第5章电子商务安全技术祥解.ppt

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 图5-42 在Outlook Express中设置证书（1） 图5-43 在Outlook Express中设置证书（2） 图5-44 在Outlook Express中设置证书（3） 图5-45 发送签名邮件 图5-46 收到签名邮件的提示信息 图5-47 将收件人证书添加到通信簿 图5-48 查询和下载收件人数字证书 图5-49 发送加密邮件 图5-50 收到加密邮件的提示信息 线路安全 客户认证 Firewall 电子商务安全综合解决方案 内部网 防火墙 内部防火墙 重要信息 加密 Internet * * * * * * * * * * * * * * * * * * * * * * 另外，还有其他的分类：如 （1）个人数字证书 （2）单位证书 （3）软件数字证书 （4）服务器数字证书 4、数字证书的优点 用户利用数字证书不仅可以访问Web站点，还可以收发安全电子邮件。 流行的Web客户端软件，如Microsoft Internet Explore和Netscape Communicator的必威体育精装版版本，均允许用户使用统一的数字证书用于Web浏览和安全电子邮件。 5.6.3 证书操作的流程 （一）证书的创建 1.用户申请 用户首先下载认证中心的证书，然后在证书的申请过程中使用SSL的方式与服务器建立连接，用户填写个人信息，浏览器生成密钥对，将私钥保存在客户端特定文件中，并且要求用口令保护私钥，同时将公钥和个人信息提交给安全服务器。安全服务器将用户的申请信息传送给登记中心服务器。 5.6.3 证书操作的流程 2.登记中心同意申请 用户与登记中心人员联系，证明自己的真实身份，或者请求代理人与登记中心联系。登记中心操作员利用自己的浏览器与登记中心服务器建立SSL安全通信。 该服务器需要对操作员进行严格的身份认证，包括操作员的数字证书和IP地址，为了进一步保证安全性，可以设置固定的访问时间。 3.认证中心发行证书 登记中心通过硬拷贝的方式向认证中心传输用户的证书申请与操作员的数字签名，认证中心操作员查看用户的详细信息，并且验证操作员的数字签名。 如果签名验证通过，则同意用户的证书请求，颁发证书，然后认证中心将证书输出；如果认证中心操作员发现签名不正确，则拒绝证书申请。 4.登记中心转发证书 登记中心操作员从认证中心得到新的证书，首先将证书输出到LDAP服务器以提供目录浏览服务，最后操作员向用户发送一封电子邮件，通知用户证书已经发行成功，并且把用户的证书序列号告诉用户，让用户到指定的网址去下载自己的数字证书，还告诉用户如何使用安全服务器上的LDAP配置，让用户修改浏览器的客户端配置文件以便访问LDAP服务器，获得他人的数字证书。 5.用户获取数字证书 用户使用证书申请时的浏览器到指定网址，键入自己的证书序列号。服务器要求用户必须使用申请证书时的浏览器，因为浏览器需要用该证书相应的私钥去验证数字证书。只有保存了相应私钥的浏览器才能成功下载用户的数字证书。 这时用户打开浏览器的安全属性，就可以发现自己已经拥有了认证中心颁发的数字证书，可以利用该数字证书与其他人以及Web服务器（拥有相同认证中心颁发的证书）使用加密、数字签名进行通信。 安全服务器的证书则需要管理员下载并安装在Web服务器上。 （二）证书的撤消 1.用户提出申请 向登记中心操作员发送一封签名加密的邮件，声明自己自愿撤消证书。如果服务器的证书需要撤消，则由管理员向登记中心操作员联系。 2.登记中心同意证书撤消 操作员键入用户或服务器的序列号，对请求进行数字签名。 3.认证中心撤消证书 认证中心查询证书撤消请求列表，选出其中的一个，验证操作员的数字签名，如果正确的话，则同意用户的证书撤消申请，同时更新CRL列表，然后将CRL以多种格式输出。 4.登记中心转发证书撤消列表 操作员导入CRL，以多种不同的格式将CRL公布于众。 5.其他用户得到CRL 用户浏览安全服务器，下载或浏览CRL。 （三）证书的查询 安全认证中心利用OCSP协议为用户提供实时的证书状态查询服务，并且定期发布CRL为用户提供证书撤消列表。