CA数字证书

什么是数字证书

数字证书就是网络通讯中标志通讯各方身份信息的一系列数据，其作用类似于现实生活中的身份证。它是由一个权威机构发行的，人们可以在互联网上用它来识别对方的身份。数字证书的格式遵循ITUTX.509国际标准。

一个标准的X.509数字证书包含以下一些内容：

1. 证书的版本信息；
2. 证书的序列号，每个证书都有一个唯一的证书序列号；
3. 证书所使用的签名算法；
4. 证书的发行机构名称，命名规则一般采用X.500格式；
5. 证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为1950-2049；
6. 证书所有人的名称，命名规则一般采用X.500格式；
7. 证书所有人的公开密钥；
8. 证书发行者对证书的签名。

数字证书的原理

数字证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以对外公开，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。

用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：

1. 保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；
2. 保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。

数字证书是如何生成的？

数字证书是数字证书在一个身份和该身份的持有者所拥有的公/私钥对之间建立了一种联系，由认证中心（CA）或者认证中心的下级认证中心颁发的。如图所示：

根证书是认证中心与用户建立信任关系的基础。在用户使用数字证书之前必须首先下载和安装。认证中心是一家能向用户签发数字证书以确认用户身份的管理机构。为了防止数字凭证的伪造，认证中心的公共密钥必须是可靠的，认证中心必须公布其公共密钥或由更高级别的认证中心提供一个电子凭证来证明其公共密钥的有效性，后一种方法导致了多级别认证中心的出现。

数字证书是如何分发的？

CA将证书分发给用户的途径有多种。

1. 带外分发(Out-of-band Distribution)，即离线方式。例如，密钥对是由软件运营商代替客户生成，证书也是由运营商代替客户从CA下载，然后把私钥和下载的证书一起储存在软盘里，再交给用户的。这样做的好处是免去了用户上网下载证书的麻烦。
2. 带内分发(In-band distribution)，即用户从网上下载数字证书到自己的电脑中。下载时，用户要向CA出示“参考号”和“授权码”，以向CA证明自己的身份。这样做成本较低，但对使用计算机不太熟悉的用户来说，可能在下载时会碰到一些麻烦。
3. 除了以上两种方式外，CA还把证书集中放置在公共的数据库中公布，用户可以随用随查询随调用。