1703483590
1703483591
作为CA,必须具有如下基本功能:
1703483592
1703483593
(1)签发数字证书;
1703483594
1703483595
(2)CA密钥的管理;
1703483596
1703483597
(3)接受证书申请,审核申请者身份;
1703483598
1703483599
(4)证书管理;
1703483600
1703483601
(5)提供证书和证书状态的查询。
1703483602
1703483603
以上功能中,最为重要的是签发证书。CA对其签发的数字证书全部内容(包括证书用户姓名标识、公钥信息、颁发者标识、证书有效期、签名算法标识等信息)进行数字签名。从而权威地证明了证书持有者和公钥的唯一匹配关系。
1703483604
1703483605
CA的另一项重要功能是证书查询。CA的证书库可以作为公钥的来源地。此外,证书有效性的查询对于安全认证也是至关重要的。由于证书遗失或其他原因,证书可能需要在失效期未到时就予以撤销。CA提供证书撤销列表(Certificate Revocation List,简称CRL)或其他方法供证书依赖方实时查询。
1703483606
1703483607
3.CA的组成部分
1703483608
1703483609
CA主要由以下部分组成:
1703483610
1703483611
(1)CA服务器:这是CA的核心,是数字证书生成、发放的运行实体,同时提供发放证书的管理、证书废止列表(CRL)的生成和处理等服务。
1703483612
1703483613
(2)证书下载中心:该中心连接在互联网上,用户通过登录CA网站访问证书下载中心,CA服务器生成的证书通过证书下载中心供用户下载。
1703483614
1703483615
(3)目录服务器:功能是提供数字证书的存储,以及数字证书和证书撤销列表(CRL)的查询。
1703483616
1703483617
(4)OCSP服务器:该服务器向用户提供证书在线状态的查询。
1703483618
1703483619
(5)密钥管理中心(KMC):根据国家密码管理规定,加密用私钥必须由权威、可靠的机构进行备份和保管。CFCA被授权建立KMC,以备份和保管用户的加密密钥。
1703483620
1703483621
(6)证书注册机构(Registration Authority,简称RA):负责受理证书的申请和审核,其主要功能是接受客户证书申请并进行审核。RA主要是远程的,CFCA的RA部署在各家用户银行、税务机关或企业所在地。因为,这样一方面便于进行客户资料的审查,另一方面也便于银行将证书与客户的账号进行绑定,以实现认证。但即使RA部署在远程所在地,这些RA也仍然是CA的组成部分。
1703483622
1703483623
1703483624
1703483625
1703483626
4.CA的结构
1703483627
1703483628
一般的PKI/CA系统都为层次结构,这里就以CFCA系统结构为例来说明:在系统设计之初,CA系统由根CA(1个)、政策CA(3个)和运营CA(多个)三部分组成。
1703483629
1703483630
1703483631
1703483632
1703483633
当初设计这种结构的初衷是,CFCA希望做成全国性的金融CA,向公众提供服务。这样,根CA的作用主要是负责制定和审批CA的总策略,向政策CA发放证书,以及与国际其他PKI域的CA进行交叉认证。三个政策CA则分别负责制定和审批银行、证券、保险领域CA的策略,向运营CA发放证书。运营CA则负责颁发最终用户的证书。
1703483634
1703483635
由于三层结构CA的证书链较长,认证速度效率较低,而且认证业务并没有按原来所设想的方向发展,政策CA实际上只建了1个,原来的初衷未能实现。因此,CFCA后来新建的CA系统全部采用RCA-OCA两层的扁平结构,省略了政策CA这层。
1703483636
1703483637
1703483638
1703483639
[
上一页 ]
[ :1.70348359e+09 ]
[
下一页 ]