公钥基础设施

公钥基础设施（PKI）是用于创建、管理和验证数字证书的一套策略、角色、硬件和软件。

它的核心任务是将公钥绑定到经过验证的身份（网站、人员或服务器），从而让其他人能够信任它。

公钥密码学允许任何人发布公钥。但您怎么知道某个密钥真正属于 bank.com，而不是属于攻击者？

PKI 通过让可信第三方签署证书来为该密钥背书，从而解决了这个问题。

数字证书将公钥与身份关联起来。它包含：

• 主体名称（例如域名）
• 主体的公钥
• 签发者（签署证书的机构）
• 有效日期
• 签发者的数字签名

大多数证书都遵循X.509标准。您可以使用 OpenSSL 检查证书。

每个证书都建立在一个非对称密钥对之上：

• 私钥保密存储在服务器上。
• 公钥会共享在证书中。

使用私钥签名的数据可以用公钥验证，反之亦然。

颁发机构会对证书数据进行哈希运算，然后使用自己的私钥加密该哈希值。这就是签名。

任何拥有该机构公钥的人都可以验证签名，从而证明证书未被篡改。

PKI 涉及多个角色：

• 证书颁发机构（CA）负责签发和签署证书。
• 注册机构（RA）在签发证书前验证身份。
• 证书存储库负责存储和分发证书。
• 依赖方是信任并使用证书的任何人。

信任始于一个根证书。该证书是自签名的，并预先安装在操作系统和浏览器中。

这个根证书就是信任锚。如果您信任根证书，就可以信任它正确签署的所有内容。

要获取证书，您需要生成一个包含公钥和身份信息的证书签名请求（CSR），然后将其发送给 CA。

PKI 无处不在：

• HTTPS / TLS用于保护网络流量
• 代码签名用于证明软件的真实性
• 通过 S/MIME 实现电子邮件安全
• 用于VPN和设备身份验证

证书具有完整的生命周期：申请、签发、部署、续期和撤销。

良好的 PKI 管理意味着跟踪到期日期，并快速撤销遭到入侵的密钥。被忽视的证书会带来安全风险。

PKI 的主要用途是什么？

您已经了解到，PKI使用数字证书将公钥与身份绑定。

• 信任源自预先安装的根证书。
• CA签署证书；依赖方验证签名。
• 证书遵循X.509标准，并具有完整的生命周期。

接下来，我们将了解签发这些证书的机构。