2、PorKI：通过代理证书实现便携式PKI凭证

PorKI：通过代理证书实现便携式PKI凭证

1. 代理证书概述

代理证书能够轻松颁发临时的、高强度的短期凭证，这些凭证与临时的短期密钥对相匹配。这种方式将用户凭证的暴露时间限制在极短的时间窗口内，即便在共享计算设备上使用也较为安全，因为证书过期后就无法在预定时间之外继续使用。不过，这种方法也存在一些弊端，例如撤销这类证书非常不便，所以有些方案会避免发布撤销信息。而且，由于有效期有限，频繁请求新证书的操作要么对用户来说比较繁琐，要么依赖非常轻量级的认证程序。目前，代理证书虽已标准化，但在特定用户群体（如网格计算）之外尚未广泛应用。

2. PorKI系统设计

假设Alice想通过一个她和远程依赖方Bob都不完全信任的客户端工作站W进行身份验证。她若使用配备PKI的USB令牌，需要工作站W有相应驱动，还可能使她的密钥面临被恶意利用的风险。而PorKI能让Alice在不暴露其身份私钥的情况下完成验证，且无需进行复杂操作，也不依赖工作站W的特殊硬件属性。

PorKI的核心思想是从移动设备（如智能手机）生成并传输临时代理凭证（代理证书和相应私钥）到工作站W（如共享实验室计算机或网吧终端）。这些新生成的凭证可通过标准协议（如SSL、TLS或DTLS）让Alice安全地向Bob进行身份验证。使用代理密钥对后，Alice的长期密钥会安全地保存在移动设备上，不会传输到共享设备W。

PorKI主要包含三个组件：
1. 移动设备应用程序
2. 管理PorKI操作的共享设备扩展
3. 支持代理证书的服务和应用程序

下面重点介绍前两个组件。

3. 智能手机应用程序

Po