|
|
|
认证中心（CA）作为PKI的核心部分实现了PKI中一些很重要的功能，概括地说，认证中心（CA）的功能有证书发放、证书更新、证书撤销和证书验证。CA的核心功能是发放和管理数字证书，具体描述如下。
|
|
|
|
|
|
. 确定是否接受最终用户的数字证书的申请，即证书的审批。
|
|
|
|
. 向申请者颁发、拒绝颁发数字证书，即证书的发放。
|
|
|
|
. 接收、处理最终用户的数字证书的更新请求，即证书的更新。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
注册服务器通过Web Server建立的站点可以为客户提供不间断的服务。客户在网上提出证书申请和填写相应的证书申请表。
|
|
|
|
证书申请受理和审核机构负责证书的申请和审核，它的主要功能是接收客户证书申请并进行审核。
|
|
|
|
认证中心服务器是数字证书生成、发放的运行实体，同时提供发放证书的管理、证书废止列表（CRL）的生成和处理等服务。在具体实施时，CA必须做到以下几点。
|
|
|
|
|
|
|
|
（3）确保整个签证过程的安全性，确保签名私钥的安全性。
|
|
|
|
（4）证书资料信息（包括公钥证书序列号、CA标识等）的管理。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
这其中最重要的是CA自己的一对密钥的管理，CA必须确保其高度的机密性，防止他方伪造证书。CA的公钥在网上公开，因此整个网络系统必须保证完整性。CA的数字签名保证了证书（实质是持有者的公钥）的合法性和权威性。用户的公钥有以下两种产生方式。
|
|
|
|
用户自己生成密钥对，然后将公钥以安全的方式传送给CA，该过程必须保证用户公钥的验证性和完整性。
|
|
|
|
CA替用户生成密钥对，然后将其以安全的方式传送给用户，该过程必须确保密钥对的机密性、完整性和可验证性。该方式下，由于用户的私钥为CA所产生，所以对CA的可信性有更高的要求。CA必须在事后销毁用户的私钥。
|
|
|
|
一般而言，公钥有两类用途，一是用于验证数字签名，二是用于加密信息。相应的，在CA系统中也需要配置用于数字签名／验证签名的密钥对和用于数据加密／解密的密钥对，分别称为签名密钥对和加密密钥对。由于两种密钥对的功能不同，其管理起来也不大相同，所以在CA中要为一个用户配置两对密钥和两张证书。
|
|
|
|
CA中比较重要的一个概念是证书库。证书库是CA颁发证书和撤销证书的集中存放地，它像网上的“白页”一样，是网上的一种公共信息库，供广大公众进行开放式查询。这是非常关键的一点，因为构建CA的最根本目的就是获得他人的公钥。目前，通常的做法是将证书和证书撤销信息发布到一个数据库中，称为目录服务器，它采用LDAP目录访问协议，其标准格式采用X.500系列。随着该数据库的增大，可以采用分布式存放，即采用数据库镜像技术将其中一部分与本组织有关的证书和证书撤销列表存放到本地，以提高证书的查询效率。这一点是任何一个大规模的PKI系统成功实施的基本需求，也是创建一个有效的认证机构的关键技术之一。
|
|
|
|
CA的另一个重要概念是证书的撤销。由于现实生活中的一些原因，例如私钥的泄漏，当事人的失踪、死亡等情况的发生，应当对其证书进行撤销。这种撤销应该是及时的，因为如果撤销延迟，则会使不再有效的证书仍被使用，这将造成一定的损失。在CA中，证书的撤销使用的手段是证书撤销列表（CRL），即将作废的证书放入CRL，并及时公布于众，根据实际情况的不同可以采取周期性发布机制和在线查询机制两种方式。
|
|
|
|
密钥的备份和恢复也是很重要的一个环节。如果用户由于某种原因丢失了解密数据的密钥，那么被加密的密文将无法被解开，这将造成数据丢失。为了避免这种情况的发生，PKI提供了密钥备份，用于解密密钥的恢复机制。这一工作也应该由可信的机构CA完成，而且密钥的备份与恢复只能针对解密密钥，签名密钥不能做备份，因为签名密钥用于不可否认性的证明，如果存有备份，则将会不利于保证不可否认性。
|
|
|
|
一个证书的有效期是有限的，这样的规定既有理论上的原因，又有实际操作上的因素。在理论上，关于当前非对称算法和密钥长度的可破译性分析，同时在实际应用中证明密钥必须有一定的更换频度，才能得到密钥使用的安全性。因此一个已颁发的证书需要有过期的措施，以便更换新的证书。为了解决密钥更新的复杂性和人工干预的麻烦，应由PKI本身自动完成密钥或证书的更新，完全不需要用户的干预，它的指导思想是无论用户的证书用于何种目的，在认证时都会在线自动检查有效期，在失效日期到来之前的某段时间间隔内自动启动更新程序，生成一个新的证书以替代旧的证书。
|
|
|
