IPSec 如何使用数字证书和数字签名?
IPSec 是目前用于连接网络站点的安全技术之一。
IPSec 旨在在跨网络传输数据包时提供以下安全功能:−
身份验证 − 验证收到的数据包是否确实来自声明的发送者。
完整性 − 确保数据包的内容在传输过程中不会被修改。
机密性 −通过加密方式隐藏消息内容。
数字证书的使用
下文将解释 IP 安全 (IPsec) 如何使用数字证书。
数字证书是由证书颁发机构 (CA) 颁发的电子文档。它包含用于数字签名的公钥，并指定与密钥相关的身份，例如公司名称。
证书用于证明公钥属于特定组织。CA 充当担保人。
数字证书必须由特定的机构颁发，并且仅在特定时间内有效。它们用于创建数字签名。
示例
假设有两个实体。下面解释了 IPSec − 如何使用数字证书。
主机 A 和主机 B 需要使用证书来验证 VPN。它们都需要通过一个确定的 CA 进行注册，获取该 CA 的证书并获取自证书。
首先，每个实体都可以通过 CA 注册并获得该 CA 的证书。
CA 证书包含 CA 的身份信息以及 CA 的公钥。要获取自证书，主机 A 和 B 需要分别生成一个公钥/私钥对。然后，每个主机都可以将其公钥和身份数据提交给特定的证书颁发机构。
证书颁发机构可以验证用户的身份，并将用户的身份和公钥数据组合成数字文档。
然后，CA 可以对此文档进行"签名"。 CA 使用其语言算法程序对证书内容进行哈希处理，从而对文档进行签名。
然后，使用 CA 的非公钥对哈希值进行加密，并将其封装在证书中。
CA 随后可以向主机 A 和 B 颁发证书。一旦主机 A 希望与主机 B 建立会话认证，主机 A 可以将其自证书以及颁发证书的 CA 的相关数据一起发送给主机 B。
由于主机 B 订阅了相同的 CA，因此主机 B 可以获得包含 CA 公钥和指定 CA 使用的语言算法程序的数据的 CA 证书。
然后，主机 B 将使用 CA 公钥重写主机 A 的自证书。主机 B 将运行 CA 语言算法程序并重新创建主机 A 证书的哈希值。
如果主机如果 A 的自证书与 CA 创建的哈希值匹配，则该证书被视为有效。
数字签名的使用
下文将解释 IP 安全 (IPsec) 如何利用数字签名。
步骤 1 − 数字签名类似于电子"指纹"。它以加密信息的形式，在记录的群体活动中将签名者与文档牢固地关联起来。
步骤 2 − 数字签名使用一种称为公钥基础设施 (PKI) 的通用格式，以提供最高级别的安全性和普遍接受度。它们是电子签名 (eSignature) 的一种特殊签名技术实现。
步骤 3 − 数字签名，如同书面签名，每个签名者都是独一无二的。数字签名解决方案提供商(例如 DocuSign)遵循一种称为 PKI 的特殊协议。
步骤 4 − PKI 要求提供商使用数学算法程序来生成两个长数字，称为密钥。一个密钥是公开的，另一个密钥是非公开的。
步骤 5 − 当签名者以电子方式签署文档时，签名是使用签名者的私钥进行的，该私钥通常无法被签名者破解。
步骤 6 − 数学算法程序充当密码，生成与签名文档匹配的数据(称为哈希值)，并对该数据进行加密。生成的加密数据即为数字签名。
步骤 7 − 签名还会记录文档的签署时间。如果文档语言发生变化，则数字签名无效。
示例
Harry 使用她的私钥签署了分时度假的合作协议。客户收到了文档。收到该文件的客户机构还会收到 Harry 公钥的副本。
如果公钥无法重写签名，则表示该签名并非 Harry 的，或者自签名以来已被修改。该签名将被视为无效。
为了保护签名的完整性，PKI 要求密钥的生成、执行和存储必须安全，并且通常需要可靠的证书颁发机构 (CA) 的服务。像 DocuSign 这样的数字签名提供商符合 PKI 对安全数字签名的要求。
