今年6月30日是一個(gè)非常值得關(guān)注的日子,這一天,美國(guó)總統(tǒng)克林頓正式簽署了美國(guó)的《全球及全國(guó)商業(yè)電子簽名法》,這是美國(guó)歷史上第一部聯(lián)邦級(jí)的電子簽名法,它將于2000年10月1日起生效。這一法律的簽署,將極大地促進(jìn)全美乃至全球電子商務(wù)的發(fā)展。今后,網(wǎng)上炒股、網(wǎng)上購(gòu)物、政府網(wǎng)上采購(gòu)等大宗交易都可以通過(guò)電子簽名迅速安全地完成,而不再需要傳統(tǒng)的紙筆簽名。在美國(guó),為了促進(jìn)電子商務(wù)的發(fā)展,許多州已經(jīng)通過(guò)了州法律,承認(rèn)電子簽名的法律效力。可以預(yù)見(jiàn),電子簽名、數(shù)字證書(shū)在不久的將來(lái)就會(huì)走入人們的生活。

　　什么是PKI技術(shù)

　　那么,如何構(gòu)建一個(gè)安全的信息基礎(chǔ)設(shè)施平臺(tái),為電子商務(wù)、電子政務(wù)、電子事務(wù)提供良好的應(yīng)用環(huán)境呢?PKI(Public Key Infrastructure,公鑰基礎(chǔ)設(shè)施)技術(shù)能很好地滿足這一需求。從字面上理解,PKI就是利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施。PKI技術(shù)是信息安全技術(shù)的核心,也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。由于通過(guò)網(wǎng)絡(luò)進(jìn)行的電子商務(wù)、電子政務(wù)、電子事務(wù)等活動(dòng)缺少物理的接觸,因而使得用電子方式驗(yàn)證信任關(guān)系變得至關(guān)重要。而PKI技術(shù)恰好是一種適合電子商務(wù)、電子政務(wù)、電子事務(wù)的密碼技術(shù),它能夠有效地解決電子商務(wù)應(yīng)用中的機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性和存取控制等安全問(wèn)題。
　　通常,一個(gè)實(shí)用的PKI體系應(yīng)該是安全的、易用的、靈活的和經(jīng)濟(jì)的。它必須充分考慮互操作性和可擴(kuò)展性。它所包含的認(rèn)證機(jī)構(gòu)(CA)、注冊(cè)機(jī)構(gòu)(RA)、策略管理、密鑰(Key)與證書(shū)(Certificate)管理、密鑰備份與恢復(fù)、撤銷(xiāo)系統(tǒng)等功能模塊應(yīng)該有機(jī)地結(jié)合在一起。

　　公鑰密碼學(xué)與PKI

　　密碼學(xué)為電子商務(wù)的安全提供了良好的應(yīng)用基礎(chǔ)。在公鑰密碼學(xué)中,通過(guò)使用一對(duì)密鑰(公鑰和私鑰),再采用一些數(shù)學(xué)上的加解密算法,就可以很好地進(jìn)行安全的數(shù)據(jù)傳輸。公鑰密碼學(xué)在PKI中的兩個(gè)最基本的典型應(yīng)用就是加密與數(shù)字簽名。

　　在加密應(yīng)用中,發(fā)送者利用接收者的公開(kāi)密鑰對(duì)要發(fā)送的敏感信息進(jìn)行加密,然后把加密后的密文發(fā)送給接收者;接收者收到密文后,再用自己的私鑰進(jìn)行解密,這樣就安全保密地得到了原始的敏感信息。在這里,接收者的公鑰是完全公開(kāi)的,任何想給接收者發(fā)送保密信息的人都可以公開(kāi)、自由地得到接收者的公鑰;而接收者的私鑰則是需要嚴(yán)格保護(hù)的,絕對(duì)不能泄漏給其他人,這樣,就算在密文的發(fā)送過(guò)程中,密文被別有用心的人截獲、拷貝,但由于沒(méi)有私鑰,也是不能解密的。

　　數(shù)字簽名是防止網(wǎng)上交易時(shí)進(jìn)行偽造和欺騙的一種有效手段。發(fā)送者在自己要公布或發(fā)送的電子文檔上簽名,接收者通過(guò)驗(yàn)證簽名的真實(shí)性確認(rèn)文檔是否被篡改過(guò)。在公布一份電子文檔時(shí),發(fā)送者首先對(duì)要公布的文檔進(jìn)行哈希(Hash)運(yùn)算,然后發(fā)送者就可以用自己的簽名私鑰對(duì)Hash運(yùn)算得出的簡(jiǎn)潔數(shù)據(jù)進(jìn)行加密簽名;接收者收到簽名文檔后,用發(fā)送者的公鑰進(jìn)行解密,得到解密后的Hash運(yùn)算結(jié)果和文檔。此時(shí),接收者只需要計(jì)算出該文檔的Hash運(yùn)算結(jié)果并與解密得到的Hash運(yùn)算結(jié)果進(jìn)行比較,即可知道該文檔的真?zhèn)?。在?shù)字簽名應(yīng)用中,發(fā)送者的公鑰可以很方便地得到,而他的私鑰則需要嚴(yán)格的保密。

　　PKI的功能模塊

　　PKI的核心是信任關(guān)系的管理。第三方信任和直接信任是所有網(wǎng)絡(luò)安全產(chǎn)品實(shí)現(xiàn)的基礎(chǔ)。所謂第三方信任是指兩個(gè)人可以通過(guò)第三方間接地達(dá)到彼此信任。當(dāng)兩個(gè)陌生人都和同一個(gè)第三方彼此信任并且第三方也擔(dān)保他們的可信度時(shí),這兩個(gè)陌生人就可以做到彼此信任。在任何大規(guī)模的網(wǎng)絡(luò)里,基于第三方的信任是必要并且有效的。當(dāng)在很多人中建立第三方信任時(shí),就需要有一個(gè)權(quán)威中心來(lái)確保信任度。

　　CA(Certification Authority)就是這樣一個(gè)確保信任度的權(quán)威實(shí)體,它的主要職責(zé)是頒發(fā)證書(shū)、驗(yàn)證用戶身份的真實(shí)性。我們可以把CA看成是一個(gè)國(guó)家的護(hù)照簽發(fā)中心。護(hù)照是由權(quán)威中心(護(hù)照簽發(fā)中心)頒發(fā)的一種安全文件,它是護(hù)照持有者的一種紙質(zhì)身份證明,任何信任該國(guó)護(hù)照簽發(fā)中心的其他國(guó)家也會(huì)信任該國(guó)護(hù)照簽發(fā)中心所簽發(fā)的護(hù)照。由CA簽發(fā)的網(wǎng)絡(luò)用戶電子身份證明——證書(shū)就像護(hù)照一樣,任何相信該CA的人,按照第三方信任原則,也都應(yīng)當(dāng)相信持有證明的該用戶。當(dāng)然,就像護(hù)照需要防偽一樣,CA也要采取一系列相應(yīng)的措施來(lái)防止電子證書(shū)被偽造或篡改。構(gòu)建一個(gè)具有較強(qiáng)安全性的CA是至關(guān)重要的,這不僅與密碼學(xué)有關(guān)系,而且與整個(gè)PKI系統(tǒng)的構(gòu)架和模型有關(guān)。此外,靈活性也是CA能否得到市場(chǎng)認(rèn)同的一個(gè)關(guān)鍵,它必須支持各種通用的國(guó)際標(biāo)準(zhǔn),能夠很好地和其他廠家的CA產(chǎn)品兼容。

　　RA(Registration Authority)是用戶和CA的接口,它所獲得的用戶標(biāo)識(shí)的準(zhǔn)確性是CA頒發(fā)證書(shū)的基礎(chǔ)。RA不僅要支持面對(duì)面的登記,也必須支持遠(yuǎn)程登記,如通過(guò)電子郵件、瀏覽器等方式登記。要確保整個(gè)PKI系統(tǒng)的安全、靈活,就必須設(shè)計(jì)和實(shí)現(xiàn)網(wǎng)絡(luò)化、安全的且易于操作的RA系統(tǒng)。

　　在PKI系統(tǒng)中,制定并實(shí)現(xiàn)科學(xué)的安全策略是非常重要的,這些安全策略必須適應(yīng)不同的需求并且能夠通過(guò)CA和RA技術(shù)融入到CA和RA的系統(tǒng)實(shí)現(xiàn)中。同時(shí),這些策略應(yīng)該符合密碼學(xué)和系統(tǒng)安全的要求,科學(xué)地應(yīng)用密碼學(xué)與網(wǎng)絡(luò)安全的理論,并且具有良好的可擴(kuò)展性和互用性。

　　為了確保數(shù)據(jù)的安全性,定期更新密鑰、恢復(fù)意外損壞的密鑰(比如硬盤(pán)等物理介質(zhì)突然損壞)是非常重要的。設(shè)計(jì)和實(shí)現(xiàn)健全的密鑰管理方案,保證安全的密鑰備份、更新、恢復(fù),也是關(guān)系到整個(gè)PKI系統(tǒng)強(qiáng)健性、安全性、可用性的重要因素。

　　此外,PKI系統(tǒng)還需要構(gòu)建一個(gè)安全有效的撤銷(xiāo)系統(tǒng)。證書(shū)是用來(lái)證明證書(shū)持有者身份的電子介質(zhì),它是用來(lái)綁定證書(shū)持有者身份和其相應(yīng)公鑰的。通常,這種綁定在已頒發(fā)證書(shū)的整個(gè)生命周期里都是有效的。但是,有時(shí)也會(huì)出現(xiàn)一個(gè)已頒發(fā)證書(shū)不再有效的情況,如果這個(gè)證書(shū)還沒(méi)有到期,就需要進(jìn)行證書(shū)撤銷(xiāo)。證書(shū)撤銷(xiāo)的理由是各種各樣的,可能包括從工作變動(dòng)到對(duì)密鑰的懷疑等一系列原因。因此,需要采取一種有效和可信的方法,能在證書(shū)自然過(guò)期之前撤銷(xiāo)它。證書(shū)撤銷(xiāo)的實(shí)現(xiàn)方法有多種:一種方法是利用周期性的發(fā)布機(jī)制撤銷(xiāo)證書(shū);另一種方法采用在線查詢機(jī)制,隨時(shí)查詢被撤銷(xiāo)的證書(shū)。
　　
   目前,關(guān)于PKI功能模塊的各種新思想、新技術(shù)仍在不斷出現(xiàn)。比如,為了確保電子交易的不可否認(rèn)性,基于第三方的時(shí)戳(TimeStamp)服務(wù)正在引起人們極大的興趣。在PKI的CA網(wǎng)絡(luò)模型方面,除了傳統(tǒng)的層次結(jié)構(gòu)(Hierarchy)和對(duì)等結(jié)構(gòu)(Peer to Peer)以外,還出現(xiàn)了橋CA(Bridge CA)的概念。

　　應(yīng)用現(xiàn)狀與發(fā)展趨勢(shì)

　　PKI在國(guó)外已經(jīng)開(kāi)始實(shí)際應(yīng)用。在美國(guó),隨著電子商務(wù)的日益興旺,電子簽名、數(shù)字證書(shū)已經(jīng)在實(shí)際中得到了一定程度的應(yīng)用,就連某些法院都已經(jīng)開(kāi)始接受電子簽名的檔案。國(guó)外開(kāi)發(fā)PKI產(chǎn)品的公司也有很多,比較有影響力的有Baltimore和Entrust, 他們都推出了可以應(yīng)用的產(chǎn)品。Entrust 公司的Entrust/PKI 5.0可提供多種功能,能較好地滿足商業(yè)企業(yè)的實(shí)際需求。VeriSign公司也已經(jīng)開(kāi)始提供PKI服務(wù),Internet上很多軟件的簽名認(rèn)證都來(lái)自VeriSign公司。

　　從發(fā)展趨勢(shì)來(lái)看,隨著Internet應(yīng)用的不斷普及和深入,政府部門(mén)需要PKI支持管理;商業(yè)企業(yè)內(nèi)部、企業(yè)與企業(yè)之間、區(qū)域性服務(wù)網(wǎng)絡(luò)、電子商務(wù)網(wǎng)站都需要PKI的技術(shù)和解決方案;大企業(yè)需要建立自己的PKI平臺(tái);小企業(yè)需要社會(huì)提供的商業(yè)性PKI服務(wù)。

　　此外,作為PKI的一種應(yīng)用,基于PKI的虛擬專(zhuān)用網(wǎng)(VPN,Virtual Private Network)市場(chǎng)也隨著B(niǎo)2B電子商務(wù)的發(fā)展而迅速膨脹。據(jù)Infonetics Research的調(diào)查和估計(jì),VPN市場(chǎng)由1997年的2.05億美元開(kāi)始以100%的增長(zhǎng)率增長(zhǎng),預(yù)計(jì)到2001年將達(dá)到119億美元。

　　對(duì)PKI市場(chǎng),著名的市場(chǎng)調(diào)查公司IDC 在1999年12月發(fā)表的報(bào)告PKI: Nothing But Pilots?中認(rèn)為:目前PKI技術(shù)還處在幼年期,2003年的世界PKI市場(chǎng)將由1998年的1.227億飛漲到13億美元。另外一家以英國(guó)為主的市場(chǎng)調(diào)查公司Datamonitor在2000年3月的報(bào)告Public Key Infrastructure, 1999～2003中認(rèn)為,PKI市場(chǎng)在2003年將達(dá)到35億美元。

　　總的來(lái)看,PKI的市場(chǎng)需求非常巨大,基于PKI的應(yīng)用包括了許多內(nèi)容,如WWW服務(wù)器和瀏覽器之間的通信、安全的電子郵件、電子數(shù)據(jù)交換、Internet上的信用卡交易以及VPN等。因此,PKI具有非常廣闊的市場(chǎng)應(yīng)用前景。

　　PKI技術(shù)正在不斷發(fā)展中。按照國(guó)外一些調(diào)查公司的說(shuō)法,目前的PKI系統(tǒng)僅僅還處于示范工程階段,許多新技術(shù)正在不斷涌現(xiàn),CA之間的信任模型、使用的加解密算法、密鑰管理的方案等也在不斷變化之中。

　　網(wǎng)絡(luò),特別是Internet網(wǎng)絡(luò)的安全應(yīng)用已經(jīng)離不開(kāi)PKI技術(shù)的支持。網(wǎng)絡(luò)應(yīng)用中的機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性和存取控制等安全需求只有PKI技術(shù)才能滿足。中國(guó)作為一個(gè)網(wǎng)絡(luò)發(fā)展大國(guó),發(fā)展自己的PKI技術(shù)是很有必要而且是非常迫切的。由于我們目前沒(méi)有成熟的PKI解決方案,使得某些關(guān)鍵應(yīng)用領(lǐng)域不得不采用國(guó)外的PKI產(chǎn)品。因此,研究和開(kāi)發(fā)我國(guó)自主的、完整的PKI系統(tǒng),以支持政府、銀行和企業(yè)安全地使用信息資源和國(guó)家信息基礎(chǔ)設(shè)施已是刻不容緩,這對(duì)于我國(guó)電子商務(wù)、電子政務(wù)、電子事務(wù)的發(fā)展將是非常關(guān)鍵和重要的。