ca数字证书是什么?

ca数字证书是由CA机构颁发的证明（也就是问题中提及的CA证书），它包含了公钥、公钥拥有者名称、CA 的数字签名、有效期、授权中心名称、证书序列号等信息。我们可以通俗的理解为数字证书是个人或企业在网络上的身份证。

在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有公钥对所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。

扩展资料

数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一部分，另一部分是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道。由公钥加密的信息只能由与之相对应的私钥解密。

在线交易中您可使用数字证书验证对方身份。用数字证书加密信息，可以确保只有接收者才能解密、阅读原文，信息在传递过程中的保密性和完整性。有了数字证书网上安全才得以实现，电子邮件、在线交易和信用卡购物的安全才能得到保证。

-CA认证

数字证书也叫数字凭证、数字标识，它是一个证书授权中心(CA)数字签名的、包含证书申请者(公开密钥拥有者)个人信息及其公开密钥的文件。数字证书是一种最常用的CA证书。数字证书或公钥证书是由认证机构签署的，其中含有掌握相应密钥的持证着的确切身份或其他属性。数字证书有三种类型，即个人数字证书、企业(服务器)数字证书、软件(开发者)数字证书。个人数字证书：个人数字证书仅仅为了某个拥护提供凭证，一般安装在客户浏览器上，以帮助某个人在网上进行安全交易操作;访问需要客户验证安全的Internet站点;用自己的数字证书发送带有自己签名的电子邮件;用对方的数字证书向对方发送加密的邮件。企业(服务器)数字证书：企业数字证书为网上的某个Web服务器提供凭证，拥有服务器的企业就可以用具有凭证的Web站点进行安全电子交易;开启服务器SSL安全通道，使用户和服务器之间的数据传送以加密的形式进行;要求客户出示个人证书，证明该软件的合法。软件(开发者)数字证书：软件数字证书为软件提供凭证，证明该软件的合法性。CA中心所发放的数字安全证书可以应用于公众网络上的商务活动和行政作业活动，包括支付型和非支付型电子商务活动，其应用范围涉及需要身份认证及数据安全的各个行

业，包括传统的商业、制造业、流通业的网上交易，以及公共事业、金融服务业、工商税务海关、政府行政办公、教育科研单位、保险、医疗等网上作业系统。它主要应用于网上购物、企业与企业的电子贸易、安全电子邮件、网上证券交易、网上银行等方面。CA中心还可以与企业代码证中心合作，将企业代码证和企业数字安全证书一体化，为企业网上交易、网上报税、网上报关、网上作业奠定基础，免去企业面对众多的窗口服务的苦累。主要应用：(1)网上报税;(2)工商管理;(3)网上办公;(4)网上招标;(5)网上交易;(6)安全电子邮件。

CA为电子商务服务的证书中心，是PKI（Public Key Infrastructure）体系的核心。它为客户的公开密钥签发公钥证书、发放证书和管理证书，并提供一系列密钥生命周期内的管理服务。它将客户的公 钥与客户的名称及其他属性关联起来，为客户之间电子身份进行认证。证书中心是一个具有权威性、可信赖性和公证性的第三方机构。它是电子商务存在和发展的基础。认证中心在密码管理方面的作用如下：

自身密钥的产生、存储、备份/恢复、归档和销毁从根CA开始到直接给客户发放证书的各层次CA，都有其自身的密钥对。CA中心的密钥对一般由硬件加密服务器在机器内直接产生，并存储于加密硬 件内，或以一定的加密形式存放于密钥数据库内。加密备份于IC卡或其他存储介质中，并以高等级的物理安全措施保护起来。密钥的销毁要以安全的密钥冲写标 准，彻底清除原有的密钥痕迹。需要强调的是，根CA密钥的安全性至关重要，它的泄露意味着整个公钥信任体系的崩溃，所以CA的密钥保护必须按照最高安全级 的保护方式来进行设置和管理。

为认证中心与各地注册审核发放机构的安全加密通信提供安全密钥管理服务在客户证书的生成与发放过程中，除了有CA中心外，还有注册机构、审核机构和发放机构（对于有外部介质的证书）的存在。行业使用范围内的证书， 其证书的审批控制，可由独立于CA中心的行业审核机构来完成。CA中心在与各机构进行安全通信时，可采用多种手段。对于使用证书机制的安全通信，各机构 （通信端）的密钥产生、发放与管理维护，都可由CA中心来完成。

确定客户密钥生存周期，实施密钥吊销和更新管理每一张客户公钥证书都会有有效期，密钥对生命周期的长短由签发证书的CA中心来确定。各CA系统的证书有效期限有所不同，一般大约为2～3年。

密钥更新不外为以下两种情况：密钥对到期、密钥泄露后需要启用新的密钥对（证书吊销）。密钥对到期时，客户一般事先非常清楚，可以采用重新申请的方式实施更新。

采用证书的公钥吊销，是通过吊销公钥证书来实现的。公钥证书的吊销来自于两个方向，一个是上级的主动吊销，另一个是下级主动申请证书的吊销。当上级CA对下级CA不能信赖时（如上级发现下级CA的私钥有泄露的可能），它可以主动停止下级CA公钥证书的合法使用。当客户发现自己的私钥泄露时，也可 主动申请公钥证书的吊销，防止其他客户继续使用该公钥来加密重要信息，而使非法客户有**机密的可能。一般而言，在电子商务实际应用中，可能会较少出现私 钥泄露的情况，多数情况是由于某个客户由于组织变动而调离该单位，需要提前吊销代表企业身份的该客户的证书。

CA中心可为客户提供密钥对的生成服务，它采用集中或分布式的方式进行。在集中的情形下，CA中心可使用硬件加密服务器，为多个客户申请成批的生成密钥对，然后采用安全的信道分发给客户。也可由多个注册机构（RA）分布生成客户密钥对并分发给客户。

CA中心可根据客户的要求提供密钥托管服务，备份和管理客户的加密密钥对。当客户需要时可以从密钥库中提出客户的加密密钥对，为客户恢复其加密 密钥对，以解开先前加密的信息。这种情形下，CA中心的密钥管理器，采用对称加密方式对各个客户私钥进行加密，密钥加密密钥在加密后即销毁，保证了私钥存储的安全性。密钥恢复时，采用相应的密钥恢复模块进行解密，以保证客户的私钥在恢复时没有任何风险和不安全因素。同时，CA中心也应有一套备份库，避免密钥数据库的意外毁坏而无法恢复客户私钥。

CA中心在自身密钥和客户密钥管理方面的特殊地位和作用，决定了它具有主密钥、多级密钥、加密密钥等多种密钥的生成和管理功能。

对于为客户提供公钥信任、管理和维护整个电子商务密码体系的CA中心来讲，其密钥管理工作是一项十分复杂的任务，它涉及到CA中心自身的各个安全区域和部件、注册审核机构以及客户端的安全和密码管理策略。

CA的作用是检查证书持有者身份的合法性，并签发证书（在证书上签字），以防证书被伪造或篡改，以及对证书和密钥进行管理。(三)CA中心 CA中心为每一个使用公钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥。 CA认证中心的数字签名技术使得攻击者不能伪造和篡改证书。在SET交易中，CA不仅对持卡的消费人、商家发放证书，还对交易过程中所涉及到的银行、网关也发放证书。它负责产生、分配并管理所有参与网上交易的个体所需的数字证书。(四)CA证书的种类CA中心发放的证书分为两类：SSL证书和SET证书。一般地说，SSL（安全套接层）证书是服务于银行对企业或企业对企业的电子商务活动的；而SET（安全电子交易）证书则服务于持卡消费、网上购物。虽然它们都是用于识别身份和数字签名的证书，但它们的信任体系完全不同，而且所符合的标准也不一样。简单地说，SSL证书的作用是通过公开密钥证明持证人的身份。而SET证书的作用则是，通过公开密钥证明持证人在指定银行确实拥有该信用卡账号，同时也证明了持证人的身份。 用户想获得证书时，首先要向CA中心提出申请，说明自己的身份。CA中心在证实用户的身份后，向用户发出相应的数字安全证书。认证机构发放证书时要遵循一定的原则，如要保证自己发出的证书的序列号各不相同，两个不同的实体所获得的证书的主题内容应该相异，不同主题内容的证书所包含的公开密钥相异等。(五)CA证书的基本原理及功能？SSL 协议的握手和通讯为了便于更好的认识和理解 SSL 协议，这里着重介绍 SSL 协议的握手协议。SSL 协议既用到了公钥加密技术又用到了对称加密技术，对称加密技术虽然比公钥加密技术的速度快，可是公钥加密技术提供了更好的身份认证技术。SSL 的握手协议非常有效的让客户和服务器之间完成相互之间的身份认证，其主要过程如下：① 客户端的浏览器向服务器传送客户端 SSL 协议的版本号，加密算法的种类，产生的随机数，以及其他服务器和客户端之间通讯所需要的各种信息。② 服务器向客户端传送 SSL 协议的版本号，加密算法的种类，随机数以及其他相关信息，同时服务器还将向客户端传送自己的证书。③ 客户利用服务器传过来的信息验证服务器的合法性，服务器的合法性包括：证书是否过期，发行服务器证书的 CA 是否可靠，发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”，服务器证书上的域名是否和服务器的实际域名相匹配。如果合法性验证没有通过，通讯将断开；如果合法性验证通过，将继续进行第四步。④ 用户端随机产生一个用于后面通讯的“对称密码”，然后用服务器的公钥（服务器的公钥从步骤②中的服务器的证书中获得）对其加密，然后将加密后的“预主密码”传给服务器。⑤如果服务器要求客户的身份认证（在握手过程中为可选），用户可以建立一个随机数然后对其进行数据签名，将这个含有签名的随机数和客户自己的证书以及加密过的“预主密码”一起传给服务器。⑥如果服务器要求客户的身份认证，服务器必须检验客户证书和签名随机数的合法性，具体的合法性验证过程包括：客户的证书使用日期是否有效，为客户提供证书的 CA 是否可靠，发行 CA 的公钥能否正确解开客户证书的发行 CA 的数字签名，检查客户的证书是否在证书废止列表（CRL）中。检验如果没有通过，通讯立刻中断；如果验证通过，服务器将用自己的私钥解开加密的“预主密码”，然后执行一系列步骤来产生主通讯密码（客户端也将通过同样的方法产生相同的主通讯密码）。⑦ 服务器和客户端用相同的主密码即“通话密码”，一个对称密钥用于 SSL 协议的安全数据通讯的加解密通讯。同时在 SSL 通讯过程中还要完成数据通讯的完整性，防止数据通讯中的任何变化。⑧客户端向服务器端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知服务器客户端的握手过程结束。⑨服务器向客户端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知客户端服务器端的握手过程结束。⑩ SSL 的握手部分结束，SSL 安全通道的数据通讯开始，客户和服务器开始使用相同的对称密钥进行数据通讯，同时进行通讯完整性的检验。CA中心主要职责是颁发和管理数字证书。其中心任务是颁发数字证书，并履行用户身份认证的责任。CA中心在安全责任分散、运行安全管理、系统安全、物理安全、数据库安全、人员安全、密钥管理等方面，需要十分严格的政策和规程，要有完善的安全机制。另外要有完善的安全审计、运行监控、容灾备份、事故快速反应等实施措施，对身份认证、访问控制、防病毒防攻击等方面也要有强大的工具支撑。CA中心的证书审批业务部门则负责对证书申请者进行资格审查，并决定是否同意给该申请者发放证书，并承担因审核错误引起的、为不满足资格的证书申请者发放证书所引起的一切后果，因此，它应是能够承担这些责任的机构担任；证书操作部门（Certificate P-rocessor，简称CP）负责为已授权的申请者制作、发放和管理证书，并承担因操作运营错误所产生的一切后果，包括失密和为没有授权者发放证书等，它可以由审核业务部门自己担任，也可委托给第三方担任。 (六)CA证书管理包括哪些方面工作CA 策略管理管理员可以指定 CA 管理策略，包括：根证书、个人证书、企业证书、服务器证书的密钥长度、有效期、是否备份等策略。(七)画图说明CA证书申请流程。(八)申请CA证书的用户导出证书的目的是什么简要介绍导出的操作步骤1当普通的恢复失效时，数据恢复代理需要使用数据恢复密钥，以允许代理恢复加密数据。 因此，保护恢复密钥是非常重要的。有一种好方法可以防止丢失恢复密钥，那就是仅在需要时才将这些恢复密钥导入本地计算机。而在其他时候，您应将数据恢复代理的数据恢复证书和私钥导出，并以 pfx 格式文件存储到安全的可移动介质。2 步骤 第一步，从IE中导出证书。点击IE菜单"工具"，打开"Internet选项"对话框，选中"内容"页，点击"证书"，弹出"证书"对话框，请您选择您要导出的证书，然后选择"导出"操作，您就可以根据"证书导出向导"操作完成证书导出了，请注意，"证书导出向导"第二步提示您"是否导出私钥？"，请选择"是，导出私钥"，成功导出证书后，您会得到一个以"pfx"结尾的文件。 第二步，导入证书到Webmail。在Webmail左帧选择"个人资料"，然后在右帧点击"设置个人证书"。请点击"导入证书"，在"上传证书"对话框中请浏览找到您在第一步操作中所导出的"pfx"文件，按"下一步"，输入您在第一步的"证书导出向导"里要求您输入的秘匙保护密码，您可以选择"保存密码"，以后查看加密邮件就不需要输入密码了。成功的话，Webmail将会显示证书的简略信息。有了个人证书，你就可以发送有你数字签名的信件了。