13、PKI管理与安全：证书生命周期及相关操作解析

PKI管理与安全：证书生命周期及相关操作解析

1. PKI系统中的公钥唯一性问题

PKI系统在为有缺陷的公钥颁发证书时，可能会使订阅者或依赖方面临风险。在发生法律纠纷时，CA可能会因未验证订阅者的公钥而被认定有过错。

公钥唯一性是CA需要检查的重要方面。CA会在其证书存储库中检查是否存在重复的公钥。由于公钥和私钥在数学上是相关的，证书请求中相同的公钥意味着两个密钥所有者生成了相同的密钥对，但这种情况极不可能发生。更有可能的是，主体使用了较差的密钥生成工具，可能在生成随机数或随机素数时熵值过低。CA不能通知新的请求者，因为这会危及现有密钥所有者的安全，但CA可以拒绝为与现有证书相同的公钥颁发新证书。

为避免歧义，PKI不应为每个公钥颁发多个CA证书。虽然同一主体可能使用相同的公钥提交CSR，但每个请求都会生成一个具有唯一序列号的不同证书。

2. RFC 3647初始身份验证

RFC 3647的“初始身份验证”子部分考虑了为每个PKI参与者进行初始身份验证的方法。该部分讨论了为何要对各种PKI参与者进行身份验证和授权、验证哪些信息以及由谁执行验证、身份验证和授权过程。如果支持证书保证级别，也需要在本部分进行说明。

以下是内部CA的初始身份验证示例：
| PKI实体 | CP或CPS | 示例声明 |
| — | — | — |
| CA | CP | 从属CA从其上级CA获取证书。 |
| RA | CP | RA从其关联的CA获取证书。 |
| 订阅者 | CP | 订阅者获得系统和网络登录标识及密码凭证。 |
| 员工 | CP | 员工根据ABC公司的人力