PKI应用与应用接口
第14章 PKI原理与应用_y
录
PKI概念 认证机构CA 数字证书 PKI的应用 PKI的发展
版权所有，盗版必纠
14.1 PKI概念
• PKI利用数字证书标识密钥持有人的身份，通过对 密钥的规范化管理，为组织机构建立和维护一个可 信赖的系统环境，透明地为应用系统提供身份认证、 数据保密性和完整性、抗抵赖等各种必要的安全保 障，满足各种应用系统的安全需求。
• (4) 一个典型的全国性CA如图14.5所示。
版权所有，盗版必纠
14.1.3 PKI的组成
• PKI公钥基础设施体系主要由密钥管理中心、 CA认证机构、RA注册审核机构、证书/CRL发 布系统和应用接口系统五部分组成，其功能结构 如下所示：
版权所有，盗版必纠
14.1.3 PKI的组成
• 1．密钥管理中心（KMC）：密钥管理中心向CA服务 提供相关密钥服务，如密钥生成、密钥存储、密钥备份、 密钥托管与恢复等。 • 2．CA认证机构(Certification Authority) ：CA认证 机构是PKI公钥基础设施的核心，它主要完成生成/签 发证书、生成/签发证书撤销列表（CRL）、发布证书 和CRL到目录服务器、维护证书数据库和审计日志库 等功能。 • 3．RA注册审核机构(Registration Authority)：RA 是数字证书的申请、审核和注册中心。它是CA认证机 构的延伸。在逻辑上RA和CA是一个整体，主要负责提 供证书注册、审核以及发证功能。
• 5.应用接口系统：应用接口系统为外界提供使用PKI安 全服务的入口。应用接口系统一般采用API、 JavaBean、COM等多种形式。
版权所有，盗版必纠
14.1.3 PKI的组成
• 一个典型、完整、有效的PKI应用系统至少应具有以下 部分：
第3章 PKI认证技术及应用
③ EPKB[ IDA| |N1] A ⑥ EPKA [ N1 | | N2] ⑦ B
EPKB[ N2 ]
公钥管理机构分配公钥
PKI认证技术及应用 第三章 PKI认证技术及应用 步骤如下： 步骤如下： 用户A向公钥管理机构发送一个带有时戳的消息，消息中有获取用户B （1）用户A向公钥管理机构发送一个带有时戳的消息，消息中有获取用户B 当前公钥的请求。 当前公钥的请求。 Request | |Time1 公钥管理机构对A的请求作出应答，该消息由管理机构的秘钥 秘钥SK （2）公钥管理机构对A的请求作出应答，该消息由管理机构的秘钥SKAU来 加密，因此A能用管理机构的公开钥解密，并使A相信这个消息来自于公钥 加密，因此A能用管理机构的公开钥解密，并使A 管理机构。该消息由以下几部分组成： 管理机构。该消息由以下几部分组成： 可以用之将发往B的消息加密。 B的公钥PKB，A可以用之将发往B的消息加密。 的公钥PK 的请求，验证A A的请求，验证A的请求在发往管理机构使没有更改 最初的时戳，使A确信管理机构发来的不是旧消息。 最初的时戳， 确信管理机构发来的不是旧消息。 的公开钥将消息加密后发向B 这个消息中有两个数据项， （3）A用B的公开钥将消息加密后发向B，这个消息中有两个数据项，一个 的身份IDA 另一个是一次性随机数N1 用来唯一的标识本次通信。 IDA， N1， 是A的身份IDA，另一个是一次性随机数N1，用来唯一的标识本次通信。 E PKB [ ID A | |N1 ] ）（5 以相同的方式从公钥管理机构获得A的公开钥。至此， （4）（5）B以相同的方式从公钥管理机构获得A的公开钥。至此，A和B都 已经得到了对方的公开钥，可以安全保密的通信。 已经得到了对方的公开钥，可以安全保密的通信。
PKI认证技术及应用 第三章 PKI认证技术及应用
第6章-公钥基础设施--PKI
2020/7/15
15
9、CRL（证书作废列表）的获取
❖每一CA均可以产生CRL。CRL可以定期产生， 或在每次由证书作废请求后产生。CA应将它 产生的CRL发布到目录服务器上
❖自动发送到下属各实体
❖各PKI实体从目录服务器获得相应的CRL
2020/7/15
16
10、密钥更新 ❖ 在密钥泄漏的情况下，将产生新的密钥和新的证书。 ❖ 在并未泄漏的情况下，密钥也应该定时更换。
2020/7/15
26
PKI提供的附加服务
❖ 4 不可否认性服务
❖ 不可否认性服务提供一种防止实体对其行为进行抵 赖的机制，它从技术上保证实体对其行为的认可。 实体的行为多种多样，抵赖问题随时都可能发生， 在各种实体行为中，人们更关注发送数据、收到数 据、传输数据、创建数据、修改数据、以及认同实 体行为等的不可否认性。在PKI中，由于实体的各 种行为只能发生在它被信任之后，所以可通过时间 戳标记和数字签名来审计实体的各种行为。通过这 种审计将实体的各种行为与时间和数字签名绑定在 一起使实体无法抵赖其行为。
❖ 在VPN中使用PKI技术能增强VPN的身份认证 能力，确保数据的完整性和不可否认性。使用 PKI技术能够有效建立和管理信任关系，利用 数字证书既能阻止非法用户访问VPN，又能够 限制合法用户对VPN的访问，同时还能对用户 的各种活动进行严格审计。
2020/7/15
14
8、密钥的恢复
❖在密钥泄漏/证书作废后，为了恢复PKI中实体的业务 处理，泄密实体将获得一对新的密钥，并要求CA产生 新的证书。
❖在泄密实体是CA的情况下，它需要重新签发以前用泄 密密钥签发的证书，每一个下属实体将产生新的密钥 对，获得用CA新私钥签发的新的证书。而用泄密密钥 签发的旧证书将作废，并被放置入CRL。
PKI系统原理及企业应用的探讨
、
一
的，也不能够 单独提供 这些安全 服务 ，这 需 要构建一个 完整 的Ｐ Ｋ Ｉ 系统 。一个 完整 的Ｐ Ｋ Ｉ 系统主要包括 以下五方面 的内容 ： 认 证 机 构 ， 数 字 证 书 的 权 威 签 发 机 构，它 是Ｐ Ｋ Ｉ 的核心 ，是Ｐ Ｋ Ｉ 应用 中权威 的、 可信任 的、公正 的第三 方机构 。它验证用户 申请信 息的可信性 ，同时验证用 户证书 的可 信性 。Ｐ Ｋ Ｉ 系统 中 的认证机 构 ，可 以 由几个 层级来 实现 。最顶级 的是根证 书服务 ，它 只 对其从属 证书服务 提供审核和 确认， 向这 些 服务 颁 发证 书 ，以确 认 其证 书 服务 的合法 性、可信 性 。第二级 的证书服 务可 以是直接 面 向最 终 用户 ，提供 基 本 的证 书 申请 、 审 核 、颁 发等服务 ，也可 以像根 证书服务那 样 只面 向更 低一 级 证 书服 务 。通 常 企业 可 以 使用两 层的结构就 足够 。有些 情况下 ，企 业 中也会有 多个Ｐ Ｋ Ｉ 系 统 ，在相 互之 间还要 进 行交 叉信任 ，这种 情况下 就需要在顶级 的根 证书 服务 之 间进 行相 互 的信任认 证 。在Ｐ Ｋ Ｉ 系统 中，用户首 先应该信 任数字证书 的认证 机构 ，并且使用 本人信 息在 认证机构进 行注 册 ，从认证机构 得到一个经 过审核确认 的用 户数 字证书来标 明 自己的身份 。在不 同的用 户 之间 ，数字证 书就是 自己身份的标 示，可 以根 据对方 的数 字证书确 定对方是 否可信和 身份 。 证 书 库 ， 数 字 证 书 的 集 中存 放 的 位 置 。证书库 必须能够给 公众提供数 字证书查 询 服 务 ，让 公 众能 够 确定 数 字证 书 的合 法 性 、有效性 、可信 性。 密 钥 备份 及恢 复 系 统 ，该 系统 能够 对 用户 的密 钥 （ 主 要 指公 开 密钥 ） 进 行 备份 ， 当丢 失时 进 行 恢 复 。这 是Ｐ Ｋ Ｉ 系统 中一 个 很重要 的 内容 ，对 于Ｐ Ｋ Ｉ 系 统 的安全 、健壮 性、可用 性起 到重要作 用 。 证 书撤 销 处理 系 统 ，该 系 统 的功 能就 是提 供 证书撤 销 列表 Ｃ Ｒ Ｌ 。在 Ｐ Ｋ Ｉ 系统中， 证 书可 能 由于 某种 原因 作废 ，终止 使 用 ， 该Ｐ Ｋ Ｉ 系 统范 围内 的对象 不再信 任这 些 已经 作废 的数字 证 书 ，这 就 需要 向系统 内的对 象提 供一 个证 书撤销 列表Ｃ Ｒ Ｌ ，证书 撤销 处 理系 统就是 完成这个 功能 。 Ｐ Ｋ Ｉ 应用 接 口系 统 。Ｐ Ｋ Ｉ 应 用 接 口系 统 能 够为 各种 其 它应 用 提 供 安全 、一致 、 可 信任 的方 式来 与Ｐ Ｋ Ｉ 进行 交互 ，确保 所建 立 起来 的环境 安全可靠 。 六 、Ｐ Ｋ ｌ 在 企业 中的应用 和实现 随 着 企 业 业 务 的 拓 展 ， 各 种 新 的 业 务 需 求不 断被 提 出 ，例 如 出差 途 中 或者 在 家 中 如何 安全 访 问 企业 内部 网络 ，企 业 敏 感 信 息如 何 能够 在 网络 上 安全 传 输 ，无 线 网 络 如何 能够 安 全 可信 的 接入 和 使 用 ，重 要 文件 如 何 能够 保 证其 可 信性 （ 未被 篡 改 过 ）等等 。这 些 新 的 需求 随着 企 业信 息 化 程度 的提 高而 日趋 重要 。Ｐ Ｋ Ｉ 系统 就能够 很 好地 满足这 些需求 。 通过 ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ 访 问企业 内部 网 络 ，可 以使 用数字证书 来确定用户 的身份 ，验证 其
PKI技术及其发展应用
PKI技术及其发展应用PKI（Public Key Infrastructure，公钥基础设施），是一种基于非对称加密技术的安全体系，用于确保网络通信的机密性、完整性和身份认证。
PKI技术的发展应用范围广泛，包括数字证书、数字签名、SSL/TLS协议、电子邮件安全等。
PKI技术的核心是公钥和私钥的配对使用。
私钥只有持有者知道，用于数据的加密和数字签名；公钥可以公开，用于数据的解密和验证签名。
通过公钥加密，发送者可以将数据安全地传输给接收者，只有接收者使用其私钥才能解密数据。
而通过私钥签名，发送者可以确保数据的完整性和真实性，接收者可以通过发送者的公钥验证签名。
1.数字证书：数字证书是PKI体系中最重要的组成部分。
数字证书通过授权机构（CA）签发，用于确认公钥和身份的关联性。
证书中包含公钥、持有者的身份信息等，由CA对这些信息进行签名。
通过验证证书，用户可以确认数据的真实性和完整性，从而确保通信的安全。
2.数字签名：数字签名是PKI技术中的一项重要应用，用于验证数据的真实性和完整性。
发送者使用私钥对数据进行签名，接收者使用发送者的公钥验证签名。
如果数据在传输过程中被篡改，验证过程将失败。
数字签名被广泛应用于电子合同、电子交易等场景，以确保数据的可靠性。
3. SSL/TLS协议：SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是一种基于PKI的安全传输协议。
通过使用数字证书和非对称加密，SSL/TLS协议可以确保网络通信的安全性。
SSL/TLS协议被广泛应用于网上银行、电子商务等需要保护用户隐私和数据安全的场景。
4.电子邮件安全：PKI技术可以用于确保电子邮件的机密性和完整性。
通过使用数字证书和加密算法，可以对邮件内容进行加密，防止被窃听和篡改。
同时，数字签名可以确保邮件的真实性和完整性。
1.长期可信性：PKI技术的可信性依赖于授权机构（CA）。
pki基本概念
PKI（Public Key Infrastructure ）即"公钥基础设施"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。
PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。
PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。
PKI综述PKI是Public Key Infrastructure的缩写，是指用公钥概念和技术来实施和提供安全服务的具有普适性的安全基础设施。
这个定义涵盖的内容比较宽，是一个被很多人接受的概念。
这个定义说明，任何以公钥技术为基础的安全基础设施都是PKI。
当然，没有好的非对称算法和好的密钥管理就不可能提供完善的安全服务，也就不能叫做PKI。
也就是说，该定义中已经隐含了必须具有的密钥管理功能。
X.509标准中，为了区别于权限管理基础设施(Privilege Management Infrastructure，简称PMI)，将PKI定义为支持公开密钥管理并能支持认证、加密、完整性和可追究性服务的基础设施]。
这个概念与第一个概念相比，不仅仅叙述PKI能提供的安全服务，更强调PKI 必须支持公开密钥的管理。
也就是说，仅仅使用公钥技术还不能叫做PKI，还应该提供公开密钥的管理。
因为PMI仅仅使用公钥技术但并不管理公开密钥，所以，PMI就可以单独进行描述了而不至于跟公钥证书等概念混淆。
X.509中从概念上分清PKI和PMI有利于标准的叙述。
然而，由于PMI使用了公钥技术，PMI的使用和建立必须先有PKI的密钥管理支持。
也就是说，PMI不得不把自己与PKI绑定在一起。
当我们把两者合二为一时，PMI+PKI 就完全落在X.509标准定义的PKI范畴内。
根据X.509的定义，PMI+PKI仍旧可以叫做PKI，而PMI完全可以看成PKI的一个部分。
pki技术的基本原理及常规应用
pki技术的基本原理及常规应用PKI技术的基本原理及常规应用一、PKI技术的概念PKI技术是公钥基础设施（Public Key Infrastructure）的缩写，是一种安全通信机制。
它通过使用非对称加密算法和数字证书来确保通信的机密性、完整性和可信度。
PKI技术包括公钥加密、数字签名、证书管理等多个方面。
二、PKI技术的基本原理1. 公钥加密公钥加密是指使用公钥对数据进行加密，只有私钥才能解密。
在此过程中，发送方需要获取接收方的公钥，并使用该公钥对数据进行加密。
接收方收到数据后，使用自己的私钥进行解密。
2. 数字签名数字签名是指将消息摘要与发送者的私钥进行加密生成签名，并将该签名与消息一起发送给接收者。
接收者可以使用发送者的公钥来验证签名是否正确，从而确保消息没有被篡改过。
3. 证书管理证书管理是指建立一个可信任的第三方机构（CA）来颁发数字证书，以确保公钥和实体之间的关系可信。
数字证书包含了实体（如个人或组织）和其对应公钥信息，并由CA进行签名认证。
三、PKI技术的常规应用1. 数字证书数字证书是PKI技术的核心，它可以用于各种场景，如SSL/TLS协议中的HTTPS，VPN连接等。
数字证书还可以用于身份认证、电子邮件签名和加密等。
2. 数字签名数字签名可以用于文件和数据的完整性验证，确保数据没有被篡改。
数字签名还可以用于电子合同、电子票据等场景。
3. 数字信封数字信封是指将数据进行加密，并将加密后的数据和接收者公钥一起发送给接收者。
接收者使用自己的私钥进行解密，从而确保通信内容机密性和完整性。
4. VPN连接VPN连接是指通过公共网络建立安全通信隧道，以实现远程访问。
PKI技术可以在VPN连接中使用数字证书进行身份验证和加密通信。
5. 身份认证PKI技术可以用于实现用户身份认证，如在网银系统中使用数字证书进行用户身份认证。
四、总结PKI技术是一种安全通信机制，它通过公钥加密、数字签名和证书管理等多个方面来确保通信的机密性、完整性和可信度。
PKI及应用
不可否认
PAA:政策审批机构.制 定整个体系结构的安全 政策并制定所有下级机 构都需遵守的规章制度 。证书政策和证书使用 规定等。
CA
PKI的结构模型
PMA PAA/CA PMA：是PKI的最高管理机 构，对PKI进行宏观管理， 如监督PAA运行政策制定。
CA
CA
CA
CA
CA(Certificate Authority) 发证，另外还管理一 些下级CA. CA RA
cacertificateauthority发证另外还管理一些下级caca7cacacacarara些下级cararegistrationauthority把用户的身份和它的密钥绑定起来建立信任关系pki基本组件?raregistrationauthority?把用户的身份和它的密钥绑定起来建立信任关系?cacertificateauthority?发证另外还管理一些下级ca8?证书库目录?保存证书供公开访问pki中的证书?证书certificate有时候简称为cert?pki适用于异构环境中所以证书的格式在所使用的范围内必须统一在所使用的范围内必须统9?证书是一个机构颁发给一个安全个体的证明所以证书的权威性取决于该机构的权威性?一个证书中最重要的信息是个体名字个体的公钥机构的签名算法和用途?最常用的证书格式为x509v3x509证书格式?序列号?在ca内部唯一?签名算法标识符10?签名算法标识符?指该证书中的签名算法?签发人名字?ca的名字?有效时间?起始和终止时间?个体名字x509证书格式续?个体的公钥信息?算法参数?参数11?密钥?签发人唯一标识符?个体唯一标识符?扩展域?签名cacertificateauthority?职责?接受用户的请求?由ra负责对用户的身份信息进行验证?用自己的私钥签发证书健壮的数据库系统库系统13?提供证书查询?接受证书注销请求?提供证书注销表?各个组件和功能示意图无缝的目录接口ca硬件管理和运行平台安全的审密钥pkica信任关系当一个安全个体看到另一个安全个体出示的证书时他是否信任此证书
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
回顾
建设PKI的意义在于
有各种应用系统来使用PKI
PKI为它们提供了安全服务
而不在于建设PKI系统本身
为了让应用系统更好地使用PKI，要：
为使用者提供指导
CP/CPS，前面已经说明 2
PKI要有友好的接口Interface
PKI API
Application Programming Interface
36
PKCS#11中的主要操作
对于密钥
生成密钥
C_GenerateKey C_GenerateKeyPair C_EncryptInit/C_Encrypt C_DecryptInit/C_Decrypt C_SignInit/C_Sign C_VerifyInit/C_Verify
按PKCS#11规范，密码设备可以分为多个slot 每个slot中的数据、用户是相互无关的
每个slot用不同的整数值来标识
34
调用PKCS#11——2
C_Login
提供PIN和用户类型
PKCS#11只区分2种用户：
Login之后，就进行各种操作
SO超级管理员和普通用户 每个slot有自己的普通用户
我们看看PKCS#11函数功能的调用方式
就可以大致地了解PKCS#11的数据结构和用 户管理
33
调用PKCS#11——1
C_Initialize
初始化PKCS#11函数库，必须的过程 与密码设备的某个slot建立会话
C_OpenSession
注意：此处的密码设备Cryptographic Token，可以是硬件 或者软件
加解密
签名验证
37
PKCS#11中的证书管理
证书是作为一种bject存在的
类似于Key，也是一种Object 称为Certificate Object
PKI是基于Public Key Cryptography的基础设施 CryptoAPI也是一种PKI API
15
CryptoAPI的内容
包括的内容
ASN.1的编解码
支持对于证书/CRL的编解码 对称和非对称都有
加解密数据
基于数字证书的认证 目前版本是2.0
16
所以CryptoAPI符合我们的PKI API的定义
CSP由Coredll.dll调用，应用程序不能直接调用CSP
每个CSP必须符合一定的接口
分析
因为Coredll.dll是Windows的一部分，所以，与操 作系统密切相关
所以，基于CryptoAPI的PKI应用系统就很难以移植到其 他OS 在Windows上正常使用的CSP代码还必须经过MS公司的 数字签名 CSP是可以自由开发的 实现各种自己的加解密算法、签名算法、HASH算法等 22
PKCS#11 Cryptographic Token Interface Standard 用于访问密码设备的API
可以认为是PKI API的一部分功能
对于证书/CRL方面的支持较弱
31
与CryptoAPI的重要区别
PKCS#11是典型的Interface
定义了接口，不包括实现
现实的情况
不同国家对于密码算法有着专门的严格管理制度
所以，很难有完全统一的PKI API
5
PKI API
不能找到完全统一的PKI API接口标准
目前，也不存在这样的接口标准
我们选取了几种API接口，讲解其实现功 能和基本架构
6
课程内容
介绍几种目前应用广泛的PKI API
所有的都要经过CryptoAPI接口，少部分 功能需要再调用CSP
如果OS中有多个CSP，Application调用者可 以指定所使用的CSP Coredll.dll
大部分功能都由CryptoAPI自己实现
24
CryptoAPI中的数据存储结构
有2个方面
对于Certificate Holder，主要是密钥 对于PKI Client，主要是证书和CRL 多个Key Container，拥有自己的证书和相应的非对称 密钥
与Windows紧密绑定 同时，由具有一定可扩展性 2层API接口 编码、存储管理等在上层实现 核心密码运算在底层实现
19
架构，如下图
3层架构
应用通过CryptoAPI访问OS
CryptoAPI的大部分功能由Coredll.dll实现 核心的密码运算功能则由Coredll.dll再调用CSP
扩展性
Cryptographic Service Provider
CSP仅仅是实现其中最为核心的密码计算
与密钥相关的
密钥生成、存储 加解密计算 签名/验证计算 密钥生成/导入/导出
HASH计算 一般，还有相应证书的存储
由CSP负责存储相应的证书 23
其他的功能
虽然可从RSA公司得到软件实现的、符合 PKCS#11接口的软件函数库 每个人都可以“完全自主地”开发一套符合 PKCS#11接口的软件函数库
而CryptoAPI，则不可能是“完全自主的”
因为CryptoAPI中很大部分功能，就只能是 由Windows OS的Coredll.dll实现
32
PKCS#11的调用方式
生成密钥、加解密等
C_Logout
C_CloseSession
在1个Session范围内，可以反复地多次 Login/Logout
35
PKCS#11的调用过程
总结如下：
建立Session，与某个特定的slot进行 通信 登录 操作slot中的密码数据 注销 关闭Session
从PKI应用系统看来，什么要素是由PKI引 入的？
也就是，PKI独有的 证书 公私密钥对 证书/CRL
8
PKI Subscriber拥有的PKI数据要素就是：
PKI User拥有的PKI数据要素就是：
PKI API的2大类功能
所以，应用系统对API有2大类功能要求
公私密钥对管理
其中大部分是再次调用CSP来实现的 对Certificate Store中的数据增加、删除、查询等 新建、删除Certificate Store等 构造证书链、并验证证书有效性
Certificate and Certificate Store Functions
Certificate Verification Functions
Certificate Holder
25
CryptoAPI中的数据存储结构
对于PKI Client
有多个Certificate Store，用不同的名字区分 每次Certificate Store存储：
信任锚证书 证书和CRL
26
CryptoAPI中实现的功能1
Base Cryptography Functions
27
CryptoAPI中实现的功能2
Message Functions
直接使用Key Container和Certificate Store 中的数据进行数字签名和加解密 同时，对数据进行各种国际标准的编解码
如，PKCS＃1、PKCS#7等
Auxiliary Functions
辅助函数，例如，OID的DER编码、BASE64 编解码等
除此之外，还有各种辅助功能。例如
如，PKCS#10格式、PKCS#7格式、OCSP查询请 求格式等等 13
Base64编解码等等
应用接口API
CryptoAPI
Microsoft公司制定的 用于Windows操作系统
我们应用最多的OS
PKCS#11
RSA公司制定的 用于各种操作系统
20
CSP
Cryptographic Service Provider
实现了CryptoAPI中的核心密码运算功能
密钥生成、保存、销毁 加解密 签名、验证、HASH Coredll.dll是Windows操作系统的一部分 称为CryptoSPI，Cryptographic Service Provider Interface 21
如PKCS#11、CDSA等
只能在Windows上面使用
而且，必须得到Microsoft允许的可执行代码 才能在Windows正常执行
不可扩展的部分由Microsoft自主开发 可扩展的部分必须有Microsoft公司的数字签名 18
CryptoAPI的架构
从CryptoAPI的架构，我们可以看到其为 什么能够具有2大特点：