通向因特網(wǎng)安全交易之路 何為PKI 技術(shù)？

文章出處：http://m.botanicstilllife.com 作者：PKI 技術(shù)   人氣： 發(fā)表時間：2011年09月06日

　　當(dāng)今社會，電子郵件及電子商務(wù)的蓬勃發(fā)展, 對人們提出了如何安全進行信息交換的巨大挑戰(zhàn)，而這又最終導(dǎo)致了構(gòu)成PKI的部件以及相關(guān)程序?qū)⒆兊萌找嬷匾?，如?shù)字簽名或不同的加密機制。PKI一詞被解釋成為是一種框架體系，通過它，因特網(wǎng)上的用戶可實現(xiàn)安全信息數(shù)據(jù)的交換，滿足商務(wù)對保密性，完整性，真實性及不可否認(rèn)性的安全需求，其構(gòu)成主要包括硬件，軟件，人員，指導(dǎo)原則及方法。
　　那么，PKI 是如何實際進行操作的呢？通過公開密鑰進行加密的信息保證了只有特定的收件人才能讀取，而此收件人只有通過使用相應(yīng)的私有密鑰才能完成對此信息的解密，信息的私密性則可通過PKI的特定程序來實行保護。公鑰加密(或非對稱)算法的好處在于，通過使用密鑰對，即一個私鑰和一個公鑰，可以解決對稱算法無法解決的不可否認(rèn)性的問題。這兩個密鑰彼此之間有著數(shù)學(xué)聯(lián)系。 數(shù)字簽名一方面確保了文件只能夠被送到特定的收件人（即真實性和有效性），另一方面，排除了文件在網(wǎng)上傳送途中被任意篡改的可能（即完整性）。數(shù)字簽名是由輸入相應(yīng)的PIN啟動的，并由存儲在智能卡上的私鑰自動計算生成。這包括一系列計算過程，首先計算郵件文字的哈什值，再通過私鑰對哈什值進行加密，之后被加密的哈什值即數(shù)字簽名與原文一起發(fā)出，通過發(fā)送人的公開密鑰，特定的收件人就可以對數(shù)字簽名進行解密了。郵件原文的哈什值在收件人的PC機中同樣也要進行運算，然后與解密后的進行對比，如果完全匹配，收件人則可以完全信賴信息的完整性和真實性。發(fā)件人的公開密鑰是通過認(rèn)證中心-PKI的核心部分取得的。

PKI的構(gòu)成要素及功能主要包括下列幾方面：

1. 安全策略
　　安全策略確立和定義了對于安全信息，機構(gòu)的最高層指導(dǎo)和使用加密算法的過程和原則。通常，它包括機構(gòu)關(guān)于如何管理密鑰和有價值信息的聲明，并且設(shè)立與風(fēng)險的級別相匹配的安全級別。
證書的實行聲明(CPS)
　　一些PKI系統(tǒng)由商業(yè)證書認(rèn)證權(quán)威(CCA)或可信的第三方操作，因而需要證書實行聲明CPS。CPS是一個詳細(xì)的文檔，包括在實際應(yīng)用中如何執(zhí)行和維持安全方針。它包括下列說明：如何建立和執(zhí)行CA；如何發(fā)行、接受和廢除證書；如何生成、注冊和鑒定密鑰，以及確立證書的存放位置和如何讓用戶使用。

2. 證書認(rèn)證中心 (CA)
　　CA系統(tǒng)是一個值得信賴的PKI的中心，它在公鑰的整個生命周期中管理公鑰的證書。CA執(zhí)行下述工作：
△ 發(fā)放帶有數(shù)字簽名的證書，并將用戶或系統(tǒng)的身份和公鑰結(jié)合起來
△ 確定證書使用期限
△ 必要時，通過發(fā)布廢除證書列表(CRL)來確保證書的廢除
　　貫徹PKI時，機構(gòu)可以啟動自身的CA體系或使用商業(yè)的CA服務(wù)體系，也可以借助于可信的第三方。

3. 證書注冊中心 (RA)
　　RA提供用戶和CA之間的聯(lián)系。它認(rèn)證用戶身份并且按CA要求遞交證書申請。

4. 證書的分發(fā)系統(tǒng)
　　證書分發(fā)的方式依賴于PKI環(huán)境的結(jié)構(gòu)，例如：通過用戶自身，或通過姓名地址錄分發(fā)。姓名地址錄或是已經(jīng)存在于機構(gòu)中或者作為PKI解決方案的一部分而被提供。

5. PKI的應(yīng)用
　　PKI是一種達(dá)到目標(biāo)的方式，借助于提供的安全框架體系，PKI的應(yīng)用可安全地配置以實現(xiàn)最終利益。
△ 網(wǎng)絡(luò)服務(wù)器和瀏覽器間的通信
△ 電子郵件
△電子數(shù)據(jù)交換( Electronic Data Interchange，EDI)
△通過 Internet 的信用卡交易
△虛擬專用網(wǎng)(Virtual Private Networks，VPNs)

智能卡在PKI體系中的應(yīng)用及發(fā)展

智能卡的作用與應(yīng)用領(lǐng)域

　　PKI 技術(shù)和智能卡之間的關(guān)系在于私有密鑰的存儲和第三方認(rèn)證機構(gòu)所頒發(fā)的數(shù)字證書的存儲可以在極為安全的智能卡上實現(xiàn)。雖然現(xiàn)在有很多人都把私有密鑰和數(shù)字證書存儲在計算機的硬盤當(dāng)中，但出于安全的考慮，將私有密鑰和數(shù)字證書存儲在智能卡上則會更好。這樣可以防止黑客通過植入病毒程序盜取合法用戶的私有密鑰，偽裝成為合法用戶的身份在網(wǎng)絡(luò)上進行詐騙和非法交易。另外，從易用性的角度來講，使用智能卡也便于攜帶，這樣人們可以在辦公室、在家里和路上隨時使用。
　　2000年，中國人民銀行牽頭，由13家商業(yè)銀行共同出資成立了中國最具權(quán)威的CA機構(gòu)---中國金融認(rèn)證中心（CFCA）。CFCA的建成成為中國PKI技術(shù)發(fā)展的推動力，大量的商業(yè)銀行和銀聯(lián)組織，以及其他金融機構(gòu)將在CFCA的PKI基礎(chǔ)框架下實施電子商務(wù)和網(wǎng)絡(luò)金融業(yè)務(wù)。目前，幾乎所有的商業(yè)銀行都已經(jīng)或多或少的推出了自己的網(wǎng)上銀行業(yè)務(wù)，雖然很多這樣的應(yīng)用多處于初級階段（沒有真正實現(xiàn)網(wǎng)上交易和轉(zhuǎn)賬的功能），但很多人相信在線交易的功能會在今后1到2年內(nèi)普及，并且會有大量的用戶使用。由此可見，智能卡的應(yīng)用潛力在電子商務(wù)領(lǐng)域還未真正得到發(fā)掘。
　　中國工商銀行是較早啟用基于智能卡的網(wǎng)上銀行的銀行之一，目前發(fā)卡量（卡內(nèi)含證書）已經(jīng)突破萬張，捷德公司為中國工商銀行提供了基于PKI技術(shù)的STARCOS SPK 2.3 數(shù)字證書卡，這種卡片具有歐洲ITSEC E4的高級安全認(rèn)證，同時通過了CFCA的測試。
　　目前，加密技術(shù)甚至已可以通過移動電話來進行數(shù)字簽名的傳送，因此形成了移動商務(wù)開展的基礎(chǔ)，后者據(jù)STATEGY ANALYTICS最新預(yù)測，在五年之內(nèi)，市場容量將達(dá)到2500億歐元。捷德公司與Vodafone, Smarttrust公司合作推出了世界上第一個移動數(shù)字簽名項目，這標(biāo)致著通過手機SIM卡進行數(shù)字簽名的PKI向移動通信領(lǐng)域的步入。與此同時，捷德公司為夢網(wǎng)項目提供的智能卡具有先進的PKI技術(shù)，在卡內(nèi)可以生成1，024Bit的RSA密鑰，32K的EEPROM空間用于存儲CFCA頒發(fā)的用戶證書以及存儲用戶密鑰和應(yīng)用服務(wù)系統(tǒng)，充分保障了移動商務(wù)的安全性和有效性。目前，已經(jīng)有多家移動公司、銀行和服務(wù)供應(yīng)商參與移動商務(wù)的建設(shè)，包括使用手機進行銀行賬戶的查詢和轉(zhuǎn)賬、使用手機進行股票交易、利用手機進行數(shù)字簽名確認(rèn)身份等，因此智能卡在這一領(lǐng)域也有望得到更廣泛的應(yīng)用。
　　很多政府職能部門也開始使用PKI技術(shù)在簡化和優(yōu)化他們的工作。如，利用智能卡進行電子報關(guān)等工作的電子口岸項目已在國內(nèi)有計劃地進行實施，極大地方便了企業(yè)、提高了海關(guān)及其它聯(lián)合部委的管理效率。據(jù)分析在未來的幾年內(nèi)，越來越多的PKI技術(shù)會在中國電子商務(wù)和電子政務(wù)領(lǐng)域得到應(yīng)用。
　　在網(wǎng)絡(luò)安全方面對于智能卡的需求也在增加，據(jù)專家預(yù)測智能卡的應(yīng)用將從今年的500萬增長到2004年的1.55億。依據(jù)對2，500家最大的跨國公司中的50家進行調(diào)查發(fā)現(xiàn)，98%的公司還在使用密碼進行身份認(rèn)證，在兩年內(nèi)會有56%的公司準(zhǔn)備使用數(shù)字證書來實現(xiàn)身份認(rèn)證。從電子商務(wù)的角度來看，參與網(wǎng)上交易的雙方需要他們在網(wǎng)上的交易信息不會被偷看和篡改，雙方的身份需要認(rèn)證，而且，交易雙方不能否認(rèn)各自的交易信息。而PKI恰恰能夠滿足這種功能。到目前為止，至少已經(jīng)有20多個國家通過法律認(rèn)可電子簽名，其中包括歐盟和美國。

PKI面臨的問題

　　盡管將PKI技術(shù)作為保證網(wǎng)絡(luò)安全的解決方案的呼聲日益高漲，但是在PKI的實施過程中卻比較復(fù)雜，使得PKI的發(fā)展比預(yù)期的要慢。人們常說的PKI的關(guān)鍵部分不是PK（公開密鑰和私有密鑰），而?quot;I（體系的基礎(chǔ)設(shè)施）。
　　早期PKI使用者發(fā)現(xiàn)一家PKI公司生成的證書不能被另外一家PKI公司的軟件所識別，也就是說存在著PKI產(chǎn)品和相關(guān)體系的兼容性問題。這樣會給整個系統(tǒng)的使用帶來很多問題。
　　比如在一個公司競標(biāo)一個合同的時，需要提供收到信息時的時間標(biāo)記（不可更改），而在早期的PKI應(yīng)用中，并沒有這方嫻目悸牽鄖耙裁揮欣嗨頻墓局渫ü齈KI進行認(rèn)證的司法案例，為競標(biāo)帶來很多法律上的問題。
　　除了PKI的復(fù)雜程度，成本也是影響PKI廣泛應(yīng)用的一個因素。例如香港郵政局花費了700萬美元建立數(shù)字證書認(rèn)證中心，美國專利局花費400萬美元建立專利檢索的電子身份識別系統(tǒng)。
　　雖然存在著成本問題，但是專家還是建議將數(shù)字證書存放在智能卡當(dāng)中，這比存放在計算機中安全的多。如果將證書存放在計算機中，遇到機器癱瘓、員工更換計算機或者幾個人共用一臺計算機時都會帶來復(fù)雜的安全問題。

Windows 2000對PKI和智能卡的支持

　　目前如果使用智能卡進行電子商務(wù)，我們在老的計算機操作系統(tǒng)中還需要自己安裝讀卡器的驅(qū)動和相應(yīng)的軟件進行支持。但如果新型的計算機在自己的配置中預(yù)裝了讀卡器并采用Windows 2000操作系統(tǒng)，這樣的問題就會迎刃而解。目前，很多計算機廠商已經(jīng)開始在計算機中預(yù)裝讀卡器，包括IBM、COMPAQ、HP；國內(nèi)廠商也在有計劃的加裝讀卡器已用于國內(nèi)的智能卡需求，如聯(lián)想和方正。
　　微軟公司在Windows 2000中內(nèi)置了支持PKI技術(shù)和智能卡技術(shù)的接口程序，據(jù)預(yù)測到2004年會有三分之一的Windows 2000的用戶會使用智能卡來登錄網(wǎng)絡(luò)。

展望

　　在所有的智能卡應(yīng)用當(dāng)中，隨著安全意識的提高和用戶流動性的增強，越來越多的人將會接受智能卡作為數(shù)字證書和密鑰對的載體，而且這種想法會變成主流意識。最終，智能卡會成為PKI體系結(jié)構(gòu)中的標(biāo)準(zhǔn)組成部分。