签章那些事 -- 让你全面了解签章的流程

　　前言随着通信、互联网技术的发展，人们接触到的信息纷繁复杂，信息的真真假假让人难以辨认。在严肃性场合，比如电子合同、电子证照等，必须有一种手段确保信息的完整性和真实性，这时签章就派上了用场。

　　签章的技术原理并不复杂，签章的基石就是非对称加密算法。但是围绕着签章又衍生出一些列概念，比如证书、电子印章、PKI等，这些概念又对应着一些列国家标准。如果不对这些技术做细致的剖析，总感觉是雾里看花，难以准确把握这些概念，难以对整个签章流程有清晰的认识。

本文不泛泛而谈概念；而是从实践、具体数据、编程开发等讲起，更加贴近实战的角度入手，这样更容易理解。本人为开发人员，已独立开发了制证书、制电子印章、ofd签章验章、与加密机对接等程序，这些程序都达到商用级别；通过这些程序的开发也加深了我对签章的理解；经过大量的开发，终于从迷雾中走出，再回首，走过的路曲曲折折；希望本文能更好的加深你对签章的理解。

签章基石：非对称加密算法

　　常用的非对称加密算法有：RSA、ECC。国标商密算法SM2，大的范畴属于ECC。

　　非对称加密算法会产生一对公钥和私钥。如果对一段数据用公钥加密，私钥解密，这就是加密过程；反之，就是签名。要把这加密和签名这两个概念吃透；

加密：我手里有一段明文，我想把这段明文加密发送，并且只能有特定的接受者解密。公钥是公开，私钥只有一个人拥有。如果用公钥加密，只有私钥拥有者才能查看，这就是加密过程。

签名：我手里有一段明文，用我的私钥对这个明文签名；任何拥有对应公钥的人都可以验证这段明文是我签署的。签名文件是不怕公开，只是需要证明是谁签名的，数据是否完整即可。

我怎么相信这个公钥是你的？

　　这里有个术语Public Key Infrastructure（PKI)，即公开密钥基础设施；就是解决这个问题的。PKI的主要目的是用来发行“身份证明书”，证书中关键信息就是公钥。证明书的文件构造是一种叫做 X.509 的协议规定的。以下是证书的定义：

　　证书包含公钥、证书持有者的一些信息。这个证书是通过权威的CA做签名，确保证书不被伪造。关于认证机关的权威性和可信度的问题，其实是一个社会基础设施建设的话题了。在很多国家认证机关都是由政府在主导建设，常常被视作一个社会性基础设施的一个环节。

　　为了便于解释概念，称为刚才的签署的证书为个人证书；下一个问题出现了：我怎么知道这个证书是由权威的CA签署的。其实CA本身也有自己的证书，需要获取CA的证书去验证个人证书的真假。新问题又来了，我怎么知道CA的证书是真实的？这就是鸡生蛋蛋生鸡的问题。最终我们需要从一个可靠的来源获取CA的证书，就认定这个证书是可靠的。

实体印章盖在证书上就是一个图片，电子印章是啥样？也是一个图片？

　　数字签章就是模拟真实的签章流程和外观。真实印章盖上后，就可以理解为一个图片；如何验证图片的真伪就依赖图形分析，与原始印章对比。电子印章包含：印章图片、签章人证书、制章人证书等信息；所以电子印章不仅仅包含图片；但是：电子印章的真伪验证不依赖图片，而是数字签名。