基于C_语言的PKI_CA认证中心的设计

合集下载

一个基于PKI的CA认证系统的模型与实现

内蒙古大学硕士学位论文一个基于PKI的CA认证系统的模型与实现姓名：***申请学位级别：硕士专业：计算机应用技术指导教师：叶新铭;石立新20030510硕士学位论文一个基于ＰＫＩ的ｃＡ认证系统的模型与实现一个基于ＰＫＩ的ＣＡ认证系统的模型与实现摘要随着Ｉｎｔｅｒｎｅｔ以及电子商务的发展，人们对信息安全的需要越来越迫切。

为了保证互联网上信息传输的机密性、真实性、完整性和不可否认性，防范电子交易及支付过程中的欺诈行为，必须在互联网中建立并维持一种令人信任的环境和机制。

因此采用最有效的安全技术，建立电子商务安全体系结构，已成为电子商务建设中迫切需要解决的问题。

基于公钥基础设施ＰＫＩ（ＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ）与ＣＡ（ＣｅｒｔｉｆｉｃａｔｉｏｎＡｕｔｈｏｒｉｔｙ）认证技术的数字证书解决方案，现已被普遍采用。

ＣＡ认证机构承担着网上安全电子交易的认证服务，是一个能签发数字证书并能确认用户身份的受信任的第三方机构。

本文介绍了公钥基础设施ＰＫＩ及其密码理论基础，详细阐述了ＣＡ认证机构的组成及其功能，重点提出了一个在Ｌｉｎｕｘ下实现的ＣＡ认证系统的模型并给出了实现方法。

区别于传统的ＣＡ系统，本认证系统采用混合式的ＰＫＩ信任模型，将用户生成密钥对和ＣＡ认证机构集中生成密钥对两种方式结合起来，为每个用户提供双重密钥对，本系统实现了Ｗｅｂ方式的自动管理。

本系统的基本特色在于，它是一个基于ＰＫＩ的专门针对校园网用户的经济实用、简单灵活的ＣＡ认证系统。

关键词：公钥基础设施，数字证书，认证机构，双重密钥对，校园网堡主堂篁堕塞二全茎王些！竺坠坠堡墨竺堕堡型量壅翌ＡＭｏＤＥＬＡＮＤＩＴＳｌＭＰＬＥＭＥＮＴＡＴＩｏＮｏＦＣＡＣＥＲＴＩＦＩＣＡＴＩｏＮＳＹＳＴＥＭＢＡＳＥＤｏＮＰＫＩＡＢＳＴＲＡＣＴＷｉｔｈｔｈｅｄｅｖｅｌｏｐｍｅｎｔｏｆＩｎｔｅｍｅｔａｎｄＥｌｅｃｔｒｏｎｉｃＣｏｍｍｅｒｃｅ．ｔｈｅｒｅｉｓａｉｍｐｅｎｄｉｎｇｄｅｍａｎｄｆｏｒｉｎｆｏｒｍａｔｉｏｎｓａｆｅｔｙ．Ｔｏｅｎｓｕｒｅｔｈｅｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ，ｉｎｔｅｇｒｉｔｙ，ａｕｔｈｅｎｔｉｃｉｔｙａｎｄｎｏｎ—ｒｅｐｕｄｉａｔｉｏｎｏｆｔｒａｎｓｍｉｔｔｅｄｄａｔａｔｈｒｏｕｇｈＩｎｔｅｒｎｅｔ，ａｎｄｔｏｐｒｅｖｅｎｔｔｈｅｏｃｃｌｎＴｅｎｃｅｏｆｄｅｆｒａｕｄｉｎｇｉｎｅｌｅｃｔｒｏｎｉｃｔｒａｄｅｓ，ａＩｎｔｅｍｅｔｍｅｃｈａｎｉｓｍｍｕｓｔｂｅｂｕｉｌｔｕｐａｎｄｍａｉｎｔａｉｎｅｄ．Ｔｈｅｒｅｆｏｒｅ，ｔｈｅｆｉｒｓｔｐｒｏｂｌｅｍｔｏｂｅｔｒｕｓｔｙｓｏｌｖｅｄｉｓｔｏａｐｐｌｙｔｈｅｍｏｓｔｅｆｆｅｃｔｉｖｅｓｅｃｕｒｉｔｙｔｅｃｈｎｏｌｏｇｙｔｏｔｈｅＥｌｅｃｔｒｏｎｉｃＣｏｍｍｅｒｃｅｔｏｇｕａｒａｎｔｅｅｉｔｓｓａｆｅｔｙ．ＴｈｅｗｉｄｅｌｙａｃｃｅｐｔｅｄｓｏｌｕｔｉｏｎｔｏｔｈｉｓｐｒｏｂｌｅｍｉｓｔｈｅｉｓｓｕｅｏｆｄｉｇｉｔａｌｃｅｒｔｉｆｉｃａｔｅｓｂｙＣＡ（ｃｅｒｔｉｆｉｃａｔｉｏｎａｕｔｈｏｒｉｔｙ）ｂａｓｅｄｏｎＰＫＩ（ＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ）ｔｅｃｈｎｉｑｕｅ．ＣＡ。

基于PKI的校园网身份认证系统的设计与实现

中任意一个可以很容易的推导出另一个的一单向陷门数字函数，函数从一个方向求值是该种算法体制。这种算法要求信息交互的双方必容易的，但其逆变换却是极其困难，因此利用
须进行安全通信前，协商一个密钥，共享同一公开的加密密钥只能作正向变换。以公钥作若为加密密钥，以私钥作为解密密钥则可实现加密的信息只能由一个用户解读；反之，以用户私钥作为加密密钥而以公钥作为解密密钥，则可实现由一个用户加密的信息而多个用户解
安全策略。
对称密码加密是在加密和解密消息时需
要使用相同密钥，者虽然不相同，或但是由其
基于公钥基础设施的Ｐ技术，ＫＩ采用了先进的安全技术对网上信息的发送方、接收方进行身份确认，保证各方信息传递的安全性、以
上，用开源软件￣ＯｐｎＳ利ｅＳＬ对身份认证系统进行具体实现。关键词：Ｋ身份认证网络安全ＰＩ中图分类号：Ｐ１Ｔ３９文献标识码：Ａ
文章编号：６４０８（０１０（）Ｏ２一３１７－９Ｘ２１）５ａ－Ｏ６ｏ
书链检验和ＣＡ之间的交叉认证，可以支持还
靠的信道来分发密钥。
对称密码加密的主要优点是运算速度快、效率高、算法简单、计算开销小，硬件容易实现；
其缺点，也是最突出的缺点之一是密钥的分发
跨域认证。

PKI_CA(客户端证书)方案

上海域联软件技术有限公司PKI/CA系统解决方案1 前言 (2)2 应用安全需求概述 (2)3 域联PKI/CA系统简介 (3)3.1 认证体系设计 (3)3.2 域联PKI/CA系统功能模块 (5)3.2.1 证书签发 (5)3.2.2 证书生命周期管理 (5)3.2.3 CRL服务功能 (6)3.2.4 目录服务功能 (6)3.2.5 CA管理功能 (6)3.2.6 日志与审计功能 (6)3.2.7 CA密钥管理 (7)1前言以Internet为代表的全球性信息化浪潮迅猛发展，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域也从传统的、小型业务系统逐渐向大型、关键业务系统扩展，从典型的如金融业务系统、网上证券交易业务系统、企业内部应用系统，逐渐扩展到政府办公系统应用。

在这股浪潮的推动下，为了提高企业的办事效率，各个企业纷纷利用先进的IT技术来降低政务办公的成本和加强信息管理，广泛的开展电子政务。

由于业务发展的需要，用户也建设了自己的各种应用信息系统，为了保证系统的正常运转，有必要采取安全的措施来保障各个应用系统运行的安全。

本文主要目的是旨在分析用户的系统安全需求，然后阐明采用PKI/CA技术，来保障用户的信息系统安全。

2应用安全需求概述随着用户信息系统的建设，大量的办公业务数据文件通过网络相互传递，同时大量的数据文件也保存于文件服务器之上。

如果不能保证这些系统的用户登录认证安全，保证这些数据的传输安全，其后果是可想而知的。

此外，在实现资源和数据共享的同时，也面临巨大的威胁和风险，我们必须对这些资料进行严格控制，保证只有被授权的人员才能够访问合法的资源，并且对于每个人产生的信息，需要保留相应的记录。

由于互联网的广泛性和开放性，给应用系统带来了很多安全隐患，主要体现在如下几个方面：（1）身份认证目前，应用系统是采用“用户名＋密码”的方式来验证访问用户的身份。

采用“用户名＋密码”的方式登录应用系统时，用户输入的用户名和密码都是通过明文的方式，传输给系统服务器，系统服务器根据用户提交的用户名和密码，查询数据库，来判断用户的身份是否真实。

CA认证系统设计

CA认证系统设计CA（Certificate Authority）认证系统是建立在公钥基础设施（Public Key Infrastructure，PKI）上的一套认证机制。

CA认证系统的设计目的是为了确保网络通信环境的安全性，防止信息篡改、数据泄露等问题的发生。

本文将围绕CA认证系统的设计进行详细阐述。

1.系统架构设计：-CA服务器：负责颁发、验证以及撤销数字证书的服务器；-申请者端：用户使用的终端设备或经授权的代理服务；-认证数据库：存储各类证书信息的数据库；-客户端应用程序：用于验证数字证书和加密通信的应用程序。

2.数字证书的生成与管理：-CA服务器根据用户的申请信息生成数字证书，并将其存储在认证数据库中；-数字证书应当包含用户的公钥、用户信息以及有效期等必要信息；-CA服务器负责对证书进行定期审计和更新，并管理所有证书的有效性。

3.证书申请与验证：-用户向CA服务器提交数字证书的申请；-CA服务器对用户进行身份验证，并验证申请中的信息的真实性；-如果申请合法，CA服务器为用户颁发数字证书。

4.数字证书的撤销与更新：-用户提交数字证书的撤销请求，CA服务器根据证书的唯一标识撤销证书；-CA服务器应当定期检查证书的有效性，并在必要时撤销已失效的数字证书；-当用户的公钥发生变化时，用户需要重新申请数字证书。

5.客户端应用程序的设计：-客户端应用程序需要验证收到的数字证书的合法性；-客户端应用程序首先检查证书的签名是否由可信的CA颁发；-然后，客户端应用程序验证证书的有效期，确保证书未过期；-最后，客户端应用程序通过证书中的公钥进行加密和解密操作。

6.安全性保障：-CA服务器需要使用安全的加密算法和安全的存储方式，保护用户的私钥和数字证书的私密性；-认证数据库应该具备高度可靠性和安全性，防止非法访问和数据泄露；-CA服务器应该采用双因素身份认证，以确保管理操作的合法性。

综上所述，CA认证系统的设计需要考虑用户申请与验证流程、数字证书的管理和更新、客户端应用程序的设计、以及安全性保障等方面的问题。

PKI体系下的校园CA认证系统设计

一
一
、
随着国内高校校园网建设的加快，教学、办公、财务、科研等应
般情况下，在ＰＩ体系中，ｃＫＡ颁发认证证书的过程基本一样
用系统也随之增加，这些应用系统往往各自保存一套不同的用户身但份认证方式，这一方面影响了用户使用的效率，同时也给校园网管理
库返回证书检查结果，从而最终实现身份认证。如图１
ｃＡ
完善的统一身份认证系统。
二、相关技术术语
１数字证书．
也叫电子证书，证书是随ＰＩ的形成而新发展起来的安全机制，Ｋ
它实现身份的鉴别与识别（认证）、完整性、保密性及不可否认性安
从而更加保障了校园网系统运行的安全性和可靠性。
关键词：数字认证；ＰＩＫ
中图分类号：Ｔ３１文献标识码：ＡＰ１．１
研究意义
文章编号：１０ —５２０６２００
ｃＡ的担保来验证其他主体，即身份的认证。
带来了很多安全隐患。致这些问题产生的原因主要是由于目前校园导网采用的 “ 户名＋码 ”的认证方式只能实现初级的、简单的管理，用密安全性较低。因此，要有效地解决目前校园网在管理和安全方面存在的问题，须从技术上保证校园网体系的在管理使用过程中能够建立必

基于PKI的CA安全认证系统在保密通信网络中应用的研究

加密和数字签名，ＥＧｍｌＤＳ法用于数字签名。在公Ｌａａ、Ｓ算钥体制中，加密密钥与解密密钥各不相同，发送信息的人
在应用证书机构的分支机构，ＲＡ系统可方便地集成到业务
应用系统。
来验证别的用户的证书。
该管理员证书登录Ｒ注册中心，以申请用户证书的签发。Ａ
由于ＰＩＫ基础设施是目前比较成熟、完善的网络安全解
决方案，作为保密通信网这样比较特殊的网络，ＰＩＣ也Ｋ／Ａ
（）用户证书。①普通用户证书：各级安全管理域下２
ｔａｍｉｓｏＳｄｉｅｅｔｆｏｔｅｓａａｄＩｔｒｅｎｔｅａｐｃｓｏｕｃｉｎｎｕｅｖｓｒｍｏｅｉｃｎｄｓｇｂｒｎｓｓｉｎｉｆｒｎｒｍｈｔｎｄｒｎｅｎｔｉｈｓｅｔｆｆｎｔｏｓａｄｓｐｒｉｏｆｄ．ａｅｉｎｗｅｔｓｆｔｔａｅｉｓａｅｙｓｒｔｇｅｗｉｏｄｓｃｉｙｕｉｚｎＣＡｉｉａｃｒｉｃｔｎｄｈａｉｄｅｉｔｎｅｃｙｔｏａｇｒｔｍｔｇｏｅｕｒｔｂｔｌｉｇｈｙｉｄｇｔｌｅｔａｅａｔｅｖｒｅｘｓｉｇｎｒｐｉｎｌｏｉｈｉｆ
收稿日期：２１ — ７１回１期：２１ — ８００１０ — ３修５ｔ０１０—８作者简介：崔容宇（２１８～），男，山东枣庄籍，士研究生，助理工程师，主要研究方向为数据库与信息系统、云计算。９硕

基于PKI的统一信任管理平台设计与实现

统一信任管理平台是一个综合的业务系统管理服务平台，以ＰＫＩ／ＣＡ技术为核心，实现集中的用户管理、目录管理、认证管理、访问控制和审计等功能，为多应用系统提供用户身份、系统资源、权限策略等统一、安全、有效的配置和服务。该平台逻辑架构如图１所示。
（１）建立统一目录和用户管理，利用来自于人力资源管理系统的员工身份、职位和组织等有关信息，建立ＬＤＡＰ中的账号和组织信息、以及各应用系统账户的映射关系，并实现用户身份等信息的定期同步。
（２）搭建ＬＤＡＰ系统，按照主从部署方式，集中管理集团的人员账户信息和各个应用系统的账户信息，并与ＣＡ系统集成，实现数字证书和吊销列表的发布管理和查询管理。
集团企业可以将主要的信息系统都纳入到该系统下，在加强信息安全的前提下，通过对人员身份的集中管理，实现对系统访问账号的统一认证和授权，并借助单点登录技术实现集中的访问控制，满足跨平台和系统之间的业务同步和信息共享的要求。平台的总体设计思路是：
关键词：ＰＫＩ；公钥基础设施；信息；安全
◆ 盛伟瑜 ຫໍສະໝຸດ 一、公钥基础没施体系（ＰＬＩ３ｌｃ｝‘ ｌｎＩ｝ａｌ＝ｈ喝Ｐ）
近年来，随着信息技术的迅速发展如今诸如互联网应用、电子商务、移动办公、云计算等计算机技术已经在企业和社会上得到了广泛的应用。由此全社会都产生了对信息安全问题的高度关注。概括起来，一个信息系统面临着以下四个最基本的安全需求：
（３）完整性（Ｉｎｔｅｇｒｉｔｙ）：信息系统中的数据应确保数据在处理过程和存储中的完整，避免未经授权的篡改和删除。

基于PKI的CA认证系统的研究

一
个完整的ＰＩ统主要由认证机构ＣＫ系Ａ、注册机构ＲＡ、证
体方法进行明确定义；管理事物则负责服务的通知及消息交
换的描述，以支持ＰＩ关的事务及操作处理。用Ｋ相
书管理系统、Ｋ策略管理以及ＰＩ用接口所构成，ＰＩＫ应其体系
Ｔｃｎｇｎｔｄ・技术探讨ｅｈｏｙａｄＳｕｙｌｏ
基于ＰＩＣＫ的Ａ认证系统的研究
赵琛
（利部水利信息中心北京￣ｏｏ）水ｏｏｏ
【摘要】随着网络应用的不断发展，Ｋ技术逐渐成为解决网络安全问题的核心技术之一。本文首先阐述了ＰＩＰＩＫ及相关技术其
ｆｒｅｓｕｓｄｈｔｒｒｕｍｎａｉｆＡｃｒｉｔｎｓｓｍ．ｕｔｒｉｓｅｅｉｅ－ｏｐｈｄｃｔｎｇｏｃｍｕｉｔｎｏｔｃｉｔｃｏＣｅｉｏｙｅｆａ
【Ｋｙｏｄａｔｎｃｔｎｙｔ；ｕｌＫｙｎａｔｃｒｉｒａｏｃｎｅｗｒｓ】ｕｅｔｉｓｍｐｂｃｅｆｓｕｔｅｎｍｔｎｅｕ￣ｈｉｏｓｅａｉｉｒｕ；ｆｉｓｒｏ
系统主要负责证书的发布、撤销等，是借助于ＬＡＤＰ目录服务
完成证书库的管理；策略管理也是ＰＩ统中核心的部分，Ｋ系主要是定义安全的指导方针，对密码系统的处理原则及具并
施 ” Ｋ是通过公钥及密码技术的结合来提供安全服务的。。ＰＩ

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

第19卷哈尔滨师范大学自然科学学报Vol .19,N o .42003第4期NA T U RAL SCIENCES JOU RNA L OF HA RBIN NO RMA L UN IV ERSI T Y基于C #语言的PKI /CA 认证中心的设计李玉强张红伟(哈尔滨工业大学) (哈尔滨师范大学)【摘要】　PKI /CA 认证中心是目前保证网络信息安全的一种比较可靠的安全体系.本文依照PKI 系统的结构框架,给出了一个CA 认证中心的结构设计,同时应用目前最先进的C #编程语言,给出了在.NET 环境下实现CA 认证中心的一种编程方法.关键词:公钥基础设施(PKI );认证中心(CA );C #语言收稿日期:2003-06-14李玉强,男,计算机硕士,主要研究计算机网络安全、数控系统以及工业现场总线的数据传输安全等课题0　引言信息技术的飞速发展,使传统的商务模式经受到巨大的变革考验.企业信息资源的网络化以及电子商务各类应用的集成与整合,出现了前所未有的快速发展.如此规模的发展速度,除基于传统业务开发的各类电子商务平台的应用以外,还依赖于网络技术应用与发展的安全保障.在Internet 网上进行通信时,如何保证通信双方身份的真实性、内容的安全性是一个重要的问题.PKI (Public Key Infrastructure )[1,2,3,4]公钥基础设施是利用公钥技术实现电子商务安全的一种体系,是一种基础设施.是提供公钥加密和数字签名服务的系统或平台,目的是为了管理密钥和证书.一个机构通过采用PKI 框架管理密钥和证书可以建立一个安全的网络环境.PK I 主要包括四个部分:X .509格式的证书(X .509V3)和证书废止列表CRL (X .509V2)、CA /RA 操作协议、CA 管理协议和CA 政策制定.认证中心CA (Certificate Authority )是PKI 的核心,CA 负责管理PKI 结构下的所有用户(包括各种应用程序)的证书,把用户的公钥和用户的其他信息捆绑在一起,在网上验证用户的身份,CA 还要负责用户证书的黑名单的登记和发布.1　CA 认证的基本概念1.1认证中心认证中心是一个负责发放和管理数字证书的权威机构.认证中心通常采用多层次的分级结构,上级认证中心负责签发和管理下级认证中心的证书,最下一级的认证中心直接面向最终用户.认证中心的主要功能:·证书的颁发·证书的更新·证书的查询·证书的作废·证书的归档1.2　数字签名[6]数字签名是通过一个单向函数对要传送的信息进行处理得到的用以认证信息来源并核实信息在传送过程中是否发生变化的一个字母数字串.数字签名提供了对信息来源的确定并能检测信息是否被篡改.数字签名与数据加密完全独立.数据可以既签名又加密、只签名、只加密,当然,也可以既不签名也不加密.发送方计算出的签名和数据一起传送给接收方,签名值是关于发送方的私钥和要发送的信息的一个数学函数的值.算法的构造保证如果不知道私钥的话就不可能计算出这个签名值.接收方可以通过依赖发送方的公钥、签名值和接收到的数据的另一个数学算法来验证接收到的信息就是发送方签名的信息.1.3　数字证书1.3.1　数字证书的概念:数字证书就是网络通信中标志通信各方身份信息的一系列数据,其作用类似于现实生活中的身份证.它是由一个权威机构发行的,人们可以在交往中用它来识别对方的身份.1.3.2　数字证书的作用:访问需要客户验证的安全Internet站点.用对方的数字证书向对方发送加密的邮件.给对方发送带自己签名的邮件.1.3.3　数字证书的内容:证书的格式由ITU标准X.509V3来定义.根据这项标准,证书包括申请证书个体的信息和发行证书CA的信息.证书由以下两部分组成:A、证书数据:版本信息:用来与X.509的将来版本兼容;证书序列号:每一个由CA发行的证书必须有一个唯一的序列号;CA所使用的签名算法;发行证书CA的名称;证书的有效期限;证书主题名称;被证明的公钥信息,包括公钥算法、公钥的位字符串表示;包含额外信息的特别扩展.B、发行证书的CA签名:证书第二部分包括发行证书的CA签名和用来生成数字签名的签名算法.任何人收到证书后都能使用签名算法来验证证书是由CA的签名密钥签发的.1.4　安全套接字层(SS L)安全套接字层SSL(Secure Sockets Layer)是一种提供Internet上保密性的在线协议.它允许客户/服务器应用以一种不能被偷听的方式通讯.它是Internet网上安全通讯与交易的标准.SSL 协议使用通讯双方的证书在通讯双方间建立一条安全的、可信任的通讯通路.2　CA认证中心的总体结构设计CA认证中心通常为在一个安全域内的有限群体发放证书,同时还负责维护和发布证书发放列表CRL(certificate revocation lists).本CA认证中心由六个服务器组成,分别为CA签发服务器、CA管理服务器、CA审计服务器、RA注册服务器、WebRA收发服务器和目录服务器.它们的功能如下:WebRA服务器:WebRA面向普通用户,用于提供证书申请、浏览、证书撤消列表以及证书下载等安全服务.WebRA与用户的通信采用安全信道方式(如SS L的方式,不需要对用户进行身份认证).用户首先得到安全服务器的证书(该证书由CA颁发),然后用户与服务器之间的所有通信,包括用户填写的申请信息以及浏览器生成的公钥均以安全服务器的密钥进行加密传输,只有安全服务器利用自己的私钥解密才能得到明文,这样可以防止其他人通过窃听得到明文.从而保证了证书申请和传输过程中的信息安全性.注册服务器(RA):用于登记用户的申请,核查用户身份的真伪.核对后批准颁发.将申请转给签发服务器,并负责将签发好的数字证书以安全方式传送给用户.签发服务器:是CA系统的核心部分,根据校准的申请书签发电子证书并将证书传送给注册服务器RA;发布CRL到目录服务器;管理中央数据库;保管CA的密钥,并用此密钥为电子证书签名公正;对其它部件提出的请求给出应答.CA管理服务器:主要负责证书、密钥、CRL 的管理和CA系统运行的管理.证书、密钥、CRL 的管理包括证书、密钥、CRL的更新、归档、撤消和恢复等;CA系统运行的管理包括人员管理(如权限管理)和系统配置及审计.审计服务器:负责对存储备份及CA系统状态查询、历史事件的记录、审计、汇总、报表和打印等. LDAP服务器[5]:LDAP服务器提供目录浏览服务,负责将注册机构服务器传输过来的用户信息以及数字证书加入到服务器上.这样其它用户通过访问LDAP服务器就能够得到其他用户的数字证书.本系统中包括以下数据库:一个CA数据库,一个CA后援数据库,一个证书库(LDAP数据库)和多个RA数据库.62哈尔滨师范大学自然科学学报 2003年图1　CA认证中心重要部件之间的接口3　CA认证中心的软件系统实现本系统主要采用.NET环境下的C#语言来实现.C#语言是M icrosoft公司为支持其.NET框架的开发而设计的,它的出现代表了程序设计语言的下一步发展方向.它利用并改进了久经试验的各种特性,给现代的企业级计算环境(包括Window s、Internet以及组件等)提供一种非常有用而且高效的编程方法.C#语言继承了丰富的程序设计传统.它是直接从当今最成功的两种计算机语言(C和C+ +)演变而来的,而且与Java紧密相关.C#语言兼具了C语言的强大底层控制功能、简洁性和可表达性,以及C++的面向对象特性,同时也具有Java的可移植性.在此基础上,C#语言实现了交叉语言互操作性.在.NET环境中,System.Security.Cryptto-g raphy命名空间包含了与加密、签名相关的类.利用这些类,我们就可以很方便地使用各种广泛使用的算法,包括RSA,DSA和其他Hash算法.本系统采用的公共钥匙加密算法又称为非对称密钥密码算法[7].它使用到两个密钥:公开密钥和私有密钥,分别用于对数据的加密和解密,即如果用公开密钥对数据进行加密,只有用对应的私有密钥才能进行解密;如果用私有密钥对数据进行加密,则只有用对应的公开密钥才能解密..NET Framew ork提供了以下类来实现公共钥匙加密算法(非对称加密算法):＊DSACryptoServiceProvider＊RSAC ryptoServiceProvider下面是一个RSACry ptoServiceProvider类的应用实例Using RSACryptoServiceProviderDim PublicKey As By te()={214,46,220, 83,160,73,40,39,201,155,19,202,3, 11,191,178,56,74,90,36,248,103, 18,144,170,163,145,87,54,61,34,220, 222,207,137,149,173,14,92,120, 206,222,158,28,40,24,30,16,175,108, 128,35,230,118,40,121,113,125, 216,130,11,24,90,48,194,240,105,44, 76,34,57,249,228,125,80,38,9,136, 29,117,207,139,168,181,85,137,126,10,126,242,120,247,121,8,100, 12,201,171,38,226,193,180,190,117,177,87,143,242,213,11,44,180, 113,93,106,99,179,68,175,211,164,116,64,148,226,254,172,147}Dim Exponent As By te()={1,0,1}′Values to store encrypted symmetric key s.63第4期基于C#语言的PKI/CA认证中心的设计Dim EncryptedSy mmetricKey()As ByteDim EncryptedSy mmetricIV()As By te′Create a new instance of RSACryp-toServiceProvider.Dim RSA As New RSACryptoServiceProvider ()′Create a new instance of RSAParameters.Dim RSAKey Info As New RSAParameters()′Set RSAKey Info to the public key values.RSAKeyInfo.Modulus=PublicKeyRSAKeyInfo.Exponent=Exponent′Impo rt key parameters into RSA.RSA.ImportParameters(RSAKey Info)′Create a new instance of the RijndaelM an-aged class.Dim RM As New RijndaelManaged()′Encrypt the sy mmetric key and IV.EncryptedSymmetricKey=RSA.Encrypt (RM.Key,False)EncryptedSymmetricIV=RSA.Encrypt (RM.IV,False).NET Framew ork提供了以下类来实现数字签名加密算法:＊DSACryptoServiceProvider＊RSAC ryptoServiceProvider.NET Framew ork提供了以下类来实现加密Hash算法:＊HMACSHA1＊M ACTripleDES＊M D5CryptoServiceProvider＊SHA1M anaged＊SHA256Managed＊SHA384Managed＊SHA512Managed参　考　文　献1　[RFC1421]Privacy Enhancement for Internet Electronic M ail: Part I:M essage Encryption and Authentication Procedures2　[RFC1422]Privacy Enhancement for Internet Electronic M ail: Part II:Certificate-Based Key M anagement3　[RFC1423]Privacy Enhancement for Internet Electronic M ail: Part III:Al gorithm s,M odes,and Identifiers4　[RFC1424]Privacy Enhancement for Internet Electronic M ail: Part IV:Key Certification and Related Services5　[RFC2307]An Approach for using LDAP as a Network Informa-tion Service6　中华人民共和国国家标准:《信息技术安全技术idt带消息恢复的数字签名方案》GB15851-1995ISO/IEC9796:1991In-formation technology-S ecurity techniques Digital signatu re scheme giving message recovery(国家技术监督局1995年12月13日发布1996年8月1日实施)7　中华人民共和国国家标准:《信息处理64bit分组密码算法的工作方式》GB/T15277-94Information processing-M odes of operation for a64-bit bl ock cipher algorithm(国家技术监督局1995年8月1日实施)PKI/CA SYSTEM BY C#LANGUAGELi Yuqiang Zhang Hongw ei(Harbin Institute of Technology)　(Harbin Normal University)ABSTRACTPKI/CA is a kind of safe sy stem w hich is more reliable in guaranteeing the safety if network informa-tion at present.The article designs a CA structural desig n in accordance w ith the structural framewo rk of PKI system.At the same time,a kind of program ming method of CA realizing is show n by using the most advanced C#program ming language in the world now.Keywords:Public Key Infrastructure(PKI);Certificate Autho rity(CA);C#lang uage64哈尔滨师范大学自然科学学报 2003年。