【文章內(nèi)容簡介】 明文密文明文加密密鑰K解密密鑰K密文明文Hash圖7 數(shù)據(jù)摘要的過程圖B．?dāng)?shù)字簽名。數(shù)字簽名是指通過密碼算法對原始數(shù)據(jù)信息進(jìn)行加密處理后，生成一段原始數(shù)據(jù)信息的信息標(biāo)識，這段信息標(biāo)識稱為原始數(shù)據(jù)信息的數(shù)字簽名。通常數(shù)字簽名和原始數(shù)據(jù)信息是放在一起發(fā)送的，這樣便于信息的接受者對其進(jìn)行驗證，數(shù)字簽名是對現(xiàn)實中手寫簽名和印章的模擬，數(shù)字簽名只有信息發(fā)送方一人能產(chǎn)生，這種唯一性對應(yīng)了原始數(shù)據(jù)信息的來源。數(shù)字簽名具有驗證數(shù)據(jù)完整性和信息來源不可否認(rèn)性的功能，這正是PKI體系提供的核心功能。在應(yīng)用系統(tǒng)中，較小的數(shù)據(jù)可以直接簽名，而較大的數(shù)據(jù)或文件通常先對其作數(shù)據(jù)摘要后再對數(shù)據(jù)摘要作數(shù)字簽名。下式表達(dá)了對一段原始數(shù)據(jù)信息進(jìn)行簽名的過程：原始數(shù)據(jù)信息OriginalMsg先是被單向散列函數(shù)Hash作數(shù)據(jù)摘要生成摘要信息DigestMsg，然后應(yīng)用非對稱加密算法DissymmetricalEncrypt及其私鑰Keyprivate對數(shù)據(jù)摘要進(jìn)行簽名（私鑰僅有發(fā)送方持有，公鑰需散發(fā)給接收方），最后將簽名結(jié)果DigitalSignature與原始數(shù)據(jù)信息一起發(fā)送給接受方： () 上式用圖示可以表示為：OriginalMsgKeyprivavteDigitalSignatureHashDissymmetricalEncrytDigestOriginalMsg + DigitalSignature圖8 數(shù)字簽名的過程圖信息接受方在接受到原始數(shù)據(jù)信息OriginalMsg與其數(shù)字簽名DigitalSignature后，可以對數(shù)字簽名進(jìn)行驗證。首先分離出兩者，然后對原始數(shù)據(jù)信息應(yīng)用同樣的單向散列函數(shù)Hash對其作數(shù)據(jù)摘要得到Digest2，再對接收到的數(shù)字簽名應(yīng)用非對稱加密算法DissymmetricalEncrypt及其公鑰Keypublic對其進(jìn)行解密，得到Digest1。比較Digest1與Digest2，如果兩者一樣則證明：1．信息OriginalMsg及其數(shù)字簽名DigitalSignature是真實的，確實來自于私鑰Keyprivate的持有方。2．信息OriginalMsg及其數(shù)字簽名DigitalSignature在發(fā)送過程中是完整的，未曾遭到篡改。3．私鑰Keyprivate的持有方發(fā)送了信息OriginalMsg及其數(shù)字簽名DigitalSignature這件事是不可否認(rèn)的。上述數(shù)字簽名的驗證過程可以表達(dá)為： ()用圖形表示如下：KeypublicOriginalMsgDigitalSignatureHashDissymmetricalEncrytDigest2OriginalMsg + DigitalSignatureDigest2兩者相同？圖9 數(shù)字簽名驗證的過程圖C．報文識別碼應(yīng)用系統(tǒng)跟其它系統(tǒng)通訊時大都是通過發(fā)送接收報文方式進(jìn)行的，除比較常用的ISO8583，sop報文等，還有比較多的就是自定義的報文格式，自定義報文需要解決報文的保密性和完整性問題，報文的完整性可以通過加密算法生成原始報文的報文標(biāo)識來識別，這個加密后的報文標(biāo)識稱為原始報文的識別碼，也叫報文校驗碼MAC（Message Authentication Code）。而報文的保密性可以通過對整個報文及其識別碼進(jìn)行加密處理來完成，實際應(yīng)用中識別碼通?？梢酝ㄟ^單向散列函數(shù)對原始報文作數(shù)據(jù)摘要得到，然后對原始報文和數(shù)據(jù)摘要作對稱加密，這樣既保證了報文的完整性，同時也保證了報文的保密性，這里對稱加密算法的密鑰分發(fā)是主要問題。D．?dāng)?shù)字信封數(shù)字信封DE（Digital Envelope）是指信息發(fā)送方在通訊雙發(fā)首次通訊時，使用對方的公鑰對雙方的通訊密鑰SK（Symmentric Key）進(jìn)行加密，形成一個數(shù)字信封，然后發(fā)給接收方，接收方收到數(shù)字信封后進(jìn)行拆封操作，用自己的私鑰對信封進(jìn)行解密得到通訊密鑰，然后雙方可以用通訊密鑰對自己發(fā)送的信息進(jìn)行對稱加密[2]。這樣既解決了對稱加密的密鑰分配問題又提高了雙方通訊加密的效率，畢竟非對稱加密算法比對稱加密算法效率要低下。 PKI體系PKI體系是由政策機(jī)構(gòu)、認(rèn)證機(jī)構(gòu)和注冊機(jī)構(gòu)組成的，通過使用單向散列函數(shù)、非對稱加密體制等加密解密技術(shù)，安全套接字協(xié)議SSL，LDAP協(xié)議（Lightweight Directory Access Protocol），實現(xiàn)數(shù)據(jù)加密、身份認(rèn)證和數(shù)字簽名等功能，從而保證數(shù)據(jù)保密性、完整性、真實性和不可否認(rèn)性的一種技術(shù)體系。PKI體系很好的解決了網(wǎng)上銀行的大部分安全需求，對網(wǎng)上銀行的數(shù)據(jù)安全和業(yè)務(wù)邏輯安全提供了有力的支持。CA是PKI體系的主要實體，數(shù)字證書是CA的主要產(chǎn)品，CA通過數(shù)字證書的應(yīng)用來實現(xiàn)PKI體系所提供的功能。1．PKI的組成PKI由政策批準(zhǔn)機(jī)構(gòu)PAA、政策CA機(jī)構(gòu)PCA、認(rèn)證機(jī)構(gòu)CA和注冊機(jī)構(gòu)RA組成。PAA創(chuàng)建整個PKI系統(tǒng)的方針、政策，批準(zhǔn)本PAA下屬的PCA的政策，為下屬PCA簽發(fā)公鑰證書，建立整個PKI體系的安全策略，并具有監(jiān)控個PCA行為的責(zé)任[]。PCA制定自身的具體政策，包括密鑰的產(chǎn)生、密鑰的長度、證書的有效期規(guī)定及CRL的處理等，同時PCA為其下屬CA簽發(fā)公鑰證書。CA按照上級PCA制定的政策，為具體用戶簽發(fā)、生成并發(fā)布數(shù)字證書，負(fù)責(zé)CRL的管理與維護(hù)。RA負(fù)責(zé)接收用戶的證書申請，驗證用戶的身份，向CA提交證書申請，驗證接收CA簽發(fā)的數(shù)字證書，并將證書發(fā)放給申請者。PKI的組成圖示如下：PCA1RA1PAAPCAnRAnCAnRAnRA1CAnCA1CA1圖10 PKI的體系結(jié)構(gòu)圖2．PKI的操作功能證書的生成及分發(fā)。在用戶向RA提交數(shù)字證書申請后，RA負(fù)責(zé)對申請者的身份進(jìn)行認(rèn)證，認(rèn)證通過后RA將向CA轉(zhuǎn)發(fā)證書申請。CA負(fù)責(zé)生成用戶的數(shù)字證書，數(shù)字證書的公私密鑰對可以由用戶產(chǎn)生，也可以由CA產(chǎn)生。用戶自己產(chǎn)生的公鑰需提交給CA，CA對公鑰強(qiáng)度驗證后將根據(jù)用戶提交的公鑰產(chǎn)生用戶的數(shù)字證書；如果是CA產(chǎn)生用戶的公私密鑰對，則CA不保存用戶的私鑰，私鑰需通過安全的方式發(fā)放給用戶。CA生成證書后將其發(fā)布到相應(yīng)的目錄服務(wù)器上。證書的獲取。在PKI體系中，要獲取某個用戶的數(shù)字證書，可以RA處獲得，也可以查詢CA的證書目錄服務(wù)器，另外用戶也可以將自己的證書發(fā)送給別人。證書的廢止。數(shù)字證書的持證人如果發(fā)生證書丟失、密鑰泄漏時，持證人可以向CA或RA提交證書廢止請求，CA將會把用戶的證書加入到廢止列表中。廢止列表CRL的獲取與查詢。由于CRL通常都比較大，在線查詢效率比較低下，所以現(xiàn)在通常在RA端建立一個CRL的鏡像，定期將CA端的CRL同步到本地，同步又分全部CRL同步和增量同步兩種，全部CRL同步的好處能保證CRL數(shù)據(jù)一致，缺點(diǎn)是同步的數(shù)據(jù)量龐大，通常也沒有必要進(jìn)行全局同步。增量同步就是每次只同步CA端新增的CRL部分，增量同步的數(shù)據(jù)量較小，比較符合現(xiàn)實。CRL的查詢可以通過LDAP等訪問。證書恢復(fù)。證書恢復(fù)功能為客戶在證書存儲介質(zhì)損壞或遺忘口令等情況下，提供原證書的恢復(fù)，申請者向RA或CA提出證書恢復(fù)請求，CA將會為用戶生成新的數(shù)字證書，原來的證書將作廢，同時還會將其加入CRL中。證書更新。證書更新用于解決客戶證書到期后的續(xù)費(fèi)問題，也有可能是客戶的證書并未到達(dá)有效