|
|
|
|
|
|
|
|
|
|
|
（1）认证机构（Certificate Authority，CA）。CA是PKI的核心执行机构，是PKI的主要组成部分，通常称为认证中心。从广义上讲，认证中心还应该包括证书申请注册机构（Registration Authority，RA），它是数字证书的申请注册、证书签发和管理机构。
|
|
|
|
（2）证书和证书库。证书是数字证书或电子证书的简称，符合X.509标准，是网上实体身份的证明。证书是由具备权威性、可信任性和公正性的第三方机构签发的，因此它是权威性的电子文档。
|
|
|
|
证书库是CA颁发证书和撤销证书的集中存放地，是网上的公共信息库，可供公众进行开放式查询。一般来说，查询的目的有两个：其一是想得到与之通信实体的公钥；其二是要验证通信对方的证书是否已进入“黑名单”。证书库支持分布式存放，即可以采用数据库镜像技术，将CA签发的证书中与本组织有关的证书和证书撤销列表存放到本地，以提高证书的查询效率，减少向总目录查询的瓶颈。
|
|
|
|
（3）密钥备份和恢复。密钥备份和恢复是密钥管理的主要内容，用户由于某些原因将解密数据的密钥丢失，从而使已被加密的密文无法解开。为避免这种情况的发生，PKI提供了密钥备份与密钥恢复机制，当用户证书生成时，加密密钥即被CA备份存储；当需要恢复时，用户只需向CA提出申请，CA就会为用户自动进行恢复。
|
|
|
|
（4）密钥和证书的更新。一个证书的有效期是有限的，这种规定在理论上是基于当前非对称算法和密钥长度的可破译性分析；在实际应用中是由于长期使用同一个密钥有被破译的危险，因此为了保证安全，证书和密钥必须有一定的更换频度。为此，PKI对已发的证书必须有一个更换措施，这个过程称为“密钥更新或证书更新”。
|
|
|
|
证书更新一般由PKI系统自动完成，不需要用户干预。即在用户使用证书的过程中，PKI也会自动到目录服务器中检查证书的有效期，当有效期结束之前，PKI/CA会自动启动更新程序，生成一个新证书来代替旧证书。
|
|
|
|
（5）客户端软件。为方便客户操作，解决PKI的应用问题，在客户端装有客户端软件，以实现数字签名、加密传输数据等功能。此外，客户端软件还负责在认证过程中，查询证书和相关证书的撤销信息，以及进行证书路径处理，对特定文档提供时间戳请求等。
|
|
|
|
（6）支持交叉认证。交叉认证就是多个PKI域之间实现互操作。交叉认证实现的方法有多种：一种方法是桥接CA，即用一个第三方CA作为桥，将多个CA连接起来，成为一个可信任的统一体；另一种方法是多个CA的根CA（RCA）互相签发根证书，这样当不同PKI域中的终端用户沿着不同的认证链检验认证到根时，就能达到互相信任的目的。
|
|
|
|
（7）自动管理历史密钥。从以上密钥更新的过程不难看出，经过一段时间后，每一个用户都会形成多个旧证书和至少一个当前新证书。这一系列旧证书和相应的私钥就组成了用户密钥和证书的历史档案。记录整个密钥历史是非常重要的。例如，某用户几年前用自己的公钥加密的数据或者其他人用自己的公钥加密的数据无法用现在的私钥解密时，那么该用户就必须从他的密钥历史档案中，查找到几年前的私钥来解密数据。
|
|
|
