[java与https]第一篇、证书杂谈

一、算法、密钥（对）、证书、证书库

令狐冲是个马场老板，这天，他接到店里伙计电话，说有人已经签了租马合同，准备到马场提马，，他二话不说，突突突就去了，到了之后，发现不认识租客。

令狐冲说，你把你租马合同给我看看，这就是证书。

没成想这租客是个二道贩子，他呼啦一下掏出来一个装满租马合同的文件袋，这就是证书库。

租客拿出来跟店里直签的合同，有双方的印章，这就是自签名证书。

令狐冲瞟了一眼，看到还有一些文件头写着什么 “大明战马管理公司xxx” 的租马合同，大家都信任朝廷牵头做的合同，这就是CA证书。

令狐冲看了租客的租马合同，发现上面确实是店里的印章，这就是公钥。

令狐冲掏出来一个钥匙串，挑选了一把造型奇特的钥匙，打开了大门，这就是私钥。

这些钥匙还有的是十字形的，有的是扁的，有的打凹点，有的划凹槽，有不同的型号，这就是算法。

钥匙和印章，这就是密钥对。

令狐冲提了匹乌骓给租客，这二道贩子骑上就走，大喊一句：俺老孙去也。

二、编码与证书格式

学习Java加解密的同学，常常被各种文件及其格式给弄的晕头转向，这里帮同学们做一下划分，帮助同学们理解

2.1 编码格式的基石 - ASN.1语法

ASN.1 只是一种语法，它只定义 编码怎么写 ，不定义 编码具体内容

下面是 ASN.1 的语法

类型名 ::= 基础类型 { 类型具体描述 }

它只有这么个东西，这只是个语法，下面是一个语法示例

Blog ::= SEQUENCE {
	address 	PrintableString,
	title 		UTF8String,
	date 		UTCTime,
	content 	String,
	status		BlogStatus 
}

2.2 编码格式

编码格式的制定，遵循上述章节的语法，但是有自己的属性、属性占据长度等的定义。

比如，定义的基础类型有哪些（上章节中示例的基础类型为 SEQUENCE）。
比如，编码的前几个字节，分别代表什么意思。
这里不再展开，有兴趣的同学可以参阅各种编码格式的说明，我们只需要了解编码格式的概念就好了。

常见有如下编码格式

• BER 基本编码格式
• CER 规范编码格式 ber 的变种，变长，在实际应用中比较少
• DER 卓越编码格式 ber 的变种，定长，数字签名的默认编码
• PER 压缩编码格式
• XER XML编码格式

通常的，我们说的证书内容的编码格式，是指 DER 编码格式，下文中均指 DER 编码格式。

2.3 编码标准

有了格式之后，并不能直接用来定义证书内容，就比如我们有了长城砖，但是并不知道长城该怎么垒

而编码标准，就是告诉我们，通过已知的编码格式（长城砖），怎么去垒长城。

2.3.1 x509 编码标准

x509 是密码学中，关于 公钥证书格式 的一个编码标准，用于证书。

我们说的数字证书，通常意义上是指 x509 公钥证书，它含有公钥、身份信息（比如网络主机名，组织的名称或个体名称等）和签名信息（可以是证书签发机构 CA 的签名，也可以是自签名）

2.3.2 PKCS 编码标准

严格来讲，PKCS 是一个公钥密码学 标准组，它有一系列的编码标准，拓展了诸如加解密、签名、密钥交换、分发证书等过程中的一些规范。

PKCS已经发布了15个版本的标准，常用的版本对应的用途说明如下：

其中，.p12 / .pfx 常用来做证书库文件

2.4 证书文件格式

DER 编码格式的证书是二进制文件，它不能在文本环境下交换信息，为了解决这个问题，出现了用 PEM 格式编码的证书

2.4.1 PEM 文本编码格式

简单来说，PEM 实际上就是把 DER 二进制内容用 Base64 编码一下，然后加上-----BEGIN label----- 形式的头部和 -----END label----- 形式的尾部

下面是一个 PEM 编码格式的公钥

-----BEGIN PUBLIC KEY-----
BASE64 ENCODER STRING ...
-----END PUBLIC KEY-----

密钥、证书都可以转为 PEM 格式，以方便在文本环境中传输

2.4.2 常见证书文件

通常的，有如下常见证书文件

2.5 常见证书库的文件编码格式

常用的证书生成工具有 jdk 自带的 keytool 、linux 体系的 openssl，对应的，他们生成的证书库文件编码格式如下：

• JKS - keytool 生成的证书库的文件编码格式，文件有 *.jks , *.keystore
• PEM - openssl 生成的证书库的文件编码格式，文件有 *.pfx, *.p12

三、算法列举

在报文传输过程中，一定会有使用密钥对进行加密/解密、签名/验签、报文摘要等操作，这些都需要有针对性的算法