公钥基础设施PKI篇(三).doc

《公钥基础设施PKI篇(三).doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、三、PKI的功能归纳起来，PKI应该为应用提供如下的安全支持：*证书与CA,PKI应实现CA以及证书库、CRL等基本的证书管理功能。*密钥备份及恢复证书。次密钥对的自动更换证书、密钥都有一定的生命期限。当用户的私钥泄肃时，必须更换密钥对；劣外，随着计算机速度日益提高,密钥长度也必须相应地长。因此，PKI应该提供完全H动（无须用户干预）的密钥更换以及新的分发工作。*交叉验证每个CA只可能覆盖一定的作用范围，即CA的域，例如，不同的企业往往有各自的CA,它们颁发的证书都只在企业范川内有效。当隶属于不同CA的用户需要交换信息时，就需要引入交叉证书和交叉验证，这也

2、是PKI必须完成的工作。*加密密钥和签名密钥的分隔如前所述，加密和签名密钥的密钥管理需求是相互抵触的，因此PKI应该支持加密和签名密钥的分隔使用。*支持对数字签名的不可抵赖任何类型的电了商务都离不开数字签名，因此PKI必须支持数字签名的不可抵赖性，而数字签名的不可抵赖性依赖于签名私钥的唯一性和机密性，为确保这一点，PKI必须保证签名密钥与加密密钥的分隔使用。*密钥历史的管理毎次更新加密密钥示，相应的解密密钥都应该存档，以便将来恢复用旧密钥加密的数据。每次更新签名密钥示，1口的签名私钥应该妥善销毁，防止破坏其唯一性;相应的口验证公钥应该进行存档，以便将来用于

3、验证I口的签名。这些工作都应该是PKI白动完成的。四、PKI体系的发展前景如上所述,PKI对企业生意的成功与否至关重要，它可使企业拥有一个公共的安全基础结构一个所有安全的应用赖以存在的基础结构。企业屮的许多安全电了邮件、Internet商务应用、VPN以及单签字功能的安全祁将依赖于X.509的认证。PKI对数据加密、数字签字、反占认、数字完整性以及甄别所需的密钥和认证实施了统一的集屮化管理。每一企业均可受益于PKI结构化的管理方案。然而令人遗憾的是，迄今为止，仅有少数行业（包括银行业、金融、健康保险）采用了这一系统。一些敢于尝试新生事物的企业，例如Auto

4、motiveNetworkExchange（由美国几家最大的汽车制造商纟H.成）U.开始受益于这一安全技术。预计,当企业的生意变得更依赖于Web时,为了确保它们对客户信息的安全处理,更多的企业将会不断转向PKIo然而，迄今为止，采用PKI的企业仍寥寥无几。PKI木身存在的问题是限制用户广泛采用它的主要原因。统一标准的缺乏，将许多美国企业拒Z于PKI方案的大门Z外。事实上，对于开发PKI产品来说,忖前已有相当成熟的标准可依。缺乏良好的互操作性，也是PKI广泛被采用的主要障碍在PKI供应商能够支持所有标准Z前，许多企业需要使用其客户机上的专利工具包，这也会在很

5、大程度上限制PKI的迅速流行。然而，限制PKI被广泛采用的最主要的障碍依然是其设计与实现上的复杂性。但据预计,随着PKI供应商的逐步统一与合并，实现PK1的过程将会变得越來越简单。如果复杂的实现令你望而却步，则可以把企业的系统外包给某个第三方供应商。许多权威的认证方案供应商（例如VeriSign.Thawte以及GTE）目前都在提供外包的PKI。外包PKI最大的问题是，用户必须把企业托管给某一服务提供商，即让出对网络安全的控制权。如果不愿这样做,则可建造一个专用的PKI。专用方案通常需把来白EntrustxBaltimoreTechnologies以及Xc

6、eil的多种服务器产品与来自主流丿应用程序供应商（如MicrosoftNetscape以及Qualcomm）的产品组合在一起。专用PKI还要求企业在准备其基础设施的过程屮投入大量的财力与物力。对那些高风险行业（如银行、金融及保险）来说，今后10年,PKI对它们长期的安全需求将至关重要。随肴PKI技术的广泛流行,PKI的实现将会更趋简单，成本也会逐步降低。由于PKI仅于最近才开始变成一种可行的安全方案，因此这一技术仍有待进一步完善。如果你的企业不能等待这一技术的成熟，那么现在就采用它，因为其目前的功能已足可以满足一般企业的大多数安全需求。