什么是 PKI？公钥基础设施指南- SSL Dragon

最后更新于 3 4 月, 2025 由 Dionisie Gitlan

PKI是一个用于通过加密和身份验证确保敏感数据安全的框架。从电子邮件和电子商务到 VPN 和安全网页浏览，PKI 都能实现安全交易。通过利用公共和私人加密密钥，PKI 有助于创建一个安全的环境，在这样的环境中传输数据而不必担心被截获或篡改。

在本文中，我们将探讨 PKI 是什么、为什么重要以及如何确保数字通信安全。

什么是 PKI（公钥基础设施）？

PKI是公钥基础设施（Public Key Infrastructure）的缩写，是一种用于管理和分发加密密钥的系统。它能确保敏感信息在互联网等不安全的网络上传输时不会被截获或篡改。PKI 使用两个加密密钥的组合：一个是任何人都可以访问的公开密钥，另一个是由所有者保密的私人密钥。

这些密钥共同对信息进行加密和解密，确保信息的机密性，只有预定的收件人才能访问。PKI 对于安全通信至关重要，尤其是在数据完整性和真实性至关重要的在线环境中。

为什么 PKI 对网络安全很重要？

在数字化转型时代，安全漏洞变得越来越普遍和复杂。这就是 PKI 保护敏感数据的作用所在。通过使用一对加密密钥和数字证书，PKI 可以确保：

数据经过加密，未经授权的用户无法读取。
验证真实性，确认与你交流的人或系统是合法的。
保持完整性，确保数据在传输过程中未被篡改。

PKI 支持安全的电子邮件通信、金融交易和电子商务，并通过虚拟专用网络 (VPN) 确保内部网络的数据保护。

公钥基础设施的组成部分

了解构成 PKI 的各个要素对于掌握 PKI 的工作原理至关重要。PKI 的核心包括几个关键组成部分，它们共同构成了一个强大的安全系统：

1.公钥和私钥

PKI 依靠加密密钥对（公共密钥和私人密钥）来加密和解密数据。

公开密钥：任何人都可以自由共享和使用，以加密信息。
私钥:由所有者保管，用于解密用相应的公开密钥加密的数据。

这两个密钥使用 非对称加密这意味着用一个密钥加密的数据只能由另一个密钥解密。例如，如果你用某人的公开密钥加密信息，只有他的私人密钥才能解密，从而确保只有预定收件人才能读取信息。

2.数字证书

数字证书（通常称为PKI 证书）就像一张数字身份证，将一个实体的身份与其公开密钥绑定在一起。这些证书可确保您使用的公开密钥属于正确的个人或组织。

数字证书由被称为 证书颁发机构（CA）通常与注册机构（RA）合作，验证证书持有者的身份并签署证书。这一过程建立了信任链，是 PKI 的基础。

3.证书颁发机构（CA）

证书颁发机构（CA）是一个受信任的第三方组织，负责颁发和管理数字证书。它通过验证证书持有者的身份，在 PKI 系统内建立信任方面发挥着关键作用。

根 CA：PKI 层次结构中最可信的实体，负责向下属 CA 和终端用户签发证书。出于安全原因，根 CA 通常处于离线状态，以防止未经授权的访问。
下级 CA：在根 CA 的授权下向最终用户或设备签发证书，维护信任链。

4.证书吊销列表（CRL）和联机证书状态协议（OCSP）

有时，由于数字证书受损或过期，有必要按照组织的证书政策吊销数字证书。 证书废止列表和 OCSP是检查证书是否仍然有效或已被吊销的系统。这可确保只有可信的证书才能使用。

PKI 如何工作？

要了解 PKI 的功能，我们先来了解一下它的核心流程：

密钥生成：第一步是创建一对加密密钥，即公钥和私钥。公钥公开共享，而私钥则对所有者保密。
证书签发：该过程从证书签名请求（CSR）开始，将公钥和所有者信息提交给证书颁发机构（CA）进行验证和创建证书。
证书分发：然后与需要验证证书持有者身份的任何人共享数字证书。
证书吊销：如果证书受损或需要吊销，则会将其列入证书吊销列表（CRL）或通过在线证书状态协议（OCSP）进行检查。
密钥恢复：如果私人密钥丢失或受损，密钥恢复程序可帮助安全找回密钥，防止数据丢失。

PKI 通过确保 PKI 身份验证，使只有授权方才能访问数据，并确保所交换信息的真实性和不可篡改性，从而实现安全通信。

PKI 的常见使用案例

PKI 广泛应用于各行各业，以确保敏感信息和通信的安全。以下是一些最常见的应用：

安全网络浏览的SSL/TLS 证书：PKI 是 SSL/TLS（安全套接字层/传输层安全）证书的基础，通过对用户和网站之间交换的数据进行加密来确保网站安全。这可确保敏感信息（如密码或信用卡号）不会被攻击者截获。您很可能在网页浏览器的地址栏中看到一个小挂锁符号，这就是 PKI 保证连接安全的结果。
使用 S/MIME 的电子邮件安全：S/MIME（安全/多用途互联网邮件扩展）使用 PKI 对电子邮件进行加密和签名，确保只有目标收件人才能阅读电子邮件，且邮件未被篡改。这在经常通过电子邮件传送机密信息的企业环境中特别有用。
虚拟专用网和网络安全：PKI 用于验证虚拟专用网 (VPN) 中的设备和用户，确保只有授权方可访问网络。这对于需要确保远程访问内部系统安全的企业来说至关重要。
软件认证的代码签名：PKI 使开发人员能够使用数字证书对软件进行签名，从而验证软件自发布以来未被篡改。这有助于用户确保他们下载的软件来自可信来源。
电子商务交易和用户认证：PKI 在电子商务中发挥着重要作用，它通过加密确保交易安全，并确保买卖双方都是合法实体。它还有助于验证用户身份，确保登录安全。

实施 PKI 的好处

采用公钥基础设施有很多好处，特别是在加强数字平台的安全性方面：

身份验证：PKI 可确保交易中的所有各方都是他们所声称的真实身份。这对防止欺诈活动至关重要。
加密：通过使用加密密钥，PKI 保证敏感数据在传输过程中的安全。只有授权方才能解密信息。
数据完整性：PKI 通过启用数字签名来防止数据被篡改，数字签名可确保数据保持原样不变。
不可抵赖性：PKI 使用户能够对其交易进行数字签名，确保他们无法在稍后阶段否认其参与。
可扩展性：PKI 可以扩展以处理大量用户，是保护大型系统和网络（包括物联网设备和企业级网络）安全的可靠解决方案。

公钥基础设施的挑战和局限性

PKI 具有很大的优势，但同时也面临一些挑战：

设置和维护的复杂性：实施和维护 PKI 系统可能很复杂，需要密码学和网络安全方面的专业知识。它通常需要持续管理，以处理证书的更新和撤销。
成本：建立健全的 PKI 基础设施可能成本高昂。费用包括硬件安全模块（HSM）、证书以及 CA 和 RA 系统的管理。
密钥管理问题：最重要的挑战之一是安全地管理私人密钥。如果私钥泄露，整个系统就会变得不安全。
信任问题：PKI 严重依赖信任。如果证书颁发机构（CA）受到损害或以不当方式颁发证书，就会破坏整个 PKI 系统。过去就发生过这种情况，导致重大安全漏洞。
可扩展性问题：虽然 PKI 可以扩展，但在没有强大的证书管理系统的情况下，管理大型组织或物联网系统中的数百万个证书可能会成为一项后勤挑战，尤其是在设备遍布全球的环境中。