23、公钥基础设施（PKI）运营考量

公钥基础设施（PKI）运营考量

1. 引言

公钥基础设施（PKI）在当今的信息技术领域中扮演着至关重要的角色，它涉及到公钥架构、业务连续性、灾难恢复以及第三方服务提供商等多个方面的运营问题。快速搭建新的证书颁发机构（CA）或停用现有层级中的CA，与构建全新的CA层级同样重要。同时，维护现有的CA基础设施也是一项挑战。

在PKI运营中，有多个方面的因素会产生影响：
- 法律事务、业务规则、信息技术和密码学的融合，并且标准在其中起着重要作用，这四个领域都需要得到体现和平衡参与。
- 允许自签名证书存在会带来问题，密钥管理和加密硬件模块具有重要意义，不良的密钥管理实践会扰乱运营。
- 各种标准、安全协议和架构组件是PKI的基础，标准定义了最低安全要求，行业规范定义了协议，架构需要具备互操作性。
- 良好的策略、实践以及完善记录的程序有助于保持一致的运营，包括发布和文档保留、认证、证书管理、物理和逻辑安全、审计以及业务和法律问题等方面的控制。
- 明确CA、注册机构（RA）和政策机构（PA）的角色和职责，职责分离有助于保持一致的运营。
- 物理、逻辑、审计和加密模块等方面的安全问题不容忽视，不良的安全实践也会扰乱运营。

2. CA层级结构示例

以ABC公司的内部CA运营为例，CA层级结构可以通过证书链来表示，包括应用的传输层安全（TLS）证书、个人的电子邮件证书以及员工和承包商远程访问的虚拟专用网络（VPN）证书。

下面是不同类型证书的CA层级结构示例：
- TLS证书链 ：由根CA证书、中间CA证书和应用证书组成。根CA - A的公钥证