pki技術(shù)及其發(fā)展現(xiàn)狀

1、PKIPKI技術(shù)及其發(fā)展現(xiàn)狀技術(shù)及其發(fā)展現(xiàn)狀一、安全基礎(chǔ)設(shè)施普業(yè)適性基礎(chǔ)就是一個(gè)大環(huán)境例如公司組織的基目本框架，一個(gè)基礎(chǔ)設(shè)施可視作一個(gè)普適性基礎(chǔ)。電力供應(yīng)基礎(chǔ)設(shè)施就是我們熟悉的一個(gè)例子。電源插座可以讓各種電力設(shè)備獲得運(yùn)行所需要的電壓和電流。基礎(chǔ)設(shè)施所遵循的原理是：只要遵循需要的原則，不同的實(shí)體就可以方便地使用基礎(chǔ)設(shè)施所提供的服務(wù)。用于安全的基礎(chǔ)設(shè)施必須遵循同樣的原理，同樣是要提供基礎(chǔ)服務(wù)。安全基礎(chǔ)設(shè)施就是為整個(gè)組織（“組織”是可以被定義

2、的）提供安全的基本框架，可以被組織中任何需要安全的應(yīng)用和對(duì)象使用。安全基礎(chǔ)設(shè)施的“接入點(diǎn)”必須是統(tǒng)一的，便于使用（就象墻上的電源插座一樣）。只有這樣，那些需要使用這種基礎(chǔ)設(shè)施的對(duì)象在使用安全服務(wù)時(shí)，才不會(huì)遇到太多的麻煩。安全基礎(chǔ)設(shè)施的主要目標(biāo)就是實(shí)現(xiàn)“應(yīng)用支撐”的功能。從某種意義上說(shuō)，電力系統(tǒng)就是一個(gè)應(yīng)用支撐，它可以讓“應(yīng)用”，如烤面包機(jī)、電燈正常地工作。進(jìn)一步地講，由于電力基礎(chǔ)設(shè)施具有通用性和實(shí)用性的特點(diǎn)，使它能支撐新的“應(yīng)用”（如吹

3、風(fēng)機(jī)），而這些“應(yīng)用”在電力基礎(chǔ)設(shè)施設(shè)計(jì)的時(shí)候，還沒(méi)有出現(xiàn)。安全基礎(chǔ)設(shè)施能夠讓?xiě)?yīng)用程序增強(qiáng)自己的數(shù)據(jù)和資源的安全以及與其它數(shù)據(jù)和資源交換中的安全。怎樣使增加安全功能變得簡(jiǎn)單、易于實(shí)現(xiàn)是最有用的。甚至可以說(shuō)，使用安全基礎(chǔ)設(shè)施應(yīng)當(dāng)象將電器設(shè)備插入墻上的插座一樣簡(jiǎn)單：(1）具有易于使用、眾所周知的界面；(2)基礎(chǔ)設(shè)施提供的服務(wù)可預(yù)測(cè)且有效；證書(shū)來(lái)捆綁日的身份和公鑰，但除非A能容易地找到證書(shū)，否貝lJ和沒(méi)有創(chuàng)建證書(shū)一樣。必須存在某種魯棒的、規(guī)模

4、可擴(kuò)充的在線資料庫(kù)系統(tǒng)，以便A能找到安全通信需要的證書(shū)。所以證書(shū)私鑰丟失，這些文件將無(wú)法恢復(fù)，可能會(huì)對(duì)這次業(yè)務(wù)造成嚴(yán)重傷害甚至停止。一個(gè)解決方案是為多個(gè)接收者加密所有數(shù)據(jù)，但對(duì)于高度敏感數(shù)據(jù)，這k個(gè)方法是不可行的。一個(gè)更尸可行和通用的可接受的方法是備份并能恢復(fù)私鑰。(4)自動(dòng)密鑰更新。一個(gè)證書(shū)的有效期是有限的，這既可能是理論上的原因，諸如關(guān)于當(dāng)前非和密鑰長(zhǎng)度進(jìn)行分析的知識(shí)現(xiàn)狀，也可能是基于實(shí)際估計(jì)的因素（“我們頻繁地變換密鑰，以保證每個(gè)

5、密鑰只保護(hù)x兆字節(jié)的數(shù)據(jù)”）?？墒菬o(wú)論是什么原因，在很多戶(hù)K)環(huán)境中，一個(gè)已頒發(fā)的證書(shū)需要“過(guò)期”，以便更換新的證書(shū)，這個(gè)過(guò)程被稱(chēng)為“密鑰更新或證書(shū)更新”。絕大多數(shù)PKI用戶(hù)發(fā)現(xiàn)用手工操作的方式定期更新自己的證書(shū)是一件令人頭痛的事情。用戶(hù)常常忘記自己證書(shū)過(guò)期的時(shí)間，他們往往是在認(rèn)證失敗時(shí)才發(fā)現(xiàn)問(wèn)題，屆時(shí)顯得太晚了。除非用戶(hù)完成了密鑰更新過(guò)程，否則他們無(wú)法獲得PKI的相關(guān)服務(wù)。進(jìn)一步地講，當(dāng)用戶(hù)處于這種狀態(tài)，更新過(guò)程更為復(fù)雜，要求與CA帶

6、外交換數(shù)據(jù)（類(lèi)似于初始化過(guò)程）。解決方法是由PKI本身自動(dòng)完成密鑰或證書(shū)的更新，完全無(wú)須用戶(hù)的干預(yù)。無(wú)論是用戶(hù)的證書(shū)用于何種目的，都會(huì)檢查有效期，當(dāng)失效日期到來(lái)時(shí)，啟動(dòng)更新過(guò)程，生成一個(gè)新證書(shū)來(lái)代替舊證書(shū)，但用戶(hù)請(qǐng)求的事物處理繼續(xù)進(jìn)行。(5)密鑰歷史檔案。密鑰更新（無(wú)論是人為還是自動(dòng)）的概念，意味著經(jīng)過(guò)一段時(shí)間，每個(gè)用戶(hù)都會(huì)擁有多個(gè)“舊”證書(shū)和至少一個(gè)“當(dāng)前”的證書(shū)。這一系列證書(shū)和相應(yīng)的私鑰組成用戶(hù)的密鑰歷史檔案（可能應(yīng)當(dāng)更正確地稱(chēng)為密

7、鑰和證書(shū)歷史）。記錄整個(gè)密鑰歷史是十分重要的。因?yàn)锳自己五年前加密的數(shù)據(jù)（或其他人為A加密的數(shù)據(jù)）無(wú)法用現(xiàn)在的私鑰解密。A需要從他的密鑰歷史檔案中找到正確的解密密鑰來(lái)解密數(shù)據(jù)。類(lèi)似地，需要從密鑰歷史檔案中找到合適的證書(shū)驗(yàn)證A五年前的簽名。類(lèi)似于密鑰更新，管理密鑰歷史檔案也應(yīng)當(dāng)由PKI自動(dòng)完成。在任何系統(tǒng)中，需要用戶(hù)自己查找正確的私鑰或用每個(gè)密鑰去嘗試解密數(shù)據(jù)，這對(duì)用戶(hù)來(lái)說(shuō)是無(wú)法容忍的。PKI必須保存所有密鑰，以便正確的備份和恢復(fù)密鑰，查