证书的策略路在何方.docVIP

证书的策略路在何方 　　电子认证产业 　　需要新动力 　　自2005年《电子签名法》发布之后，经过5年的时间，我国电子认证产业逐步从初期阶段进入技术成熟期。但是，电子认证产业作为信息领域重要的基础设施，其发展规模、用户规模、市场规模、应用规模等方面尚未形成集团优势，区域化、行业化、政府化造成了电子认证产业的服务职能未能充分体现和被广大用户普遍接受，使得我国电子认证产业的发展进入平台期，即用户数量和应用模式不能持续快速增长和扩展，市场没有得到充分挖掘。 　　究其原因，我国电子认证产业发展在服务职能上还仅仅局限于提供身份认证的电子认证初级阶段。作为一个电子认证的用户，仅知道某人的公钥是什么还很不够，因为该公钥可能是仅用于测试的，也可能仅用于访问网络，也可能用于电子交易并有10万元担保。一个完整的电子认证基础设施是网络信任体系的重要组成部分，它不仅应该证明公钥是什么，还应该将该公钥的安全属性告诉用户（包括法律担保等信用信息），指导应用程序的开发商和证书用户正确地使用证书。 　　目前，我国的电子认证企业都没有在证书中提供证书策略的说明，即在证书中不说明该公钥可以在什么场景下、适用于什么样的安全需求。同时，各电子认证企业发放证书的安全措施，包括系统、管理、发放流程等也存在一定差距。缺乏统一策略、安全程度的不一致，导致了证书应用单位的许多困惑，也阻扰了电子证书的跨区域、跨行业应用。由于电子认证企业（CA）所证明的密钥安全等级不一致，用户在使用证书的时候就很难规范化，应用程序也没有办法获得相关安全信息，无法自动地进行证书选择。 　　缺少证书策略的指导，不仅给用户使用证书带来了诸多困难，也成为证书推广和跨行业应用的障碍，已经成为依赖电子认证的电子商务系统、电子政务系统的互联互通进程中必须解决的一个问题。 　　 　　证书策略推动技术进步 　　建设PKI的意义在于把PKI的服务推广到各种应用系统中，从而成为一种基础设施。应用系统的多样性以及应用系统对安全需求的多样性，要求PKI提供安全服务也满足这样的多样性。因此，PKI技术和证书应用要想普及，就应该有一个针对多样性的解决方案，以满足各种应用系统的安全需求。证书策略和证书策略体系正是解决上述问题的关键技术。 　　证书策略就是这样一个数据,它是数字证书中的一个标志，是用户安全等级和应用范围的一个说明，它表明了公钥所对应用户的安全属性，可以指导应用程序的开发商或证书的依赖方识别证书的安全级别，以便正确使用该证书。 　　通过制定不同的证书策略，可以规范证书质量，其基础是对CA机构进行的评估和认定。采用科学而规范的方法，依照不同层次的证书策略要求，对认证机构进行不同安全要求的评估和认定，才能保证不同证书策略的有效实施，确保数字证书的质量，才能使证书策略能够行之有效，促进我国电子认证业发展，使我国的认证机构达到国际认可的标准。 　　 　　证书策略体系设计 　　在考虑我国的证书策略体系设计之前，首先必须有一个适当的规划方法。应该按照如下步骤来设计我国的证书策略体系：首先，探索证书策略体系构建的科学方法；其次，明确我国证书策略体系的适用范围；之后，提出适合现阶段我国国情的证书策略体系设计。 　　证书策略体系设计不可能面面俱到，只能做到尽量合理，只要保证设计的CP（证书策略）能够适用于尽可能多的用户，同时又能控制实施CP的成本，即可以认为该设计是合理和可操作的。 　　1. 证书策略空间的概念 　　构成证书策略的内容要素是制定证书策略分类分级的主要依据，但是由于要素内容多而且复杂，需要特定的方法提取出主要的要素，以及这些要素可能的取值。由此，我们提出证书策略空间定义和剪裁的概念和方法，并依据该方法来设计我国的证书策略体系。 　　首先，证书策略是一个多维空间，每个维度代表一个证书策略要素，而每个维度上的坐标值代表了这个要素的一个具体取值。由于影响证书策略划分的因素很多，证书策略空间就会变成一个超级复杂的多维空间。维度的划分是证书策略空间的核心问题。而且，在这个多维证书策略空间中选择合适的证书策略也是十分困难的，因此必须根据应用需要做出剪裁。（见图1） 　　CP设计中需要注意和考虑的方面如图2所示。 　　 　　可以通过以下四个独立维度来划分CP： 　　#8226;证书持有人的自身属性（Property，P）； 　　#8226;证书申请和审核过程中的严格程度（Certification，C）； 　　#8226;证书持有人的私钥安全保护程度（Security Environment，S）； 　　#8226;应用场景对证书信息的需求（Information，I）。 　　每个维度又可以划分为不同的级别（或者类别），见图3。 　　 　　2.证书策略体系 　　目前，证书主