公共密钥体系通向因特网安全交易跟路何为pki技术？当今社.pdfVIP

公共密钥体系 通向因特网安全交易之路 何为 PKI 技术？ 当今社会，电子邮件及电子商务的蓬勃发展, 对人们提出了如何安全进行信息交换的巨大挑战，而这 又最终导致了构成 PKI 的部件以及相关程序将变得日益重要，如数字签名或不同的加密机制。PKI 一词被 解释成为是一种框架体系，通过它，因特网上的用户可实现安全信息数据的交换，满足商务对保密性，完 整性，真实性及不可否认性的安全需求，其构成主要包括硬件，软件，人员，指导原则及方法。 那么，PKI 是如何实际进行操作的呢？通过公开密钥进行加密的信息保证了只有特定的收件人才能读 取，而此收件人只有通过使用相应的私有密钥才能完成对此信息的解密，信息的私密性则可通过 PKI 的特 定程序来实行保护。公钥加密(或非对称)算法的好处在于，通过使用密钥对，即一个私钥和一个公钥，可 以解决对称算法无法解决的不可否认性的问题。这两个密钥彼此之间有着数学联系。 数字签名一方面确保 了文件只能够被送到特定的收件人（即真实性和有效性），另一方面，排除了文件在网上传送途中被任意篡 改的可能（即完整性）。数字签名是由输入相应的 PIN 启动的，并由存储在智能卡上的私钥自动计算生成。 这包括一系列计算过程，首先计算邮件文字的哈什值，再通过私钥对哈什值进行加密，之后被加密的哈什 值即数字签名与原文一起发出，通过发送人的公开密钥，特定的收件人就可以对数字签名进行解密了。邮 件原文的哈什值在收件人的 PC 机中同样也要进行运算，然后与解密后的进行对比，如果完全匹配，收件 人则可以完全信赖信息的完整性和真实性。发件人的公开密钥是通过认证中心-PKI 的核心部分取得的。 PKI 的构成要素及功能主要包括下列几方面： 1. 安全策略 安全策略确立和定义了对于安全信息，机构的最高层指导和使用加密算法的过程和原则。通常，它包 括机构关于如何管理密钥和有价值信息的声明，并且设立与风险的级别相匹配的安全级别。 证书的实行声明(CPS) 一些 PKI 系统由商业证书认证权威(CCA)或可信的第三方操作，因而需要证书实行声明 CPS 。CPS 是 一个详细的文档，包括在实际应用中如何执行和维持安全方针。它包括下列说明：如何建立和执行 CA ；如 何发行、接受和废除证书；如何生成、注册和鉴定密钥，以及确立证书的存放位置和如何让用户使用。 2. 证书认证中心 (CA) CA 系统是一个值得信赖的 PKI 的中心，它在公钥的整个生命周期 中管理公钥的证书。CA 执行下述工作： △ 发放带有数字签名的证书，并将用户或系统的身份和公钥结合起来 △ 确定证书使用期限 △ 必要时，通过发布废除证书列表(CRL)来确保证书的废除 贯彻 PKI 时，机构可以启动自身的 CA 体系或使用商业的 CA 服务 体系，也可以借助于可信的第三方。 3. 证书注册中心 (RA) RA 提供用户和 CA 之间的联系。它认证用户身份并且按 CA 要求递交证书申请。 4. 证书的分发系统 证书分发的方式依赖于 PKI 环境的结构，例如：通过用户自身，或通过姓名地址录分发。姓名地址录 或是已经存在于机构中或者作为 PKI 解决方案的一部分而被提供。 5. PKI 的应用 PKI 是一种达到目标的方式，借助于提供的安全框架体系，PKI 的应用可安全地配置以实现最终利益。 △ 网络服务器和浏览器间的通信 △ 电子邮件 △电子数据交换( Electronic Data Interchange，EDI) △通过 Internet 的信用卡交易 △虚拟专用网(Virtual Private Networks，VPNs) 智能卡在 PKI 体系中的应用及发展 智能卡的作用与应用领域 PKI 技术和智能卡之间的关系在于私有密钥的存储和第三方认证机构 所颁发的数字证书的存储可以在极为安全的智能卡上实现。虽然现在有很 多人都把私有密钥和数字证书存储在计算机的硬盘当中，但出于安全的考 虑，将私有密钥和数字证书存储在智能卡上则会更好。这样