解释
数字证书也叫电子证书（简称证书）。在很多场合下，数字证书、电子证书和<br>证书都是X.509公钥证书的同义词，
证书表示
CA《A》=CA{V,SN,AI,CA,UCA,A,UA,Ap,TA}
V—证书版本号 <br>SN—证书序列号<br>AI—用于对证书进行签名的算法的标识符 <br>UCA—CA可选的唯一标识符 <br>UA—用户A可选的唯一标识符 <br>Ap—用户的公钥 <br>TA—指出证书的有效期，它包含两个日期，只有当处于这两个日期之间才有效。<br>证书的有效周期是指CA但保证书将维持关于证书状态信息的时间间隔。TA的取<br>值范围不少于24小时。证书中的签名的有效性可被具有CAp知识的任何用户所检<br>查。
证书结构
Certificate ::= SIGNED{SEQUENCE{ <br> version [0] Version DEFAULTv1, <br> serialNumber CertificateSerialNumber, <br> signature AlgorighmIdentifier, <br> issuer Name, <br> validity Validity, <br> subject Name, <br> subjectPublicKeyInfo SubjectPublicKeyInfo, <br> issuerniqueldentifier [1] IMPLICIT UniqueIdentifier OPTIONAL, <br> 如果存在，版本必须为V2或V3 <br> subjectUniqueIdentifier [2] IMPLICIT UniqueIdentifier OPTIONAL, <br> 如果存在，版本必须为V2或V3 <br> extensions [3] Extensions OPTIONAL <br> 如果存在，版本必须为V3-}} <br>Version ::= INTEGER{v1(0),v2(1),v3(2)} <br>CertificateSerialNumber ::= INTEGER <br>AlgorighmIdentifier ::= SEQUENCE{ <br> algorithm ALGORITHM. &ID({SupportedAlgorithms}) <br> parameters ALGORITHM. <br>&Type({SupportedAlgorithms}{@algorithm})OPTIONAL} <br>以上证书的格式是由ANSI.1 数据类型表示的
证书内容
证书标准域
Certificate Format Version：证书版本号。 <br>Certificate Serial Number：证书序列号。（用于查询及认证） <br>Signature Algorithm Identifier：签名算法标识 <br>Issuer Name：签发此证书的CA的名称。（用于认证） <br>Validity Period：证书有效期。 <br>——notBefore：起始日期 <br>——notAfter：终止日期。（用于验证） <br>Subject Name：用户主体名称。（用于验证） <br>Subject Public Key Information：用户信息 <br>Information：用户主体公钥信息。 <br>——AlgorithmIdentifier：算法标识 <br>——subjectpublicKey：用户主体公钥。 <br>Issuer Unique ID：颁发者可选唯一标识。 <br>Subject Unique ID：主体证书拥有者唯一标识。
扩展域
Extensions：证书扩充部分（扩展域） <br>Authority Key Identifier：签发者CA的公钥标识 <br> ——Key Identifier：公钥标识 <br> ——Cert Issuer：证书签发者的甄别名。（用于认证） <br> ——Cert Serial Number：签发证书的序列号。（用于认证） <br>Subject Key Identifier：用户主体的公钥标识。 <br>CRL Distribution Point：CRL分布。 <br>Key Usage：证书中的公钥用途。（用于验证） <br>Private Key Usage Period：用户的私钥有效期。 第二章 系统相关理论和技术 <br> 14——<br>notBefore：起始日期。（用于验证） <br>——notAfter：终止日期。（用于验证） <br>Certificate Policies：CA承认的证书政策列表。 <br>Policy Mappings：策略映射。 <br>SubjectAltName：用户的代用名。 <br>IssuerAltName：CA的代用名。 <br>Basic Constraints：基本制约。 <br>Subject Directory Attributes：用户主体目录属性。 <br>Signature Algorithm：CA签名算法标识
认证过程
序列号认证
序列号的验证，是指检查实体证书中的签名实体系列号是否与签发者证书的序<br>列号一致，从而验证证书的真伪。验证操作过程是：用户实体证书中的Authority <br>Key Identifier扩展项Cert Serial Number，即签发证书的序列号，检查CA证书中<br>的Certificate Serial Number证书序列号，二者应该相一致，否则证书不是可信任<br>的认证机构CA所签发。
有效期认证
有效期验证就是检查用户证书使用的日期是否合法，有无过期。具体做法为： <br>用户实体证书的有效期ValidityPeriod及私钥的有效期PrivateKeyUsagePeriod，<br>应当在CA证书的有效期ValidityPeriod之内。超过CA证书有效期，实体证书应<br>该作废，交易是不安全的。 <br>用户实体证书有效期开始时间ValidityPeriod中的NotBefore日期应该在CA证<br>书的私钥有效期PrivateKeyUsagePeriod日期之内。否则证书是不安全的。
证书作废列表查询
证书作废列表查询，是检查用户的证书是否已经作废，并发布在证书吊销<br>列表中。一般称CRL查询，俗称“黑名单查询”。一个实体证书因私钥泄密等原<br>因，需要废止时，应及时向CA声明作废。CA实体及时地通过LDAP标准协议向<br>证书库中以X.500的格式进行发布，以供访问时实体间进行开放式查询
