PKI引入的CA、数字证书、LDAP等技术并制定相应标准,有效地解决了公钥与用户映射关系、集中服务性能瓶颈、脱机状态查询等问题;同时促进并提高证书应用的规范性,还制定了许多与证书应用相关的各种标准。
1.CA和数字证书
为有效解决公钥与用户映射关系容易被篡改的问题,PKI引入“CA”和“数字证书”技术。
(1)CA为证书权威,是Certificate Authority的缩写,也称作CA中心或证书认证中心，是一种特殊的密钥管理中心,拥有自己的公钥和私钥,负责给用户签发数字证书,即使用CA中心私钥对用户身份信息和公钥信息进行加密处理(签名)后形成数字证书。
(2)数字证书是一种特殊的文件格式,包含用户身份信息、用户公钥信息和CA中心私钥的签名。用户身份信息包括姓名或名称、单位、城市、国家等。
当获得数字证书后,使用CA中心的公钥对数字证书中私钥的签名进行解密处理后,就可验证该数字证书是否被篡改,从而确认公钥与用户身份的映射关系。只要保证CA中心私钥的安全性,就能保证数字证书很难被篡改,从而保证了公钥与用户映射关系很难被篡改。
用户在验证数字证书是否被篡改时,必须首先获得CA中心的公钥。为方便用户识别CA中心的公钥,CA中心也为自己签发数字证书,该证书包含CA中心公钥、CA中心身份信息和CA中心私钥的签名。
数字证书实际上是把用户公钥、公钥与用户的绑定关系以公开形式发布出去,方便信息时代大规模用户使用
2.LDAP
CA中心成为性能瓶颈,PKI又引入了LDAP技术,通过LDAP方式对外提供证书查询或下载服务。LDAP为轻量目录访问协议,是Light-weight Directory Access Protocol的缩写。
专业的关系型数据库管理系统(如Oracle、DB2等),专门对结构化数据进行管理,应用系统只需通过SQL语句(报文协议)发送各种数据管理指令,而具体管理工作完全由数据库管理系统负责。尽管这种数据管理方式大大简化了应用系统的复杂度,但由于其读写功能相对均衡,很难满足高性能的查询服务。为获得高性能的查询服务,需要对数据管理的读取功能进行特殊优化,于是出现了目录服务技术(DAP)。目录服务技术对查询功能进行优化比修改操作快10倍以上,适合快速响应和大容量查询服务。DAP技术通过目录树方式对数据进行管理,应用系统只需通过X.500协议就能对数据进行快速查询。
由于X.500协议过于于复杂,实现成本很高,于是国际组织对X.500进行了简化,形成LDAP标准,而且LDAP支持TCP/P协议,更适合于互联网领域使用。
由于数字证书是可以公开的,CA中心也可以将其签发的数字证书存储到其他地方,供用户查询或下载。
3.CRL和OCSP
当用户私钥泄露后,CA中心有责任将该用户的证书标记为失效,但用户如何获得对方证书是否失效的状态呢?为方便用户获得证书状态,PKI引入了CRL和OCSP技术。
(1)CRL
CRL为证书作废列表,是Certificate Revocation List的缩写,也称作证书黑名单,是一种特殊的文件格式,包含所有失效的证书清单、下次CRL生成时间和CA中心私钥的签名。
CA中心定期生成CRL,并将下次生成时间写入CRL中,方便用户按时定期下载CRL。跟数字证书类似,CRL也是通过CA中心私钥的签名来保证CRL无法被篡改的。用户只需定期获取CRL后,就可在本地脱机验证证书是否失效,在下次CRL生成时间之前无需联系CA中心。
由于CRL是可以公开的,CA中心也可以将其签发的CRL存储到其他地方,供用户查询或下载。
(2)OCSP
当CA中心将私钥已泄露的用户证书标记为失效后,如果还未到下次CRL生成时间,此时其他用户通过最新CRL并不知道该用户证书已经失效,依然将该用户当作有效用户继续进行各种保密通信和合法交易,可能会造成一定的损失。
为解决CRL滞后的缺陷,避免给高实时性或高风险交易造成重大损失,PKI引入了OCSP，对用户提供实时的证书状态查询服务。
OCSP为在线证书状态协议,是Online Certificate Status Protocol的缩写,当用户需要实时查询对方证书是否有效时,可通过OCSP协议实时访问CA中心获得对方证书的当前状态。
4.其他PK标准
除与CA直接相关的上述标准外,PKI还包括其他很多标准,如密码相关标准、证书应用标准、证书存储标准、证书访问标准、CA运营标准等。
密码相关标准包括ASN、DHER、HMAC、DES、AES、RSA、ECC等。。
证书应用标准包括SSU/TLS、SET、WAP、IPSec、TsP、PM11等
证书存储标准包括PKCS系列标准、ISO7816系列标准等。
证书访问标准包括PKCS11、CryptoAPI、JCE、PCSC等。
CA运营标准包括CP、CPS等。
