公共钥匙加密技术需要一个空间来数字证书和私钥。通过将钥匙和证书到一个文件中（称为keystore）， Security Architecture实现了独立于平台的加密技术。
Microsoft 把钥匙和证书存储到注册表和文件系统中。这就是说，在Windows系统上运行的程序的用户必须在Java和Microsoft的钥匙和证书库之间输入和输出钥匙和证书。好消息是，你可以“哄骗”Java应用程序通过Microsoft本地函数来运用Microsoft的证书和钥匙库。
通过将你的Java应用程序同Windows 钥匙/证书库结合起来，你虽然牺牲了平台独立性，但你得到了四个好处：减少了管理和支持的成本、更方便用户使用、更好的证书撤消校验、以及更好的钥匙和证书管理工具。
一个Java程序必须通过四个不同的类实现与Windows加密术的集成： · TrustManager Provider：用这个类来实现与Windows证书库的集成并实现策略。
· KeyManager Provider：用这个类来实现与Windows私钥库的集成。
· RSA Signature Provider：数字签名需要访问私钥库。如果Java程序不能读取私钥（比如，如果私钥存在一个加密了的智能卡上了），那么签名操作就必须在Windows中进行。
· RSA Cipher Provider：解密RSA加密的数据（如加密套接字层（SSL）对称的钥匙）需要访问私钥库。如果Java程序不能读取私钥（比如，如果私钥存在一个加密了的智能卡上了），那么RSA解密操作就必须在Windows中进行。
我将讲述与Windows平台集成的TrustManager Provider、KeyManager Provider、RSA Signature Provider和RSA Cipher Provider的用法。TrustManager和KeyManager可以让你构建可运行的Windows支持的Java Secure Socket Extension（JSSE）应用程序。JSSE范例程序——EchoServer和EchoClient可以证明这一点。你不能覆盖JSSE的内置的RSA Cipher Provider，所以，只有当私钥可以从Windows钥匙库中输出时，JSSE应用程序才可以运行。
如果你在编写一个运用RSA签名或RSA加密的Java应用程序，那么你可以运用Windows支持的RSA Signature Provider和Cipher Provider。这不需要从Windows钥匙库中输出私钥。对于其它三个提供者（provider），你可以单独使用每一个。
该代码是用 beta版JDK 1.4.0-rc开发的，很稳定。不过，我们打算将该代码作为一个框架，进行进一步的开发。在将该代码用于生产环境前，你应该改进异常处理，确信在本地代码中没有内存泄露，并使密钥的暴露降低到最小。为了测试代码，你需要一个RSA数字证书。你可以从VeriSign网站得到一个临时证书，有效期是60天。具体操作请遵循该站点上的指南。不要选定标为“Protect your Private Key”的框。因为没有选定这个框，你的私钥就可以输出。
下面的代码初试化了四个提供者：
MSTrustMgrProvider.install（）；
MSKeyMgrProvider.install（）；
MSRSASignProvider.install（）；
MSRSACipherProvider.install（）；
kmf = KeyManagerFactory
.getInstance（"MSKMF"）；
tmf = TrustManagerFactory.
getInstance（"MSTMF"）；
Cipher cipher =
Cipher.getInstance（
"RSA/ECB/PKCS1Padding"）；
Signature rsa =
Signature.getInstance（
"SHA1withRSA"）；
所有的四个提供者都调用了10个本地的Microsoft函数：
· MSgetCACerts（）从Microsoft证书库返回一列认证授权中心（Certificate Authority （CA））签发的证书。
· 如果一个证书没有被撤消，MSVerifyCertRevocation（）返回true。
· MSgetPrivateKey（）为一个特定的别名（alias ）返回私钥。（这里所说的一个别名就是带有一个RSA私钥和证书的一个身份。）钥匙从Microsoft钥匙库中输出。
· MSgetCert（）为一个特定的别名从Microsoft证书库中返回一个证书。
· MSgetAliases（）返回一组别名（带有私钥的一个身份的名字）。Microsoft钥匙库中的每个私钥都有一个别名。
· MSrsaSignHash（）返回哈希数据（hashed data）的RSA签名。
· MSrsaDecrypt（）用RSA算法来解密一个先前加密了的数据块。
· MSrsaEncrypt（）用Microsoft RSA provider来加密一个数据块。
· MSrsaGetKeysize（）返回Microsoft钥匙库中一个钥匙的RSA钥匙大小。
· MSgetCRL（）将一个证书撤消清单（Certificate Revocation List（CRL））到Microsoft Internet缓存中。
一个约500行的用C语言代码编写的源文件mscryptofunctions.c中包含了所有这些函数。该代码可以在Windows 98/NT4/2000/XP上运行。
公共钥匙加密算法
公共钥匙加密有两个目的：加密和数字签名。公共钥匙加密运用一个包含两部分的钥匙（或一对钥匙）：一个私钥和一个公钥。公钥带有开始和终止日期、一个序号、一个身份（称为Subject Distinguished Name）、和一个CA的签名（见列表1）。RSA是最常用的公共钥匙加密算法。
公共钥匙加密运用一个公钥和一个私钥。一个数字证书（如下所示）包含公钥、开始和结束日期、一个序号、一个身份和一个证书授权中心（CA）的签名。
Serial number:
6822 3C33 7945 3AC8 F8C5 398B 7469 94E1
Signature algorithm: md5RSA
Issuer: CN = VeriSign Class 1 CA Individual
Subscriber-Persona Not Validated,
OU = Incorp.
By Ref.,LIAB.LTD（c）98,
OU = VeriSign Trust Network, O = VeriSign, Inc.
Valid from: Wednesday, May 30, 2001 7:00:00 PM
Valid to: Monday, July 30, 2001 6:59:59 PM
Subject: E = boyter@txdirect.net,
CN = Brian Boyter,
OU = Digital ID Class 1 <\? Microsoft,
OU = Persona Not Validated,
OU = Incorp.
by ref.,LIAB.LTD（c）98,
OU = VeriSign Trust Network, O = VeriSign, Inc.
Public key: 3081 8902 8181 00BA B459 0F39 156E
C69E C238 BFD0 401D DBB9 D207 DFA4 5DBD 09F3
5CE6 B5E6 C357 88DD 808B 0699 5F68 A2A4 6A8A
3B21 6D3D D0A1 1E5F DAB1 FB8E F835 F84F 849B
29A4 6943 8D59 0669 7C81 1D00 03B7 1A02 4E7A
8596 11BD 7CC4 07A3 D7E5 9FF6 5684 B853 04F0
0938 A11E 5218 F9AB F034 070D C8C4 6652 C19B
4C57 E435 EFDC 85D4 B269 07B7 0102 0301 0001
Basic constraints: Subject Type=End Entity,
Path Length Constraint=None
Certificate policy:
Policy Qualifier Id=CPS Qualifier:
Policy Qualifier Info:
Organization=VeriSign, Inc.,
Notice Number=1
CRL Distribution Point Distribution Point Name:
Full Name:
URL=
Thumbprint algorithm: sha1
Thumbprint: 74A8 9F07 43AA 8FFC C4D5 AB09 3773 3AFF F7E7 DFFC
公共钥匙加密中的加密是用公钥来完成的，解密是用私钥完成的。公共钥匙加密对于大量的加密来说运算很复杂，但它却被广泛用来分配密钥。密钥，或对称加密算法，如DES和RC4，通常用于大量的加密，但是密钥加密算法需要一些保密的方法来用于大量加密的钥匙。一种技术是生成一个随机数，用公共钥匙加密算法来加密那个随机数，然后将加密了的随机数发送给远端的同伴。发送者用远端同伴的公钥来加密随机数。接收者用它自己的私钥来解密这个随机数。任何截取了加密的随机数的第三方都不能解密那个随机数，因为他没有私钥。
在数字签名中，用私钥来完成签名，用公钥来完成确认。被签名了的文件通常是经过哈希算法处理过的。哈希算法是一个单向算法，它可以减小文件的大小。运用MD5哈希算法，文件被简小到16字节。运用SHA1哈希算法，文件被简小到20字节。然后，就用签名人的私钥对经哈希算法处理过的文件进行加密。任何人都可以用签名人的公钥来解密哈希文件。
你必须非常小心地保护私钥。Windows将私钥以有些令人迷惑的形式存储在文件系统中。一个恶意的侵犯者可以进入到你的计算机并找到你的私钥。任何得到了你的私钥的人都可以化装成你，在你不知道的情况下做出签署文件等行为。一种保护私钥的方法就是用一个加密的智能卡，该卡上存储了私钥。运用一个加密的智能卡，用户仍然可以进行公钥加密和签名活动，但没有人——甚至用户——可以读取私钥。智能卡有一个RSA加密和签名处理器，只有这个RSA处理器有权使用私钥。
当一个SSL向一个SSL客户端确认身份时，客户端必须根据下面这些标准来确定的证书是否有效：
· 证书必须有一个信任链，其根CA必须是客户端信任的。
· 服务器证书，和信任链中所有的CA证书必须有有效的签名。每个证书都是由下面更高级的CA来签署的，除了根CA外，它签名自己的证书。
· 当前的日期和时间必须在服务器证书的有效期内，而且也在信任链中所有证书的有效期内。每个证书都有一个有效期（证书可以有效使用的一个开始日期和时间以及结束日期和时间）。
· 每个CA应该管理和公布一个C
【责编:admin】
--------------------next---------------------
