28、公钥基础设施（PKI）的工作原理及相关要素解析

公钥基础设施（PKI）的工作原理及相关要素解析

1. PSE 相关标准

在与 PSE 相关的领域，有一些属于 PKCS 家族的标准值得关注：
- PKCS#11 ：通常用于规范智能卡与终端实体之间的接口。
- PKCS#15 ：对芯片上用于存储私钥、PIN 码和证书的文件结构进行了标准化。
- PKCS#12 ：规定了以加密形式保存 PSE 项目和类似个人数据的格式，主要用于将 CA 生成的私钥以加密形式传输给用户。通常采用类似于 PKCS#5 的基于密码的加密方式。

2. 多 CA 的 PKI

为简化和安全起见，我们先了解了仅含一个 CA 的 PKI 组件。实际上，PKI 中可以存在多个信任中心，每个信任中心都有自己的 CA；一个信任中心也可以运行多个 CA，这些 CA 可以相互连接（例如属于同一层次结构）；RA 也可以接受不同 CA 甚至不同信任中心的注册。

3. 证书管理

PKI 的主要目的是创建、撤销和控制数字证书，即证书管理。为实现这一目的，PKI 各组件需相互通信，PKIX 标准为此提供了一系列协议，统称为证书管理协议（CMP）。CMP 协议消息可通过 HTTP、FTP、直接 TCP 传输或电子邮件发送。

3.1 CA 初始化

在信任中心及其 CA 开始运行前，需进行一系列初始化步骤。CA 软件要在可控环境下启动，尤其要注意信任中心私钥的生成和保护。私钥需使用良好的随机数生成器生成，并防止管理员未经授权复制。根据签名法的 ITsec 评