crl認證

⑴ 什麼是CA證書

CA是負責簽發證書、認證證書、管理已頒發證書的機關。它要制定政策和具體步驟來驗證、識別用戶身份，並對用戶證書進行簽名，以確保證書持有者的身份和公鑰的擁有權。網上的公眾用戶通過驗證 CA 的簽字從而信任 CA ，任何人都可以得到 CA 的證書（含公鑰），用以驗證它所簽發的證書。

⑵ 如何發布CRL

CRL是證書來作廢表的縮寫。CRL中記錄尚自未過期但已聲明作廢的用戶證書序列號，供證書使用者在認證對方證書時查詢使用。CRL通常被稱為證書黑名單。
1、進CA
2、將「證書吊銷列表（CRL）」發布出來
3、之後網路上的計算機只要下載這個CRL
4、就可以知道有哪些證書已經被吊銷。

⑶ 什麼是CRL

CRL是證書抄作廢表的縮寫襲。CRL中記錄尚未過期但已聲明作廢的用戶證書序列號，供證書使用者在認證對方證書時查詢使用。CRL通常被稱為證書黑名單。 在驗證證書或簽名時，應用系統可以通過檢查 CRL，來確定給定證書是否仍然可信（有些應用程序使用 CryptoAPI 中的 Microsoft 證書鏈驗證 API 來完成此任務）。如果不可信，應用程序可以判斷吊銷的理由或日期對使用有疑問證書是否有影響。

⑷ java 代碼實現 簽發（製作）CRL（證書吊銷列表）文件，

java 解析 CRL 文件(java 解析 證書吊銷列表)2010-04-06 10:25import java.io.FileInputStream;
import java.io.FileNotFoundException;
import java.security.cert.CRLException;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509CRL;
import java.security.cert.X509CRLEntry;
import java.text.SimpleDateFormat;
import java.util.Iterator;
import java.util.Set;
public class Test2 {
public static void main (String[] args) throws FileNotFoundException ,CertificateException,CRLException {
FileInputStream fis = new FileInputStream("E:\\1.crl");
CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509CRL aCrl = (X509CRL) cf.generateCRL(fis);
int i = 0;
Set tSet = aCrl.getRevokedCertificates();
Iterator tIterator = tSet.iterator();
while (tIterator.hasNext()) {
X509CRLEntry tEntry = (X509CRLEntry) tIterator.next();
String sn = tEntry.getSerialNumber().toString(16).toUpperCase();
String issName = aCrl.getIssuerDN().toString();
String time = new SimpleDateFormat("yyyyMMddHHmmss").format (tEntry.getRevocationDate());
i++;
System.out.println(sn);
System.out.println(issName);
System.out.println(time);
System.out.println("***************************");
}
}
}

⑸ 權威的數字證書頒發機構有哪些

不知道這里的數字證書是否指的是SSL證書，因為它也是數字證書的一種，主要作用是伺服器認證和數據加密傳輸，保障網路的基本安全。
申請SSL證書一定要選擇權威的CA機構頒發的，目前比較受歡迎的國際品牌推薦如下：
一、Comodo
Comodo是世界上知名的SSL證書頒發機構，著名的網路安全軟體廠商，致力於為個人和企業用戶提供電子郵件安全、託管DNS、PKI管理、SSL證書、安全通訊以及許多其他服務，Comodo是確保互聯網具有可靠和安全性的大型證書頒發機構之一。 Comodo SSL證書保護伺服器和客戶端瀏覽器之間通信連接,保證傳輸和接收的數據的完整性，真實性以及安全性，使Comodo成為一個非常值得信賴的品牌。
二、Symantec
Symantec成立於1982年，全球安全領域的領導者，Symantec SSL證書(前身為VeriSign)是全球公認最可靠證書頒發機構。90%的世界500強在使用Symantec SSL證書，工農中建等銀行以及大多數金融機構都在使用Symantec SSL證書。服務於全球超過35個國家，擁有眾多的企業、政府和個人用戶。全球100家最大的金融機構中有90多家，北美500家最大的電子商務網站中75%的網站使用的都是賽門鐵克的SSL證書。
三、GeoTrust
GeoTrust是世界第二大的數字安全提供者，是非常受歡迎，低廉的價格非常適合中小型企業，簽發速度快並且提供高達256位SSL加密。現已超過150個國家的用戶選擇GeoTrust產品來保護他們的在線交易和各類在線業務，Geotrust的SSL證書和信任產品使各種規模的企業能夠經濟、高效、最大限度的提高其數字交易的安全性。

四、RapidSSL
Rapid是美國GeoTrust公司的一個面向低端用戶而提供的簡易版、快速簽發、入門級SSL證書的品牌，主要應用於中小規模、入門級的電子商務網站。RapidSSL是GeoTrust公司的下屬品牌，面向個人和小微企業提供廉價的SSL/TLS證書產品，不限制伺服器安裝數量。 作為一款域名型 GeoTrust DV SSL證書，RapidSSL申請簡單，通常只需要10分鍾就可以完成伺服器證書的簽發。

⑹ 身份認證怎麼繞過CRL驗證

http://wenku..com/link?url=v6x75s2wYkRdSz-eEdzwUGKVANfmpR9HvKo0q

⑺ 該怎麼選擇CA證書頒發機構

選擇CA證書頒發機構，
為網站安裝SSL證書無非是讓網站的數據安全有所保障，版
所以免費SSL或者無資質權SSL頒發機構的出現，
勢必為網站數據安全帶來安全隱患。
因此，在選擇SSL證書時，一定要選擇權威、安全可靠的頒發機構。
Symantec賽門鐵克（CA機構）高端的SSL證書品牌，國際知名的CA機構，行業領先者，是互聯網上最受認可和信任的SSL安全證書品牌，為用戶與服務端之間提供安全的網路信息通道。

⑻ 怎麼用java代碼生成一個crl證書吊銷列表

證書吊銷列表（CRL） 定義：一個被簽署的列表，它指定了一套證書發布者認為回無效的證書。除了普通答CRL外，還定義了一些特殊的CRL類型用於覆蓋特殊領域的CRL。 解釋：CRL一定是被CA所簽署的，可以使用與簽發證書相同的私鑰，也可以使用專門的CRL簽

⑼ CRL是什麼

中文意思：證書吊銷列表
英文：Certificate Revocation List
出處：ITU/T X.509 | ISO/IEC 9594-8：2001，GB/T 16264.8-2005
定義：一個被簽署的列表，它指定了一套證書發布者認為無效的證書。除了普通CRL外，還定義了一些特殊的CRL類型用於覆蓋特殊領域的CRL。
解釋：CRL一定是被CA所簽署的，可以使用與簽發證書相同的私鑰，也可以使用專門的CRL簽發私鑰。CRL中包含了被吊銷證書的序列號。

證書吊銷
證書具有一個指定的壽命，但 CA 可通過稱為證書吊銷的過程來縮短這一壽命。CA 發布一個證書吊銷列表 (CRL)，列出被認為不能再使用的證書的序列號。CRL 指定的壽命通常比證書指定的壽命短得多。CA 也可以在 CRL 中加入證書被吊銷的理由。它還可以加入被認為這種狀態改變所適用的起始日期。
可將下列情況指定為吊銷證書的理由：
泄露密鑰
泄露 CA
從屬關系改變
被取代
業務終止
證書持有（這是唯一讓您能夠改變被吊銷證書狀態的理由碼，在證書狀態有問題的情況下非常有用）
由 CA 吊銷證書意味著，CA 在證書正常到期之前撤銷其允許使用該密鑰對的有關聲明。在吊銷的證書到期之後，CRL 中的有關條目被刪除，以縮短 CRL 列表的大小。
在驗證簽名期間，應用程序可以檢查 CRL，以確定給定證書和密鑰對是否仍然可信（有些應用程序使用 CryptoAPI 中的 Microsoft 證書鏈驗證 API 來完成此任務）。如果不可信，應用程序可以判斷吊銷的理由或日期對使用有疑問證書是否有影響。如果該證書被用來驗證簽名，且簽名的日期早於 CA 吊銷該證書的日期，那麼該簽名仍被認為是有效的。
應用程序獲得 CRL 之後，由客戶機緩存 CRL ，在它到期之前客戶機將一直使用它。如果 CA 發布了新的 CRL，擁有有效 CRL 的應用程序並 不 使用新的 CRL，直到應用程序擁有的 CRL 到期為止。

⑽ 如何看CRL

數字證書基本概念
（1）什麼是證書?
在一個電子商務系統中，所有參與活動的實體都必須用證書來表明自己的身份。證書一方面可以用來向系統中的其它實體證明自己的身份（每份證書都是經「相對權威的機構」簽名的），另一方面由於每份證書都攜帶著證書持有者的公鑰（簽名證書攜帶的是簽名公鑰，密鑰加密證書攜帶的是密鑰加密公鑰），所以，證書也可以向接收者證實某人或某個機構對公開密鑰的擁有，同時也起著公鑰分發的作用。
（2）什麼是CA?
CA是Certificate Authority的縮寫，是證書授權的意思。在電子商務系統中，所有實體的證書都是由證書授權中心既CA中心分發並簽名的。一個完整、安全的電子商務系統必須建立起一個完整、合理的CA體系。CA體系由證書審批部門和證書操作部門組成。
（3）什麼是SSL?
安全套接層協議（SSL，Security Socket Layer）是網景（Netscape）公司提出的基於WEB應用的安全協議，它包括：伺服器認證、客戶認證（可選）、SSL鏈路上的數據完整性和SSL鏈路上的數據保密性，主要採用公開密鑰體制和X.509數字證書技術來提供安全性保證。對於電子商務應用來說， SSL可保證信息的真實性、完整性和保密性。但由於SSL不對應用層的消息進行數字簽名，因此不能提供交易的不可否認性，這是SSL在電子商務中使用的最大不足。有鑒於此，網景公司在從Communicator 4.04版開始的所有瀏覽器中引入了一種被稱作"表單簽名（Form Signing）"的功能，在電子商務中，可利用這一功能來對包含購買者的訂購信息和付款指令的表單進行數字簽名，從而保證交易信息的不可否認性。
（4）什麼是RA?
RA即證書發放審核部門，它是CA系統的一個功能組件。它負責對證書申請者進行資格審查，並決定是否同意給該申請者發放證書，並承擔因審核錯誤引起的、為不滿足資格的證書申請者發放證書所引起的一切後果，因此它應由能夠承擔這些責任的機構擔任。
（5）什麼是CP?
CP即證書發放的操作部門，它是CA系統的一個功能組件，負責為已授權的申請者製作、發放和管理證書，並承擔因操作運營錯誤所產生的一切後果，包括失密和為沒有獲得授權者發放證書等，它可以由審核授權部門自己擔任，也可委託給第三方擔任。
（6）什麼是CRL?
CRL是證書作廢表的縮寫。CRL中記錄尚未過期但已聲明作廢的用戶證書序列號，供證書使用者在認證對方證書時查詢使用。CRL通常被稱為證書黑名單。
（7）什麼是OCSP?
OCSP即在線證書狀態查詢（Online Certificate Status Protocol），使用戶可以實時查詢證書的作廢狀態。
（8）什麼是密鑰對，怎樣使用它，怎樣獲得密鑰對?
像有的加密技術中採用相同的密鑰加密、解密數據，公共密鑰加密技術採用一對匹配的密鑰進行加密、解密。每把密鑰執行一種對數據的單向處理，每把的功能恰恰與另一把相反，一把用於加密時，則另一把就用於解密。
公共密鑰是由其主人加以公開的，而私人密鑰必須保密存放。為發送一份保密報文，發送者必須使用接收者的公共密鑰對數據進行加密，一旦加密，只有接收方用其私人密鑰才能加以解密。
相反地，用戶也能用自己私人密鑰對數據加以處理。換句話說，密鑰對的工作是可以任選方向的。這提供了"數字簽名"的基礎，如果要一個用戶用自己的私人密鑰對數據進行了處理，別人可以用他提供的公共密鑰對數據加以處理。由於僅僅擁有者本人知道私人密鑰，這種被處理過的報文就形成了一種電子簽名----一種別人無法產生的文件。
數字證書中包含了公共密鑰信息，從而確認了擁有密鑰對的用戶的身份。
大多數情況下，當你申請數字證書時，會為你產生密鑰對。出於安全性考慮，密鑰對應當在您的機器產生並且私人密鑰不會在網上傳輸。
一旦產生，就應在認證中心上登記自己的公共密鑰，隨後認證中心將發送給用戶數字證書，以證實你的公共密鑰及其他一些信息。
（9）如何確保得到我的私鑰的安全？
有以下三種保護方法：
將私人密鑰存放在自己計算機的硬碟上，這樣你能控制對它的存取。
將私人密鑰存放在IC卡上，並將IC卡存放在自己可以控制的地方。
當你產生自己的私人密鑰時，你所使用的軟體（如瀏覽器）將要求你輸入一個密碼，這一密碼將保護對私人密鑰的存取。對於微軟Internet Explorer用戶，私人密鑰將由Windows密碼加以保護。 只有在下述兩種情況下，第三方可以存取您的私人密鑰：
有權存取你存放密鑰的文件（常常是你的系統配置文件）。
知道你的私人密碼。有的軟體允許你選擇不使用密碼來保護你的私人密鑰。如果你選擇了這項，你必須已確信，無論現在還是將來，都不會有人非法訪問你的計算機。
總而言之，使用密碼要比完全以物理角度保護你的計算機方便得多。不選用密碼，就像在自己的支票夾上預先簽好了所有支票，並將它打開著放在辦公桌上。
二：數字證書的一些問題：
1. 我的私鑰怎樣保存？
私鑰可以通過兩種方式保存：
以文件的形式保存在你的計算機硬碟中，這樣你可以很容易控制對它的訪問。
產生私鑰時，使用的軟體（例如瀏覽器）可能會要求你提供一個密碼，通過這個密碼來保護私鑰免被非法使用。對於Microsoft IE用戶， 私鑰可以由Windows的密碼保護。
第三方只可以在下列情況下訪問你的私鑰：1、能夠訪問用於存儲密鑰的文件（該文件往往是你的計算機系統配置文件的一部分）；2、知道保護私鑰的密碼。某些軟體允許你選擇不使用密碼來保護你的私鑰，如果選擇了該選項，你必須確信現在或者將來不會有人在非授權的情況下使用你的計算機
一般來說，可以很簡單的使用密碼將你的計算機完全的保護起來。不使用密碼就象填好支票後將支票本放在桌上一樣不安全。
2. 我該怎樣保存我的私鑰？
通過物理的安全保護來保護你的計算機不被非授權使用。要使用訪問控制產品或者操作系統保護措施（例如系統密碼）。採取措施來防病毒，因為病毒能攻擊私鑰。一般選擇一個好的密碼來保護私鑰。
3. 什麼是好的密碼？
一個好的密碼要足夠的長和足夠的特別，通過徹底搜尋（例如使用目錄）也不能被查到，好的密碼應該是你很容易就能記住而別人很難猜到的密碼；最好使用八位以上的密碼，不要使用容易與你某些事情聯系起來的密碼，比如你的電話號碼、生日或是你家庭成員的名字。不要使用英文單詞、常見的術語或是你以前用過的密碼；如果將密碼寫下來了，不要放到容易找到的地方。
4. 我的計算機將我的密碼保存在哪兒？
你的私鑰一般以加密的形式保存在參數選擇或配置文件里，只能用你的私鑰保護密碼才能打開。
5. 我需要在家裡和辦公室都使用我的數字證書，我可以安全的在計算機之間移動我的私鑰和數字證書嗎？
在計算機之間移動密鑰和數字證書是可能的，只要兩台計算機都使用同樣的軟體。你需要詢問軟體供應商是否有這樣的軟體應用。在你打算移動密鑰時，使用安全的密碼來保護你的密鑰是非常重要的。
6. 我在沒有獲得一個新證書的情況下可以更改我保護私鑰的密碼嗎？
可以。你的密碼加密了你的證書私鑰。可以用產生這個密碼的程序更改密碼（重新加密你的私鑰）。如果你認為其它人有可能知道你的密碼時，你應該立刻更改密碼。
7. 我忘了我的私鑰密碼，有人能幫我更換掉它嗎？
不能。如果你忘了你的私鑰密碼，沒有人能幫助你。你只能產生新的密鑰對和獲得新的證書。所有用你的公鑰加密的安全電子郵件都會失效，除非你的PKI體系具有密鑰備份和密鑰恢復系統並且該系統已經備份了你的私鑰（該方式一般在支持雙密鑰對體系中）。有些情況下，你還需要重新安裝你的電子郵件程序和網路瀏覽器。
8. 在我忘了我的密碼時沒有人能幫助我，這聽起來非常不友好，為什麼？
這是介於安全和便利之間的矛盾。如果有方法讓其他人能為你恢復私鑰密碼，那他或者她也能盜用密碼以達到其不可告人的目的。證書仍然是新的，但證書私鑰可能已經被外泄，也就是說，該證書持有者進行的交易已經不具備不可否認性。將來可能可以將你的私鑰不加密地保存在一張軟盤上（不需要密碼），而軟盤被放在安全的地方，比如保管箱。微軟和網景都是在這樣的系統上運作的。如果你忘了正常加密的密碼，可以用這張軟盤來恢復你的證書的私鑰。
9. 有人偷了我的計算機，他們現在擁有我的證書的私鑰嗎？
如果你使用了一個好的密碼來保護你的私鑰，那別人就不可能使用你的私鑰。你應該和給你發證的CA中心聯系，要求廢除你的證書，然後給你發放一個新的證書（有新的密鑰對）。
10. 有人偷了我的計算機，而我已經選擇不要密碼保護我的私鑰，我現在該怎麼辦？
你應該立即通知你的CA你的私鑰受到安全威脅，它會安排撤銷你的證書並給你頒發新的證書。注意：雖然關系夥伴一般都會檢查證書的撤銷狀態，但仍然有些不會去這么做。最好的辦法是通知所有可能受到影響的人你的私鑰已經不安全了。
CA認證功能介紹
概括地說，認證中心（CA）的功能有：證書發放、證書更新、證書撤銷和證書驗證。CA的核心功能就是發放和管理數字證書，具體描述如下：
（1）接收驗證最終用戶數字證書的申請。
（2）確定是否接受最終用戶數字證書的申請-證書的審批。
（3）向申請者頒發、拒絕頒發數字證書-證書的發放。
（4）接收、處理最終用戶的數字證書更新請求-證書的更新。
（5）接收最終用戶數字證書的查詢、撤銷。
（6）產生和發布證書廢止列表（CRL）。
（7）數字證書的歸檔。
（8）密鑰歸檔。
（9）歷史數據歸檔。
認證中心為了實現其功能，主要由以下三部分組成：
（1）注冊伺服器：通過 Web Server 建立的站點，可為客戶提供每日24小時的服務。因此客戶可在自己方便的時候在網上提出證書申請和填寫相應的證書申請表，免去了排隊等候等煩惱。 （2）證書申請受理和審核機構：負責證書的申請和審核。它的主要功能是接受客戶證書申請並進行審核。 （3）認證中心伺服器：是數字證書生成、發放的運行實體，同時提供發放證書的管理、證書廢止列表（CRL）的生成和處理等服務。
CA認證簡介
為保證網上數字信息的傳輸安全，除了在通信傳輸中採用更強的加密演算法等措施之外，必須建立一種信任及信任驗證機制，即參加電子商務的各方必須有一個可以被驗證的標識，這就是數字證書。數字證書是各實體(持卡人/個人、商戶/企業、網關/銀行等)在網上信息交流及商務交易活動中的身份證明。該數字證書具有唯一性。它將實體的公開密鑰同實體本身聯系在一起，為實現這一目的，必須使數字證書符合X.509國際標准，同時數字證書的來源必須是可靠的。這就意味著應有一個網上各方都信任的機構，專門負責數字證書的發放和管理，確保網上信息的安全，這個機構就是CA認證機構。各級CA認證機構的存在組成了整個電子商務的信任鏈。如果CA機構不安全或發放的數字證書不具有權威性、公正性和可信賴性，電子商務就根本無從談起。
數字證書認證中心（Certficate Authority,CA）是整個網上電子交易安全的關鍵環節。它主要負責產生、分配並管理所有參與網上交易的實體所需的身份認證數字證書。每一份數字證書都與上一級的數字簽名證書相關聯，最終通過安全鏈追溯到一個已知的並被廣泛認為是安全、權威、足以信賴的機構--根認證中心（根CA）。
電子交易的各方都必須擁有合法的身份，即由數字證書認證中心機構（CA）簽發的數字證書，在交易的各個環節，交易的各方都需檢驗對方數字證書的有效性，從而解決了用戶信任問題。CA涉及到電子交易中各交易方的身份信息、嚴格的加密技術和認證程序。基於其牢固的安全機制，CA應用可擴大到一切有安全要求的網上數據傳輸服務。
數字證書認證解決了網上交易和結算中的安全問題，其中包括建立電子商務各主體之間的信任關系，即建立安全認證體系（CA）；選擇安全標准（如SET、SSL）；採用高強度的加、解密技術。其中安全認證體系的建立是關鍵，它決定了網上交易和結算能否安全進行，因此，數字證書認證中心機構的建立對電子商務的開展具有非常重要的意義。
認證中心（CA），是電子商務體系中的核心環節，是電子交易中信賴的基礎。它通過自身的注冊審核體系，檢查核實進行證書申請的用戶身份和各項相關信息，使網上交易的用戶屬性客觀真實性與證書的真實性一致。認證中心作為權威的、可信賴的、公正的第三方機構，專門負責發放並管理所有參與網上交易的實體所需的數字證書。
數字證書就是標志網路用戶身份信息的一系列數據，用來在網路通訊中識別通訊各方的身份，即要在Internet上解決"我是誰"的問題，就如同現實中我們每一個人都要擁有一張證明個人身份的身份證或駕駛執照一樣，以表明我們的身份或某種資格。

數字證書是由權威公正的第三方機構即CA中心簽發的，以數字證書為核心的加密技術可以對網路上傳輸的信息進行加密和解密、數字簽名和簽名驗證，確保網上傳遞信息的機密性、完整性，以及交易實體身份的真實性，簽名信息的不可否認性，從而保障網路應用的安全性。

數字證書採用公鑰密碼體制，即利用一對互相匹配的密鑰進行加密、解密。每個用戶擁有一把僅為本人所掌握的私有密鑰（私鑰），用它進行解密和簽名；同時擁有一把公共密鑰（公鑰）並可以對外公開，用於加密和驗證簽名。當發送一份保密文件時，發送方使用接收方的公鑰對數據加密，而接收方則使用自己的私鑰解密，這樣，信息就可以安全無誤地到達目的地了，即使被第三方截獲，由於沒有相應的私鑰，也無法進行解密。通過數字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。在公開密鑰密碼體制中，常用的一種是RSA體制。

用戶也可以採用自己的私鑰對信息加以處理，由於密鑰僅為本人所有，這樣就產生了別人無法生成的文件，也就形成了數字簽名。採用數字簽名，能夠確認以下兩點：

（1）保證信息是由簽名者自己簽名發送的，簽名者不能否認或難以否;

（2）保證信息自簽發後到收到為止未曾作過任何修改，簽發的文件是真實文件。

數字證書可用於：發送安全電子郵件、訪問安全站點、網上證券、網上招標采購、網上簽約、網上辦公、網上繳費、網上稅務等網上安全電子事務處理和安全電子交易活動。

數字證書的格式一般採用X.509國際標准。
參考資料：http://hyzj.go2.icpcn.com/index1.htm