(点击
上方公众号
，可快速关注)
来源：GoogleDev
链接：blog.csdn.net/axi295309066/article/details/52494832
以上学习所有内容，对称加密、非对称加密、消息摘要、数字签名等知识都是为了理解数字证书工作原理而作为一个预备知识。数字证书是密码学里的终极武器，是人类几千年历史总结的智慧的结晶，只有在明白了数字证书工作原理后，才能理解Https 协议的安全通讯机制。最终才能在SSL 开发过程中得心应手。
另外，对称加密和消息摘要这两个知识点是可以单独拿来使用的。
知识点串联：
数字证书使用到了以上学习的所有知识
-
对称加密与非对称加密结合使用实现了秘钥交换，之后通信双方使用该秘钥进行对称加密通信。
-
消息摘要与非对称加密实现了数字签名，根证书机构对目标证书进行签名，在校验的时候，根证书用公钥对其进行校验。若校验成功，则说明该证书是受信任的。
-
Keytool 工具可以创建证书，之后交给根证书机构认证后直接使用自签名证书，还可以输出证书的RFC格式信息等。
-
数字签名技术实现了身份认证与数据完整性保证。
-
加密技术保证了数据的保密性，消息摘要算法保证了数据的完整性，对称加密的高效保证了数据处理的可靠性，数字签名技术保证了操作的不可否认性。
通过以上内容的学习，我们要能掌握以下知识点：
一、数字签名原
理
1. 概述
数字签名是非对称加密与数字摘要的组合应用
2. 应用场景
3. 签名过程
“发送报文时，发送方用一个哈希函数从报文文本中生成报文摘要,然后用自己的私人密钥对这个摘要进行加密，这个加密后的摘要将作为报文的数字签名和报文一起发送给接收方，接收方首先用与发送方一样的哈希函数从接收到的原始报文中计算出报文摘要，接着再用发送方的公用密钥来对报文附加的数字签名进行解密，如果这两个摘要相同、那么接收方就能确认该数字签名是发送方的。
数字签名有两种功效：一是能确定消息确实是由发送方签名并发出来的，因为别人假冒不了发送方的签名。二是数字签名能确定消息的完整性。因为数字签名的特点是它代表了文件的特征，文件如果发生改变，数字摘要的值也将发生变化。不同的文件将得到不同的数字摘要。一次数字签名涉及到一个哈希函数、发送者的公钥、发送者的私钥。”
![]()
4. 使用步骤
//获取signature 对象，初始化算法：MD2withRSA, MD5withRSA, or SHA1withRSA
Signature
signature
=
Signature
.
getInstance
(
"MD5withRSA"
);
//创建私钥（从磁盘上读取）
PrivateKey
privateKey
=
(
PrivateKey
)
SerializableUtil
.
readObject
(
"heima.privateKey"
);
//使用私钥进行初始化
signature
.
initSign
(
privateKey
);
//传入需要签名的数据
signature
.
update
(
content
.
getBytes
());
//执行签名
byte
[]
sign
=
signature
.
sign
();
//创建公钥（从磁盘上读取）
PublicKey
publicKey
=
(
PublicKey
)
SerializableUtil
.
readObject
(
"heima.publicKey"
);
//使用公钥进行初始化
signature
.
initVerify
(
publicKey
);
//传入需要校验的数据（即上面的原文）
signature
.
update
(
content
.
getBytes
());
//执行校验
boolean
verify
=
signature
.
verify
(
sign
);
5. 总结
数字签名一般不单独使用，基本都是用在数字证书里实现SSL 通信协议。下面将学习的数字证书就是基于数字签名技术实现的。
二、数字证书
1. 概述
数字证书就是互联网通讯中标志通讯各方身份信息的一串数字，提供了一种在Internet 上验证通信实体身份的方式，数字证书不是数字身份证，而是身份认证机构盖在数字身份证上的一个章或印（或者说加在数字身份证上的一个签名）。它是由权威机构——CA 机构，又称为证书授权（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。
2. 应用场景
3. 数字证书格式
![]()
数字证书的格式普遍采用的是X.509V3 国际标准，一个标准的X.509 数字证书包含以下一些内容：
-
证书的版本信息；
-
证书的序列号，每个证书都有一个唯一的证书序列号；
-
证书所使用的签名算法；
-
证书的发行机构名称，命名规则一般采用X.500 格式；
-
证书的有效期，通用的证书一般采用UTC 时间格式，它的计时范围为1950-2049；
-
证书所有人的名称，命名规则一般采用X.500 格式；
-
证书所有人的公开密钥；
-
证书发行者对证书的签名。
4. 数字证书原理
![]()
数字证书是安全领域里的终极武器，SSL 通信协议里最核心的东西就是数字证书。他涉及到前面提到的所有知识：对称加密、非对称加密、消息摘要、数字签名等。
数字证书可以通过Java 自带的KeyTool 工具生成，生成后的数字证书一般保管在KeyStore 里。KeyStore可以叫做秘钥仓库。
秘钥仓库可以保管3 种类型的数据：KeyStore.PrivateKeyEntry（非对称机密里的私钥）、KeyStore.SecretKeyEntry （对称加密里的秘钥）、KeyStore.TrustedCertificateEntry（受信任的证书）
5. KeyTool工具
路径：jre\bin\keytool.exe
![]()
常用命令：
生成keypair
keytool
-
genkeypair
keytool
-
genkeypair
-
alias
lisi
（后面部分是为证书指定别名，否则采用默认的名称为
mykey
）
看看keystore 中有哪些项目：
keytool
-
list
或
keytool
-
list
-
v
keytool
-
