CA认证系统_原创文档.pdfVIP

1.1CA认证系统

1.1.1引入CA认证系统的必要性

对于电子政务的交易安全而言，其基本要求为：

1）信息必威体育官网网址性（Confidentiality）：即通过密码学的方式加密，所传递的信息以防止窃

取；

2）信息真实性和完整性（Authenticityandintegrity）:即通过数字签章（Digitalsignature）

的方式，用Hash方式保证信息不会被改变和假冒；

3）不可否认性（Non-repudiation）:即身份认证，通过可信任的CA中心发放的CA证

书来证明使用的身份。

安全传递和存储

信息应用权限控制

其中最为关键的就是建立基于证书的认证体系，或者使用可信的CA认证中心发放的

CA证书。

1.1.2CA认证系统结构

CA注册

认证中心

申请、发放、注销、

CA身份

恢复证书

执行需进行认证的应

客户端/浏览器WEB服务器

CA认证系统结构

结构说明如下：

采用第三方认证机构建立CA认证中心和RA（证书注册中心），实现CA证书的注册、

验证、管理功能；

通过专线连接CA认证中心，在需要安装进行CA证书验证的应用服务器上安装接口程

序，实现对CA证书的验证功能。

当用户进行需进行CA认证的应用操作时WEBSERVER服务器自动使用CA认证接

口程序，完成对用户身份的验证。

CA认证中心是一负责发放和管理数字证书的权威机构。CA的主要功能是：接收注册

请求、处理、批准、拒绝请求、颁发证书等。用户向CA提交代表自己身份的信息（如身份

证号码或E－mail地址），CA验证了用户的有效身份之后，向用户颁发一个经过CA私有密

钥签名的证书。对于一个大型的应用环境，认证中心往往采用一种多层次的分级结构，各级

的认证中心类似于各级行政机关，上级认证中心负责签发和管理下级认证中心的证书，最下

一级的认证中心直接面向最终用户。处在最高层的是认证根中心(RootCA)。

认证中心主要有以下几种功能：

证书的颁发

中心接收、验证用户（包括下级认证中心和最终用户）的数字证书的申请，将申请的内

容进行备案，并根据申请的内容确定是否受理该数字证书申请。如果中心接受该数字证书申

请，则进一步确定给用户颁发何种类型的证书。新证书用认证中心的私钥签名以后，发送到

目录服务器供用户下载和查询。为了保证消息的完整性，返回给用户的所有应答信息都要使

用认证中心的签名。

证书的更新

认证中心可以定期更新所有用户的证书，或者根据用户的请求来更新用户的证书。

证书的查询

证书的查询可以分为两类，其一是证书申请的查询，认证中心根据用户的查询请求返回

当前用户证书申请的处理过程；其二是用户证书的查询，这类查询由目录服务器来完成，目

录服务器根据用户的请求返回适当的证书。

证书的作废

当用户的私钥由于泄密等原因，用户证书需要申请作废时，用户需要向认证中心提出证

书作废请求，认证中心根据用户的请求确定是否将该证书作废。

另外一种证书作废的情况是证书已经过了有效期，认证中心自动将该证书作废。认证中

心通过维护证书作废列表（CertificateRevocationList,CRL）来完成上述功能。

证书的归档

证书具有一定的有效期，证书过了有效期之后将被作废，但我们不能将作废的证书简单

地丢弃，因为有时我们可能需要验证以前的某个交易过程中产生的数字签名，这时我们就需

要查询作废的证书。基于此类考虑，认证中心具备管理作废证书和作废私钥的功能。

认证中心具有严格的认证操作规则

1）组织规则

独立的中间机构：认证中心是独立于交易双方的中间机构，CA不能