| |
Java安全通信、数字证书及应用实践 |
|
时间: 2004-08-03 来自：csdn |
 |
|
三、数字证书的签发（签名）
我们在上面创建好了数字证书，但这些数字证书还没有经过权威 CA的证实（即签名）。一般情况下，我们需要将这些证书发送给权威的CA，并申请其签名以确认数字证书让客户信任。
下面我们将模仿自己是一个权威的数字证书认证机构 CA，这个机构将采用自己的私钥来签发其它的证书。这个签发过程是这样的：我们自己是CA，我们自己有一个自签的数字证书存入数字证书库中。在数字证书库中的这个我们的CA数字证书，它含有私钥，公钥和我们这个CA的主体信息。下面这一个指令可以创建一个CA的自签的数字证书：
keytool –genkey –dname “CN=美森系统软件有限公司,OU=美森系统软件有限公司,O=美森系统软件有限公司,L=成都市,ST=四川省,C=中国” –alias MissionCA –keyalg RSA –keysize 1024 –keystore abnerCALib –keypass 200100 –storepass 100200 –validity 3650
上面，我们在 abnerCALib这个数字证书库中创建了一个别名为：missionCA、有效期为3650天、算法为RSA且密钥长度为1024的数字证书，这条证书的私钥密码为：200100，证书库的访问密码为：100200。这条别名为missionCA的证书代表我们自己的权威CA即：美森系统软件有限公司这个权威CA。以后我们将用这个证书来签名其它的数字证书。
现在我要给自己申请一个数字证书，我可以这么做：先在数字证书库中创建一条证书：
keytool –genkey –dname “CN=柴政,OU=美森系统软件有限公司,O=美森系统软件有限公司,L=成都市,ST=四川省,C=中国” –alias abnerCA –keyalg RSA –keysize 1024 –keystore abnerCALib –keypass 200100 –storepass 100200 –validity 3650
这样创建了一个别名为 abnerCA的数字证书，我们可以将它导出为cer文件（见前）。
接着，我们可以用上一步生成的 CA的自签证书来签名我这个数字证书了。
CA签名数字证书的过程需用以下程序来进行，这个程序是自解释的：
运行以上程序，即可运用 MissionCA证书来签发abnerCA证书，运行后在abnerCALib中增加一条别名为abnerCA_Signed的数字证书，我们将它导出为cer文件（导出方法见前）。
至此，我们己经用 CA的证书以我们的数字证书签名了。在windows中，双击导出的abnerCA_Signend.cer文件，出现如下图所示：
上图中证书信息一栏显示“不能验证该证书”，原因是因为，我们的这个数字证书的签发者 missionCA证书没有安装到系统中。我们可以将证书库中别名为missionCA的自签数字证书导出为cer文件，然后安装到系统中。再次查双击看此证书，如下图所示：
到此，我们己经获得了一个由我们自己的 CA签名颁发的个人数字证书。并且将我们自己的CA证书安装到系统中成为系统信任的根证书。于是，以后只要是由我们的这个CA证书签名颁发的数字证书都会受到系统的信任。
|
|
|
|
|
|
|
|
