用户的密钥对中的其中一个密钥是公钥，作为该用户对象的一个属性存储在 Active Directory 中，可供任何人访问。另一个密钥是私钥，他保存在客户端电脑上的一个安全位置，只有用户本人能够访问他，这样就维护了数字签名的不可否认功能。这些密钥由创建密钥的证书绑定到用户。 www_bitscn_com
注意 用户的专用数字签名密钥的存储方式如下：
| • | Microsoft Outlook 97 及更旧的客户端将私钥存储在一个加密的 .epf 文档中。 |
| • | Microsoft Outlook 98 密钥存储在一个由 Microsoft Internet Explorer 保护的存储区中。 |
| • | Microsoft Outlook 2000 私钥存储在注册表中。 |
密钥类型及其使用
Exchange 2000 高级安全性支持四种不同类型的密钥。他们是：| • | 公用加密密钥 公用加密密钥用于加密由用户发送的邮件。在公钥加密中，发件人从 Active Directory 检索收件人的公钥并使用他来加密邮件。 |
| • | 专用加密密钥 专用加密密钥用于解密用户接收到的加密邮件。只有收件人对应的私钥才能够解密该邮件，所以其他用户不能够读取其内容。 |
| • | 公用签名密钥 中国网管联盟 当用户收到已签名的邮件时，将使用公用签名密钥确认发件人身份。收件人使用发件人的公钥确认邮件的来源。只有正确的公钥才能和专用签名密钥相配，所以收件人能够确信发件人身份的真实性。 |
| • | 专用签名密钥 专用签名密钥用于给由用户发送的邮件加数字签名。数字签名包含有基于邮件内容的信息，因此验证签名也就意味着验证了数据的完整性。有数字签名的邮件在传输过程中若有篡改，则必然会被发现。 |
证书
证书是安全保护机制中的一种身份验证方法。证书是由证书颁发机构 (CA) 为每个启用了高级安全性的用户创建的，所以未启用高级安全性的用户将没有证书。证书主要是用来存储用户的公钥。对于每一个启用了高级安全性的用户，均已创建了两个主要的 X.509 证书。一个证书用于存储公用加密密钥信息，另一个用于存储公用签名密钥信息。
数字签名
数字签名使收件人能够确定发件人身份的真实性，并能够使收件人验证邮件内容在传输期间没有经过修改。当将数字签名添加到邮件时，将使用邮件内容来计算出一个标识发件人的哈希值并提供一个数字指纹。邮件摘要算法、邮件内容和发件人的私钥将用来生成哈希值。
中国.网管联盟
为验证发件人的身份，收件人通过使用发件人的公钥来解密此原始哈希值，而此公钥可从受信目录（如 Active Directory）中获取。邮件被解密，然后用接收到的文本计算出一个新的哈希值，并将他和原始哈希值进行比较。假如他们相配，就确认了内容的完整性和发件人的身份。
注意 有时，发件人的公用签名密钥也有可能随签名的邮件一起发送。
邮件加密和解密
邮件加密和解密是个对用户“透明”的过程。除了查询目录以获取收件人公钥外，此过程执行期间在客户端和其他网络服务之间没有任何交互。每个过程的周详情况如下。加密
邮件加密使发件人能够加密邮件正文和任何可能带有的附件。要发送一封加密的邮件，发件人和收件人都必须启用了高级安全性。当用户发送一封加密的邮件时，Exchange 客户端使用由预期收件人的公钥加密的会话密钥来加密此邮件。要创建会话密钥（一种一次性对称密钥），发件人必须具备访问收件人公钥的权限。在多数情况下，用于加密邮件的公钥是由发件人的电子邮件客户端（如 Outlook）从 Exchange 服务器获得的。当用户撰写一封定址到另一个启用了高级安全性的 Exchange 用户的加密邮件时，将发生下面的情况：| 1. | 发件人从“全球通讯簿”中选择收件人。 |
| 2. | Outlook 从 Exchange 服务器上请求收件人的公钥。 |
| 3. | 假如服务器在运行 Exchange Server 5.5，那么邮箱的、自定义收件人的或公用文档夹的 X509-Cert 属性内容将返回到 Outlook。 |
| 4. | 假如服务器在运行 Exchange 2000 Server，那么 Active Directory 中邮箱的或支持邮件的对象的 userCertificate 属性将返回到 Outlook。 |
| 5. | 使用收件人的公钥加密一个一次性对称会话密钥。 |
| 6. | 使用会话密钥加密邮件。 |
| 7. | 邮件发送到收件人。 |
解密
邮件解密使得发件人能够解密邮件正文和任何可能带有的附件。为解密邮件，Outlook 使用收件人的私钥解密对称密钥，后者接着用来解密邮件。因为邮件的收件人是唯一能够访问私钥的人，所以邮件是安全的，除预期的收件人外不允许任何人读取邮件内容。 www.bitsCN.com邮件签名和验证
给邮件签名
当用户给邮件签名时，客户端就生成了一个数字签名，他是该邮件的校验和。接着将使用发件人的专用签名密钥对该数字签名进行加密。最后，原始明文邮件、数字签名和包含有发件人公用签名密钥的发件人签名证书都发送给收件人。验证签名
为验证签名，收件人对照证书吊销列表 (CRL) 来检查发件人的签名证书。假如该证书在列表上，将警告收件人说发件人的证书已被吊销。假如发件人的证书有效，则用随邮件一起发送来的发件人公用签名密钥对该加密的数字签名进行解密。最后，客户端对明文邮件执行校验和，然后将此校验和和解密的数字签名进行比较。两个值必须相符。假如这两个值不符，就会警告收件人说该邮件在最初签名后已被改变。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
