第15题:
问答题
什么是数字证书?X.509的鉴别机制是什么?为什么要引入数字证书链?其工作原理是什么?
正确答案:
数字证书就是提供一种确保证书所携带的公钥与密钥持有人具有某种关联的可靠性以及传递这种关联和公钥本身的机制。
X.509的鉴别机制:要求在一次处理中,每一方A与一个称作认证中心CA的离线可信方相联系,A要登记他的公钥并获得CA的证书证实公钥。CA通过将A的公钥与它的身份绑定来认证A的公钥,结果生成一个证书。证书由证书管理员产生,并发给拥有相应私钥的通信方(该证书的拥有者)。通信一方通过传递证书将密钥信息传递给另一方,其他通信各方可以验证该证书确实是由证书管理者产生的来获得公钥认证。由CA产生的用户证书有两个方面的特点:一是任何有CA公开密钥的用户都可以恢复并证实用户公开密钥;二是除了CA没有任何一方能不被察觉地更改该证书。正是基于这两点,证书是不可伪造的,因此它们可以放在一个目录内,而无需对目录提供特殊的保护。
如果用户的数目巨大,让所有用户向同一个CA申请证书涉及到大数据量的管理、通信量、响应速度等问题,同时CA的公开密钥要求要能安全地提供给每个客户也有困难。于是提出了一种分布式的CA认证方式,引入多个CA,多个CA还可以形成层次关系,位于上层的CA可以对下层CA颁发数字证书,从而形成证书链。
在一个证书链中,跟随每一份证书的是该证书签发者的证书;每份证书包含证书签发者的区别名(DN),该区别名就是证书链中下一份证书的主体的名字;每份证书都是使用签发者的私钥签发的。证书中的签名可以使用签发者证书(即证书链中的下一份证书)中的公钥加以验证。
解析:
暂无解析