一提起证书，初次接触这个概念的人会自然地想到身份证、军官证、企业营业执照、驾驶执照等各种有形证书。提到企业所需要的证书，人们脑海中往往浮现的是ISO系列认证、CMM认证等，这是否就是e时代的数字证书呢？不过，这里我们说的数字证书，指的是用来证明网上交易的电子身份证。
何谓“数字证书”？
数字证书是一个具有权威性、可信任性及公正性的第三方机构（CA）用其私钥进行了数字签名的包含用户身份、公开密钥、有效期等许多相关信息的权威性的电子文件，是各实体在网上的电子身份证。通过证书应用实现身份的鉴别与识别（认证）、完整性、保密性及不可否认性等服务，可广泛应用于网上银行、网上证券、网上缴税、网上保险、网上贸易、网上招投标、电子商务交易平台、安全电子邮件、期货交易和网上票务等各种领域，这其中包涵了很多的概念。
首先，需要了解什么是CA。CA是英文Certification Authority（证书机构）的缩写，简单点讲就是证书发放和管理的机构。好比身份证的发放管理，在这里一个CA就类似于生活中的一个公安局，签发并管理各种身份证件。数字证书既然是“电子身份证”，那么类似的也是由CA签发的含有很多用户信息在里面的电子证书，包含是哪个CA签发的证书、证书的名字、证书的序列号、证书的有效期起止日期、证书的版本等信息，与普通身份证件显著不同的一点是证书含有公钥，这是数字证书解决网上身份识别、数字签名的基础。
其次，介绍一点密码学知识。传统的信息传递安全是依靠各种对称密码技术来保障的，这种技术存在着很多难以解决的问题。比如，密码的协商、密码的分发管理等。随着技术的发展出现了先进的非对称的加密技术，目前最著名的是公钥密码体制，就是RSA体制。它是由美国MIT 的三位科学家Rivest、Shamir和Adleman提出的，基本的原理就是寻找两个足够大的互异的素数，这两个素数的积反过来推出这两个素数是计算上不可行的，或者说现有的计算能力很难求得出。对应这种原理每张证书的公钥对应于一把私钥，公钥加密的信息可以用私钥来解密，公钥可以公开的获得，而私钥保存在个人的手中。有了PKI（公钥基础设施）这样的安全基础，结合传统的对称密码加密技术、数字签名技术等，就很好地解决了原来难以解决的密钥管理、分发等问题。
“数字证书”的作用
以B to B为例，假设用户A访问网站B，则有：
身份认证功能―用户A登录网站B并发送A的证书到B，B用CA的公钥确认A的证书，确认证书的有效期；查询CLR（证书作废列表）确定用户A的有效身份；同样A也要对B采取同样方法确定其身份的有效性；称双向认证。
信息传输中的加密功能―用户A使用用户B的公钥，将要传送的信息使用规定的加密算法进行加密并传到网站B，B使用自己的私钥进行解密获得原文。第三方即使截取此加密的信息，由于无法得到B的私钥，他也没有办法解密获得明文的信息。
数字签名―一般A用HASH算法对一段信息进行加工产生HASH值（即摘要信息），再用数字签名规定的算法进行私钥加密形成数字签名，将该段信息原文与数字签名一起传到B，B用A的公钥对A的数字签名进行解密产生原文的HASH值，B同时用HASH算法对传送过来的原文求HASH值，用两个HASH值进行比较验证数字签名。另一种数字签名方法是对需要保密的短信息，A用私钥对原文通过签名规定的加密算法产生数字签名信息和时间戳一起传到B，B用A的公钥解密，加上时间戳来验证数字签名。从上可以看出，每次数字签名都与该次信息结合，不能移到另一段信息上，即无法伪造，这样即保证了信息确实是由A发出的，就完成了信息的不可抵赖性。证书系统有效地保证了数据传输中的完整性、私密性和不可否认性。
“数字证书”的组成、管理与运作
PKI/CA是数字证书的基础构架，以CFCA（中国金融认证中心）为例，介绍一下证书签发管理机构的组成和管理运作方式。
一般情况下，一个标准的CA是由两部分组成：
CA系统：承担证书签发、审批、废止、查询、数字签名、证书/黑名单发布、密钥恢复与管理、证书认定和政策制定。CA设在CFCA本部，不直接面对用户。
RA系统：直接面向用户，负责用户身份申请审核，并向CA申请为用户转发证书；一般设置在商业银行的总行、证券公司、保险公司总部及其它应用证书的机构总部，受理点（LRA）设置在商业银行的分/支行、证券、保险营业部及其它应用证书机构的分支机构，RA系统可方便地集成到业务应用系统。
自建CA？第三方CA？
对于一个计划采用CA证书的企业来说，第一个要面临的问题就是自己建立一个企业级的CA还是采用第三方的CA？一般而言，任何一个CA都可以完成上面的功能要求，但是应用的范围却不尽相同，企业级CA不适合给自己的外部客户提供证书应用服务，比较适合应用在企业的财务、OA、ERP等内部系统中，也不需要对证书使用者担负什么特别的责任。而采用第三方权威、公正的CA，除了可以提供完整的PKI服务之外，还会对提供的服务承担技术和法律上的责任。从投入产出的关系来看，一般来说计划建立自己CA的用户会高估建设的成本、低估运营维护的成本，视最终用户的规模进行经济分析，会得出合理的结论。
那么，一个企业该如何将证书机制应用到自己的系统中来呢？拿企业的财务系统来说，大的业务集团往往都有自己的财务公司，各子公司的财务系统通过互联网连接起来，很多敏感的财务信息、内部的结算信息都在这个平台上，原有的身份识别是通过简单的用户名和密码来进行，信息的传递也是通过简单的加密手段来保证，这里潜在的安全隐患非常大，很容易造成信息的被窃取、伪造，利用证书机制就可以安全、方便地解决企业信息系统的后顾之忧。
那么，怎样来实施呢？首先是对于各系统的用户，无论是总部还是子公司，无论是Server端还是Client端，第一步就是获得各自的身份证明――数字证书，这可以到各CA的RA机构去批量申请，也可以申请建立CA的RA机构自己来管理和发放证书。证书可以放在安全的介质上，比如，Usb Key 或者智能卡上，也可以放在计算机的硬盘上。第二步的工作就是对原有的信息系统作简单改造，或者只是简单地增加一些配置即可，比如CFCA提供的Direct 安全代理软件，就可以很方便地应用在企业B/S结构的应用中，Web Server端和Browser端只需安装相应的代理软件，双方持有证书就可以完成安全通道的建立、用户身份的识别、数据加密、数字签名等功能，对原有系统不必作太多的改动。如果用户希望将证书机制和自己的各种应用系统结合的更加紧密一些，那么CA可以提供证书应用相关的API和技术支持来帮助企业改造自己的系统。比如，CFCA提供证书应用开发所需要的File toolkit 和Session toolkit等来帮助用户更好地使用CFCA的证书。
