XanderYe的个人小站

CA签名的流程以及https客户端与服务器安全通信的简单原理

https://wp.xanderye.cn/wp-content/uploads/2020/03/3.png

1.服务方S向第三方机构CA提交公钥、组织信息、个人信息(域名)等信息并申请认证;(不交私钥)
2.CA通过线上、线下等多种手段验证申请者提供信息的真实性,如组织是否存在、企业是否合法,是否拥有域名的所有权等;
3.如信息审核通过,CA会向申请者签发认证文件-证书。
       证书包含以下信息:申请者公钥、申请者的组织信息和个人信息、签发机构CA的信息、有效时间、证书序列号等信息的明文,同时包含一个签名;
       签名的产生算法:首先,使用散列函数计算公开的明文信息信息摘要,然后,采用CA的私钥对信息摘要进行加密密文即签名;
4.客户端 C 向服务器 S 发出请求时,S 返回证书文件;
5.客户端 C读取证书中的相关的明文信息,采用相同的散列函数计算得到信息摘要,然后,利用对应CA的公钥解密签名数据,对比证书的信息摘要,如果一致,则可以确认证书的合法性,即公钥合法;
6.客户端然后验证证书相关的域名信息、有效时间等信息;
7.客户端内置信任CA的证书信息(包含公钥),如果CA不被信任,则找不到对应 CA的证书,证书也会被判定非法。

在这个过程注意几点:
    1.申请证书不需要提供私钥,确保私钥永远只能服务器掌握;
    2.证书的合法性仍然依赖于非对称加密算法,证书主要是增加了服务器信息以及签名;
    3.内置 CA 对应的证书称为根证书,颁发者和使用者相同,自己为自己签名,即自签名证书(为什么说”部署自签SSL证书非常不安全”)
    4.证书=公钥(服务方生成密码对中的公钥)+申请者与颁发者信息+签名(用CA机构生成的密码对的私钥进行签名);

即便有人截取服务器A证书,再发给客户端,想冒充服务器A,也无法实现。因为证书和url的域名是绑定的。

下面讲述利用数字证书通信的整个过程, 主角介绍:Bob and Alice

什么是数字证书

https://wp.xanderye.cn/wp-content/uploads/2020/09/1.png

Bob有两把钥匙,一把叫公钥(public key),一把叫私钥(private key)。

https://wp.xanderye.cn/wp-content/uploads/2020/09/2.png

Bob的公钥可以公开供其他人使用,他只保留自己的私钥。公钥和私钥用来加解密数据,如果使用任意一把来加密数据,那么只有使用另外一把才能解密数据。

https://wp.xanderye.cn/wp-content/uploads/2020/09/3.png

Susan想给Bob写信,她可以使用Bob的公钥将内容加密以后发送给Bob,Bob收到以后,使用私钥解密以便阅读内容。Bob的的其他同事即使截获了Susan发送给Bob的信件,由于没有Bob的私钥,也无法解密,从而确保数据安全。以上就是使用公钥和私钥加解密的过程演示。

多说一句,如果Bob给Susan回信,如何保证数据安全呢?他可以使用Susan的公钥加密消息后发给Susan,Susan使用自己的私钥解密后阅读。所以保护好自己的私钥是多么重要的事情啊。

现在Bob决定给Pat写一份信,信件的内容不用加密,但是要保证Pat收到信件后,能够确认信件的确是Bob发出的,而不是别人冒充Bob发给Pat的,应该如果做呢?

https://wp.xanderye.cn/wp-content/uploads/2020/09/4.png

Bob将信件通过hash软件计算一下,得到一串消息摘要(有的文章也称之为“hash值”)。这一过程能够保证2点:1、过程不可逆。即不能通过消息摘计算出信件的内容。2、消息摘要不会重复。即如果信件有任何改动,再次hash计算出的消息摘要一定不会和改动前的消息摘要一致。

https://wp.xanderye.cn/wp-content/uploads/2020/09/5.png
https://wp.xanderye.cn/wp-content/uploads/2020/09/6.png

然后,Bob使用自己的私钥,将消息摘要加密。加密后的结果,我们称之为“数字签名”。现在,Bob就可以将信件连同数字签名一起发给Pat。

https://wp.xanderye.cn/wp-content/uploads/2020/09/7.png

Pat收到信件以后,会做2件事:1、使用Bob的公钥将数字签名解密,如果顺利解密,说明的确是Bob签发的数字签名,不是别人签发的,因为Bob的私钥没有公开。2、Pat使用hash软件对信件再次进行hash计算,和解密数字签名得到的消息摘要对比,如果一致,说明信件没有篡改,确实是Bob发出的。这就是数字签名的过程。它能够确保签名人发出的消息不被篡改,也能证明的确是签名人发出的消息。

来源:

赞赏
没有标签
首页      WEB      CA签名的流程以及https客户端与服务器安全通信的简单原理

发表评论

textsms
account_circle
email

  • 爱东哥的小王 未知

    东哥,爱了好吧

    3年前 回复

XanderYe的个人小站

CA签名的流程以及https客户端与服务器安全通信的简单原理
1.服务方S向第三方机构CA提交公钥、组织信息、个人信息(域名)等信息并申请认证;(不交私钥)2.CA通过线上、线下等多种手段验证申请者提供信息的真实性,如组织是否存在、企业是否合法,是…
扫描二维码继续阅读
2020-01-15