通向因特網(wǎng)安全交易之路 何為PKI 技術？

文章出處：http://m.coolbang.cn 作者：PKI 技術   人氣： 發(fā)表時間：2011年09月06日

　　當今社會，電子郵件及電子商務的蓬勃發(fā)展, 對人們提出了如何安全進行信息交換的巨大挑戰(zhàn)，而這又最終導致了構成PKI的部件以及相關程序?qū)⒆兊萌找嬷匾?，如?shù)字簽名或不同的加密機制。PKI一詞被解釋成為是一種框架體系，通過它，因特網(wǎng)上的用戶可實現(xiàn)安全信息數(shù)據(jù)的交換，滿足商務對保密性，完整性，真實性及不可否認性的安全需求，其構成主要包括硬件，軟件，人員，指導原則及方法。
　　那么，PKI 是如何實際進行操作的呢？通過公開密鑰進行加密的信息保證了只有特定的收件人才能讀取，而此收件人只有通過使用相應的私有密鑰才能完成對此信息的解密，信息的私密性則可通過PKI的特定程序來實行保護。公鑰加密(或非對稱)算法的好處在于，通過使用密鑰對，即一個私鑰和一個公鑰，可以解決對稱算法無法解決的不可否認性的問題。這兩個密鑰彼此之間有著數(shù)學聯(lián)系。 數(shù)字簽名一方面確保了文件只能夠被送到特定的收件人（即真實性和有效性），另一方面，排除了文件在網(wǎng)上傳送途中被任意篡改的可能（即完整性）。數(shù)字簽名是由輸入相應的PIN啟動的，并由存儲在智能卡上的私鑰自動計算生成。這包括一系列計算過程，首先計算郵件文字的哈什值，再通過私鑰對哈什值進行加密，之后被加密的哈什值即數(shù)字簽名與原文一起發(fā)出，通過發(fā)送人的公開密鑰，特定的收件人就可以對數(shù)字簽名進行解密了。郵件原文的哈什值在收件人的PC機中同樣也要進行運算，然后與解密后的進行對比，如果完全匹配，收件人則可以完全信賴信息的完整性和真實性。發(fā)件人的公開密鑰是通過認證中心-PKI的核心部分取得的。

PKI的構成要素及功能主要包括下列幾方面：

1. 安全策略
　　安全策略確立和定義了對于安全信息，機構的最高層指導和使用加密算法的過程和原則。通常，它包括機構關于如何管理密鑰和有價值信息的聲明，并且設立與風險的級別相匹配的安全級別。
證書的實行聲明(CPS)
　　一些PKI系統(tǒng)由商業(yè)證書認證權威(CCA)或可信的第三方操作，因而需要證書實行聲明CPS。CPS是一個詳細的文檔，包括在實際應用中如何執(zhí)行和維持安全方針。它包括下列說明：如何建立和執(zhí)行CA；如何發(fā)行、接受和廢除證書；如何生成、注冊和鑒定密鑰，以及確立證書的存放位置和如何讓用戶使用。

2. 證書認證中心 (CA)
　　CA系統(tǒng)是一個值得信賴的PKI的中心，它在公鑰的整個生命周期中管理公鑰的證書。CA執(zhí)行下述工作：
△ 發(fā)放帶有數(shù)字簽名的證書，并將用戶或系統(tǒng)的身份和公鑰結合起來
△ 確定證書使用期限
△ 必要時，通過發(fā)布廢除證書列表(CRL)來確保證書的廢除
　　貫徹PKI時，機構可以啟動自身的CA體系或使用商業(yè)的CA服務體系，也可以借助于可信的第三方。

3. 證書注冊中心 (RA)
　　RA提供用戶和CA之間的聯(lián)系。它認證用戶身份并且按CA要求遞交證書申請。

4. 證書的分發(fā)系統(tǒng)
　　證書分發(fā)的方式依賴于PKI環(huán)境的結構，例如：通過用戶自身，或通過姓名地址錄分發(fā)。姓名地址錄或是已經(jīng)存在于機構中或者作為PKI解決方案的一部分而被提供。

5. PKI的應用
　　PKI是一種達到目標的方式，借助于提供的安全框架體系，PKI的應用可安全地配置以實現(xiàn)最終利益。
△ 網(wǎng)絡服務器和瀏覽器間的通信
△ 電子郵件
△電子數(shù)據(jù)交換( Electronic Data Interchange，EDI)
△通過 Internet 的信用卡交易
△虛擬專用網(wǎng)(Virtual Private Networks，VPNs)

智能卡在PKI體系中的應用及發(fā)展

智能卡的作用與應用領域

　　PKI 技術和智能卡之間的關系在于私有密鑰的存儲和第三方認證機構所頒發(fā)的數(shù)字證書的存儲可以在極為安全的智能卡上實現(xiàn)。雖然現(xiàn)在有很多人都把私有密鑰和數(shù)字證書存儲在計算機的硬盤當中，但出于安全的考慮，將私有密鑰和數(shù)字證書存儲在智能卡上則會更好。這樣可以防止黑客通過植入病毒程序盜取合法用戶的私有密鑰，偽裝成為合法用戶的身份在網(wǎng)絡上進行詐騙和非法交易。另外，從易用性的角度來講，使用智能卡也便于攜帶，這樣人們可以在辦公室、在家里和路上隨時使用。
　　2000年，中國人民銀行牽頭，由13家商業(yè)銀行共同出資成立了中國最具權威的CA機構---中國金融認證中心（CFCA）。CFCA的建成成為中國PKI技術發(fā)展的推動力，大量的商業(yè)銀行和銀聯(lián)組織，以及其他金融機構將在CFCA的PKI基礎框架下實施電子商務和網(wǎng)絡金融業(yè)務。目前，幾乎所有的商業(yè)銀行都已經(jīng)或多或少的推出了自己的網(wǎng)上銀行業(yè)務，雖然很多這樣的應用多處于初級階段（沒有真正實現(xiàn)網(wǎng)上交易和轉(zhuǎn)賬的功能），但很多人相信在線交易的功能會在今后1到2年內(nèi)普及，并且會有大量的用戶使用。由此可見，智能卡的應用潛力在電子商務領域還未真正得到發(fā)掘。
　　中國工商銀行是較早啟用基于智能卡的網(wǎng)上銀行的銀行之一，目前發(fā)卡量（卡內(nèi)含證書）已經(jīng)突破萬張，捷德公司為中國工商銀行提供了基于PKI技術的STARCOS SPK 2.3 數(shù)字證書卡，這種卡片具有歐洲ITSEC E4的高級安全認證，同時通過了CFCA的測試。
　　目前，加密技術甚至已可以通過移動電話來進行數(shù)字簽名的傳送，因此形成了移動商務開展的基礎，后者據(jù)STATEGY ANALYTICS最新預測，在五年之內(nèi)，市場容量將達到2500億歐元。捷德公司與Vodafone, Smarttrust公司合作推出了世界上第一個移動數(shù)字簽名項目，這標致著通過手機SIM卡進行數(shù)字簽名的PKI向移動通信領域的步入。與此同時，捷德公司為夢網(wǎng)項目提供的智能卡具有先進的PKI技術，在卡內(nèi)可以生成1，024Bit的RSA密鑰，32K的EEPROM空間用于存儲CFCA頒發(fā)的用戶證書以及存儲用戶密鑰和應用服務系統(tǒng)，充分保障了移動商務的安全性和有效性。目前，已經(jīng)有多家移動公司、銀行和服務供應商參與移動商務的建設，包括使用手機進行銀行賬戶的查詢和轉(zhuǎn)賬、使用手機進行股票交易、利用手機進行數(shù)字簽名確認身份等，因此智能卡在這一領域也有望得到更廣泛的應用。
　　很多政府職能部門也開始使用PKI技術在簡化和優(yōu)化他們的工作。如，利用智能卡進行電子報關等工作的電子口岸項目已在國內(nèi)有計劃地進行實施，極大地方便了企業(yè)、提高了海關及其它聯(lián)合部委的管理效率。據(jù)分析在未來的幾年內(nèi)，越來越多的PKI技術會在中國電子商務和電子政務領域得到應用。
　　在網(wǎng)絡安全方面對于智能卡的需求也在增加，據(jù)專家預測智能卡的應用將從今年的500萬增長到2004年的1.55億。依據(jù)對2，500家最大的跨國公司中的50家進行調(diào)查發(fā)現(xiàn)，98%的公司還在使用密碼進行身份認證，在兩年內(nèi)會有56%的公司準備使用數(shù)字證書來實現(xiàn)身份認證。從電子商務的角度來看，參與網(wǎng)上交易的雙方需要他們在網(wǎng)上的交易信息不會被偷看和篡改，雙方的身份需要認證，而且，交易雙方不能否認各自的交易信息。而PKI恰恰能夠滿足這種功能。到目前為止，至少已經(jīng)有20多個國家通過法律認可電子簽名，其中包括歐盟和美國。

PKI面臨的問題

　　盡管將PKI技術作為保證網(wǎng)絡安全的解決方案的呼聲日益高漲，但是在PKI的實施過程中卻比較復雜，使得PKI的發(fā)展比預期的要慢。人們常說的PKI的關鍵部分不是PK（公開密鑰和私有密鑰），而?quot;I（體系的基礎設施）。
　　早期PKI使用者發(fā)現(xiàn)一家PKI公司生成的證書不能被另外一家PKI公司的軟件所識別，也就是說存在著PKI產(chǎn)品和相關體系的兼容性問題。這樣會給整個系統(tǒng)的使用帶來很多問題。
　　比如在一個公司競標一個合同的時，需要提供收到信息時的時間標記（不可更改），而在早期的PKI應用中，并沒有這方嫻目悸牽鄖耙裁揮欣嗨頻墓局渫ü齈KI進行認證的司法案例，為競標帶來很多法律上的問題。
　　除了PKI的復雜程度，成本也是影響PKI廣泛應用的一個因素。例如香港郵政局花費了700萬美元建立數(shù)字證書認證中心，美國專利局花費400萬美元建立專利檢索的電子身份識別系統(tǒng)。
　　雖然存在著成本問題，但是專家還是建議將數(shù)字證書存放在智能卡當中，這比存放在計算機中安全的多。如果將證書存放在計算機中，遇到機器癱瘓、員工更換計算機或者幾個人共用一臺計算機時都會帶來復雜的安全問題。

Windows 2000對PKI和智能卡的支持

　　目前如果使用智能卡進行電子商務，我們在老的計算機操作系統(tǒng)中還需要自己安裝讀卡器的驅(qū)動和相應的軟件進行支持。但如果新型的計算機在自己的配置中預裝了讀卡器并采用Windows 2000操作系統(tǒng)，這樣的問題就會迎刃而解。目前，很多計算機廠商已經(jīng)開始在計算機中預裝讀卡器，包括IBM、COMPAQ、HP；國內(nèi)廠商也在有計劃的加裝讀卡器已用于國內(nèi)的智能卡需求，如聯(lián)想和方正。
　　微軟公司在Windows 2000中內(nèi)置了支持PKI技術和智能卡技術的接口程序，據(jù)預測到2004年會有三分之一的Windows 2000的用戶會使用智能卡來登錄網(wǎng)絡。

展望

　　在所有的智能卡應用當中，隨著安全意識的提高和用戶流動性的增強，越來越多的人將會接受智能卡作為數(shù)字證書和密鑰對的載體，而且這種想法會變成主流意識。最終，智能卡會成為PKI體系結構中的標準組成部分。