第十二章 PKI证书体系

最新推荐文章于 2026-07-05 14:54:44 发布
原创 最新推荐文章于 2026-07-05 14:54:44 发布 · 789 阅读 · 20 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
收录于
HCIA—Security学习

当前文章被收录于：

HCIA—Security学习
14 篇文章 1 人学习

HCIA-Security认证学习指南，助你掌握网络安全基础技能。

订阅专栏 查看详情

文章目录

一、数据安全通信技术

1.1、PKI核心技术演进

PKI（Public Key Infrastructure）围绕数字证书的申请、颁发、使用、更新与撤销全生命周期展开，涉及以下关键技术：

  • 对称加密：用于高效加密数据
  • 公钥加密：解决密钥分发问题
  • 数字信封：结合对称与非对称加密优势
  • 数字签名：保障完整性与不可否认性
1.2、数字信封（Digital Envelope）
1.2.1、定义

发送方使用接收方的公钥加密对称密钥后得到的数据结构。

1.2.2、工作原理
  1. 发送方生成对称密钥，用其加密明文 → 得密文
  2. 用接收方公钥加密该对称密钥 → 形成“数字信封”
  3. 接收方收到后，使用自己的私钥解密数字信封，获取对称密钥
  4. 使用对称密钥解密密文 → 恢复明文

数字信封 = E Pub R ( K sym ) \text{数字信封} = E_{\text{Pub}_R}(K_{\text{sym}}) 数字信封=EPubR​​(Ksym​)

其中E表示加密，Pub是接收方公钥，Ksym是对称密钥

1.2.3、作用
  • 实现安全密钥传输
  • 结合了对称加密的效率与非对称加密的安全性
1.3、数字签名（Digital Signature）
1.3.1、定义

发送方使用自己的私钥对信息摘要（数字指纹） 加密所得的数据。

1.3.2、数字指纹（信息摘要）
  • 通过哈希算法（如SHA-256）对明文计算得出
  • 固定长度，唯一标识原始数据
1.3.3、工作流程
  1. 发送方对明文进行哈希运算 → 得数字指纹
  2. 使用发送方私钥加密该指纹 → 生成数字签名
  3. 将（明文 + 数字签名）一同发送
  4. 接收方：
    • 对明文重新哈希 → 得指纹A
    • 用发送方公钥解密签名 → 得指纹B
    • 若指纹A == 指纹B，则验证通过

签名 = E Priv S ( H ( M ) ) \text{签名} = E_{\text{Priv}_S}(H(M)) 签名=EPrivS​​(H(M))

H(M)：消息M的哈希值，PrivS：发送方私钥

1.3.4、作用
  • 验证数据完整性
  • 提供身份认证与不可否认性
1.4、数字证书（Digital Certificate）
1.4.1、定义

由证书授权中心（CA） 数字签名的文件，包含拥有者的公钥及身份信息。

1.4.2、核心作用

解决“如何证明公钥是合法的？”这一信任问题。

数字证书 ≈ 网络世界中的“身份证”或“护照”

1.4.3、验证流程
  1. 接收方收到证书
  2. 使用CA的公钥解密证书中的数字签名 → 得到摘要A
  3. 对证书内容进行哈希 → 得到摘要B
  4. 若摘要A == 摘要B，则证书合法、未被篡改
1.5、数字证书结构（遵循X.509 v3规范）
字段说明
版本（Version）v3（当前通用）
序列号（Serial Number）唯一标识证书，类似身份证号
签名算法（Signature Algorithm）如 sha256RSA，用于签名加密
签名哈希算法（Hash Algorithm）如 sha256，用于生成摘要
颁发者（Issuer）CA的身份信息（CN/O/L/S/C）
有效期（Validity）起止时间
主体名（Subject Name）证书使用者信息
公钥信息（Subject Public Key Info）包含公钥及其算法（如RSA 2048）
扩展信息（Extensions）如增强密钥用法、CRL分发点等
签名（Signature）CA对该证书整体哈希值的加密结果
1.6、数字证书分类
类型说明
CA证书CA自身的证书，可能是自签名（根CA）或多级CA中的上级签发证书
本地证书CA颁发给用户/设备的证书，用于证明身份
自签名证书设备为自己签发的证书，仅用于私网或测试环境

示例：在单层PKI体系中，根CA证书即为自签名证书

1.7、数字证书格式
格式特点常见后缀
PKCS#12二进制格式，可包含私钥.p12, .pfx
DER二进制编码，不包含私钥.der, .cer, .crt
PEMASCII文本格式，Base64编码，可含私钥.pem, .cer, .crt

二、公钥基础设施（PKI）

2.1、PKI定义

PKI是利用公钥技术和数字证书提供信息安全服务，并验证证书持有者身份的体系。

本质：将非对称密钥管理标准化

2.2、PKI四大组成

组件功能
CA（证书颁发机构）核心，负责证书的颁发、更新、撤销、CRL发布等
RA（证书注册机构）收集并审核用户信息，减轻CA负担；无发证权
证书/CRL存储库存储和分发证书与吊销列表（如LDAP服务器）
终端实体（EE）用户、设备、服务器等申请和使用证书的主体
2.3、层次化CA架构
2.3.1、类比
  • 根CA ↔ 总部
  • 从CA（子CA）↔ 分支机构
2.3.2、工作方式
  • 根CA位于顶层，自签名
  • 从CA由根CA签发证书，向下级签发本地证书
  • 形成信任链：终端证书 ← 从CA ← 根CA
2.4、证书注册机构（RA）
2.4.1、角色定位
  • 作为CA的代理，负责前端审核
  • 提交合法请求至CA，由CA正式签发
2.4.2、流程优势
  • 分担CA压力
  • 实现职责分离，提升安全性

RA不具发证能力，仅为审核与转发

2.5、终端实体（End Entity, EE）
  • 可为个人、组织、设备、服务
  • 向CA提交公钥和身份信息申请证书
  • 使用证书证明自身身份合法性

数字证书 = 网络世界的身份证

三、PKI证书生命周期管理

3.1、证书申请流程

  1. 用户准备

    • 获取CA根证书
    • 生成密钥对（公钥+私钥）
    • 提交公钥与身份信息至RA或CA

  2. RA审核（如有）

    • 验证用户身份
    • 签名确认后转交CA

  3. CA颁发

    • 验证RA签名（若存在）
    • 签发本地证书并输出

  4. RA转发（如有）

    • 将证书发布至LDAP目录
    • 通知用户证书可用及序列号

  5. 用户获取

    • 使用证书序列号访问指定URL下载
    • 必须持有对应私钥才能成功下载
3.2、证书申请方式
方式说明
SCEP（Simple Certificate Enrollment Protocol）在线申请，基于HTTP，广泛用于VPN设备，工业标准
CMPv2（Certificate Management Protocol）更复杂的在线协议，支持双向认证
File-Based（基于文件）离线申请，导出PKCS#10请求文件，通过邮件/磁盘等方式提交
3.3、证书状态查询

为确保证书合法性，需定期检查其状态：

方法说明
CRL（Certificate Revocation List）CA发布的吊销列表，按需下载查询
OCSP（Online Certificate Status Protocol）在线实时查询证书状态，主流浏览器支持（如Firefox）

OCSP正逐步替代CRL，因其响应更快、更实时

3.4 证书注销（撤销）流程
  1. 用户向RA发送签名加密邮件申请撤销
  2. RA审核通过后签名提交至CA
  3. CA验证RA签名，若正确则更新CRL并发布
  4. 用户从LDAP服务器下载最新CRL确认状态

撤销原因包括私钥泄露、离职、证书误发等

四、PKI工作机制

典型交互流程（以防火墙A与B通信为例）

  1. 双方向CA请求并获取CA证书
  2. 安装CA证书，建立信任锚点
  3. 提交公钥与身份信息，申请本地证书
  4. CA审核后签发本地证书
  5. 双方互换本地证书
  6. 使用CA公钥验证对方证书有效性
  7. 建立安全通信通道（如IPSec/SSL）

五、PKI应用场景

5.1、HTTPS登录Web

流程

  1. 管理员通过浏览器访问设备HTTPS页面
  2. 设备返回其数字证书
  3. 浏览器自动验证：
    • 颁发者是否在“受信任根证书颁发机构”中
    • 主体CN是否匹配访问域名
    • 是否在有效期内
    • 是否被CRL/OCSP标记为吊销
  4. 验证通过则建立SSL/TLS隧道，显示绿色锁图标
  5. 后续通信使用证书公钥加密数据，设备私钥解密

有效防止中间人攻击

5.2、IPSec VPN
5.2.1、应用场景
  • 分支机构与总部安全互联
5.2.2、安全机制
  • IKE协商阶段使用PKI证书进行身份认证
  • 保证密钥交换过程的安全性
  • 建立IPSec隧道实现加密通信
5.3、SSL VPN
5.3.1、应用场景
  • 出差员工远程安全接入企业内网
5.3.2、安全机制
  • SSLVPN网关配置PKI证书
  • 用户设备证书或用户名+证书双重认证
  • 建立SSL加密隧道，保障传输安全

提供灵活、安全的远程访问解决方案

六、实验

6.1、需求
1、部署微软证书服务器、DNS服务器、NTP服务器
2、证书服务器给HUB下发数字证书用于HTTPS认证
3、在Windows7节点上解决登录USG-HTTPS页面报错问题
6.2、配置过程
6.2.1、Windows7设置主机名

在这里插入图片描述

6.2.2、Windows7配置网卡

在这里插入图片描述

6.2.3、CA配置主机名

在这里插入图片描述

6.2.4、CA配置网卡

在这里插入图片描述

6.2.5、CA部署证书服务器和DNS服务器

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6.2.6、CA设置DNS服务器

在这里插入图片描述

6.2.7、CA设置NTP服务器

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6.2.8、CA调整时区

在这里插入图片描述

6.2.9、Windows7下载CA根证书，并将根证书加载到受信任的根证书颁发机构中

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6.2.10、Windows7前往IE浏览器确认CA服务器证书已存在于受信任根证书颁发机构

在这里插入图片描述
在这里插入图片描述

6.2.11、Windows7设置NTP服务器为证书颁发机构

在这里插入图片描述
在这里插入图片描述

6.2.12、与本地系统同步时间

在这里插入图片描述

6.2.13指定DNS服务器

在这里插入图片描述

6.2.14、上传CA根证书

在这里插入图片描述

6.2.15、生成本地证书

在这里插入图片描述
在这里插入图片描述

6.2.16、用火狐浏览器打开下载的本地证书

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6.2.17、打开证书颁发机构

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6.2.18查看证书申请状态并下载数字证书

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

6.2.19、上传证书

在这里插入图片描述

6.2.20、验证

在这里插入图片描述

标签
#服务器 #网络 #运维 #防火墙
pki（Public Key Infrastructure）公钥基础设施 & 加密技术
lijiongkai的博客
08-08 2209
Public Key Infrastructure & 基础加密概述原理
HCIA-SEC笔记14------PKI证书体系
weixin_44747184的博客
11-14 1169
HCIA-SEC课程之PKI证书体系
七十：非对称密码应用：PKI证书体系
W楠的博客
01-11 716
非对称密码技术，也称公钥密码技术，使用一对密钥（公钥和私钥）来完成加密和解密。公钥公开用于加密数据或验证签名。私钥由用户保密，用于解密数据或生成签名。这种双密钥机制使得非对称密码在身份认证、数字签名和密钥交换等场景中具有独特优势。PKI 是一套基于非对称密码技术的标准和服务，用于管理公钥和私钥的生命周期。证书颁发机构（Certificate Authority，CA）CA 是 PKI 的核心，负责签发、管理和撤销数字证书。CA 的可信性直接决定了整个 PKI 系统的安全性。
07-PKI证书体系
qianlai22的博客
03-12 3914
1.数字证书 数字证书简称证书，它是一个经证书授权中心（即在PKI中的证书认证机构CA）数字签名的文件，包含拥有者的公钥及相关身份信息。 证书有四种类型 自签名证书：又称为根证书，是自己颁发给自己的证书，即证书中的颁发者和主体名相同。申请者无法向CA申请本地证书时，可以通过设备生成自签名证书，可以实现简单证书颁发功能。设备不支持对其生成的自签名证书进行生命周期管理（如证书更新、证书撤销等）。 CA证书： CA自身的证书。如果PKI系统中没有多层级CA，CA证书就是自签名证书；如果有多层级CA，则会形
PKI 体系概述
云上笛暮
12-10 4658
CA中心——CA系统——数字证书 CA 中心管理并运营 CA 系统，CA 系统负责颁发数字证书。 专门负责颁发数字证书的系统称为 CA 系统，负责管理并运营 CA 系统的机构称为 CA 中心。所有与数字证书相关的各种概念和技术，统称为 PKI（Public Key Infrastructure）。 传统密码学 换位加密法； 替换加密法； 现代密码学加密基元 加密基元就是一些基础的密码学算法，通过它们才能够构建更多的密码学算法、协议、应用程序。 说明： 散列函数（散列（hash）、指纹.
PKI详解
热门推荐
appdeveloperxg的博客
02-03 2万+
PKI详解 一、什么是PKI？ 官方定义：PKI是Public Key Infrastructure的首字母缩写，翻译过来就是公钥基础设施；PKI是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范。PKI技术是一种遵循既定标准的密钥管理平台，它的基础是加密技术，核心是证书服务，支持集中自动的密钥管理和密钥分配，能够为所有的网络应用提供加密和数字签名等密码服务及所需要的密钥和证书管理体系。 通俗理解：PKI就是利用公开密钥理论和技术建立提供安全服务的、具有通用性的基础设施.
8、PKI 运营考量与证书体系详解
q5r6s7的博客
07-16 133
本文详细探讨了公钥基础设施（PKI）的运营考量与证书体系的核心内容。从可信时间交付机制、安全协议、服务器冗余，到物理安全存档、隐私保护及现实因素等方面，全面分析了PKI部署和管理中的关键问题。同时，深入解析了X.509公钥证书的结构与扩展、替代证书格式（如SPKI、PGP、SET）以及属性证书的特点与应用场景，并对比了不同证书格式的用途与互操作性。文章最后总结了综合PKI的架构与价值，强调了正确实施PKI服务的前提条件，为构建安全的信息系统提供了理论基础与实践指导。
PKI基础设施构建：手动创建Kubernetes TLS证书体系
gitblog_00449的博客
09-18 1042
你是否曾因Kubernetes集群证书过期导致服务中断？是否在排查组件间TLS握手失败时无从下手？本文将带你深入理解PKI（Public Key Infrastructure，公钥基础设施）在Kubernetes中的核心作用，通过12个实战步骤从零构建完整的证书体系，掌握证书生命周期管理的关键技术。 读完本文后，你将能够： - 设计符合生产标准的Kubernetes PKI架构 - 使用Open...
PKI证书体系
qq_26226375的博客
03-14 335
10 PKI证书体系 - 哔哩哔哩
Easy-RSA终极指南：10分钟搭建企业级PKI证书体系 [特殊字符]
gitblog_00320的博客
12-29 429
Easy-RSA是一个基于shell的CLI实用程序，专门用于构建和管理PKI CA（公钥基础设施证书颁发机构）。这个强大的工具让新手也能轻松创建根证书颁发机构、请求和签署证书，包括中间CA和证书吊销列表(CRL)，为企业网络安全提供坚实的数字证书基础。 ## 🚀 快速入门：5步搭建PKI体系 ### 第一步：初始化PKI环境 在你的CA系统上创建一个新的PKI和CA： ```bash
用OpenSSL搭建PKI证书体系
qq_42851449的博客
09-24 956
创建根 CA 证书签名请求文件，指定签名算法为 sha256，默认为 sha1 算法。以文本形式输出请求文件头使用。创建二级CA配置文件。
Kubernetes实战指南：使用CFSSL创建PKI证书体系详解
gitblog_00718的博客
06-08 424
在构建Kubernetes集群时，安全是首要考虑因素。本文将详细介绍如何使用CFSSL工具为Kubernetes集群创建完整的PKI（公钥基础设施）证书体系。这是Kubernetes集群安全通信的基础，也是集群各组件相互认证的关键。 ## 什么是PKI和CFSSL PKI（Public Key Infrastructure）是一套创建、管理、分发、使用、存储和撤销数字证书的体系结构。在Kube...
使用CFSSL手动构建Kubernetes集群PKI证书体系实战指南
最新发布
weixin_30383279的博客
07-05 355
在分布式系统和云原生架构中，公钥基础设施（PKI）是实现组件间安全通信与身份认证的基石。其核心原理基于非对称加密技术，通过证书颁发机构（CA）签发数字证书，为服务端和客户端提供身份验证、数据加密与完整性保护。这项技术的核心价值在于为动态、复杂的微服务环境建立了可验证的信任链，是保障系统安全性的关键。在Kubernetes这类容器编排平台中，PKI的应用尤为广泛和关键，它确保了控制平面组件（如API Server）、数据存储（etcd）和工作节点（kubelet）之间的所有TLS通信都是加密且可信的。本文将以
TLS/SSL(六) 非对称密码应用 PKI 证书体系
wzj_110的博客
09-23 536
华为云证书支持的加密算法。PKI 公钥基础设施。
PKI证书体系（数字证书）介绍
weixin_42334426的博客
03-08 1806
数字证书简称证书，他是一个经证书授权中心（即在PKI中的证书认证机构CA）数字签名文件，包含拥有者的公钥及相关身份信息。 证书有四种类型： 自签名证书：没法在三方机构进行证书授权的，自己在本地给自己办法一个证书 CA证书：发给CA的证书 本地证书：CA机构颁发给某一个通信实体的证书 设备本地证书：根据CA证书去给自己颁发的证书
CentOS 8 搭建符合 RFC 5280 的三级 PKI 证书体系
weixin_32428571的博客
06-21 255
PKI（公钥基础设施）是现代网络安全的基石，其核心在于构建可验证的信任链。X.509 证书作为数字身份载体，依赖严格的签名策略、扩展项配置与分层CA架构实现身份认证与密钥管理。OpenSSL 是实现标准兼容证书生命周期管理的关键工具，支持从根CA密钥生成、自签名证书创建，到中间CA签发及终端实体证书部署的全流程。在 CentOS 8 环境中，基于 OpenSSL 1.1.1k 的原生工具链可完整支撑 RFC 5280 合规实践，涵盖 basicConstraints、keyUsage、CRL Distrib
TLS证书体系深度解析：PKI信任链与IoT设备身份设计
moton2017的博客
03-27 684
本文系统解析了PKI（公钥基础设施）体系及其在互联网和物联网中的应用。文章首先介绍了PKI的三层结构（根CA、中间CA、服务器证书），详细阐述了X.509证书结构和数字签名机制。重点讲解了TLS证书验证的四步流程（签名验证、信任链验证、域名验证、有效期检查）和IoT设备证书体系设计，包括一机一证原则、私钥安全存储、CA分层设计等最佳实践。同时指出了IoT安全常见设计错误，如自签名证书使用、私钥泄露等问题。最后强调PKI体系通过CA信任链实现身份认证，为HTTPS网站和IoT设备提供了统一的安全模型。
计算机网络---CA证书体系（Certificate Authority）
MzKyle的博客
09-04 2982
CA证书体系摘要 CA证书体系是PKI的核心组件，通过权威机构（CA）验证实体身份并签发数字证书，解决公钥信任问题。体系包含CA（签发证书）、RA（审核身份）、证书库等模块，遵循X.509标准构建层级信任链。终端验证时需追溯至受信任的根CA，通过签名验证确保公钥真实性。证书具有严格生命周期（申请、签发、吊销等），CA采用树状结构（根CA→中间CA）以降低风险。按服务范围可分为公共CA（如Let's Encrypt）和私有CA（企业内网），保障不同场景的安全通信与身份认证。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

liebe1*1

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值