PKI安全架构

定义

PKI（Public Key Infrastructure，公钥基础设施）是通过使用公钥技术和数字证书来提供系统信息安全服务，并负责验证数字证书持有者身份的一种体系。PKI基础设施采用证书管理公钥，通过第三方的可信任机构认证中心，把用户的公钥和用户的其他身份信息捆绑在一起，它是一个具有通用性的安全基础设施，是一个系统或服务体系。

PKI 的功能是通过签发数字证书来绑定证书持有者的身份和相关的公开密钥，为用户获取证书、访问证书和撤销证书提供了方便的途径。同时利用数字证书及相关的各种服务（证书发布、黑名单发布等）实现通信过程中各实体的身份认证，保证了通信数据的机密性、完整性、不可否认性和认证性。

PKI就是保障数据在网络传输过程的安全性以及数据收发过程中发送者和接收者身份的认证。

机密性：只有通信双方才能读懂数据，任何第三方都无法获取明文数据。

完整性：数据在传输过程中没有被篡改，也不是其他第三方伪造的数据。

不可否认性：发送数据的一方在事后不能否认自身没有发送过数据，防止依赖和污蔑（接收方不能私自伪造数据是由发送方发送的）。

认证性：为了保证数据就是从某一个可信任的用户所发送的。

PKI组件

终端实体：可以是人也可以是设备，满足证书使用者就行。证书申请者和使用者，也就是USG。

证书机构CA：签发管理证书的第三方机构，需要被所有用户都信任。用于签发并管理数字证书的第三方机构，其作用包括:发放证书、规定证书的有效期和通过发布CRL（Certificate Revocation List）确保必要时可以废除证书。

• CRL：证书吊销列表由CA颁发的一个文件，这个文件可以导入设备或浏览器，用户证书在吊销列表内看到证书失效就无法使用。