# 1. PKI的作用 ``` 当我们在网络上传输数据的时候，这些数据可能会在传输的过程中被截取、串改、而PKI（公钥基础结构），它可以确保电子邮件、电子商务交易、文件传输等各类数据传输的安全性。 ``` # 2. PKI概述 ``` 用户通过网站将数据传送给接收者时，可以利用PKI所提供的以下三个功能来确保数据传送的安全性。 1.对传送的数据加密 2.接收者计算机会验证收到的数据是否由发送者本人所发送的。 3.接收者计算机还会确认数据完整性，也就是检查数据在传输过程中是否被串改。 PKI根据（公钥密码编译法）来提供上述功能，而用户需要拥有下面的一组密钥来支持这些功能。 1：公钥：用户的公钥可以向其他用户开放 2：私钥：用户的私钥是该用户私钥的，并且是存储在用户计算机内、只有它能够访问。 用户需要通过向证书颁发机构（CA）申请证书的方法拥有与使用这一组密钥 ``` # 3. 公钥加密法 ``` 数据加密后，必须经过解密才能读取数据的内容。 PKI使用公钥加密算法对数据加密与解密。 发送者利用接收者的公钥对数据进行加密，而接收者利用自己的私钥对数据进行解密。 ```  ``` user01必须先取得user02的公钥，才能利用此公钥对电子邮件进行加密，而因为user02的私钥只存在它的计算机内，所有只有user02的计算机才能对此邮件进行解密，因为user02可以正常读取邮件。其他用户对此邮件进行拦截，也无法读取里面的数据内容，因为它们没有user02的私钥，无法对其解密。 ``` # 4. 公钥验证法 ``` 发送者可以利用公钥验证来对欲传送的数据“数字签名”（数字签名、数字签署）而接收者计算机在收到数据后，便能够通过此数字签名来验证数据是否确定是由本人所发出，同时还会检查数据在传送的过程中是否被串改。 发送者利用自己的私钥对数据签名，而接收者计算机会利用发送者的公钥来验证此数据。 ```  ``` 由于图中的邮件是经过user01私钥签名的，而公钥和私钥又是一对的，因此接收者user02必须先获取发送者的公钥后，才可以利用此密钥来验证这封邮件是否由本人user01所发送，并检查这封邮件是否被串改。 ``` # 5. 数字签名是如何产生的？又如何用来验证身份呢？  ``` 1.发件人的电子邮件经过消息哈希算法的运算处理后，产生了一个信息摘要，它是一个数字指纹。 2.发件人的电子邮件利用发件的私钥对信息摘要进行加密，所使用的加密方法为公钥加密算法，加密后的结果被称为数字签名 3.发件人的电子邮件软件将原电子邮件与数字签名一样并传递给收件者。 4.收件者的电子邮件软件将收到的电子邮件与数字签名分开处理。 4.1 电子邮件重新经过哈希算法的运算处理后，产生新的信息摘要。 4.2 数字签名经过公钥加密算法的解密处理后，可得出时发件人的原信息摘要。 5.新信息摘要与原信息摘要应该相同，否则表示这封邮件被篡改或被假冒身份者发送的。 ``` # 6. SSL网站安全连接  ``` 1.客户端浏览器利用https://www.yu.com来连接网站时，客户端会先给web服务器发出Client Hello消息。 2.Web服务器会发送Server Hello消息给客户端，此消息包含网站的证书信息（内含公钥）。 3.客户端与网站双方开始协商SSL连接的安全级别，例如选择40或128位的加密密钥。位数越多，越难破解，数据越安全，但网站性能会受到影响。 4.浏览器根据双方同意的安全级别建立会话密钥、利用网站的公钥对会话密钥加密，将加密过后的会话密钥发送给网站。 5.网站利用自己的私钥对会话密钥进行解密 6.之后浏览器与客户端双方互相之间传输的所有数据都会利用这个会话密钥对其加密与解密。 ``` # 7. 搭建证书服务器                 # 8. CA种类 ##### 8.1 企业根CA ``` 它需要域环境，可以将企业根CA安装到域控制器或成员服务器。它发放证书都对象仅限域用户，当域用户申请证书时，企业根CA从Active Directory得知用户的账号信息，并根据该用户是否有权限来申请所需证书。 企业根CA主要应该是用来发放证书给次级CA，虽然企业根CA还是可以发放保护电子邮件安全、网站SSL安全联机等证书，不过应该将发放这些证书的工作交给次级CA来负责。 ``` ##### 8.2企业从属CA ``` 企业从属CA也需要域环境，企业从属CA适用于用来发放保护电子邮件安全、网站SSL安全连接等证书。企业从属CA必须向其父CA（企业根CA）取得证书之后才会正常工作。企业从属CA也可以给再下一层的次级CA发放证书。 ``` ##### 8.3 独立根CA ``` 独立根CA类似于企业根CA，但不需要域环境。它可以是独立服务器、成员服务器或域控制器。无论是否是域用户，都可以向独立根CA申请证书。 ``` ##### 8.4 独立从属CA ``` 独立从属CA类似于企业从属CA，但不需要域环境。它可以是独立服务器、成员服务器或域控制器。无论是否是域用户，都可以向独立从属CA申请证书。 ```        # 9. 搭建https                            # 10. 客户端信任CA服务器                   ##### 10.1 效果展示  # 11. 强制性https访问 --- # 11.1 实验效果 ---  # 12. 技能实践 ``` 1.搭建独立CA 2.搭建https 3.客户端信任CA服务器 4.强制访问https ``` # 13. 扩展提高 ``` 1.搭建企业CA 2.证书模板自动生成web证书 3.更改CA根证书有效期 4.企业CA提供工作组注册证书 ```