為解決因特網(wǎng)安全問(wèn)題，世界各國對其進(jìn)行了多年的研究，初步形成了一套完整的因特網(wǎng)安全解決方法，即PKI技術(shù)（Public Key Infrastructure，公鑰基礎設施）。
廣義的講，所有提供公鑰加密和數字簽名服務(wù)的系統，都可以叫做PKI系統。主要目的是通過(guò)自動(dòng)管理密鑰和證書(shū)，為用戶(hù)建立起一個(gè)安全的網(wǎng)絡(luò )運行環(huán)境。
PKI技術(shù)的信任服務(wù)
PKI以公開(kāi)密鑰技術(shù)為基礎，以數據的機密性、完整性和不可抵賴(lài)性為安全目的而構建的認證、授權、加密等硬件、軟件的綜合設施。在電子商務(wù)和電子政務(wù)中，最需要的安全保證包括4個(gè)方面：身份標識和認證、保密或隱私、數據完整性和不可否認性。PKI可以提供上面4個(gè)保障：
1．認證
在大規模網(wǎng)絡(luò )中，兩兩進(jìn)行協(xié)商幾乎是不可能的。透過(guò)一個(gè)密鑰管理中心來(lái)協(xié)調也會(huì )有很大的苦難。
PKI通過(guò)證書(shū)進(jìn)行認證，認證時(shí)對方知道是，但卻無(wú)法知道為什么是。在這里，證書(shū)是一個(gè)可信的第三方證明，通過(guò)它，通信雙方可以安全地進(jìn)行互相認證，而不用擔心對方是假冒的。
2．支持密鑰管理
保證在全社會(huì )范圍內頭功全面的密鑰恢復和管理能力，保證網(wǎng)上活動(dòng)的健康有序發(fā)展。
3．完整性和不可否認
一般來(lái)說(shuō)，完整性也可以通過(guò)雙發(fā)協(xié)商的一個(gè)秘密來(lái)解決，但一方有意抵賴(lài)時(shí)，這種完整性就無(wú)法接受第三方的仲裁。而PKI提供的完整性是可以通過(guò)第三方仲裁的，并且這種仲裁的完整性是通信雙發(fā)都不可否認的。例如，小張發(fā)送一個(gè)合約給老李，老李可以要求小張進(jìn)行數字簽名，簽名后合約的有效性不僅老李可以完整其完整性，其他人也可以驗證該合約確實(shí)是小張簽發(fā)的。而所有人，包括老李，都沒(méi)有模仿小李簽署這個(gè)合約的能力。“不可否認”就是通過(guò)這樣的PKI數字簽名機制來(lái)提供服務(wù)的。
PKI標準
1.X.209(1988)
2.X.500(1993)
一套已經(jīng)被國際標準化組織接受的目錄服務(wù)系統標準，定義了一個(gè)機構如何在全局范圍內共享其名字和與之相關(guān)的對象。X.500是層次性的。在PKI體系中，X.500被用來(lái)唯一的標識一個(gè)實(shí)體，該實(shí)體可以是機構、組織、個(gè)人或一臺服務(wù)器。
3.X.509(1993)
國際電信聯(lián)盟指定的數字證書(shū)標準。在X.500確保用戶(hù)名稱(chēng)唯一性的基礎上，X.509為X.500用戶(hù)名稱(chēng)提供了通信實(shí)體的鑒別機制，并規定了實(shí)體鑒別過(guò)程中廣泛使用的證書(shū)語(yǔ)法和數據接口。
4.PKCS系列標準
5.OCSP在線(xiàn)證書(shū)狀態(tài)協(xié)議
6.LDAP輕量級目錄訪(fǎng)問(wèn)協(xié)議
LDAP簡(jiǎn)化了笨重的X.500目錄訪(fǎng)問(wèn)協(xié)議，并且在功能性，數據表示，編碼和傳輸方面都進(jìn)行了相應的修改。
除了上述協(xié)議外，還有一些構建在PKI體系上的應用協(xié)議，這些協(xié)議時(shí)PKI習題在應用和普及化方面的代表作，包括SET協(xié)議和SSL協(xié)議。
PKI組成
一個(gè)標準的PKI域必須具備以下內容，認證機構（CA）、證書(shū)和證書(shū)庫、密鑰備份和恢復、密鑰和證書(shū)的更新、證書(shū)歷史檔案、客戶(hù)端軟件、交叉認證。
CA是PKI的核心機構，CA主要包括以下職責：
l 驗證并標識證書(shū)申請者的身份。對申請者的信用度、申請目的,身份的真實(shí)可靠性等進(jìn)行審查，確保證書(shū)與身份的正確性
l 確保CA用于簽名證書(shū)的非對稱(chēng)密鑰的質(zhì)量和安全性
l 管理證書(shū)資料
由此可見(jiàn)，CA是保證電子商務(wù)、電子政務(wù)、網(wǎng)上銀行、網(wǎng)上證券等交易的權威性、可信任性和公正性的第三方機構。
證書(shū)和證書(shū)庫：證書(shū)是數字證書(shū)或電子證書(shū)的簡(jiǎn)稱(chēng)，它符合X.509標準，是網(wǎng)上實(shí)體身份的證明。證書(shū)是由具備權威性、可信任性和公正的第三方機構簽發(fā)的，因此，它是權威性的電子文檔。
數字證書(shū)
為了保證網(wǎng)上數字信息的傳輸安全，除了在通信傳輸中采用更強的加密算法等措施之外，必須建立一種信任及信任驗證機制，即參加電子商務(wù)的各方必須有一個(gè)可被驗證的標識，這就是數字證書(shū)。
數字證書(shū)的結構
數字證書(shū)的作用
數字證書(shū)一段包含用戶(hù)身份信息，用戶(hù)公鑰信息以及身份驗證機構數字簽名的數據，是一個(gè)勁CA數字簽名的包含公開(kāi)密鑰擁有者信息以及公開(kāi)密鑰的文件。
在電子交易的各個(gè)環(huán)節，交易的各方都需要驗證對方數字證書(shū)的有效性，從而解決相互間的信任問(wèn)題。用戶(hù)公鑰信息可以保證數字信息傳輸的完整性。用戶(hù)的數字簽名可以保證數字信息的不可否認性。
----------------------------------------------------------------------------------------------------
證書(shū)實(shí)際對于非對稱(chēng)加密算法（公鑰加密）來(lái)說(shuō)的，一般證書(shū)包括公鑰、姓名、數字簽名三個(gè)部分。證書(shū)好比身份證，證書(shū)機構（ca）就好比是公安局，職責就是負責管理用戶(hù)的證書(shū)也就是身份證。
比如我的公鑰是FrankKey,姓名是Frank Xu Lei。公安局可以給我登記，但是怎么保證我和別的Frank Xu Lei區別開(kāi)呢，于是公安局（證書(shū)機構）就使用我的名字和密鑰做了個(gè)組合，再使用一種哈希算法，得出一串值，來(lái)標識我的唯一性，這個(gè)值就是我的身份證號碼，也就是證書(shū)里的數字簽名。
假設一個(gè)朋友給我寫(xiě)信，他就可以到公安局（證書(shū)機構）來(lái)查找我的身份證（證書(shū)）。上面包括我的個(gè)人信息，可以保證這個(gè)公鑰就是我的。然后他把新建進(jìn)行加密，郵寄給我。別人即使拆開(kāi)我的信件，因為沒(méi)有密鑰進(jìn)行解密，所以無(wú)法閱讀我的信件內容。這樣就保證了信息安全。
所以說(shuō)加密不一定要證書(shū)，取決于你數據安全具體的需求。一般大型的電子商務(wù)網(wǎng)站都有自己特定的證書(shū)。證書(shū)管理的機構比較有名的就是VeriSign（可以說(shuō)是互聯(lián)網(wǎng)上的身份證管理局）。企業(yè)可以申請注冊，它會(huì )給申請者生成特定的簽名。
我們自己的企業(yè)內部應用如果需要的話(huà)，可以在企業(yè)局域網(wǎng)內部建立企業(yè)私有的證書(shū)服務(wù)器，來(lái)產(chǎn)生和管理證書(shū)。
其實(shí)X.509是由國際電信聯(lián)盟（ITU-T）制定的一種定義證書(shū)格式和分布的國際標準(相當于制作身份證的規范)。為了提供公用網(wǎng)絡(luò )用戶(hù)目錄信息服務(wù)，并規定了實(shí)體鑒別過(guò)程中廣泛適用的證書(shū)語(yǔ)法和數據接口， X.509 稱(chēng)之為證書(shū)，或者說(shuō)是身份證的一種形式，類(lèi)似與我們現在的二代身份證，也是身份證的一種，根據特定的標準制作出來(lái)的。 另外證書(shū)使用的時(shí)候還有有效期的限制，和我們的身份證的10年有效期一樣。證書(shū)也可以設置有效期。
數字簽名:
1.數據 = 張三 男 18歲
2.張三 私鑰加密的數據 發(fā)給 李四
3.李四收到私鑰加密的數據 并用公鑰解密
李四現在看到數據的內容了,他知道對方是 張三 男 18 歲,就算是中途被人截取到了,并且用公鑰解密了,看到了他的真實(shí)內容（其實(shí)數字簽名只是摘要，看到真實(shí)內容也沒(méi)用。內容是加密過(guò)的，用對方的公鑰加密，只能用對方的私鑰去解密）,但是因為其他人沒(méi)有張三的私鑰,所以他們也沒(méi)有辦法修改并發(fā)給李四,即使他們把張三改為張大,但是他們無(wú)法重新加密了,李四也不會(huì )收到錯誤的信息.
那么現在李四仙子已經(jīng)知道數據是張三本人發(fā)來(lái)的,但是他們又不熟悉,要是張三是皮包公司那要怎么辦呢?我怎么相信他呢?所有就有了數字證書(shū),就像是身份證一樣的.如果張三是良好社會(huì )市民的話(huà),他就會(huì )到市政府去辦身份證,市政府合適情況后會(huì )給張三一個(gè)身份證用來(lái)同意他是好人.上面寫(xiě)著(zhù) 張三 男 18歲 + $!&$#!@(市政府用政府的私鑰對 張三 男 18歲 加密后的數據) .以后張三就可以出去亂搞了.因為他有身份證了,并且身份證上有市政府的蓋章(數字簽名),其他人沒(méi)法偽造這個(gè)章的,道理同上,不廢話(huà)了!李四這個(gè)時(shí)候就可以用政府的公鑰解密$!&$#!@ 如果解出來(lái)的數據確實(shí)是 張三 男 18歲(跟身份證上的一樣)就會(huì )放心的同他交易了!
聯(lián)系客服
