围 绕着如何用好这种非对称密码技术,数字证书破壳而出,并成为 PKI 中最为核心的元素。 PKI 的优势主要表现在: 1、 采用公开密钥密码技术,能够支持可公开验证并无法仿冒的数字签名,从而在支 持可追究的服务上具有不可替代的优势。 这种可追究的服务也为原发数据完整性提供了更高 级别的担保。支持可以公开地进行验证,或者说任意的第三方可验证,能更好地保护弱势个 体,完善平等的网络系统间的信息和操作的可追究性。 2、 由于密码技术的采用,保护机密性是 PKI 最得天独厚的优点。PKI 不仅能够为相互 认识的实体之间提供机密性服务,同时也可以为陌生的用户之间的通信提供保密支持。 3、 由于数字证书可以由用户独立验证,不需要在线查询,原理上能够保证服务范围 的无限制地扩张, 这使得 PKI 能够成为一种服务巨大用户群的基础设施。 PKI 采用数字证书 方式进行服务, 即通过第三方颁发的数字证书证明末端实体的密钥, 而不是在线查询或在线 分发。这种密钥管理方式突破了过去安全验证服务必须在线的限制。 4、 PKI 提供了证书的撤销机制,从而使得其应用领域不受具体应用的限制。撤销机制 提供了在意外情况下的补救措施,在各种安全环境下都可以让用户更加放心。另外,因为有 撤销技术,不论是永远不变的身份、还是经常变换的角色,都可以得到 PKI 的服务而不用 担心被窃后身份或角色被永远作废或被他人恶意盗用。为用户提供“改正错误”或“后悔”的途 径是良好工程设计中必须的一环。 5、 PKI 具有极强的互联能力。 不论是上下级的领导关系, 还是平等的第三方信任关系, PKI 都能够按照人类世界的信任方式进行多种形式的互联互通, 从而使 PKI 能够很好地服务 于符合人类习惯的大型网络信息系统。 PKI 中各种互联技术的结合使建设一个复杂的网络信 任体系成为可能。PKI 的互联技术为消除网络世界的信任孤岛提供了充足的技术保障。 PKI 的未来 在寻找 PKI 的招牌应用(Killer Application)屡告失败后,PKI 突破性的增长并没有出 现。 大量的投资进入了 PKI 建设中却没有带来预期的收益。 有人说 PKI 根本就是一种骗术, 有些人说 PKI 已经死了,而有人说它没有死,只是在休息。 本书也不敢预测未来,只能谈谈对 PKI 面临的问题,市场的需求以及其竞争技术。 2001 年,美国审计总署总结 PKI 发展面临的挑战时指出,互操作问题,系统费用昂贵 等是当时的主要困难。2003 年美国审计总署总结联邦 PKI 发展问题时仍旧强调,在 PKI 建 设中,针对技术问题和法律问题,在很多地方缺乏策略和指南或者存在错误的策略和指南; 实施费用高,特别是在实施一些非标准的接口时资金压力更大;互操作问题依然突出,PKI 系统与其他系统的集成时面临已有系统的调整甚至替换的问题;使用和管理 PKI 需要更多 培训,PKI 的管理仍旧有严重障碍。 尽管 PKI 建设的问题很多,也没有出现如同人们想象的突破性的发展,但我们仍旧不 难发现,所有这些挑战,实际上都源于 PKI 技术的复杂。比如,实施者对标准的理解不一 致是造成互操作问题一个重要原因。目前,随着人们研究的深入,标准的出台,更多实施者 的参与,更多应用的推进都会极大推进互操作性问题的解决。大量的技术人员参与建设,也 会加速 PKI 产品的降价,降低 PKI 用户的购买成本。随着用户对 PKI 的深入了解,使用和 维护 PKI 也将不是一个昂贵的过程。诸多的困难,并没有阻挡,也不可能阻挡 PKI 的应用 的脚步。PKI 已经逐步深入到网络应用的各个环节。PKI 的诸多优势使得 PKI 的应用逐步扩 大。 举一个例子,电子商务中需要可追究性保护,而 PKI 提供的任意第三方可验证能够提 供一个更加公平的环境支持。比如,甲方乙方签订合同后,不用担心对方跟某位领导(也许 可以称为权威方)有什么关系,因为任意的一个第三方都可以验证合法的合同内容。这种公 开的验证方式使得商务活动可以变得更加民主与和谐。 这样公平的技术环境是对称密码技术 和基于身份的密码技术无法提供的。在一个企业内部,PKI 也可以为构建一个更加民主的商 务环境提供技术支持。比如,聪明的老板或领导一定是言而有信的领导,肯定会将下属或员 工看成自己的合作者,也愿意一样接受制度的制约。PKI 这种第三方验证的方式鼓励了这种 平等的合作,表明了一种“在法律面前人人平等”的民主作风。而使用对称密码技术的员工却 不得不无条件地信任密钥分发中心, 对称密码的管理系统没有能力提供追究领导责任的技术 途径。 PKI 提供的安全服务支持了许多以前无法完成的应用。PKI 技术可以保证运行代码正确 地通过网络下载而不被黑客篡改;可以保证数字证件,比如护照的真实性,而不用担心被证 件阅读者假冒; 可以用于版权保护而不用担心没有证据; 可以用于负责任的新闻或节目分级 管理从而净化文化环境,等等。 PKI 技术并没有一个招牌应用,也没有人们想象中那么迅速的发展。然而,也许正是没 有招牌应用才使得 PKI 能够成为所有应用的安全基础;没有快速发展也许说明 PKI 的发展 不会是昙花一现,而是经久不衰。作为一项目前还没有替代品的技术,PKI 正逐步得到更加 广泛的应用