易联众RA相关知识
数字证书就是用户在网络中的身份的证明。现实生活中我们用身份证来验证身份；网络中则使用数字证书来验证身份。数字证书可以保护网络中传输数据的机密性、完整性和不可否认性。
数字证书中不仅具有个人或单位的基本信息，还存有用于加密数据的公钥和相关加密信息。
A. 身份认证
B. 数据的完整性
C. 数据的机密性
D. 不可抵赖性
按用途分：签名证书和加密证书
按种类分：个人证书，单位证书，服务器证书
数字证书采用公钥体制，就是加密和解密所使用的不是同一个密钥，通常有两个密钥，称为“公钥”和“私钥”，它们两个必需配对使用，否则不能打开加密文件。这里的“公钥”是指可以对外公布的，“私钥”则不能，只能由持有人一个人知道。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，而保留其私有密钥。购物者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送以商户，然后由商户用自己的私有密钥进行解密。
用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：
(1) 保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；
(2) 保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。
数字签名具体做法是：
(1) 将报文按双方约定的HASH算法计算得到一个固定位数的报文摘要。在数学上保证，只要改动报文中任何一位，重新计算出的报文摘要值就会与原先的值不相符。这样就保证了报文的不可更改性。
(2) 将该报文摘要值用发送者的私人密钥加密,然后连同原报文一起发送给接收者,而产生的报文即称数字签名。
(3) 接收方收到数字签名后，用同样的HASH算法对报文计算摘要值，然后与用发送者的公开密钥进行解密解开的报文摘要值相比较，如相等则说明报文确实来自所称的发送者。
为防止有人长期不懈地解密，每把密钥都必须设定一个失效日期，过期后，该密钥就不再有效。失效期限应远比可能有被破解的期限短。换句话说，密钥应当足够长，使得在有效期内破解的可能性微乎其微。尽管存在标准时间期限，密钥对的有效期限同样也取决于密钥使用的环境。有效期限密钥值以及对预期中的攻击者能力的估计，决定了相应密钥的长度。密钥的失效日期要么置于数字证书的公共密钥上，要么存于目录表中。签名验证程序应应当核查失效日期，并且拒绝使用失效密钥签名的报文。这意味着，一旦一个人的密钥过期，所有用该密钥签名的报文都将失效。
一个证书的有效期是有限的，这种规定在理论上是基于当前非对称算法和密钥长度的可破译性分析;在实际应用中是由于长期使用同一个密钥有被破译的危险，因此，为了保证安全，证书和密钥必须有一定的更换频度。
数字证书设定有效期限的目的在于：（1）数字证书所代表的所有人身份在一定时间内可能发生变更如企业的名称变更、企业经营期限届满、企业注销、自然人死亡等等; （2）从安全角度考虑，密钥使 用的时间越长，被泄露或破解的风险就越大，在一定期限后对密钥进行更新，可以保证数字证书的高度安全性。
出于信息保密的目的，在信息传输或存储中，采用密码技术对需要保密的信息进行处理，使得处理后的信息不能被非受权者(含非法者)读懂或解读，这一过程称为加密。在加密处理过程中，需要保密的信息称为“明文”，经加密处理后的信息称为“密文”。加密即是将“明文”变为“密文”的过程；与此 类似，将“密文”变为“明文”的过程被称为解密。
对称加密采用了对称密码编码技术，它的特点是文件加密和解密使用相同的密钥，即加密密钥也可以用作解密密钥，这种方法在密码学中叫做对称加密算法，对称加密算法使用起来简单快捷，密钥较短,且破译困难，常用的对称加密算法有：DES、3DES、AES等。
1976年，美国学者Dime和Henman为解决信息公开传送和密钥管理问题，提出一种新的密钥交换协议，允许在不安全的媒体上的通讯双方交换信息，安全地达成一致的密钥，这就是“公开密钥系统”。相对于“对称加密算法”这种方法也叫做“非对称加密算法”。与对称加密算法不同，非对称加密算法需要两个密钥：公开密钥（publickey）和私有密钥 （privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。
数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。
如今，随着互联网技术的发展，信息数字化已经成为普遍现象。各类电子商务（如：网上银行、电子交易等）、电子政务（如：行政审批、网上招投标、网上申报）的应用如雨后春笋般不断涌现，使信息技术广泛的应用于各个领域。基于互联网的应用给人们带来便利的同时，信息安全问题日益突出，如:网络身份被冒用、信息数据被窃取和篡改、责任难以认定等。通过使用数字证书，运用对称和非对称密码体制等密码技术建立起一套严密的身份认证系统，从而保证信息除发送方和接收方外不被其他人窃取；信息在传输过程中不被篡改；发送方能够通过数字证书来确认接收方的身份；发送方对于自己的信息不能抵赖。提供信息传输机密性、信息完整性、身份真实性和作业防抵赖性和访问权限控制等一站式解决方案，是实施电子商务、电子政务等信息化应用的安全和信任基础。
证书容器是专门用于存储数字证书的安全的载体，遵循规范的技术标准，能够有效的避免由于数字证书下载到本地计算机硬盘而带来的多人公用同一个证书的情况出现，目前比较成熟的产品有USB KEY和智能IC卡。
数字证书的存储介质主要有磁盘、IC卡及USB－KEY等形式。其中USB－KEY具有小巧美观，携带方便，支持即插即用；不易损坏，物理安全性强；内置微处理器进行加解密和签名、验证操作，密钥被加密保存且不导入内存，信息安全性高等优点，已逐渐成为数字证书存储的首选设备。虽然有些用户希望使用磁盘或IC卡作为证书存储介质，但磁盘携带不便，极易损坏或丢失，而且密钥很容易被复制。IC卡相比磁盘，虽然有一定的优势，但由于其不能在内部产生密钥，仍有密钥被盗的可能，而且IC卡须配置读卡器，不仅增加成本，使用起来也颇为不便。
公钥基础设施PKI（Public Key Infrastructure），是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。原有的单密钥加密技术采用特定加密密钥加密数据，而解密时用于解密的密钥与加密密钥相同，这称之为对称型加密算法。采用此加密技术的理论基础的加密方法如果用于网络传输数据加密，则不可避免地出现安全漏洞。因为在发送加密数据的同时，也需要将密钥通过网络传输通知接收者,第三方在截获加密数据的同时，只需再截取相应密钥即可将数据解密使用或进行非法篡改区别于原有的单密钥加密技术，PKI采用非对称的加密算法，即由原文加密成密文的密钥不同于由密文解密为原文的密钥，以避免第三方获取密钥后将密文解密。 PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。
完整的PKI系统必须具有权威认证机构(CA)、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口（API）等基本构成部分，构建PKI也将围绕着这五大系统来着手构建。
认证机构（CA）： 即数字证书的申请及签发机关，CA必须具备权威性的特征；
数字证书库： 用于存储已签发的数字证书及公钥，用户可由此获得所需的其他用户的证书及公钥；
密钥备份及恢复系统：如果用户丢失了用于解密数据的密钥，则数据将无法被解密，这将造成合法数据丢失。为避免这种情况，PKI提供备份与恢复密钥的机制。但须注意，密钥的备份与恢复必须由可信的机构来完成。并且，密钥备份与恢复只能针对解密密钥，签名私钥为确保其唯一性而不能够作备份。
证书作废系统：证书作废处理系统是PKI的一个必备的组件。与日常生活中的各种身份证件一样,证书有效期以内也可能需要作废，原因可能是密钥介质丢失或用户身份变更等。为实现这一点,PKI必须提供作废证书的一系列机制。
应用接口（API）：PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的PKI必须提供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保安全网络环境的完整性和易用性。
通常来说，CA是证书的签发机构,它是PKI的核心。众所周知，构建密码服务系统的核心内容是如何实现密钥管理。公钥体制涉及到一对密钥（即私钥和公钥），私钥只由用户独立掌握，无须在网上传输,而公钥则是公开的，需要在网上传送，故公钥体制的密钥管理主要是针对公钥的管理问题，目前较好的解决方案是数字证书机制。数字证书是公开密钥体系的一种密钥管理媒介。它是一种权威性的电子文档，形同网络计算环境中的一种身份证，用于证明某一主体（如人、服务器等）的身份以及其公开密钥的合法性，又称为数字ID。数字证书由一对密钥及用户信息等数据共同组成，并写入一定的存储介质内，确保用户信息不被非法读取及篡改。数字证书的格式一般采用X.509国际标准。
数字证书认证中心（Certficate Authority,CA）就是一个负责发放和管理数字证书的权威机构。对于一个大型的应用环境，认证中心往往采用一种多层次的分级结构，各级的认证中心类似于各级行政机关，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。认证中心主要有以下几种功能：
(1) 证书的颁发
中心接收、验证用户(包括下级认证中心和最终用户)的数字证书的申请，将申请的内容进行备案，并根据申请的内容确定是否受理该数字证书申请。如果中心接受该数字证书申请，则进一步确定给用户颁发何种类型的证书。新证书用认证中心的私钥签名以后，发送到目录服务器供用户下载和查询。为了保证消息的完整性，返回给用户的所有应答信息都要使用认证中心的签名
(2)证书的更新
认证中心可以定期更新所有用户的证书，或者根据用户的请求来更新用户的证书。
(3)证书的查询
证书的查询可以分为两类，其一是证书申请的查询，认证中心根据用户的查询请求返回当前用户证书申请的处理过程；其二是用户证书的查询，这类查询由目录服务器来完成，目录服务器根据用户的请求返回适当的证书。
(4)证书的作废
当用户的私钥由于泄密等原因造成用户证书需要申请作废时，用户需要向认证中心提出证书作废的请求，认证中心根据用户的请求确定是否将该证书作废。另外一种证书作废的情况是证书已经过了有效期，认证中心自动将该证书作废。认证中心通过维护证书作废列表(Certificate Revocation List,CRL)来完成上述功能。
(5)证书的归档
证书具有一定的有效期，证书过了有效期之后就将作废，但是我们不能将作废的证书简单地丢弃，因为有时我们可能需要验证以前的某个交易过程中产生的数字签名，这时我们就需要查询作废的证书。基于此类考虑，认证中心还应当具备管理作废证书和作废私钥的功能。
电子签名是电子形式的数据，是与数据电文（电子文件、电子信息）相联系的用于识别签名人的身份和表明签名人认可该数据电文内容的数据。电子签名是基于国际PKI标准的网上身份认证系统，数字证书相当于网上的身份证，它以数字签名的方式通过第三方权威认证有效地进行网上身份认证，帮助各个主体识别对方身份和表明自身的身份，具有真实性和防抵赖功能。与物理身份证不同的是，数字证书还具有安全、保密、防篡改的特性，可对企业网上传输的信息进行有效保护和安全的传递。
实现电子签名的技术手段有很多种，但目前比较成熟的，世界各国普遍使用的电子签名技术还是"数字签名"技术。由于保持技术中立性是制订法律的一个基本原则，目前还没有任何理由说明公钥密码理论是制作签名的唯一技术，因此有必要规定一个更一般化的概念以适应今后技术的发展。但是，目前电子签名法中提到的签名，一般指的就是"数字签名"。
目前广泛应用于电子商务实践中的电子签名即是数字签名，是通过向第三方的数字签名认证机构提出申请，由机构进行审查，颁发数字证书来取得自己的签名。一般情况用户要携带有关证件到认证机构的证书受理点，或者直接到证书发放机构即CA中心填写申请表并进行身份审核，审核通过后交纳一定费用就可以得到装有证书的相关介质（IC卡或Key）和一个写有密码口令的密码信封。拿到这两样物品用户需要登陆认证机构的网站下载证书私钥，然后就可以在网上操作时使用数字证书。
使用数字证书的系统需要安装认证机构提供的根证书，用户的数字证书储存在相应介质中，在需要使用证书的情况，用户根据系统提示使用证书介质和用户密码。一般系统会自动提示用户出示数字证书或者插入证书介质（IC卡或Key），用户插入证书介质后系统将要求用户输入密码口令，此时用户需要输入申请证书时获得的密码，密码验证正确后系统将自动调用数字证书进行相关操作。
为适应网上交易和网络中信息的交流，数字签名使用起来非常方便，目前签名种类有个人签名、企业签名、服务器签名等，费用从几十元至几千元不等。费用一般按年计费，普通的个人签名只须要几十元每年。
数字签名采用加密方法创建和核查，使用"公用钥匙加密法"，依靠非对称算法，因此签名被伪造的可能性几乎是零。数字签名采用在数字上互有联系的一组钥匙（Key Pair），即"公共钥匙"和"私人钥匙"（the Private and the Public Key）来创设数字签名，对数据进行编码、解码和对签名进行验证。其验证的准确度是手工签名和图章的验证所无法比拟的。数字签名可以较好地保证公开网络上信息的安全性和保密性，保障数据的完整性并避免数据被非法篡改，其安全程度远高于传统的盖章和手写签名。
电子签名主要有三个作用：一、证明文件的来源，即识别签名人；二是表明签名人对文件内容的确认；三是构成签名人对文件内容正确性和完整性负责的根据。与传统商务活动中的签名盖章作用相同,具有同样的法律效力。
电子签名是电子商务的基础，电子签名是电子商务交易中的"身份证"和"执照"，是电子商务交易安全的保障。电子签名为电子商务的开放性和全球性交易提供了可能，电子商务中身份和信息内容的确认,是电子商务中制定交易规则的依据。电子签名解决电子商务发展所面临的一些关键性的法律问题，实现电子合同合法化、电子交易规范化和电子商务法制化。
电子认证服务，是指为电子签名相关各方提供真实性、可靠性验证的活动。根据我国颁布的《电子认证服务管理办法》，电子认证服务提供者，是指为需要第三方认证的电子签名提供认证服务的机构。
电子认证服务机构是负责数字证书的申请、审核申请人身份、签发证书及管理证书等服务的专门机构。电子认证服务机构的设立需要具有符合安全标准的技术和设备及一定的专业技术人员。我国对电子认证服务机构实行许可制度，从事电子认证服务业务须经过国家信息产业主管部门的批准。
我国目前有区域电子认证服务机构，如北京数字证书认证中心、上海市电子商务安全证书管理中心；行业电子认证服务机构，如中国金融认证中心；及其他城市电子认证服务机构，如武汉数字证书认证中心、深圳市电子证书认证中心等。
电子认证服务机构须保证电子签名认证证书内容在有效期内完整、准确，并保证电子签名依赖方能够证实或者了解电子签名认证证书所载内容及其他有关事项。电子认证服务机构在受理证书申请时履行信息披露的义务。电子认证服务机构对有关数据的保密义务。电子认证服务机构在合理期间内保存与证书有关信息的义务。电子认证服务机构因过错给电子签名人或者电子签名依赖方造成损失承担赔偿责任。电子认证服务机构在中止或终止服务时的通知义务和业务承接安排义务。
电子认证服务机构是负责数字证书的申请、审核申请人身份、签发证书及管理证书等服务的专门机构。电子认证服务机构的设立需要具有符合安全标准的技术和设备及一定的专业技术人员。我国对电子认证服务机构实行许可制度，从事电子认证服务业务须经过国家信息产业主管部门的批准。
发送安全电子邮件、访问安全站点、网上招标投标、网上签约、网上订购、安全网上公文传送、网上缴费、网上缴税、网上炒股、网上购物和网上报关、电子政务等。数字证书可以应用于互联网上的电子商务活动和电子政务活动，其应用范围涉及需要身份认证及数据安全的各个行业，包括传统的商业、制造业、流通业的网上交易，以及公共事业、金融服务业、工商税务、海关、政府行政办公、教育科研单位、保险、医疗等网上作业系统。
有下列情况之一的，电子认证服务机构可以撤销其签发的电子签名认证证书：
（一）证书持有人申请撤销证书；
（二）证书持有人提供的信息不真实；
（三）证书持有人没有履行双方合同规定的义务；
（四）证书的安全性不能得到保证；
（五）法律、行政法规规定的其他情况。
开放网络上的电子商务、电子政务中要求为信息安全提供有效的、可靠的保护机制。这些机制必须提供机密性、身份验证特性(使交互的每一方都可以确认其它各方的身份)、不可否认性(交互的各方不可否认它们的参与)。这就需要依靠一个可靠的第三方机构验证，而数字证书认证中心（CA：CertificationAuthority）专门提供这种服务。
CA中心作为受信任的第三方，专门解决公钥体系中公钥的合法性问题。CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户名称与证书中列出的公开密钥相对应。CA中心的数字签名使得攻击者不能伪造和篡改数字证书。在数字证书认证的过程中，证书认证中心（CA）作为权威的、公正的、可信赖的第三方，其作用是至关重要的。认证中心就是一个负责发放和管理数字证书的权威机构。同样CA允许管理员撤销发放的数字证书，在证书废止列表(CRL)中添加新项并周期性地发布这一数字签名的CRL。
RA（Registration Authority），数字证书注册审批机构。RA系统是CA的证书发放、管理的延伸。它负责证书申请者的信息录入、审核以及证书发放等工作；同时，对发放的证书完成相应的管理功能。发放的数字证书可以存放于IC卡、硬盘或软盘等介质中。RA系统是整个CA中心得以正常运营不可缺少的一部分。
CRL是证书作废表的缩写。CRL中记录尚未过期但已声明作废的用户证书序列号，供证书使用者在认证对方证书时查询使用。CRL通常被称为证书黑名单。在验证证书或签名时，应用系统可以通过检查 CRL，来确定给定证书是否仍然可信（有些应用程序使用 CryptoAPI 中的 Microsoft 证书链验证 API 来完成此任务）。如果不可信，应用程序可以判断吊销的理由或日期对使用有疑问证书是否有影响。如果该证书被用来验证签名，且签名的日期早于CA吊销该证书的日期，那么该签名仍被认为是有效的。
OCSP(Online Certificate Status Protocol，在线证书状态协议)是维护服务器和其它网络资源安全性的两种普遍模式之一。OCSP克服了证书注销列表（CRL）的主要缺陷：必须经常在客户端下载以确保列表的更新。当用户试图访问一个服务器时，在线证书状态协议发送一个对于证书状态信息的请求。服务器回复一个“有效”、“过期”或“未知”的响应。协议规定了服务器和客户端应用程序的通讯语法。在线证书状态协议给了用户的到期的证书一个宽限期，这样他们就可以在更新以前的一段时间内继续访问服务器。