支付系列【3】 支付安全之数字证书

公钥的信任问题

之前我们介绍对称加密、非对称加密、信息摘要、数字签名，能实现信息的完整性、加密性。但也存在安全问题。

比如A、B进行通信时，A需要将自己的公钥给对方，以便加密，如果被黑客拦截，并将黑客自己的公钥发送给B，B收到黑客的密钥后，误以为就是A发送的公钥，使用黑客的公钥加密数据发送，黑客再次拦截B发送的信息，用黑客的密钥解密，读取原文内容，再使用A的公钥加密，发送给A。同样B发送给A公钥时，也被拦截，这样黑客都有A、B的公钥，A、B获取的都是黑客的公钥，在通信时，都可以被黑客截取并获取内容，这样是非常不安全的。以上问题是由于无法知道公钥可否可信任导致，如果第三方公证机构，对公钥进行公证，发送信息前，去机构查询当前公钥的拥有者及其他信息，则可解决这些问题。

数字证书

数字证书是由认证机构（认证权威）颁发，包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一些扩展信息的数字文件。

数字证书解决公钥的信任问题，防止黑客伪造公钥。

数字证书的格式普遍采用的是X.509V3国际标准，一个标准的X.509数字证书包含以下一些内容:

• 证书的版本信息;
• 证书的序列号，每个证书都有一个唯一的证书序列号
• 证书所使用的签名算法
• 证书的发行机构名称,命名规则一般采用X.500格式
• 证书的有效期，通用的证书—般采用UTC时间格式
• 证书所有人的名称,命名规则一般采用X.500格式
• 证书所有人的公开密钥
• 证书发行者对证书的签名

颁发流程

• 数字证书申请人将申请数字证书所需的数字证书内容信息提供给认证机构
• 认证机构确认申请人所提交信息的正确性,这些信息将包含在数字证书中
• 由持有认证机构私钥的签证设备给数字证书加上数字签名
• 将数字证书的一个副本传送给用户
• 将数字证书的一个副本传送到数字证书数据库如目录服务，以便公布
</