讨论安全性时使用的一些术语可能不熟悉。 本主题提供一些安全术语的简短说明，但并非旨在为每个项目提供全面的文档。
有关 Windows Communication Foundation （WCF） 文档中使用的术语的详细信息，请参阅 基本 Windows Communication Foundation 概念。
访问控制列表 （ACL）
适用于对象的安全保护列表。 （对象可以是具有安全描述符的文件、进程、事件或其他任何内容。ACL 中的条目是访问控制项（ACE）。 有两种类型的 ACL：自由裁量和系统。
身份验证
验证用户、计算机、服务或进程身份真实性的过程。
授权
控制对资源的访问和权限的行为。 例如，允许一个组的成员读取文件，但只允许另一个组的成员更改文件。
证书颁发机构 （CA） 证书
标识向请求这些证书的服务器和客户端颁发服务器和客户端身份验证证书的 CA。 因为它包含数字签名中使用的公钥，因此也称为 签名证书。 如果 CA 是根颁发机构，则 CA 证书可以称为 根证书。 有时也称为 站点证书。
CA 层次结构
一个 CA 层次结构包含多个 CA。 该层次结构是按如下方式组织的：每个 CA 都由该层次结构的较高级别中的另一个 CA 进行认证，直至到达该层次结构的顶级（也称为根证书颁发机构）。
证书
一个数字签名语句，其中包含有关实体和实体公钥的信息，因此将这两个信息片段绑定在一起。 证书由受信任的组织（或实体）颁发，该组织（或实体）在授权机构已验证该实体是它所称的实体后颁发的。
证书可以包含不同类型的数据。 例如，一个 X.509 证书包括该证书的格式、该证书的序列号、用于对该证书进行签名的算法、颁发该证书的 CA 的名称、请求该证书的实体的名称和公钥以及 CA 的签名。
证书存储
通常，这是一个用于存储证书、证书吊销列表（CRLs）和证书信任列表（CTLs）的永久存储。 但是，在使用不需要放入永久存储的证书时，可以仅在内存中创建和打开证书存储。
声明
从一个实体传递到另一个实体的信息用于验证发送方身份。 例如，用户名和密码令牌或 X.509 证书。
客户端证书
指用于客户端身份验证的证书，例如在 Web 服务器上对 Web 浏览器进行身份验证。 当 Web 浏览器客户端尝试访问受保护的 Web 服务器时，客户端会将其证书发送到服务器，以允许它验证客户端的标识。
资格证书
以前经过身份验证的登录信息是安全主体用来建立自己标识的凭据，例如密码或 Kerberos 协议票证。 凭据用于控制对资源的访问。
摘要数据
由公钥加密密钥 （PKCS） #7 定义的数据内容类型，其中包含任何类型的数据以及内容的消息哈希（摘要）。
数字签名
将发件人标识绑定到所发送的信息的数据。 数字签名可以与任何消息、文件或其他数字签名信息捆绑在一起，也可以单独传输。 数字签名用于公钥环境，并提供身份验证和完整性服务。
编码
将数据转换为位流的过程。 编码是序列化过程的一部分，可将数据流转换为 1 和 0 的流。
交换密钥对
用于加密会话密钥的公钥/私钥对，以便可以安全地存储并与其他用户交换。
散 列
通过将数学函数（见哈希算法）应用于任意数据量获得的固定大小数值。 数据通常包括随机数据，称为 nonce。 服务和客户端都致力于交换 Nonce 以增加结果的复杂性。 结果也称为 消息摘要。 发送哈希值比发送敏感数据（例如密码）更安全，即使密码已加密也是如此。 哈希发送方和接收方必须就哈希算法和 nonces 达成一致，这样一旦收到，就可以验证哈希。
哈希算法
用于生成某些数据的哈希值的算法，例如消息或会话键。 典型的哈希算法包括 MD2、MD4、MD5 和 SHA-1。
Kerberos 协议
定义客户端如何与网络身份验证服务交互的协议。 客户端从 Kerberos 密钥分发中心（KDC）获取票证，并在建立连接时将这些票证呈现给服务器。 Kerberos 票证表示客户端的网络凭据。
本地安全机构 （LSA）
一个受保护的子系统，用于对用户进行身份验证并将用户记录到本地系统。 LSA 还维护有关系统上本地安全的各个方面的信息，统称为系统的本地安全策略。
谈判
安全支持提供程序（SSP）充当安全支持提供程序接口（SSPI）与其他 SSP 之间的应用程序层。 当某个应用程序调入 SSPI 以登录到网络时，该应用程序可以指定一个 SSP 来处理请求。 如果应用程序指定了Negotiate，那么Negotiate会分析请求，并根据客户配置的安全策略选择最佳的SSP来处理请求。
随机数
随机生成的值，用于击败“重播”攻击。
不可否认性
能够识别执行某些行为的用户，从而不可辩驳地遏制用户企图推脱责任的任何努力。 例如，每当删除文件时，系统都可能会记录用户的 ID。
公钥加密标准（PKCS）
RSA Data Security， Inc. 与全球安全系统的开发人员合作生成的规范，以加快公钥加密的部署。
PKCS #7
加密消息语法标准。 可以向其应用加密的数据的一般语法，例如数字签名和加密。 它还提供用于向消息传播证书或证书吊销列表和其他消息属性（如时间戳）的语法。
明文
未加密的消息。 纯文本消息有时称为 明文 消息。
特权
用户执行各种与系统相关的作的权利，例如关闭系统、加载设备驱动程序或更改系统时间。 用户的访问令牌包含用户或用户组保留的特权列表。
私钥
公钥算法中使用的密钥对中机密的那一半。 私钥通常用于加密对称会话密钥、对消息进行数字签名或解密已使用相应公钥加密的消息。 另请参阅“公钥”。
过程
运行应用程序的安全上下文。 通常，安全上下文与用户相关联，因此在给定进程下运行的所有应用程序都依赖于拥有用户的权限和特权。
公钥/私钥对
用于公钥加密的一组加密密钥。 对于每个用户，加密服务提供商（CSP）通常维护两个公钥/私钥对：一个交换密钥对和一个数字签名密钥对。 在会话之间进行切换时，这两个密钥对都会保持下来。
公钥
解密会话密钥或数字签名时通常使用的加密密钥。 公钥还可用于加密消息，确保只有具有相应私钥的人员才能解密消息。
公钥加密
使用密钥对的加密技术，其中一个密钥用于加密数据，另一个密钥用于解密数据。 相比之下，使用同一密钥进行加密和解密的对称加密算法。 在实践中，公钥加密通常用于保护对称加密算法使用的会话密钥。 在这种情况下，公钥用于加密会话密钥，而会话密钥又用于加密某些数据，私钥用于解密。 除了保护会话密钥之外，公钥加密还可用于对消息进行数字签名（使用私钥）并验证签名（使用公钥）。
公钥基础结构 （PKI）
一个基础结构，提供一组集成的服务和管理工具，用于创建、部署和管理公钥应用程序。
可否认性
一个用户可以否认自己执行过某个行为，而其他各方无法证明其进行过此行为。 例如，用户删除了某个文件，但可以成功地否认执行过这样一个操作。
根证书颁发机构
位于 CA 层次结构顶级的 CA。 根颁发机构在层次结构的下一级别对 CA 进行认证。
安全哈希算法 （SHA）
生成消息摘要的哈希算法。 SHA 与数字签名标准 (DSS) 以及其他标准中的数字签名算法 (DSA) 一起使用。 有四种 SHA：SHA-1、SHA-256、SHA-384 和 SHA-512。 SHA-1 生成 160 位消息摘要。 SHA-256、SHA-384 和 SHA-512 分别生成 256 位、384 位和 512 位消息摘要。 SHA 由美国国家标准与技术研究院 (NIST) 和美国国家安全局 (NSA) 开发。
安全套接字层 (SSL)
使用公钥和密钥技术的组合来保护网络通信的协议。
安全上下文
当前生效的安全属性或规则。 例如，当前登录到计算机中的用户或由智能卡用户输入的个人识别码。 对于 SSPI，安全上下文是一种不透明的数据结构，其中包含与连接相关的安全数据，如会话密钥或会话持续时间指示。
安全主体
一个可由安全系统识别的实体。 安全主体可以包括人类用户以及自治进程。
安全支持供应商
一个动态链接库（DLL），它通过使一个或多个安全包可供应用程序使用来实现 SSPI。 每个安全包都提供了应用程序的 SSPI 函数调用与实际安全模型的函数之间的映射。 安全包支持安全协议，例如 Kerberos 身份验证和 Microsoft LAN 管理器（LanMan）。
安全支持提供程序接口 （SSPI）
一个连接传输层应用程序（例如 Microsoft 远程过程调用 (RPC)）与安全提供者（例如 Windows 分布式安全系统）的常见接口。 SSPI 使传输应用程序可以调用几个安全提供程序中的一个，以获取经过身份验证的连接。 这些调用不需要对安全协议的细节进行详细了解。
安全令牌服务
旨在在多服务方案中颁发和管理自定义安全令牌（已颁发的令牌）的服务。 自定义令牌通常是包含自定义凭据的安全断言标记语言（SAML）令牌。
服务器证书
指用于服务器认证的证书，例如将 Web 服务器的身份验证传递给 Web 浏览器。 当 Web 浏览器客户端尝试访问受保护的 Web 服务器时，服务器会将其证书发送到浏览器，以允许它验证服务器的标识。
会议
一种在一段密钥材料保护下进行的消息交换。 例如，SSL 会话使用一个密钥往来发送处于该密钥保护下的多个消息。
会话密钥
一个随机生成的密钥，该密钥使用一次，然后丢弃。 会话密钥是对称的（用于加密和解密）。 它们随邮件一起发送，通过来自预期收件人的公钥进行加密保护。 会话密钥由大约 40 到 2,000 位的随机数组成。
补充凭据
用于向外部安全域验证安全主体的凭据。
对称加密
将单个密钥同时用于加密和解密的加密算法。 在对大量数据进行加密时，对称加密算法是首选算法。 一些更常见的对称加密算法是 RC2、RC4 和数据加密标准（DES）。
另请参阅“公钥加密”。
对称密钥
用于加密和解密的单个密钥。 会话密钥通常是对称的。
令牌（访问令牌）
访问令牌包含登录会话的安全信息。 系统在用户登录时创建访问令牌，并且代表用户执行的每个进程都有令牌的副本。 令牌标识用户、用户的组和用户的权限。 系统使用令牌来控制对安全对象的访问，并控制用户在本地计算机上执行各种与系统相关的作的能力。 有两种类型的访问令牌，主要令牌和模拟令牌。
传输层
负责服务质量和准确信息传递的网络层。 在此层中执行的任务包括错误检测和更正。
信任列表（证书信任列表或 CTL）
已由受信任实体签名的项的预定义列表。 CTL 可以是任何内容，例如证书哈希列表或文件名列表。 列表中的所有项都由签名实体进行身份验证（已批准）。
信任服务商
确定给定文件是否受信任的软件。 此决定基于与文件关联的证书。
用户主体名称 （UPN）
用户帐户名称（有时称为 用户登录名）和用于标识用户帐户所在的域的域名。 这是登录到 Windows 域的标准用法。 格式为：someone@example.com（就像电子邮件地址格式）。
注释
除了标准 UPN 格式，WCF 还接受低级格式的 UPN，例如 cohowinery.com\someone。
X.509
用于定义证书所需部分的国际公认标准。