PKI體系框架「建議收藏」

PKI是 Public Key Infrastructure的縮寫，主要功能是綁定整數持有者的身份和相關秘鑰對(通過為公鑰及相關的用戶身份信息簽發數字證書)，為用戶提供方便的證書申請、證書作廢、證書獲取、證書狀態查詢的途徑，并且利用數字證書及相關的各種服務(證書發布、黑名單機制、時間戳服務等)實現通信中各實體的身份認證、完整性、抗抵賴性和保密性。

根據數字證書格式和密鑰管理方式的不同，PKI也包括多種模式，如X.509模式、PGP模式、IBE/CPK模式、EMV模式等，由于X.509標準已經陳偉數字證書格式的事實標準，因此大部分情況下PKI特指X.509模式。

PKI體系框架主要包括三部分內容：數字證書與私鑰、數字證書的管理、數字證書的應用。
1.數字證書與私鑰
PKI引入了數字證書，用于建立公鑰月用戶之間對應關系。數字證書包含了用戶身份信息、用戶公鑰信息、CA私鑰的數字簽名。數字證書中只包含公鑰，不包含私鑰，證書中包含CA私鑰的數字簽名，因此具有防偽性。證書中不包含秘密信息，因此可以公開。數字證書好比網絡身份證，可以解決”你是誰”的問題。

一般私鑰會保存在硬件密碼設備中(個人的私鑰可以保存在USBKEY或IC卡中，系統的私鑰可以保存在加密機或加密卡中)，而且不允許私鑰導出硬件密碼設備，只能通過口令、指紋等方式來訪問控制硬件密碼設備。

2.數字證書的管理
PKI引入CA(Certificate Authority)是為了解決證書的簽發問題，CA可以對證書進行集中的簽發。CA中心擁有自己的私鑰和公鑰，使用自己的私鑰給用戶(包含CA中心自己)簽發數字證書。

CA中心主要的工作就是對數字證書的全生命周期進行管理。主要包括：證書的簽發和更新、證書的作廢(注銷、撤銷或吊銷)、證書的凍結(掛失)和解凍、證書查詢和下載、證書狀態查詢等。

未解決私鑰的備份和恢復問題，PKI引入了KMC(Key Managemen Center)。用戶的公私鑰對有KMC產生，提交CA簽發證書后，將私鑰和證書安全移交給用戶，KMC將私鑰備份，用于后期用戶丟失私鑰時恢復。用戶也可自己產生(使用密碼設備)秘鑰對，向CA申請證書，將私鑰安全提交給KMC備份。

此時會出現一個問題，為防止用戶身份被冒用，用戶私鑰應該保證唯一性，不允許備份恢復。為防止公鑰加密后的數據無法解密，硬對用戶的私鑰進行備份。這就是自相矛盾的情況，未解決這樣的情況，PKI引入了雙證書機制：簽名證書和加密證書。簽名證書及其私鑰只能用于簽名驗簽，不可加解密，此秘鑰對由用戶自己產生，KMC不備份。加密證書及其私鑰只用于加解密，此秘鑰對由KMC產生，私鑰備份。

為解決證書查詢或下載的性能問題，PKI引入了LDAP技術。為了解決用戶可以獲得對方證書是否失效的狀態，PKI映入了CRL(Certificate Revocation List，證書黑名單)和OCSP(Online Certificate Status Protocol,在線查詢證書狀態)技術。為方便證書業務遠程管理，PKI引入RA(Registry Authority)，銀行窗口使用的就是RA。

3.數字證書的應用
基于數字證書可實現四種基本安全功能：身份認證、保密性、完整性、抗抵賴性。
PKI體系框架如圖：