PKI体系及CA证书

1、PKI体系

PKI（Public Key Infrastructure，公钥基础设施）是一种利用公钥密码技术为网络安全通信提供一整套安全服务的基础平台。它主要包括以下几个组成部分：

• 证书颁发机构（Certificate Authority，CA）：负责签发、认证和管理数字证书的权威机构。
• 证书注册机构（Registration Authority，RA）：负责审核、注册和转发数字证书申请的代理机构。
• 证书库（Certificate Repository）：负责存储、发布和撤销数字证书的数据库或目录服务。
• 证书管理系统（Certificate Management System）：负责实现数字证书的生命周期管理的软件系统。
• 密钥备份与恢复系统（Key Backup and Recovery System）：负责实现密钥的安全存储和恢复的软件系统。
• 时间戳服务（Time Stamp Service）：负责提供数字签名的时间戳的软件系统。
• 在线证书状态协议服务（Online Certificate Status Protocol Service，OCSP）：负责提供数字证书的实时状态查询的软件系统。

2、PKI功能

PKI体系主要提供以下几种功能：

• 身份认证（Identity Authentication）：通过验证数字证书的合法性和真实性，可以确认通信双方的身份。
• 数据加密（Data Encryption）：通过使用数字证书中的公钥对数据进行加密，可以保证数据在传输过程中不被窃取或篡改，从而保障数据的完整性和机密性。
• 数字签名（Digital Signature）：通过使用数字证书中的私钥对数据进行签名，可以保证数据来源的可靠性和不可否认性，从而保障数据的真实性和有效性。
• 访问控制（Access Control）：通过使用数字证书中的属性或扩展字段对用户或设备进行授权或限制，可以实现对资源或服务的访问控制。

您好，这是一个很好的问题。我根据网络搜索的结果，为您总结了以下答案：

3、如何验证CA的身份和签名

CA（Certificate Authority，证书颁发机构）是负责签发、认证和管理数字证书的权威机构。CA拥有一对公钥和私钥，用私钥对数字证书进行签名，用公钥对数字证书进行验证。

验证CA的身份和签名的一般步骤如下：

• 获取CA的根证书，根证书是自签名的，包含CA的公钥和其他信息。
• 检查根证书是否在操作系统或浏览器中预置或信任，如果不是，则需要手动导入或安装。
• 检查根证书是否过期或被吊销，如果是，则需要更新或替换。
• 使用根证书中的公钥对其他由CA签发的数字证书进行验证，验证过程包括：
  • 使用摘要算法（如SHA256）对数字证书中的明文信息（如公钥、用户信息等）生成摘要。
  • 使用CA的公钥对数字证书中的签名进行解密，得到摘要。
  • 比较两个摘要是否一致，如果一致，则说明数字证书没有被篡改过，而且是由CA签发的。
  • 检查数字证书中的其他信息（如有效期、域名、扩展字段等），是否符合预期或规范。
    您好，这是一个很基础的问题。我根据网络搜索的结果，为您总结了以下答案：

4、什么是数字证书

数字证书是一种电子文档，用于证明网络通信中某个实体（如个人、组织或网站）的身份和公钥。数字证书由权威的证书颁发机构（CA）签发，可以用于加密、解密、签名和验证数据。

数字证书的主要作用有：

• 验证身份：数字证书可以帮助用户确认通信对象的真实性，防止冒充或欺骗。
• 保护数据：数字证书可以帮助用户使用对称加密或非对称加密算法对数据进行加密和解密，保证数据的机密性和完整性。
• 确认授权：数字证书可以帮助用户确定通信对象的访问权限和操作范围，防止越权或滥用。

数字证书的主要内容有：

• 用户名：通信对象的名称或标识。
• 用户信息：通信对象的其他信息，如所属部门或公司、联系方式等。
• 公钥：通信对象的公钥，用于加密或验证数据。
• 有效期：数字证书的有效时间范围，过期后需要更新或替换。
• 域名：数字证书被授权代表的网站地址或范围。
• 签名：CA使用自己的私钥对数字证书中的明文信息进行签名，用于验证数字证书的真实性。

5、SSL证书的差异区别

SSL证书是一种用于保护网站和用户之间数据传输的安全技术，它可以实现HTTPS加密，防止黑客窃取、篡改和监听信息。SSL证书由数字证书颁发机构（CA）审核验证颁发，不同的CA机构有不同的品牌、类型、价格和功能。

5.1、品牌

5.1.1、目前，全球知名的SSL证书品牌有以下几个：

• Symantec：美国的老牌CA认证中心，于2017年被DigiCert全资收购，旗下拥有DigiCert，Symantec，Geotrust，Thawte，Rapid 5大SSL证书品牌。Symantec是全球公认最可靠证书颁发机构，90%的世界500强在使用Symantec SSL证书。
• GeoTrust：原全球第二大数字证书颁发机构，现属于DigiCert旗下品牌，在全球150多个国家有超过10万个用户。GeoTrust是非常受欢迎，低廉的价格非常适合中小型企业。
• Comodo：世界上知名的SSL证书颁发机构，著名的网络安全软件厂商，提供电子邮件安全、托管DNS、PKI管理、SSL证书等服务。Comodo是确保互联网具有可靠和安全性的大型证书颁发机构之一。
• Thawte：南非的数字证书颁发机构，现属于DigiCert旗下品牌，在全球240个国家有超过90万个用户。Thawte是第一个为公众提供SSL证书的CA机构之一。
• RapidSSL：美国GeoTrust公司的一个面向低端用户而提供的简易版、快速签发、入门级SSL证书的品牌，主要应用于中小规模、入门级的电子商务网站。
• Entrust：美国的数字安全提供者，是行业中最受信任和尊敬的CA机构之一。Entrust提供高质量和高性能的SSL证书和信任产品，为各种规模的企业提供网络安全解决方案。
• GlobalSign：比利时的数字安全提供者，是欧洲最大的CA机构之一。GlobalSign提供各种类型和级别的SSL证书和信任产品，为企业提供身份验证、数据加密和完整性保护等服务。
  您好，这是一个很有价值的问题。我根据网络搜索的结果，为您总结了以下答案：

5.1.2、国内数字证书颁发机构

数字证书颁发机构（CA）是受信任的第三方机构，颁发的数字证书为最终用户数据加密的公共密钥。在这个过程中，CA的责任是确保公司或用户接收一个唯一的证书是一个有效的身份的认证。数字证书颁发机构又称SSL证书颁发机构，是一个可信的数字证书颁发实体。

国内数字证书颁发机构主要有以下几家：

• CFCA中国金融认证中心：是经中国人民银行和国家信息安全管理机构批准成立的国家级权威安全认证机构，是国家重要的金融信息安全基础设施之一。CFCA成为首批获得电子认证服务许可的电子认证服务机构。截至目前，超过2400家金融机构使用CFCA的电子认证服务，在使用数字证书的银行中占98%的份额。
• WoTrus沃通：是国内唯一一家通过Adobe认证的CA (PDF签名加密证书)，能签发全球信任的采用国产加密算法 (SM2) 的SSL证书和代码签名证书的商业CA。 是中国最大的国产品牌数字证书颁发机构之一，中国市场占有率超过70%！
• GDCA数安时代：成立于2003年4月，一直致力于发展成为一流的网络信任服务商，经过十余年不断开拓进取、突破创新，逐步在电子认证及相关信息安全产品、服务领域取得了行业领先地位。GDCA通过了WEBTRUST国际认证，成为国内仅有的几家具备国际化电子认证服务能力的企业之一。
• 安信证书：是国内知名的国际知名品牌SSL证书代理商，专售Symantec、GeoTrust、Comodo、Thawte以及RapidSSL等多家全球权威CA机构的SSL数字证书。

5.2、国内CA证书展开说明-什么是CFCA证书

CFCA证书是中国金融认证中心（China Financial Certification Authority，简称CFCA）颁发的数字证书。CFCA是经中国人民银行和国家信息安全管理机构批准成立的国家级权威安全认证机构，是国家重要的金融信息安全基础设施之一。CFCA证书可以用于验证网络通信中各方的身份和公钥，保证数据的加密、解密、签名和验证。

5.2.1、CFCA证书的应用场景

CFCA证书的应用场景主要有以下几类：

• 网上金融服务：如网上银行、网上证券、网上保险等，需要使用CFCA证书进行身份认证、数据加密和数字签名，保障交易的安全性和合法性。
• 电子商务应用：如网上支付、网上购物、网络游戏等，需要使用CFCA证书进行身份认证、数据加密和数字签名，保障交易的安全性和合法性。
• 企业业务系统应用：如供应链管理系统、OA系统、财务系统等，需要使用CFCA证书进行身份认证、数据加密和数字签名，保障业务的安全性和效率。
• 电子政务应用：如网上报税、网上工商、政府采购招投标系统、各类行政审批系统等，需要使用CFCA证书进行身份认证、数据加密和数字签名，保障政务的透明性和便捷性。

5.2.2、CFCA证书与其他证书的区别

CFCA证书与其他证书的区别主要有以下几点：

• CFCA证书是由国家级权威机构颁发的，具有高度的信任度和法律效力，符合《电子签名法》中关于“可靠电子签名”的要求。
• CFCA证书是基于PKI技术的，采用国际标准的X.509 V3格式，支持RSA和SM2等非对称算法，支持MD5、SHA1和SM3等散列算法，支持SSL、SMIME等协议。
• CFCA证书是基于面签的，用户在办理数字证书时，需要经过面签，验证用户证件真伪、人证是否相符、是否是本人真实意愿，保障用户身份真实可靠。
• CFCA证书是基于海量数据的，拥有超过1.3亿张有效数字证书的用户实名信息，覆盖全国32个省市自治区，可以提供多维度的基于数据的网络身份认证服务。

5.3、类型

根据验证程度和功能不同，SSL证书可以分为以下几种类型：

• DV域名型SSL证书：只需要验证域名所有权即可申请颁发，签发速度快，价格便宜，适合个人网站或小型企业网站使用。但是无法显示网站所有者信息，只能显示一个小锁标志。
• OV企业型SSL证书：需要验证网站所有者的组织信息和域名所有权才能申请颁发，签发速度较慢，价格较高，适合中大型企业或电商网站使用。可以显示网站所有者信息和一个小锁标志。
• EV增强型SSL证书：需要验证网站所有者的组织信息、域名所有权以及法律资质才能申请颁发，签发速度最慢，价格最高，适合金融类或大型电商网站使用。可以显示网站所有者信息和一个绿色地址栏。

5.4、价格

不同的SSL证书品牌和类型，价格也不同。一般来说，DV域名型SSL证书的价格最低，EV增强型SSL证书的价格最高。不同的CA机构也有不同的定价策略，有些CA机构提供免费或低价的SSL证书，有些CA机构提供高端或高价的SSL证书。