信息平安技术信息平安技术第第 3 3章章 个人数字证书与个人数字证书与CACA认证认证l l3.1 3.1 个人数字证书与个人数字证书与个人数字证书与个人数字证书与CACA认证认证认证认证l l3.2 3.2 加密技术与加密技术与加密技术与加密技术与DESDES加解密算法加解密算法加解密算法加解密算法l l3.3 3.3 认证技术与认证技术与认证技术与认证技术与MD5MD5算法算法算法算法l l3.1.1 3.1.1 个人数字证书个人数字证书个人数字证书个人数字证书l l3.1.2 3.1.2 实验与思考实验与思考实验与思考实验与思考3.13.13.13.1 个人数字证书与个人数字证书与CACA认证认证l l数字证书又称数字标识，是用来标志和证明网络数字证书又称数字标识，是用来标志和证明网络数字证书又称数字标识，是用来标志和证明网络数字证书又称数字标识，是用来标志和证明网络通信双方身份的数字信息文件。数字证书一般由通信双方身份的数字信息文件。数字证书一般由通信双方身份的数字信息文件。数字证书一般由通信双方身份的数字信息文件。数字证书一般由权威、公正的第三方机构即权威、公正的第三方机构即权威、公正的第三方机构即权威、公正的第三方机构即CA(Certificate CA(Certificate Architecture)Architecture)中心签发，包括一串含有客户根本中心签发，包括一串含有客户根本中心签发，包括一串含有客户根本中心签发，包括一串含有客户根本信息及信息及信息及信息及CA CA 签字的数字编码。在网上进行电子商签字的数字编码。在网上进行电子商签字的数字编码。在网上进行电子商签字的数字编码。在网上进行电子商务活动时，交易双方需要使用数字证书来说明自务活动时，交易双方需要使用数字证书来说明自务活动时，交易双方需要使用数字证书来说明自务活动时，交易双方需要使用数字证书来说明自己的身份，并使用数字证书来进行有关的交易操己的身份，并使用数字证书来进行有关的交易操己的身份，并使用数字证书来进行有关的交易操己的身份，并使用数字证书来进行有关的交易操作。作。作。作。3.13.13.13.1 个人数字证书与个人数字证书与CACA认证认证l l通俗地讲，数字证书就是个人或单位在因特网的通俗地讲，数字证书就是个人或单位在因特网的通俗地讲，数字证书就是个人或单位在因特网的通俗地讲，数字证书就是个人或单位在因特网的身份证。身份证。身份证。身份证。l l数字证书主要包括三方面的内容：数字证书主要包括三方面的内容：数字证书主要包括三方面的内容：数字证书主要包括三方面的内容：l l证书所有者的信息证书所有者的信息证书所有者的信息证书所有者的信息l l证书所有者的公开密钥证书所有者的公开密钥证书所有者的公开密钥证书所有者的公开密钥l l证书颁发机构的签名证书颁发机构的签名证书颁发机构的签名证书颁发机构的签名3.1.1 个人数字证书个人数字证书l l标准的标准的标准的标准的X.509 X.509 数字证书包含数字证书包含数字证书包含数字证书包含(但不限于但不限于但不限于但不限于)以下内容：以下内容：以下内容：以下内容：l l1)1)证书版本信息；证书版本信息；证书版本信息；证书版本信息；l l2)2)证书序列号，每个证书都有一个唯一的证书序证书序列号，每个证书都有一个唯一的证书序证书序列号，每个证书都有一个唯一的证书序证书序列号，每个证书都有一个唯一的证书序列号；列号；列号；列号；l l3)3)证书所使用的签名算法；证书所使用的签名算法；证书所使用的签名算法；证书所使用的签名算法；l l4)4)证书的发行机构名称证书的发行机构名称证书的发行机构名称证书的发行机构名称(命名规那么一般采用命名规那么一般采用命名规那么一般采用命名规那么一般采用X.500 X.500 格式格式格式格式)及其私钥的签名；及其私钥的签名；及其私钥的签名；及其私钥的签名；l l5)5)证书的有效期；证书的有效期；证书的有效期；证书的有效期；l l6)6)证书使用者的名称及其公钥的信息。证书使用者的名称及其公钥的信息。证书使用者的名称及其公钥的信息。证书使用者的名称及其公钥的信息。3.1.1 个人数字证书个人数字证书l l以数字证书为核心的加密技术可以对网络上传输以数字证书为核心的加密技术可以对网络上传输以数字证书为核心的加密技术可以对网络上传输以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，的信息进行加密和解密、数字签名和签名验证，的信息进行加密和解密、数字签名和签名验证，的信息进行加密和解密、数字签名和签名验证，以确保网上传递信息的机密性、完整性，以及交以确保网上传递信息的机密性、完整性，以及交以确保网上传递信息的机密性、完整性，以及交以确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，易实体身份的真实性，签名信息的不可否认性，易实体身份的真实性，签名信息的不可否认性，易实体身份的真实性，签名信息的不可否认性，从而保障网络应用的平安性。从而保障网络应用的平安性。从而保障网络应用的平安性。从而保障网络应用的平安性。3.1.1 个人数字证书个人数字证书l l数字证书采用公钥密码体制，即利用一对互相匹数字证书采用公钥密码体制，即利用一对互相匹数字证书采用公钥密码体制，即利用一对互相匹数字证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅配的密钥进行加密、解密。每个用户拥有一把仅配的密钥进行加密、解密。每个用户拥有一把仅配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥为本人所掌握的私有密钥为本人所掌握的私有密钥为本人所掌握的私有密钥 (私钥私钥私钥私钥)，用它进行解密，用它进行解密，用它进行解密，用它进行解密和签名；同时拥有一把公共密钥和签名；同时拥有一把公共密钥和签名；同时拥有一把公共密钥和签名；同时拥有一把公共密钥 (公钥公钥公钥公钥)并可以对并可以对并可以对并可以对外公开，用于加密和验证签名。外公开，用于加密和验证签名。外公开，用于加密和验证签名。外公开，用于加密和验证签名。3.1.1 个人数字证书个人数字证书l l当发送一份保密文件时，发送方使用接收方的公当发送一份保密文件时，发送方使用接收方的公当发送一份保密文件时，发送方使用接收方的公当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方那么使用自己的私钥解钥对数据加密，而接收方那么使用自己的私钥解钥对数据加密，而接收方那么使用自己的私钥解钥对数据加密，而接收方那么使用自己的私钥解密，这样，信息就可以平安无误地到达目的地了，密，这样，信息就可以平安无误地到达目的地了，密，这样，信息就可以平安无误地到达目的地了，密，这样，信息就可以平安无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无即使被第三方截获，由于没有相应的私钥，也无即使被第三方截获，由于没有相应的私钥，也无即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字手段保证加密过程是一个法进行解密。通过数字手段保证加密过程是一个法进行解密。通过数字手段保证加密过程是一个法进行解密。通过数字手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公不可逆过程，即只有用私有密钥才能解密。在公不可逆过程，即只有用私有密钥才能解密。在公不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的是开密钥密码体制中，常用的是开密钥密码体制中，常用的是开密钥密码体制中，常用的是RSARSA体制。体制。体制。体制。3.1.1 个人数字证书个人数字证书l l用户也可以采用自己的私钥对信息加以处理，由用户也可以采用自己的私钥对信息加以处理，由用户也可以采用自己的私钥对信息加以处理，由用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生于密钥仅为本人所有，这样就产生了别人无法生于密钥仅为本人所有，这样就产生了别人无法生于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，成的文件，也就形成了数字签名。采用数字签名，成的文件，也就形成了数字签名。采用数字签名，成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：能够确认以下两点：能够确认以下两点：能够确认以下两点：l l保证信息是由签名者自己签名发送的，签名者不能否保证信息是由签名者自己签名发送的，签名者不能否保证信息是由签名者自己签名发送的，签名者不能否保证信息是由签名者自己签名发送的，签名者不能否认或难以否认。认或难以否认。认或难以否认。认或难以否认。l l保证信息自签发后到收到为止未曾作过任何修改，签保证信息自签发后到收到为止未曾作过任何修改，签保证信息自签发后到收到为止未曾作过任何修改，签保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。发的文件是真实文件。发的文件是真实文件。发的文件是真实文件。3.1.1 个人数字证书个人数字证书l l数字证书可用于发送平安电子邮件、访问平安站数字证书可用于发送平安电子邮件、访问平安站数字证书可用于发送平安电子邮件、访问平安站数字证书可用于发送平安电子邮件、访问平安站点、网上证券、网上招标采购、网上签约、网上点、网上证券、网上招标采购、网上签约、网上点、网上证券、网上招标采购、网上签约、网上点、网上证券、网上招标采购、网上签约、网上办公、网上缴费、网上税务等网上平安电子事务办公、网上缴费、网上税务等网上平安电子事务办公、网上缴费、网上税务等网上平安电子事务办公、网上缴费、网上税务等网上平安电子事务处理和平安电子交易活动等。处理和平安电子交易活动等。处理和平安电子交易活动等。处理和平安电子交易活动等。3.1.1 个人数字证书个人数字证书l l根据加密密钥和解密密钥是否相同或本质上相同根据加密密钥和解密密钥是否相同或本质上相同根据加密密钥和解密密钥是否相同或本质上相同根据加密密钥和解密密钥是否相同或本质上相同,即从其中一个容易推出另一个，可将现有的加密体即从其中一个容易推出另一个，可将现有的加密体即从其中一个容易推出另一个，可将现有的加密体即从其中一个容易推出另一个，可将现有的加密体制分为两种，即单钥加密体制和双钥加密体制制分为两种，即单钥加密体制和双钥加密体制制分为两种，即单钥加密体制和双钥加密体制制分为两种，即单钥加密体制和双钥加密体制 (又又又又称公开密钥体制称公开密钥体制称公开密钥体制称公开密钥体制)。l l前者的加密密钥和解密密钥或者相同或者本质上相同，前者的加密密钥和解密密钥或者相同或者本质上相同，前者的加密密钥和解密密钥或者相同或者本质上相同，前者的加密密钥和解密密钥或者相同或者本质上相同，即从其中一个可以很容易的推出另一个，其典型代表是即从其中一个可以很容易的推出另一个，其典型代表是即从其中一个可以很容易的推出另一个，其典型代表是即从其中一个可以很容易的推出另一个，其典型代表是美国的数据加密标准美国的数据加密标准美国的数据加密标准美国的数据加密标准 (DES)(DES)；l l后一种加密体制中的加密密钥和解密密钥不相同，并且后一种加密体制中的加密密钥和解密密钥不相同，并且后一种加密体制中的加密密钥和解密密钥不相同，并且后一种加密体制中的加密密钥和解密密钥不相同，并且从其中一个很难推出另一个，因此它的加密密钥可以公从其中一个很难推出另一个，因此它的加密密钥可以公从其中一个很难推出另一个，因此它的加密密钥可以公从其中一个很难推出另一个，因此它的加密密钥可以公开，而解密密钥可以由用户自己保存。开，而解密密钥可以由用户自己保存。开，而解密密钥可以由用户自己保存。开，而解密密钥可以由用户自己保存。3.1.1 个人数字证书个人数字证书l l在公开密钥体制中，应用得最多的是在公开密钥体制中，应用得最多的是在公开密钥体制中，应用得最多的是在公开密钥体制中，应用得最多的是RSARSA体制。体制。体制。体制。RSARSA算法是由算法是由算法是由算