User:Xhqwizsi4199/证书颁发机构
 |
证书颁发机构或数字证书认证机构（英語：Certificate Authority，縮寫為CA）是指密码学中颁发数字证书的实体。数字证书通过证书的指定拥有者的身份(也称作"subject")来证明了公钥的所有权。这允许其他人（依赖方）依赖签名或断言经认证的公钥与私钥相对应。CA充当Trusted_third_party，受证书的主体（所有者）和依赖证书的一方信任。这些证书的格式由X.509标准指定。
证书颁发机构的一个特别常见的用途是签署HTTPS中使用的证书，这是万维网的安全浏览协议。另一个常见用途是由国家政府签发身份证时用于电子签名文件。
数字证书认证机构（英語：Certificate Authority，縮寫為CA），也称为电子商务认证中心、电子商务认证授权机构，是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。
介绍 编辑
可信证书可用于通过Internet创建与服务器的安全连接。一个证书是必要的，为了规避恰好位于到目标服务器的路由上的恶意行为。这种常被称为中间人攻击。在启动安全连接之前，客户端使用CA证书对服务器证书上的CA签名进行身份验证，作为授权的一部分。通常，客户端软件（例如，浏览器）含有一组可信CA证书。这是有道理的，因为许多用户需要信任他们的客户端软件。恶意或受损的客户端可以跳过任何安全检查，仍然欺骗其用户相信其他情况。
CA的客户端将监管服务器将他们的证书提供给用户。商业CA收取颁发证书的费用，其客户的CA证书将被包含在大多数Web浏览器中，因此与认证服务器的安全连接可以高效地开箱即用。信任特定证书颁发机构的一定数量的互联网浏览器，其他设备和应用程序被称为ubiquity.Mozilla，这是一个非营利性企业，它的产品发布了多个商业CA证书。[1]当Mozilla制定自己的政策时，CA /浏览器论坛为CA信任制定了类似的指导方针。单个CA证书可以在多个CA或其中间CA证书之间共享。根CA证书是可以是颁发具有不同验证要求的多个中间CA证书的基础。
除商业CA外，一些非营利组织向公众免费发放数字证书; 值得注意的例子是CAcert和Let's Encrypt。
大型组织或政府机构可能拥有自己的PKI（公钥基础设施），每个都包含自己的CA. 使用Self-signed_certificate的任何站点都充当自己的CA。
浏览器和其他类型的客户端特征性地允许用户随意添加或取消CA证书。虽然服务器证书有效期一般相对较短，但CA证书会进一步继承，[2]因此，对于重复访问的服务器，导入和信任错误的CA颁发更少，而不是每次续订服务器证书时确认安全豁免。
较少使用可信赖的证书来加密或签名消息。 CA也可以分配最终用户证书，可以与S/MIME一起使用。 然而，加密需要接收者的公钥，并且由于加密消息的作者和接收者显然彼此了解，所以可信第三方的有用性仍然局限于发送到公共邮件列表的消息的签名验证。
CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥。CA机构的数字签名使得攻击者不能伪造和篡改证书。它负责产生、分配并管理所有参与网上交易的个体所需的数字证书，因此是安全电子交易的核心环节。在SET交易中，CA不仅对持卡人、商户发放证书，还要对获款的银行、网关发放证书。
CA是证书的签发机构，它是PKI的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。
CA 也拥有一个证书（内含公钥）和私钥。网上的公众用户通过验证 CA 的签字从而信任 CA ，任何人都可以得到 CA 的证书（含公钥），用以验证它所签发的证书。
用户若欲取得证书，应先向 CA 提出申请，CA 判明申请者的身份后，为之分配一个公钥，并将该公钥与其身份信息绑定，为该整体签字，签字后的整体即为证书，发还给申请者。
如果一个用户想鉴别另一个证书的真伪，他就用 CA 的公钥对那个证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的。
为保证用户之间在网上传递信息的安全性、真实性、可靠性、完整性和不可抵赖性，不仅需要对用户的身份真实性进行验证，也需要有一个具有权威性、公正性、唯一性的机构，负责向电子商务的各个主体颁发并管理符合国内、国际安全电子交易协议标准的电子商务安全证，并负责管理所有参与网上交易的个体所需的数字证书，因此是安全电子交易的核心环节。
供应商 编辑
在全球范围内，证书颁发机构业务是分散的，国内或区域提供商主导其本国市场。 这是因为许多数字证书的使用，例如具有法律约束力的数字签名，与证书颁发机构的当地法律，法规和认证计划相关联。
但是，全球值得信赖的TLS / SSL服务器证书的市场主要由少数跨国公司持有。由于技术要求，该市场存在重大Barriers_to_entry。[3]虽然不是法律要求，但新的提供商可能会选择接受年度安全审核（例如北美证书颁发机构的WebTrust[4]和欧洲的ETSI[5]），以便通过网络浏览器或操作系统作为受信任的根目录进行审核。Mozilla Firefox 网页浏览器中可信任180多个根证书，代表大约80个组织。[6] macOS信任200多个根证书。从Android 4.2（Jelly Bean）开始，Android目前包含100多个CA，每个版本都会更新。[7]
证书 编辑
证书实际是由证书签证机关（CA）签发的对用户的公钥的认证。
证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。目前，证书的格式和验证方法普遍遵循X.509 国际标准。
- 加密：ca认证将文字转换成不能直接阅读的形式（即密文）的过程称为加密。
- 解密：将密文转换成能够直接阅读的文字（即明文）的过程称为解密。
如打算在电子文档上实现签名的目的，可使用数字签名。RSA公钥体制可实现对数字信息的数字签名，方法如下：
信息发送者用其私鑰对从所传报文中提取出的特征数据（或称数字指纹）进行RSA算法操作，以保证发信人无法抵赖曾发过该信息（即不可抵赖性），同时也确保信息报文在传递过程中未被篡改（即完整性）。当信息接收者收到报文后，就可以用发送者的公钥对数字签名进行验证。
在数字签名中有重要作用的数字指纹是通过一类特殊的散列函数（HASH函数）生成的。对这些HASH函数的特殊要求是：
- 接受的输入报文数据没有长度限制；
- 对任何输入报文数据生成固定长度的摘要（数字指纹）输出；
- 从报文能方便地算出摘要；
- 难以对指定的摘要生成一个报文，而由该报文可以算出该指定的摘要；
- 两个不同的报文难以生成具有相同的摘要。
数字证书 编辑
数字证书为实现双方安全通信提供电子认证。在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有密钥对（公钥和私钥）所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。
数字身份认证原理 编辑
若注册者认定一个人的身份，是通过注册者信任的另外一个人来进行的。注册者信任的那个人就是身份认证机构（可以是一个自然人）。把数字身份比喻成一个证件，那么数字证书就是身份认证机构盖在数字身份证上的一个章或印（或者说加在数字身份证上的一个签名），这一行为表示身份认证机构已认定这个人。
身份认证机构是人们注册公钥的机构。注册之后，身份认证机构就向注册者发一数字证书，也就是说在注册者的数字身份证上加签。服务有免费，也有收费。身份认证机构也可以是一个自然人，就如PGP和GPG系统所倡导的。
参见 编辑
参考资料 编辑
- ^ "Mozilla Included CA Certificate List — Mozilla". Mozilla.org. Archived from the original on 2013-08-04. Retrieved 2014-06-11.
- ^ Zakir Durumeric; James Kasten; Michael Bailey; J. Alex Halderman (12 September 2013). "Analysis of the HTTPS Certificate Ecosystem" (PDF). The Internet Measurement Conference. SIGCOMM. Archived (PDF) from the original on 22 December 2013. Retrieved 20 December 2013.
- ^ "What is SSL Certificate?". Archived from the original on 2015-11-03. Retrieved 2015-10-16.
- ^ "webtrust". webtrust. Archived from the original on 2013-08-18. Retrieved 2013-03-02.
- ^ Kirk Hall (April 2013). "Standards and Industry Regulations Applicable to Certification Authorities" (PDF). Trend Micro. Archived (PDF) from the original on 2016-03-04. Retrieved 2014-06-11.
- ^ "CA:IncludedCAs - MozillaWiki". wiki.mozilla.org. Archived from the original on 2017-03-25. Retrieved 2017-03-18.
- ^ "Security with HTTPS and SSL". developer.android.com. Archived from the original on 2017-07-08. Retrieved 2017-06-09.
外部链接 编辑
- 开放式目录计划中和Certificate authorities相关的内容
- Certificate Authority Reviews
- 认证中心国别一览[永久失效連結]
- How secure is HTTPS today? How often is it attacked?, Electronic Frontier Foundation (25 October 2011)
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||