CA认证机构 ：CA认证机构是PKI公钥基础设施的核心，它主要完成生成/签发证书、生成/签发证书撤销列表（CRL）、发布证书和CRL到目录服务器、维护证书数据库和审计日志库等功能。
RA注册审核机构：RA是数字证书的申请、审核和注册中心。它是CA认证机构的延伸。在逻辑上RA和CA是一个整体，主要负责提供证书注册、审核以及发证功能。
发布系统：发布系统主要提供LDAP服务、OCSP服务和注册服务。注册服务为用户提供在线注册的功能；LDAP提供证书和CRL的目录浏览服务；OCSP提供证书状态在线查询服务。
应用接口系统：应用接口系统为外界提供使用PKI安全服务的入口。应用接口系统一般采用API、COM等多种形式。一个典型、完整、有效的PKI应用系统至少应具有以下部分
公钥密码证书管理(证书库）
黑名单的发布和管理(证书撤销)
密钥的备份和恢复
自动更新密钥
自动管理历史密钥
分布式体系结构的建立
认证机构是PKI安全体系的核心，对于一个大型的分布式企业应用系统，需要根据应用系统的分布情况和组织结构设立多级CA机构。CA信任体系描述了PKI安全体系的分布式结构。
证书签发管理机构
CA在内的各级CA。根CA是整个CA体系的信任源。负责整个CA体系的管理，签发并管理下级CA证书。从安全角度出发，根CA一般采用离线工作方式。
根以下的其他各级CA负责本辖区的安全，为本辖区用户和下级CA签发证书，并管理所发证书。理论上CA体系的层数可以没有限制的，考虑到整个体系的信任强度，在实际建设中，一般都采用两级或三级CA结构。
RA注册审核机构设置
从广义上讲，RA是CA的一个组成部分，主要负责数字证书的申请、审核和注册。除了根CA以外，每一个CA机构都包括一个RA机构，负责本级CA的证书申请、审核工作。
RA机构的设置可以根据企业行政管理机构来进行，RA的下级级构可以是RA分中心或业务受理点LRA。
受理点LRA与注册机构RA共同组成证书申请、审核、注册中心的整体。LRA面向最终用户，负责对用户提交的申请资料进行录入、审核和证书制作。
KMC密钥管理中心
一般来说，每一个CA中心都需要有一个KMC负责该CA区域内的密钥管理任务。KMC可以根据应用所需PKI规模的大小灵活设置，既可以建立单独的KMC，也可以采用镶嵌式KMC，让KMC模块直接运行在CA服务器上。
发布系统
发布系统是PKI安全体系中的一个重要组成部分。它由用于发布数字证书和CRL的证书发部系统、在线证书状态查询系统（OCSP）和在线注册服务系统组成。证书和CRL采用标准的LDAP协议发布到LDAP服务器上，应用程序可以通过发布系统验证用户证书的合法性。OCSP提供证书状态的实时在线查询功能。
SSL协议IPSec 协议
SET协议
---------------------------------------------------------------------
SSL与IPSec
(1)SSL保护在传输层上通信的数据的安全，IPSec除此之外还保护IP层上的教据包的安全，如UDP包。
(2)对一个在用系统，SSL不需改动协议栈但需改变应用层，而IPSec却相反。
(3)SSL可单向认证(仅认证服务器)，但IPSec要求双方认证。当涉及应用层中间节点，IPSec只能提供链接保护，而SSL提供端到端保护。
(4)IPSec受NAT影响较严重，而SSL可穿过NAT而毫无影响。
(5)IPSec是端到端一次握手，开销小而SSL/TLS每次通信都握手，开销大。
SSL与SET
(1)SET仅适于信用卡支付，而SSL是面向连接的网络安全协议。SET允许各方的报文交换非实时，SET报文能在银行内部网或其他网上传输，而SSL上的卡支付系统只能与Web浏览器捆在一起。
(2)SSL只占电子商务体系中的一部分(传输部分)，而SET位于应用层。对网络上其他各层也有涉及，它规范了整个商务活动的流程。
(3)SET的安全性远比SSL高。SET完全确保信息在网上传输时的机密性、可鉴删性、完整性和不可抵赖性。SSL也提供信息机密性、完整性和一定程度的身份鉴别功能，但SSL不能提供完备的防抵赖功能。因此从网上安全支付来看，SET比SSL针对性更强更安全。
(4)SET协议交易过程复杂庞大，比SSL处理速度慢，因此SET中服务器的负载较重，而基于SSL网上支付的系统负载要轻得多。
(5)SET比SSL贵，对参与各方有软件要求，且目前很少用网上支付，所以SET很少用到。而SSL因其使用范围广、所需费用少、实现方便，所以普及率较高。但随着网l二交易安全性需求的不断提高，SET必将是未来的发展方向。
SSL与S/MIME
S/MIME是应用层专保护E-mail的加密网络安全协议，而SMTP/SSL保护E-mail效果不是很好，因SMTP/SSL仅提供使用SMTP的链路的安全，而从邮件服务器到本地的路径是用POP/MAN协议，这无法用SMTP/SSL保护。相反S/MIME加密整个邮件的内容后用MIME教据发送，这种发送可以是任一种方式。它摆脱了安全链路的限制，只需收发邮件的两个终端支持S/MIME即可。
SSL与SHTTP
SHITP是应用层加密协议，它能感知到应用层数据的结构，把消息当成对象进行签名或加密传输。它不像SSL完全把消息当作流来处理。SSL主动把数据流分帧处理。也因此SHTTP可提供基于消息的抗抵赖性证明，而SSL不能。所以SHTTP比SSL更灵活，功能更强，但它实现较难，而使用更难，正因如此现在使用基于SSL的HTTPS要比SHTTP更普遍。
每种网络安全协议都有各自的优缺点，实际应用中要根据不同情况选择恰当协议并注意加强协议间的互通与互补，以进一步提高网络的安全性。另外现在的网络安全协议虽已实现了安全服务，但无论哪种安全协议建立的安全系统都不可能抵抗所有攻击，要充分利用密码技术的新成果，在分析现有安全协议的基础上不断探索安全协议的应用模式和领域。
=============================================================
密钥管理中心密钥管理中心（KMC），是公钥基础设施中的一个重要组成部分，负责为CA系统提供密钥的生成、保存、备份、更新、恢复、查询等密钥服务，以解决分布式企业应用环境中大规模密码技术应用所带来的密钥管理问题。一般来说，每一个CA中心都需要有一个KMC负责该CA区域内的密钥管理任务。KMC可以根据应用所需PKI规模的大小灵活设置，既可以建立单独的KMC，也可以采用镶嵌式KMC，让KMC模块直接运行在CA服务器上。 系统的存贮服务器，由大型数据库及目录服务器组成。负责用户证书、CRL及其它相关的信息的存贮。 密钥管理服务 系统支持两套密码模块：加密模块和符合PKCS#11标准的加密模块（硬设备）。支持高强度的密钥及加密算法，并提供客户端的支持环境。 通过PKCS#11接口直接硬件加密，实现了黑盒管理，系统密钥不出主机加密服务器，拥有很强的安全性和保密性。 密钥生成及其存储 系统中的密钥共分为以下几种： 1、CA的密钥：CA（ Certification Authority ，证书认证中心）的密钥是整个系统的核心机密，它在系统安装时产生，生成之后加密存储在存储服务器的数据库或硬件主机加密服务器中。 2、 用户的密钥：用户的加密密钥由客户端产生，生成后加密存储在客户端本机文件或操作系统安全区中。 密钥归档与备份 可以以加密的方式对密钥进行归档和备份。如果使用硬件加密，则支持密钥管理员身份IC卡的备份与管理；如果使用软件加密，则支持标准PBE/PKCS#5算法对密钥进行高强度的加密存贮与备份。 客户端密钥的管理 提供客户端软件，支持对客户端密钥的管理，包括：生成、存贮、备份。通过使用标准的PBE/PKCS#5实现对客户端密钥本地化存贮和备份的保护。 赞同
0| 评论
2011-12-27 18:34 DH_尛叶 | 三级
问王泽群，你懂得、、 赞同
0| 评论
2011-12-29 20:07 JAZZδless | 三级
群哥不是教过我们么- -||
（1）SSL协议；IPSec 协议；SET协议
（2）对称：密钥分发中心（KDC）；非对称：公钥基础设施（PKI体系）
KMI是密钥管理基础设施。
KMI(Key Management Infrastructure,密钥管理基础设施)是一种密钥统一集中式管理机制，由KMC(Key Mangement Center,密钥管理中心)提供统一的密钥管理服务，涉及密钥生成服务器，密钥数据库服务器和密钥服务管理器等组成。适用于各种专用网。
静态分发分为：
1、点对点配置，其特点是可用单钥或双钥实现。单钥为鉴别提供可靠参数，但不提供不可否认服务。数字签名要求双钥实现。
2、一对多配置，其特点是可用单钥或双钥实现。只在中心保留所有各端的密钥，各端只保留自己的密钥。是建立秘密通道的主要方法。
3、格状网配置，其特点是可使用单钥或双钥实现。也称为端端密钥，密钥配置量为全网n个终端中选2的组合数。
欢迎分享，转载请注明来源：夏雨云
微信扫一扫
支付宝扫一扫
评论列表（0条）