4.5.1 PKI认证平台保障
PKI(Public Key Infrastructure)即“公钥基础设施”，主要是指以公开密钥技术为基础，以数据机密性、完整性、身份认证和行为的不可抵赖性为安全目的来实施和提供安全服务的具有普适性的安全基础设施。它是国家信息安全基础设施(National Information Security Infrastructure NIS)的重要组成部分。
1.PKI的组成
PKI主要由认证机构、证书库、密钥备份及恢复系统、PKI应用系统、证书撤销处理系统等部分组成。
(1)认证机构。认证机构通常被称为认证中心，即CA(Certificate Authority)，是PKI的核心执行机构，也是PKI的主要组成部分。CA的主要职责包括:第一是验证并标识证书申请者的身份。对证书申请者的信用度、申请证书的目的、身份的真实可靠性等问题进行审查，确保证书与身份绑定的正确性。第二是确保CA用于签名证书的非对称密钥的质量和安全性。第三是管理证书信息资料。管理证书序号和CA标志，确保证书主体标志的唯一性，防止证书主体名字的重复。在证书的使用过程中确定并检查证书的有效期，保证不使用过期或已作废的证书，确保网上交易的安全。CA是通过对数字证书的签发、管理、认证等各种活动来实现主体的身份以及它对公钥的匹配关系的一个可信机构。
(2)证书库。它是CA颁发证书和撤销证书的集中存放地，是网上的公共信息库，可供公众进行开放式查询。一般来说，查询的目的有两个:一是想得到与其通信实体的公钥，二是要验证通信对方的证书是否已被加入“黑名单”。
(3)密钥备份及恢复。它是密钥管理的主要内容，用户可能会由于某些原因将解密数据的密钥丢失，导致已被加密的密文无法解开而提供的密钥备份与密钥恢复。当用户证书生成时，加密密钥即被CA备份存储;当需要恢复时，用户只需向CA提出申请，CA就会为用户自动进行恢复。
(4)PKI应用系统。它是使加密、数字签名等各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保所建立起来的网络环境的可信性，同时降低管理维护成本的一种应用接口系统。
(5)证书撤销处理系统。它是在用户身份姓名变更、私钥被窃或泄露、用户与其所属机构关系的变更等因素引起已签发证书作废时，警告其他用户不要再使用这个公钥的机制。
2.PKI的管理
PKI的管理可分为密钥管理和证书管理两部分，如图4-5所示。
图4-5 PKI管理框架示意图
(1)密钥管理。密钥管理主要指对密钥的安全管理。密钥管理的功能主要包括以下方面:
一是密钥产生。密钥可由用户自己产生，也可由CA产生。
二是密钥备份及恢复。用户可能会由于某些原因遗忘密钥的保护口令，导致已被加密的密文无法解开。应用户或有关部门的要求，对某些加密数据进行检查(密钥的托管)或恢复加密密钥时，CA可为用户自动进行恢复。
三是密钥更新。一个证书的有效期是有限的，因为在实际应用中长期使用同一个密钥会有被破译的危险，所以为了保证安全，证书和密钥必须有一定的更换频度。为此，PKI对已发的证书必须有一个更换措施，这个过程称为密钥更新或证书更新。
(2)证书管理。它主要包括策略批准、证书签发、证书发布、证书归档、证书撤销等几个方面。
策略批准。在实现认证操作之前，必须生成各种认证策略来指导认证过程。策略主要包括操纵策略和签发策略:操纵策略即阐明有关个人、设备和应用事情;签发策略即检查用于签发证书的准则。
证书签发。证书签发需要以下步骤:检查公开密钥信息的正确性;计算公开密钥信息的签名;签名与公开密钥信息一起生成证书;CA在证书签发过程中的行为是被记录的。
证书发布。签发后的证书将被放在数据库中，以便第三方或证书用户访问。同时数据库应该有各种访问控制，以便证书等数据的安全存储。
证书归档。数字签名文档的有效期比证书有效期要长，为了确保失效的证书可以继续访问，就必须对证书、证书撤销表等数据进行长期有效归档。
证书撤销。证书撤销主要涉及以下几方面:一是撤销证书的归档，无论证书是过期还是被撤销的，旧证书的拷贝应由可信的第三方保留一段时间，时间长度由具体情况来加以确定;二是撤销证书的公布，CA维护并定期发布证书撤销列表，让用户利用下载或在线查询证书状态来了解证书撤销的情况。
3.PKI服务
PKI提供的服务可分为核心服务和附加服务。
(1)核心服务。它一般有三个:一是认证服务，主要向用户提供基于身份认证的信任服务，以解决电子政务应用系统环境中实体身份的认证问题。也就是向一个实体确认另一个实体确实是自己，即身份识别与鉴别;二是完整性服务，就是确认数据在传播或是在存储过程中经过检查没有被偶然地或蓄意地添加、删除、伪造、修改、乱序、重放等破坏和丢失;三是保密性服务，就是指网络信息不被泄露给非授权的用户，也就是要确保数据的秘密，确保数据除了接受者无人能解读数据的关键部分。
(2)附加服务。它也被称为PKI支撑服务，通常建立于PKI核心服务之上，一般包括:一是不可否认服务，是指从技术上保证他们行为的诚实性，保护信息的接收方防止发送人否认已发出信息，保护信息的发送方防止接收方否认已收到信息等。也就是说对数据来源的不可否认、对数据接收行为的不可否认等;二是公证服务，其含义是“数据认证”，CA机构中的公证人通过一定的验证方式来证明数据的有效性或者真实性;三是可信时间戳服务[2]，主要是通过PKI技术系统提供精确可信的时间戳服务，以确认系统处理数据在某一时间(之前)的存在性及相关操作的相对时间顺序，为实现系统数据处理的抗抵赖性提供基础。可信时间戳服务基于全网统一的时间基准，可以防止网络欺诈行为，保证电子政务系统不致出现混乱。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
