使用wireshark对HTTPS解密的实践(五) |
您所在的位置:网站首页 › wireshark解析ssl › 使用wireshark对HTTPS解密的实践(五) |
https://www.cnblogs.com/xq1314/archive/2017/12/05/7987216.html 1 数字证书 1.1 概述 数字证书就是互联网通讯中标志通讯各方身份信息的一串数字,提供了一种在Internet上验证通信实体身份的方式,数字证书不是数字身份证,而是身份认证机构盖在数字身份证上的一个章或印(或者说加在数字身份证上的一个签名)。它是由权威机构——CA机构,又称为证书授权(Certificate Authority)中心发行的,人们可以在网上用它来识别对方的身份。 2 证书格式 2.1 证书格式分类 分为2大类:密钥库(含私钥,也可能有公钥)和公钥证书(仅含公钥) 2.1.1 密钥库文件格式【Keystore】 格式 : JKS 扩展名 : .jks/.ks 描述 : 【Java Keystore】密钥库的Java实现版本,provider为SUN 特点 : 密钥库和私钥用不同的密码进行保护 格式 : JCEKS 扩展名 : .jce 描述 : 【JCE Keystore】密钥库的JCE实现版本,provider为SUN JCE 特点 : 相对于JKS安全级别更高,保护Keystore私钥时采用TripleDES 格式 : PKCS12 扩展名 : .p12/.pfx 描述 : 【PKCS #12】个人信息交换语法标准 特点 : 1、包含私钥、公钥及其证书 2、密钥库和私钥用相同密码进行保护 格式 : BKS 扩展名 : .bks 描述 : Bouncycastle Keystore】密钥库的BC实现版本,provider为BC 特点 : 基于JCE实现 格式 : UBER 扩展名 : .ubr 描述 : 【Bouncycastle UBER Keystore】密钥库的BC更安全实现版本,provider为BC 2.2.2 证书文件格式【Certificate】 格式 : DER 扩展名 : .cer/.crt/.rsa 描述 : 【ASN .1 DER】用于存放证书 特点 : 不含私钥、二进制 格式 : PKCS7 扩展名 : .p7b/.p7r 描述 : 【PKCS #7】加密信息语法标准 特点 : 1、p7b以树状展示证书链,不含私钥 2、p7r为CA对证书请求签名的回复,只能用于导入 格式 : CMS 扩展名 : .p7c/.p7m/.p7s 描述 : 【Cryptographic Message Syntax】 特点 : 1、p7c只保存证书 2、p7m:signature with enveloped data 3、p7s:时间戳签名文件 格式 : PEM 扩展名 : .pem 描述 : 【Printable Encoded Message】 特点 : 1、该编码格式在RFC1421中定义,其实PEM是【Privacy-Enhanced Mail】的简写,但他也同样广泛运用于密钥管理 2、ASCII文件 3、一般基于base 64编码 格式 : PKCS10 扩展名 : .p10/.csr 描述 : 【PKCS #10】公钥加密标准【Certificate Signing Request】 特点 : 1、证书签名请求文件 2、ASCII文件 3、CA签名后以p7r文件回复 格式 : SPC 扩展名 : .pvk/.spc 描述 : 【Software Publishing Certificate】 特点 : 微软公司特有的双证书文件格式,经常用于代码签名,其中 1、pvk用于保存私钥 2、spc用于保存公钥 2.3 常用证书文件格式 CA中心普遍采用的规范是X.509[13]系列和PKCS系列,其中主要应用到了以下规范: 2.3.1 X.509(1993) X.509是由国际电信联盟(ITU-T)制定的数字证书标准。在X.500确保用户名称惟一性的基础上,X.509为X.500用户名称提供了通信实体的鉴别机制,并规定了实体鉴别过程中广泛适用的证书语法和数据接口。 X.509的最初版本公布于1988年。X.509证书由用户公共密钥和用户标识符组成。此外还包括版本号、证书序列号、CA标识符、签名算法标识、签发者名称、证书有效期等信息。这一标准的最新版本是X.509 v3,它定义了包含扩展信息的数字证书。该版数字证书提供了一个扩展信息字段,用来提供更多的灵活性及特殊应用环境下所需的信息传送。 一个标准的X.509数字证书包含以下一些内容: 证书的版本信息; 证书的序列号,每个证书都有一个唯一的证书序列号; 证书所使用的签名算法; 证书的发行机构名称,命名规则一般采用X.500格式; 证书的有效期,通用的证书一般采用UTC时间格式,它的计时范围为1950-2049; 证书所有人的名称,命名规则一般采用X.500格式; 证书所有人的公开密钥; 证书发行者对证书的签名。 2.3.2 PKCS系列标准 PKCS是由美国RSA数据安全公司及其合作伙伴制定的一组公钥密码学标准,其中包括证书申请、证书更新、证书作废表发布、扩展证书内容以及数字签名、数字信封的格式等方面的一系列相关协议。到1999年底,PKCS已经公布了以下标准: PKCS#1:定义RSA公开密钥算法加密和签名机制,主要用于组织PKCS#7中所描述的数字签名和数字信封。 PKCS#3:定义Diffie-Hellman密钥交换协议。 PKCS#5:描述一种利用从口令派生出来的安全密钥加密字符串的方法。使用MD2或MD5 从口令中派生密钥,并采用DES-CBC模式加密。主要用于加密从一个计算机传送到另一个计算机的私人密钥,不能用于加密消息。 PKCS#6:描述了公钥证书的标准语法,主要描述X.509证书的扩展格式。 PKCS#7:定义一种通用的消息语法,包括数字签名和加密等用于增强的加密机制,PKCS#7与PEM兼容,所以不需其他密码操作,就可以将加密的消息转换成PEM消息。 PKCS#8:描述私有密钥信息格式,该信息包括公开密钥算法的私有密钥以及可选的属性集等。 PKCS#9:定义一些用于PKCS#6证书扩展、PKCS#7数字签名和PKCS#8私钥加密信息的属性类型。 PKCS#10:描述证书请求语法。 PKCS#11:称为Cyptoki,定义了一套独立于技术的程序设计接口,用于智能卡和PCMCIA卡之类的加密设备。 PKCS#12:描述个人信息交换语法标准。描述了将用户公钥、私钥、证书和其他相关信息打包的语法。 PKCS#13:椭圆曲线密码体制标准。 PKCS#14:伪随机数生成标准。 PKCS#15:密码令牌信息格式标准。 2.3.3 数字证书文件格式(cer和pfx)的区别 作为文件形式存在的证书一般有这几种格式: 1.带有私钥的证书由Public Key Cryptography Standards #12,PKCS#12标准定义,包含了公钥和私钥的二进制格式的证书形式,以pfx作为证书文件后缀名。 2.二进制编码的证书 证书中没有私钥,DER 编码二进制格式的证书文件,以cer作为证书文件后缀名。 3.Base64编码的证书证书中没有私钥,BASE64 编码格式的证书文件,也是以cer作为证书文件后缀名。 由定义可以看出,只有pfx格式的数字证书是包含有私钥的,cer格式的数字证书里面只有公钥没有私钥。 |
今日新闻 |
推荐新闻 |
CopyRight 2018-2019 办公设备维修网 版权所有 豫ICP备15022753号-3 |