192.168.1.1-路由器设置 | 192.168.0.1-无线路由器设置

路由器组网的CA工作全程回顾

发布时间:2012-05-04 15:22

在路由器组网的过程和日后的维护实践中,假如网络结构是有A机、B机和CA证书颁发中心。
A和B要通过证书加密和认证的方式和对方通信。
这个结构类似于后面将要做的实验,路由器与路由器建立L2LVPN,通过证书方式的实验。原理部分这里解释,实践部分看后面的内容。
首先CA证书颁发机构会有自己的一个私钥一个公钥。私钥自己保存,公钥分发给A机和B机。也就是A机和B机要想耍证书必须要有CA的公钥才可以。在这个时候公钥是无法验证的,只能通过离线的方式来验证,比如说电话询问等。
然后是A机要在自身的计算机上生成一对密钥,一个公钥一个私钥,私钥当然是不会在网络上传播的,它在A机内部自己保存。公钥要通过网络传输给CA,CA收到A的公钥之后,要通过电话等方式先验证了这个公钥确实是A机的公钥,然后CA会把这个公钥连同A的一些信息都用自己的私钥加密起来,这个加密的过程叫做签名。A把公钥给CA的过程叫做申请证书。签名之后的这个产物就叫做证书。
B也使用同样的方法,把自己的公钥传给CA,CA验证了这个公钥是B机的,然后对这个公钥和B的信息就行一个签名,形成一个证书。
A机要和B机通讯,首先A会到CA那里下载B的证书,因为CA已经验证过才做的签名,所以A可以完全相信证书确实就是B的http://www.luyouqiwang.com/13789/ A机得到B的证书之后,使用A机中已有的CA的公钥对这个证书进行解密,可以得到B的相关信息和B的公钥,A机会用B的公钥对自身产生的一个密钥进行加密,这个密钥很短,是随机产生的,虽然用到了非对称加密算法,但是速度依然可以接受,加密之后会形成一个加密的密钥1。然后A机还会用这个随机的密钥加密实际的数据,得到一个实际数据的密文2,因为这个加密要用到的是对称加密算法,所以速度,文件大小都不是问题。最后A机会对这个密文对一个哈希,哈希可以得到一个固定长度的数字,然后用A自己的私钥对这个数字进行加密,也得到一个密文3。把着所有的密码都通过网络发送给B机。
B机得到这些密文之后,首先是到CA中心去要A的签名,得到A的签名之后,B会用已有的CA的公钥对签名进行解密,解密之后就得到了A的公钥了。首先是用这个公钥对传过来的密文1进行解密,解密之后可以得到A随机产生的对称密钥。然后用A的公钥对密文3进行解密,可以得到一个哈希值,B再用同样的算法对密文进行哈希,如果自己哈希后的值和A哈希的值是一样的,证明了这个数据确实是A发送过来的。最后B用A的随机产生的对称密钥对加密的数据进行解密,就得到了明文本身了!
很复杂的一个流程。再回顾一遍这个路由器组网的重要方式。
注意的是:其实CA只是帮助生成证书的一个机构,真正通信的时候,并没有CA什么事,如果啥也要经过CA,CA怎么能吃的消,因为A和B都信任CA,又都有CA的根证书,所以A和B通讯,就把自己的证书发给对方,让对方去验证就可以了。非常安全。
由此可以看出
路由器组网的实践中,要耍证书验证,在机器上必须的有两张证书,一个是根证书,也就是你信任的CA自己的证书;另一个是自己的证书,就是加密传输的时候要发给对方的证书。
CA是交换公钥的重要方式。证书是无所谓安全性的,它是一个签名过程,没有任何的加密技术在里面。

关于我们 - RSS地图 - 最近更新 - 友情链接 - 网站地图 - 版权声明