數(shù)字身份認證技術第六章

1、第六章第六章微軟數(shù)字認證微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具本章學習目標本章學習目標理解并掌握MAKECERT原理及工具應用理解并掌握簽名工具SIGNCODE原理及工具應用理解并掌握發(fā)行者證書管理工具CERT2SPC原理及工具應用理解并掌握證書驗證工具CHKTRUST原理及工具應用微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 微軟開發(fā)制作數(shù)字證書的測試工具集，Makecert.exe，Cert2spc.exe，SignCode.exe，Setreg.exe，Certmgr.exe，Chkrtust.exe。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字

2、證書工具微軟數(shù)字證書工具1.Makecert.exe：用于生成僅用于測試目的的X.509證書。2.Cert2spc.exe：用于從一個或多個X.509證書創(chuàng)建發(fā)行者證書（SPC）。3.SignCode.exe：用于Authenticode數(shù)字簽名對可移植的執(zhí)行文件（PE）進行簽名。4. Setreg.exe：用于允許更改“軟件發(fā)布狀態(tài)”密鑰的注冊表設置。5. Certmgr.exe：用于管理證書、證書信任列表（CTL）和證書吊銷列表（CRL）。6.Chkrtust.exe：用于檢驗簽名證書的正確性。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 6.1證書創(chuàng)建工具makece

3、rt 功能：創(chuàng)建X.509數(shù)字證書 調用格式：Makecert options outputCertificateFile 其中options為選項部份，outputCertificatefile為新創(chuàng)建的X.509證書的證書名。 Options又由基本選項與擴展選項組成，參照教材P177. 微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 參數(shù)說明常用選項微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 參數(shù)說明擴展選項微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 參數(shù)說明擴展選項微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書

4、工具 調用范例： 調用說明： -sr CurrentUser 指定主題的證書存儲位置。 CurrentUser可以是 currentuser（默認值）或 localmachine -ss My 指定主題的證書存儲名稱，輸出證書即存儲在那里。My表示保存在“個人”范例makecert -sr CurrentUser -ss My -n CN=MyTestCert -sky exchange -pe微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 -n CN=MyTestCert 指定主題的證書名稱。此名稱必須符合 X.500 標準。最簡單的方法是在雙引號中指定此名稱，并加上前綴

5、CN=；例如，CN=myName。 -sky exchange 指定頒發(fā)者的密鑰類型，必須是 signature、exchange 或一個表示提供程序類型的整數(shù)。默認情況下，可傳入 1 表示交換密鑰，傳入 2 表示簽名密鑰。 -pe 將所生成的私鑰標記為可導出。這樣可將私鑰包括在證書中。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具Makecert工具應用（1）證書管理 Makecert命令生成的證書被保存在證書存儲區(qū)。證書存儲區(qū)是系統(tǒng)中一個特殊區(qū)域， 專門用來保存X.509數(shù)字證書。由于Windows沒有提供直接的管理證書的入口。需要用戶自行在MMC中添加，步驟如下： 開始

6、 運行 MMC，打開一個空的MMC控制臺，如圖6-1所示。 在控制臺菜單，文件 添加/刪除管理單元 添加按鈕 選”證書” 添加 選”我的用戶賬戶” /“計算機帳戶” 關閉 確定微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具（2）數(shù)字證書導入與導出首先對需要導入的證書文件，雙擊pfx或者cer格式的證書，選擇“安裝”，進入證書導入向導。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具當導入的是pfx證書時，需要輸入私鑰密碼，如果是cer證書就跳過這一步，進入證書存儲區(qū)選擇。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具最后在證書管理區(qū)查看導入的

7、證書：微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具如果需要將存儲區(qū)中的證書導出，首先在M需要導出證書上點擊右鍵 所有任務 導出，證書導出向導運行。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具選擇導出含私鑰的證書生成pfx格式的證書。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具如果選擇了不導出私鑰或者選擇導出的證書本身就不含有私鑰，那么這一步只能選不含私鑰的證書格式（導入私鑰的選項是暗的）。這里是導出不含私鑰證書的選項，一般導出為cer證書，接著就是輸入確認密碼。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具提供證書文

8、件的路徑，作為最終證書在硬盤中的存儲位置微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 6.2簽名工具Signcode 功能：應用數(shù)字簽名工具Signcode可以對可移植可執(zhí)行（PE）文件如.dll 或 .exe 文件進行數(shù)字簽名。可以對多文件程序集中包含的某個程序集或個別的文件進行簽名。 調用格式：Signcode options filename | assemblyname 微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 參數(shù)說明：微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證

9、書工具 調用范例: 調用說明：微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具Signcode工具應用（1）運行Signcode啟動簽名向導，點擊“下一步”后，選擇“簽名類型”，直接點擊“下一步”即可，即選擇缺省的“典型”簽名類型。（2）點擊“從存儲區(qū)選擇”，則會顯示您的電腦證書存儲區(qū)的所有證書，包括存儲在電腦和USBkey中的所有數(shù)字證書，選擇您的簽名證書即可：微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具填寫該簽名代碼的功能描述，推薦一定要認真填寫，因為此信息將會在最終用戶下載此代碼時顯示，有助于最終用戶了解此代碼的功能以確定是否下載安裝。微軟數(shù)字證書工具

10、微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具選中“將時間戳添加到數(shù)據(jù)中”，請使用VeriSign 免費提供的代碼簽名時間戳URL：http:/ 6-17所示，會提示已經(jīng)完成數(shù)字簽名向導，點擊“完成”就完成了中文版代碼簽名證書的代碼簽名。微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 6.3 發(fā)行者證書管理工具Cert2spc 功能：通過一個或多個 X.509 證書創(chuàng)建發(fā)行者證書（SPC）。 調用格式：Cert2spc cert1.cer | crl1.crl . certN.cer | crlN.crl outputSPCfile.spc 微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具參數(shù)說明調用范例 從dream.cer創(chuàng)建一個SPC（發(fā)行者證書）并將其放入到mydream.spc調用說明微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具微軟數(shù)字證書工具 6.4 證書驗證工具Chktrust 功能：用于驗證用X.509證書簽名的文