电子商务安全基础-ppt(中职)第5章-数字证书与PKI技术.pptx

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,第,5,章 数字证书与,PKI,技术,电子商务安全基础中国人民大学出版社,5.1,数字证书技术,4.2,数字证书,主要内容,4.3,数字证书的功能,4.4,CA,认证中心,4.5,PKI,技术,4.6,实验项目,导 入,现代密码的两个最重要的分支：,加密和认证,。,加密目的：防止敌方获得机密消息;,认证,目的：,防止敌方的主动攻击,包括验证消息真伪及防止消息在通信过程中被修改、删除、插入、伪造、延迟及重放等。,认证(Authentication)又称鉴别,是验证通信对象是原定者而不是冒名顶替者(身份认证),或者确认收到的消息是希望的而不是伪造的或被篡改过的(消息认证)。,认证检验的内容包括:,(1)消息的源和宿;,(2)消息的内容;,(3)消息的序号和时间性。,5.1,数字签名技术,加密手段只是为了解决对文件保密的问题,而在信息数字化环境中为了防止他人对文件的破坏以及为了鉴别文件或合同的真伪，出现了电子签名技术来模拟传统签名。,随着技术的不断进步,出现了数字签名技术,签名者用自己的密钥对文件进行加密,采用一定的数据交换协议来保证身份的可鉴别性和数据的完整性。,使用,数字签名,:,第一,保证信息是由签名者发送的;,第二,保证信息自签发到接收者接收到为止未曾被修改。,5.1.1,数字签名的特点,数字签名是通过一个散列函数对要传送的报文进行处理而得到的用来认证报文来源,并核实报文是否发生变化的一个字母数字串。,数字签名必须保证以下三点:,(1)接收者能够核实发送者对报文的签名;,(2)发送者事后不得否认对报文的签名;,(3)接收者不可伪造对报文的签名。,5.1.1,数字签名的特点,数字签名特点:,(1)签名是可以被确认的,即接收方可以确认或证实签名确实是由发送方签名的。,(2)签名是不能伪造的,即接收方和第三方都不能伪造签名。,(3)签名是不可重复使用的,即签名是消息的一部分,不能把签名移到其他消息上。,(4)签名是不可抵赖的,即发送方不能否认其所签发的消息。,(5)第三方可以确认收发双方之间的消息传送,但不能篡改消息。,5.1.2,数字签名过程,简单的数字签名过程：,发送方将整个消息用自己的私钥加密；,接收方用发送方的公钥解密,解密成功就可验证确实是发送方的签名。,其缺点：被签名的文件或消息可能过长,5.1.2,数字签名过程,在实际的运行中,1,）,先对消息用哈希函数求消息摘要(散列值),2,）,然后发送方用其私钥加密该散列值,（,这个被发送方私钥加密的散列值就是数字签名,），,将其附在文件后,一起发送给接收方,就可以让其验证签名。,3,）,接收方先用签名者的公钥解密数字签名,4,）,将提取到的散列值与自己计算该文件的散列值比较,如果相同就表明该签名是有效的。,5.1.2,数字签名过程,数字签名和验证示意图,虽然解决了公钥密码体制加密长、消息速度慢的问题,但是由于消息以明文形式传输,即无法实现消息的保密性。,5.1.2,数字签名过程,完整的,数字签名,过程,对消息保密性,实现：,用接收方的公钥加密对称密钥,得到数字信封,并将加密后的组合体以及对称密钥的数字信封发送给接收方,完整的数字签名加密过程,5.1.3,数字签名算法,应用最为广泛的数字签名算法：,RSA算法、DSA算法和DSS算法,RSA算法,该算法,使用的密钥是不同的,其中公开密钥保存在系统目录内、黄页上或BBS 上,是公开的;而私有密钥则是用户专有的,是对公开密钥加密的信息进行解密的,是保密的,。,方便了密钥分配问题,DSA算法,单向不可逆的公钥密码体制,它只能用于数字签名,而不能用于加密、解密和密钥分配。在每次签名的时候,使用了随机数,，DSA算法的数字签名方式被称为随机数字签名,DS,S,算法,是由美国政府颁布实施的,主要用于与美国政府做生意的公司或企业。,5.1.4,数字签名的应用方式,数字签名的应用方式,有很多,如数字时间戳、盲签名、群签名等。,1,、数字时间戳,在安全电子交易中,同样需要对交易文件的日期和时间信息采取安全措施,而数字时间戳(Digital Time-Stamp,DTS),可以,为电子文件发表时间所提供的安全保护和证明,由,时间戳权威(Time-Stamp Authority,TSA),来提供可信赖的且不可抵赖的时间戳服务,TSA的主要功能,：证明某份文件在某个时间存在,防止用户在这个时间后伪造数据进行欺诈。,5.1.4,数字签名的应用方式,数字时间戳产生过程,1,）,用户首先对需要加时间戳的文件用哈希函数计算其摘要,2,）,然后将摘要发送给TSA,TSA将收到文件摘要时的时间信息加到文件中,3,）,再用TSA的私钥对该文件进行加密,即TSA的数字签名,然后送回用户,4,）用户收到数字时间戳后,可以将其与原始文件一起发送给接收方,供接收方验证时间。,数字时间戳产生的过程,5.1.4,数字签名的应用方式,2,、盲签名,某人对一个文件签名,却又不想让其知道文件的内容,时,盲签名，,主要功能是实现电子现金的匿名性。,盲签名操作中主要涉及三方：,消息拥有者、签名者和签名验证者,具体过程如图：,5.1.4,数字签名的应用方式,2,、盲签名,盲签名实际上就是接收者在不让签名者获取所签署消息具体内容的情况下,所采取的一种特殊的数字签名技术,它除了满足一般的数字签名条件外,还必须满足下面的两个条件:,(1)签名者对其所签署的消息是不可见的,即签名者不知道其所签署消息的具体内容。,(2)签名消息不可追踪,即当签名消息被公布后,签名者无法知道这是其哪次签署的。,5.1.4,数字签名的应用方式,3,、群签名,1,）一个群签名(Group Signature)方案中,一个群体中的任意一个成员都可以以匿名的方式代表整个群体对消息进行签名。,2,）群签名是可以公开验证的,而且可以只用单个群公钥来验证,也可以作为群标志来展示群的主要用途、种类等。,3,）当出现争议时,借助于一个可信的机构或群成员的联合识别出那个签名者。,5.1.5,安全的哈希函数,安全的哈希函数必须具备以下两个条件:,(1)函数是单向的。即函数从信息中建立一个校验和,但是不能从校验和建立信息。,(2)创建两条经过函数运行后获得相同校验和的信息非常难。,哈希函数的应用：,哈希加密,哈希签名,1,）,是通过单向加密算法签名的数据而实现的,2,）,签名过程中,在发送方用私钥加密哈希值时,提供签名验证。,(2)创建两条经过函数运行后获得相同校验和的信息非常难。,5.1.6,数字信封,数字信封是为了解决传送、更换密钥问题而产生的技术,它结合了对称加密体制和非对称加密体制各自的特点,类似于普通信封的作用。,基本思想,发送者使用随机产生的对称密钥加密信息后,将生成的密文和密钥本身一起用接收者的公开密钥加密(称为数字信封)并发送,接收者先用自己的私有密钥解密数字信封,得到对称密钥,然后用对称密钥解密数据,得到明文信息。,5.2,数字证书,数字证书又称为公钥证书,简称证书,是用于身份验证的经过(权威机构)数字签名的声明(以文件的形式存在)。,证书将公钥与保存对应私钥的实体绑定在一起,一般由可信的第三方CA中心(Certificate Authority,权威授权机构)颁发,CA 对其颁发的证书进行数字签名,以保证所颁发证书的完整性和可鉴别性。,5.2.1,数字证书的概念,什么是数字证书,数字证书是标志网络用户身份信息的一系列数据。它提供了一种在互联网上身份验证的方式,是用来标志和证明网络通信双方身份的数字信息文件。,网络中的身份证,数字证书用来证明一些关键信息,主要证明用户与用户持有的公钥之间的关联性,如图所示,常用的证书文件扩展名为.cer,5.2.1,数字证书的概念,用户需要与公钥之间的关联是由谁批准的?,签发数字证书的这个权威机构,CA机构,又称为证书授权中心,5.2.2,数字证书原理,数字证书生成的基本原理,主体将其身份信息和公钥以安全的方式提交给CA认证中,心,CA用自己的私钥对主体的公钥和身份ID的混合体进行签名,将签名信息附在公钥和身份ID等信息后,从而生成一张证书。,主要,组成：,公钥、身份ID和CA签名,数字证书生成的基本原理,5.2.2,数字证书原理,数字证书得特点,(1)通过数字证书,用户只要知道一个通信方的公钥,就可以安全地获得其他很多通信方的公钥,因此,可以获得很好的规模效应。,(2)数字证书可以通过不需要提供安全性保护的文件服务器、目录服务系统及其他的通信协议来分发。,(3)数字证书是有生命周期的,需要对它进行有效期校验,因为不可能假设某个公钥/私钥对是可以永远使用的。,(4)数字证书中,用户证书除了能放在目录中供他人访问外,还可以由用户直接发给其他用户,用户X得到用户Y的证书并验证后,可相信证书中的Y的公钥确实是Y的。,5.2.3,数字证书生成过程,数字证书生成主要,过程：,密钥对生成、提交用户信息和公钥进行注册、验证用户信息和私钥、生成证书等,。,具体如图所示,数字证书生成过程,5.2.4,数字证书的验证,验证数字证书是否可信,主要验证它是否满足两个条件:其一是证书是否是真实的,是没有被篡改或伪造的;,其二是颁发证书的机构是否是可信任的。,通过验证证书中CA的签名来验证证书的真伪;,用检查CA的信任链来验证颁发证书的机构是否可信,5.2.4,数字证书的验证,1,、数字证书的验证过程,验证数字证书的真实性,-需要用CA的公钥对其证书的签名进行解密,看能否设计证书,验证颁发证书的CA是否可信任,-,需,要验证者信任给自己颁发证书的CA,然后将自己的CA作为信任锚点。,5.2.4,数字证书的验证,证书链,如果X的证书是另一个CA颁发的,那么验证者该如何得知该CA是可信任的呢?,证书链,同一个PKI体系中的CA与CA之间是相互关联的,证书链是指从根CA开始,根CA下面有一个或多个子CA,以此类推。其中,上级CA颁发证书对它的直接子CA进行认证。,证书链,5.2.4,数字证书的验证,证书路径,逐级验证证书CA及其父级CA的方法是:先从被验证的证书中找到颁发该证书的上级CA名,通过该CA 名查找到该CA的证书,。如图所示：,证书路径,5.2.4,数字证书的验证,如何验证根CA是真实可信的?,根CA能够自动作为可信任的CA,有些机构或网站的根CA证书通常一开始就下载安装到用户的浏览器中,而且用户浏览器中还可能有预编程。预编程的根CA证书,表示用户无条件信任某些根CA。,根CA证书是一种自签名证书,，,根,CA,证书如图所示：,5.2.4,数字证书的验证,2,、证书的交叉认证,要解决的问题：如果X和Y连根CA 都不相同,那如何验证双方证书的颁发机构是可信的?,交叉认证,原理：,X的根CA颁发一个证书给Y的根CA,证明Y的根CA可信;,同样Y的根CA也颁发了证书给X的根CA,证明X的根CA可信；,那么X和Y就可以相互信任对方的根CA。,5.2.5,数字证书的格式,数字证书的格式遵循国际电信联盟制定的X.509国际标准,数字证书包含以下一些内容:,5.2.6,数字证书的类型,客户端数字证书,客户端数字证书是用户使用此证书向对方表明个人身份的证明,同时应用系统可以通过证书获得用户的其他信息。,服务器数字证书,服务器数字证书主要颁发给Web站点或其他需要安全鉴别的服务器,用于证明服务器的身份信息。,安全邮件证书,安全邮件证书结合使用数字证书和S/MIME技术,对普通的电子邮件做加密和数字签名处理,确保电子邮件内容的安全性、机密性,发件人身份的真实性和不可抵赖性。,代码签名证书,代码签名证书可以有效防止软件代码被篡改,使用后免遭病毒和黑客程序的侵扰,5.3,数字证书的功能,数字证书主要具有,分发公钥和为主体进行身份证明,两大功能。,5,.3.1数字证书用于加密和签名,使用数字证书加密,如果X要向Y传送加密的信息,并且X、Y双方都有自己的数字证书,具体传送过程如下:,(1)X准备好要传送给Y的信息。,(2)X获取Y的数字证书,并验证该证书有效后,用Y证书中的公钥加密信息。,(3)Y收到加密的信息后,用自己的证书对应的私钥解密密文,得到明文。,(1)X准备好传送给Y的明文。,(2)X对该信息进行哈希运算,得到一个消息摘要。,(3)X用自己证书对应的私钥对消息摘要进行加密,得到X的数字签名,并将其附在信息后。,(4)X将附有数字签名的消息摘要传送给Y。,(5)Y得到后,对X的数字证书进行验证,如有效,就用X证书中的公钥解密数字签名,得到一个消息摘要,再对明文信息求消息摘要,将这两个消息摘要进行比对,如果相同,就确认X的数字签名有效。,5,.3.1,数字证书用于加密和签名,使用数字证书签名,(1)X准备好传送给Y的明文。,(2)X对该信息进行哈希运算,得到一个消息摘要。,(3)X用自己证书对应的私钥对消息摘要进行加密,得到X的数字签名,并将其附在信息后。,(4)X获取Y的数字证书,并验证该证书有效后,用Y证书中的公钥加密信息和签名的混合体。,(5)Y收到加密的信息后,用自己的证书对应的私钥解密密文,得到明文和数字签名的混合体。,(6)Y获得X的数字证书,并验证该证书的有效性。,5,.3.1,数字证书用于加密和签名,使用数字证书同时加密和签名,5,.3.,2,数字证书用于身份认证,单向身份认证,如果申请者X要向验证者Y表明自己的身份,并且X有一个数字证书,则验证过程如下:,(1)X产生一条数据消息M,并用自己的证书对应的私钥加密该消息,得到密文(M)。,(2)X将自己的证书和密文(M)发送给Y。,(3)Y 收到后,先验证证书的真实性和有效性,验证过程包括用颁发该证书的CA的公钥验证证书的签名,再验证证书链有效等。,(4)证书验证通过后,Y用X证书中的公钥解密密文(M),如果解密成功,则说明X拥有该证书对应的私钥,是该证书的拥有者,身份验证通过。,5,.3.,2,数字证书用于身份认证,双向身份认证,双向身份认证需要X、Y双方相互鉴别身份。除了完成单向身份认证中的步骤外,还需要完成以下几点:,(1)Y产生另一个随机数Ry。,(2)Y构造一条消息,并用自己证书对应的私钥加密该消息,得到密文Dy(My);Y将自己的证书和该密文发送给X。,(3)X收到后,首先验证证书的真实性和有效性。,(4)证书验证通过后,X用Y中的公钥解密密文Dy(My),如果解密成功,则表明Y拥有该证书对应的私钥,是该证书的拥有者,身份验证通过。,5.4 CA,认证中心,概述,1,）,认证机构CA,即认证中心,作为电子商务交易中受信任的第三方,承担公钥体系中公钥的合法性检验的责任。,2,）,CA中心为每个使用公开密钥的用户发放一个数字证书,数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥。,3,）,CA机构的数字签名使得攻击者不能伪造和篡改证书。,在安全电子交易中,CA负责产生、分配并管理所有参与网上交易的个体所需的数字证书。,5.4.1,CA认证中心的工作内容,证书发放,-CA为每个合法的申请者发放一张数字证书,撤销证书,将已经撤销证书记录在一张,CRL,表中,1,）收到证书撤销请求,2,）鉴别证书撤销请求的合法性,3,）判断是否接受证书的撤销请求,管理证书,发送证书、删除过期证书、更新证书库列表等,CRL,5.4.2,CA认证中心的机构,RA注册机构,RA的作用相当于派出所,主要负责接收注册信息、审核用户身份等工作。RA只对唯一的CA负责,但是一个CA可以有多个RA。,5.4.2,CA认证中心的机构,RA注册机构,注册机构RA主要提供下列服务:,(1)为最终用户生成密钥。,(2)接收和验证用户的注册信息。,(3)接收和授权密钥备份和恢复请求。,(4)接收和撤销请求。,(5)使认证机构CA成为隔离实体,使CA不容易被攻击者直接访问或攻击。,5.4.2,CA认证中心的机构,数字证书库,数字证书库(Certificate Repository,CR)是CA颁发和撤销证书的集中存放地,是网上的一种公共信息库,供广大公众进行开放式查询。,数字证书库提供的功能如下所述:,(1)存放证书。数字证书库存放证书形成目录系统,以供查询。,(2)提供证书。根据证书信任方的请求,数字证书库提供所需要的证书副本。,(3)确认证书状态。如若证书信任方已经获得某人的证书,仅需要查询证书的合法性时,数字证书库能够提供简单的状态标记信息来验证其有效性,而不是整个证书的副本,目的是提高查询效率。,5.5 PKI,技术,公钥基础设施(PKI)是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。,PKI的工作过程,:,5.5 PKI,技术,(1)一个新用户准备申请数字证书。,(2)新用户会发送注册信息给注册机构RA。,(3)注册机构RA系统审核用户身份。,(4)注册机构RA审核通过的注册请求发送给认证中心CA。,(5)认证中心CA为用户签发证书下载凭证。,(6)注册机构RA将证书下载凭证发放给用户。,(7)用户向认证中心CA提交证书申请请求,填信息,用户产生密钥对。,(8)通过后,证书下载到用户本地。,(9)CA将证书发布出去,并放置在证书库中以备查询。,PKI的工作过程,:,5.5.1,PKI的组成,一个典型、完整、有效的PKI应用系统至少包括,：,公钥密码证书管理、黑名单的发布和管理、密钥的备份和恢复、自动更新密钥、自动管理历史密钥以及支持交叉认证。,PKI的组成,5.5.1,PKI的组成,密钥备份与恢复系统,电子商务活动要求双密钥机制,一对密钥用于对数据加密和解密,称为加密密钥对;另一对密钥用于数字签名和验证数字签名,称为签名密钥对。,需要CA备份的只是加密密钥对中的解密密钥,用于签名的私钥不能由CA备份,而且要在用户的绝对控制之下,5.5.1,PKI的组成,应用程序接口,PKI应用程序接口系统需要实现的功能主要包含以下几个方面:,(1)完成证书的验证工作,为所有应用以一致、可信的方式使用公钥证书提供支持。,(2)以安全、一致的方式与PKI的密钥备份与恢复系统交互,为应用程序提供统一的密钥备份与恢复支持。,(3)在所有应用系统中,确保用户的私钥始终只在用户本人的控制下,阻止备份私钥的行为。,(4)根据安全策略自动为用户更换密钥,实现密钥更换的自动性和透明性。,(5)为所有用户访问统一的公钥证书库提供支持。,(6)以可信、一致的方式与证书作废系统交互,向所有应用程序提供统一的证书作废系统服务。,(7)完成交叉证书的验证工作,为所有应用程序提供统一的交叉验证支持。,(8)PKI应用程序接口系统可以跨平台提供服务。,5.5.2,PKI的技术标准,ASN.1,ASN.1是描述在网络上传输信息格式的标准方法。,它有两部分:,第一部分(ISO 8824/ITU X.208)描述信息内的数据、数据类型及序列格式,也就是数据的语法;,第二部分(ISO 8825/ITU X.209)描述如何将各部分数据组成消息,也就是数据的基本编码规则。,5.5.2,PKI的技术标准,X.500,X.500是一套已经被国际标准化组织(ISO)接受的目录服务系统标准,它定义了一个机构如何在全局范围内共享其名字和与之相关的对象。,在PKI体系中,X.500被用来唯一标识一个实体,该实体可以是机构、组织、个人、服务器。,X.500的优势是具有信息模型、多功能和开放性。,5.5.2,PKI的技术标准,X.50,9,X.509是由国际电信联盟(International Telecommunication Union,ITU)制定的数字证书标准。X.509为X.500用户名称提供了通信实体的鉴别机制,并规定了实体鉴别过程中广泛适用的证书语法和数据接口。,PKCS系列标准,PKCS(Public Key Cryptography Standards)是由美国RSA数据安全公司及其合作伙伴制定的一组公钥密码学标准,其中包括证书申请、证书更新、证书作废表发布、扩展证书内容以及数字签名、数字信封的格式等方面的一系列相关协议。,5.5.2,PKI的技术标准,在线证书状态协议,在线证书状态协议OCSP是互联网工程任务组IETF颁布的用于检查数字证书在某一交易时刻是否仍然有效的标准。,该标准提供给PKI用户一条方便快捷的数字证书状态查询通道,轻型目录访问协议,轻型目录访问协议(LDAP)简化了X.500目录访问协议,并且在功能性、数据表示、编码和传输方面都进行了相应的修改。,1997年,LDAP第3版本成为互联网标准。,目前,LDAP已经在PKI体系中被广泛应用于证书信息发布、CRL信息发布、CA政策以及与信息发布相关的各个方面。,5.5.3,PKI信任模型,信任模型主要阐述了以下几个问题:,(1)一个PKI用户能够信任的证书是怎样被确定的?,(2)这种信任是怎样被建立的?,(3)在一定的环境下,这种信任如何被控制?,目前PKI系统有四种常用的信任模型:,(1),认证机构的严格层次结构模型(Strict Hierarchy of Certification Authorities Model)、,(,2,),分布式信任结构模型(Distributed Trust Architecture Model)、,(,3,),Web模型(Web Model)、,(,4,),以用户为中心的信任模型(User Centric Trust Model)。,5.5.3,PKI信任模型,1,、,认证机构的严格层次结构模型,认证机构(CA)的严格层次结构可以被描绘为一棵倒转的树,根在顶上,树枝向下伸展,树叶在下面。,1,）,根代表对整个PKI系统所有实体都有意义的CA,根CA(Root CA),，作为认证的起点或终点。,2,）根CA的下面是零层或多层中介CA(Intermediate CA),也被称作,子CA(Subordinate CA),3,）,非CA的PKI实体相对应的树叶通常被称作,终端实体,(End Entities)或被称作,终端用户,(End Users)。,5.5.3,PKI信任模型,1,、,认证机构的严格层次结构模型,层次结构建立的规则：,(1)根CA认证(更准确地说是创立和签署证书)直接连接到它下面的CA。,(2)每个CA都认证零个或多个直接连接在它下面的CA。请注意,在一些认证机构的严格层次结构中,上层的CA既可以认证其他CA,也可以认证终端用户。虽然在现有的PKI标准中并没有排除这一点,但是往往都假设一个给定的CA要么认证终端用户,要么认证其他CA,不能两者都认证。,(3)倒数第二层的CA认证终端用户。,*,在认证机构的严格层次结构中,每个实体(包括中介CA和终端用户)都必须拥有根CA的公钥,该公钥的安装是在这个模型中为随后进行的所有通信进行证书处理的基础,*,5.5.3,PKI信任模型,2,、,分布式信任结构模型,分布式信任结构把信任分散在两个或多个CA上。,举例理解：,用户A把CA1作为其根CA,而用户B可以把CA2作为其根CA,因为这些CA都被作为根CA,因此相应的CA必须是整个PKI系统的一个子集所构成的严格层次结构的根CA(CA1是包括用户A在内的严格层次结构的根,CA2是包括用户B在内的严格层次结构的根),5.5.3,PKI信任模型,3,、,web,模型,Web模型是在万维网(World Wide Web)上诞生的,而且依赖于流行的浏览器,如微软公司的Internet Explorer、网景公司的Navigator。,在这种模型中,许多CA的公钥被预装在标准的浏览器上。这些公钥确定了一组浏览器用户最初信任的CA。,优势：方便性和简单互操作性,缺点：安全隐患,1,）没有实用的机制来撤销嵌入到浏览器中的根密钥,2,）缺少有效的方法在CA和用户之间建立使双方共同承担责任的合法协议,5.5.3,PKI信任模型,4,、,以用户为中心的信任模型,在以用户为中心的信任模型中,每个用户自己决定信任哪些证书。,以用户为中心的信任模型在技术水平较高和利益高度一致的群体中是可行的,但是在一般的群体(它的许多用户有极少或者没有安全及PKI的概念)中是不现实的。,这种模型一般不适合用在贸易、金融或政府环境中,5.6,实验项目,实验项目,8,个人数字证书申请和使用实例,(,教材,p116),【,实验目的,】,以支付宝为例,完成个人数字证书的申请和使用,【,实验内容,】,在开放的互联网环境下,安全地完成网络支付和网银系统使用。要求用户安装个人数字证书,网站根据证书识别用户身份,从而提高交易或支付活动的安全性,。,【,实验要求,】,(1)完成实验报告的所有设计内容,并附上关键步骤的截图。,(2)记录实验结果。,(3)分析数字证书的安全风险来源。,(4)总结经验。,5.6,实验项目,实验项目,9,数字证书服务器安装与管理,【,实验目的,】,掌握如何安装证书服务器,【,实验内容,】,为电子企业商务企业安装证书服务器,【,实验要求,】,(1)完成实验报告的所有解决方案内容,并附上关键步骤截图。,(2)记录分析实验结果。,(3),总结经验，形成报告,具体步骤参考教材,P122,5.6,实验项目,实验项目,10,申请并安装客户数字证书,【,实验目的,】,全面掌握客户数字证书的申请和安装操作,【,实验内容,】,申请并安装客户数字证书，完成实验报告,【,实验要求,】,(1)完成实验报告的所有解决方案内容,并附上关键步骤截图。,(2)记录分析实验结果。,(3),总结经验，形成报告,具体步骤参考教材,P128,5.6,实验项目,实验项目,11,利用数字证书实现安全电子邮件的发送和接收,【,实验目的,】,全面掌握客户数字证书的使用内容和过程；,掌握数字证书在发送电子邮件中的作用,【,实验内容,】,利用数字证书实现安全电子邮件的发送，并完成实验报告,【,实验要求,】,(1)完成实验报告的所有解决方案内容,并附上关键步骤截图。,(2)记录分析实验结果。,(3),总结经验，形成报告,具体内容、步骤参考教材,P133,Thank You!,