今年6月30日是一個非常值得關注的日子,這一天,美國總統克林頓正式簽署了美國的《全球及全國商業電子簽名法》,這是美國歷史上第一部聯邦級的電子簽名法,它將于2000年10月1日起生效。這一法律的簽署,將極大地促進全美乃至全球電子商務的發展。今后,網上炒股、網上購物、政府網上采購等大宗交易都可以通過電子簽名迅速安全地完成,而不再需要傳統的紙筆簽名。在美國,為了促進電子商務的發展,許多州已經通過了州法律,承認電子簽名的法律效力。可以預見,電子簽名、數字證書在不久的將來就會走入人們的生活。

　　什么是PKI技術

　　那么,如何構建一個安全的信息基礎設施平臺,為電子商務、電子政務、電子事務提供良好的應用環境呢?PKI(Public Key Infrastructure,公鑰基礎設施)技術能很好地滿足這一需求。從字面上理解,PKI就是利用公鑰理論和技術建立的提供安全服務的基礎設施。PKI技術是信息安全技術的核心,也是電子商務的關鍵和基礎技術。由于通過網絡進行的電子商務、電子政務、電子事務等活動缺少物理的接觸,因而使得用電子方式驗證信任關系變得至關重要。而PKI技術恰好是一種適合電子商務、電子政務、電子事務的密碼技術,它能夠有效地解決電子商務應用中的機密性、真實性、完整性、不可否認性和存取控制等安全問題。
　　通常,一個實用的PKI體系應該是安全的、易用的、靈活的和經濟的。它必須充分考慮互操作性和可擴展性。它所包含的認證機構(CA)、注冊機構(RA)、策略管理、密鑰(Key)與證書(Certificate)管理、密鑰備份與恢復、撤銷系統等功能模塊應該有機地結合在一起。

　　公鑰密碼學與PKI

　　密碼學為電子商務的安全提供了良好的應用基礎。在公鑰密碼學中,通過使用一對密鑰(公鑰和私鑰),再采用一些數學上的加解密算法,就可以很好地進行安全的數據傳輸。公鑰密碼學在PKI中的兩個最基本的典型應用就是加密與數字簽名。

　　在加密應用中,發送者利用接收者的公開密鑰對要發送的敏感信息進行加密,然后把加密后的密文發送給接收者;接收者收到密文后,再用自己的私鑰進行解密,這樣就安全保密地得到了原始的敏感信息。在這里,接收者的公鑰是完全公開的,任何想給接收者發送保密信息的人都可以公開、自由地得到接收者的公鑰;而接收者的私鑰則是需要嚴格保護的,絕對不能泄漏給其他人,這樣,就算在密文的發送過程中,密文被別有用心的人截獲、拷貝,但由于沒有私鑰,也是不能解密的。

　　數字簽名是防止網上交易時進行偽造和欺騙的一種有效手段。發送者在自己要公布或發送的電子文檔上簽名,接收者通過驗證簽名的真實性確認文檔是否被篡改過。在公布一份電子文檔時,發送者首先對要公布的文檔進行哈希(Hash)運算,然后發送者就可以用自己的簽名私鑰對Hash運算得出的簡潔數據進行加密簽名;接收者收到簽名文檔后,用發送者的公鑰進行解密,得到解密后的Hash運算結果和文檔。此時,接收者只需要計算出該文檔的Hash運算結果并與解密得到的Hash運算結果進行比較,即可知道該文檔的真偽。在數字簽名應用中,發送者的公鑰可以很方便地得到,而他的私鑰則需要嚴格的保密。

　　PKI的功能模塊

　　PKI的核心是信任關系的管理。第三方信任和直接信任是所有網絡安全產品實現的基礎。所謂第三方信任是指兩個人可以通過第三方間接地達到彼此信任。當兩個陌生人都和同一個第三方彼此信任并且第三方也擔保他們的可信度時,這兩個陌生人就可以做到彼此信任。在任何大規模的網絡里,基于第三方的信任是必要并且有效的。當在很多人中建立第三方信任時,就需要有一個權威中心來確保信任度。

　　CA(Certification Authority)就是這樣一個確保信任度的權威實體,它的主要職責是頒發證書、驗證用戶身份的真實性。我們可以把CA看成是一個國家的護照簽發中心。護照是由權威中心(護照簽發中心)頒發的一種安全文件,它是護照持有者的一種紙質身份證明,任何信任該國護照簽發中心的其他國家也會信任該國護照簽發中心所簽發的護照。由CA簽發的網絡用戶電子身份證明——證書就像護照一樣,任何相信該CA的人,按照第三方信任原則,也都應當相信持有證明的該用戶。當然,就像護照需要防偽一樣,CA也要采取一系列相應的措施來防止電子證書被偽造或篡改。構建一個具有較強安全性的CA是至關重要的,這不僅與密碼學有關系,而且與整個PKI系統的構架和模型有關。此外,靈活性也是CA能否得到市場認同的一個關鍵,它必須支持各種通用的國際標準,能夠很好地和其他廠家的CA產品兼容。

　　RA(Registration Authority)是用戶和CA的接口,它所獲得的用戶標識的準確性是CA頒發證書的基礎。RA不僅要支持面對面的登記,也必須支持遠程登記,如通過電子郵件、瀏覽器等方式登記。要確保整個PKI系統的安全、靈活,就必須設計和實現網絡化、安全的且易于操作的RA系統。

　　在PKI系統中,制定并實現科學的安全策略是非常重要的,這些安全策略必須適應不同的需求并且能夠通過CA和RA技術融入到CA和RA的系統實現中。同時,這些策略應該符合密碼學和系統安全的要求,科學地應用密碼學與網絡安全的理論,并且具有良好的可擴展性和互用性。

　　為了確保數據的安全性,定期更新密鑰、恢復意外損壞的密鑰(比如硬盤等物理介質突然損壞)是非常重要的。設計和實現健全的密鑰管理方案,保證安全的密鑰備份、更新、恢復,也是關系到整個PKI系統強健性、安全性、可用性的重要因素。

　　此外,PKI系統還需要構建一個安全有效的撤銷系統。證書是用來證明證書持有者身份的電子介質,它是用來綁定證書持有者身份和其相應公鑰的。通常,這種綁定在已頒發證書的整個生命周期里都是有效的。但是,有時也會出現一個已頒發證書不再有效的情況,如果這個證書還沒有到期,就需要進行證書撤銷。證書撤銷的理由是各種各樣的,可能包括從工作變動到對密鑰的懷疑等一系列原因。因此,需要采取一種有效和可信的方法,能在證書自然過期之前撤銷它。證書撤銷的實現方法有多種:一種方法是利用周期性的發布機制撤銷證書;另一種方法采用在線查詢機制,隨時查詢被撤銷的證書。
　　
   目前,關于PKI功能模塊的各種新思想、新技術仍在不斷出現。比如,為了確保電子交易的不可否認性,基于第三方的時戳(TimeStamp)服務正在引起人們極大的興趣。在PKI的CA網絡模型方面,除了傳統的層次結構(Hierarchy)和對等結構(Peer to Peer)以外,還出現了橋CA(Bridge CA)的概念。

　　應用現狀與發展趨勢

　　PKI在國外已經開始實際應用。在美國,隨著電子商務的日益興旺,電子簽名、數字證書已經在實際中得到了一定程度的應用,就連某些法院都已經開始接受電子簽名的檔案。國外開發PKI產品的公司也有很多,比較有影響力的有Baltimore和Entrust, 他們都推出了可以應用的產品。Entrust 公司的Entrust/PKI 5.0可提供多種功能,能較好地滿足商業企業的實際需求。VeriSign公司也已經開始提供PKI服務,Internet上很多軟件的簽名認證都來自VeriSign公司。

　　從發展趨勢來看,隨著Internet應用的不斷普及和深入,政府部門需要PKI支持管理;商業企業內部、企業與企業之間、區域性服務網絡、電子商務網站都需要PKI的技術和解決方案;大企業需要建立自己的PKI平臺;小企業需要社會提供的商業性PKI服務。

　　此外,作為PKI的一種應用,基于PKI的虛擬專用網(VPN,Virtual Private Network)市場也隨著B2B電子商務的發展而迅速膨脹。據Infonetics Research的調查和估計,VPN市場由1997年的2.05億美元開始以100%的增長率增長,預計到2001年將達到119億美元。

　　對PKI市場,著名的市場調查公司IDC 在1999年12月發表的報告PKI: Nothing But Pilots?中認為:目前PKI技術還處在幼年期,2003年的世界PKI市場將由1998年的1.227億飛漲到13億美元。另外一家以英國為主的市場調查公司Datamonitor在2000年3月的報告Public Key Infrastructure, 1999～2003中認為,PKI市場在2003年將達到35億美元。

　　總的來看,PKI的市場需求非常巨大,基于PKI的應用包括了許多內容,如WWW服務器和瀏覽器之間的通信、安全的電子郵件、電子數據交換、Internet上的信用卡交易以及VPN等。因此,PKI具有非常廣闊的市場應用前景。

　　PKI技術正在不斷發展中。按照國外一些調查公司的說法,目前的PKI系統僅僅還處于示范工程階段,許多新技術正在不斷涌現,CA之間的信任模型、使用的加解密算法、密鑰管理的方案等也在不斷變化之中。

　　網絡,特別是Internet網絡的安全應用已經離不開PKI技術的支持。網絡應用中的機密性、真實性、完整性、不可否認性和存取控制等安全需求只有PKI技術才能滿足。中國作為一個網絡發展大國,發展自己的PKI技術是很有必要而且是非常迫切的。由于我們目前沒有成熟的PKI解決方案,使得某些關鍵應用領域不得不采用國外的PKI產品。因此,研究和開發我國自主的、完整的PKI系統,以支持政府、銀行和企業安全地使用信息資源和國家信息基礎設施已是刻不容緩,這對于我國電子商務、電子政務、電子事務的發展將是非常關鍵和重要的。