一、 PKI基本概念

      公钥基础设施PKI（Public Key Infrastructure），是一种遵循既定标准的密钥管理台,它

  能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来

  说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核

  心，也是电子商务的关键和基础技术。

      原有的单密钥加密技术采用特定加密密钥加密数据，而解密时用于解密的密钥与加密密钥相

  同，这称之为对称型加密算法。采用此加密技术的理论基础的加密方法如果用于网络传输数据加

  密，则不可避免地出现安全漏洞。因为在发送加密数据的同时，也需要将密钥通过网络传输通知

  接收者，第三方在截获加密数据的同时，只需再 截取相应密钥即可将数据解密使用或进行非法

  篡改。

      区别于原有的单密钥加密技术，PKI采用非对称的加密算法，即由原文加密成密文的密钥不

  同于由密文解密为原文的密钥，以避免第三方获取密钥后将密文解密。

      PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。

二、 PKI的基本组成

    完整的PKI系统必须具有权威认证机构(CA)、数字证书库、密钥备份及恢复系统、证书作废系

统、应用接口（API）等基本构成部分，构建PKI也将围绕着这五大系统来着手构建。

认证机构（CA）：

    即数字证书的申请及签发机关，CA必须具备权威性的特征；

数字证书库：

    用于存储已签发的数字证书及公钥，用户可由此获得所需的其他用户的证书及公钥；

密钥备份及恢复系统：

    如果用户丢失了用于解密数据的密钥，则数据将无法被解密，这将造成合法数据丢失。为避免

这种情况，PKI提供备份与恢复密钥的机制。但须注意，密钥的备份与恢复必须由可信的机构来完

成。并且，密钥备份与恢复只能针对解密密钥，签名私钥为确保其唯一性而不能够作备份。

证书作废系统：

    证书作废处理系统是PKI的一个必备的组件。与日常生活中的各种身份证件一样,证书有效期以

内也可能需要作废，原因可能是密钥介质丢失或用户身份变更等。为实现这一点,PKI必须提供作废

证书的一系列机制。

应用接口（API）：

    PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的PKI必须提

供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保安

全网络环境的完整性和易用性。

    通常来说，CA是证书的签发机构,它是PKI的核心。众所周知，构建密码服务系统的核心内容是

如何实现密钥管理。公钥体制涉及到一对密钥（即私钥和公钥）， 私钥只由用户独立掌握，无须

在网上传输，而公钥则是公开的，需要在网上传送，故公钥体制的密钥管理主要是针对公钥的管理

问题，目前较好的解决方案是数字证书机制。

    数字证书是公开密钥体系的一种密钥管理媒介。它是一种权威性的电子文档，形同网络计算环

境中的一种身份证，用于证明某一主体（如人、服务器等）的身份以及其公开密钥的合法性，又称

为数字ID。数字证书由一对密钥及用户信息等数据共同组成，并写入一定的存储介质内，确保用户

信息不被非法读取及篡改。