jié)構(gòu)形成樹,

3、根CA處于核心地位,功能是認證授權(quán)3. 證書的發(fā)放過程用戶提交證書申請信息給RA,RA驗證通過后,提交給CA,CA對用戶證書進行數(shù)字簽名,之后傳給RA,RA又傳給用戶.用戶還要驗證CA頒的證書6. 安裝證書服務(wù)在Windows 2008中安裝,在角色中添加證書服務(wù),按照提示完成安裝。在“指定安裝類型”窗口中有“企業(yè)”和“獨立”兩個選項企業(yè)CA和獨立CA，他們的區(qū)別是：企業(yè)CA需要AD服務(wù)；安裝根CA時，對域中所有的用戶和計算機，會被自動添加到受信任的根證書頒發(fā)機構(gòu)的證書存儲區(qū)獨立CA不AD服務(wù)；向獨立CA提交證書時，證書申請者必須在證書申請時提供所有關(guān)于自己的標識信息以及所需的證書類型；默認情

4、況下，發(fā)送到獨立CA的證書被掛起，還的驗證申請者，并手動頒發(fā)。三證書服務(wù)的應(yīng)用（給Eeb服務(wù)其申請證書）1在Windows 2008服務(wù)器上安裝證書服務(wù)（獨立）2在Web服務(wù)器上，打開IIS，雙擊中間窗口服務(wù)器證書，創(chuàng)建證書申請，完成證書的申請；使用https：/證書服務(wù)器IP/certsrv單擊證書申請高級證書申請，在高級證書申請頁面中選擇使用Base64編碼的證書申請，并將剛申請到的證書復制到文本框中3在證書服務(wù)器上頒發(fā)剛申請的證書（企業(yè)CA不需要）4在Web服務(wù)器上，使用https：/證書服務(wù)器的IP/certsrv頁面，在證書已頒發(fā)頁面中，選擇Base64編碼單擊下載證書，名為hao.

5、cer，保存到相應(yīng)的地方，后綴為cer5并且還要下載CA證書并載Web服務(wù)器上打開控制臺，載控制臺中添加證書，將下載的CA證書導入（在企業(yè)CA不需）6載Web服務(wù)器上打開IIS，單擊完成證書申請，將剛下載的hao.cer 證書導入7編輯并幫定SSL，并進行驗證操作部分實驗環(huán)境：一個CA證書服務(wù)器 一個Web服務(wù)器 一個客戶機 要求保證用戶密碼和訪問的數(shù)據(jù)在傳輸?shù)陌踩孕枨竺枋觯涸贑A服務(wù)器上安裝CA證書服務(wù) 在Web服務(wù)器生成Web證書申請 通過IE瀏覽器，提交證書申請 證書申請批準后，下載Web服務(wù)器證書 為Web服務(wù)器安裝證書并配置SSL 使用HTTPS協(xié)議訪問網(wǎng)站一驗證結(jié)果實驗過程：一 安裝CA證書服務(wù) 在Web服務(wù)器上生成證書申請?zhí)峤蛔C