在中国建立一个完善的桥CA模型的意义
电子交易行为在国内外已经随处可见，为了确保交易的顺利进行，必须在互联网中建立并维持一种可以信任的环境和机制。应用最有效的安全技术，建立电子商务安全体系结构，成为电子商务建设中首先需要解决的问题。国际上提出了基于公钥基础设施的数字证书解决方案，现已被普遍采用。电子商务中安全措施的实现主要围绕数字证书展开的。数字证书提供的是网络上的身份证明。数字证书拥有者可以将其证书提供给其他人、Web站点及网络资源，以证实他的合法身份，并且与对方建立加密的、可信的通信。证书除了用来向其它实体证明自己的身份外，还同时起着公钥分发的作用，每份证书都携带着持有人的公钥，签名证书携带的是签名公钥，信息加密证书携带的是信息加密公钥。所有实体的证书是由一个权威机构——CA发行的，人们可以在交往中用它来识别对方的身份。电子商务CA先行，没有一个足够稳固、健全的CA，一切网上的交易都没有安全保障。CA是保证电子商务安全的关键。 CA是承担网上安全电子交易认证服务、签发数字证书、并能确认用户身份的服务机构。CA通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。作 为受信任的第三方权威机构，CA负责产生、分配并管理用户的数字证书，使网上通信的各方能互相确认身份。它的基本功能有：接收注册请求，处理、拒绝/批准请求，颁发证书。在实际运作中，CA可由大家都信任的一方担当。
目前，国内已信和在建的CA认证中心有近30家。这些CA认证中心是基于传统的PKI体系建立起来的。然而，不同的认证体系，其公钥基础设施可能使用不同的结构、不同的安全策略和密钥算法体系。因此，需要一种灵活的机制来连接这些CA认证体系。传统的PKI体系已经难以胜任这项任务。桥CA提供了一种方式来连接现有的CA认证体系。
PKI是对于公钥密码体制中的公钥信息的管理。公钥密码体制是一种密码系统，它使用一对数学相关的密钥来加密和解密信息。在公钥密码体制中，一个密钥用来加密或解密信息，另一个密钥用来执行相反的操作。其中一个密钥必须保密，称为保密密钥；另一个密钥可以分发给任何人，称为公开密钥。在公钥基础设施中，称做证书的数据结构，把一个特定的身份同一个特定的公钥和该公钥如何使用的信息绑定在一起。。证书机构是可信任的实体，用来为公钥基础设施中的用户发放证书，提供CA发放的证书的状态信息。
传统的PKI结构可以有三种情况：单个CA，分级结构的CA和网状结构的CA。每种结构由P
KI的基本属性来决定：包括PKI中用户给予信任的CA的数量和在多CA的PKI环境中，CA之间的信任关系。
最基本的PKI人民公社好结构是单个CA的结构，它为PKI中的所有用户提供证书、证书状态信息等等。PKI中的所有用户对此单个CA给予信任。每个证书路径都起始于该CA的公钥，这就产生了单一的用户信任点。 这种结构的优点是：容易实现，只需建立一个根CA，所有的用户都能实现相互认证。缺点是：不易扩展到支持大量的或者不同的体的用户。用户的体越大，支持所有必要的应用就越困难。
分级结构的PKI系统由于其简单的结构和单向的可信任关系，具有4个优点：第一个优点是分级结构的PKI系统易于升级和增加新的认证域用户，因为只需要根CA与该认证域的溶液的形成CA建立信任关系。第二个优点是证书路径由于其单向性，容易扩展，可生成从用户证书到可信任点的简单的、明确的路径。第三个优点是证书路径相对较短。最长的路径等于树的深度加一：每个从属CA的证书路径加上用户的证书路径。第四个优点是，基于分级结构中的CA的位置，用户隐含地知道一个证书用于哪种应用。因此，分级结构中使用的证书可以比网状结构中使用的证书更小、更简单。
分级结构的PKI也有缺点。这是因为它依赖于一个单一的可信任点，即“根CA” 。根CA是每个用户的可信任点，它的安全性的削弱，将导致整个PKI系统安全性的削弱。更严重的是，现在还没有直接的恢复技术。分级结构的PKI系统的实质是所有的信任都集中在根CA，而一旦该可信任点出现故障，后果是灾难性的。另外一个缺点是构建一个单一的、共同的根CA可能在政治上是无法做到的，如美国等多数发达国家和中国都未能建立起一个有效的根CA。另外，由一组彼此分离的CA过渡到分级结构的PKI，逻辑上是不现实的，因为所有的用户都不得不重新设置他们的可信任点。分级结构的PKI的传统替代方法是以对等关系连接CA。
胡佩莲
网状结构的PKI具有几个优点。网状结构的PKI可以容易地增加新的体用户。网状结构中的任何一个CA只需与该体的CA建立信任关系。网状结构的PKI非常灵活，因为存在多个可信任点。单个CA安全性的削弱不会影响到整个的PKI。那些向安全性削弱的CA发放过证书的CA只需吊销该证书，从PKI中删除该CA。与其他CA关联的用户仍然会有一个正确的可信任点，能够安全地与PKI中的其余用户通信。在网状结构的CA中，从安全性削弱的CA中恢复相对容易，并且它只影响到数量较少的用户。网状的PKI可以很容易地由一组分离的CA构建，因为用户不需要改变他们的可信任点（或其他的任何东西），而只需该CA在
网中至少向一个CA发放证书。当一个组织想要整合各个独立开发的PKI系统时，这是很实用的。
然而，正因为这种双向的可信任模型，网状结构的PKI也有它的不足。证书路径的扩展与分级结构的盐酸氧氟沙星PKI相比过于复杂。与分级结构的PKI不同，从用户证书到可信任点建立证书的路径是不确定的，因为存在多种选择，使得路径发现较为困难。一些选择可以形成正确路径，而其他选择会走入死胡同。更糟糕的是，在网状结构的PKI中可能会建立一个无止境的证书环路。对于网状的PKI，扩展有好有坏。证书路径的最大长度是PKI中的CA的数量。网中的用户必须基于证书的内容来确定可能使用证书的应用，而不是基于PKI中的CA的位置。证书路径上的每一个证书都需这样做，这就需要更大的、更为复杂的证书和更为复杂的证书路径处理。
桥CA体系结构被设计成用来克服两种基本的PKI结构的缺点和连接不同结构的PKI系统。不同于网状的CA，桥CA不直接向用户发放证书。而且，BCA不作为一个可信任点，供PKI中的用户使用，这一点不同于分级结构中的根CA。BCA与不同的用户体建立对等的可信任关系，允许用户保持原有的可信任点。这些关系被结合起来形成“信任桥”，使得来自不同用户体的用户通过指定信任级别的BCA相互作用。
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议