19、PKI系统各角色职责与协议详解

PKI系统各角色职责与协议详解

1. OCSP系统

OCSP（在线证书状态协议）系统与CRL（证书撤销列表）不同，CRL由颁发CA签名并公开张贴，供依赖方进行证书验证；而OCSP响应者接受证书状态请求并返回签名响应，因此OCSP响应者拥有自己的数字签名密钥。该系统以在线模式运行，有自动和手动流程，影响整体安全性。

• 系统安装与更新 ：由管理员安装，后续按需为新硬件或软件进行更新。与在线CA系统类似，可通过网络使用远程访问控制进行软件升级，无需技术人员参与，且安装和升级无需加密密钥，因此保管人也无需参与。当新设备替换旧设备时，技术人员、保管人和审计员确保所有加密材料妥善终止后，旧硬件可退役。
• 安全控制 ：安全经理在OCSP操作前确保所有物理安全控制到位且有效。发生安全事件可能表明密钥泄露，需立即报告给技术人员；物理安全控制出现异常则立即报告给安全经理。技术人员和安全经理需定期同步物理安全控制的信息和状态。
• 密钥生成 ：审计员在密钥生成前监督，确保技术人员和保管人遵循既定程序。技术人员在HSM（硬件安全模块）内生成密钥，并生成CSR（证书签名请求）以从在线CA获取CA证书。技术人员和保管人可能会备份密钥，以防HSM故障或部署额外HSM。
• 审计与监督 ：审计员需关注的重要OCSP事件包括生成OCSP密钥和获取OCSP证书；安全官员只需关注常规OCSP事件，如手动安装OCSP更新和请求OCSP证书撤销。非加密性质的维护和报告操作，如配置OCSP应用，只需技术人员参与，审计员和