《我的第一本算法书》阅读笔记 5-10 数字证书

系统管理员 2022-11-16 10:45 147阅读 0赞

公开密钥加密”和“数字签名”无法保证公开密钥确实来自信息的发送者。因此，就算公 开密钥被第三者恶意替换，接收方也不会注意到。不过，如果使用本节讲解的数字证书，就能 保证公开密钥的正确性。

--------------------

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70][]

A持有公开密钥PA和 私有密钥SA，现在想 要将公开密钥PA发送给B。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1][]

A首先需要向认证中心 （Certification Authority， CA）申请发行证书，证明 公开密钥PA确实由自己 生成。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 2][]

认证中心里保管着他们自己准备的公开密钥 PC 和私有密钥SC  。

![20210407003417478.png][]

A将公开密钥PA和包含邮箱信息的个人资料发送给认证中心。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 3][]

认证中心对收到的资料进行确认，判断其是否为 A本人的资料。确认完毕后，认证中心使用自己的私有密钥SC，根据A的资料生成数字签名。

![20210407003457715.png][]

认证中心将生成的数字签名和资料放进同 一个文件中。

\* *认证中心是管理数字证书的组织机构。原则上谁都可以成为认证中心，所以认证中心的数量也比较多，但建议在经过政府审查的大型企业机构进行申请，这些机构更令人 放心。*

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 4][]

然后，把这个文件发送给A。

![20210407003551475.png][]

这个文件就是A的数字证书。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 5][]

A将作为公开密钥的数字证书发送给了B.

![20210407003615810.png][]

B收到数字证书后，确认证书里的邮件地址 确实是A的地址。接着，B获取了认证中心 的公开密钥。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 6][]

B对证书内的签名进行验 证，判断它是否为认证中 心给出的签名。证书中的 签名只能用认证中心的公 开密钥PC进行验证。如果 验证结果没有异常，就能 说明这份证书的确由认证 中心发行。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 7][]

确认了证书是由认证中心 发行的，且邮件地址就是 A的之后，B从证书中取 出A的公开密钥PA。 这 样，公开密钥便从A传到 了B。

--------------------

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 8][]

我们来看看公开密钥的交付过程有没有什么问题。

![2021040700370621.png][]

假设X冒充A，准备向B发送公开密钥PX

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 9][]

但是，B没有必要信任以非证书形式收到的公开密钥。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 10][]

假设 X 为了假冒 A，准备在认证中心登记自己的公开密钥。然而 X 无法使用 A 的邮箱地址，因此无法获 得A的证书。

--------------------

通过数字证书，信息的接收者可以确认公开密钥的制作者。

在步骤 10 中，B 得到了认证中心的公开密钥，但此处仍有一个疑问。 那就是，B 得到的公开密钥 PC 真的来自认证中心吗？

由于公开密钥自身不能表示其制作者，所以有可能是冒充认证中心的 X 所生成的。 也就是说，这里同样存在公开密钥问题（请参考下图）。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 11][]

实际上，认证中心的公开密钥 PC 是以数字证书的形式交付的，会有更高级别的认证 中心对这个认证中心署名（请参考下图）。

![2021040700383262.png][]

就像下页图中的树结构一样，由上面的认证中心为下面的认证中心发行证书。

那么，我们来看看这个树结构是怎么形成的吧。假设存在一个被社会广泛认可的认证中心 A。此时出现了一个刚成立的公司 B，虽然 B 想要开展认证中心的业务，但它无 法得到社会的认可

于是 B 向 A 申请发行数字证书。当然 A 会对 B 能否开展认证中心业务进行适当的 检测。只要 A 发行了证书，公司 B 就可以向社会表示自己获得了公司 A 的信任。于是， 通过大型组织对小组织的信赖担保，树结构就建立了起来。

最顶端的认证中心被称为“根认证中心”（root CA），其自身的正当性由自己证明。对 根认证中心自身进行证明的证书为“根证书”。如果根认证中心不被信任，整个组织就无法 运转。因此根认证中心多为大型企业，或者与政府关联且已经取得了社会信赖的组织。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 12][]

--------------------

到目前为止，我们了解的都是个人之间交付公开密钥的例子，其实在网站之间的通 信中同样也要用到数字证书。只要能收到来自网站的含有公开密钥的证书，就能确认该 网站未被第三者冒充。

此处的证书叫作“服务器证书”，同样由认证中心发行。个人的证书会与他的邮箱 信息相对应，而服务器证书与域名信息相对应。因此，我们还可以确认网站域名和存储 网站本身内容的服务器是由同一个组织来管理的。

数字证书就是像这样通过认证中心来担保公开密钥的制作者。这一系列技术规范被统称为**“公钥基础设施”（Public Key Infrastructure，PKI）**。

--------------------

《我的第一本算法书》  \[日\]石田保辉 宫崎修一/著    张贝/译

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70]: /images/20221022/9fbd9ba2b7d84cdc92f333e3bafda238.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1]: /images/20221022/12251a1f65e34d8e832a02aa994dbf7d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 2]: /images/20221022/bc4f423ed6204876af6f0f93353a6775.png
[20210407003417478.png]: /images/20221022/e39205e42272440db7cc61fbe91ba1b6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 3]: /images/20221022/42d581a14def4d61a7c696bac6932e96.png
[20210407003457715.png]: /images/20221022/3edab9d5b59d48ccb0d702723b26db57.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 4]: /images/20221022/43442251ec4044c88dde0a1c66593498.png
[20210407003551475.png]: /images/20221022/8ba97788d54747159ab68ca1822a7f95.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 5]: /images/20221022/e9e3a7a7b6ee4822b9982061911eab58.png
[20210407003615810.png]: /images/20221022/802277ac556c47b39fae1954ad5ef578.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 6]: /images/20221022/df277782460b4b35bd8278bab8357444.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 7]: /images/20221022/f5704232305e47cea1182778aead1fc0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 8]: /images/20221022/9590397cd94648cf9fd0fa1f4a58761e.png
[2021040700370621.png]: /images/20221022/e4142224527f4a0bb64979fa43a65968.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 9]: /images/20221022/4a9c5d53813a43b88930b65a59a9e579.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 10]: /images/20221022/2bfe2f5d139d421283c2c12b21637b55.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 11]: /images/20221022/c1bf6adf3e6c436198162f82a794ea5f.png
[2021040700383262.png]: /images/20221022/21608ab29cb94a3e86a9d5bfdab3f22a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 12]: /images/20221022/319eff9cb1b24effb552c2951e7aa96a.png