【正文】 塊，可以查看CA證書或相關(guān)信息，將根CA的證書下載到IE瀏覽器或Netscape瀏覽器，或者下載為pem文件；并可以得知最新CRL的有效時間，獲取CRL或更新CRL。2) Edit Certificate Profiles該功能模塊列舉了系統(tǒng)默認(rèn)的三種證書配置，最終用戶、根CA和子CA證書配置。這三種配置是不可以更改或刪除的，除此之外，管理員可以新建新的配置，并可以修改和刪除自定義的配置。3) Edit Publishers通過此功能模塊，管理員可以添加并配置新的LDAP服務(wù)器，作為證書發(fā)布點。4) Edit Certificate Authorities此功能單元，可以新建、編輯、刪除CA中心。RA功能：1） Edit End Entity Profiles類似于CA Fuctions中的Edit Certificate Profiles，該功能單元可以對最終實體的證書類型進行相應(yīng)的配置。2） Add End Entity此功能單元，有RA管理員來審核最終用戶，并未最終用戶錄入相關(guān)數(shù)據(jù)，以備生產(chǎn)數(shù)字證書之用。3） List End EntitiesRA管理員通過此功能單元，查詢相關(guān)用戶的某些信息，并進行相應(yīng)的操作。日志功能：1） View Log可以設(shè)定條件，查詢相關(guān)日志。2） Log Configuration對系統(tǒng)的日志功能進行設(shè)置。 系統(tǒng)功能：1） System Configuratin對Web頁面的顯示進行設(shè)置。2） Edit Administrator Privileges對管理員權(quán)限進行相應(yīng)的設(shè)置。 （V）生產(chǎn)及獲取證書在EJBCA系統(tǒng)中，用戶有兩種方式可以獲取數(shù)字證書，分別詳述如下：一、 用戶通過向RA注冊相應(yīng)信息，由RA審核并向CA提交用戶信息，然后由CA對用戶信息簽名，生產(chǎn)相應(yīng)的數(shù)字證書。 1． 用戶向RA注冊，RA管理員通過系統(tǒng)Add End Entity功能單元審核并填寫相關(guān)信息。如圖，添加一用戶名為peng的用戶，詳細(xì)填寫相關(guān)信息后，點擊頁面下方的Add End Entity按鈕，會顯示2． 用戶到：:8080/ejbca/publicweb/apply/，輸入用戶名及密碼，進行證書注冊。 3．獲取數(shù)字證書，你可以手動安裝證書鏈，或在獲取證書的同時，自動安裝證書鏈。 4．到瀏覽器的證書管理器，可以看到新申請的證書，已經(jīng)真確安裝到瀏覽器中，并可通過“查看”按鈕，查看證書的詳細(xì)內(nèi)容。二、用戶自己建立Token，通過發(fā)送證書簽名申請CSR（Certificate Signing Request），CA對發(fā)送信息簽名，發(fā)送證書給用戶。本文此過程用的J2SDK自帶的keytool工具。Keytool 是一個有效的安全鑰密和證書的管理工具， 證書鏈的keystore(相當(dāng)一個數(shù)據(jù)庫)。它能夠使用戶使用數(shù)字簽名來管理他們自己的私有/公共鑰匙對，管理用來作自我鑒定的相關(guān)的證書，管理數(shù)據(jù)完整性和鑒定服務(wù)，它還能使用戶在通信時緩存它們的公共鑰匙。1． 使用keytool 工具的非交互模式建立密鑰對，比如，要建立別名為sever，通用名為pyhy，公司為LangChao，部門為Software，城市為JiNan，省份為ShanDong，國家為CN的證書，把它存到了被密碼 adminadmin保護的密鑰庫LCkeystore的密鑰庫中，密鑰長度為1024bit2． 查看證書庫，可見證書已生成3． 生成證書簽發(fā)申請CSR文件4． 到keytool運行目錄下，用純文本方式打開，如圖所示：5． 在CA的管理端建立用戶user001，=pyhy的用戶6． 打開頁面://localhost:8080/ejbca/publicweb/apply/，輸入用戶名密碼取得證書。7． ，用純文本方式打開，可見文件內(nèi)容與原先生成的已有很大區(qū)別。8． 將下載的證書文件導(dǎo)入到IE瀏覽器，可以查看證書的內(nèi)容：其他功能在此不贅述。實驗七 SureCA系統(tǒng)的安裝和配置 實驗?zāi)康耐ㄟ^SureCA系統(tǒng)的安裝和配置，一方面了解大型軟件的基本安裝步驟，更重要的是了解和掌握作為一個典型的大型CA系統(tǒng)軟件，其功能模塊是如何構(gòu)成的，實現(xiàn)的基本功能有哪些，掌握其優(yōu)缺點，并能根據(jù)目前的應(yīng)用環(huán)境，寫出一個結(jié)構(gòu)性分析報告，盡量提出進一步完善的方面，使之更適合實際應(yīng)用的需要。 實驗內(nèi)容獨立完成EJBCA系統(tǒng)的各個模塊的安裝和配置，并能完成多種數(shù)字證書的申請、簽發(fā)、下載、注銷，黑名單的生成、下載等CA基本功能?！禨ure網(wǎng)絡(luò)安全認(rèn)證中心（CA）系統(tǒng)》（以下簡稱《CA系統(tǒng)》）是一套遵照PKI技術(shù)規(guī)范設(shè)計的，為一般電子商務(wù)系統(tǒng)網(wǎng)絡(luò)用戶提供基于公開鑰密碼技術(shù)的身份認(rèn)證的，為用戶提供公開密鑰和數(shù)字證書管理服務(wù)的綜合系統(tǒng)。它通過采用并實現(xiàn)符合國際標(biāo)準(zhǔn)的公開鑰和對稱鑰密碼算法，以及數(shù)據(jù)加密、解密、數(shù)字簽名、簽名驗證等核心技術(shù)，構(gòu)造了符合國際相關(guān)標(biāo)準(zhǔn)的認(rèn)證體系，實現(xiàn)了PKI技術(shù)的核心基礎(chǔ)設(shè)施CA系統(tǒng)?！禖A系統(tǒng)》采用了符合國際潮流的設(shè)計方案。其基本網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)為客戶/服務(wù)器（C/S）模式的，其應(yīng)用模式為 RA系統(tǒng)/CA系統(tǒng)。其中RA系統(tǒng)主要完成與安全域用戶的交互，負(fù)責(zé)用戶認(rèn)證服務(wù)請求（如委托證書/密鑰請求、證書注銷請求、證書/密鑰恢復(fù)請求等）資格的審查與確認(rèn)，以及認(rèn)證結(jié)果（數(shù)字證書和密鑰/CRL等）的發(fā)放和管理。CA系統(tǒng)不直接與用戶交互，而是與各個合法的RA系統(tǒng)交互，接收RA系統(tǒng)審核過的用戶認(rèn)證服務(wù)請求，執(zhí)行認(rèn)證服務(wù)，返回認(rèn)證結(jié)果。《CA系統(tǒng)》中牽扯的技術(shù)主要包含各種公開鑰、對稱鑰和摘要算法的底層實現(xiàn)，數(shù)據(jù)加密、解密、簽名、驗證簽名運算的標(biāo)準(zhǔn)化，數(shù)字信息的ASN1描述與DER數(shù)據(jù)編碼實現(xiàn)，數(shù)字證書、黑名單的標(biāo)準(zhǔn)化編碼、解碼，數(shù)據(jù)安全通信協(xié)議的設(shè)計與實現(xiàn)，目錄服務(wù)器應(yīng)用技術(shù)實現(xiàn)，數(shù)據(jù)庫接口實現(xiàn)，用戶界面的實現(xiàn)等。(1) 實驗所需的具體軟件環(huán)境和所需的軟件包在VMWARE win2000 環(huán)境下,導(dǎo)入已經(jīng)安裝但尚未配置過的系統(tǒng)軟件SureCA系統(tǒng)的服務(wù)器端CA和客戶端RA軟件包和SQL SERVER 數(shù)據(jù)庫以及NETSCAPE 目錄服務(wù)器軟件包。(2) 進行CA端軟件、RA端軟件、通信服務(wù)器軟件、數(shù)據(jù)庫、目錄服務(wù)器軟件的配置。(3) 進行兩種方式（委托證書申請和PKCS10）的數(shù)字證書申請、簽發(fā)、下載、安裝。 實驗指導(dǎo)該軟件是一個具有較完善功能的CA系統(tǒng)。采用C／S結(jié)構(gòu)設(shè)計。RA端是注冊申請證書的操作端，可以分布在不同地理位置，面向用戶服務(wù)；CA端是該系統(tǒng)的核心部分，負(fù)責(zé)將RA端上傳的信息進行處理。CA端系統(tǒng)和RA端系統(tǒng)通過網(wǎng)絡(luò)互連。系統(tǒng)軟件有兩個軟件安裝包,一個是CA系統(tǒng)軟件包,一個是RA系統(tǒng)軟件包。CA端軟件安裝后包括兩部分，一個是后臺管理軟件（負(fù)責(zé)CA本地配置，策略制定，RA管理，密鑰生成，證書簽發(fā)，證書注銷，證書歸檔，證書查詢，生成和發(fā)布CRL，權(quán)限管理等核心服務(wù)），一個是通信服務(wù)器（通信服務(wù)器負(fù)責(zé)接受來自各個RA的業(yè)務(wù)申請）。RA端系統(tǒng)只包含一套管理軟件，功能是完成多種方式的證書業(yè)務(wù)信息錄入、審核、上傳、下載等任務(wù)。詳細(xì)功能見軟件使用說明書。對于一個典型的CA綜合系統(tǒng)，應(yīng)當(dāng)安裝CA管理中心系統(tǒng)安裝軟件包和至少一套RA登記中心系統(tǒng)安裝軟件包,根據(jù)實際情況，可以安裝多套RA登記中心系統(tǒng)安裝軟件包，形成典型的C/S應(yīng)用模式。CA管理中心系統(tǒng)安裝軟件包是安裝CA系統(tǒng)后臺管理系統(tǒng)和CA系統(tǒng)通信服務(wù)器兩部分，這兩部分共同配合完成CA中心端的核心功能，RA登記中心系統(tǒng)安裝軟件包完成CA系統(tǒng)前臺登記功能，直接面向用戶。對于CA中心端系統(tǒng)，需要數(shù)據(jù)庫服務(wù)器和目錄服務(wù)器（可選）支持，所以在安裝系統(tǒng)時，可以有不同的機器承擔(dān)不同的功能，如選配三臺機器，一臺機器安裝應(yīng)用系統(tǒng)，一臺機器安裝數(shù)據(jù)庫系統(tǒng)，一臺機器安裝目錄服務(wù)器系統(tǒng)；也可以選配兩臺機器，一臺機器安裝應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)，一臺機器安裝目錄服務(wù)器系統(tǒng)，機器之間通過網(wǎng)絡(luò)互連。對于RA登記中心端系統(tǒng)，需要數(shù)據(jù)庫服務(wù)器支持，又由于操作員的原因，在安裝系統(tǒng)時，可以有不同的機器承擔(dān)不同的功能，如選配兩臺機器，一臺機器安裝應(yīng)用系統(tǒng)，一臺機器安裝數(shù)據(jù)庫系統(tǒng)；也可以選配一臺機器，一臺機器安裝應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)；也可以選配三臺機器，一臺機器安裝數(shù)據(jù)庫系統(tǒng)，兩臺機器分別安裝應(yīng)用系統(tǒng)，分別用作錄入機和核心功能機，機器之間通過網(wǎng)絡(luò)互連。系統(tǒng)模塊組成及相互關(guān)系如下所示：（i） CA端系統(tǒng)軟件環(huán)境 CA中心端應(yīng)用系統(tǒng)軟件包。MS SQL SERVER 或 版本的數(shù)據(jù)庫服務(wù)器軟件包。NETSCAPE DIRECTORY SERVER 。（ii） CA端數(shù)據(jù)庫配置 配置數(shù)據(jù)庫服務(wù)器的用戶（DBUSER）為sa,口令（DBPASSWD）為 12345678（任意），創(chuàng)建一個數(shù)據(jù)庫，名稱為：caserver，,創(chuàng)建一系列表。創(chuàng)建ODBC數(shù)據(jù)源，連接用戶為：sa,連接口令為：12345678。（iii） CA端目錄服務(wù)器配置 目錄服務(wù)器的服務(wù)端口默認(rèn)為389，用戶為：CN=Directory Manager,口令為：12345678（任意），根節(jié)點為：O=SDU_ca_system (CA系統(tǒng)的組織名稱)。（iv） CA系統(tǒng)配置（1）執(zhí)行“CA系統(tǒng)后臺管理系統(tǒng)”,出現(xiàn)初始畫面： （2）輸入數(shù)據(jù)庫連接數(shù)據(jù)源的名稱和口令。接著出現(xiàn)用戶登錄窗口： 因為首次登錄，直接按“確定”。出現(xiàn)一個提示框： （3）根據(jù)提示，進入“系統(tǒng)管理”—》“操作員管理”對話框，添加一個系統(tǒng)管理員。 添加系統(tǒng)管理員成功，退出系統(tǒng)，并以該系統(tǒng)管理員身份登錄系統(tǒng)。出現(xiàn)提示信息： 確定之后，出現(xiàn)如下對話框： 它實際上是“系統(tǒng)管理”—》“CA中心管理”—》“證書政策設(shè)定”對話框：點擊“生成簽名密鑰”按鈕，出現(xiàn)提示框，輸入用于加密保存該密鑰的口令字： 然后系統(tǒng)開始生成該簽名密鑰，并用該口令生成的對稱密鑰對稱加密保存，密鑰文件一般保存在系統(tǒng)當(dāng)前目錄。該密鑰用于簽發(fā)數(shù)字證書。當(dāng)該密鑰生成成功后，該按鈕變灰。不允許再次更新。同樣的方法，點擊“生成加密密鑰”，該密鑰用于CARA之間加密通信。出現(xiàn)提示： （5）然后選擇簽名方法、CRL發(fā)布間隔和各種證書的有效期，如下圖所示： 然后點擊“設(shè)為當(dāng)前值”按鈕，保存當(dāng)前配置，退出 。（6）選擇“系統(tǒng)管理”—》“CA中心管理”—》“系統(tǒng)配置設(shè)定”，出現(xiàn)對話框，填寫左側(cè)相應(yīng)的項目，如下圖所示： 點擊“設(shè)為當(dāng)前值”按鈕，出現(xiàn)提示框： （7）完成生成系統(tǒng)證書的重要操作點擊“生成自簽名根證書”按鈕，提示口令并輸入，生成根證書。點擊“生成CA系統(tǒng)通信證書”按鈕，提示口令并輸入，生成通信證書。系統(tǒng)顯示生成的編碼后的證書，如下圖： (8)輸出系統(tǒng)證書(簽名根證書和加密通信證書)。 點擊“輸出證書”按鈕，出現(xiàn)提示對話框，以文件方式保存系統(tǒng)證書，如命名根證書為：(),通信證書為：。（9）系統(tǒng)證書目錄發(fā)布。點擊“證書目錄發(fā)布”按鈕，系統(tǒng)將根據(jù)目錄服務(wù)器連接配置，連接目錄服務(wù)器，將系統(tǒng)證書發(fā)布到目錄服務(wù)器。（10）批量生成備用密鑰。選擇菜單“認(rèn)證服務(wù)”—》“批量密鑰生成”，出現(xiàn)對話框，輸入一次生成的密鑰數(shù)量，系統(tǒng)開始生成密鑰。由于密鑰生成比較花費時間，所以一般在系統(tǒng)在提供認(rèn)證服務(wù)的空閑時間，要經(jīng)常利用該功能產(chǎn)生一定數(shù)量的密鑰，以備委托方式簽發(fā)證書和密鑰之用。系統(tǒng)提示框如下： （11）添加一個RA端系統(tǒng)。進入“系統(tǒng)管理”—》“RA中心管理”菜單，顯示RA中心系統(tǒng)配置對話框： 當(dāng)前RA系統(tǒng)列表為空，點擊“添加RA”按鈕，在右面填寫新的RA系統(tǒng)的認(rèn)證身份信息，如下圖所示： 單擊“確定”按鈕，系統(tǒng)增加一個RA系統(tǒng)。如下圖所示： 然后單擊“輸出證書和密鑰”按鈕，輸出該RA系統(tǒng)的密鑰和證書。其中密鑰用用戶提供的口令加密，保存在文件中（如：）,證書保存在文件中（如：）。在安裝該RA系統(tǒng)時需要安裝這兩個文件和CA系統(tǒng)的證書。（v） 通信服務(wù)器的配置（1）初次啟動。點擊“CARA通信服務(wù)器”圖標(biāo)，出現(xiàn)提示框： 這時，在桌面右下角出現(xiàn)圖標(biāo)： ，“確定”后顯示通信服務(wù)器配置對話框： （2）修改通信服務(wù)器名稱、端口、數(shù)據(jù)庫連接參數(shù)以及通信密鑰的位置等，然后退出重新啟動。出現(xiàn)提示輸入通信密鑰加密保存口令： 輸入正確的口令字，通信服務(wù)器配置即可結(jié)束，在正常使用時，CA端一般運行通信服務(wù)器就可以接收各個RA系統(tǒng)的服務(wù)請求，而認(rèn)證服務(wù)需要由后臺系統(tǒng)提供，二者通過數(shù)據(jù)庫交換數(shù)據(jù)。(VI) RA系統(tǒng)所需的軟件準(zhǔn)備RA中心端應(yīng)用系統(tǒng)軟件包。MS SQL SERVER 或 版本的數(shù)據(jù)庫服務(wù)器軟件包。(VII)RA系統(tǒng)數(shù)據(jù)庫配置 配置數(shù)據(jù)庫服務(wù)器的用戶（DBUSER）為sa,口令（DBPASSWD）為 12345678（任意），創(chuàng)建一個數(shù)據(jù)庫，名稱為：caserver，,創(chuàng)建一系列表。創(chuàng)建ODBC數(shù)據(jù)源，連接用戶為：sa,連接口令為：12345678。(VIII) RA登記中心系統(tǒng)軟件配置（1） 啟動RA登記中心系統(tǒng)，出現(xiàn)： 直接執(zhí)行“確定”，顯示： 然后顯示主菜單：