PKI 的組成

標籤：ssl

PKI（Public Key Infrastructure）公開金鑰基礎設施是提供公開金鑰加密和數位簽章服務的系統或平台，目的是為了管理密鑰和認證。一個機構通過採用PKI 架構管理密鑰和認證可以建立一個安全的網路環境。

PKI 主要包括四個部分：X.509 格式的認證（X.509 V3）和認證廢止列表CRL（X.509 V2）；CA 操作協議；CA 管理協議；CA 政策制定。一個典型、完整、有效PKI 應用系統至少應具有以下五個部分；

1） 認證中心CA CA 是PKI 的核心，CA 負責管理PKI 結構下的所有使用者（包括各種應用程式）的認證，把使用者的公開金鑰和使用者的其他資訊捆綁在一起，在網上驗證使用者的身份，CA 還要負責使用者認證的黑名單登記和黑名單發布，後面有CA 的詳細描述。

2） X.500 目錄伺服器 X.500 目錄伺服器用於發布使用者的認證和黑名單資訊，使用者可通過標準的LDAP 協議查詢自己或其他人的認證和下載黑名單資訊。

3） 具有高強度密碼演算法(SSL)的安全WWW伺服器 Secure socket layer(SSL)協議最初由Netscape 企業發展，現已成為網路用來鑒別網站和網頁瀏覽者身份，以及在瀏覽器使用者及網頁伺服器之間進行加密通訊的全球化標準。

4） Web（安全通訊平台） Web 有Web Client 端和Web Server 端兩部分，分別安裝在用戶端和伺服器端，通過具有高強度密碼演算法的SSL 協議保證用戶端和伺服器端資料的機密性、完整性、身分識別驗證。

5） 自開發安全應用系統 自開發安全應用系統是指各行業自開發的各種具體應用系統，例如銀行、證券的應用系統等。完整的PKI 包括認證政策的制定（包括遵循的技術標準、各CA 之間的上下級或同級關係、安全性原則、安全程度、服務物件、管理原則和架構等）、認證規則、運作制度的制定、所涉及的各方法律關係內容以及技術的實現等。

完整的PKI系統必須具有權威認證機構(CA)、數位憑證庫、密鑰備份及恢複系統、認證作廢系統、應用介面（API）等基本構成部分，構建PKI也將圍繞著這五大系統來著手構建。

PKI的基礎技術包括加密、數位簽章、資料完整性機制、數位信封、雙重數位簽章等。一個典型、完整、有效PKI應用系統至少應具有以下部分：     · 公開金鑰密碼認證管理。     · 黑名單的發布和管理。     · 密鑰的備份和恢複。     · 自動更新密鑰。     · 自動管理曆史密鑰。     · 支援交叉認證。

認證機構（CA）：即數位憑證的申請及簽發機關，CA必須具備權威性的特徵；

數位憑證庫：用於儲存已簽發的數位憑證及公開金鑰，使用者可由此獲得所需的其他使用者的認證及公開金鑰；

密鑰備份及恢複系統：如果使用者丟失了用於解密資料的密鑰，則資料將無法被解密，這將造成合法資料丟失。為避免這種情況，PKI提供備份與修復金鑰的機制。但須注意，密鑰的備份與恢複必須由可信的機構來完成。並且，密鑰備份與恢複只能針對解密密鑰，簽名私密金鑰為確保其唯一性而不能夠作備份。

認證作廢系統：認證作廢處理系統是PKI的一個必備的組件。與日常生活中的各種身份證件一樣,認證有效期間以內也可能需要作廢，原因可能是密鑰介質丟失或使用者身份變更等。為實現這一點,PKI必須提供作廢認證的一系列機制。

應用介面（API）：PKI的價值在於使使用者能夠方便地使用加密、數位簽章等安全服務，因此一個完整的PKI必須提供良好的應用介面系統，使得各種各樣的應用能夠以安全、一致、可信的方式與PKI互動，確保安全網路環境的完整性和易用性。

通常來說，CA是認證的簽發機構,它是PKI的核心。眾所周知，構建密碼服務系統的核心內容是如何?密鑰管理。公開金鑰體制涉及到一對密鑰（即私密金鑰和公開金鑰），私密金鑰只由使用者獨立掌握，無須在網上傳輸，而公開金鑰則是公開的，需要在網上傳送，故公開金鑰體制的密鑰管理主要是針對公開金鑰的管理問題，時下較好的解決方案是數位憑證機制。

PKI 的組成