今年6月30日是一個非常值得關(guān)注的日子,這一天,美國總統(tǒng)克林頓正式簽署了美國的《全球及全國商業(yè)電子簽名法》,這是美國歷史上第一部聯(lián)邦級的電子簽名法,它將于2000年10月1日起生效。這一法律的簽署,將極大地促進(jìn)全美乃至全球電子商務(wù)的發(fā)展。今后,網(wǎng)上炒股、網(wǎng)上購物、政府網(wǎng)上采購等大宗交易都可以通過電子簽名迅速安全地完成,而不再需要傳統(tǒng)的紙筆簽名。在美國,為了促進(jìn)電子商務(wù)的發(fā)展,許多州已經(jīng)通過了州法律,承認(rèn)電子簽名的法律效力。可以預(yù)見,電子簽名、數(shù)字證書在不久的將來就會走入人們的生活。

　　什么是PKI技術(shù)

　　那么,如何構(gòu)建一個安全的信息基礎(chǔ)設(shè)施平臺,為電子商務(wù)、電子政務(wù)、電子事務(wù)提供良好的應(yīng)用環(huán)境呢?PKI(Public Key Infrastructure,公鑰基礎(chǔ)設(shè)施)技術(shù)能很好地滿足這一需求。從字面上理解,PKI就是利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施。PKI技術(shù)是信息安全技術(shù)的核心,也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。由于通過網(wǎng)絡(luò)進(jìn)行的電子商務(wù)、電子政務(wù)、電子事務(wù)等活動缺少物理的接觸,因而使得用電子方式驗證信任關(guān)系變得至關(guān)重要。而PKI技術(shù)恰好是一種適合電子商務(wù)、電子政務(wù)、電子事務(wù)的密碼技術(shù),它能夠有效地解決電子商務(wù)應(yīng)用中的機(jī)密性、真實性、完整性、不可否認(rèn)性和存取控制等安全問題。
　　通常,一個實用的PKI體系應(yīng)該是安全的、易用的、靈活的和經(jīng)濟(jì)的。它必須充分考慮互操作性和可擴(kuò)展性。它所包含的認(rèn)證機(jī)構(gòu)(CA)、注冊機(jī)構(gòu)(RA)、策略管理、密鑰(Key)與證書(Certificate)管理、密鑰備份與恢復(fù)、撤銷系統(tǒng)等功能模塊應(yīng)該有機(jī)地結(jié)合在一起。

　　公鑰密碼學(xué)與PKI

　　密碼學(xué)為電子商務(wù)的安全提供了良好的應(yīng)用基礎(chǔ)。在公鑰密碼學(xué)中,通過使用一對密鑰(公鑰和私鑰),再采用一些數(shù)學(xué)上的加解密算法,就可以很好地進(jìn)行安全的數(shù)據(jù)傳輸。公鑰密碼學(xué)在PKI中的兩個最基本的典型應(yīng)用就是加密與數(shù)字簽名。

　　在加密應(yīng)用中,發(fā)送者利用接收者的公開密鑰對要發(fā)送的敏感信息進(jìn)行加密,然后把加密后的密文發(fā)送給接收者;接收者收到密文后,再用自己的私鑰進(jìn)行解密,這樣就安全保密地得到了原始的敏感信息。在這里,接收者的公鑰是完全公開的,任何想給接收者發(fā)送保密信息的人都可以公開、自由地得到接收者的公鑰;而接收者的私鑰則是需要嚴(yán)格保護(hù)的,絕對不能泄漏給其他人,這樣,就算在密文的發(fā)送過程中,密文被別有用心的人截獲、拷貝,但由于沒有私鑰,也是不能解密的。

　　數(shù)字簽名是防止網(wǎng)上交易時進(jìn)行偽造和欺騙的一種有效手段。發(fā)送者在自己要公布或發(fā)送的電子文檔上簽名,接收者通過驗證簽名的真實性確認(rèn)文檔是否被篡改過。在公布一份電子文檔時,發(fā)送者首先對要公布的文檔進(jìn)行哈希(Hash)運算,然后發(fā)送者就可以用自己的簽名私鑰對Hash運算得出的簡潔數(shù)據(jù)進(jìn)行加密簽名;接收者收到簽名文檔后,用發(fā)送者的公鑰進(jìn)行解密,得到解密后的Hash運算結(jié)果和文檔。此時,接收者只需要計算出該文檔的Hash運算結(jié)果并與解密得到的Hash運算結(jié)果進(jìn)行比較,即可知道該文檔的真?zhèn)巍Ｔ跀?shù)字簽名應(yīng)用中,發(fā)送者的公鑰可以很方便地得到,而他的私鑰則需要嚴(yán)格的保密。

　　PKI的功能模塊

　　PKI的核心是信任關(guān)系的管理。第三方信任和直接信任是所有網(wǎng)絡(luò)安全產(chǎn)品實現(xiàn)的基礎(chǔ)。所謂第三方信任是指兩個人可以通過第三方間接地達(dá)到彼此信任。當(dāng)兩個陌生人都和同一個第三方彼此信任并且第三方也擔(dān)保他們的可信度時,這兩個陌生人就可以做到彼此信任。在任何大規(guī)模的網(wǎng)絡(luò)里,基于第三方的信任是必要并且有效的。當(dāng)在很多人中建立第三方信任時,就需要有一個權(quán)威中心來確保信任度。

　　CA(Certification Authority)就是這樣一個確保信任度的權(quán)威實體,它的主要職責(zé)是頒發(fā)證書、驗證用戶身份的真實性。我們可以把CA看成是一個國家的護(hù)照簽發(fā)中心。護(hù)照是由權(quán)威中心(護(hù)照簽發(fā)中心)頒發(fā)的一種安全文件,它是護(hù)照持有者的一種紙質(zhì)身份證明,任何信任該國護(hù)照簽發(fā)中心的其他國家也會信任該國護(hù)照簽發(fā)中心所簽發(fā)的護(hù)照。由CA簽發(fā)的網(wǎng)絡(luò)用戶電子身份證明——證書就像護(hù)照一樣,任何相信該CA的人,按照第三方信任原則,也都應(yīng)當(dāng)相信持有證明的該用戶。當(dāng)然,就像護(hù)照需要防偽一樣,CA也要采取一系列相應(yīng)的措施來防止電子證書被偽造或篡改。構(gòu)建一個具有較強(qiáng)安全性的CA是至關(guān)重要的,這不僅與密碼學(xué)有關(guān)系,而且與整個PKI系統(tǒng)的構(gòu)架和模型有關(guān)。此外,靈活性也是CA能否得到市場認(rèn)同的一個關(guān)鍵,它必須支持各種通用的國際標(biāo)準(zhǔn),能夠很好地和其他廠家的CA產(chǎn)品兼容。

　　RA(Registration Authority)是用戶和CA的接口,它所獲得的用戶標(biāo)識的準(zhǔn)確性是CA頒發(fā)證書的基礎(chǔ)。RA不僅要支持面對面的登記,也必須支持遠(yuǎn)程登記,如通過電子郵件、瀏覽器等方式登記。要確保整個PKI系統(tǒng)的安全、靈活,就必須設(shè)計和實現(xiàn)網(wǎng)絡(luò)化、安全的且易于操作的RA系統(tǒng)。

　　在PKI系統(tǒng)中,制定并實現(xiàn)科學(xué)的安全策略是非常重要的,這些安全策略必須適應(yīng)不同的需求并且能夠通過CA和RA技術(shù)融入到CA和RA的系統(tǒng)實現(xiàn)中。同時,這些策略應(yīng)該符合密碼學(xué)和系統(tǒng)安全的要求,科學(xué)地應(yīng)用密碼學(xué)與網(wǎng)絡(luò)安全的理論,并且具有良好的可擴(kuò)展性和互用性。

　　為了確保數(shù)據(jù)的安全性,定期更新密鑰、恢復(fù)意外損壞的密鑰(比如硬盤等物理介質(zhì)突然損壞)是非常重要的。設(shè)計和實現(xiàn)健全的密鑰管理方案,保證安全的密鑰備份、更新、恢復(fù),也是關(guān)系到整個PKI系統(tǒng)強(qiáng)健性、安全性、可用性的重要因素。

　　此外,PKI系統(tǒng)還需要構(gòu)建一個安全有效的撤銷系統(tǒng)。證書是用來證明證書持有者身份的電子介質(zhì),它是用來綁定證書持有者身份和其相應(yīng)公鑰的。通常,這種綁定在已頒發(fā)證書的整個生命周期里都是有效的。但是,有時也會出現(xiàn)一個已頒發(fā)證書不再有效的情況,如果這個證書還沒有到期,就需要進(jìn)行證書撤銷。證書撤銷的理由是各種各樣的,可能包括從工作變動到對密鑰的懷疑等一系列原因。因此,需要采取一種有效和可信的方法,能在證書自然過期之前撤銷它。證書撤銷的實現(xiàn)方法有多種:一種方法是利用周期性的發(fā)布機(jī)制撤銷證書;另一種方法采用在線查詢機(jī)制,隨時查詢被撤銷的證書。
　　
   目前,關(guān)于PKI功能模塊的各種新思想、新技術(shù)仍在不斷出現(xiàn)。比如,為了確保電子交易的不可否認(rèn)性,基于第三方的時戳(TimeStamp)服務(wù)正在引起人們極大的興趣。在PKI的CA網(wǎng)絡(luò)模型方面,除了傳統(tǒng)的層次結(jié)構(gòu)(Hierarchy)和對等結(jié)構(gòu)(Peer to Peer)以外,還出現(xiàn)了橋CA(Bridge CA)的概念。

　　應(yīng)用現(xiàn)狀與發(fā)展趨勢

　　PKI在國外已經(jīng)開始實際應(yīng)用。在美國,隨著電子商務(wù)的日益興旺,電子簽名、數(shù)字證書已經(jīng)在實際中得到了一定程度的應(yīng)用,就連某些法院都已經(jīng)開始接受電子簽名的檔案。國外開發(fā)PKI產(chǎn)品的公司也有很多,比較有影響力的有Baltimore和Entrust, 他們都推出了可以應(yīng)用的產(chǎn)品。Entrust 公司的Entrust/PKI 5.0可提供多種功能,能較好地滿足商業(yè)企業(yè)的實際需求。VeriSign公司也已經(jīng)開始提供PKI服務(wù),Internet上很多軟件的簽名認(rèn)證都來自VeriSign公司。

　　從發(fā)展趨勢來看,隨著Internet應(yīng)用的不斷普及和深入,政府部門需要PKI支持管理;商業(yè)企業(yè)內(nèi)部、企業(yè)與企業(yè)之間、區(qū)域性服務(wù)網(wǎng)絡(luò)、電子商務(wù)網(wǎng)站都需要PKI的技術(shù)和解決方案;大企業(yè)需要建立自己的PKI平臺;小企業(yè)需要社會提供的商業(yè)性PKI服務(wù)。

　　此外,作為PKI的一種應(yīng)用,基于PKI的虛擬專用網(wǎng)(VPN,Virtual Private Network)市場也隨著B2B電子商務(wù)的發(fā)展而迅速膨脹。據(jù)Infonetics Research的調(diào)查和估計,VPN市場由1997年的2.05億美元開始以100%的增長率增長,預(yù)計到2001年將達(dá)到119億美元。

　　對PKI市場,著名的市場調(diào)查公司IDC 在1999年12月發(fā)表的報告PKI: Nothing But Pilots?中認(rèn)為:目前PKI技術(shù)還處在幼年期,2003年的世界PKI市場將由1998年的1.227億飛漲到13億美元。另外一家以英國為主的市場調(diào)查公司Datamonitor在2000年3月的報告Public Key Infrastructure, 1999～2003中認(rèn)為,PKI市場在2003年將達(dá)到35億美元。

　　總的來看,PKI的市場需求非常巨大,基于PKI的應(yīng)用包括了許多內(nèi)容,如WWW服務(wù)器和瀏覽器之間的通信、安全的電子郵件、電子數(shù)據(jù)交換、Internet上的信用卡交易以及VPN等。因此,PKI具有非常廣闊的市場應(yīng)用前景。

　　PKI技術(shù)正在不斷發(fā)展中。按照國外一些調(diào)查公司的說法,目前的PKI系統(tǒng)僅僅還處于示范工程階段,許多新技術(shù)正在不斷涌現(xiàn),CA之間的信任模型、使用的加解密算法、密鑰管理的方案等也在不斷變化之中。

　　網(wǎng)絡(luò),特別是Internet網(wǎng)絡(luò)的安全應(yīng)用已經(jīng)離不開PKI技術(shù)的支持。網(wǎng)絡(luò)應(yīng)用中的機(jī)密性、真實性、完整性、不可否認(rèn)性和存取控制等安全需求只有PKI技術(shù)才能滿足。中國作為一個網(wǎng)絡(luò)發(fā)展大國,發(fā)展自己的PKI技術(shù)是很有必要而且是非常迫切的。由于我們目前沒有成熟的PKI解決方案,使得某些關(guān)鍵應(yīng)用領(lǐng)域不得不采用國外的PKI產(chǎn)品。因此,研究和開發(fā)我國自主的、完整的PKI系統(tǒng),以支持政府、銀行和企業(yè)安全地使用信息資源和國家信息基礎(chǔ)設(shè)施已是刻不容緩,這對于我國電子商務(wù)、電子政務(wù)、電子事務(wù)的發(fā)展將是非常關(guān)鍵和重要的。