试题详情
简答题掌握证书管理有哪3个阶段组成，每个阶段包括哪些具体内容？
  • （1）初始化阶段
    1.终端实体注册
    终端实体注册是单个用户或进程的身份被建立和验证的过程。注册过程能够通过不同的方法来实现，图示说明了一个实体初始化包括一个RA和一个CA的可能的方案（注意RA部件根本不存在的其他可能方案也是可用的）。终端实体注册是在线执行的，是用注册表格的交换来说明的。注册过程一般要求包括将一个或更多的共享秘密赋给终端实体以便后来在初始化过程中CA确认那个个体。
    2.密钥对产生
    密钥资料可以在终端实体注册过程之前或直接响应终端实体注册过程时产生。在RA中或在CA中产生密钥资料是可能的。每个终端实体多个密钥可以被用做支持分离的和截然不同的服务。例如，一个密钥对可以被用作支持不可否认性服务而另一个密钥对可以被用作支持机密性或密钥管理功能（双密钥对模型）。
    3.证书创建和密钥/证书分发
    无论密钥在哪里产生，证书创建的职责都将单独地落在被授权的CA上。如果公钥是被终端实体而不是CA所产生的，那么该公钥必须被安全地传送到CA以便其能够被放入证书。
    一旦密钥资料和相关的证书已经被产生，它们必须被适当分发。请求证书和从可信实体（即CA）取回证书（以及相关的密钥，如果适用的话）的必要条件是要求一个安全协议机制。
    4.证书分发
    如果私钥和相应的公钥证书已经被分发，那么有一种或多种传送给另一个实体的方法：
    •带外分发；
    •在一个公众的资料库或数据库中公布，以使查询和在线检索简便；
    •带内协议分发，例如，包括带有安全E-mail报文的适用的验证证书。
    被用做数字签名目的的证书可以仅需要分发给它们的所有者，被用做机密性目的的证书对于发信方必须是容易获得的。
    5.密钥备份和托管
    一定比例的加密密钥将因为许多原因（忘记密码、磁盘被破坏、失常的智能卡或雇员被解雇）使这些密钥的所有者无法访问，这就需要事先进行密钥备份。
    （2）颁布阶段
    1.证书检索
    证书检索与访问一个终端实体证书的能力有关。检索一个终端实体证书的需求可能被两个不同的使用要求所驱动。
    •加密发给其他实体的数据的需求；
    •验证一个从另一个实体收到的数字签名的需求。
    2.证书验证
    证书验证与评估一个给定证书的合法性和证书颁发者的可信赖性有关。证书验证是在基于那个证书被准许加密操作之前进行的。
    3.密钥恢复
    密钥管理生命周期包括从远程备份设施（如可信密钥恢复中心或CA）中恢复私有加密密钥的能力。密钥的恢复能使PKI管理员和终端用户的负担减至最小，这个过程必须尽可能最大程度自动化。
    4.密钥更新
    当证书被颁发时，其被赋与一个固定的生存期。当证书“接近”过期时，必须颁发一个新的公/私钥和相关证书，这被称为密钥更新。应该允许一个合理的转变时间使依托方取得新证书，从而避免与过期证书所有有关的服务中断。这个过程是自动的，并对终端用户完全透明。
    （3）取消阶段
    1.证书过期
    证书在颁布时被赋与一个固定的生存期，在其被建立的有效期结束后，证书将会过期。当一个证书过期后，与该证书有关的终端实体可能发生三件事：
    •没有活动：终端实体不在参加PKI；
    •证书恢复：相同的公钥被加入新有效期的新证书（当与最初证书的颁布有关的环境没有变化时使用，并且它仍然认为是可靠的）；
    •证书更新：一个新的公/私钥对被产生，并且一个新的证书被颁发。
    2.证书撤消
    在证书自然过期之前对给定证书的即时取消（可疑的密钥损害、作业状态的变化或者雇佣终止等）。
    一个终端用户个人可以亲自初始化自己的证书撤消（例如由于相应私有密钥的可疑损害）。RA可以代表终端用户被用做初始化证书撤消。经授权的管理者也可以有能力撤消终端实体的证书。
    3.密钥历史
    由于机密性加密密钥最后要过期，因此可靠安全地存储用做解密的私有密钥是必须的，这被称作密钥历史，否则无法恢复。
    4.密钥档案
    可靠地保存已经过期的用于验证数字签名的公钥，以便对历史文档的数字签名进行验证。

  • 关注下方微信公众号，在线模考后查看

热门试题