为什么 *** 请求需要添加签名
客户端向服务端发出 *** 请求，往往需要添加签名参数。
服务端会验证签名是否正确，由于签名的生成是由所有参数共同决定的，并且还有一个密钥，所以即使黑客拦截了请求，但是是无法更改任何请求参数的。保证了请求的安全性。
数字签名的证据效率是怎么保障的？
这要详细说一下数据签名技术了：
所谓"数字签名"就是通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证无法比拟的。“数字签名”是目前电子商务、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名 *** 。它采用了规范化的程序和科学化的 *** ，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。
（一） 数字签名的原理
在公钥密码学中，密钥是由公开密钥和私有密钥组成的密钥对。数字签名就是用私有密钥进行加密，接收方用公开密钥进行解密。由于公开密钥不能推算出私有密钥，所以公开密钥不会损坏私有密钥的安全，公开密钥无需保密可以公开传播，而私有密钥必须保密。因此，当某人用其私有密钥加密信息，能够用他的公开密钥正确解密就可以肯定该消息是经过某人签字的，因为其他人的公开密钥不可能正确解密该加密信息，其他人也不可能拥有该人的私有密钥而制造出该加密过的信息。
数字签名并非是书面签名的数字图像化，而是通过密码技术对电子文档进行的电子形式签名。实际上人们可以否认曾对一个文件签过名，且笔迹鉴定的准确率并非100%，但却难以否认一个数字签名。因为数字签名的生成需要使用私有密钥，其对应的公开密钥则用以验证签名，再加上目前已有一些方案，如数字证书，就是把一个实体（法律主体）的身份同一个私有密钥和公开密钥对绑定在一起，使得这个主体很难否认数字签名。
就其实质而言，数字签名是接收方能够向第三方证明接收到的消息及发送源的真实性而采取的一种安全措施，其使用可以保证发送方不能否认和伪造信息。数字签名的主要方式是：报文的发送方从报文文本中生成一个散列值（或报文摘要）。发送方用自己的私有密钥对这个散列值进行加密来形成发送方的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给报文的接收方。报文的接收方首先从接收到的原始报文中计算出散列值（或报文摘要），接着再用发送方的公开密钥来对报文附加的数字签名进行解密。如果两个散列值相同，那么接收方就能确认该数字签名是发送方的。
（二）数字签名的作用
数字签名作为维护数据信息安全的重要 *** 之一，可以解决伪造、抵赖、冒充和篡改等问题，其主要作用体现在以下几个方面：
（1）防重放攻击。重放攻击（Replay Attacks），是计算机世界黑客常用的攻击方式，是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。这种攻击会不断恶意或欺诈性地重复一个有效的数据传输。攻击者利用 *** 监听或者其他方式盗取认证凭据，之后再把它重新发给认证服务器。在数字签名中，如果采用了对签名报文加盖时戳等或添加流水号等技术，就可以有效防止重放攻击。
（2）防伪造。其他人不能伪造对消息的签名，因为私有密钥只有签名者自己知道，所以其他人不可以构造出正确的签名结果数据。
（3）防篡改。数字签名与原始文件或摘要一起发送给接收者，一旦信息被篡改，接收者可通过计算摘要和验证签名来判断该文件无效，从而保证了文件的完整性。
（4）防抵赖。数字签名即可以作为身份认证的依据，也可以作为签名者签名操作的证据。要防止接收者抵赖，可以在数字签名系统中要求接收者返回一个自己签名的表示收到的报文，给发送者或受信任第三方。如果接收者不返回任何消息，此次通信可终止或重新开始，签名方也没有任何损失，由此双方均不可抵赖。
（5）保密性。手写签字的文件一旦丢失，文件信息就极可能泄露，但数字签名可以加密要签名的消息，在 *** 传输中，可以将报文用接收方的公钥加密，以保证信息机密性。
（6）身份认证。在数字签名中，客户的公钥是其身份的标志，当使用私钥签名时，如果接收方或验证方用其公钥进行验证并获通过，那么可以肯定，签名人就是拥有私钥的那个人，因为私钥只有签名人知道。
（三）数字证书
在网上电子交易中，商户需要确认持卡人是信用卡或借记卡的合法持有者，同时持卡人也必须能够鉴别商户是否是合法商户，是否被授权接受某种品牌的信用卡或借记卡支付。为处理这些关键问题，必须有一个大家都信赖的机构来发放数字安全证书。数字证书就是参与网上交易活动的各方（如持卡人、商家、支付网关）身份的代表，每次交易时，都要通过数字证书对各方的身份进行验证。数字证书是由权威公正的第三方机构即证书授权（Certificate Authority，简称CA）中心签发的，它在证书申请被认证中心批准后，通过登记服务机构将证书发放给申请者。
数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间，发证机关(证书授权中心)的名称，该证书的序列号等信息，证书的格式遵循ITUT X.509国际标准。
一个标准的X.509数字安全证书包含以下一些内容：
1）证书的版本信息；
2）证书的序列号，每个证书都有一个唯一的证书序列号；
3）证书所使用的签名算法；
4）证书的发行机构名称，命名规则一般采用X.500格式；
5）证书的有效期，现在通用的证书一般采用UTC时间格式；
6）证书所有人的名称，命名规则一般采用X.500格式；
7）证书所有人的公开密钥；
8）证书发行者对证书的签名。
（四）时间戳
在电子商务交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。数字时间戳服务（digital timestamp service，简称DTS）是网上电子商务安全服务项目之一，能提供电子文件的日期和时间信息的安全保护。时间戳（timestamp），通常是一个字符序列，唯一地标识某一刻的时间。数字时间戳技术是数字签名技术一种变种的应用，也通常在数字签名系统中被采用。
时间戳（time-stamp）是一个经加密后形成的凭证文档，它包括三个部分：
（1）需加时间戳的文件的摘要（digest）；
（2）DTS收到文件的日期和时间；
（3）DTS的数字签名。
一般来说，时间戳产生的过程为：用户首先将需要加时间戳的文件用Hash编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户。数字时间戳由认证单位来加具，以DTS收到文件的时间为依据。
但是现在市场上提供时间戳服务的机构并非《电子签名法》中所指的“电子认证服务提供者”，其未获得工信部颁发的《电子认证服务许可证》，也不能证明文件签署者的主体身份，在技术上和法律效力上都具有局限性。
（五）证书授权中心
1．证书授权中心，即CA中心，承担公钥体系中公钥的合法性检验的责任。CA中心为每个使用公开密钥的客户发放一个数字证书，数字证书的作用是证明证书中列出的客户合法拥有证书中列出的公开密钥。CA中心的数字签名使得攻击者不能伪造和篡改证书。CA中心负责产生、分配并管理所有参与网上交易的个体所需的数字证书，因此是安全电子交易的核心环节。
2．CA认证的主要工具是CA中心为网上作业主体颁发的数字证书。CA架构包括公钥基础设施PKI(Public Key Infrastructure,简称PKI)结构、高强度抗攻击的公开加解密算法、数字签名技术、身份认证技术、运行安全管理技术、可靠的信任责任体系等等。从业务流程涉及的角色看，包括认证机构、数字证书库和黑名单库、密钥托管处理系统、证书目录服务、证书审批和作废处理系统。从CA的层次结构来看，可以分为认证中心（根CA）、密钥管理中心（KM）、认证下级中心（子CA）、证书审批中心（RA中心）、证书审批受理点（RAT）等。CA中心一般要发布认证体系声明书，向服务的对象郑重声明CA的政策、保证安全的措施、服务的范围、服务的质量、承担的责任、操作流程等条款。
根据PKI的结构，身份认证的实体需要有一对密钥，分别为私钥和公钥。其中的私钥是保密的，公钥是公开的。从原理上讲，不能从公钥推导出私钥，如用穷举法来求私钥则由于目前的技术、运算工具和时间的限制而不可能。每个实体的密钥总是成对出现，即一个公钥必定对应一个私钥。公钥加密的信息必须由对应的私钥才能解密；同样，私钥做出的签名，也只有配对的公钥才能解密。公钥有时用来传输对称密钥，这就是数字信封技术。密钥的管理政策是把公钥和实体绑定，由CA中心把实体（即经实名认证的客户）的信息和实体的公钥 *** 成数字证书，证书的尾部必须有CA中心的数字签名。由于CA中心的数字签名是不可伪造的，因此实体的数字证书不可伪造。CA中心对实体的物理身份资格审查通过后，才对申请者颁发数字证书，将实体的身份与数字证书对应起来。由于实体都信任提供第三方服务的CA中心，因此，实体可以信任由CA中心颁发数字证书的其他实体，放心地在网上进行作业和交易。
3．CA中心主要职责是颁发和管理数字证书。其中心任务是颁发数字证书，并履行客户身份认证的责任。CA中心在安全责任分散、运行安全管理、系统安全、物理安全、数据库安全、人员安全、密钥管理等方面，需要十分严格的政策和规程，要有完善的安全机制。另外要有完善的安全审计、运行监控、容灾备份、事故快速反应等实施措施，对身份认证、访问控制、防病毒防攻击等方面也要有强大的工具支撑。CA中心的证书审批业务部门则负责对证书申请者进行资格审查，并决定是否同意给该申请者发放证书，并承担因审核错误引起的、为不满足资格的证书申请者发放证书所引起的一切后果，因此，它应是能够承担这些责任的机构担任；证书操作部门（Certificate Processor，简称CP）负责为已授权的申请者 *** 、发放和管理证书，并承担因操作运营错误所产生的一切后果，包括失密和为没有授权者发放证书等，它可以由审核业务部门自己担任，也可委托给第三方担任。
4．CA为电子商务服务的证书中心，是PKI体系的核心。它为客户的公开密钥签发公钥证书、发放证书和管理证书，并提供一系列密钥生命周期内的管理服务。它将客户的公钥与客户的名称及其他属性关联起来，为客户之间电子身份进行认证。证书中心是一个具有权威性、可信赖性和公证性的第三方机构。它是电子商务存在和发展的基础。
认证中心在密码管理方面的作用如下：
1）自身密钥的产生、存储、备份/恢复、归档和销毁。从根CA开始到直接给客户发放证书的各层次CA，都有其自身的密钥对。CA中心的密钥对一般由硬件加密服务器在机器内直接产生，并存储于加密硬件内，或以一定的加密形式存放于密钥数据库内。加密备份于IC卡或其他存储介质中，并以高等级的物理安全措施保护起来。密钥的销毁要以安全的密钥冲写标准，彻底清除原有的密钥痕迹。需要强调的是，根CA密钥的安全性至关重要，它的泄露意味着整个公钥信任体系的崩溃，所以CA的密钥保护必须按照更高安全级的保护方式来进行设置和管理。
2）为认证中心与各地注册审核发放机构的安全加密通信提供安全密钥管理服务。在客户证书的生成与发放过程中，除了有CA中心外，还有注册机构、审核机构和发放机构（对于有外部介质的证书）的存在。行业使用范围内的证书，其证书的审批控制，可由独立于CA中心的行业审核机构来完成。CA中心在与各机构进行安全通信时，可采用多种手段。对于使用证书机制的安全通信，各机构（通信端）的密钥产生、发放与管理维护，都可由CA中心来完成。
3）确定客户密钥生存周期，实施密钥吊销和更新管理。每一张客户公钥证书都会有有效期，密钥对生命周期的长短由签发证书的CA中心来确定。各CA系统的证书有效期限有所不同，一般大约为2～3年。密钥更新不外为以下两种情况：一是密钥对到期；二是密钥泄露后需要启用新的密钥对（证书吊销）。密钥对到期时，客户一般事先非常清楚，可以采用重新申请的方式实施更新。
采用证书的公钥吊销，是通过吊销公钥证书来实现的。公钥证书的吊销来自于两个方向，一个是上级的主动吊销，另一个是下级主动申请证书的吊销。当上级CA对下级CA不能信赖时（如上级发现下级CA的私钥有泄露的可能），它可以主动停止下级CA公钥证书的合法使用。当客户发现自己的私钥泄露时，也可主动申请公钥证书的吊销，防止其他主体继续使用该公钥来加密重要信息，而使非法主体有窃密的可能。一般而言，在电子商务实际应用中，可能会较少出现私钥泄露的情况，多数情况是由于某个客户由于组织变动而调离该单位，需要提前吊销代表企业身份的该主体的证书。
4）提供密钥生成和分发服务。CA中心可为客户提供密钥对的生成服务，它采用集中或分布式的方式进行。在集中的情形下，CA中心可使用硬件加密服务器，为多个客户申请成批的生成密钥对，然后采用安全的信道分发给客户。也可由多个注册机构（RA）分布生成客户密钥对并分发给客户。
5）提供密钥托管和密钥恢复服务。CA中心可根据客户的要求提供密钥托管服务，备份和管理客户的加密密钥对。当客户需要时可以从密钥库中提出客户的加密密钥对，为客户恢复其加密密钥对，以解开先前加密的信息。这种情形下，CA中心的密钥管理器，采用对称加密方式对各个客户私钥进行加密，密钥加密密钥在加密后即销毁，保证了私钥存储的安全性。密钥恢复时，采用相应的密钥恢复模块进行解密，以保证客户的私钥在恢复时没有任何风险和不安全因素。同时，CA中心也应有一套备份库，避免密钥数据库的意外毁坏而无法恢复客户私钥。
6）其他密钥生成和管理、密码运算功能。CA中心在自身密钥和客户密钥管理方面的特殊地位和作用，决定了它具有主密钥、多级密钥加密密钥等多种密钥的生成和管理功能。对于为客户提供公钥信任、管理和维护整个电子商务密码体系的CA中心来讲，其密钥管理工作是一项十分复杂的任务，它涉及到CA中心自身的各个安全区域和部件、注册审核机构以及客户端的安全和密码管理策略。
（六）EID对于数字签名的意义
1、EID是派生于居民身份证、在网上远程证实身份的证件，即“电子身份证”。在技术上。EID也是采用PKI（Public Key Infrastructure，公钥基础设施）的密钥对技术，由智能芯片生成私钥，再由公安部门统一签发证书、并经现场身份审核后，再发放给公民。具体而言，PKI技术是一套Internet安全解决方案，PKI体系结构采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息捆绑在一起，在Internet网上验证用户的身份，PKI体系结构把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。EID的持证人在使用时自设PIN码激活证件，并通过通用读卡器通过 *** 远程向服务机构出示；服务机构通过EID的身份信息服务后台认证EID的有效性并获取相应权限内的信息。
2、 EID对冒用、截取、篡改、伪造之防范。
如上文所述，EID采用了PKI、硬证书＋PIN码的技术，通过这些技术可以有效防止在 *** 上身份信息被截取、篡改和伪造。此外，由于EID是通过密码技术来将个人的身份与后台数据库关联，身份会被唯一认定，理论上很难被假冒。
即使EID不慎遗失也不用担心被冒用。因为EID由公安部门的 *** 身份管理中心统一签发，若持证人遗失EID，可即刻向 *** 身份管理中心挂失，该EID将立刻被冻结或失效。通常，在没有EID的情况下，如果身份证丢失，因为身份证缺少注销功能，即使挂失补办了，社会上可能还会有两个身份证在流通。而EID具有唯一性，需要联网认证，申领了新的，旧的就自动被注销而无法再使用，因此EID持有者被认定为是可信的。而且由于EID具有PIN码，别人捡到或盗取后也无法使用。EID本身采用先进密码技术，重要信息在key中物理上就无法被读取，因此无法被破解，从而有效避免被他人冒用。
如果发生 *** 账号被盗情况，只要EID还在用户手上，就可以立即重置密码，因此账户就没有被盗用买卖的空间了。还可以规定关键操作必须使用EID，如 *** 上的交易行为必须插入EID，这样即使密码被窃取，也不会造成损失。
3、综上所述，EID实质上是数字签名技术＋PIN码的技术的结合体，其在 *** 时就已经由公安部门进行了实名认证，不需要在使用时再进行实名认证，这弥补了CA机构在颁发CA证书时需要进行实名审核的弊端，同时PIN码技术的采用使身份证所有人成为使用其EID的唯一主体，有效避免了盗用或冒用的发生。笔者认为，基于颁发机构的权威性和技术的可靠性，随着EID的广泛使用，将可以完全取代现有的CA机构在数字签名系统中的使用。
测试那些事儿（十三）- 签名和验签、公钥和私钥、加密和解密
在做接口测试时，大家一定都遇到过需要提供签名的场景。这时，我们就会被各种名词比如 签名和验签、公钥和私钥、加密和解密 冲击。所以，了解一下它们很有必要，可以帮助我们知道为什么要这么做，而不是简单的去当一个验证执行者。甚至，在你了解了它们之后，你也可以在接口的安全性测试上更进一步。
数字签名其实就是一个别人无法仿造，能够证明申请者真实性的一段字符串。 我们在真实生活中，最常用的签名应该就是手签我们的姓名了。
所以，在接口请求时，很多接口也不是你来一个请求我就给你返回你要的数据，而是要验证你的签名，进而证明你的身份后才能做出后续动作。在此过程中，接口调用者需要进行的工作就叫做 签名 ，而被调用者需要进行的工作就叫做 验签 。
公钥 ：由接口被调用方提供，RSA 密钥体系中对外公开的部分，通常用于数据加密、验证数字签名。
私钥 ：由接口被调用方提供，RSA 密钥体系中非公开的部分，需由接口调用方严密保存，通常用于数据解密、数据签名。
这个就很好理解了，传递数据时为了保证数据的安全性，不进行明文传递，而是通过某种算法对敏感数据进行 加密 ，传递后再由接收方使用对应算法进行 解密 来获取明文信息。
将上面的定义总结为图，会更加的清晰：
之所以用发送方的私钥加签，是因为，即便信息被黑客拦截，黑客修改了信息，但是加签需要用发送方的私钥，黑客没有发送方的私钥，所以也无法生成正确的签名，接收方验签就不用通过。
反之如果用接收方的公钥加签，如果信息被黑客拦截，黑客修改了信息，因为接收方的公钥是公开的，黑客就可以重新生成新的签名，替换原有的签名，发送出去，接收方接收到信息，拿自己的公钥校验是通过的，所以接收方无法辨别信息是真正的发送方还是黑客发送过来的，这样的加签不能辨别信息是否被篡改过。
之所以用接收方的公钥加密，是因为，如果信息被黑客拦截，需要用接收方的私钥来解密，黑客无法获取接收方的私钥，即便拦截了信息（情报），黑客也无法看到明文，只能看天书?了。
反之，如果用发送方的私钥加密，如果信息被黑客拦截，因为发送方的公钥是公开的，黑客就可以用发送方的公钥解密密文获得明文，这样的加密所有的人都可以看到明文，不能保证信息的隐私。
了解了以上这些知识，在测试过程中就可以更加深入的了解签名的目的，进而可以更深入的了解签名的实现等。签名的实现有很多种，这个要根据每个团队选择哪种具体分析，但作为测试，基本上我们都是可以按照约定的规则来生成的，这也帮助我们扩展了接口测试覆盖的广度（如接口用例覆盖度、过期时间等隐藏功能），是非常有意义的。
https证书自签名
在 *** 里有很多病毒是人们不能了解的，所以在自己的网站里安装安全证书是很重要的，现在我就对于 https证书自签名 和https双向认证来给大家介绍一下他们的知识。我们知道了这些知识以后我们在自己的网站里更好的使用安全证书。
一、https证书自签名
我们先来了解一下https证书自签名，它是一种免费的安全证书，它是不受浏览器信任，我们如果使用了这样的自签名证书，就会使网站的文件或者是传输的数据被黑客所侵害或者是被命，木马病毒所感染。这样就会使我们的网站导致瘫痪或者是出现很大的风险。这就是关于https证书自签名的一些知识希望大家能够了解。
二、https双向认证
关于https双向认证就是我们和客户都必须有https证书，这样我们在交易的时候就不会出现错误，也不会是木马病毒危害到我们的网站，我们和客户交易的时候就不会出现泄露或者被木马病毒所更改，这样我们和客户在进行传递信息的时候就特别的安全，而且使客户能够信任我们的网站，这就是https双向认证的作用。这样我们在和客户交易的时候就会更加安全，这样就会有越来越多的客户和我们合作，而且我们的生意做的也就会越来越大。可以在蔚可云申请ssl证书。
三、数字签名的作用
最后我们说一下数字签名的作用。接收方能够核实发送方对文报文的签名发送方，不能抵赖对本报文的签名，任何人不能伪造对报文的签名，还有保证数据的完整性，防止截或者在文件中加入其他的信息，对数据和信息来源进行保证，以保证发送方的身份。数字签名有一定的签字速度，能够满足所有的应用需求，数字签名是电子签名技术中的一种。为了保证交易的安全与真实，这就是关于数字签名的作用，使大家都能够了解，这样我们在进行签名的时候更加简便。
数字签名技术有哪些作用？
数字签名，技术可以更快，更方便的甄别合法软件与非法应用，也可以更快速地进行授权操作。
0条大神的评论