24秋网络认证技术总结

news2025/1/5 12:09:50

PKI系统的核心组件包括：

最简单的PKI结构：
- 仅包括一个CA和订户。
- CA直接处理所有证书签发和管理工作。
引入RA（Registration Authority）：
- 负责身份验证，减轻CA的负担。
- RA可并行处理多个申请。
分层CA结构：
- 根CA签发自签名证书，负责签发子CA证书。
- 子CA直接与订户交互，签发订户证书。
- 根CA通常离线以增强安全性，子CA保持在线。
引入Repository：
- 用于发布证书、CRL及其他信息。
- 提供多种访问接口，提升用户获取证书的便利性。
进一步优化：
- 引入专门的CRL Issuer。
- 增加OCSP服务器以减少撤销信息延迟。

基本信息:
- 证书持有者名称（订户的身份信息）。
- 颁发者名称（CA的信息）。
- 证书序列号（证书的唯一标识）。
- 有效期（起始时间和结束时间）。
- 证书公钥（持有者的公钥信息）。
- 数字签名（由CA对证书进行签名，保证真实性）。
其他信息（扩展字段）:
- 密钥用途（如加密、签名）。
- 证书策略（使用场景和约定）。

基于 X.509版本3 标准的证书结构包括：

证书编码基本数据类型含义、关键字含义、编码格式(不考细节计
算)、消岐问题
如何将基本数据类型和关键字转化为0/1比特串-》编码
各种编码的value需要熟悉，显式标签，隐式标签

ASN.1 是一种描述数据结构的方法，定义了一些基本的数据类型：

这些类型相当于 C 语言中的基本数据类型，如 int、char 等。

ASN.1 提供了一些关键字，用于组合数据类型以构造复杂的数据结构：

例如，证书中的 AlgorithmIdentifier 是一个 SEQUENCE，包含 algorithm 和 parameter，后者可以为 OPTIONAL。

编码将 ASN.1 的数据结构转化为二进制串，常见的编码规则包括 BER、DER 和 CER。

例如，BOOLEAN 类型 TRUE 的 DER 编码为 01 01 FF，其中：

当多个字段的数据类型相同且为 OPTIONAL 时，会导致解析歧义。例如：

TBSCertificate ::= SEQUENCE {
    version [0] EXPLICIT Version DEFAULT v1,
    serialNumber CertificateSerialNumber,
    ...
}

为解决歧义：

使用标签 (Tag) 区分：为字段添加明确的标记。
- EXPLICIT Tag：在数据前额外嵌套一层编码，用于无歧义解析。
- IMPLICIT Tag：在 Type 中直接修改标记，不额外嵌套编码。

显式标签 (EXPLICIT)：
- 在编码中额外嵌套一层。例如： version=2 的编码从 02 01 02 变为 A0 03 02 01 02。
隐式标签 (IMPLICIT)：
- 不额外嵌套，直接在 Type 中修改。例如： KeyIdentifier 的编码从 04 02 33 77 变为 80 02 33 77。

以 INTEGER 类型为例：

OID 编码：
- 首字节 = 40 × 第一个值 + 第二个值。
- 后续值使用 128 进制表示，高位设置为 1。
- 例如，OID 1.2.840.113549 的编码为：06 09 2A 86 48 86 F7 0D。
BIT STRING：
- 需要填充至字节的倍数，并在首字节记录填充位数。
- 例如，比特串 01101110010111，编码为：03 03 05 6E 57。