第五章安全協(xié)議技術(shù)-X.509協(xié)議計(jì)算機(jī)系統(tǒng)與網(wǎng)絡(luò)安全技術(shù)X.509協(xié)議X.509協(xié)議安全協(xié)議技術(shù)由ITU-T制定的X.509是ITU-T的X.500（目錄服務(wù)）系列建議中的一部分X.500是一套有關(guān)目錄服務(wù)的建議，而X.509定義了目錄服務(wù)中向用戶提供認(rèn)證服務(wù)的框架。X.509協(xié)議的實(shí)現(xiàn)基于公開密鑰加密算法和數(shù)字簽名技術(shù)。證書由可信證書權(quán)威機(jī)構(gòu)（CA-Certficate

Authority）創(chuàng)建用戶或CA將證書存放在目錄服務(wù)器中；表示法：證書機(jī)構(gòu)Y頒發(fā)給用戶X的證書表示為Y<<X>>CA<<A>>表示CA頒發(fā)給用戶A的證書。CA用其私有密鑰對證書進(jìn)行了簽名用戶可用CA的公開密鑰驗(yàn)證證書的有效性；任何擁有CA公開密鑰的用戶都可以從證書中提取被該證書認(rèn)證的用戶的公開密鑰；除了CA外，任何用戶都無法偽造證書或篡改證書的內(nèi)容；由于證書是不可偽造的，可將證書存放數(shù)據(jù)庫（即目錄服務(wù)）中，而無需進(jìn)行特殊的保護(hù)。X.509證書X.509協(xié)議安全協(xié)議技術(shù)X.509證書格式

X.509協(xié)議安全協(xié)議技術(shù)通信雙方A和B如何獲得對方的證書小型網(wǎng)絡(luò)中，共同信任同一個CA。通過訪問公共目錄服務(wù)獲取對方的證書，或直接傳遞。大型網(wǎng)絡(luò)，多個CA，層次化管理。CA之間交換公開密鑰（即交換證書）。X.509證書查詢X.509協(xié)議安全協(xié)議技術(shù)撤銷的情況：證書過期；在證書過期之前申請將其作廢。例如，用戶密鑰被泄露，CA的密鑰被泄露，或者用戶不再使用某一個CA頒發(fā)的證書等。X.509證書吊銷X.509協(xié)議安全協(xié)議技術(shù)密鑰和策略信息這類擴(kuò)展用于指示有關(guān)主體和頒發(fā)者的附加信息和與證書相關(guān)的策略。證書主體和頒發(fā)者的屬性這類擴(kuò)展支持可選主體名字或頒發(fā)者名字。證書路徑約束這類擴(kuò)展字段用于在簽發(fā)給CA的證書中包含一定的約束。X.509協(xié)議擴(kuò)展功能X.509協(xié)議安全協(xié)議技術(shù)單向認(rèn)證

AliceBob簽名可選X.509協(xié)議X.509協(xié)議安全協(xié)議技術(shù)雙向認(rèn)證（兩次握手）

AliceBobX.509協(xié)議X.509協(xié)議安全協(xié)議技術(shù)雙