PKI技术在电子邮件中的作用
来源:CIO子站 更新时间:2012-04-13
         如果你使用IE申请过客户证书,你会注意到在申请证书的页面的Advance Setting中有一项Usage选项,这是X.509数字证书的标准扩展,它指定所申请证书的用途。在这个选项中除了客户验证和服务器验证之外还有E-Mail保护,代码签名和时间戳签名。E-Mail保护用来对电子邮件签名和加密的即用于安全电子邮件S/MIME协议,代码签名是用来对exe,ocx或cab签名的,时间戳签名是用来产生时间戳的。

  安全电子邮件提供邮件的加密和签名,利用公钥算法保证你的签名邮件不会被篡改,而你的加密邮件除了邮件接收者以外(甚至你自己)的任何人无法阅读其中的内容。邮件签名很加密的使用方法相对比较简单,申请一个E-Mail保护证书,在E-Mail一栏中输入你的POP3Mail帐号(不能用基于HTTP的邮件帐号),在安装好证书后打开Outlook Express,在帐号属性中选择“安全”一栏。这里你可以将你的邮件帐号同你的数字证书绑定,需要注意的是,证书中的邮件地址必须同绑定的邮件帐号一致。这样你就可以对自己的邮件签名和加密了。打开邮件编辑界面,在工具栏的最右边有两个按钮,那就是签名和加密按钮。

  对邮件签名使用的是你的私有密钥,在完成邮件后按下该按钮,Outlook会自动以附件方式在邮件中添加一个签名PKCS#7 Signature,在这个签名中同时还包含了你的证书(S/MIME),当别人收到你的邮件后如果他使用的邮件工具支持S/MIME(如Outlook Express和Netscape Messenger)就会自动对邮件的签名进行验证。验证签名需要对证书链进行验证,这就需要已经安装颁发你的S/MIME证书的CA的证书(就是安装Certificate Server时产生的那个证书即根证书),通常别人不会有你的根证书,所以你必须首先将你的根证书发给别人并安装,否则你的签名邮件将无法验证。根证书安装方法同SSL根证书的安装,通常SSL和S/MIME根证书会是同一个,因为CA证书一般是不分用途的,它只有一个用途就是签发证书。

  别人收到你的签名邮件后,通过查看邮件属性可以看到你的证书(包含在你的签名中的),他可以把你的证书添加到地址簿中去,并同地址簿中的邮件地址绑定。这样他就可以你发送加密邮件了,这是因为加密邮件使用的是邮件接收方的公钥即数字证书。加密操作同样只要按一个按钮就可以了。加密邮件的前提是在你的地址簿中有与发送地址绑定的数字证书。