2、PKI依赖方风险管理：验证机构的应用与策略

PKI依赖方风险管理：验证机构的应用与策略

在PKI（公钥基础设施）体系中，依赖方（RP）如何有效管理风险是一个关键问题。不同的CA（证书颁发机构）交互方式以及验证机构（VA）的引入，为RP的风险管理提供了多种途径。下面将详细介绍各种方式及其特点。

1. CA交互方式

1.1 对等CA交叉认证

对等CA交叉认证是指两个CA相互为对方颁发的证书承担一定责任。这种方式的可行性取决于两个CA之间的协议以及所应用的证书策略。其优点在于RP选择的CA能够确保策略等效，并对其他CA承担责任，从而实现一定程度的风险管理。然而，这种方式也存在明显的局限性。对于竞争关系的CA而言，实现交叉认证非常困难，即使公共机构有相关要求也难以达成。因此，对等CA交叉认证作为一种可扩展的互操作性解决方案，在实际应用中并不可行，主要适用于非商业性的CA，如合作企业的企业PKI。

1.2 层次结构

在层次结构中，CA被组织在一个共同的根CA之下，根CA向从属CA颁发证书。虽然理论上层次结构可以有任意数量的级别，但实际系统通常只有两级：根CA和证书颁发CA。

从质量方面来看，通常要求所有CA具有可比的质量，这可以通过根CA定义的共同基础策略来强制执行。例如，德国所有经政府批准的CA（用于合格证书）都置于由电信和邮政监管机构运营的根CA之下。不过，根CA的策略并不一定对CA施加限制，如EuroPKI倡议所示。在这种情况下，RP从CA属于该层次结构这一事实中，除了知道CA的公钥是真实的之外，很难得出其他结论。

在责任方面，根CA是薄弱环节。责任必须与收入或资金相平衡。根CA可以依靠政府或国际资金运营，也可以由根CA下属的CA共同拥有的有限公司运营（成