|
|
|
数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密和解密。每个用户将设定两个私钥（仅为本人所知的专用密钥，用来解密和签名）、公钥（由本人公开，用于加密和验证签名）和两个密钥，用以实现：
|
|
|
|
（1）发送机密文件。发送方使用接收方的公钥进行加密，接收方便使用自己的私钥解密。
|
|
|
|
（2）接收方能够通过数字证书来确认发送方的身份，发送方无法抵赖。
|
|
|
|
|
|
|
|
数字证书的格式一般使用X.509国际标准。X.509是广泛使用的证书格式之一，X.509用户公钥证书是由可信赖的证书权威机构（证书授权中心，CA）创建的，并且由CA或用户存放在X.500的目录中。
|
|
|
|
在X.509格式中，数字证书通常包括版本号、序列号（CA下发的每个证书的序列号都是唯一的）、签名算法标识符、发行者名称、有效性、主体名称、主体的公开密钥信息、发行者唯一识别符、主体唯一识别符、扩充域、签名（即CA用自己的私钥对上述域进行数字签名的结果，也可以理解为CA中心对用户证书的签名）。
|
|
|
|
|
|
任何一个用户只要得到CA中心的公钥，就可以得到该CA中心为该用户签署的公钥。因为证书是不可伪造的，因此对于存放证书的目录无须施加特别的保护。
|
|
|
|
因为用户数量多，因此会存在多个CA中心。但如果两个用户使用的是不同CA中心发放的证书，则无法直接使用证书，但如果两个证书发放机构之间已经安全地交换了公开密钥，则可以使用证书链来完成通信。
|
|
|
|
|
|
证书到了有效期、用户私钥已泄露、用户放弃使用原CA中心的服务、CA中心私钥泄露都需吊销证书。这时CA中心会维护一个证书吊销列表CRL，以供大家查询。
|
|
|
