认证中心与证书的运营和吊销
頻出约 29 分钟4 个术语过去问 10 题
本单元目标
- 能说明 CA（认证中心）通过电子证书保证什么，以及为什么要由通信双方以外的第三方来承担这一角色。
- 能按顺序说出证书从提出申请到被接收方确认为止的流程。
- 能区分列入 CRL（证书吊销列表）的证书与只是有效期届满的证书。
术语总表（4 个）
术语
CA（Certificate Authority，认证中心）是发行把公钥与其持有者绑定在一起的电子证书，并用自己的签名担保证书内容真实可靠的机构。
只拿到一把公钥，接收方无法判断它是否真的属于自称的那个人。因此由 CA 先核实申请者的身份，再用 CA 自己的私钥为公钥和持有者信息生成数字签名，作为电子证书发给申请者。接收方只要验证 CA 的签名，就能确认密钥持有者是否与其自称的身份一致。
类比类似政府部门核实本人身份后才开具的印章登记证明。由第三方的政府部门（CA）担保，这个印章（公钥）确实属于此人。
记法C 是 Certificate（证书），A 是 Authority（有权威的机构）。读作“证书的权威”，就知道它是发证书的一方。
考点
- 常考CA 通过证书保证的是：公钥确实属于自称的那个人。CA 不仅发行证书，也负责吊销证书。
- 常考有了 CA 的担保，接收方就能确认发送者是否为公钥持有者本人，识破假扮他人的冒充（なりすまし）。CA 并不负责监视内容是否被篡改。
- 易混CA 不是代替别人进行加密（暗号化）或解密的机构。加密由当事双方用密钥完成，CA 负责保证这把密钥是真的。
该术语的过去问 2 题 CA →
認証局（认证中心）是 CA 的日文名称，指作为与通信或交易双方都没有利害关系的第三方来发行电子证书的机构。
PKI（公钥基础设施）指用证书表明公钥与持有者的对应关系、再由可信机构为证书背书的整套机制。认证中心位于这套机制的核心，用户只要信任认证中心，就能信任素未谋面的对方的公钥。只要能验证认证中心的签名，也能确认证书在途中没有被调包。
类比护照在国外之所以有效，是因为对方信任签发它的国家。认证中心也一样，作为对方信任的签发方，赋予证书效力。
记法日文「認証」是认定为本人，「局」是表示负责某项事务的部门的字。从字面就能读出“认定本人身份的部门”。
考点
- 常考认证中心（認証局）发行的是针对当事人公钥（公開鍵）的证书。私钥由持有者自己保管、不外传，不是证书的对象。
- 常考认证中心（認証局）是 PKI 得以成立不可缺少的要素。在 PKI 中，没有为证书背书的认证中心，就没有办法确认公钥的持有者。
- 常考在带签名的电子邮件中，如果使用的不是可信认证中心（認証局）的证书，而是发送者自己制作的证书，接收方就无法确认邮件是否真的来自该发送者。
该术语的过去问 2 题 認証局 →
CRL（Certificate Revocation List）是 CA 把仍在有效期内却被中途作废（吊销）的电子证书汇总后公开的列表。
证书有有效期，过期后自然就不能再用。除此之外，一旦私钥泄露或持有者所属单位发生变化，即使在有效期内也需要撤销证书。收到证书的一方除了确认是否在有效期内，还要确认该证书没有列在 CRL 上。
类比类似发给商店的一份已停用信用卡卡号清单。即使卡片还没到期，清单上的卡号也一律不受理。
记法Revocation 意为“撤销”。不是到期（expire），而是“中途撤销的证书”的 List。
考点
- 常考列入 CRL 的是在有效期内被吊销的证书。仅仅是有效期届满的证书不会列入。
- 易混CRL 不是发行证书的机构，而是 CA 制作并公开的清单。指机构的是 CA，指排列已撤销证书的表的是 CRL。
该术语的过去问 1 题 CRL →
「CA(认证中心)」与「CRL(证书吊销列表)」的区别
証明書失効リスト（证书吊销列表）是 CRL 的日文名称，指在有效期中途被作废的证书的清单。
这份列表由 CA 制作，附上 CA 的签名后定期更新并公开。接收方手里的列表如果是旧的，就会漏掉最近的吊销，因此要获取最新版本再进行核对。
类比就像在前台张贴已挂失员工证的编号。前台把来访者的员工证与清单对照，再决定是否放行。
记法日文「失効」写作“失去效力”。它与到期结束的「満了」用字不同，可以凭字形区分。
考点
- 常考私钥泄露的证书，由 CA 在接到持有者申请后列入证书吊销列表（証明書失効リスト）使其作废。不必等到期满更新的时候。
- 易混証明書失効リスト（证书吊销列表）和 CRL 是同一事物的日文名和英文名，并不存在两份不同的列表。
该术语的过去问 1 题 証明書失効リスト →
要点
- CA（认证中心）先核实申请者的身份，再发行把公钥与持有者绑定在一起的电子证书。
- 接收方验证 CA 的签名来确认公钥持有者，识破假扮发送者的冒充。
- 私钥泄露等导致证书无法继续使用时，即使在有效期内，也要请 CA 将其吊销。
- 信任证书之前，除了有效期，还要确认它没有列在 CRL（证书吊销列表）上。
查看这个领域的全部过去问 →