数字证书就是互联网通讯中标志通讯各方身份信息的一系列数据，提供了一种在Internet上验证身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构——CA机构，又称为证书授权（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。
数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。
以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性。使用了数字证书，即使您发送的信息在网上被他人截获，甚至您丢失了个人的账户、密码等信息，仍可以保证您的账户、资金安全。
用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：
1.保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；
2.保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。
数字证书里存有很多数字和英文，当使用数字证书进行身份认证时，它将随机生成128位的身份码，每份数字证书都能生成相应但每次都不可能相同的数码，从而保证数据传输的保密性，即相当于生成一个复杂的密码。
目前数字证书的格式普遍采用的是X.509V3国际标准，内容包括证书序列号、证书持有者名称、证书颁发者名称、证书有效期、公钥、证书颁发者的数字签名等。数字证书绑定了公钥及其持有者的真实身份，它类似于现实生活中的居民身份证，所不同的是数字证书不再是纸质的证照，而是一段含有证书持有者身份信息并经过认证中心审核签发的电子数据，可以更加方便灵活地运用在电子商务和电子政务中。
【8】PKI/PMI
PKI，公钥基础设施（Public Key Infrastructure）是通过使用公开密钥技术和数字证书来确保系统信息安全并负责验证数字证书持有者身份的一种体系。PKI采用电子证书的形式管理公钥，通过认证中心CA（Certificate Authority）把用户的公钥和用户的其它标识信息（如名称、Email、身份证号等）捆绑在一起，实现用户身份的验证；将公钥密码和对称密码结合起来，通过网络和计算机技术实现密钥的自动管理，保证机密数据的保密性和完整性；通过采用PKI体系管理密钥和证书，可以建立一个安全的网络环境，并成功地为安全相关的活动实现四个主要安全功能：身份认证，保证在信息的共享和交换过程中参与者的真实身份；保密性，保证信息的交换过程中其内容不能够被非授权者阅读；完整性，保证信息的交换过程中其内容不能够被篡改；不可否认性，信息的发出者无法否认信息是自己所发出的。
完整的PKI系统必须具有权威认证中心（CA）、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口（API）等基本构成部分。其中CA是PKI的核心，负责产生、分配并管理PKI结构下的所有用户（包括各种应用程序）的数字证书，是数字证书的申请及签发机关。同样，CA也负责撤销发放的数字证书，在证书撤销列表（CRL）中添加新项并周期性地发布这一数字签名的CRL。CA必须具备权威性，可以说是政策和物理元素的结合。
PKI体系是计算机软硬件、权威机构及应用系统的结合。PKI体系基本解决了网络社会中的全部安全问题。它可以让你验证对方的身份，但关于对方如何证明自己却一无所知。通过这样的非对称，让对方知道你就是你，但却不知道你为什么是你，既保护了你的合法权益也保护了对方。利用一个可信的第三方，你可以和一个从来未曾谋面的伙伴进行合作而不用担心受到欺骗。利用PKI的不可否认服务，对方所签署的文件可以作为法律的依据。PKI为实施电子商务、电子政务、办公自动化等都提供了基本的安全服务，从而使那些彼此不认识或相距很远的用户能通过信任链安全地交流。
PMI，授权管理基础设施（Privilege Management Infrastructure）是国家信息安全基础设施的一个重要组成部分。PMI的目标是向用户和应用程序提供授权管理服务，提供用户身份到应用授权的映射功能，提供与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权机制，简化具体应用系统的开发与维护，减少管理成本和复杂性。
授权管理基础设施PMI是一个由属性证书、属性权威、属性证书库等部件构成的综合系统，用来实现属性证书的产生、管理、存储、分发和撤销等功能。PMI使用属性证书表示和容纳权限信息，通过管理证书的生命周期实现对权限生命周期的管理。属性证书的申请、签发、注销、验证流程对应着权限的申请、发放、撤消、使用和验证的过程。使用属性证书进行权限管理的方式使得权限的管理不必依赖某个具体的应用，而且有利于权限的安全分布式应用。
PMI提出了一个新的信息保护基础设施，它能够与PKI和目录服务紧密地集成，并系统地建立起对认可用户的特定授权，对权限管理进行了系统的定义和描述，完整地提供了授权服务所需过程。
1.PMI与PKI的区别
一般的基础设施的目的是：只要遵循需要的原则，不同的实体就可以方便的使用基础设施提供的服务。
PKI利用数字证书来实现身份认证和数据的保密以及完整。数字证书包括：证书持有人的名称、发放机构名称、序列号、有效期、证书所有人的公钥信息、非对称加密算法标示和发放机构的数字签名等信息，而机密信息——证书所有人的私钥信息则需要妥善保管。然而，PKI系统仅仅起到身份认证的作用，而这个身份访问应用系统的时候具有什么权利，PKI却不能很好的解决。
为了解决上述的问题，出现了PMI授权管理基础设施。同PKI相比，两者的主要区别在于：PKI证明用户是谁，PMI证明这个用户有什么权限，能干什么，而且PMI需要PKI为其提供身份认证。两者在结构上非常相似，信任的基础都是权威机构。
建立在PKI基础上的PMI，以向用户和应用程序提供权限管理和授权服务为目标，提供用户身份到应用角色/权限的映射功能，实现与具体应用系统开发无关的权限管理模式。更为重要的是，PMI为应用提供一致和标准的权限服务，强有力地支持与应用的集成，使用户建立的权限管理体系能支持大量的用户和权限管理应用，并能够有效的控制管理的复杂性，可以根据应用的发展随时在体系中加入新的权限管理应用。
2.PKI与PMI的结合
PKI和PMI的结合能为用户提供强大的服务功能。用户的信息合理地分成了两类：基本身份信息存放在公钥证书中，易改变的属性信息存放在属性证书中，这两类证书的发放权限可以由不同的部门来管理和执行。PKI证明用户是谁，为用户颁发公钥证书；PMI证明这个用户有什么权限、什么属性，为用户颁发属性证书。
用户向CA申请证书，证明自己的身份，而用户向属性证书权威机构AA（Attribute Authority）申请证书前，要求已经拥有CA颁发的公钥证书，用于证明该用户“是谁”。AA验证用户的公钥证书通过之后，为用户颁发属性证书，用于证明该用户“具备何种权限”。
3节电子政务安全的实现
【1】电子政务的物理安全
物理安全的目的是保护计算机系统、网络服务器、打印机等硬件实体和信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。
针对基础物理设施，建立防火与防盗制度；建立机房管理制度，对进出和使用设备进行严格登记；建立机房电子监控系统；建立机房温度、湿度控制系统；机房采取防静电措施等。
针对重要信息可能通过电磁辐射或线路干扰等泄漏，有些存有大量保密信息的单位需要对存放这些信息的机房进行必要的设计，如建造屏蔽室，在屏蔽室内运行主要设备，以防止磁鼓、磁带与高辐射设备等的信号外泄；对终端设备辐射的防范，可通过采用辐射干扰机，来破坏信息的窃取。为防止自然灾害和某些人为因素的破坏，应对重要的设备和重要的系统进行备份保护。
【2】电子政务的网络安全
对于核心应用系统和关键政务环节，必须确保在各类实施方案中的技术自主性；对于位于核心层外部，但又与其他外部信息系统（如国际互联网）存在一定可监控的隔绝层的层次，可以尽量采用先进技术以提高系统的效率和可靠性；对于直接与外部信息系统相连的部分，也要针对不同情况分别加以考虑，对于其中安全监控系统，需要在其中的核心部分（如核心加密算法）确保技术自主。
此外，电子政务应用领域中经常会涉及国家机密或国家安全，这类应用最好由国内企业去做，而不应该交给国外企业去做，此领域很多需求非常具有中国特色，如红头文件制度，外国技术和产品很难与之相适应。由于行政事务流程基本上没有标准化，个性化的服务要求很高，需求变动也很频繁，国外技术和产品拿来就能用的可能性不大，国内企业更容易贴近用户，发挥优势；即使有国外的先进技术产品进入此应用领域，他们也需要借助国内企业完成本地化工作并提供本地服务。
1.防病毒策略
对付具有新型特征的病毒，尤其是兼具黑客特征，利用操作系统、应用程序漏洞进行攻击、传播的恶意病毒，如“红色代码”、“尼姆达”、“求职信”和众多的蠕虫病毒等，以前所安装的单机版杀毒软件无论从适用环境、性能价格比、管理的方便性、易用性、防毒实际效果等方面均已不能满足病毒发展的趋势，必须配备从客户机到服务器的整套防病毒软件，实现全网病毒的安全防护。
最实际、最有效的防病毒策略是构建防杀结合，以防为主的防毒体系，在病毒可能入侵的各个入口处进行监控，将防病毒技术的实时扫描、定时扫描、人工扫描和防病毒组件的自动更新有机地结合起来，从而确保整个系统的防病毒安全。
有针对性地选择性能优秀的专业网络防病毒软件，是网络系统免遭病毒侵扰的重要保证。用户可以根据本单位网络的拓扑结构来选择合适的产品。同时，由于当前的网络病毒不但种类繁多，而且病毒破坏原理和方式千差万别，要想保证病毒防御系统的完善、可靠、实用就不能仅仅使用一种品牌产品，而必须将多种防病毒软件结合起来，以彻底剿杀网络中可能存在的病毒，因为不同品牌的网络防病毒软件，在病毒防范机制上有完全不同的个性。
对于较大规模的单位，在条件许可的情况下，还应增加在网关的防毒控制，建立一套自客户机、服务器至网关的完整防护网。
2.防黑客策略
防止黑客的有效手段是防火墙（Firewall）技术。防火墙作为一种保护计算机网络安全的技术性措施，它是一个用以阻止网络中的黑客访问某个机构网络的屏障，也可称之为控制进/出两个方向通信的门槛。在网络边界上，防火墙通过建立起来的相应网络通信监控系统来隔离内部和外部网络，以阻挡外部网络的侵入。防火墙一方面通过检查、分析、过滤从内部网流出的IP包，尽可能地对外部网络屏蔽被保护网络或节点的信息、结构，另一方面对内屏蔽外部某些危险地址，实现对内部网络的保护。
利用防火墙并经过严格配置，可以阻止各种不安全访问通过防火墙，从而降低安全风险。但是，网络安全不可能完全依靠防火墙单一产品来实现，网络安全是个整体的，必须配备相应的安全产品，作为防火墙的必要补充。入侵检测系统就是最好的补充，入侵检测系统是根据已有的、最新的攻击手段的信息代码对进出网段的所有操作行为进行实时监控、记录，并按制定的策略实行响应（阻断、报警、发送E-mail），从而防止针对网络的攻击与犯罪行为。入侵检测系统一般包括控制台和探测器（网络引擎）。控制台用作制定及管理所有探测器，探测器用作监听进出网络的访问行为，并根据控制台的指令执行相应行为。由于探测器采取的是监听不是过滤数据包，因此，入侵检测系统的应用不会对网络系统性能造成多大影响。
