證書私鑰

A. 如何保護數字證書和私鑰

需要澄清的概念 一、關於私鑰的唯一性 嚴格地講，私鑰既然是世上唯一且只由主體本身持有，它就必須由主體的計算機程序來生成。因為如果在別處生成將會有被拷貝的機會。然而在實際應用上並非如此，出於某些特殊需要(例如，如果只有一份私鑰，單位的加密文件就會因為離職員工帶走私鑰而無法解密。)加密用的公/私鑰對會要求在可信的第三方儲存其備份。這樣，加密用的私鑰可能並不唯一。然而簽名用的私鑰則必須保持唯一，否則就無法保證被簽名信息的不可否認性。 在生成用戶的密鑰對時，用於加密的公/私鑰對可以由CA、RA產生，也可以在用戶終端的機器上用專用的程序(如瀏覽器程序或認證軟體)來產生。用於數字簽名的密鑰對原則上只能由用戶終端的程序自行產生，才能保證私鑰信息的私密性以及通信信息的不可否認性。 我們常常聽到有人說：保管好你的軟盤，保管好你的KEY，不要讓別人盜用你的證書。有些教科書上也這樣講。應該說，這句話是有毛病的。數字證書可以在網上公開，並不怕別人盜用和篡改。因為證書的盜用者在沒有掌握相應的私鑰的情況下，盜用別人的證書既不能完成加密通信，又不能實現數字簽名，沒有任何實際用處。而且，由於有CA對證書內容進行了數字簽名，在網上公開的證書也不怕黑客篡改。我們說，更該得到保護的是儲存在介質中的私鑰。如果黑客同時盜走了證書和私鑰，危險就會降臨。 不同的存儲介質，安全性是不同的。如果證書和私鑰儲存在計算機的硬碟里，計算機一旦受到黑客攻擊，(例如被埋置了木馬程序)證書和私鑰就可能被盜用。 使用軟盤或存儲型IC卡來保存證書和私鑰，安全性要比硬碟好一些，因為這兩種介質僅僅在使用時才與電腦相連，用完後即被拔下，證書和私鑰被竊取的可能性有所降低。但是黑客還是有機會，由於軟盤和存儲型IC卡不具備計算能力，在進行加密運算時，用戶的私鑰必須被調出軟盤或IC卡進入外部的電腦，在這個過程中就會造成一定的安全隱患。 產生公私密鑰對的程序(指令集)是智能卡生產者燒制在晶元中的ROM中的，密碼演算法程序也是燒制在ROM中。公私密鑰對在智能卡中生成後，公鑰可以導出到卡外，而私鑰則存儲於晶元中的密鑰區，不允許外部訪問。 USB Key和智能卡除了I/O物理介面不一樣以外，內部結構和技術是完全一樣的，其安全性也一樣。只不過智能卡需要通過讀卡器接到電腦的串列介面上，而USB Key通過電腦的通用串列匯流排(USB)介面直接與電腦相接。另外，USB介面的通信速度要遠遠高於串列介面的通信速度。現在出品的電腦已經把USB介面作為標准配置，而使用智能卡則需要加配讀卡器。出於以上原因，各家CA都把USB Key作為首選的證書和私鑰存儲介質而加以推廣。 為了防止USB key 不慎丟失而可能被他人盜用，不少證書應用系統在使用過程中還設置了口令認證機制。如口令輸入得不對，即使掌握了USB key，也不能登錄進入應用系統。

B. ssl證書的公鑰私鑰需要設置嗎

需要設置的，具體設置方法可以咨詢SSL證書提供商。
SSL證書的公鑰密碼體制分為三個部分，即公鑰、私鑰和加密解密演算法，顧名思義，加密是通過加密演算法和公鑰對明文傳輸數據進行加密，得到密文，加密過程是需要用到公鑰的。
解密是反過來，通過解密演算法和私鑰對密文進行解密，得到明文。解密過程需要用到解密演算法和私鑰。所以上文提到由公鑰加密的內容，只能由對應的私鑰進行解密，如果是公鑰加密的內容，不知道私鑰那是無法解密的，公鑰和私鑰保證了數據傳輸的安全性。
公鑰和演算法都是公開的，私鑰是保密的，是需要自己手動設置的。大家都用公鑰進行加密，但是只有私鑰的持有者才能解密。在實際的使用中，有需要的人會生成一對公鑰和私鑰，把公鑰發布出去給別人使用，自己保留私鑰。
數字證書是一個經證書授權中心數字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件。最簡單的證書包含一個公開密鑰、名稱以及證書授權中心的數字簽名。所以ssl證書中肯定包含唯一匹配的公鑰和私鑰。網站擁有者向CA機構申請ssl證書時，證書請求文件中只包含公鑰，不包含私鑰。證書私鑰由網站保存，證書請求文件提交給CA機構進行認證和簽名後對外公開。

C. SSL中，公鑰，私鑰，證書的後綴名都是些啥

SSL證書後綴
CSR – Certificate Signing Request,即證書簽名請求,這個並不是證書,而是向權威證書頒發機構獲得簽名證書的申請,其核心內容是一個公鑰(當然還附帶了一些別的信息),在生成這個申請的時候,同時也會生成一個私鑰,私鑰要自己保管好.做過iOS APP的朋友都應該知道是怎麼向蘋果申請開發者證書的吧.
KEY– 通常用來存放一個RSA 公鑰或者私鑰,並非X.509證書,編碼同樣的,可能是PEM,也可能是DER.
CRT– CRT應該是certificate的三個字母,其實還是證書的意思,常見於*NIX系統,有可能是PEM編碼,也有可能是DER編碼,大多數應該是PEM編碼。本站提供的CRT格式等同於CER,等同於PEM。
PEM – Privacy Enhanced Mail的縮寫，以文本的方式進行存儲。打開看文本格式,以」—–BEGIN…」開頭, 「—–END…」結尾,內容是編碼. 查看PEM格式證書的信息:openssl x509 -in certificate.pem -text -noout Apache和*NIX伺服器偏向於使用這種編碼格式.
CER– 還是certificate,還是證書,常見於Windows系統,同樣的,可能是PEM編碼,也可能是DER編碼,大多數應該是DER編碼.
DER – Distinguished Encoding Rules的縮寫，以二進制方式進行存儲，文件結構無法直接預覽，查看DER格式證書的信息:openssl x509 -in certificate.der -inform der -text -noout Java和Windows伺服器偏向於使用這種編碼格式.
PFX/P12 – predecessor of PKCS#12,對*nix伺服器來說,一般CRT和KEY是分開存放在不同文件中的,但Windows的IIS則將它們存在一個PFX文件中,(因此這個文件包含了證書及私鑰)這樣會不會不安全？應該不會,PFX通常會有一個」提取密碼」,你想把裡面的東西讀取出來的話,它就要求你提供提取密碼,PFX使用的時DER編碼,如何把PFX轉換為PEM編碼？
JKS – 即Java Key Storage,這是Java的專利,跟OpenSSL關系不大,利用Java的一個叫」keytool」的工具,可以將PFX轉為JKS,當然了,keytool也能直接生成JKS。

D. 使用證書簽名時發生錯誤,您可能並不擁有該證書的私鑰!

近日打開淘寶網登陸時總是提示「使用「名字」證書簽名時發生錯誤,您可能並不擁有該證書的私鑰!」

這里的證書指的是「支付寶證書」，所以把IE中的證書刪除了重新安裝一遍即可解決此問題。

操作步驟如下：
1.點擊IE菜單欄「工具」——Internet選項——「內容」選項卡——中間的「證書」按鈕，將列表中頒發者為alipay.com的證書刪除。
2.再次登陸淘寶——提示未安裝支付寶證書，點擊「下載並安裝數字證書」——登陸支付寶——管理數字證書——立即安裝，按提示完成證書安裝——返回淘寶，點擊「重新驗證」即可。
大功告成！
54173CN原創

E. 導入證書的私鑰密碼忘了

只能會網點重新補辦證書；或者你有耐心接著猜你原來留的密碼，呵呵

F. 私鑰密碼是什麼意思

私鑰密碼是私人（個人）鑰匙密碼
不是證書開發者密碼
這個密碼是用作啟用、導出、導入時的保護密碼。
是為了其他不法手段竊取鑰匙，而對你本身有危害的保護。

G. 私鑰密碼是什麼意思

就是你在導出這個證書的時候，會要你設置1個安全密碼
只有知道這個密碼，才可以重新導入這個證書來使用，避免其他人亂用 答案補充 那就是當時你設置過密碼，然後忘記了
實在不記得，就去重新下載1個證書 答案補充 你這個證書是網上銀行交易的證書？？還是其他什麼？ 答案補充 網銀的數字證書，可以去網上重新下載1個，沒事

H. 怎麼找私鑰安全證書，我對電腦不是很明白

一、必須以管理員身份進行登錄，才能執行。
可以導入證書以便在計算機上使用該證書，也可以導出證書以便在其他計算機上使用該證書。
二、導出證書和私鑰的步驟
如果要創建證書的備份副本或者在其他計算機上使用該證書，則必須先導出證書和私鑰。導出證書會將其放在文件中，然後可以傳輸到其他計算機或者放在安全的地方。建議您將證書導出到可移動媒體（如軟盤或 USB 快閃記憶體驅動器）中。
1.單擊「開始」按鈕
2.在搜索框中鍵入 certmgr.msc，然後Enter，打開「證書管理器」。
3.如果系統提示您輸入管理員密碼或進行確認，請鍵入該密碼或提供確認。
4.右鍵單擊要導出的證書，指向「所有任務」，然後單擊「導出」。
5.在證書導出向導中，單擊「下一步」。
6.如果要在其他計算機上使用此證書，請單擊「是，導出私鑰」；否則，單擊「不，不要導出私鑰」，然後單擊「下一步」。（只有將私鑰標記為可導出且可以訪問它時才會顯示該選項。）
7.單擊要使用的格式，然後單擊「下一步」。
三、注意
根據要使用證書的方式選擇要使用的格式。對於帶有私鑰的證書，請使用個人信息交換格式。如果要將一個文件中的多個證書從一台計算機移到另一台計算機，請使用加密消息語法標准。如果需要在多個操作系統上使用證書，請使用 DER 編碼的二進制 X.509 格式。
如果選擇導出私鑰，請鍵入要用於加密密鑰的密碼，確認該密碼，然後單擊「下一步」。
導出過程會創建一個用於存儲證書的文件。輸入該文件的名稱和位置（包括完整路徑），或者單擊「瀏覽」，導航到其位置，然後輸入文件名。
單擊「完成」。

I. 私鑰、公鑰、證書的區別和關系

私鑰是要求你輸入個人密碼才可訪問的，一般網上銀行之類可用到。
公鑰不要回求設置密碼，是已經默認了的，答一般上一些安全性要求不高的網站或共享資源，如區域網。
證書是一種網站加密瀏覽方式，只有允許了才可訪問，一般為安全性較高的網站，如網上銀行；可以訪止黑客盜取客戶資料。

J. 數字證書與私鑰什麼關系

什麼是數字證書？
由於Internet網電子商務系統技術使在網上購物的顧客能夠極其方便輕松地獲得商家和企業的信息,但同時也增加了對某些敏感或有價值的數據被濫用的風險. 為了保證互聯網上電子交易及支付的安全性,保密性等，防範交易及支付過程中的欺詐行為，必須在網上建立一種信任機制。這就要求參加電子商務的買方和賣方都必須擁有合法的身份，並且在網上能夠有效無誤的被進行驗證。數字證書是一種權威性的電子文檔。它提供了一種在Internet上驗證您身份的方式，其作用類似於司機的駕駛執照或日常生活中的身份證。它是由一個由權威機構----CA證書授權(Certificate Authority)中心發行的，人們可以在互聯網交往中用它來識別對方的身份。當然在數字證書認證的過程中，證書認證中心（CA）作為權威的、公正的、可信賴的第三方，其作用是至關重要的。

數字證書也必須具有唯一性和可靠性。為了達到這一目的，需要採用很多技術來實現。通常，數字證書採用公鑰體制，即利用一對互相匹配的密鑰進行加密、解密。每個用戶自己設定一把特定的僅為本人所有的私有密鑰（私鑰），用它進行解密和簽名；同時設定一把公共密鑰（公鑰）並由本人公開，為一組用戶所共享，用於加密和驗證簽名。當發送一份保密文件時，發送方使用接收方的公鑰對數據加密，而接收方則使用自己的私鑰解密，這樣信息就可以安全無誤地到達目的地了。通過數字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。公開密鑰技術解決了密鑰發布的管理問題，用戶可以公開其公開密鑰，而保留其私有密鑰。

數字證書頒發過程一般為：用戶首先產生自己的密鑰對，並將公共密鑰及部分個人身份信息傳送給認證中心。認證中心在核實身份後，將執行一些必要的步驟，以確信請求確實由用戶發送而來，然後，認證中心將發給用戶一個數字證書，該證書內包含用戶的個人信息和他的公鑰信息，同時還附有認證中心的簽名信息。用戶就可以使用自己的數字證書進行相關的各種活動。數字證書由獨立的證書發行機構發布。數字證書各不相同，每種證書可提供不同級別的可信度。可以從證書發行機構獲得您自己的數字證書。

目前的數字證書類型主要包括：個人數字證書、單位數字證書、單位員工數字證書、伺服器證書、VPN證書、WAP證書、代碼簽名證書和表單簽名證書。

隨著Internet的普及、各種電子商務活動和電子政務活動的飛速發展，數字證書開始廣泛地應用到各個領域之中，目前主要包括：發送安全電子郵件、訪問安全站點、網上招標投標、網上簽約、網上訂購、安全網上公文傳送、網上繳費、網上繳稅、網上炒股、網上購物和網上報關等。

數字簽名（Digital Signature）技術是不對稱加密演算法的典型應用。數字簽名的應用過程是，數據源發送方使用自己的私鑰對數據校驗和或其他與數據內容有關的變數進行加密處理，完成對數據的合法「簽名」，數據接收方則利用對方的公鑰來解讀收到的「數字簽名」，並將解讀結果用於對數據完整性的檢驗，以確認簽名的合法性。數字簽名技術是在網路系統虛擬環境中確認身份的重要技術，完全可以代替現實過程中的「親筆簽字」，在技術和法律上有保證。在公鑰與私鑰管理方面，數字簽名應用與加密郵件PGP技術正好相反。在數字簽名應用中，發送者的公鑰可以很方便地得到，但他的私鑰則需要嚴格保密。

數字簽名包括普通數字簽名和特殊數字簽名。普通數字簽名演算法有RSA、ElGmal、Fiat-Shamir、Guillou-Quisquarter、Schnorr、Ong-Schnorr-Shamir數字簽名演算法、Des/DSA，橢圓曲線數字簽名演算法和有限自動機數字簽名演算法等。特殊數字簽名有盲簽名、代理簽名、群簽名、不可否認簽名、公平盲簽名、門限簽名、具有消息恢復功能的簽名等，它與具體應用環境密切相關。