数字证书管理及密钥制作服务系统培训教材常见问题问答

一、数字证书管理及密钥制作服务系统概述

1. 问：什么是数字证书管理及密钥制作服务系统？
答：数字证书管理及密钥制作服务系统是一套用于集中管理数字证书生命周期（包括申请、签发、分发、更新、吊销等）以及密钥生成、存储和备份的综合性安全基础设施。它通常包含证书颁发机构（CA）、注册机构（RA）、密钥管理服务器等组件，为组织内部或对外服务提供身份认证、数据加密和数字签名等安全功能。

2. 问：该系统的主要功能有哪些？
答：主要功能包括：数字证书的申请与审批、证书签发与下载、证书更新与吊销、证书状态查询（CRL/OCSP）、密钥对生成与归档、密钥恢复、证书模板管理、审计日志记录等。系统还支持多种证书类型（如个人证书、服务器证书、设备证书）和多种密钥算法（如RSA、SM2）。

二、数字证书管理常见问题

3. 问：如何申请数字证书？
答：通常流程为：用户登录系统（或通过RA审核）→填写申请信息（主题信息、密钥用法等）→提交申请→CA审核（自动或人工）→审核通过后签发证书→用户下载证书并安装。具体步骤需遵循组织内部的证书策略。

4. 问：证书有效期多长？到期后如何处理？
答：证书有效期根据组织策略而定，通常为1-3年。证书到期前系统会发送提醒通知。用户需在到期前通过系统申请更新/续期，更新时通常可沿用原有密钥或生成新密钥。过期证书将无法用于认证，需及时更换。

5. 问：证书吊销是什么意思？什么情况下需要吊销？
答：证书吊销是指在证书到期前使其失效。常见情况包括：私钥泄露、员工离职、设备退役、证书信息变更等。吊销后证书将被列入证书吊销列表（CRL），系统应定期发布CRL并支持在线证书状态协议（OCSP）查询。

6. 问：如何验证数字证书的有效性？
答：验证包括：检查证书链是否完整且可信（根证书受信）、检查证书有效期、检查证书是否被吊销（通过CRL或OCSP）、检查证书用途是否匹配。应用系统可通过调用证书验证接口或使用标准库实现验证。

7. 问：什么是证书链？为什么需要它？
答：证书链是从终端实体证书到根证书的路径，包含中间CA证书。它用于建立信任关系：验证方通过逐级验证签名，最终信任根CA。缺少中间证书可能导致验证失败，因此需确保服务器正确配置完整的证书链。

8. 问：证书模板的作用是什么？
答：证书模板定义了证书的预置属性，包括密钥用法、扩展密钥用法、有效期、注册代理信息等。模板可简化证书申请流程，确保一致性并实施组织策略。管理员可根据不同用途（如SSL服务器、电子邮件保护）创建不同模板。

三、密钥制作与管理常见问题

9. 问：密钥对是如何生成的？安全性如何保障？
答：密钥对可由客户端（用户端）生成或由系统集中生成。为保证安全，系统应采用符合标准的密码模块（如硬件加密机）生成密钥，并确保密钥在安全环境中产生和存储。私钥应加密存储，严格访问控制，防止泄露。

10. 问：私钥丢失了怎么办？
答：若私钥丢失且无备份，则对应证书需吊销并重新申请。若系统支持密钥恢复（如密钥归档），可申请恢复私钥；但对于签名私钥，通常不建议归档恢复（以免抵赖风险）。应遵循组织密钥管理策略。

11. 问：密钥备份与恢复的流程是怎样的？
答：备份：密钥生成后（或导入时）由系统使用备份公钥加密私钥并存储于安全数据库。恢复：当需要时，经授权管理员审批后，系统用恢复私钥解密并安全传递至用户。整个过程需审计，并确保多员控制原则。

四、系统操作与维护常见问题

12. 问：如何配置系统的审计日志？
答：系统管理员应开启详细审计日志，记录所有关键操作（如证书签发、吊销、密钥恢复、登录等）。日志应包含时间、操作人、操作对象、结果等信息，并定期备份到安全存储。可通过日志分析工具进行监控和告警。

13. 问：系统如何保证高可用性？
答：可采用集群部署、负载均衡、数据库冗余、定期备份等措施。关键组件（如CA服务）应避免单点故障。另外，根CA通常离线保存，签发CA在线运行，并制定灾难恢复计划。

14. 问：遇到证书无法导入或使用时如何排查？
答：常见原因包括：证书链不完整、证书已过期或被吊销、密钥用法不匹配、系统时间不准确、缺少根证书等。排查步骤：检查证书有效性（openssl verify等工具）、检查系统时间、确认私钥与证书匹配、查看应用日志。

五、数字内容制作服务

15. 问：数字内容制作服务与数字证书系统有何关联？
答：数字内容制作通常涉及产生需要保护的数字资产（如文档、图像、音视频），为确保内容的真实性、完整性和来源可信，可利用数字证书系统为内容制作者颁发身份证书，用于数字签名。例如，在制作电子文档时添加数字签名，或使用证书对内容进行加密。密钥制作服务可生成用于内容加密的密钥对或对称密钥。

16. 问：如何为数字内容制作人员申请证书？
答：数字内容制作人员可按照组织证书策略提交申请，通常需提供身份信息，审核通过后签发个人证书。证书主题可包含姓名、部门、职责等。制作人员可使用证书对输出内容进行签名，以证明内容的来源。

17. 问：如何确保数字内容制作过程中的密钥安全？
答：使用私钥时应在安全环境中进行（如智能卡、USB Key或HSM），避免明文暴露于非信任设备。系统提供密钥管理服务，如支持密钥托管或定期换发。制定密钥管理规范并培训人员是关键。

六、综合问答

18. 问：什么是CRL和OCSP？它们有什么区别？
答：CRL（证书吊销列表）是一份列出已吊销证书序列号的文件，由CA定期发布；OCSP（在线证书状态协议）是实时查询证书状态的协议，响应更快、更实时。OCSP通常优先使用，但需保证服务可用。

19. 问：公钥和私钥有什么不同？是否都需要加密存储？
答：公钥可公开分发，用于加密和验签；私钥必须机密保存，用于解密和签名。对于公钥通常无需加密（但完整性需保护）；私钥应严格加密存储以防窃取。

20. 问：如果认为私钥泄露，应该立即采取哪些措施？
答：立即吊销关联的证书；调查泄露原因并修复漏洞；重新生成密钥对并申请新证书；替换相关应用中的旧证书；审查日志是否有滥用迹象。同时轮换可能受影响的其他密钥。