PKI交叉认证互通模式概述

PKI交叉认证互通模式概

述

(天津铁路信号工厂史殿娟)

摘要：我国P K I体系正处于起步阶段，各家C A中心有待实现认证的交叉互通，为进一步走向国际奠定

基础。文章采用逐步深入的方式论述了P K I的基础技术，探讨了各种P K I信任模型的特点，并对我国 PKI交叉认证互通提出了构想，最后展现了我国PKI产业发展的美好前景。

关键词：密钥数字签名认证中心信任模型

Abstract: In China PKI system is at beginning phase and so many CA need cross authentication with each other to further realize PKI international cross authentication. The paper discusses the PKI technology principles step by step, by comparing several trust models characters, proposes the suggestion of cross authentication construction in China. At last, the author opens out fine prospects of PKI industry for us. Keywords: Secret key, Digital signature, Certificate authority, and Trust model

互联网的出现把人们从现实世界带进了网络虚拟世界，通过它可以进行各种电子活动。无论是电子商务还是电子政务，所有的网络活动面临的主要问题是如何确认各自的身份、建立相互之间的信任关系，以及如何保证数字信息传输的机密性、真实性、完整性和不可抵赖性。其中，机密性主要通过加密来实现，而其他三个方面，主要依靠数字签名和证书来完成。而数字签名和证书的一个重要实现就是PKI（公钥设施基础）。

P K I 技术是近几年涌现的一种新的安全技术。P K I 是提供公钥加密和数字签名服务的系统，采用证书管理公钥，通过第三方的可信任机构——C A 认证中心，把用户的公钥和用户的其他标识信息捆绑在一起，在互联网上验证用户的身份，从而保证信息的安全传输。它由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等基本成分共同组成。

一个机构通过采用 P K I 框架管理密钥和证书，可以建立一个安全的网络环境。一个典型、完整和有效的 P K I 应用系统至少包括 5 部分：(1) 认证中心 CA，是PKI 的核心，负责管理 PKI 结构下的所有用户（包括各种应用程序）的证书，把用户的公钥和用户的其他信息捆绑在一起，在网上验证用户的身份，C A 还要负责用户证书的黑名单登记和黑名单发布；(2) X .500 目录服务器，用于发布用户的证书和黑名单信息，用户可通过标准的 LDAP 协议，查询自己或其他人的证书和下载黑名单信息；（3）具有高强度密码算法 ( S S L ) 的安全 W W W 服务器，Secure socket layer(SSL) 协议最初由 Netscape 企业发展，现已成为网络用来鉴别网站和网页浏览者的身份，以及在浏览器使用者及网页服务器之间进行加密通信的全球化标准；（4）We b（安全通信帄台）有 Web Client 端和 Web Server 端两部分，分别安装在客户端和服务器端，通过具有高强度密码算法的 SSL 协议，保证客户端和服务器端数据的机密性、完整性和身份验证；（5）自开发安全应用系统，指各行业自开发的各种具体应用系统，例如银行、证券的应用系统等。

完整的 PKI 包括认证政策的制定（包括遵循的技术标准、各 C A 之间的上下级或同级关系、安全策略、安全程度、服务对象、管理原则和框架等）、认证规则、运作制度的制定、所涉及的各方法律关系内容以及技术的实现等。

1 PKI技术基

础

P K I 的主要目的是通过自动管理密钥和证书，为用户建立一个可信的网络运行环境，使其在无法直接面对多种应用环境下，方便地使用加密和数字签名技术。一个有效的 P K I 系统必须安全、透明，用户在获得加密和数字签名服务时，不需要详细地

铁路通信信号工程技术(RSCE) 2008年10月，第5卷第

5期

16

2 PKI 信任模型的类型及特

点 17

了解 PKI 是怎样管理证书和密钥的。

认证中心将发给用户一个数字证书，该证书内包含 1.1 加密技术

用户的个人信息和他的公钥信息，同时还附有认证 加密是为了数据在本地安全地存储 , 在网上安 中心的签名信息，用户随即可以使用自己的数字证 全地传递 , 而采取的一种数据保护的方法。加密分 书进行相关的各种活动。 为单钥密码算法和双钥密码算法。

数字证书认证中心是整个网上电子交易安全的 1.1.1 单钥密码算法（加密）

关键环节。它主要负责产生、分配并管理所有参与 又称非对称的加密算法，指加密密钥和解密密 网上交易的实体所需的身份认证数字证书。 钥为同一密钥的密码算法。信息接送双方必须共同 1.4 交叉认证 持有该密码。由于系统的保密性主要取决于密钥的

交叉认证是一种把以前无关的 C A 连接在一 安全性，所以，在公开的计算机网络上安全地传送 起的有用机制，从而使得在它们各自的主体之间的 和保管密钥是一个严峻的问题。 安全通信成为可能。交叉认证的实际构成法与一般 1.1.2 双钥密码算法（加密 签名）

证书认证相同，只是交叉认证的主体和颁发者都是 又称对称公钥密码算法 ：指加密密钥和解密密 C A ，而非终端实体。交叉认证可以是单向的，也可 钥为两个不同密钥的密码算法，用户产生一对密钥： 以是双向的。

将其中的一个向外界公开，称为公钥 ；另一个则自 己保留，称为私

钥。这两个密钥之间存在着相互依

存关系，即密钥对中任一密钥加密的信息，只能用 所谓信任模型就是一个建立和管理信任关系的

另一密钥进行解密。在通信过程中，发送方可以用 框架。在公钥基础设施中，当两个认证机构中的一 接受方的公钥对信息进行加密，只有相应接受方的 方给对方的公钥或双方给对方的公钥颁发证书时， 私钥能够对其解密，实现多个用户加密的信息只能 两者间就建立了这种信任关系。 由一个用户解读 ；发送方也可以用自己的私钥对信

信任模型描述如何建立不同认证机构之间的认 息进行签名，接受方可以用发送方的公钥验证其签 证路径，以及构建和寻找信任路径的规则。 名，实现由一个用户加密的信息而多个用户解读。 2.1 对等模型

前者可用于数字加密，后者可用于数字签名。 建立信任的两个认证机构不是从属关系，而是 1.2 数字签名

点对点的对等关系。它们既是被验证的主体，又是 数字签名是不对称加密算法的典型应用。其过 进行验证的客体。

程是，数据源发送方使用自己的私钥对数据校验和 2.2 网状模型 其他与数据内容有关的变量进行加密处理，完成对 网状信任模型可以看成是对等信任模型的扩充， 数据的合法“签名”，数据接收方则利用对方的公钥 没有明确的信任中心。网状结构中包含多个 C A 提 来解读收到的“数字签名”；并将解读结果用于对数 供 P K I 服务，C A 连接成网状。网状模型的交叉认 据完整性的检验，以确认签名的合法性。 证必须在独立的 C A 之间进行，在这种模型中，一 1.3 数字证书和认证中心

个独立的 C A 可以与一个已经存在的独立的 C A 之 数字证书也称为”Di g i t a l ID ”，它等效于一张 间，根据业务需要建立和撤消交叉认证关系，并且 数字

身份证。数字证书提供了一种在 I n t e r n e t 上身

它们之间的地位相互帄等，保证每个 C A 的用户通 份验证的方式，是用来标识和证明通信双方身份的 过交叉认证证书来信任另外一个 C A 的用户，从而 数字信息文件，其功能与日常生活中的身份证相似。 实现信任的扩展和互通。 它是由一个权威机构——C A 证书授权中心发行的。

网状模型的优点 ：由于具有多个信任点，非常 数字证书颁发过程一般为 ：用户首先产生自己的密 灵活，单个 C A 安全性的削弱不会影响到整个 P K I 钥对，并将公共密钥及部分个人身份信息传送给认 域的运行。其缺点 ：由于存在多条信任路径，使路 证中心。认证中心在核实身份后，将执行一些必要 径发现较为困难 ；当 C A 数量增多时，有可能建立 的步骤，以确信请求确实由用户发送而来，然后，

一个无止境的证书环路。

No.5 史殿娟：PKI 交叉认证互通模式概述