公钥基础设施(pki)的核心组成部分是，公钥基础设施pk i由什么组成
chanong
|近年来，随着电子商务行业的快速发展，网上交易每秒频繁发生，网上交易过程面临窃听、篡改、伪造等威胁，交易安全无法保障。防守起来非常困难。很难确定收到的信息是否是由特定实体发送的，或者信息是否在传输过程中被篡改。公钥基础设施PKI技术是解决上述网络安全威胁的主要途径之一。
今天这篇文章，我们将详细讨论PKI技术的原理、架构和应用场景。
1.什么是PKI？
官方定义：PKI是公钥基础设施的缩写。 PKI是一种基于标准的技术和规范，利用公钥密码学为电子商务的发展提供安全的底层平台。 PKI技术是遵循既定标准的密钥管理平台。它基于密码技术，其核心是证书服务。支持集中、自动的密钥管理和密钥分发，为所有网络应用提供加密和数字签名。加密服务需要密钥和证书管理系统。
一般理解：PKI利用公钥理论和技术建立通用的基础设施来提供安全服务。它是创建、颁发、管理和取消公钥证书所涉及的所有软件和硬件的集合。 PKI可用于“建立”。不同实体之间的信任关系是现代网络安全架构的基础和核心。 PKI的主要任务是在开放环境下为开放企业提供一整套基于非对称密钥密码技术的安全服务（身份证书和密钥管理、保密性、完整性、身份认证、数字签名等）。
因此，用户可以使用PKI平台提供的服务进行电子商务和电子政务应用。
2. PKI技术原理和结构
2.1 PKI技术解决什么问题？
首先了解一下什么是key。什么是证书？
这个密钥在之前的《加密原理》文章中提到过。
对密钥的普遍理解是，当你发送一个文件或数据，并且担心被别人截获并看到时，你在发送之前使用算法添加加密，以便其他人可以访问密钥。这是为了确保这并不容易得到。如果被拦截，它是明文，接收者得到的是密文。解密后，您可以看到发送给收件人的数据和文件。密钥的作用是保密，算法是一种加密方法。
关于证件的一般认识：要开车，首先必须取得驾驶执照，驾驶执照�**掌⑿彰⒊錾掌诘雀鋈诵畔ⅲ约坝行凇⒊盗纠嘈偷刃畔ⅰ３盗揪簿峙夹惺徊⒓痈怯≌隆＜菔恢凑毡砻鞴舶踩恳讶范ǜ萌擞凶矢窦菔怀盗尽�
证书实际上与驾驶执照非常相似，包含姓名、组织和电子邮件地址等个人信息，以及该个人拥有的公钥，并由证书颁发机构进行数字签名。加利福尼亚州）。只要查看公钥证书就可以知道证书颁发机构认为公钥属于此人。公钥证书也称为证书。
2.2 PKI配置
PKI是分布式计算系统中通过公钥技术和X.509证书提供的一组安全服务。公司或组织可以使用相关产品建立安全域并在那里发布密钥和证书。在安全域内，PKI管理加密密钥和证书的颁发，包括密钥管理（包括密钥更新、密钥恢复、密钥委托）、证书管理（包括证书生成和吊销等）、策略和其他服务。管理。 PKI 产品还允许组织通过证书级或直接相互身份验证与其他安全域建立信任关系。互操作性非常重要，因为这些服务和信任关系不能局限于独立的网络内，必须建立在网络之间、通过互联网来保证电子商务和网络通信的安全。
上图展示了一个典型的PKI系统，包括PKI策略、软硬件系统、证书颁发机构CA、注册机构RA、证书颁发系统等。
1. PKI 安全策略建立并定义了组织的信息安全准则，并定义了密码系统的使用和原理。这包括组织如何处理密钥和有价值的信息，以及如何根据风险级别定义安全控制级别。 PKI中的策略一般有两类： 证书策略，用于管理证书的使用；例如，您可以检查该CA 是Internet 上的公共CA 还是您公司内的私有CA。另一个是CPS（证书实践声明）。一些由商业认证机构(CCA) 或受信任的第三方运营的PKI 系统需要CPS。这是一份详细的文档，其中包含一些有关如何实际执行和支持安全策略的操作步骤。这包括CA如何建立和运营，如何颁发、接收和撤销证书，如何生成和注册密钥，如何存储密钥以及用户如何检索密钥。
2. 证书颁发机构CA 是PKI 的信任基础。管理整个公钥生命周期。其功能包括颁发证书、指定证书的有效期以及允许在必要时撤销证书。发布证书吊销列表(CRL)。
3. 注册机构RA 提供用户和CA 之间的接口，获取并验证用户的身份，并向CA 提出证书请求。主要完成收集用户信息、验证用户身份的功能。这里的用户是指向认证中心（即CA）申请数字证书的客户，可以是个人、组织或政府机构。注册管理通常由独立的注册机构（RA）进行。受理用户的注册申请，审核用户的资格，并决定CA是否同意颁发数字证书。注册机构不向用户颁发证书；它只执行用户资格检查。因此，可以在银行销售部门、机构知识部门等直接与客户打交道的业务部门设立RA。当然，对于规模较小的PKI应用系统，认证中心CA也可以完成注册管理功能，而不需要设立独立运行的RA。但这并不意味着PKI注册功能被废除；它仍然被视为CA功能。 PKI国际标准推荐独立的RA来完成注册管理任务。这提高了应用程序系统的安全性。
4.证书颁发系统例如向用户自己或通过目录服务颁发证书。目录服务器可以驻留在您的组织内或由PKI 解决方案提供。
一个简单的PKI系统包括证书颁发机构CA、注册机构RA以及相应的PKI存储库。 CA 用于颁发和管理证书。 RA可以是CA的一部分，也可以是独立的，其功能包括个人身份审计、CRL管理、密钥生成和密钥对备份等。 PKI 存储库包括LDAP 目录服务器和常规数据库。用于存储和管理用户应用程序、证书、密钥、CRL、日志等信息，并提供一定的查询功能。
2.3 PKI系统主要技术
1.CA框架模型
证书颁发机构(CA) 通常用于创建证书并将其颁发给称为安全域的有限组。在创建证书时，CA系统首先获取用户请求的信息，包括用户的公钥（如果客户端用于个人使用或测试，则公钥通常由客户端提供，例如电子邮件程序或浏览器）。生成）。第三方使用对于第三方开发的具有专有CSP（例如USBkey）的智能设备，CA根据用户请求的信息生成证书，并使用自己的私钥对证书进行签名。其他用户、应用程序或实体使用CA 的公钥来验证证书。当CA 系统受信任时，验证证书的用户可以确信他们正在验证的证书中的公钥属于该证书所代表的实体。
CA 还负责维护和发布证书吊销列表(CRL)（也称为证书吊销列表或证书黑名单）。当证书（特别是证书中的公钥）因其他原因（过期之外）而变得无效时，CRL 提供了一种集中方式通知用户和其他应用程序。 CA系统生成CRL后，将其放置在LDAP服务器上供用户查询或下载，或者以页面超链接的形式直接放置在Web服务器上的适当位置供用户查询或下载。
典型的CA系统包括安全服务器、注册机构RA、CA服务器、LDAP目录服务器和数据库服务器。如下所示：
安全服务器：安全服务器面向一般用户，用于提供证书申请、引用、证书吊销列表、证书下载等安全服务。安全性服务器与用户之间的通信采用安全通道方式（如SSL，不需要用户身份认证）。用户首先获得安全服务器的证书（证书由CA颁发）。然后，用户和服务器之间发生所有通信，包括用户输入的应用程序信息和浏览器生成的公钥。它使用安全服务器的密钥加密发送，并且只有安全服务器可以使用自己的私钥对其进行解密以检索明文，从而防止其他人窃听以检索明文。保证了证书申请和传输过程中的信息安全。
CA服务器：CA服务器是整个证书颁发机构的核心，负责颁发证书。 CA首先生成自己的私钥和公钥（密钥长度必须至少为1024位），然后生成数字证书并将其发送到安全服务器。 CA还负责为运营商、安全服务器和注册机构服务器生成数字证书。安全服务器的数字证书和私钥也必须发送到安全服务器。 CA服务器是整个架构中最重要的部分。 CA 服务器包含用于颁发CA 私钥和证书的脚本文件。出于安全原因，CA 服务器应与其他服务器隔离。身份验证中心的安全性对所有通信均采用手动干预。
注册机构RA：注册中心服务器面向注册中心运营商，在CA架构中起到连接作用。它一方面将安全服务器发送的证书申请请求转发给CA，另一方面将证书申请请求转发给CA。 CA 向LDAP 服务器和安全服务器发出证书申请请求数字证书和证书吊销列表。
LDAP服务器：LDAP服务器提供目录查找服务，负责将注册机构服务器发送来的用户信息和数字证书添加到服务器中。这样其他用户就可以访问您的LDAP服务器并检索其他用户的数字证书。
数据库服务器：数据库服务器是证书颁发机构的核心部分，用于存储和管理证书颁发机构内的数据（如密钥和用户信息）、日志和统计信息。真正的数据库系统必须采用磁盘阵列、双机备份、多处理器等多种措施来维持数据库系统的安全性、稳定性、可扩展性和高性能。
2. 密钥管理
密钥管理也是PKI（主要是CA）的核心功能，主要指密钥对的安全管理，如密钥生成、密钥备份、密钥恢复、密钥更新等。
(1)密钥生成密钥对生成是证书申请过程中的重要步骤，生成的私钥由用户保存，公钥等信息提交给CA中心进行签名认证，生成一册。根据证书类型和应用程序的不同，生成密钥对的格式和方法也不同。常规或测试证书通常由浏览器或固定终端应用程序生成，但这种方式生成的密钥强度较低，不适合在更关键的安全网络交易中使用。不是.对于更重要的证书，例如商家和服务器证书，密钥对通常由专用应用程序或直接由CA中心生成。以这种方式生成的密钥非常强大，适合关键应用程序。另外，根据密钥的用途，可能有不同的生成方法。例如，签名密钥可以在客户端或RA 中心生成，但加密密钥必须直接在CA 中心生成。
(2)密钥备份与恢复在PKI系统中，维护密钥对的备份非常重要，否则，如果密钥丢失，加密数据将全部丢失。这将是灾难性的。因此，密钥备份和恢复也是PKI密钥管理的重要组成部分。使用PKI 的企业和组织必须能够确保即使密钥丢失也可以恢复关键的加密和受保护信息，并且确保独立个人对最关键的主密钥拥有完全的控制权。这样一来，就会产生严重的后果。企业级PKI产品至少必须支持用于加密的安全密钥的存储、备份和恢复。密钥通常受密码保护，丢失密码是管理员最常见的安全漏洞之一。因此，PKI产品必须能够备份密钥，并且如果密码丢失，用户必须能够在一定条件下恢复密钥并设置新密码。例如，在某些情况下，用户可能有多个密钥对，并且至少需要两个密钥，一个用于加密，一个用于签名。用于验证签名的公钥（或公钥证书）分布广泛，即使签名私钥丢失，任何拥有相应公钥的人仍然可以检索签名文档，无需备份签名密钥。但是，PKI系统必须备份用于加密的密钥对，并允许用户恢复；否则，如果用于解密的私钥丢失，加密后的数据将完全不可恢复。此外，使用PKI的企业还必须考虑其使用的密钥的生命周期，例如密钥和证书的有效期，以及撤销的密钥和证书的维护时间。
(3) 对于密钥更新，CA颁发的每个证书都有一个有效期，密钥对生命周期的长度由颁发证书的CA中心决定，密钥对生命周期的长度由证书颁发机构决定。颁发证书的CA中心，密钥对生命周期的长短由颁发证书的CA中心决定，有效期各不相同。一般2-3年左右。如果用户的私钥被泄露或证书即将过期，则用户必须更新私钥。此时，用户可以撤销证书，生成新的密钥对，并申请新的证书。
2.4 通过案例描述分析PKI技术原理的实现过程
A先生想通过网络向远方的B先生发送一份合同，但这份合同对双方来说都极其重要，连一丝一毫的错误都不能容忍，其内容绝对不能被人知晓。给其他人。如何安全地发送此协议？
问题1：最自然的想法是A需要对文件进行加密，以防止其他人看到其内容，但是A如何才能使合约的传输安全、快速，是否应该使用这样的加密技术呢？
可以使用DES、3DES、RC5等一些成熟的对称加密算法来加密文件。对称加密采用对称加密编码技术，特点是文件加密和解密使用同一个密钥，即加密密钥也可以作为解密密钥，称为对称密码算法。
问题2：如果黑客截获了这个文件，他们是否可以使用相同的算法来解密它？
不，加密和解密都需要两个组件：加密算法和对称密钥。加密算法需要对称密钥才能解密，但黑客并不知道这个密钥。
问题3：既然黑客不知道密钥，那么B如何安全地获取密钥呢？
我们将通过电话通知您。如果电话被窃听并且该密钥通过互联网发送给B，则可能会被黑客拦截。我应该怎么办？
该方法使用非对称密钥算法来加密和传输对称密钥。与对称加密算法不同，非对称加密算法需要两个密钥：公钥和私钥。公钥和私钥是一对。如果公钥加密数据，则只有相应的私钥才能解密。如果使用私钥加密数据，则只能使用对应的公钥。破译它。这种算法被称为非对称加解密算法，因为加密和解密使用两个不同的密钥（公钥和私钥可以用专门的软件生成）。甲方和乙方各有一对公私钥，公钥可以通过互联网传输，私钥独立存储。这样，A就可以用B的公钥，用问题1中提到的对称加密算法来加密对称密钥。即使黑客截获了这个密钥，他也无法解密对称密钥，因为他不知道B 的私钥，因此无法解密密文，只有B 能够解密密文。
问题4：既然A可以使用B的公钥来加密对称密文，为什么不直接使用B的公钥来加密文件呢？这不仅简单；而且还省去了使用对称加密算法来加密文件的麻烦。
你不能那样做。非对称加密算法有两个缺点：其加密速度比对称加密算法慢10到100倍，因此只能用于加密小块数据（例如对称密钥）。生成的密文会更长。因此，通常使用对称加密算法来加密文件，然后使用非对称算法来加密对称算法中使用的对称密钥。
问题5：如果黑客截获了密文，他也截获了用公钥加密的对称密钥。黑客无法解密对称密钥，因为他没有B 的私钥，但如果他使用对称加密算法加密副本，他可以创建一个假文档并使用B 的公钥。B 加密假文档的对称密钥，并将其发送给B。 B 认为这是A 发送的文件，并使用他的私钥解密该假文件。我尝试阅读内容，但没有看到它已被替换。换句话说，B先生并不知道它不是由A先生签发的。我现在应该怎么做？
答案是通过数字签名来证明您的身份。数字签名通过MD5 和SHA-1 等哈希算法从大数据块中提取摘要。通过散列算法无法从该摘要中恢复出原始文本的任何部分。也就是说，检索到的摘要不会泄露有关原始明文的任何信息，但如果原始信息以某种方式被修改，检索到的摘要肯定会泄露。不同的。因此，A 可以对文件运行哈希算法来获取摘要并用他的私钥对其进行加密。即使黑客拦截了您的文件，这也使其毫无用处。黑客永远不会从您的文件中获取任何信息。但B不一样。他可以用A的公钥解密得到它的概要（如果他的公钥能解密这个概要，那么这个概要一定来自A；只有A的公钥才能解密，因为加密的信息是可以解密的）（A的私钥是只有A 知道），并对接收到的文件（解密后的合约文件）运行相同的哈希算法。通过比较摘要以查看它们是否匹配，您可以判断该文件是否已被篡改。 （这是散列算法的一个属性，因为相同的摘要意味着信息没有改变）。这不仅解决了证明发送者身份的问题，还解决了文件是否被篡改的问题。
问题6：用对称加密算法加密文件，用非对称算法加密对称密钥，用哈希算法证明发送者的身份和信息的准确性。这万无一失吗？
答案是不。问题在于，B 不确定他使用的A 的所谓公钥应该属于A。解决方案是使用数字证书来绑定公钥和公钥所有者。
数字证书是包含公钥所有者信息和经过认证机构数字签名的公钥的文件。数字证书是网络通信中标识通信伙伴身份的一组数据，用于在网络上验证身份。互联网提供了一种这样做的方法。它的功能类似于日常生活中的驾驶执照或身份证，人们可以用它来在交互中识别彼此。
最简单的证书包含公钥、名称和证书颁发机构的数字签名。证书通常还包括密钥有效期、颁发机构名称（证书颁发机构中心）、证书序列号等信息。它由权威机构颁发，即CA机构，也称为证书颁发机构（Certificate Authority）中心。 CA机构作为电子商务中可信的第三方，负责验证公钥系统中公钥的合法性。 CA中心向每个使用公钥的用户颁发数字证书。数字证书的作用是证明证书上所列的用户合法地拥有证书上所列的公钥。 CA组织的数字签名可以防止证书被攻击者伪造或篡改。 CA是PKI的核心，负责管理PKI结构下所有用户（包括各种应用）的证书。捆绑用户的公钥和证书。要查看Together 中的其他用户信息，请在线验证您的身份。
数字证书是公开的，就像公共电话簿一样，因此实际上发送者（即A）将其数字证书的副本以及密文、摘要等发送给接收者（即B）。发送，B 进行检查。通过验证证书颁发机构在证书上的签名来验证此证书的有效性（要验证证书上的签名，只需使用该受信任的证书颁发机构的公钥）。如果您已验证证书一切正常，则可以假设公钥包含以下信息：证书中的确实属于证书中指定的人（即A）。
问题7：现在看来安全了。但安全漏洞仍然存在，例如，A向B发送了一份合同，但在签名出现的那一刻，A拒绝承认自己签署了该文件（数字签名相当于书面合同上的文本签名）。 ），犯这个错误。如果因为你责怪电脑而导致合同没有履行怎么办？
解决方案是使用可信时钟服务（由权威机构提供）与可信时间源和文件签名者共同签署文件。在书面合同中，文件签署日期与签名同样重要，以防止伪造或篡改文件（例如，合同通常注明文件在签署之日生效）。对于电子文件来说，用户的桌面时间很容易被改变（不准确或者可以被人为改变），并且截止到这个时间生成的时间戳不可信，因此必须提供第三方时间戳服务（数字时间戳服务（DTS））。 （在线安全服务由专门组织提供）。该服务可以保护电子文档发布时的安全。
生成时间戳的过程如下：用户首先使用哈希编码对他们想要加时间戳的文件进行加密，形成摘要。然后将摘要发送到DTS，DTS 添加接收文件摘要的日期和时间，对文件进行加密（数字签名），然后将其发送回用户。因此，时间戳是一个加密的凭证文档，包含三部分：带有时间戳的文件摘要、DTS 接收文件的日期和时间以及DTS 的数字签名。由于受信任的时间源和文件签名者共同签署文件，因此可以防止签署文件的一方（即甲方）进行时间欺诈，并且文件是不可否认的。
问题8：如果权威机构提供将公钥/私钥与身份绑定的数字证书以及使其不可否认的时钟服务，那么它可靠吗？不，仍然存在问题。 B仍然无法证明对方就是A。因为很有可能其他人窃取了A 的私钥（例如，其他人在A 不在的时候使用了A 的计算机）并使用A 的身份向B 发送信息。我该如何解决这个问题？
该解决方案使用强密码、身份验证令牌、智能卡和生物识别等技术来对使用私钥的用户进行身份验证，并确定该用户是私钥的合法用户。
在解决这个问题之前，我们首先看一下目前实现的基于PKI 的身份验证通常是如何工作的。例如，在浏览器或其他注册和申请证书的应用程序中，第一次生成密钥时，会创建密钥存储并提示浏览器用户输入密码。构建和保护密钥密钥存储需要加密密钥。如果您的密钥存储区的密码保护较弱或根本没有密码保护，则任何有权访问您计算机浏览器的人都可以访问其私钥和证书。在这种情况下，用PKI创建的身份如何才能被信任呢？因此，一个强大的PKI系统必须基于对私钥所有者的强认证。目前，主要的身份验证技术包括强密码、身份验证令牌、智能卡、生物识别技术（例如指纹和眼罩）以及其他身份验证。
以身份验证令牌为例。假设用户的私钥存储在后端服务器上的加密容器中。要访问私钥，用户必须首先使用身份验证令牌进行身份验证（例如，用户输入帐户名、密码和令牌上显示的PIN），身份验证成功后，将用户的加密容器下载到用户的系统并解密。
通过解决上述问题，基本满足了安全发送文件的需求。总结一下这个过程，对于A来说，整个提交过程是这样的：
1. 创建对称密钥（由相应软件生成，且仅生成一次），用其加密合约，并将对称密钥与B 的公钥打包。
2. 创建数字签名，并对合约运行哈希算法（例如MD5 算法），生成原始摘要。 A用他的私钥对其进行加密（公钥/私钥可以由他自己创建或由CA提供）。 ）。
3、最后，A将加密合约、打包密钥、加密摘要以及A的数字证书（由权威CA颁发）发送给B。
乙方收到加密文件后，必须完成以下操作：
1、B收到后，用私钥解密得到的对称密钥，用对称密钥解密加密的合约，得到合约的明文。
2、通过A的数字证书获取A的公钥，并用它来解密摘要（称为摘要1）。
3. 使用与发送方相同的哈希算法创建解密合约的摘要（称为摘要2）。
4. 比较摘要1 和摘要2。如果相同，则说明该信息未被篡改，来自A。
甲乙双方之间传输信息的过程看似并不复杂，但实际上涉及到对称/非对称密钥密码技术、数字证书、数字签名、证书颁发机构（CA）、公钥、安全策略等。最重要和最复杂的是建立证书颁发机构(CA)。
3. PKI的主要应用场景
PKI提供的安全服务可以准确满足电子商务、电子政务、网上银行、网上证券等金融行业交易的安全需求，是这些业务顺利进行所必需的安全措施。电子商务、电子政务、网上银行、网上证券等服务将无法正常运行。
1. 电子商务应用
电子商务的参与者通常包括买家、卖家、银行以及作为中介的电子交易市场。买家在浏览器中浏览互联网并登录电子交易市场的网络服务器来搜索卖家。当买家登录您的服务器时，他们必须验证彼此的证书以确认自己的身份。这称为双向身份验证。
双方身份相互验证后，建立安全通道，进行协商，然后将订单发送到商城。订单： 有两种类型的信息。一是您的订单信息，例如产品名称和价格，二是您的银行发送的付款信息，例如金额和付款帐号。买家对这两条信息进行“双重数字签名”，并分别用商场和银行的证书公钥进行加密。当商城收到这些交易信息时，会留下订单信息，并将支付信息转发给银行。商城只能使用自己的私钥来解锁订单信息并验证签名。同样，银行只能使用自己的私钥来解密加密的支付信息、验证签名和转账。汇款完成后，银行通知中介电子交易市场、物流中心或买家并配送货物。整个交易过程在PKI提供的安全服务下进行，确保安全、可靠、保密、不可否认。
2、电子政务
电子政务的主要内容包括网上信息公开、办公自动化、网�**旃⑿畔⒆试垂蚕淼取０凑沼τ媚Ｊ交箍梢苑治狦2C、G2B、G2G，而PKI的应用主要是为了解决身份认证、数据完整性、数据保密性、不可否认性等问题。
例如，需要进行身份认证来确定将机密文件发送给谁，什么级别的公务员有权访问机密文件，与身份认证相关的是访问控制，或者权限控制。身份验证通过证书完成，访问控制通过属性证书或访问控制列表(ACL) 完成。为了保证数据的机密性，有些文件在网络传输过程中必须进行加密。有些文件在网络传输过程中不能丢失或被篡改。特别是发送和接收一些敏感文件需要数字签名。只有PKI提供的安全服务才能满足电子政务的这些安全需求。
3. 网上银行
网上银行是指银行利用互联网技术向客户提供信息和金融交易服务的银行。银行通过互联网为客户提供信息查询、验证、网上支付、资金划转、信贷操作、投资理财等金融服务。网上银行有两种应用模式：B2C个人业务和B2B公司业务。
网上银行交易是点对点的，即从客户到银行。客户端的浏览器配备有客户端证书，银行的服务器配备有服务器证书。当客户在线访问银行服务器时，银行首先要验证客户证书，以确认客户的真实身份，是否是银行的真实客户，同时服务器还要验证CA目录服务器。通过身份验证后，客户端还必须验证银行服务器的证书，以便通过LDAP协议查询客户证书的有效期以及是否在“黑名单”中。通过双向认证后，建立安全通道，客户端发送交易信息。交易信息在发送到银行服务器之前由客户端进行数字签名和加密。银行后台信息系统执行转账，并将结果带数字签名返回给客户。这样就实现了支付信息的保密性、完整性以及交易双方的不可否认性。
4. 网上证券
从广义上讲，网上证券是证券行业的电子商务，包括网上证券信息服务、网上股票交易等。
易和网上银证转账等。 一般来说，在网上证券应用中，股民为客户端，装有个人证书；券商服务器端装有Web证书。在线交易时，券商服务器只需要认证股民证书，验证是否为合法股民，是单向认证过程，认证通过后，建立起安全通道。股民在网上的交易提交同样要进行数字签名，网上信息要加密传输；券商服务器收到交易请求并解密，进行资金划账并做数字签名，将结果返回给客户端。