PKI技术及其在信息安全中的应用

１２３９
网络通讯与安全
３．４ 支持多种操作系统 ＰＫＩ 应该支持目前广泛使用的各种操作系统， 如 Ｗｉｎｄｏｗｓ， Ｕ－ ｎｉｘ 操作系统等。 ３．５ 支持多种应用 ＰＫＩ 是一种支持多种操作系统的安全基础设施， 要求能够为 文件传输、电子邮件、Ｗｅｂ 等应用提供安全服务。
４ 数字证书
数字证书亦称 ＣＡ 证书， 属于商用密码管理范畴。经国家有关 部门批准的数字证书认证机构所签发的数字证书具有权威性， 可 广泛应用于各类用户进行网上信息交流， 开展电子商务和电子政 务外网活动。数字证书认证运用国际上通用的且非常成熟的 ＰＫＩ 密 码 技 术 进 行 信 息 加 密 和 解 密 、数 字 签 名 和 身 份 认 证 ， 保 证 网 络 中传输信息的保密性、可靠性、完整性和不可抵赖性。通俗 地 讲 ， 数字证书相当于网络身份证， 可对网络用户进行真实身份的识别 和验证， 对网上传输的信息进行加密和保护， 并保证网络作业操 作 具 有 不 可 否 认 性 。数 字 证 书 认 证 还 可 以 为 应 用 系 统 提 供 授 权 管 理的可靠放的地方， 是网上的一种公共信息库， 提供公众查询。 ２．３ 密钥备份及恢复系统 为 了 避 免 丢 失 用 于 解 密 的 密 钥 ， ＰＫＩ 提 供 了 备 份 和 恢 复 解 密
密钥的机制， 对用户的解密密钥进行备份， 当丢失时进行恢复， 而 签名密钥不能备份和恢复。
２ Ｐ ＫＩ 的组成
ＰＫＩ 是一种遵循标准的密钥管理系统或安全平台， 它能为所 有的网络应用透明地提供公钥加密和数字签名等密钥服务所必 须的密钥和证书管理， 从而建立一个安全的网络通信环境。
ＰＫＩ 主要包括五部分： ２．１ 认证机构 ＣＡ（ Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ） ＣＡ 是证书的签发机构， 是 ＰＫＩ 的核心， 是 ＰＫＩ 应用中权 威 的、可信任的、公正的第三方机构。从广义上讲， 认证机构 还 应 该 包括证书申请注册机构 ＲＡ（ Ｒｅｇｉｓｔｒａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ） ， 它是数字证书 的申请注册、证书签发和管理机构。概括地说， ＣＡ 的功能有： 证书 发放、证书 更 新 、证 书 撤 销 、证 书 验 证 、证 书 查 询 和 证 书 归 档 。ＣＡ 的核心功能就是发放和管理数字证书。 ２．２ 证书和证书库 证书是数字证书或 电 子 证 书 的 简 称 ， 它 符 合 Ｘ．５０９ 标 准 ， 是 网上实体身份的证明。证书是由具备权威性、可信任性 和 公 正 性 的第三方机构签发的， 因此， 它是权威性的电子文档。证书库是证
关键词： ＰＫＩ； 数字签名； 公钥； 私钥； 加密； 电子商务； ＣＡ 中图分类号： ＴＰ ３０９ 文献标识码： Ａ 文章编号： １００９－ ３０４４（２００７）１１－ ２１２３９－ ０２
Ｐ ＫＩ Ｔｅｃｈｎｏｌｏｇｙ ａｎｄ Ａｐｐｆｉｃａｔｉｏｎ ｉｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｓ ｅｃｕｒｉｔｙ ＪＩＡＮＧ Ｘｉｕ－ ｊｉａｎｇ
（Ｃｏｌｌｅｇｅ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｉｅｎｃｅ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ， Ｘｉｎｊｉａｎｇ Ｕｎｉｖｅｒｓｉｔｙ， Ｕｒｕｍｑｉ ８３００４６， Ｃｈｉｎａ） Ａｂｓ ｔｒａｃｔ：Ｔｈｅ ｐｕｂｌｉｃ ｋｅｙ ｉｎｆｒａｓｔｒｕｃｔｕｒｅ （ＰＫＩ） ｉｓ ｔｈｅ ｆｏｕｎｄａｔｉｏｎ ａｎｄ ｃｅｎｔｅｒ ｏｆ ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ａｒｃｈｉｔｅｃｔｕｒｅ ｎｏｗ，ｔｈｅ ｂａｓｉｃ ｓａｆｅｇｕａｒｄ ｉｎ ｅｌｅｃ－ ｔｒｏｎｉｃａｌ ｃｏｍｍｅｒｃｅ ａｎｄ ｇｏｖｅｒｎｍｅｎｔ． Ｓｏ， ｓｔｕｄｙｉｎｇ ａｎｄ ｄｅｖｅｌｏｐｉｎｇ ＰＫＩ ｔｅｃｈｎｏｌｏｇｙ ｈａｓ ｂｅｅｎ ｔｈｅ ｔｒｅｍｅｎｄｏｕｓｌｙ ｅｘｃｉｔｉｎｇ ａｒｅａ ｉｎ ｉｎｆｏｒｍａｔｉｏｎ ｓｅｃｕｒｉ－ ｔｙ． Ｔｈｅ ｐａｐｅｒ ａｎａｌｙｚｅｓ ａｎｄ ｓｕｍｍａｒｉｚｅ ｔｏ ａ ｄｅｇｒｅｅ ｔｈｅ ＰＫＩ ｔｅｃｈｎｏｌｏｇｙ， ｃｏｎｓｉｓｉｔｉｎｇ ｏｆ ｔｈｅ ｃｏｍｐｏｓｉｎｇ， ｆｏｕｎｄｍａｎｔａｌ ｆｕｎｃｔｉｏｎ， ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅ ｔｅｃｈｎｏｌｏｇｙ，ｂｅｓｉｄｅｓ， ｉｔ ｍａｋｅｓ ａ ｓｈｏｒｔ ｉｎｔｒｏｄｕｃｔｉｏｎ ａｂｏｕｔ ｐｒａｃｔｉｃａｌ ａｐｐｌｉｃａｔｉｏｎ ｏｆ ＰＫＩ． Ｔｏ ＰＫＩ ｔｅｃｈｎｏｌｏｇｙ， ｅｓｐｅｃｉａｌｌｙ ｔｏ ｔｈｅ ｄｅｖｅｌｏｐｍｅｎｔ， ａｐｐｌｉｃａ－ ｔｉｏｎ， ａｎｄ ｐｏｐｕｌａｒｉｚｉｎｇ ｏｆ ＣＡ， ｔｈｉｓ ｐａｐｅｒ ｗｉｌｌ ｍａｋｅ ａ ｇｏｏｄ ｐｒｏｍｏｔｉｏｎ． Ｋｅｙ ｗｏｒｄｓ ：Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ； Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ； Ｐｕｂｌｉｃ Ｋｅｙ； Ｐｒｉｖａｔｅ Ｋｅｙ； Ｅｎｃｒｙｐｔ； Ｅｌｅｃｔｒｏｎｉｃａｌ ｃｏｍｍｅｒｃｅ； Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ
５ 数字签名
数字签名是公开密钥密码技术的一类应用， 是实现电子交易 安全的核心技术之一， 它在实现身份认证、数据完整性、不 可 抵 赖 性 等 功 能 方 面 都 有 重 要 应 用 。数 字 签 名 是 防 止 网 上 交 易 时 进 行 伪 造 和 欺 骗 的 一 种 有 效 手 段 。发 送 者 在 自 己 要 公 布 或 发 送 的 电 子 文 档上“签名”， 接收者通过验证签名的真实性确认文档是 否 被 篡 改 过。在公布一份电子文档时， 发送者首先对要公布的文档进行哈 希（ Ｈａｓｈ） 运算得到一个固定位数的发送信息— ——摘要， 然 后 发 送 者就可以用自己的签名私钥对摘要进行加密， 加密后的摘要即称 为签名， 它附在信息明文后一起发送给接收者； 接收者收到签名 文档后， 用发送者的公钥进行解密， 得到解密后的摘要和信息明 文。此时， 接收者只需计算出该明文的 Ｈａｓｈ 运算结果并与解密得 到的摘要信息进行比较， 即可知道该文档的真伪。在数字签名应 用中， 发送者的公钥可以很方便地得到， 而他的私钥则需要严格 的保密。
一个典型的、完整的和有效的 ＰＫＩ 应用系统 至 少 应 具 有 以 下 功 能 ： 公 钥 证 书 管 理 、黑 名 单 的 发 布 和 管 理 、密 钥 的 备 份 和 恢 复 、 自 动 更 新 密 码 、自 动 管 理 历 史 密 钥 、支 持 交 叉 认 证 。
ＰＫＩ 作为网络安全的一种基础设施， 应该具有以下性能： ３．１ 透明性和易用性 ＰＫＩ 必 须 尽 可 能 地 向 上 层 应 用 程 序 屏 蔽 安 全 服 务 实 现 细 节 ， 向用户屏蔽复杂的安全解决方案， 使得安全服务 对 用 户 透 明 、简 单 、易 用 。 ３．２ 可扩展性 证书库和 ＣＲＬ 必须具有良好的可扩展性。 ３．３ 互操作性 由 于 不 同 国 家 、不 同 行 业 的 ＰＫＩ 实 现 可 能 是 不 同 的 ， 因 此 要 求 ＰＫＩ 具有互操作性。要保证 ＰＫＩ 之间的互操作性必须将 ＰＫＩ 建 立在国际标准之上， 这些标准包括加密算法、数字签 名 算 法 、Ｈａｓｈ 算法、密钥交换和管理、证书格式、目录标准、信封格式 、安 全 会 话 格式以及安全 ＡＰＩ 规范等。
６ Ｐ ＫＩ 的应用
ＰＫＩ 技 术 的 广 泛 应 用 能 满 足 人 们 对 网 络 交 易 安 全 保 障 的 需 求。当然， 作为一种基础设施， ＰＫＩ 的应用范围非常广泛， 并且在不 断发展之中， 下面给出几个应用实例。
６．１ 网盾安全邮件系统 安全邮件系统是基于商用密码技术， 对互联网络中传输的邮 件信息利用数字证书的加解密功能实现邮件的密文传送， 从而实 现 邮 件 传 递 过 程 的 安 全 性 。该 软 件 可 提 供 对 邮 件 完 全 透 明 的 自 动
１ 引言
网络和信息系统是现代社会最重要的信息基础设施， 已经渗 透 到 社 会 的 各 个 领 域 。保 障 网 络 和 信 息 系 统 的 安 全 关 系 到 国 家 的 存亡、经济的发展、社会的稳定、优秀民族文化的继承和发 扬 。 公 开 密 钥 基 础 设 施 （ Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ， ＰＫＩ） 是 保 障 大 型 开 放 式 网 络 环 境 下 网 络 和 信 息 系 统 安 全 的 最 可 行 、最 有 效 的 措 施 。
ＰＫＩ 是基于公钥理论和技术建立起来的提供信息安全服务的 基础设施， 是信息安全基础设施的一个重要组成部分。它采用证 书管理公钥， 通 过 第 三 方 的 可 信 任 机 构— ——认 证 中 心 ＣＡ（Ｃｅｒｔｉｆｉ－ ｃａｔｅ Ａｕｔｈｏｒｉｔｙ）， 把用户的 公 钥 和 用 户 的 其 它 标 识 信 息 （ 如 名 称 、ｅ－ ｍａｉｌ、身 份 证 号 等 ） 捆 绑 在 一 起 ， 在 Ｉｎｔｅｒｎｅｔ 网 上 验 证 用 户 的 身 份 。 目 前 ， 通 用 的 办 法 是 采 用 建 立 在 ＰＫＩ 基 础 之 上 的 数 字 证 书 ， 通 过 把要传输的数字信息进行加密和签名， 保证信息传输的机密性、 真实性、完整性和不可否认性， 从而保证信息的安全传输。
ＰＫＩ 只是一种网络安全基础设施， 更重要的是在此基础上开 展应用业务， ＰＫＩ 已被大量用于 ＥＤＩ（电子数据交换）、信用卡交易、 Ｗｅｂ 安 全 访 问 、电 子 邮 件 安 全 和 ＶＰＮ 等 ， 而 且 形 成 了 一 系 列 ＰＫＩ 应用标准， 如 ＳＥＴ、ＳＳＬ、Ｓ／ＭＩＭＥ 和 ＰＧＰ 等。凡是涉及到认证、加密 的场合， 都可考虑使用 ＰＫＩ 技术。
本栏目责任编辑： 冯蕾
网络通讯与安全
ＰＫＩ技术及其在信息安全中的应用
蒋秀江 （ 新疆大学 信息科学与工程学院， 新疆 乌鲁木齐 ８３００４６）
摘要： 公钥基础设施（ Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ， 简称 ＰＫＩ） 是目前网络安全建设的基础与核心， 是电子商务、电子政务安全实施的基本 保障， 因此， 对 ＰＫＩ 技术的研究和开发成为目前信息安全领域的热点。本文对 ＰＫＩ 技术进行了一定的分析和总结， 其中包括 ＰＫＩ 的组成、 ＰＫＩ 的基本功能、数字签名技术， 并对 ＰＫＩ 的具体应用做了简要介绍。本文对 ＰＫＩ， 特别是 ＣＡ 的开发、应用和普及推广具有一定的促进 作用。