数字证书是一段包含用户身份信息、用户公钥信息以及身份验证机构的数字签名的数据。身份验证机构的数字签名可以确保证书信息的真实性。证书格式及证书内容遵循X.509标准。
从证书的用途来看，数字证书可分为签名证书和加密证书。签名证书主要用于对用户信息进行签名，以保证信息的不可否认性；加密证书主要用于对用户传送信息进行加密，以保证信息的真实性和完整性。
数字证书的格式一般遵循国际电信联盟（International Telecommunications Union，ITU）制定的X.509标准，其具体字段名及说明如图2-20所示。
图2-20 X.509数字证书字段名及说明
1.数字证书各部分的含义
1）版本号：标识证书的版本（版本1、版本2或版本3）。
2）证书序列号：由证书颁发者分配的证书唯一标识符。
3）签名算法标识符：由对象标识符加上相关参数组成，用于说明本证书所用的数字签名算法。
4）颁发者名称：证书颁发者的可识别名称（DN），这是必须说明的。
5）有效期：证书有效的时间段。本段由“不早于”和“不晚于”两项组成。
6）主体名称：证书拥有者的可识别名称。此字段必须是非空的，除非使用了其他的名字形式。
7）主体公钥信息：主体的公钥（以及算法标识符），这是必须说明的。
8）颁发者唯一标识符：证书颁发者的唯一标识符，仅在版本2和版本3中要求，属于可选项；该字段在实际应用中很少使用，并且不被RFC2459推荐使用。
9）主体唯一标识符：证书拥有者的唯一标识符，仅在版本2和版本3中要求，属于可选项；该字段在实际应用中很少使用，并且不被RFC2459推荐使用。
10）扩展项：可选的标准和专用扩展（仅在版本3中使用）。
2.标准的版本3证书扩展项(www.xing528.com)
在版本2之后，证书协议子集显然仍还有不足之处，于是提出了一系列扩展项附加在版本3格式证书的后面。这些扩展项包括密钥和策略信息、主体和颁发者属性以及证书路径限制等。内容包括如下。
1）机构密钥标识符：用来验证证书密钥的唯一标识符，以区分同一个证书颁发者的多对密钥。RFC2459中要求除self-signed的证书以外的所有证书都要包含此字段。
2）主体密钥标识符：证书所含密钥的唯一标识符，用来区分同一个证书拥有者的多对密钥。RFC2459中要求CA的证书包含此字段，推荐终端实体的证书也包含此字段。
3）密钥用途：一个比特串，指明（限定）利用证书中的公钥可完成的各项功能或服务，如数字签名、密钥加密、数据加密、密钥协商等。一个典型的属性描述表描述了各种允许的组合。4）扩展密钥用途：由一个或多个对象标识符（OIDs）组成，用以说明证书中密钥的特别用途。在X.509中没有明确定义这一用途的标识符，RFC2459则规定了几个扩展密钥使用的对象标识符，包括传输层安全服务器确认、安全电子邮件等。
5）CRL分布点：指明CRL的分布地点。
6）私钥使用期：指明与证书中的公钥相对应的私钥的使用期限，用于数字签名和证书。就像证书有效期一样，私钥使用期也用“不早于”和“不晚于”两项来限定使用的时间。当此项扩展不在时，公私钥的有效期是一样的。在私钥的终止期到来之前必须颁发一对新的密钥。7）证书策略：说明一系列与证书颁发和使用有关的策略对象标识符和可选的限定符。有了这项扩展，在实际应用中就必须遵照声明的策略，否则证书就不能使用。
8）策略映射：表明在两个CA域之间的一个或多个策略对象标识符的等价映射关系，仅在CA证书里存在。
9）主体别名：指出证书拥有者的别名（如电子邮件地址、IP地址和URL等）。此项如果存在的话，可以认为别名是和主体的DN绑定在一起的。
10）颁发者别名：指出证书颁发者的别名（如电子邮件地址、IP地址和URL等）。RFC2459中详细规定了和主体别名扩展一样的处理规则，除了颁发者的DN必须在颁发者字段出现以外。
11）主体目录属性：指出证书拥有者的一系列属性，一些著名的应用使用了这一扩展来传递访问控制信息。
12）基本限制：该扩展项表明一个主体是否可以充当证书颁发机构。它提供了一种限制最终用户充当证书颁发机构的方式。
13）名称限制：该扩展项仅仅在CA证书中使用，用于指明一个名字空间，使得分配给证书路径中任何后继证书的主体的名称都在这一名字空间中。
14）策略限制：该扩展项仅仅在CA证书中使用，用于通过请求策略标识符或者禁止策略映射（或者两者都有）来指定策略路径验证。
X.509版本3（v3）证书基本语法如下所示，为签名计算，将证书按照ASN.1语法（DER）规则进行编码传递。ASN.1DER编码是对每个元素对应的标签、长度、值编码系统。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
