（产业经济学专业论文）PKICA管理域间交叉认证模式研究.pdf

2 摘 要 随着网络化信息化全球化的新经济时代的到来电子商务逐渐渗透到经 济生活中的各个领域中 而互联网上的安全问题也日益突出 公钥基础设施 pki 是目前网络安全建设的基础与核心是电子商务安全实施的基本保障认证机构 ca也成为网上信息安全的关键职能部门本文针对目前国内 pki/ca 建设 中技术 应用与分布上的特点和问题 研究比较了各种不同交叉认证模式的特点 并借鉴国内外在 ca 互连互通方面的经验 分析出适合国内 pki 建设实际情况的 交叉认证架构模式以实现我国 pki/ca体系的连通性 3 abstract with the coming of new economy times of networks, information and globalization, e -commerce has gradually pervaded all fields of economic life, and security issues on internet has been increasingly prominent. at present, pki (public key infrastructure) is the basis and core of network security construction, as well as the safeguard for the implementation of e-commerce, so that cas (certification authorities) become the key functions of information security on networks. this paper aims at the characteristics and problems of technology, application and distribution on domestic pki/ca construction, compares the specialties of different cross-certification patterns, exacts experience from domestic and foreign ca connectedness, and concludes the suitable cross-certification pattern for the facts of domestic pki construction, which will achieve the connectedness of national pki system. keywordspki (public key infrastructure) ca (certification authorities) cross-certification 4 第一章 引言 作为一项与互联网业务的发展密切相关的信息安全的新技术和基础设施 pki 曾经受到业界的青睐和特别的关注国内几年来的 pki 建设已经奠定了技术基 础形成了一定的规模积累了运营管理经验探索了应用模式以及培育了相 关专业人才全国已经建设成功大型的全国性或是区域性的 pki/ca六十多个 但由于国家级的 pki 体系尚未构建成功国家统一指导管理的部门也没有确立 使得各家的 ca 基本处于互相分割的状态成为互不关联的孤岛各家采用的技 术标准和管理规范也无章可循各行其是这种局面既影响了证书之间的互通又 影响了 ca 的运行规模和效率本文旨在探讨如何把不同的 ca不同的信任孤 岛共同连接起来使用户在网上交易的时候能够让证书使用范围更加广泛更加 自由更加方便以实现国内各 ca 管理域间的交叉认证 第二章 国内 p k i / c a建设的现状 2.1 国内ca建设的规模与分类 电子商务 电子政务对网络安全的要求 不仅推动着 internet 上交易秩序和交 易环节建成同时也带来了巨大的商业机会短短几年间各地各行业纷纷上 马建设 ca 中心根据 2003 年 9 月 34 日召开的中国 pki 论坛上的资料目前 国内的 ca 机构已经超过 60 家58%的省市建立了区域 ca部分部委建立了行 业 ca海南上海和广东颁布了有关电子签名的法规数字证书在电子政务 网络银行网上证券b2b交易网上税务申报资金结算财政预算单位资金 划拨工商网上申报和网上年检等众多领域行业得到应用全国证书发放累计超 过 150 万张 从 ca 中心建设的背景来分国内的 ca 中心大致可以分为三类 1) 大行业或政府部门建立的行业型 cacfca 国家金融认证中心ctca 中 国电信认证中心cpca 国家邮政认证中心gaca公安部数字证书认证中 心国家计委电子政务 ca 中心海关 ca 2) 地方政府授权建立的区域型 ca西部 ca上海 ca北京 ca天津 ca 广东 ca海南 ca深圳 ca吉林 ca山西 ca陕西 ca 福建 ca 2003 年中国 pki 论坛“pki 与电子商务电子政务”主题研讨会会议资料 5 重庆 ca湖北 ca云南 ca 3) 商业性质的企业型 ca一汽进出口 ca福建商业银行 ca招商银行 ca 黑龙江邮政 ca吉林省政府办公厅 ca吉林电力 ca黑龙江电力 ca 辽宁电力 ca江苏电力 ca 等等 其中行业型 ca不但是数字认证的服务商也是其他商品交易的服务商 他们不可避免的要在不同程度上参与交易过程 这与 ca 中心本身要求的第三方 性质有很大的不同就应用的范围而言行业性 ca 更倾向于在自己熟悉的领域 内开展服务例如商务部的国富安 ca 认证中心在适当完善之后将首先应用于 外贸企业的进出口业务政府包括地方政府授权建立的第三方认证系统属于 地区性 ca 除具有地域优势外在推广应用和总体协调商也具有明显的优势不 过地区性 ca 离不开与银行邮电等行业的合作 2.2 国内ca建设存在的问题 就目前的情况而言 ca 的概念已经深入到电子商务的各个层面 但就其应用 而言还远远不够在 ca 建设的分布格局上无论是在建的还是已经启用的 都还存在一些问题 1) 在技术层面上由于受到美国出口限制的影响国内的 ca 认证技术完全靠 自己研发由于参与部门很多导致标准的不统一既有国际上的通行标准 又有自主研发的标准即便是同样的标准其核心内容也有所偏差这将导 致交叉认证过程中出现 公说公有理 婆说婆有理 的局面 虽然国内的 pki 厂商都称他们支持 x.509 证书格式但由于证书的一些扩展项选择不一样 证书的接口标准也不同例如中国金融认证中心颁发的 cfca 数字证书遵 循 itu x.509v3 国 际 标 准 规 范采 用 双 密 钥 和 高 强 度 双 向 认 证 rsa-1024/cast-128机制具有证书自动更新密钥备份黑名单在线 自动查询等功能 而其他某些 ca 的证书格式可能就并没有这么严格和完备 如果一家 ca 在关键信息上使用另一家 ca 不支持的扩展由于 pkix 协议 子集规定当遇到证书中它不能识别的关键扩展项时系统必须拒绝该证书 这将导致整个 pki 可能需要被重新设计 而这是一种非常耗时并且费用昂 贵的过程 所有这些问题都使得各家的 pki/ca基本上处于相互分割的状态 证书之间不能进行互操作 这严重影响了证书的应用 同时也制约了 pki/ca 的运行规模和效率在一定程度上影响了人们对 pki 的信任若这些问题得 美carlton r. davis 著ipsecvpn 的安全实施清华大学出版社2002 年 1 月第 1 版第 122 页 6 不到解决的话pki 的发展将陷入危机 2) 在应用层面上一些 ca 认证机构对证书的发放和审核不够严谨为了抢占 市场在没有进行严格的身份确认和验证就随意发放证书难以确保认证的 权威性和公证性同时数字签名电子文档及认证中心的法律地位问题也未 得到正式确定影响了人们对电子交易的热情 3) 在分布格局上很多 ca 认证机构还存在明显的地域性和行业性无法满足 充当面向全社会的第三方权威认证机构的基本要求就互联网本身而言不 应该也不可能存在地域限制 2.3 国内ca行业存在的缺陷 到目前为止国内尚未出台统一的 pki 标准或相关的管理规范国内众多的 ca 中心也没有一个明确的管理机构这种缺乏统一标准的事态势必形成多种技 术标准共存的局面也是目前我国众多 ca 中心各方割据难以互通的一个主要 原因总的说来国内 ca 行业存在的不足主要体现在以下几个方面 1) 目前属于服务于电子政务的国家级 pki 体系尚未建立 2) ca 中心繁多但许多并不是真正的权威性第三方各家的不同技术标准和 管理规范并存ca 中心之间的协调和交叉认证困难 3) 行业整体发展具有一定的盲目性整个行业发展有些混乱自身管理也比较 混乱 4) 各 ca 基本处于互相分割状态成为互不关联的信任孤岛尚未形成完整的 国家 pki 体系 5) 已建成的 ca 运营机构规模小利用率低产业有待重组距离可商业化运 作的规模还相差很远 6) 已经建立的 ca 自身安全考虑不够 7) 缺乏国家统一指导管理问题突出政出多门没有权威的管理部门 8) 各种来源不同层次不齐的技术供应厂商大量涌现亟待研究具有我国自主 知识产权的基础技术和标准体系 9) 缺乏有力的法律支持至今国家尚未出台一个和 pki/ca数字签名等相关 的正式政策和法律法规 7 2.4 交叉认证的必要性 交叉认证是指在两个 ca 认证机构之间交换钥匙信息的过程这样使得双方 可以有效地验证对方钥匙的可靠性实质上交叉认证是第三方认证的一个简单 意义上的拓展在某个 ca 域内的网络用户将完全信任由自己 ca 通过交叉认证 的其他 ca 域内的用户当两个 ca 建立起一个信任路径之后某个 pki 域中的 依托主体就可以信任另一个 pki 域中的最终用户了这种功能在基于 web 的商 家到商家b2b通信中特别有用 国家信息安全测评认证中心主任吴世忠研究员指出当前我国电子商务 ca 认证中心的建设很不规范就全国而言从市场的需求及未来发展看有四五 个认证中心足矣即使是在电子商务很发达的美国也只有两三个大型的认证 中心现在国内一哄而上建立认证中心完全没有必要这种热衷于各搞一套的 做法是条块分割的老路子与打破时间空间限制的网络化潮流大相径庭网络时 代的各自为政无异画地为牢重复建设所带来的不是利益的最大化而是国家利 益的最小化公众利益的最小化因此实现这些分散的 ca 中心之间的交叉认 证已经是迫在眉睫其目的是为满足国内 pki 建设以下各方面的要求 1国家对信息安全管理的需求 1) ca 是国家网络安全基础设施 2) 解决国内信息安全问题 3) 快速提高国内信息安全产品的科技水平 4) 创建国内信息安全产业 5) 快速带动信息产业的发展 2打破信息孤岛 解决区域性信息安全的需求 1) 各 ca 的建设解决了信息安全问题但又限制了信息应用的范围 2) 各 ca 平台基本上基于层次化 ca 结构 可以通过技术手段解决各 ca 之 间相互认证的问题 3推进信息化建设大力发展信息化的需求 1) 信息安全问题极大影响了信息化的应用与推广 美steve burnett, stephen paine 著密码工程实践指南清华大学出版社2001 年 10 月第 1 版第 177 页 8 2) 建立省级 ca 是解决网上信息安全的有效手段 3) 建立跨 ca 限制的信息安全保障体系显得尤为重要 4应用系统的信息安全保障的要求 1) 众多应用系统需要 ca 做安全保障 2) 开发与 ca 联接的通用接口可方便信息安全在应用系统中的应用快 速促进信息化的发展 3) 研发跨地区应用系统的交叉认证应用接口可方便信息安全机制在应用系 统中的嵌入这对于解决区域信息安全来讲具有重大的意义 第三章 各种交叉认证模式的特点 3.1 交叉认证的概念 交叉认证是 pki 技术中连接两个独立的信任域的一种方法每一个 ca 都有 自己的信任域在该信任域中的所有用户都能够相互信任而不同信任域中的用 户需要相互信任就需要通过在 ca 之间进行交叉认证来完成交叉认证的作用 就是能够扩大认证域的信用范围使用户在更加广泛的范围内建立起信任关系 交叉认证证书提供了一种解决 ca 之间互相信任的机制 从技术角度来说 交叉认证包括在两个 ca 域之间创建交叉证书 当 ca 域 x 和 ca 域 y 交叉校验的时候 ca 域 x 实际上创建和签名一个包含了 ca 域 y 的 公开密钥的交叉认证证书反之也这样也就是说在双方 ca 都各自签发了 交叉证书之后当 ca 域 x 内的 a 用户与 ca 域 y 内的 b 用户进行通信时a 用 户首先使用 hash 算法将数据原文变成数据摘要然后用自己的私钥将此摘要加 密接着得到的结果是最终的数字签名这个签名将连同数据原文一起发送给 b 用户而 b 用户收到这个数字签名和原文后首先要到自己所属的根 ca 去搜寻 包含 a 的公钥的交叉证书然后再用 a 的公钥解密最后得到的是解密后的数据 摘要如果将数据原文用相同的 hash 算法得到的数据摘要同解密后的数据摘要 相比较后发现结果相同的话就可以达成与 a 的信任关系如图 3-1 美steve burnett, stephen paine 著密码工程实践指南清华大学出版社2001 年 10 月第 1 版第 140 页 9 c a xc a y 用户a用户b 原文原文原文 h a s h 算法 非对称算 法加密 数据摘 要 数据签 名 数据签 名 h a s h 算法 数据摘 要 非对称算 法加密 数据摘 要 用户a用户b 用a 的私钥加密 用a 的公钥解密 比较 搜寻包含对方公钥的证书搜寻包含对方公钥的证书 图 3-1 交叉认证过程 3.2 交叉认证的主要模式 关于交叉认证在安全地交换钥匙信息方面还有很多的技术细节在交叉认 证之前两个 ca 都想知道对方的安全模式包括知道对方人员的操作高级安全 功能所能得到的信息 双方还要签订有关的法律文件 这个文件是一个安全手段 并签名保证这个手段将实施目前国际上主要有以下几种交叉认证模式 3.2.1 水平交叉认证 10 水平交叉认证是指双方之间直接建立 ca 信任关系由一个 ca 核发证书给 另一个 ca 的动作与过程而确保双方交叉认证的基础为两个 ca 间信赖关系的 建立换句话说这样的过程是两个不同 pki 领域或同一 pki 领域内的两个 ca 间单一或多重应用互通轨道的建立前者为跨领域间的交叉认证而后者为领域 内部的交叉认证 它允许不同域内的双方直接建立信任而无须第三方 ca 的参与 如图 3-2水平交叉认证的基础是在交换安全信息之前的双方 ca 个人关系的 基础上建立的在网络安全中水平交叉认证是指在两个独立 ca 域中的双方通 过交换钥匙信息来建立他们的通信当这种方式应用于信息安全通信中时其信 任程度就依赖于双方 ca 能够保证接受彼此的信任条件 c a 1c a 2 图 3-2 水平交叉认证 水平认证可以是双向的或单向的双向的水平交叉认证建立在两个凭证机构 间的互惠前提原则下由双方互相发出一个交叉证书并依照 x.509 的标准格 式将此成对的交叉证书储存于管理名录中 单向水平交叉认证为由一方 ca 发出 交叉证书给为另一方 ca 进行交叉认证动作反方向的认证动作则是不允许的 通常单向的交叉认证应用于比较严谨的阶层系统中 由较上层的 ca 核发证书给 其附属 ca 从技术观点来看一旦通讯协议层级的互通性建立完成水平交叉认证的作 法相对就显得相当明确而且直接了当不过在技术议题解决之前尚有许多政 策或商业相关的问题需要处理 水平交叉认证的一项优点是 每一个 pki 领域都 能维持其自治力 也因此两个合作的企业个体不会因对外的信任关系而影响到内 部的信任关系亦即在国际和国内的信任关系不会相互抵触 水平交叉认证模式的特点是风险较小比较灵活但不易控制和管理而且 这种交叉认证是建立在双方 ca 的个人信任上并不适用于大范围的 pki/ca 建 设 3.2.2 信任列表 信任列表certificate trust listsctl是指一系列可信任的根 ca是一份 11 签署后包含信任认证机构名单的数据结构这是一种比较常用的验证对方证 书是否可信的方法如图 3-3使用这些可信任证书列表的方法即是一个域内 的用户在检验另一个域内用户身份时 将检查对方证书的颁发 ca 是否在可信任 证书列表中这样就可以判断是否能信任对方用户的身份 c a 1 ab c a 2 cd b 的信任 列表 c a 2 c a 3 c a 5 . . . 图 3-3 信任列表 从管理域间互通性观点来看ctl 的存在可以替代上面所提到的水平交互认 证方法因为需要认证的公司团体信任 ctl 的公布组织且信任 ctl 所认定的 证书发放业者值得注意的是构成可信任的 ctl 公布组织与其认定值得信赖 认证机构的评量标准都必须事先建立 信任列表模式的特点是操作简单减少了信任路径寻找的复杂步骤风险比 较分散但不易于控制和统一管理对于小范围内的交叉认证比较适用对于范 围较大复杂性更高的交叉认证则难以处理 因为对于可信任证书列表的确定会产 生问题 3.2.3 树状认证模式 树状认证是指所有的 ca 都统一在一个根 caroot ca下其他 ca 按其 重要性和所在的地位可以分别处于二级 ca 或者三级 ca 的信任节点上如图 3-4每一个 ca 都仅有一个上级 ca这使得证书路径的建立也相对容易那 么不同 ca 的用户通过数字证书同根下的信任链追溯就可以实现相互的认证 这是一种上下级关系的交叉认证方式在这种情况下下层 ca 所发出的证书要 想被使用者所采用就必须满足该下层 ca 的有效证书路径可追溯至该 root ca 中下层 ca 是不被允许发出自己所签发的证书root ca是唯一的证书发放单 位然后由上层 ca 审核发送凭证给下层 ca基本上为单向的交互认证方式 而此树状模式尤其适合于政策管制为由上往下的政府或企业机构 12 r o o t c a c a 1c a 2 c a 4c a 3c a 5 图 3-4 树状认证模式 树状认证模式的特点是易于控制根 ca 统一管理下级 ca 的运营权风 险集中根 ca 的破坏将导致整个体系的破坏认证关系要在 ca 建立之时就要 确立对已有的 ca 中心兼容差 3.2.4 桥式认证模式 桥式认证是指在不同的 ca 之间再建立一个桥 cabridge ca实现各个 ca 之间的互相信任关系的连接如图 3-5不同 ca 之间的相互认证则全部由 这个桥 ca 来处理如果桥 ca 认为对方 ca 属于可信的那么就认为对方 ca 域内的用户是可信的 c a 2c a 3 c a 1 c a 5c a 6 c a 4 b r i d g e c a 图 3-5 桥式认证模式 桥式认证模式的特点是各 ca 中心相对独立桥 ca 的建立相对独立风 险相对分散桥式 ca 的作用只是认证范围的扩展或收缩关于桥式 ca 对已有 13 ca 中心兼容性是值得研究和探讨的重点 3.2.5 相互承认模式 相互承认cross recognition的概念由亚太经合组织的电子安全工作组 apec e-security task group提出其定义为相互承认是一项互通性的协 定通过它可以使依附于某 pki 领域的可信团体能够使用另一个 pki 领域的认 证信息达到可以认证其它 pki 领域中主体身份的目的反之亦然 具体的 说 相互承认模式实际上是一种声明 或陈述它明确的说明了一个给定的 pki 领域中的用户可以在其某个特定的应用上面信任一个外部 pki 领域的数字证书 以达到同其他 pki 领域相互信任的目的 相互承认模式中 ca 间所谓的相互或甚至单向的 相互信任 关系并不存在 因为相互信任的概念是指各个独立 ca 由一个互相承认的信任组织来核发执 照或监控管理而在相互承认情况下依附于 ca 下的公司团体必须自行对信 任与否做出决定而非在交互认证情况下由 ca 做出决定这也会造成使用 ca 下公司团体的额外负担因此对信任保证要求度高的使用者而言这并不是 个合适的解决方式 相互承认模式的特点就在于其信任基础是双方 ca 下用户间的一种协定和陈 述不易于管理和控制而其中一方出现问题则会传递式地影响到另一方比较 适合特定范围内对信任要求不太严格的应用 3.2.6 鉴定认可模式 2000年3月首次在澳洲政府所倡导的 gatekeeper项目中被提出鉴定认可模式 accreditation certificate其基本原理是准备进行交叉认证的机构由澳洲政 府来鉴定即每一个经过鉴定的认证机构都拥有由 gatekeeper accreditation certificategac签发的数字证书来证明其可靠性和合法性只要证书使用者 认为 gac 为可信任的机构那么任何一个由澳洲政府鉴定认可的 ca 都被认为 是值得信任的 鉴定认可模式的特点是交叉认证方便简单 容易管理与控制 但对于 gca的 要求较高因为它要鉴定每一个 ca 的可靠性 3.2.7 代理路径查询与验证模式 14 代理路径查询与验证模式 delegated path discovery and validation是由 pki 服务的提供者ca协助证书用户安装客户端软件在必要时向受信任的第三 方服务器称为有效性验证服务器提出证书验证与查询要求实际上是将交叉 认证过程中验证对方证书的步骤统一由有效性验证服务器进行处理 这种方式可 完全或部分摆脱证书使用者在决定这家 ca 是否可以信赖的困扰 这个客户端软 件可以代表可信赖团体relying party其查询要求可以是类似我是否应该信 任这个凭证的简单问题任何定义支持此功能的协议都要能够解决不同复杂 度的查询要求目前该方法正由美国 ietf 组织积极进行研发中 代理路径查询与验证模式的特点是可以减少证书用户在传达及处理信息上 的复杂程度但在网络带宽上面的技术处理手段需要进一步的研究和解决在实 际的操作中 该服务器的部署位置以及查询应答数据格式都是需要进一步解决的 技术问题 第四章 国内外 p k i架构的互通模式介绍 作为电子商务信息安全的关键技术和基础技术的 pki/ca 技术对其体系的 研究受到各国的重视从上个世纪 90 年代初期以来美国加拿大英国德 国日本和新加坡等国相继开展了可信第三方认证体系的研究和建设工作通过 对这些体系结构的研究我们可以从中得到一些启示为我国 pki/ca互通体系 结构的研究提供宝贵的经验 4.1 美国联邦政府pki体系结构 美国联邦 pki 筹委会成立于 1996 年 它由政府信息技术服务部 国家航空航 天总署国家标准技术研究所国家安全部国防部交通部财政部农业部 劳动统计局和联邦网络委员会等 20 个部署共同组建而成它与联邦首席信息 官委员会共同致力于 fpki 体系结构的研究联邦 pki 支持在开放的网络如 internet 上安全交易用于保障电子政务电子采购的信息安全和实现对关键网 络设备的保护 特别是美国联邦 pki 能帮助美国联邦机构与其他联邦机构 各级 政府贸易伙伴私有性质的公众机构之间进行电子交易然而美国联邦 pki fpki并不是铁板一块它是自下而上建立的一个庞大 pki 体系该体系结 构主要由联邦的桥认证机构fbcafederal bridge ca,首级认证机构pca principal ca次级认证机构scasubordinate ca等组成其体系结构 15 图如下 p c a f b c a s c a p c a p c a p c ap c a c a c a c a c a s c as c a 图 4-1 美国联邦 pki 体系 从图中可以看到联邦 pki 的体系结构中没有用根 ca 的概念取而代之的 是首级 ca这是因为在美国信任域的结构是多种多样的联邦 pki 体系结构 可以支持分级树状结构网状结构和信任列表等而只有树状结构中的首级 ca 才称作根 ca因此它允许加入联邦 pki 体系中的机构可以使用任何结构的 pki 信任域联邦的桥 ca 是联邦 pki 体系中的核心组织是不同信任域之间的 桥梁 ca主要负责为不同信任域的首级 ca 颁发交叉认证的证书建立各个信 任域的担保等级与联邦的桥 ca 的担保等级之间的一一映射关系 更新交叉认证 证书发布交叉认证证书注销黑名单但是它不要求一个机构在与另一个机构发 生信任关系时必须遵循联邦 pki 所确定的这种映射关系 而是可以采用它认为合 适的映射关系确定彼此之间的信任 联邦 pki 体系结构的工作原理实际上就是指联邦的桥 ca 的工作原理联邦 的桥 ca 不是一个树状结构的 ca也不象网状 ca它不直接向用户颁发证书 不象根 ca 一样成为一个信任点它只是一个单独的 ca它与不同的信任域之 间建立对等的信任关系允许用户保留他们自己的原始信任点正如我们在网络 中所使用的hub一样 任何结构类型的 pki 结构都可以通过这个机构连接在一 起 实现彼此之间的信任 并将每一个单独的信任域通过联邦的桥 pki 扩展到整 个联邦 pki 体系中 如果双方在网络的通信中发觉接收者的信任域和发送者的信 16 任域是不同的这种情况就可以借助联邦的桥 ca 建立信任路径在联邦的桥 ca 与不同信任域中的首级 ca 进行交叉认证时联邦的桥 ca 颁发的证书中包 含了联邦的桥 ca 的担保等级与首级 ca 的担保等级之间的一一映射关系借助 这种映射关系 构建两个不同信任域之间的信任桥梁 不过 在联邦 pki 体系中 这种映射关系并不被要求强制执行 接收者同样可以自己选择其他合适的映射关 系来构建双方的信任桥梁 此外fpki 还包括联邦 pki 政策中心fpkipa和联邦政府部门单位认证 机构agency ca联邦政府部门单位认证机构agency ca的建立是为配合 pki 使用达到安全电子化政府业务目的各个联邦政府部门的完整 pki 导入蓝 图中包括有建立注册中心用以辨识凭证使用者身分设立凭证机构用以提供电 子凭证发放与管理服务储存库之架设用以收集/发放凭证及凭证注册清单信息 密钥复原中心使在私钥遗失情况下加密数据得以复原fbca为串联这些独立 运作的部门 ca 达凭证互通目的而建立 而 fpkipa 的成立则为管理 fbca之营 运另外设有 fpki 指导委员会来负责监督 fbca 发展以及其运作是否遵循 fpkipa 之规定整体 fpki 最终目标希望达成美国联邦体系外的各个信任领域 都可藉此 fbca机制与联邦单位达成 pki 互通fpkipa 之设立主要为建立各个 特定领域 pki 架构与其它领域 pki 架构间利用 bca作互通所必须遵守的规范 fpkipa 不但能决定参与 ca 资格外还可决定连结 ca或称作会员 ca的凭 证政策如何与 fbca的凭证政策相对应另外fbca 凭证政策的管理以及强制 会员 ca 遵循该政策亦为 fpkipa 职责之一在美国 fpki 架构下fpkipa 对 fbca之营运负有一般管理行政责任fbca的会员 ca 也自动成为 fpkipa 的 投票会员参与审查新会员 ca 之入会资格 美国联邦 pki 体系为政府部门和其他组织使用数字证书技术实现信息系统安 全安全电子商务安全通信等活动提供设施规则和政策它不仅用于联邦政 府和机关之间的安全通信和商务活动同时也支持和州政府地方政府商业界 和大众的安全通信和商务在体系结构上美国联邦 pki 体系结构比较复杂它 包含各种信任域结构树状结构网状结构和信任列表等联邦的桥 ca 仅是 一个桥梁在信任关系的建立上美国联邦 pki 体系结构中的联邦的桥 ca 是各 信任域建立信任关系的桥梁 然而他并不强调在建立信任关系时必须遵循交叉认 证证书中所确定的担保等级之间的一一映射关系在采用的技术上美国联邦 pki 体系中的成员采用多种不同的 pki 产品和技术如 verisignbaltimore 和 entrust 等公司的技术在组成成员上美国联邦 pki 体系中除了各级政府不 同的政府机构外还可包括与政府或政府机构有商业往来的合作伙伴 17 4.2 加拿大政府pki体系结构 加拿大对于政府 pki 体系的研究要比美国早在 1993 年加拿大通信安全部 csecommunications security establishment就已经开始了政府 pki 体系雏 形的研究工作 当时主要是开发一种满足政府需求的 pki 产品 实现无货架商业 贸易随后陆续有部分联邦政府机构参入了 goc pki 体系的开发工作他们 是加拿大公民移民局citizenship and immigration canada加拿大外事和国 际贸易部department of foreign affairs and international trade国防部 department of national defence加拿大电信和信息服务中心government telecommunications and informatics services加拿大公共建设工程和政府服务中 心pwgscpublic works and government services canada的一个分部加拿 大卫生局health canada加拿大皇家骑警royal canadian mounted police 和财政部秘书处treasury board secretariat等经过若干年的研究在 2000 年在建立一个开放的 pki 体系方面获得重要的进展政府 pki 体系为联邦政 府与公众机构商业机构等进行电子数据交换时提供信息安全的保障从而推动 了政府内部管理电子化的进程其结构如图 4-2 所示 c c f 一级c a一级c a一级c a p m a l r al r al r a 图 4-2 加拿大政府 pki 体系 由图可知加拿大政府 pki 体系结构是由政策管理机构pma中央认证 机构ccf一级 ca 和当地注册机构lra组成其中 pma 是一个若干部 18 门共同组建的机构 由加拿大政府财政部秘书处领导 为政府 pki 体系提供全面 的政策指导负责监督和管理加拿大政府 pki 体系的政策实施情况ccf 是中 央认证机构它实施政府 pki 体系中的所有策略签署和管理与一级 ca 交叉认 证的证书一级 ca 是由政府运营制定一个和多个证书担保的等级分发和管 理数字证书定期颁布证书注销黑名单lra 是一级 ca 设置的登记机构其 职责是认证和鉴别申请者的身份为密钥恢复或证书恢复请求进行审批接受并 审批证书的注销请求 加拿大政府 pki 体系是一个完全政府行为的公开密钥体系 结构它充分考虑了交易的私有性和安全性并把保护交易私有性和安全性列为 信息高速公路的首要问题它提供了完全一致的密钥管理办法并为加密和数字 签名提供完全相同的验证过程它是多项技术电子认证鉴别和智能卡等的 集成 加拿大政府 pki 体系是由若干 ca 组成这些 ca 形成树状结构每个用户 的公钥和身份验证的信息都放在证书中证书签发 ca 在每个证书上签名并使 其包含公钥的证书对外公开任何用户都能够方便地得到其他用户的公钥通过 公钥验证该用户的签名 辨别真伪 加拿大政府 pki 体系的工作原理与美国联邦 pki 体系的工作原理比较相似 需要建立信任关系的两个用户如果属于同一个树 状结构由于有共同的信任点应用软件很容易验证他们的信任关系如果两个 用户不属于同一个树状结构 这时要建立信任关系必须借助中央认证机构的交叉 认证机制通过中央认证机构与一级 ca 之间的交叉认证证书分属不同树状 结构的一级 ca 之间建立彼此的信任关系 中央认证机构是不同树状信任域的汇 结点 加拿大政府 pki 体系的信任域都是树状结构 从而信任关系的查找更加快捷 信任关系根容易建立只需要和相应的一级 ca 进行交叉认证即可不象网状结 构需要确定哪个 ca 与联邦的桥 ca 进行交叉认证另外两种树状结构建立 信任关系必须通过中央认证机构 不允许一个树状结构与另一个树状结构直接发 生信任关系中央认证机构是与外界建立信任关系的唯一接口因此结构简单 易于操作是一个值得借鉴的 pki 体系 在体系结构上加拿大政府 pki 体系结构比较简单它是一个树状结构从 结构上看中央认证机构是一个根 ca在信任关系的建立上加拿大政府 pki 体系中各信任域之间建立信任关系必须经过中央认证机构加拿大政府 pki 体系中强调使用 entrust 公司的技术其成员都是联邦的各级政府或政府机构 4.3 欧洲桥ca体系 19 欧洲在 pki 基础建设方面致力相当多心血尤其针对 b2b交易方面并且颁 布了 93/1999 ec 法规强调技术中立隐私权保护国内与国外相互认证以及 无歧视等原则为了解决各国 pki 之间协同工作的问题2000 年 10 月成立了由 工业公共管理行业以及研究领域的专家组成的欧洲桥 ca 指导委员会其任务 是负责审查和批准进入桥 ca 和通过桥 ca 互联互通的资格 2001 年 3 月 23 日 欧洲桥 ca 正式成立这样欧洲 ca 网络中就包括 europki顶级 ca欧洲企 业信息化发起委员会eetic ca欧洲桥 ca意大利 ca丹麦 ca西班 牙 ca斯洛文尼亚 ca挪威 ca英国 ca爱尔兰 ca奥地利 ca 等 欧洲桥接式 caeuropean bridge ca的建立是为解决电子商务等活动中安 全机制互通问题总括而言european bridge ca是由一群具有相同兴趣的私人 和公共行政单位所参与的非营利性计划 它建构于既有的电子商务解决方案之安 全基础建设上european bridge ca的主要任务在于促进运用数字签名和电子证 书的安全电子商务解决方案的被接受度 以及建立连结全球不同使用者的互信和 互通桥梁 european bridge ca initiative 并不采用树状或网络式结构因为前者 存在主导性的问题而后者不符合经济效应因此 european bridge ca采取了信 任转运中心结构由中央的桥接式认证中心bca将各个桥接认证机构之证书 存放至信任列表trust list内提供会员认证机构的存取使各个会员认证机 构可自由地延伸他们的信任关系至其它的 pki 领域bca 具有接受度高信任 掌控权之更动由会员凭证机构自行握有规模易于扩大等优点 european bridge ca运作方式如下首先一个新加入的 pki 参加者向 bca提 出申请并取得申请标准和必备条件等信息申请者完成必要申请程序后即与 bca交换 root 证书申请者 pki 便会更新至 bca的信任清单中之后 bca会 产生该新加入 pki 的 root 证书清单并签署该清单文件并将此签署清单传送到 其它加入的各个 pki 领域这些 pki 将接收到的清单加以验证 bca证书并且 输入该 root 证书至其目录服务中若使用者需要验证自己本身以外 pki 所签发 的数字签名即可到其所属的最上层 pki 中心检索该 pki 目录服务中的 root 证书并利用该证书去验证外部 pki 的数字签名其流程可由下图简单描述 20 c a 2c a 1 european bridge ca 新c ac a 3 申请加入 p k i 目录 用户用户 更新信任列表 更新信任列表 更新信任列表 p k i 目录 输入r o o t 证书输入r o o t 证书 检索检索 图 4-3 欧洲桥 ca 运作方式 european bridge ca的成功关键在于架构下各个 pki 可拥有各自组织所需 的部分安全策略并可藉由 bca 的接续与其它安全策略结合此外政府及民 间企业的合作伙伴关系也是一项重要成功因素european bridge ca本身同时也 是一个更大型的安全架构计划中的一部份并且跟其它计划有密切合作关系换 句话说european bridge ca的运作并非是单一解决方案而是许多不同安全方 法的结合以使其结果更有效率 4.4 澳洲政府pki体系 澳洲政府 pki 结构主要采用 gatekeeper 的策略gatekeeper 也是各省政府联 邦政府的数字签名使用策略gatekeeper 最早始于 1997 年 11 月澳洲政府产业发 展投资声明基于让 pki 实现在线政府服务以及成为推动信息经济的重要推力 gatekeeper 于是成为政府在线业务发展策略的一部份gatekeeper 策略的主要目 标在于给数字证书供应者包括公用 ca 中心和私用 ca 中心提供资格鉴定方 法accreditation scheme目前的鉴定方法确保了服务提供者及其服务本身符 合一系列的标准联邦政府政策以及政府在隐私权安全性和营运方面的需求 gatekeeper 鉴定方法可视为一种管制措施并由澳洲信息经济国家办公室 national office for the information economynoie监督整个鉴定流程 21 gatekeeper 的鉴定可保证该 pki 服务组织有能力提供高度保证等级的 pki服 务给联邦行政机构 而鉴定的过程也确保了使用数字证书和公钥技术的交易内容 可同时提供给政府行政机构和使用者两方足够的信任度换句话说gatekeeper 鉴定方法的实施给予提供政府单位服务的厂商一个具有公信力以及可信任的代 表性方式 gatekeeper 会向通过鉴定的 ca 核发 gatekeeper 鉴定证书gatekeeper accreditation certificategacgac 制度将会促成国内以及国际间的 pki 互通 目标 noie 将会建立 gatekeeper自我签发证书认证中心 gatekeeper self-signed certificate ca该认证中心会核发提供给澳洲政府以及其它 pki 领域的最高信 任端点的自我签发证书 将数字证书用来识别机器设备如网络服务器路由器等这也是澳洲导入 pki 技术的另一项重要价值点此外隐私权也是 noie 发展信息经济的优先考 量要素noie 和澳洲隐私权局office of the privacy commissioner针对国家政 府行政机构制定出一套关于 pki 隐私权的指导方针 除了 gac 以外澳洲 gatekeeper 也发布澳洲商务数字数位签章证书 australian business number-digital signature certificate abn-dscabn-dsc 是为了简化并降低澳洲企业进行在线交易时的身份识别条件 企业所持有的具备 唯一性可被政府机构以及其它在线交易伙伴所接受的数字证书经澳州政府同 意所有使用数字证书识别企业的联邦行政机构均将接受 abc-dsc 证书省及 地方政府也同意适时地接受该证书由澳纽银行集团australia and new zealand banking groupanz澳洲联邦银行 commonwealth bank of australiabca 澳洲国家银行 national australia bank nab 与西太平洋银行 westpac banking corporationwbc成立的工作组所发放的 project angus 数字证书于 2001 年 3 月 22 日被澳洲联邦同意纳入为 abn-dsc 这也加强了 abc-dsc 在商务领域的 应用同时noie 在比较了 angus 所采用的 identrus 系统与标准同 gatekeeper 之间的差异后要求 angus 架构下的银行成员必须符合 gatekeepers 规定并以 注册中心 registration authority 的身份通过 gatekeeper 鉴别方法的内容以及相 关规范 在不同国家 pki 领域间的交叉认证方面澳洲和新加坡洽谈了双边自由贸易 协议free trade agreementfta在 2001 年 9 月双方均同意通过依循国际 标准的相互承认cross recognition互通方法达成电子签章相互认可的目的 两国的相互承认协商也于 fta 协议签订后开始着手进行除此之外澳洲政府 22 进行的其它跨国交叉认证活动还包括澳洲在 apec 组织下所参与的计划 该计划 内容是比较美国加拿大新加坡及澳洲四国 pki 现阶段实施状况以及制定出 一套适用于所有经济体的电子证书法定地位的实施方针 澳洲政府 gatekeeper 的运作已经超过 5 年目前已有 8 家以上的公司和政府 行政机构通过了鉴定虽然 gatekeeper 基础已建立完备然而 pki 应用的进展 仍属缓慢澳洲政府也在着重考虑复杂度金钱成本与时间等重要因素在 pki 应用为主的推广方向上不强调技术面而以 pki 能提供的益处为重心 4.5 日本政府pki体系 日本行政机构的电子认证体系(gpkigovernment pki)主要是由枢纽 ca 和 省厅 ca 构成枢纽 ca 以总务省ministry of justice为主建设于 2001 年 6 月启动省厅 ca 由经济产业省国土交通省和总务省率先开通其他省厅在 2002 年内建成 日本的 pki 分成政府部门及民间单位政府部门掌管电子签章法商业注册 登记及政府的 gpki民间单位则由 ecom组织推动电子证书标准由这两个 部门互相协调推动日本国内 pki 以 gpki为主gpki的结构内包含 bca使 用 bca 的因素除了技术问题外主要还因为日本政府部会的行政单位各自独 立运作为配合运作现况因此采取用 bca的模式并在各部会设立 root ca 日本法务省发行证书给法人地方政府发行证书给个人日本各部会所发行的认 证主要是针对各行政机构办理事务的人政府与民间的证书可以通过 bca 的应 用进行各种程序及手续 为了使政府运作中能够反映民间需求日本 pki 体系中还有私人 ca私人 ca 与政府 ca 在连结时需要符合电子签章法的规定在目前的架构下以往 民间使用印鉴的认证可以与政府的验证架构结合民间单纯的 b2b 层级也可与 在电子签章法下授权的 ca 进行各项运作整个 gpki 体系中包括政府桥 ca 各省 ca私营企业 ca私