图文并茂的-使用CA证书验证用户身份-神贴！据说此人拿Visio做了一下午！

这段时间潜心研究安全，同花总讨论了几天CA相关的安全技术，获益匪浅，不敢独享，拿出来和大家讨论。
本文属于原创，但欢迎大家转载，但请注明转载的出处，谢谢。
本人水平有限，难免有错误的理解，不正之处欢迎大家拍砖赐教。
本文使用的是single CA设计，为了大家能够专心理解CA和证书认证的工作原理，没有涉及RA和公钥目录服务器等其他内容。

下面开始把。

CA和用户X、Y生成钥匙对（Key Pair），每个钥匙对里包含了公钥（Public Key）和私钥（Private Key）。



CA给自己颁发根证书，根证书是未被签名的公钥证书或自签名的证书，是信任链的起始点。根证书中包含CA的公钥。根证书的数字签名一般是自己签署的，基本没有验证的目的，这里最好采用带外（out-band）的方式验证CA的身份。



用户X、Y下载根证书。安装根证书意味着对这个CA认证中心的信任。同时用户也能得到CA的公钥。



用户向CA请求自己的证书，请求中包括用户自己的公钥和用户信息。



CA收到用户的证书请求后，对用户信息进行摘要计算，得到摘要值，接着用自己的私钥对摘要信息加密，得到CA的数字签名。CA把用户的公钥，用户的信息和CA的数字签名制作成用户的证书。



CA把制作的用户证书颁发给用户。



用户拿到各自的证书后，可以绕开CA，对其他用户进行身份验证。如图，X和Y相互交换自己的证书。



X拿到Y的证书后，对Y信息进行摘要运算，得到摘要值。同时用CA的公钥解密数字签名（还记得么？证书中的数字签名使用CA的私钥加密的），得到一个解密的摘要值。如果这两个摘要值一样，说明Y的证书是CA颁发的，X就验证了Y的身份。



Y做同样的事情，如果两个摘要值一样，说明Y验证了X，双方验证过程结束。

最后发一张图，说明一下数字签名和验证的过程。

真是 收益 匪浅

我抢、我抢、我抢沙发~

写的真的很不错

不错不错，楼主您辛苦了。。。

找到好贴不容易，我顶你了，谢了