糊言亂語

（1）什么是證書?
在一個電子商務系統中，所有參與活動的實體都必須用證書來表明自己的身份。證書一方面可以用來向系統中的其它實體證明自己的身份（每份證書都是經“相對權威的機構”簽名的），另一方面由于每份證書都攜帶著證書持有者的公鑰（簽名證書攜帶的是簽名公鑰，密鑰加密證書攜帶的是密鑰加密公鑰），所以，證書也可以向接收者證實某人或某個機構對公開密鑰的擁有，同時也起著公鑰分發的作用。
（2）什么是CA?
CA是Certificate Authority的縮寫，是證書授權的意思。在電子商務系統中，所有實體的證書都是由證書授權中心既CA中心分發并簽名的。一個完整、安全的電子商務系統必須建立起一個完整、合理的CA體系。CA體系由證書審批部門和證書操作部門組成。
（3）什么是SSL?
安全套接層協議（SSL，Security Socket Layer）是網景（Netscape）公司提出的基于WEB應用的安全協議，它包括：服務器認證、客戶認證（可選）、SSL鏈路上的數據完整性和SSL 鏈路上的數據保密性，主要采用公開密鑰體制和X.509數字證書技術來提供安全性保證。對于電子商務應用來說， SSL可保證信息的真實性、完整性和保密性。但由于SSL不對應用層的消息進行數字簽名，因此不能提供交易的不可否認性，這是SSL在電子商務中使用的最大不足。有鑒于此，網景公司在從Communicator 4.04版開始的所有瀏覽器中引入了一種被稱作"表單簽名（Form Signing）"的功能，在電子商務中，可利用這一功能來對包含購買者的訂購信息和付款指令的表單進行數字簽名，從而保證交易信息的不可否認性。
（4）什么是RA?
RA即證書發放審核部門，它是CA系統的一個功能組件。它負責對證書申請者進行資格審查，并決定是否同意給該申請者發放證書，并承擔因審核錯誤引起的、為不滿足資格的證書申請者發放證書所引起的一切后果，因此它應由能夠承擔這些責任的機構擔任。
（5）什么是CP?
CP即證書發放的操作部門，它是CA系統的一個功能組件，負責為已授權的申請者制作、發放和管理證書，并承擔因操作運營錯誤所產生的一切后果，包括失密和為沒有獲得授權者發放證書等，它可以由審核授權部門自己擔任，也可委托給第三方擔任。
（6）什么是CRL?
CRL是證書作廢表的縮寫。CRL中記錄尚未過期但已聲明作廢的用戶證書序列號，供證書使用者在認證對方證書時查詢使用。CRL通常被稱為證書黑名單。
（7）什么是OCSP?
OCSP即在線證書狀態查詢（Online Certificate Status Protocol），使用戶可以實時查詢證書的作廢狀態。
（8）什么是密鑰對，怎樣使用它，怎樣獲得密鑰對?
像有的加密技術中采用相同的密鑰加密、解密數據，公共密鑰加密技術采用一對匹配的密鑰進行加密、解密。每把密鑰執行一種對數據的單向處理，每把的功能恰恰與另一把相反，一把用于加密時，則另一把就用于解密。
公共密鑰是由其主人加以公開的，而私人密鑰必須保密存放。為發送一份保密報文，發送者必須使用接收者的公共密鑰對數據進行加密，一旦加密，只有接收方用其私人密鑰才能加以解密。
相反地，用戶也能用自己私人密鑰對數據加以處理。換句話說，密鑰對的工作是可以任選方向的。這提供了"數字簽名"的基礎，如果要一個用戶用自己的私人密鑰對數據進行了處理，別人可以用他提供的公共密鑰對數據加以處理。由于僅僅擁有者本人知道私人密鑰，這種被處理過的報文就形成了一種電子簽名----一種別人無法產生的文件。
數字證書中包含了公共密鑰信息，從而確認了擁有密鑰對的用戶的身份。
大多數情況下，當你申請數字證書時，會為你產生密鑰對。出于安全性考慮，密鑰對應當在您的機器產生并且私人密鑰不會在網上傳輸。
一旦產生，就應在認證中心上登記自己的公共密鑰，隨后認證中心將發送給用戶數字證書，以證實你的公共密鑰及其他一些信息。
（9）如何確保得到我的私鑰的安全？
有以下三種保護方法：
將私人密鑰存放在自己計算機的硬盤上，這樣你能控制對它的存取。
將私人密鑰存放在IC卡上，并將IC卡存放在自己可以控制的地方。
當你產生自己的私人密鑰時，你所使用的軟件（如瀏覽器）將要求你輸入一個密碼，這一密碼將保護對私人密鑰的存取。對于微軟Internet Explorer用戶，私人密鑰將由Windows密碼加以保護。 只有在下述兩種情況下，第三方可以存取您的私人密鑰：
有權存取你存放密鑰的文件（常常是你的系統配置文件）。
知道你的私人密碼。有的軟件允許你選擇不使用密碼來保護你的私人密鑰。如果你選擇了這項，你必須已確信，無論現在還是將來，都不會有人非法訪問你的計算機。
總而言之，使用密碼要比完全以物理角度保護你的計算機方便得多。不選用密碼，就像在自己的支票夾上預先簽好了所有支票，并將它打開著放在辦公桌上。
二：數字證書的一些問題：
1. 我的私鑰怎樣保存？
私鑰可以通過兩種方式保存：
以文件的形式保存在你的計算機硬盤中，這樣你可以很容易控制對它的訪問。
產生私鑰時，使用的軟件（例如瀏覽器）可能會要求你提供一個密碼，通過這個密碼來保護私鑰免被非法使用。對于Microsoft IE用戶， 私鑰可以由Windows的密碼保護。
第三方只可以在下列情況下訪問你的私鑰：1、能夠訪問用于存儲密鑰的文件（該文件往往是你的計算機系統配置文件的一部分）；2、知道保護私鑰的密碼。某些軟件允許你選擇不使用密碼來保護你的私鑰，如果選擇了該選項，你必須確信現在或者將來不會有人在非授權的情況下使用你的計算機
一般來說，可以很簡單的使用密碼將你的計算機完全的保護起來。不使用密碼就象填好支票后將支票本放在桌上一樣不安全。
2. 我該怎樣保存我的私鑰？
通過物理的安全保護來保護你的計算機不被非授權使用。要使用訪問控制產品或者操作系統保護措施（例如系統密碼）。采取措施來防病毒，因為病毒能攻擊私鑰。一般選擇一個好的密碼來保護私鑰。
3. 什么是好的密碼？
一個好的密碼要足夠的長和足夠的特別，通過徹底搜尋（例如使用目錄）也不能被查到，好的密碼應該是你很容易就能記住而別人很難猜到的密碼；最好使用八位以上的密碼，不要使用容易與你某些事情聯系起來的密碼，比如你的電話號碼、生日或是你家庭成員的名字。不要使用英文單詞、常見的術語或是你以前用過的密碼；如果將密碼寫下來了，不要放到容易找到的地方。
4. 我的計算機將我的密碼保存在哪兒？
你的私鑰一般以加密的形式保存在參數選擇或配置文件里，只能用你的私鑰保護密碼才能打開。
5. 我需要在家里和辦公室都使用我的數字證書，我可以安全的在計算機之間移動我的私鑰和數字證書嗎？
在計算機之間移動密鑰和數字證書是可能的，只要兩臺計算機都使用同樣的軟件。你需要詢問軟件供應商是否有這樣的軟件應用。在你打算移動密鑰時，使用安全的密碼來保護你的密鑰是非常重要的。
6. 我在沒有獲得一個新證書的情況下可以更改我保護私鑰的密碼嗎？
可以。你的密碼加密了你的證書私鑰。可以用產生這個密碼的程序更改密碼（重新加密你的私鑰）。如果你認為其它人有可能知道你的密碼時，你應該立刻更改密碼。
7. 我忘了我的私鑰密碼，有人能幫我更換掉它嗎？
不能。如果你忘了你的私鑰密碼，沒有人能幫助你。你只能產生新的密鑰對和獲得新的證書。所有用你的公鑰加密的安全電子郵件都會失效，除非你的 PKI體系具有密鑰備份和密鑰恢復系統并且該系統已經備份了你的私鑰（該方式一般在支持雙密鑰對體系中）。有些情況下，你還需要重新安裝你的電子郵件程序和網絡瀏覽器。
8. 在我忘了我的密碼時沒有人能幫助我，這聽起來非常不友好，為什么？
這是介于安全和便利之間的矛盾。如果有方法讓其他人能為你恢復私鑰密碼，那他或者她也能盜用密碼以達到其不可告人的目的。證書仍然是新的，但證書私鑰可能已經被外泄，也就是說，該證書持有者進行的交易已經不具備不可否認性。將來可能可以將你的私鑰不加密地保存在一張軟盤上（不需要密碼），而軟盤被放在安全的地方，比如保管箱。微軟和網景都是在這樣的系統上運作的。如果你忘了正常加密的密碼，可以用這張軟盤來恢復你的證書的私鑰。
9. 有人偷了我的計算機，他們現在擁有我的證書的私鑰嗎？
如果你使用了一個好的密碼來保護你的私鑰，那別人就不可能使用你的私鑰。你應該和給你發證的CA中心聯系，要求廢除你的證書，然后給你發放一個新的證書（有新的密鑰對）。
10. 有人偷了我的計算機，而我已經選擇不要密碼保護我的私鑰，我現在該怎么辦？
你應該立即通知你的CA你的私鑰受到安全威脅，它會安排撤銷你的證書并給你頒發新的證書。注意：雖然關系伙伴一般都會檢查證書的撤銷狀態，但仍然有些不會去這么做。最好的辦法是通知所有可能受到影響的人你的私鑰已經不安全了。
CA認證功能介紹
概括地說，認證中心（CA）的功能有：證書發放、證書更新、證書撤銷和證書驗證。CA的核心功能就是發放和管理數字證書，具體描述如下：
（1）接收驗證最終用戶數字證書的申請。
（2）確定是否接受最終用戶數字證書的申請-證書的審批。
（3）向申請者頒發、拒絕頒發數字證書-證書的發放。
（4）接收、處理最終用戶的數字證書更新請求-證書的更新。
（5）接收最終用戶數字證書的查詢、撤銷。
（6）產生和發布證書廢止列表（CRL）。
（7）數字證書的歸檔。
（8）密鑰歸檔。
（9）歷史數據歸檔。
認證中心為了實現其功能，主要由以下三部分組成：
（1）注冊服務器：通過 Web Server 建立的站點，可為客戶提供每日24小時的服務。因此客戶可在自己方便的時候在網上提出證書申請和填寫相應的證書申請表，免去了排隊等候等煩惱。（2）證書申請受理和審核機構：負責證書的申請和審核。它的主要功能是接受客戶證書申請并進行審核。（3）認證中心服務器：是數字證書生成、發放的運行實體，同時提供發放證書的管理、證書廢止列表（CRL）的生成和處理等服務。
CA認證簡介
為保證網上數字信息的傳輸安全，除了在通信傳輸中采用更強的加密算法等措施之外，必須建立一種信任及信任驗證機制，即參加電子商務的各方必須有一個可以被驗證的標識，這就是數字證書。數字證書是各實體(持卡人/個人、商戶/企業、網關/銀行等)在網上信息交流及商務交易活動中的身份證明。該數字證書具有唯一性。它將實體的公開密鑰同實體本身聯系在一起，為實現這一目的，必須使數字證書符合X.509國際標準，同時數字證書的來源必須是可靠的。這就意味著應有一個網上各方都信任的機構，專門負責數字證書的發放和管理，確保網上信息的安全，這個機構就是CA認證機構。各級CA認證機構的存在組成了整個電子商務的信任鏈。如果CA機構不安全或發放的數字證書不具有權威性、公正性和可信賴性，電子商務就根本無從談起。
數字證書認證中心（Certficate Authority,CA）是整個網上電子交易安全的關鍵環節。它主要負責產生、分配并管理所有參與網上交易的實體所需的身份認證數字證書。每一份數字證書都與上一級的數字簽名證書相關聯，最終通過安全鏈追溯到一個已知的并被廣泛認為是安全、權威、足以信賴的機構--根認證中心（根CA）。
電子交易的各方都必須擁有合法的身份，即由數字證書認證中心機構（CA）簽發的數字證書，在交易的各個環節，交易的各方都需檢驗對方數字證書的有效性，從而解決了用戶信任問題。CA涉及到電子交易中各交易方的身份信息、嚴格的加密技術和認證程序。基于其牢固的安全機制，CA應用可擴大到一切有安全要求的網上數據傳輸服務。
數字證書認證解決了網上交易和結算中的安全問題，其中包括建立電子商務各主體之間的信任關系，即建立安全認證體系（CA）；選擇安全標準（如SET、 SSL）；采用高強度的加、解密技術。其中安全認證體系的建立是關鍵，它決定了網上交易和結算能否安全進行，因此，數字證書認證中心機構的建立對電子商務的開展具有非常重要的意義。
認證中心（CA），是電子商務體系中的核心環節，是電子交易中信賴的基礎。它通過自身的注冊審核體系，檢查核實進行證書申請的用戶身份和各項相關信息，使網上交易的用戶屬性客觀真實性與證書的真實性一致。認證中心作為權威的、可信賴的、公正的第三方機構，專門負責發放并管理所有參與網上交易的實體所需的數字證書。