第7章 PKI的应用
RA
目录服务的特点
对目录读访问（检索操作）的频率大大高于写访问 （更新操作）的频率 目录不支持事务处理 目录中的属性类型一般是字符型的，因为它描述的 主要信息是一些基于属性的 信息访问的方式不同。目录一般采用简洁、优化的 访问协议，简化了应用 目录服务的主要应用领域集中于以检索为主的数据 库服务，存放的信息较少改动 数据库适合在读写同样频繁、数据变化大、须及时 更新、事物性、可靠性要求很高的环境中
注册授权执行者
应用注册授权控制台完成数字证书注册、更新及撤 销任务，验证操作请求，如果验证通过并被注册授 权执行者批准，则向中CA发出相应请求
注册授权管理者
是管理注册授权执行者的人，确保整个证明申请过 程是在非人为故意欺骗的情况下处理完成的。所有 鉴定证明申请在提交给CA之前，应获得注册授权管 理者批准
LDAP
DAP：目录访问协议，基于OSI网络模型 轻量目录访问协议（LDAP）是互联网工程任务 组(Internet engineering task force,IETF)推出的 DAP的简化版本，合并了DAP中的若干相似操作 ，简化了实现细节，使之能够运行在TCP/IP网 络之上 LDAP一般以客户机/服务器模式(C/S)出现， LDAP客户机和LDAP服务器二者合起来，成为一 个DUA，LDAP只是客户机和服务器在Internet上 通信的协议
RA部署
集中部署
RA与CA集中部署：没有功能划分 RA与CA分级部署：逻辑上是整体，物理上分开 部署
集中部署的优势
有助于缩减系统规模，降低系统复杂性，能有效 整合PKI功能上的冗余 有助于降低系统的实现难度，不需要考虑系统之 间的消息通讯，仅考虑CA中各功能块的耦合。 市场开发速度与PKI技术发展速度不匹配
自考《03142互联网及其应用》_历年考点分析_第7章_计算机网络安全及管理技术
《03142互联网及其应用》自考·历年考点分析第7章计算机网络安全及管理技术[识记] 计算机安全。
历年考核：[201410名词解释38]参考答案：是指保护数据处理系统而采取各种技术和管理措施，保护计算机硬件、软件和数据不会因偶然或人为的原因而遭到破坏、更改和泄密。
[识记] 访问控制是一种重要的网络安全措施，可以通过多种技术实现，但不包括（）A.口令B.加密C.网管D.审计历年考核：[201410单选19、201704单选20]参考答案：B。
[识记] 网络上的加密可以分为三层，即加密、传输层加密和应用层加密。
历年考核：[201804填空34]参考答案：数据链路层。
[识记] 可以实现互联网电子商务活动中数据安全传输的协议是（）。
A.UDPB.UTPC.ATPD.SSL历年考核：[201804填空34]参考答案：D。
[识记] SSL的目标是提供两个应用软件之间通信的和可靠性。
历年考核：[201804填空34]参考答案：保密性。
[识记] PGP。
历年考核：[201904名词解释44、201604单选20、201610单选20、201710单选20、201804填空36]参考答案：PGP是基于RSA加密技术的邮件加密系统，主要用于防止非授权者对邮件的阅读与修改，同时还能为邮件提供数字签名以保证邮件的真实性。
[识记] PKI。
历年考核：[201604名词解释44]参考答案：PKI是利用公钥理论和技术建立的提供信息安全服务的基础设施，是CA认证、数字证书、数字签名以及相关安全应用组计算模块的集合。
[识记] 简述黑客与入侵者的区别。
历年考核：[201804简答47、201610填空40、201604单选19、201704名词解释45、201710填空40、201504填空35、201904填空37]参考答案：（1）黑客原本是指程序员，而不是那些非法破坏系统安全的人；（2）入侵者是指怀着不良企图，闯入甚至破坏远程计算机系统完整性的人；（3）两者的动机不同；（4）入侵者并不像黑客一样都是在计算机知识方面有着很深造诣的人。
浅谈PKI技术及应用
引言随着电子化的来临，商务流程的自动化已超过企业本身的范畴，电子化的通信方式替代了纸张或人员面对面开会的互动关系，整个商务流程变得更加迅速、高效，并且能够避开时间与地点的限制。
但是，新形态的破坏行为也随之产生。
交易本身以及通信的过程均需受到保护，ＰＫＩ技术提供了验证、加密、不可否认等服务，而具有互通性及多功能的电子签名和凭证技术正是电子商务安全需要的基本要素。
１、ＰＫＩ概述公钥基础设施（ＰＫＩ，Ｐｕｂｌｉｃ ＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ）是一个用非对称密码算法原理和技术实现并提供安全服务的具有通用性的安全基础设施。
ＰＫＩ是一种遵循标准的利用公钥加密技术为电子商务、电子政务的开展提供一整套安全的基础设施。
用户利用ＰＫＩ平台提供的安全服务进行安全通信。
ＰＫＩ这种遵循标准的密钥管理平台，能够为所有网络应用透明地提供采用加密和数字签名等密码服务所需要的密码和证书管理。
使用基于公开密钥技术平台的用户建立安全通信信任机制的基础是，网上进行的任何需要提供安全服务的通信都是建立在公钥的基础之上的，而与公钥成对的私钥只掌握在他们与之通信的对方。
这个信任的基础是通过公钥证书的使用来实现的。
公钥证书是用户的身份与之所持有的公钥的结合，在结合之前，由一个可信赖的权威机构——认证机构（ＣＡ）来证实用户的身份。
然后由可信任的ＣＡ对该用户身份及对应公钥相结合的证书进行数字签浅谈ＰＫＩ技术及应用吴杰芳 泰山学院数学与系统科学系信息科学教研室 ２７１０２１名，用来证明证书的有效性。
ＰＫＩ技术是公开密钥密码学完整的、标准化的、成熟的工程框架。
它基于并且不断吸收公开密钥密码学丰硕的研究成果，按照软件工程的方法，采用成熟的各种算法和协议，遵循国际标准和ＲＦＣ文档，如ＰＫＣＳ、ＳＳＬ、Ｘ．５０９、ＬＤＡＰ，完整地提供网络和信息系统安全的解决方案。
２、ＰＫＩ的组成一般来说，ＰＫＩ系统必须具有权威认证机构ＣＡ、注册机构ＲＡ、数字证书库、密钥备份及恢复系统、证书撤销系统等基本构成部分。
数据加密技术＼PKI技术与应用
数据加密技术＼PKI技术与应用[摘要] Internet 技术的普及使用,使得大量的信息必须在网络上进行传输和交换,网络与系统的安全与保密也因此而显得越来越重,论文中给出了两类数据加密技术及PIK技术,并简要介绍了PIK技术的应用。
[关键词] 数据加密DES算法RAS算法公钥PIK技术一、引言目前,Internet已遍及全球,为用户提供了多样化的网络与信息服务,网络信息系统在各行各业发挥了越来越大的作用,各种完备的网络信息系统,使得秘密信息高度集中于计算机中并在网络中进行频繁的信息交换,网络与信息系统的安全与保密问题因此显得越来越重要。
本文描述了两类数据加密技术和建立在公钥理论之上的PIK技术,并对PIK 技术的应用作了简单介绍。
二、数据加密技术数据加密是通过各种网络进行安全的信息交换的基础。
通过数据加密可以实现以下安全服务:(1)机密性:保护被传输的数据免受被动攻击,保护通信量免受分析;(2)鉴别:确保一个通信是可信的;(3)完整性:确保数据在传输过程中没有冗余、插入、篡改、重排序或延迟,也包括数据的销毁;(4)不可抵赖:防止发送方或接收方抵赖所传输的消息;(5)访问控制:限制和控制经通信链路对主机系统和应用程序进行访问的能力;(6)可用性:加密技术按照密钥的使用数量分为常规加密技术和公开密钥加密技术。
常规加密技术基于替代和置换技术,其算法是对称的,通信双方的加密密钥和解密密钥是相同的。
在设计加密算法时,为了保证安全性,首先,加密算法必须足够强大,使得仅根据密文就能破译是不可能的,其次,必须保证密钥的安全性,并定期改变密钥,常规加密算法速度快,被广泛使用。
经典的算法有DES及其各种变形(如Triple DES),IDEA,Blowfish,RC4、RC5以及CAST-128等。
在众多的对称加密算法中,最重要的是DES。
公开密钥加密技术基于数学函数,是非对称的,采用两个不同的密钥——公钥和私钥,公钥公开,私钥保密。
PKI在网上银行中的应用课件 (二)
PKI在网上银行中的应用课件 (二)- PKI是什么？PKI（Public Key Infrastructure）是一种公钥基础设施，它包括数字证书、证书颁发机构（CA）、证书撤销列表（CRL）等组成部分。
PKI的主要作用是为数字通信提供安全保障，确保通信双方的身份、数据的完整性和机密性。
- PKI在网上银行中的应用随着互联网的普及，越来越多的人开始使用网上银行来进行日常的银行业务。
然而，网上银行的安全问题也日益凸显。
PKI在网上银行中的应用可以有效地解决这些安全问题。
1. 数字证书PKI中的数字证书是网上银行安全的基础。
数字证书是一种电子文档，其中包含了用户的公钥、用户信息、证书颁发机构的信息等。
数字证书的作用是确保通信双方的身份，防止身份冒充等恶意行为。
2. 证书颁发机构证书颁发机构（CA）是PKI中的重要组成部分。
CA的主要作用是为用户颁发数字证书，确保数字证书的真实性和可信度。
在网上银行中，用户需要向CA申请数字证书，以确保自己的身份和交易的安全。
3. 证书撤销列表证书撤销列表（CRL）是PKI中的另一个重要组成部分。
CRL的作用是记录已经被撤销的数字证书，防止被撤销的数字证书被恶意使用。
在网上银行中，CRL可以有效地保护用户的交易安全。
- PKI在网上银行中的优势PKI在网上银行中的应用具有以下优势：1. 安全性高PKI可以有效地保护用户的身份和交易安全，防止身份冒充、数据篡改等恶意行为。
2. 可靠性强PKI中的数字证书、证书颁发机构、证书撤销列表等组成部分都经过了严格的安全检测和认证，具有很高的可靠性。
3. 方便快捷PKI的应用可以使网上银行的交易更加方便快捷，用户不需要到银行柜台进行交易，只需要在家中就可以完成各种银行业务。
- 结论PKI在网上银行中的应用可以有效地保护用户的身份和交易安全，具有很高的可靠性和方便快捷的优势。
随着互联网的不断发展，PKI的应用将会越来越广泛。
PKI技术及其发展应用
PKI技术及其发展应用PKI（Public Key Infrastructure，公钥基础设施），是一种基于非对称加密技术的安全体系，用于确保网络通信的机密性、完整性和身份认证。
PKI技术的发展应用范围广泛，包括数字证书、数字签名、SSL/TLS协议、电子邮件安全等。
PKI技术的核心是公钥和私钥的配对使用。
私钥只有持有者知道，用于数据的加密和数字签名；公钥可以公开，用于数据的解密和验证签名。
通过公钥加密，发送者可以将数据安全地传输给接收者，只有接收者使用其私钥才能解密数据。
而通过私钥签名，发送者可以确保数据的完整性和真实性，接收者可以通过发送者的公钥验证签名。
1.数字证书：数字证书是PKI体系中最重要的组成部分。
数字证书通过授权机构（CA）签发，用于确认公钥和身份的关联性。
证书中包含公钥、持有者的身份信息等，由CA对这些信息进行签名。
通过验证证书，用户可以确认数据的真实性和完整性，从而确保通信的安全。
2.数字签名：数字签名是PKI技术中的一项重要应用，用于验证数据的真实性和完整性。
发送者使用私钥对数据进行签名，接收者使用发送者的公钥验证签名。
如果数据在传输过程中被篡改，验证过程将失败。
数字签名被广泛应用于电子合同、电子交易等场景，以确保数据的可靠性。
3. SSL/TLS协议：SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是一种基于PKI的安全传输协议。
通过使用数字证书和非对称加密，SSL/TLS协议可以确保网络通信的安全性。
SSL/TLS协议被广泛应用于网上银行、电子商务等需要保护用户隐私和数据安全的场景。
4.电子邮件安全：PKI技术可以用于确保电子邮件的机密性和完整性。
通过使用数字证书和加密算法，可以对邮件内容进行加密，防止被窃听和篡改。
同时，数字签名可以确保邮件的真实性和完整性。
1.长期可信性：PKI技术的可信性依赖于授权机构（CA）。
PKI在电子商务中的应用
PKI在电子商务中的应用引言随着互联网的迅猛发展，电子商务已成为全球经济发展的重要组成部分。
然而，电子商务的发展也带来了安全和信任的问题。
为了确保电子商务的安全性和可信度，公钥基础设施（PKI）被广泛应用于电子商务领域。
本文将介绍PKI的概念、原理以及其在电子商务中的应用。
PKI的概念公钥基础设施（Public Key Infrastructure，PKI）是一种密钥管理体系，用于确保在不安全的网络环境下进行安全通信。
PKI通过使用非对称加密算法和数字证书来确保数据的机密性、完整性和可靠性。
PKI的四个基本组成部分包括公钥证书机构（Certificate Authority，CA）、注册机构（Registration Authority，RA）、验证机构（Validation Authority，VA）和验证框架（Validation Framework）。
CA是负责颁发和管理数字证书的机构，RA是CA的辅助机构，负责验证申请者身份，VA负责验证数字证书的有效性，验证框架用于验证数字证书的合法性。
PKI的原理PKI的核心原理是基于非对称加密算法。
非对称加密算法使用两个密钥，即公钥和私钥。
公钥用于加密数据，私钥用于解密数据。
公钥可以公开分享，而私钥必须保密。
使用公钥加密的数据只能使用相应的私钥进行解密，保证了数据的机密性。
在PKI中，数字证书被用于证明实体的身份。
数字证书包含实体的公钥和身份信息等，由CA机构颁发并数字签名。
使用者可以通过验证证书的数字签名和CA的信任关系来验证数字证书的有效性和真实性。
PKI在电子商务中的应用数据加密和机密性保护在电子商务中，数据的机密性至关重要。
通过PKI的非对称加密算法，可以使用公钥加密敏感数据，只有具有相应私钥的实体才能解密数据。
这确保了发送的数据在传输过程中不会被窃取或篡改。
身份验证和数字证书的应用PKI在电子商务中的另一个重要应用是身份验证。
通过使用数字证书，电子商务平台可以验证用户的身份。
pki技术的基本原理及常规应用
pki技术的基本原理及常规应用PKI技术的基本原理及常规应用一、PKI技术的概念PKI技术是公钥基础设施（Public Key Infrastructure）的缩写，是一种安全通信机制。
它通过使用非对称加密算法和数字证书来确保通信的机密性、完整性和可信度。
PKI技术包括公钥加密、数字签名、证书管理等多个方面。
二、PKI技术的基本原理1. 公钥加密公钥加密是指使用公钥对数据进行加密，只有私钥才能解密。
在此过程中，发送方需要获取接收方的公钥，并使用该公钥对数据进行加密。
接收方收到数据后，使用自己的私钥进行解密。
2. 数字签名数字签名是指将消息摘要与发送者的私钥进行加密生成签名，并将该签名与消息一起发送给接收者。
接收者可以使用发送者的公钥来验证签名是否正确，从而确保消息没有被篡改过。
3. 证书管理证书管理是指建立一个可信任的第三方机构（CA）来颁发数字证书，以确保公钥和实体之间的关系可信。
数字证书包含了实体（如个人或组织）和其对应公钥信息，并由CA进行签名认证。
三、PKI技术的常规应用1. 数字证书数字证书是PKI技术的核心，它可以用于各种场景，如SSL/TLS协议中的HTTPS，VPN连接等。
数字证书还可以用于身份认证、电子邮件签名和加密等。
2. 数字签名数字签名可以用于文件和数据的完整性验证，确保数据没有被篡改。
数字签名还可以用于电子合同、电子票据等场景。
3. 数字信封数字信封是指将数据进行加密，并将加密后的数据和接收者公钥一起发送给接收者。
接收者使用自己的私钥进行解密，从而确保通信内容机密性和完整性。
4. VPN连接VPN连接是指通过公共网络建立安全通信隧道，以实现远程访问。
PKI技术可以在VPN连接中使用数字证书进行身份验证和加密通信。
5. 身份认证PKI技术可以用于实现用户身份认证，如在网银系统中使用数字证书进行用户身份认证。
四、总结PKI技术是一种安全通信机制，它通过公钥加密、数字签名和证书管理等多个方面来确保通信的机密性、完整性和可信度。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 可能主要用于Kerberos环境，但也支持公钥功能。
7.4.4 轻量级目录访问协议
• LDAP降低了使用X.500目录服务的复杂性，以10%的 处理代价几乎提供了X.500协议的全部功能
• PKI环境中，LDAP服务器已经成为了首选的证书存储 方式。
7.4.2 公共数据安全体系结构
• CDSA是一个分层的安全体系结构，特别注重可扩展性 和互操作性。 • 通过安全插件模块和安全服务API提供灵活性
图7-8 CDSA分层体系结构
7.4.3 通用安全服务API
• 通用安全服务API(GSS-API)提供了通用安全服务而隐 藏了服务的实现细节。 • 主要的GSS-API函数：
7.2.3 IPSec
图7-4 IPSec 隧道模式数据包
图7-5 IPSec 传输模式数据包
图7-6 IPSec隧道模式
图7-7 IPSec传输模式
S/MIME、时间戳协议、 WTLS
• 7.2.4 S/MIME
• 安全/多用途因特网邮件扩展（ S/MIME ）协议为电子信息应用增 添了消息真实性、完整性和保密性服务。
7.3 格式标准
• 7.3.1 X.509
• X.509是国际电信联盟－电信(ITU-T)部分标准和国际标准化组织 (ISO)的证书格式标准。它定义了公钥证书的结构。
• 7.3.2 PKIX
• IETF的安全领域的公钥基础设施(PKIX)工作组正在为互联网上使 用的证书定义一系列的标准。X.509标准的巨大灵活性使得互操 作难以实现，PKIX工作组希望通过限制允许的选项，提高PKI系 统间的互操作性。
•
•
7.2 基于PKI的协议
• Diffie-Hellman密钥交换协议 • 安全套接字层（SSL）协议 • IPSec协议 • S/MIME协议 • 时间戳协议 • WTLS协议
7.2.1 Diffie-Hellman密钥交换
• 用途：用来生成通信双方将用于保护其要交换的信息的 其他加密密钥。
• 7.3.3 IEEE P1363
• IEEE P1363项目开发的密码学标准，包括公钥密码学的标准规范。
7.3 格式标准
• 7.3.4 PKCS（公钥密码标准）
• 为推进公钥密码系统的互操作性，由RSA实验室与工业界、学术界和政 府代表合作开发的。 • PKCS#1 RSA加密标准 • PKCS#2 涉及RSA的消息摘要加密 • PKCS#3 Diffie-Hellman密钥协议标准 • PKCS#4 最初是规定RSA密钥语法的 • PKCS#5 基于口令的加密标准 • PKCS#6 扩展证书语法标准 • PKCS#7 密码消息语法标准 • PKCS#8 私钥信息语法标准 • PKCS#9 可选属性类型 • PKCS#10 证书请求语法标准 • PKCS#11 密码令牌接口标准 • PKCS#12 个人信息交换语法标准 • PKCS#13 椭圆曲线密码标准 • PKCS#14 伪随机数产生标准 • PKCS#15 密码令牌信息语法标准
• 7.2.5 时间戳协议(TSP)
• 通过时间戳机构(TSA)的服务来提供数据在特定时间存在的证 据； • 是简单的请求/响应协议。
• 7.2.6 无线传输层安全(WTLS)
• 是WAP论坛的安全服务规范； • 提供了数据保密、数据完整性和应用程序间的认证服务； • WTLS的协议概念与TLS和SSL一样，也有记录协议和握手协议。
ቤተ መጻሕፍቲ ባይዱ
•
7.3.5 XML
• 定义签名数据对象的格式。
7.4 应用程序编程接口
• 7.4.1 微软CryptoAPI • 7.4.2 公共数据安全体系结构（CDSA） • 7.4.3 通用安全服务API（GSS-API） • 7.4.4 轻量级目录访问协议（LDAP）
7.4.1 微软CryptoAPI
7.2.2 安全套接字层
• 安全套接字层(Secure Socket Layer，SSL)在通信双 方间建立了一个传输层安全通道。
• 使用技术： 对称加密(保密性)、消息认证码(数据完整性)、PKI(身 份认证)
• 传输层安全(TLS)协议和无线传输层安全(WTLS)协议 都是SSL的直系后代。
7.2.2 安全套接字层
• LDAP目录间的互操作性是下一个要解决的难题。
7.5 应用程序和PKI实现
• 浏览器和e-mail客户是当今公钥技术应用最常见的例子
• Netscape 和 Internet Explorer
• 基本上所有主要的e-mail客户程序都支持S/MIME。
• 产品间的互操作性仍是一个问题，不同产品保护自己的 公钥的实现的方式也不同。
• 特点：不需要加密、实现开销低。
• 基本思想：利用有限域内计算离散对数的数学复杂性。
7.2.1 Diffie-Hellman密钥交换
图7-1 Diffie-Hellman算法
7.2.1 Diffie-Hellman密钥交换
• 缺陷：容易受到中间人攻击
•
Diffie-Hellman算法变种：通过加入抵御中间人攻击的特性来增强算法。
• 签名生成服务 • 签名验证服务
7.1.2 认证
• PKI认证服务使用数字签名来确认身份。
• 基本过程
• • • • 向待认证实体出示一项随机质询数据； 实体用私钥对质询数据进行签名或加密； 质询者能用实体证书中的公钥验证签名或者解密数据； 质询者还应该验证实体证书链。
7.1.3 时间戳
• 安全时间戳服务用来证明一组数据在某个特定时间是否 存在。
• 时间戳服务遵循一种简单的请求/响应模型。
• 时间戳服务可以把具有时间戳的文件散列值发布于公共 媒件（如报纸）。
7.1.4 安全公证服务
• 安全公证服务模仿实际公证过程。 • 1) 公证人签名：声明监督了一个文件的签名过程
• 肯定签名者身份 • 确定签名者签名意愿 • 评价签名者对签名后果的知晓程度
• 2) 对电子公证现有几种不同的解释
• 类似于安全时间服务 • 接近于实际的公证服务：公证服务对用户提交的原始文档及原始 签名的散列值签名，并对自己签过名的文件进行记录。
7.1.5 不可否认
• • 不可否认服务为当事双方间发生的相互作用提供不可否认的事实。 ISO标准： 开放分布式处理参考模型、X.400系列标准、X.800系列标准。 角色： 数据生成者、数据接收者、证据生成者、证据用户、证据检验者、 公证人、裁定者。 不可否认服务包括： 源不可否认、交付不可否认、提交不可否认、传输不可否认。
• SSL是一个分层协议，可分为两层：
• 低层包含SSL的记录协议； • 高层由记录层传送的消息组成。 (包括改变密码规范协议、警报协议、SSL握手协议)
7.2.2 安全套接字层
图7-3 SSL握手
7.2.3 IPSec
• IPSec协议为网络层(IP)通信定义了一个安全框架和一 组安全服务，协议的一些部分用到了PKI。 • 模式： 1）隧道模式：用在网关和代理上，IPSec服务由中介 系统实现，端节点并不知道使用了IPSec。 2）传输模式：两个端节点必须都实现IPSec，而中介 系统不对数据包进行任何IPSec处理。
7.6 签名数据应用程序
• 汽车零件批发的B2B电子商务应用中使用PKI
• 参与者：顾客、站点目录、批发订单站点、零件制造商 1. 汽车买主通过HTTPS连到电子商务站点； 2. 电子商务应用程序从客户证书中获取用户身份； 3. 买者从零件仓库在线目录中选择三种类型的螺栓，下载签名的 ActiveX控件； 4. 用户浏览器验证ActiveX控件是否由一个受信任软件发行者签 名； 5. ActiveX控件调用CryptoAPI访问购买者的私钥； 6. 零件仓库请求一个安全时间戳，生成新的订单通告，且以签名 并加密的S/MIME电子邮件形式发送订单通告给选定的零件制造 商。
第7章 PKI的应用
主讲：唐韶华 教授 华南理工大学
7.1 基于PKI的服务
• 基于PKI的服务就是提供常用PKI功能的可复用函数。 主要包括：
• • • • • 数字签名 身份认证 安全时间戳 安全公证服务 不可否认服务
7.1.1 数字签名
• 1) 数字签名是手写签名的电子模拟。 • 2) 可以用数字签名来证明被签名数据确实来自证书中 标识的实体。 • 3) PKI的数字签名服务可分为两部分：
总结
• 本章概述了有助于构建PKI应用程序的服务、协议、格 式标准和API。
• 给出了一个PKI应用于汽车零件交易的例子。
• 对密码函数进行抽象，隐藏了实际实现的细节。
• CryptoAPI提供了如下通用领域的函数：
• 基本密码函数支持选择、初始化和终止CSP； • 证书和证书存储函数管理证书集合、证书撤销列表和证书信任列 表； • 证书验证函数支持证书信任列表（CTL）和证书链的处理； • 消息函数处理PKCS #7消息； • 辅助函数包括其他不便归类的函数。