黑客获取ca公钥_黑客盗取密钥
文字简介：
HTTPS深入底层探究【高级篇】
1.数字证书防止假冒服务器。
2.混合加密：非对称加密防止对称秘钥泄露，对称加密防止内容被篡改。
1.服务器有一对公钥和私钥
2.服务器把公钥给了CA认证机构，CA机构用CA密钥对 “CA的一些资料和服务器公钥”进行加密形成CA证书
3.CA机构把CA证书返给服务器，服务器再发送给客户端
4.客户端内置CA公钥，通过CA公钥验证数字证书的合法性，从CA证书中获取服务器的公钥。
1.苹果有三端 苹果服务器 苹果手机 苹果电脑
2.苹果电脑 请求证书颁布机构拿到csr文件 里面包含 公钥M和私钥M
3.苹果服务器有私钥s
4.苹果手机有公钥s
5.两对公钥密钥所以一看就会知道这是双重非对称加密
详细流程：
1.TCP 三次握手
2.TLS 三次握手：
1):client hello: 客户端发送SSL版本、随机数C、支持的加密算法等信息给服务端
2):server hello - server certificate - server hello - done: 服务端发送SSL版本、随机数、(根据客户端的支持的加密算法，选择出更高安全性的）加密方式、公钥、CA证书等信息给客户端
3):finished
3.客户端验证服务端证书（serverTrust）是否合法
1):使用本地CA公钥解密服务端发过来的CA证书 ，来获取到服务器的公钥，
2:)验证这个公钥与服务器直接发过来的公钥相比，看是否合法
4.客户端生成 Pre-master(预主秘钥)，用公钥加密后发给服务端
5.服务端用私钥解密，拿到预主秘钥，这样双方都有 random c + random s + Pre-master， 根据协定的算法生成对称秘钥。之后双方就可以使用对称秘钥加解密。
6.由于非对称加密安全性高、性能差。所以使用非对称获取到预主秘钥后，后续都是对称加密。
参考文章地址
UDP（用户数据报协议
TCP（传输控制协议）
1.形成传输数据的通道。
2.在连接中进行大数据传输（数据大小不受限制）。
3.通过三次握手完成连接，是可靠协议，安全送达。
4.必须建立连接，效率会稍低。
TCP如何保证可靠性：
ACK机制：
ACK延迟机制：
如果每个数据包都响应ACK，数量量会很大。所以有了ACK延迟， 一定时间内如果收到了多个数据包，只按照最后一个正确的数据，发送ACK。
短连接
1.数据请求结束后，立即断开连接。
2.能够及时释放服务器资源。
3.让服务器能够为更多的用户提供服务。
长连接
1.一旦连接建立之后，始终保持连接状态。
2.后续只需发送和接收数据即可，数据响应更及时。
3.长连接对服务器资源占用比较大。
4.对交互响应要求快的应用，例如即时通讯，需要使用长连接。
心跳包
1.是检测长连接的重要技术手段。
2.可以由服务器发送。
定时向客户端发送小数据，根据回执判断客户端是否在线。
3.也可以由客户端发送。
定时向服务器发送小数据，报告客户端当前在线。
1.反序列化：在从服务器接收到数据之后，将二进制数据转换成 NSArray / NSDictionary。
2.序列化：在向服务器发送数据之前，将 NSArray / NSDictionary 转换成二进制的过程。
NS *** ONSerialization 类
在实际开发中，获得 *** 的数组或者字典之后，通常会做字典转模型！反序列化的结果是否可变并不重要
选项选择 0，表示任何附加操作都不做，效率更高！
MD5的加密方案：
三方框架的使用：
青山不改，绿水长流，后会有期，感谢每一位佳人的支持！
怎样获取ca证书中的私钥和公钥
CA 也拥有一个证书（内含公钥和私钥）。网上的公众用户通过验证 CA 的签字从而信任 CA ，任何人都可以得到 CA 的证书（含公钥），用以验证它所签发的证书。如果用户想得到一份属于自己的证书，他应先向 CA 提出申请。在 CA 判明申请者的身份后，便为他分配一个公钥，并且 CA 将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请者。如果一个用户想鉴别另一个证书的真伪，他就用 CA 的公钥对那个证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的。证书实际是由证书签证机关（CA）签发的对用户的公钥的认证。证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。目前，证书的格式和验证 *** 普遍遵循X.509 国际标准。加密：我们将文字转换成不能直接阅读的形式（即密文）的过程称为加密。即把我们平时看到的“http”加密成“https”来传输，这样保证了信息在传输的过程中不被窃听。目前国内可以完成这个工作的CA是GlobalSign。解密：我们将密文转换成能够直接阅读的文字（即明文）的过程称为解密。 如何在电子文档上实现签名的目的呢？我们可以使用数字签名。RSA公钥体制可实现对数字信息的数字签名， *** ：信息发送者用其私钥对从所传报文中提取出的特征数据（或称数字指纹）进行RSA算法操作，以保证发信人无法抵赖曾发过该信息（即不可抵赖性），同时也确保信息报文在传递过程中未被篡改（即完整性）。当信息接收者收到报文后，就可以用发送者的公钥对数字签名进行验证。在数字签名中有重要作用的数字指纹是通过一类特殊的散列函数(HASH函数) 生成的。流程：CA证书签发过程．接受的输入报文数据没有长度限制； 2．对任何输入报文数据生成固定长度的摘要(数字指纹)输出； 3．从报文能方便地算出摘要； 4．难以对指定的摘要生成一个报文，而由该报文可以算出该指定的摘要； 5．难以生成两个不同的报文具有相同的摘要。验证：收方在收到信息后用如下的步骤验证签名： 1．使用自己的私钥将信息转为明文； 2．使用发信方的公钥从数字签名部分得到原摘要； 3．收方对您所发送的源信息进行hash运算，也产生一个摘要； 4．收方比较两个摘要，如果两者相同，则可以证明信息签名者的身份。如果两摘要内容不符，会说明什么原因呢？ 可能对摘要进行签名所用的私钥不是签名者的私钥，这就表明信息的签名者不可信；也可能收到的信息根本就不是签名者发送的信息，信息在传输过程中已经遭到破坏或篡改。数字证书：数字证书为实现双方安全通信提供了电子认证。在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有密钥对（公钥和私钥）所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。安装方式：在很多情况下，安装CA证书并不是必要的。大多数操作系统的CA证书是默认安装的。这些默认的CA证书由GoDaddy或VeriSign等知名的商业证书颁发机构颁发。因此，如果设备需要信任不知名的或本土的证书颁发机构，只需要安装CA证书。下载和安装CA证书并没有真正的标准流程。采用的 *** 依赖于许多因素，如正在使用的服务器类型可作为一个证书颁发机构，证书颁发机构的配置方式以及设备上所使用的想安装CA证书的操作系统。如果Windows服务器被配置为一台证书颁发机构，通常情况下，管理员可通过一个Web界面生成并下载证书。这个Web界面的地址通常是;the server's FQDN/CertSRV。该Web界面中有下载CA证书的选项。 如果一台Windows PC上安装了CA证书，该证书是由证书控制台进行安装的。在Windows 8个人电脑上，可以通过本地的运行功能进入CertLM.msc，从而访问证书商店。CA证书通常安装在第三方根认证机构容器中的受信任的根证书颁发机构中。通常，如果想在移动设备上安装一个CA证书，可以将证书通过电子邮件发送到该移动设备上的邮箱账号。打开附件，证书将被安装到该设备上。[证书原理：数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一部分，另一部分是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道。由公钥加密的信息只能由与之相对应的私钥解密。为确保只有某个人才能阅读自己的信件，发送者要用收件人的公钥加密信件；收件人便可用自己的私钥解密信件。同样，为证实发件人的身份，发送者要用自己的私钥对信件进行签名；收件人可使用发送者的公钥对签名进行验证，以确认发送者的身份。在线交易中您可使用数字证书验证对方身份。用数字证书加密信息，可以确保只有接收者才能解密、阅读原文，信息在传递过程中的保密性和完整性。有了数字证书网上安全才得以实现，电子邮件、在线交易和信用卡购物的安全才能得到保证。证书作用： 保密性 - 只有收件人才能阅读信息。 认证性 - 确认信息发送者的身份。 完整性 - 信息在传递过程中不会被篡改。 不可抵赖性 - 发送者不能否认已发送的信息。 保证请求者与服务者的数据交换的安全性。希望对你有用和帮到你。
*** 基本知识-公钥、密钥、数字证书
客户端 = 服务端： 加个微信~
服务端 = 客户端： 你礼貌吗？
客户端 = 服务端： 加不加？
服务端 = 客户端： 我的微信号：mahuatengshishabi（此时服务端用RSA非对称加密算法的私钥进行了加密，私钥只有服务端保存）
客户端 = 服务端： 是的，我找的就是mahuatengshishabi，是你没错（此时客户端用公开的公钥解密了服务端加密的内容，验证了服务端的身份）
Problem :
在上面的例子中，黑客无法冒充服务端给客户端发数据，因为私钥只有服务端有，所以黑客加密内容发给客户端，客户端用公钥是无法解开的。
但是有个问题喔，就是因为公钥是公开的，黑客是不是就可以通过公钥解开服务端发给客户端的 “微信号” 了，说明这也是不安全的。
之一步：客户端 = 服务端： 加个微信~
第二步：服务端 = 客户端： 你礼貌吗？
第三步：客户端 = 服务端： 加不加？
第四步：服务端 = 客户端： 我的微信号：mahuatengshishabi（此时服务端用RSA非对称加密算法的私钥进行了加密，私钥只有服务端保存）
第五步：客户端 = 服务端： 是的，我找的就是mahuatengshishabi，我已经申请你的好友了（此时客户端用公开的公钥解密了服务端加密的内容，之后我们的通讯通过 对称加密进行 ，然后把 对称加密算法和密钥 用 RSA公钥 加密发了过去）
第六步：服务端 = 客户端： 好的，我已经同意了（此时服务端用对称加密算法和密钥进行加密）
第七步：客户端 = 服务端： ok，我们已经是好友了（此时客户端用对称加密算法和密钥进行加密）
Problem :
在上面例子中，第五步客户端把堆成加密算法和密钥通过RSA的公钥进行加密，发给了服务端，这点的做法是，除了真正的服务端以外，其他人无法解密，因为私钥只有服务端才有，服务端收到数据后，用私钥进行解密，后续用对称加密进行通讯。
之一步：客户端 = 黑客： 加个微信~（此时就被黑客在某个路由节点截取了）
第二步：服务端 = 客户端： 先转500（此时把黑客生成的公钥发给客户端，黑客持有私钥）
第三步：客户端 = 服务端： 已经转了~（此时客户端用黑客的公钥进行加密）
第四步：服务端 = 客户端： 我的微信号：mayunshishabi（此时黑客用RSA非对称加密算法的私钥进行了加密，私钥只有服务端保存，公钥公开）
第五步：客户端 = 服务端： 好的我已经加了，同意下（此时客户端用黑客的公钥解密了黑客加密的内容，【 这里无法验证服务端身份 】，之后我们的通讯通过 对称加密进行 ，然后把 对称加密算法和密钥 用 RSA公钥 加密发了过去）
第六步：服务端 = 客户端： 不同意，再转500 （此时黑客用对称加密算法和密钥进行加密）
第七步：客户端 = 服务端： 小丑竟是我自己（此时客户端用对称加密算法和密钥进行加密）
..........
我们用chorme浏览器进入，打开证书：
可以看到证书的相关信息
怎么申请CA证书？
如果用户想得到一份属于自己的证书，他应先向 CA 提出申请。在 CA 判明申请者的身份后，便为他分配一个公钥，并且 CA 将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请者。
CA 也拥有一个证书（内含公钥和私钥）。网上的公众用户通过验证 CA 的签字从而信任 CA ，任何人都可以得到 CA 的证书（含公钥），用以验证它所签发的证书。证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。
扩展资料
证书原理：数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一部分，另一部分是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道。由公钥加密的信息只能由与之相对应的私钥解密。
为确保只有某个人才能阅读自己的信件，发送者要用收件人的公钥加密信件；收件人便可用自己的私钥解密信件。同样，为证实发件人的身份，发送者要用自己的私钥对信件进行签名；收件人可使用发送者的公钥对签名进行验证，以确认发送者的身份。
参考资料来源：百度百科——ca证书
ECO044:获取公钥签名值失败
原因如下：
获取公钥失败的意思是数据在 *** 中发送很可能被黑客接收，导致泄密，所以敏感数据发送方都要按照约定的 *** （密钥）进行加密传输，接收方会按事先约定的 *** （密钥）进行解密，从而获得正确的数据。获取加密公钥失败，大概率密钥包丢失，导致密钥数据不完整，从而接收方会认为密钥失败。
如果获取公钥失败请您尝试以下操作：
1.请您通过驱动程序查看状态是否正常；
2.如已安装驱动程序且能够读取证书信息，请您在交易时选择正确的证书后再输入密码。
