16公钥基础设施PKI和授权管理基础设施PMI.pdfVIP

16公钥基础设施

PKI和授权管理基

础设施PMI

5.3公钥基础设施PKI和授权管

理基础设施PMI

公开密钥基础设施PKI

•PKI（PublicKeyInfrastructure）是一个用公钥

概念与技术来实施和提供安全服务的具有普适性

的安全基础设施。

•PKI的主要任务是在开放环境中为开放性业务提供

网上身份认证、信息完整性和数字签名服务。

•PKI是一种标准的密钥管理平台，它能够为所有网

络应用透明地提供采用加密和数据签名等密码

务所必须的密钥和证书管理。

•PKI是生成、管理、存储、分发和吊销基于公钥

密码学的公钥证书所需要的硬件、软件、人员、

策略和规程的总和。

PKI的主要功能

§从功能上讲，一个完整的PKI系统必须具备如下一些主要功能：

密钥和证书的生成

交叉认证证书发放

密钥备份和恢复

支持不可抵赖服务

证书存储/目录服务

证书废密钥更新

时间戳

PKI的构成

§从总体上讲，PKI由如下四个方面的部件构成：

PKI的应用

认证中心CA注册机构RA

认证中心CA注册机构RA证书发布系统

证书发布系统

PKI策略软硬件系统

•PKI中的可信第三方——证书认证中心（CA），

可以解决无边界用户的身份确定问题，提供了信

任的基础。因此基于Internet的应用需要PKI。

•PKI作为一种支撑性基础设施，其本身并不能直接

为用户提供安全服务，但PKI是其他安全应用的

基础。

PKI基本组成

PKI由以下几个基本部分组成：

–证书库

–证书作废处理系统

–认证机构（CACertificateAuthority)

–注册机构（RARegistrationAuthority）

–密钥备份与恢复系统

–PKI应用接口

PKI基本组成

注册机构（RA）

•负责记录和验证部分或所有有关信息（特别是主

体的身份），这些信息用于CA发行证书和CLR以

及证书管理中。

•认证机构与其用户或证书申请人间的交互是由被

称为注册机构(RA)的中介机构来管理；

•注册机构本身并不发放证书，但注册机构可以确

认、批准或拒绝证书申请人，随后由认证机构给

经过批准的申请人发放证书。

PKI中的证书

•PKI适用于异构环境中，所以证书的格式在

所使用的范围内必须统一

•证书是一个机构颁发给一个安全个体的证明，

所以证书的权威性取决于该机构的权威性

•一个证书中，最重要的信息是个体名字、个

体的公钥、机构的签名、算法和用途

•最常用的证书格式为X.509v3

PKI的构建

•自建模式(In-houseModel)是指用户购买整套的

PKI软件和所需的硬件设备，按照PKI的构建要求

自行建立起一