PKI基础及应用

miaoluck

一：PKI基础
　　PKI(Pubic Key Infrastructure)是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范。用户可利用PKI平台提供的服务进行安全通信。
　　使用基于公钥技术系统的用户建立安全通信信任机制的基础是：网上进行的任何需要安全服务的通信都是建立在公钥的基础之上的，而与公钥成对的私钥只掌握在他们与之通信的另一方。这个信任的基础是通过公钥证书的使用来实现的。公钥证书就是一个用户的身份与他所持有的公钥的结合，在结合之前由一个可信任的权威机构CA来证实用户的身份， 然后由其对该用户身份及对应公钥相结合的证书进行数字签名，以证明其证书的有效性。
　　PKI基础设施采用证书管理公钥，通过第三方的可信任机构——认证中心，把用户的公钥和用户的其他标识信息捆绑在一起，在Internet网上验证用户的身份。PKI基础设施把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的安全传输。
　　从广义上讲，所有提供公钥加密和数字签名服务的系统，都可叫做PKI系统，PKI的主要目的是通过自动管理密钥和证书，可以为用户建立起一个安全的网络运行环境，使用户可以在多种应用环境下方便的使用加密和数字签名技术，从而保证网上数据的机密性、完整性、有效性，数据的机密性是指数据在传输过程中，不能被非授权者偷看；数据的完整性是指数据在传输过程中不能被非法篡改；数据的有效性是指数据不能被否认。一个有效的PKI系统必须是安全的和透明的，用户在获得加密和数字签名服务时，不需要详细地了解PKI是怎样管理证书和密钥的，一个典型、完整、有效的PKI应用系统至少应具有以下部分：
　　公钥密码证书管理。
　　黑名单的发布和管理。
　　密钥的备份和恢复。
　　自动更新密钥。
　　自动管理历史密钥。
　　支持交叉认证。
　　由于PKI基础设施是目前比较成熟、完善的Internet网络安全解决方案，国外的一些大的网络安全公司纷纷推出一系列的基于PKI的网络安全产品，如美国的Verisign, IBM ,加拿大的Entrust、SUN等安全产品供应商为用户提供了一系列的客户端和服务器端的安全产品，为电子商务的发展以及政府办公网、EDI等提供了安全保证。简言之，PKI(Public Key Infrastructure)公钥基础设施就是提供公钥加密和数字签名服务的系统，目的是为了管理密钥和证书，保证网上数字信息传输的机密性、真实性、完整性和不可否认性。
　　二：PKI应用
　　1．单钥密码算法（加密）
　　单钥密码算法，又称对称密码算法：是指加密密钥和解密密钥为同一密钥的密码算法。因此，信息的发送者和信息的接收者在进行信息的传输与处理时，必须共同持有该密码（称为对称密码）。在对称密钥密码算法中,加密运算与解密运算使用同样的密钥。通常,使用的加密算法比较简便高效,密钥简短,破译极其困难；由于系统的保密性主要取决于密钥的安全性,所以，在公开的计算机网络上安全地传送和保管密钥是一个严峻的问题。
　　2．双钥密码算法（加密、签名）
　　双钥密码算法，又称公钥密码算法：是指加密密钥和解密密钥为两个不同密钥的密码算法。公钥密码算法不同于单钥密码算法，它使用了一对密钥：一个用于加密信息，另一个则用于解密信息，通信双方无需事先交换密钥就可进行保密通信。其中加密密钥不同于解密密钥,加密密钥公之于众,谁都可以用；解密密钥只有解密人自己知道。这两个密钥之间存在着相互依存关系：即用其中任一个密钥加密的信息只能用另一个密钥进行解密。若以公钥作为加密密钥，以用户专用密钥（私钥）作为解密密钥，则可实现多个用户加密的信息只能由一个用户解读；反之，以用户私钥作为加密密钥而以公钥作为解密密钥，则可实现由一个用户加密的信息而多个用户解读。前者可用于数字加密，后者可用于数字签名。
　　在通过网络传输信息时，公钥密码算法体现出了单密钥加密算法不可替代的优越性。对于参加电子交易的商户来说，希望通过公开网络与成千上万的客户进行交易。若使用对称密码，则每个客户都需要由商户直接分配一个密码，并且密码的传输必须通过一个单独的安全通道。相反，在公钥密码算法中，同一个商户只需自己产生一对密钥，并且将公开钥对外公开。客户只需用商户的公开钥加密信息，就可以保证将信息安全地传送给商户。