【正文】 憑證路徑確認亦符合標(biāo)準(zhǔn)PKIX程序。 下圖為ISISMTT的基礎(chǔ)架構(gòu)，憑證服務(wù)提供者（Certificate Service Provider）與客戶端應(yīng)用間， V3標(biāo)準(zhǔn)之憑證和CRL特性資料的功能。CSP和其他CSP間亦使用共通知PKI管裡通訊協(xié)定，而各個客戶端應(yīng)用間也使用符合標(biāo)準(zhǔn)的訊息格式。另外，各模組間的溝通也都符合上述所提到的核心規(guī)格。 ISISMTT在2002年發(fā)展了一套可作為實際應(yīng)用及服務(wù)的測試平臺，並授予品質(zhì)標(biāo)誌給已經(jīng)通過互通性測試的PKI應(yīng)用。此外，ISISMTT亦開發(fā)了以W3C和ETSI為基礎(chǔ)的XMLProfile。ISISMTT標(biāo)準(zhǔn)開發(fā)所導(dǎo)致的優(yōu)點有，PKI在應(yīng)用階層的互通性得以有效增加電子化政府以及電子商務(wù)在簽章、加密和驗證等相關(guān)產(chǎn)品應(yīng)用的接受度、提供使用者在產(chǎn)品及服務(wù)的多樣選擇性與成本之節(jié)省，並直接刺激PKI應(yīng)用開發(fā)廠商的開發(fā)意願。 截至2002年10月，ISISMTT已發(fā)展為擁有6個委員會成員、25個技術(shù)工作小組成員、10個憑證服務(wù)提供者、14個應(yīng)用開發(fā)者及31個測試平臺設(shè)備之規(guī)模。 由ISISMTT標(biāo)準(zhǔn)的制定過程以及成果中可以了解到，在標(biāo)準(zhǔn)制訂過程中，法律相關(guān)問題不應(yīng)該涉入過多的討論，這是因為百分之百符合法令的解決方案並不存在；政府與民間企業(yè)的合作關(guān)係保持雖然不容易，但此種組合為達成目標(biāo)的最有效方法；瞭解不同市場的需求，尤其必須注意某些特定的、專屬於某些特定產(chǎn)業(yè)之需求；保持參與者以及對相關(guān)團體對計畫內(nèi)容的高度興趣是計畫延續(xù)的關(guān)鍵?！镜?五 場】美國聯(lián)邦BCA運作概況The . Federal Bridge Certification Authority: Operations Overview【主 講 人】Dr. Peter Alterman（美國聯(lián)邦PKI指導(dǎo)委員會資深顧問） 本講次Dr. Alterman主要是講述美國聯(lián)邦BCA的運作概觀。事實上BCA運作的概念一般是雷同的，但其運作卻未必相同，譬如德國與美國聯(lián)邦BCA的運作方式就不一樣；又譬如美國本土境內(nèi)醫(yī)療業(yè)的BCA運作方式也和美國聯(lián)邦BCA有所不同。 Dr. Alterman指出BCA並不直接發(fā)憑證給終端用戶（End Entity），其作用是欲建立各個不同PKI領(lǐng)域間的信賴關(guān)係。這種信賴關(guān)係奠基於軸輻式的架構(gòu)，它可有效簡化交互認證的複雜度。簡單來說，輔以不同特定之信賴等級標(biāo)準(zhǔn)，BCA可建立起不同PKI領(lǐng)域間所需的信賴關(guān)係。關(guān)於聯(lián)邦BCA所提供的驗證服務(wù)，它支援CRL Checking, OCSP, SCVP等協(xié)定；此外，美國政府還提供相關(guān)的經(jīng)費開發(fā)開放性程式碼驗證軟體供一己和外界使用。就其經(jīng)驗，聯(lián)邦BCA在驗證工作上所遭遇到的問題主要出在用戶端的電子郵件、瀏覽器等桌面應(yīng)用程式。 從作業(yè)管理的角度來看，聯(lián)邦BCA日常的運作單位主要包括聯(lián)邦PKI指導(dǎo)委員會（Federal PKI Steering Committee）、聯(lián)邦PKI政策中心（Federal PKI Policy Authority, FPKIPA）、聯(lián)邦BCA運作機關(guān)（Federal BCA Operational Authority）。聯(lián)邦PKI指導(dǎo)委員會的主要工作是監(jiān)督以及指揮聯(lián)邦BCA的所有運作，它並利用PKI基礎(chǔ)建設(shè)強化聯(lián)邦以及州政府各單位間的信賴關(guān)係。事實上它的另一個使命是強制要求聯(lián)邦政府各單位能夠建置應(yīng)用PKI系統(tǒng)和技術(shù)，確保政府電子化服務(wù)的安全性，並且促進像Entrust, Netscape iPlanet, RSA Keon, Baltimore, Microsoft .NET CA, DST/Identrus和Verisign等商業(yè)產(chǎn)品間的互通性。 至於聯(lián)邦PKI政策中心是在美國聯(lián)邦資訊長協(xié)會（Federal CIO Council）的支持下成立，六個創(chuàng)始單位包括美國總務(wù)管理局、預(yù)算管理部門、國防部、財政部、商業(yè)部以及司法部。FPKIPA之設(shè)立主要為建立各個特定領(lǐng)域PKI架構(gòu)與其他領(lǐng)域PKI架構(gòu)間利用BCA作互通所必須遵守的規(guī)範(fàn)。簡言之，聯(lián)邦PKI政策中心的主要功能是核準(zhǔn)聯(lián)邦BCA的憑證政策（Certificate Policy, CP）與憑證實作準(zhǔn)則（Certification Practice Statement, CPS）。 同時它與聯(lián)邦BCA運作機關(guān)間建立自願性的同意契約關(guān)係，該契約內(nèi)容闡明聯(lián)邦PKI政策中心必須審驗聯(lián)邦BCA營運狀況是否符合憑證政策和憑證實作準(zhǔn)則內(nèi)文所述。它並決定各聯(lián)邦政府單位利用聯(lián)邦BCA達到與聯(lián)邦PKI互通的保證等級，以及決定聯(lián)邦BCA發(fā)給會員憑證機構(gòu)的跨憑證中所應(yīng)包含的憑證政策種類及政策對應(yīng)方式，並進一步協(xié)調(diào)各聯(lián)邦單位與聯(lián)邦BCA互通的PKI法律、政策、技術(shù)與商業(yè)應(yīng)用問題。 而如有必要，在聯(lián)邦政府所屬單位的要求下，提供額外的PKI管理相關(guān)支援協(xié)助。除以上所述，聯(lián)邦PKI政策中心還與聯(lián)邦BCA體系外一般業(yè)界、州與地方政府、國外政府等單位進行聯(lián)繫工作。講師附帶一提，聯(lián)邦PKI政策中心每年運作的經(jīng)費大概是美金三十萬。聯(lián)邦BCA運作機關(guān)的主要任務(wù)是負責(zé)執(zhí)行BCA的憑證政策和憑證實作準(zhǔn)則，另外是負責(zé)BCA系統(tǒng)原型與其它PKI間的互通性，以及檢驗PKI業(yè)者的產(chǎn)品是否能與聯(lián)邦BCA的系統(tǒng)互通，同時它還負責(zé)評估和測試新興的技術(shù)或產(chǎn)品。聯(lián)邦BCA運作機關(guān)的另一個功能是負責(zé)系統(tǒng)備援、災(zāi)後重建以及稽核作業(yè)等相關(guān)工作。因此，它還必須向聯(lián)邦PKI指導(dǎo)委員會和聯(lián)邦PKI政策中心報告BCA和BCA系統(tǒng)原型運轉(zhuǎn)的狀況。目前聯(lián)邦BCA運作機關(guān)每年運作的經(jīng)費約莫是兩百萬美金。 在實務(wù)作業(yè)上，當(dāng)美國政府各部門憑證機構(gòu)如欲利用聯(lián)邦BCA進行互通以達到與其他政府機構(gòu)憑證機構(gòu)交互認證目的，必須遵守的步驟主要包括：該政府部門必須擁有一個欲與聯(lián)邦BCA橋接的營運憑證機構(gòu)，該憑證機構(gòu)還必須擁有相關(guān)的憑證政策、憑證實作準(zhǔn)則以及一份敘述其PKI目錄（Directory）結(jié)構(gòu)的文件。接續(xù)，該政府部門須向聯(lián)邦PKI政策中心提出取得聯(lián)邦BCA憑證之申請，由該政府部門填寫一份申請表並經(jīng)該單位高階主管簽署後使得生效。申請流程中也必須包括對聯(lián)邦BCA憑證政策對應(yīng)方法的提議。 目前與聯(lián)邦BCA交互認證的聯(lián)邦政府單位包括美國航空暨太空總署、美國財政部、美國國防部、美國國家財政中心。目前尚有其它的聯(lián)邦政府單位、伊利諾州政府、DST/Identrus和Verisign以及政府內(nèi)的單位預(yù)計將陸續(xù)與之交互認證。此外聯(lián)邦BCA系統(tǒng)原型與高等教育BCA系統(tǒng)原型交互認證，建立政府單位與大學(xué)院校之間的信賴關(guān)係。另外聯(lián)邦BCA目前亦在發(fā)展憑證信賴路徑發(fā)掘與驗證的機制。 聯(lián)邦BCA目前在技術(shù)面則已將Entrust和RSA的產(chǎn)品納入聯(lián)邦BCA的框架內(nèi)（Bridge Membrane），Baltimore和Microsoft也將陸續(xù)加入，而DST/Identrus, iPlanet和VeriSign也已完成其產(chǎn)品與聯(lián)邦BCA系統(tǒng)技術(shù)面的互通測試。在應(yīng)用上，聯(lián)邦BCA主要應(yīng)用在電子郵件、電子文件、網(wǎng)頁表單以及相關(guān)報告等領(lǐng)域。26 / 26