【正文】 它們描述了公鑰加解密 、 密鑰交換 、 信息交換的語(yǔ)法和編程接口 ， 是 Inter上證書(shū)請(qǐng)求 、 發(fā)布 、 認(rèn)證以及信息交換的基礎(chǔ) 。 PKCS 標(biāo)準(zhǔn) : 公 開(kāi) 密 碼 學(xué) 標(biāo) 準(zhǔn) PKCS ( Public Key CryptographStandard )是 RSA為公開(kāi)密碼學(xué)提供的一個(gè)工業(yè)標(biāo)準(zhǔn)接口 。 ? LDAPv2方案 [RFC2587]。 RFC文檔集包括 : ? 證書(shū)和證書(shū)撤銷(xiāo)列表的描述 「 RFC2459] 。 PKIX標(biāo)準(zhǔn) :PKIX標(biāo)準(zhǔn)是致力于互聯(lián)網(wǎng)領(lǐng)域的 Inter工程任務(wù)組 (IETF)根據(jù)另外兩個(gè)標(biāo)準(zhǔn) ( RSA數(shù)據(jù)安全實(shí)驗(yàn)室制定的公共密鑰密碼標(biāo)準(zhǔn) PKCS)為依據(jù)制定的一系列RFC文檔 。 目前定義的證書(shū)版本號(hào) 為 3。 PKI相關(guān)標(biāo)準(zhǔn) PKI技術(shù)的相關(guān)標(biāo)準(zhǔn)詳細(xì)定義了使用的證書(shū)格式 、 管理協(xié)議 、 消息格式以及認(rèn)證規(guī)范等內(nèi)容 。 ? 在應(yīng)用領(lǐng)域方面 SSL主要是和 Web應(yīng)用一起工作 ， 而 SET是為信用卡交易提供安全 ， 因此如果電子商務(wù)應(yīng)用只是通過(guò) Web或是電子郵件 ， 則可以不要 SET。 而 SSL只對(duì)持卡人與商店端的信息交換進(jìn)行加密保護(hù) ， 可以看作是用于傳輸?shù)哪遣糠值募夹g(shù)規(guī)范 。 ? 在網(wǎng)絡(luò)層協(xié)議位置方面 SSL是基于傳輸層的通用安全協(xié)議 ， 而SET位于應(yīng)用層 ， 對(duì)網(wǎng)絡(luò)上其他各層也有涉及 。 SET與 SSL協(xié)議的比較 ? 在認(rèn)證要求方面 早期的 SSL并沒(méi)有提供商家身份認(rèn)證機(jī)制 ，雖然在 書(shū)可實(shí)現(xiàn)瀏覽器和 Web服務(wù)器雙方的身份驗(yàn)證 ，但仍不能實(shí)現(xiàn)多方認(rèn)證 。 ? 在線(xiàn)商店發(fā)送貨物或提供服務(wù)并通知收單銀行將錢(qián)從消費(fèi)者的帳號(hào)轉(zhuǎn)移到商店帳號(hào) ， 或通知發(fā)卡銀行請(qǐng)求支付 。 ? 在線(xiàn)商店發(fā)送訂單確認(rèn)信息給消費(fèi)者 。 信息通過(guò)支付網(wǎng)關(guān)到收單銀行 ， 再到電子貨幣發(fā)行公司確認(rèn) 。 ? 在 SET中 ， 消費(fèi)者必須對(duì)訂單和付款指令進(jìn)行數(shù)字簽名 ， 同時(shí)利用雙重簽名技術(shù)保證商家看不到消費(fèi)者的帳號(hào)信息 。 ? 通過(guò)電子商務(wù)服務(wù)器與有關(guān)在線(xiàn)商店聯(lián)系 ， 在線(xiàn)商店作出應(yīng)答 ， 告訴消費(fèi)者所填訂貨單的貨物單價(jià) 、 應(yīng)付款數(shù) 、 交貨方式等信息是否準(zhǔn)確 ，是否有變化 。 ? 認(rèn)證中心 (CA)， 負(fù)責(zé)對(duì)交易對(duì)方的身份確認(rèn) ，對(duì)廠(chǎng)商信譽(yù)度和消費(fèi)者的支付手段進(jìn)行認(rèn)證 。 ? 電子貨幣 (如智能卡 、 電子現(xiàn)金 、 電子錢(qián)包 )發(fā)行公司 ， 以及某些兼有電子貨幣發(fā)行的銀行 。 ? 在線(xiàn)商店 ， 提供商品或服務(wù) ， 具備相應(yīng)電子貨幣使用的條件 。 ? 保證網(wǎng)上交易的實(shí)時(shí)性 ， 即所有的支付過(guò)程都是在線(xiàn)的 。 ? 解決網(wǎng)上認(rèn)證問(wèn)題 。 ? 保證電子商務(wù)參與者信息的相互隔離 。 SET已獲得 IETF標(biāo)準(zhǔn)的認(rèn)可 ， 是電子商務(wù)的發(fā)展方向 。 SET協(xié)議概述 SET是美國(guó) Visa和 MasterCard兩大信用卡組織等聯(lián)合于 1997年 5月 31日推出的用于電子商務(wù)的行業(yè)規(guī)范 ， 其實(shí)質(zhì)是一種應(yīng)用在Inter上 、 以信用卡為基礎(chǔ)的電子付款系統(tǒng)規(guī)范 ， 目的是為了保證網(wǎng)絡(luò)交易的安全 。 ?加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊取 。 如果想要和另一個(gè)機(jī)構(gòu)建立信任 ， 那么它就需要在它的信任錨和另一個(gè)機(jī)構(gòu)或者其根 CA之間建立交叉認(rèn)證的關(guān)系 。 ?對(duì)等交叉信任模型 這種模型中 ， 任意兩個(gè)機(jī)構(gòu)之間沒(méi)有從屬關(guān)系 ， 它們之間的信任關(guān)系是對(duì)等的 。 該模型的優(yōu)點(diǎn)是信任關(guān)系可以傳遞 ， 從而減少頒發(fā)的證書(shū)個(gè)數(shù) ， 使證書(shū)的管理更加簡(jiǎn)單 。 橋 橋信任模型 ?網(wǎng)狀信任模型 在網(wǎng)狀信任模型中 ， 一個(gè)重要的思想就是信任可以通過(guò)傳遞而建立 ， 即如果 A信任 B, B信任 C， 那么 A信任 C。 顯然在橋模型中 ， 在域間也可確定一條唯一的信任路徑 ， 橋 CA是在大量組織中擴(kuò)展的一種重要方法 。 對(duì)于各個(gè) CA根結(jié)點(diǎn)來(lái)說(shuō) ， 橋是它們的同級(jí) 。 在根 CA的下面是零層或多層中間 CA， 這些 CA由中間結(jié)點(diǎn)代表 ， 從中間再伸出分支 。 通常使用的 PKI信任模型有如下四種 : ?嚴(yán)格層次結(jié)構(gòu)模型 認(rèn)證機(jī)構(gòu) (CA)的嚴(yán)格層次可以描繪為一棵倒轉(zhuǎn)的樹(shù) ， 根在頂上 ， 樹(shù)枝向下伸展 。 信任模型提供建立和管理信任關(guān)系的框架 。各實(shí)體共同構(gòu)成了一個(gè) PKI系統(tǒng) 。 前者涉及管理實(shí)體 、 終端實(shí)體與證書(shū)庫(kù)之間的交互 ，操作的目的是向證書(shū)庫(kù)存放證書(shū)和 CRL， 或從證書(shū)庫(kù)中讀取證書(shū)和 CRL。 不同的實(shí)體間通過(guò) PKI操作完成證書(shū)的請(qǐng)求 、 確認(rèn) 、 發(fā)布和撤銷(xiāo) 、 更新和獲取等過(guò)程 。 證書(shū)庫(kù) 由 Web, FTP或 。 持有者使用證書(shū)向?qū)Ψ阶C實(shí)自己的身份 ，從而獲得相應(yīng)的權(quán)利 。 持有者是證書(shū)的擁有者 ， 是證書(shū)所聲明的主體 。 (5) 將上述簽名連同以上信息提交給證書(shū)機(jī)構(gòu)CA， 并把提交信息在本地做一個(gè)備份，在這里信息提交的信道應(yīng)該是加密的，而且對(duì)提交的請(qǐng)求應(yīng)做數(shù)字簽名。如果正確，則進(jìn)行下一步，否則，退回請(qǐng)求。但簽發(fā)證書(shū)所需的公鑰必須是電子形式的。 RA的主要功能如下 : (1) 主體注冊(cè)證書(shū)的個(gè)人認(rèn)證，確認(rèn)主體所提 供的信息的有效性。 RA作為 CA與證書(shū)用戶(hù)的接口 ， 是保證證書(shū)真實(shí)性的關(guān)鍵部件 。注冊(cè)中心在許多應(yīng)用中是不必須的實(shí)體 ， 但在許多實(shí)際環(huán)境中 ， 要求注冊(cè)機(jī)構(gòu)獨(dú)立分離出來(lái) 。 (4)證書(shū)驗(yàn)證 :證書(shū)驗(yàn)證是確定證書(shū)在某一時(shí)刻是否有效的過(guò)程 ,證書(shū)是否包含一個(gè)有效的數(shù)字簽名的 ,頒發(fā)者的公開(kāi)密鑰是否可以用來(lái)驗(yàn)證證書(shū)上的數(shù)字簽名 ,當(dāng)前使用證書(shū)的時(shí)間是否在證書(shū)的有效期內(nèi) ， 或在證書(shū)簽發(fā)時(shí)的起止日期內(nèi) ,檢查 CRL， 證書(shū)是否被撤銷(xiāo)等 。 (2)證書(shū)更新 :證書(shū)的更新有兩種情況 ， 一種是更新證書(shū)的屬性 ， 另一種是更新整個(gè)證書(shū) ， 包括實(shí)體密鑰的更新 。 在數(shù)字證書(shū)認(rèn)證的過(guò)程中 ， 證書(shū)認(rèn)證中心作為權(quán)威 、 公正 、 可信賴(lài)的第三方 ， 其作用是至關(guān)重要的 ,CA允許管理員撤銷(xiāo)發(fā)放的數(shù)字證書(shū) ， 在證書(shū)注銷(xiāo)列表 (CRL)中添加新項(xiàng)并周期性的發(fā)布具有數(shù)字簽名的 CRL 。 CA中心的數(shù)字簽名使得攻擊者不能偽造和纂改該數(shù)字證書(shū) 。 ?認(rèn)證中心 認(rèn)證中心 (CA)可按照一定的信任模型來(lái)組織 ，通常組織成層次模型 。RA可單獨(dú)實(shí)現(xiàn) ， 也可合并在 CA中實(shí)現(xiàn) 。證書(shū)庫(kù)是分布式數(shù)據(jù)庫(kù)，用于證書(shū)或證書(shū)注銷(xiāo)列表的存放和檢索，RFC2510定義的 PKI的實(shí)體模型如下圖 : 終端實(shí)體 注冊(cè)中心 RA 認(rèn)證中心 CA 證書(shū)庫(kù) PKI系統(tǒng)結(jié)構(gòu)簡(jiǎn)圖 證書(shū)申請(qǐng)請(qǐng)求 返回請(qǐng)求 提交證書(shū)申請(qǐng) 請(qǐng)求響應(yīng) 獲取證書(shū)或者 CRL 管理實(shí)體 它包括證書(shū)簽發(fā)機(jī)構(gòu)和注冊(cè)機(jī)構(gòu) (RA)兩種 。管理實(shí)體是 PKI的核心，是 PKI服務(wù)的提供者 。 一個(gè)有效的 PKI系統(tǒng)必須是安全的和透明的 。 PKI應(yīng)用接口系統(tǒng) 一個(gè)完整的 PKI必須提供良好的應(yīng)用接口系統(tǒng) ， 以便各種應(yīng)用都能夠以安全 、 一致 、 可信的方式與 PKI交互 ， 確保所建立起來(lái)的網(wǎng)絡(luò)環(huán)境