實(shí)驗(yàn)六PKI技術(shù)之證書管理

1、實(shí)驗(yàn)六 PKI技術(shù)之證書管理實(shí)驗(yàn)日期：2012.11.15班級：10網(wǎng)絡(luò)安全（CIW）姓名： 學(xué)號 一、實(shí)驗(yàn)?zāi)康模?） 掌握CA通過自定義方式查看申請信息的方法（2） 掌握備份和還原CA的方法（3） 掌握吊銷證書和發(fā)布CRL的方法二、實(shí)驗(yàn)要求（1） 準(zhǔn)確完成實(shí)驗(yàn)內(nèi)容,得出實(shí)驗(yàn)結(jié)果（2） 寫出實(shí)驗(yàn)步驟和實(shí)驗(yàn)小結(jié)三、實(shí)驗(yàn)步驟本練習(xí)主機(jī)A、B為一組，C、D為一組，E、F為一組。實(shí)驗(yàn)角色說明如下：實(shí)驗(yàn)主機(jī)實(shí)驗(yàn)角色主機(jī)A、C、ECA（證書頒發(fā)機(jī)構(gòu)） 、服務(wù)器主機(jī)B、D、F客戶端下面以主機(jī)A、B為例，說明實(shí)驗(yàn)步驟。首先使用“快照X”恢復(fù)Windows系統(tǒng)環(huán)境。(一) 安裝證書服務(wù)主機(jī)A安裝證書服務(wù)，具體步

2、驟見實(shí)驗(yàn)五安全Web通信單向認(rèn)證。在啟動(dòng)“證書頒發(fā)機(jī)構(gòu)”服務(wù)后，主機(jī)A便擁有了CA的角色。(二) CA操作1 CA自動(dòng)頒發(fā)證書（1）CA通過“開始”|“程序”“管理工具”|“證書頒發(fā)機(jī)構(gòu)”打開“證書頒發(fā)機(jī)構(gòu)”。（2）在“證書頒發(fā)機(jī)構(gòu)”的左側(cè)樹狀結(jié)構(gòu)中右鍵單擊“CA的名稱”|“屬性”，打開“屬性”選項(xiàng)卡，單擊“策略模塊”|“屬性”。在“請求處理”頁簽中選擇“如果可以的話，按照證書模板的設(shè)置。否則，將自動(dòng)頒發(fā)證書”。單擊“應(yīng)用”按鈕，出現(xiàn)重啟證書服務(wù)提示信息，單擊“確定”直到完成設(shè)置，重啟證書服務(wù)。如圖3-1、3-2所示：圖3-1 策略模塊圖3-2 選擇“請求處理”2 客戶端以高級方式申請證書注

3、客戶端向CA進(jìn)行證書申請時(shí)，要確保在當(dāng)前時(shí)間CA已經(jīng)成功擁有了自身的角色。（1）客戶端通過IE瀏覽器訪問http:/CA的IP/certsrv/，通過“申請一個(gè)證書”|“高級證書申請”|“創(chuàng)建并向此CA提交一個(gè)申請”進(jìn)入證書申請頁面。如圖3-3所示：圖3-3 創(chuàng)建并向此CA提交一個(gè)申請?jiān)凇白R(shí)別信息”中填入相關(guān)信息。在“需要的證書類型”中選擇“客戶端身份驗(yàn)證證書”。在“密鑰選項(xiàng)”中選中“標(biāo)記密鑰為可導(dǎo)出”，其它項(xiàng)保持默認(rèn)設(shè)置。如圖3-4所示：圖3-4 填入“識(shí)別信息”和選擇相關(guān)選項(xiàng)單擊“提交”按鈕提交信息。由于CA已經(jīng)設(shè)置“自動(dòng)頒發(fā)證書”策略，所以申請被立刻批準(zhǔn)，此時(shí)頁面顯示“證書已頒發(fā)”，客戶

4、端單擊”安裝此證書”，如圖3-5所示。這時(shí)出現(xiàn)對話框“潛在的腳本沖突”，單擊“是”。這時(shí)頁面出現(xiàn)對話框“安全性警告”單擊“是”。這時(shí)頁面顯示信息“證書已安裝”。圖3-5 客戶端安裝證書（2）CA查看“頒發(fā)的證書”，操作“添加/刪除列”。在“頒發(fā)的證書”目錄中，雙擊信息條目即可以查看證書，如圖3-6所示：圖3-6 查看證書如果要查看證書的單獨(dú)項(xiàng)，右鍵單擊“信息條目”,選擇“所有任務(wù)”|“導(dǎo)出二進(jìn)制數(shù)據(jù)”，彈出“導(dǎo)出二進(jìn)制數(shù)據(jù)”對話框，在其中選擇相應(yīng)的項(xiàng)。如果不能顯示，則應(yīng)該在“添加/刪除列”中選擇相應(yīng)的列，如圖3-7所示：圖3-7 導(dǎo)出二進(jìn)制數(shù)據(jù)在“證書頒發(fā)機(jī)構(gòu)”的左側(cè)樹狀結(jié)構(gòu)中右鍵單擊“頒發(fā)的

5、證書”|“查看”|“添加/刪除列”來自定義要顯示的項(xiàng)目。其它幾個(gè)目錄如“掛起的申請”等也可以進(jìn)行這項(xiàng)操作，如圖3-8所示：圖3-8 添加刪除列 3 CA的備份和還原（1）CA在“證書頒發(fā)機(jī)構(gòu)”的左側(cè)樹狀結(jié)構(gòu)中右鍵單擊“CA的名稱”|“所有任務(wù)”|“備份CA”，此時(shí)出現(xiàn)“證書頒發(fā)機(jī)構(gòu)備份向?qū)А?，單擊“下一步”，如圖3-9所示：圖3-9證書頒發(fā)機(jī)構(gòu)備份向?qū)г凇斑x擇要備份的項(xiàng)目”中選中兩個(gè)選項(xiàng)?！皞浞莸竭@個(gè)位置中”選擇一個(gè)新建的空目錄，單擊“下一步”，如圖3-10所示：圖3-9 選擇要備份的項(xiàng)目和位置輸入密碼并確認(rèn)密碼，單擊“下一步”直到“完成”，如圖3-11所示：圖3-11 選擇密碼在“頒發(fā)的證書

6、”目錄中，選擇一個(gè)證書右鍵單擊此證書選擇“所有任務(wù)”|“吊銷證書”。此時(shí)彈出對話框要求指定“理由碼”，選擇任意“理由碼”單擊確定，如圖3-12所示。此時(shí)選擇的證書已經(jīng)轉(zhuǎn)移到“吊銷的證書”目錄中，如圖3-13所示，右鍵單擊此證書選擇“所有任務(wù)”|“解除吊銷證書”，此時(shí)出現(xiàn)提示信息“取消吊銷命令失敗”，單擊“確定”。如圖3-14所示：圖3-12 證書吊銷圖3-13 吊銷的證書圖3-14提示信息（3） CA在“證書頒發(fā)機(jī)構(gòu)”的左側(cè)樹狀結(jié)構(gòu)中右鍵單擊“CA的名稱”|“所有任務(wù)”|“還原CA”，此時(shí)出現(xiàn)“證書頒發(fā)機(jī)構(gòu)還原向?qū)А碧崾疽⒓搓P(guān)閉證書服務(wù)，單擊“確定”。出現(xiàn)“證書頒發(fā)機(jī)構(gòu)還原向?qū)А?，單擊“下?/p>

7、步”，如圖3-15所示：圖3-15 立即停止證書服務(wù)在“選擇要還原的項(xiàng)目”中選中兩個(gè)選項(xiàng)。“從這個(gè)位置還原”選擇CA備份的目錄，單擊“下一步”，如圖3-16所示：圖3-16 設(shè)置要還原的項(xiàng)目輸入密碼，單擊“下一步”直到“完成”，如圖3-17所示：圖3-17 提供密碼“證書頒發(fā)機(jī)構(gòu)還原向?qū)А碧崾疽獑?dòng)證書服務(wù)，單擊“是”啟動(dòng)證書服務(wù)，如圖3-18所示：圖3-18 提示信息此時(shí)檢查剛才被吊銷的證書，已經(jīng)從“吊銷的證書”目錄中還原回“頒發(fā)的證書”目錄中，如圖3-19所示：圖3-19 吊銷的證書已還原4 證書吊銷（1）主機(jī)A申請服務(wù)器證書。請根據(jù)練習(xí)一中服務(wù)器證書申請實(shí)驗(yàn)步驟，為主機(jī)A生成服務(wù)器證書請

8、求，并安裝服務(wù)器證書和證書鏈。（2）主機(jī)A在IIS中設(shè)置SSL，要求安全通道和客戶端證書，如圖3-20所示：圖3-20 安全通信（3）客戶端訪問服務(wù)器?？蛻舳嗽贗E瀏覽器地址欄中輸入“https:/服務(wù)器IP”并確認(rèn)。此時(shí)出現(xiàn)“安全警報(bào)”對話框提示“即將通過安全連接查看網(wǎng)頁”，單擊“確定”，如圖3-21所示。又出現(xiàn)“安全警報(bào)”對話框詢問“是否繼續(xù)？”，單擊“是”，如圖3-22所示。出現(xiàn)“選擇數(shù)字證書”對話框，選擇相應(yīng)的數(shù)字證書，單擊“確定”即可以訪問服務(wù)器的Web服務(wù)了，如圖3-23所示：圖3-21 安全警報(bào)（1）圖3-22 安全警報(bào)（2）圖3-23 訪問Web服務(wù)（4）CA將客戶端證書吊銷，

9、并發(fā)布CRL。CA在“頒發(fā)的證書”中找到客戶端使用的Web瀏覽器證書。右鍵單擊此證書“所有任務(wù)”|“吊銷證書”，選擇任意“理由碼”，單擊“確定”，此時(shí)證書即轉(zhuǎn)移到“吊銷的證書”目錄中。在左側(cè)樹狀結(jié)構(gòu)中右鍵單擊“吊銷的證書”|“所有任務(wù)”|“發(fā)布”，出現(xiàn)對話框“發(fā)布CRL”，單擊“確定”，如圖3-24所示。在左側(cè)樹狀結(jié)構(gòu)中右鍵單擊“吊銷的證書”|“屬性”彈出“吊銷的證書的屬性”對話框，單擊“查看CRL”頁簽,單擊“吊銷列表”按鈕，可以查看剛發(fā)布的CRL，如圖3-25所示：圖3-24 發(fā)布CRL圖3-25 吊銷的證書屬性（5）客戶端訪問服務(wù)器。重新訪問服務(wù)器的證書服務(wù)，此時(shí)發(fā)現(xiàn)不能訪問服務(wù)器，頁面顯示“該頁要求有效的SSL客戶證書”。說明此時(shí)客戶端證書已經(jīng)不被信任。實(shí)驗(yàn)小結(jié)通過本次實(shí)驗(yàn)，掌握了CA通過自定義方式查看申請信息的方法，如何備份和還原CA以及吊銷證書和發(fā)布CR