數(shù)字證書的格式、分發(fā)與撤銷

1、1234567891011121314151617184.3.1 密鑰對(duì)的生成4.3.2 私鑰的保護(hù)4.3.3 密鑰對(duì)的更新19 4.3.1 密鑰對(duì)的生成兩種方法： 由密鑰對(duì)持有者系統(tǒng)生成 由密鑰管理中心系統(tǒng)生成 4.3.2 私鑰的保護(hù)保護(hù)方法： 將私鑰存儲(chǔ)在不可寫的硬件模塊或標(biāo)記中，如智能卡中 將私鑰存儲(chǔ)在計(jì)算機(jī)硬盤或其他數(shù)據(jù)存儲(chǔ)媒介上的加密數(shù)據(jù)文件中 將私鑰存儲(chǔ)在數(shù)字證書服務(wù)器上，當(dāng)用戶通過了服務(wù)器的鑒定，并在服務(wù)器上使用了一段時(shí)間后，該服務(wù)器會(huì)將私鑰傳送給用戶20 4.3.3 密鑰對(duì)的更新與加密有關(guān)的密鑰對(duì)數(shù)字簽名密鑰對(duì)認(rèn)證機(jī)構(gòu)數(shù)字簽名密鑰對(duì)214.4.1 數(shù)字證書管理機(jī)構(gòu)作用4.4.2

2、 數(shù)字證書的申請(qǐng)注冊(cè)4.4.3 數(shù)字證書的生成4.4.4 數(shù)字證書的更新22 4.4.1 數(shù)字證書管理機(jī)構(gòu)的作用注冊(cè)機(jī)構(gòu)注冊(cè)機(jī)構(gòu)RA，本身并不發(fā)放數(shù)字證書，但RA可以確認(rèn)、批準(zhǔn)或拒絕數(shù)字證書申請(qǐng)人的申請(qǐng)，隨后由CA給經(jīng)過批準(zhǔn)的申請(qǐng)人發(fā)放數(shù)字證書。RA功能： 注冊(cè)、注銷、批準(zhǔn)或拒絕對(duì)數(shù)字證書屬性的變更要求 確認(rèn)數(shù)字證書申請(qǐng)人的合法性 批準(zhǔn)生成密鑰對(duì)和數(shù)字證書的請(qǐng)求及恢復(fù)備份密鑰的請(qǐng)求 批準(zhǔn)撤銷或暫停數(shù)字證書的請(qǐng)求（需相應(yīng)CA支持） 向有權(quán)擁有身份標(biāo)記的人當(dāng)面分發(fā)標(biāo)記或恢復(fù)舊標(biāo)記23 4.4.2 數(shù)字證書的申請(qǐng)注冊(cè)身份確認(rèn)方法： 了解私有文件 親自到場(chǎng) 身份證明文件 4.4.3 數(shù)字證書的生成數(shù)字

3、證書的生成步驟 數(shù)字證書申請(qǐng)人將數(shù)字證書內(nèi)容信息提供給認(rèn)證機(jī)構(gòu) 認(rèn)證機(jī)構(gòu)確認(rèn)信息的正確性 由CA給數(shù)字證書加上數(shù)字簽名 將數(shù)字證書的一個(gè)副本傳送給用戶 將數(shù)字證書的一個(gè)副本傳送到數(shù)字證書數(shù)據(jù)庫，以便公布 數(shù)字證書的一個(gè)副本可以由CA或其他實(shí)體存檔 CA將數(shù)字證書生成及發(fā)放過程中的細(xì)節(jié)記錄在審計(jì)日志中24 4.4.4 數(shù)字證書的更新每份數(shù)字證書的生命周期都是有限的。在數(shù)字證每份數(shù)字證書的生命周期都是有限的。在數(shù)字證書期滿后需要更換數(shù)字證書。另外，密鑰對(duì)也需要定書期滿后需要更換數(shù)字證書。另外，密鑰對(duì)也需要定期更換，而一旦更換了密鑰對(duì)，那就需要用新的數(shù)字期更換，而一旦更換了密鑰對(duì)，那就需要用新的數(shù)字證書。證書。252627發(fā)放者名稱發(fā)放者名稱CRL發(fā)放的時(shí)間發(fā)放的時(shí)間/日期日期被撤消證書的序列號(hào)被撤消證書的序列號(hào)撤消的時(shí)間撤消的時(shí)間/日期日期被撤消證書的序列號(hào)被撤消證書的序列號(hào)撤消的時(shí)間撤消的時(shí)間/日期日期發(fā)放者的數(shù)字簽名發(fā)放