pki技术及其发展应用

《pki技术及其发展应用》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、2010年第2期大众科技No.2，2010（总第126期）DAZHONGKEJI(CumulativelyNo.126)PKI技术及其发展应用1211张蓉杨磊程慧裴国庆（1.广西师范学院计算机与信息工程学院，广西南宁530000；2.广西壮族自治区计算中心，广西南宁530022）【摘要】公开密钥基础设施（PKI）作为当今密码学应用的工程，已经深入到网络世界的各个方面。文章对PKI技术进行了全面的分析与总结，包括PKI系统基本组件、PKI技术原理，给出了它的实际应用，讨论了PKI的优势和发展未来。【关键词】公开密钥基础设施；数字证书；信

2、息安全【中图分类号】TP309.7【文献标识码】A【文章编号】1008-1151(2010)02-0040-03（一）引言正在积极开发自己的基于PKI的安全产品。网络不断发展使得信息安全成为网络应用不可缺少的技（三）PKI基本结构术基础，网上信息系统需要保护其真实性、保密性、完整性1.证书认证中心CA。CA(CertificationAuthority)是一以及可追究性。PKI利用非对称密码学的优势，通过基础设施个确保信任度的权威实体，它是整个PKI体系的核心。认证的工程理念，利用标准的接口为用户提供除可用性以外的全中心作为受信任的第

3、三方，主要负责产生、分配并管理所有面的安全服务。参与的实体所需的身份认证用的数字证书。每一份数字证书随着技术的进步，各种网络应用不断涌现，安全要求也都与上一级的数字签名证书相关联，最终通过安全链追溯到就越来越迫切。PKI的技术和原理，随着这种潮流，逐步成为一个已知的并被广泛认为是安全、权威、足以信赖的机构—了现代信息安全技术的基础。—根认证中心。它对网上的数据加密、数字签名、防止抵赖、（二）PKI概述数据的完整性以及身份认证所需的密钥和证书进行统一的集PKI是20世纪80年代由美国学者提出来的概念，是“Public中管理，支持参与的各

4、实体在网络环境中建立和维护信任关KeyInfrastructure”的缩写，意为“公钥基础设施”，是利用系，保证网络的安全。公钥理论和技术实施和提供信息安全服务的具有普适性的基2.注册中心RA。RA（RegistrationAuthority）是用户础设施。公钥体制是目前应用最广泛的一种加密体制，在这和CA的接口，这是一个可选的部分。对用户而言，它是CA一体制在中，加密密钥与解密密钥各不相同，发送信息的人的代表，对于CA而言，它又是用户。它完成的功能包括：个利用接收者的公钥发送加密信息，接收者再利用自己专有的人身份的认证、密钥产生、名

5、字分配、撤销证书报告等。RA私钥进行解密。这种方式既保证了信息的机密性，又能保证有时和CA合并在一起。CA也拥有一个证书（内含公钥）和私信息具有不可抵赖性。目前，公钥体制广泛应用于CA认证、钥。网上的公众用户通过验证CA的签字从而信任CA，任何人数字签名和密钥交换领域。都可以得到CA的证书（含公钥），用以验证它所签发的证书。在国外，PKI应用已经有了长足的发展，很多厂家如如果用户想得到一份属于自己的证书，他应先向CA提出申BaltimoreTechnologies,Entrust和Microsoft等都推出了请。在CA判明申请者的身份

6、后，便为他分配一个公钥，并PKI产品；有些公司如VeriSign已经开始提供PKI服务:由美国且CA将该公钥与申请者的身份信息绑在一起，并为之签字NationalSecurityAgency(NSA)推动的DODPKI研究也正积后，便形成证书发给申请者。如果一个用户想鉴别另一个证极地进行，美国的许多大企业已经建立了自己的PKI系统；加书的真伪，他就用CA的公钥对那个证书上的签字进行验证，拿大政府公开密钥基础设施是世界上最早的大规模政府PKI一旦验证通过，该证书就被认为是有效的。计划，已在各行各业取得了成效。但总的来说，PKI系统仅仅3

7、.证书库。证书库是一个存储、检索证书和证书撤销列还处于示范工程阶段，新技术不断出现，PKI的结构、对称及表的目录服务。为了使证书可以公开获取，必须具备和x.500非对称密钥算法、密钥生命周期管理的方案等还在不断变化。标准兼容的目录服务，当前普遍使用的目录协议是轻量目录在我国，上海、北京、深圳、重庆等城市已经建立了CA访问协议LDAP。认证中心，以便为本地化通信网络提供安全服务。CA认证中4.证书撤销处理系统。通过CA签发的证书来把用户的身心是PKI的重要组成部分。在国家直属部门，以中国人民银行份和密钥绑定在一起，如果当用户的身份改变或

8、密钥遭到破为首的12家金融机构推出了“中国金融认证中心CFCA”，中国坏时，就必须存在一种机制来撤销这种认可。一般CA通过发电信也在开展CA机制的试验工作。另外，许多网络通信公司布证书废除列表(CRL)来发布作废信息。C