非对称加密最大的特点就是拥有两个密钥，即公钥和私钥，从私钥可推导出公钥，但从公钥不能推导出私钥。但是想要应用非对称密码算法，首先要解决公钥归属问题，需要正确地传达用户的公钥是什么，某一个公钥到底属于哪个人。而这时就需要用到我们今天的主角——PKI闪亮登场了。
PKI简介
PKI全称为Public Key Infrastructure，中文译为公钥基础设施，是基于公钥密码学，建立起一种普遍适用的基础设施，可以通过数字证书很好地解决公钥归属问题，为各种网络应用提供全面的安全服务。
PKI的作用
- 真实性：标识与身份鉴别——确保与你通信的另一方是它所声称的真实身份。
- 完整性：不被修改，没有错误——保证信息在存储或传输过程中保持不被篡改、破坏。
- 机密性：隐私与保密——除了通信双方之外，其他方无法获知该信息。
- 非否认性：责任确定——任何一方无法抵赖自己曾做过的操作。
PKI系统的组成结构
PKI基本结构由证书认证机构（certificate authority, CA）、证书持有者（certificate holder）、依赖方（relying party）三方构成：
- CA是一个独立的可信第三方，为证书持有者签发数字证书，数字证书中声明了证书持有者的身份和公钥。CA在签发证书前应对证书持有者的身份信息进行核实验证，并根据其核验结果为其签发证书。
- 证书持有者向CA申请数字证书，并向CA提供必要的信息以证明其身份及能力，获得由CA签发的证书；证书持有者在与依赖方进行交互时，需向依赖方提供由CA签发的数字证书证明其有效身份。
- 依赖方是证书的验证方，依赖方与证书持有者进行交互（如建立通信连接）时，需获取证书持有者的数字证书，验证数字证书的真实性和有效性。依赖方可以指定其信任的CA列表，若证书持有者提供的数字证书不是受信CA签发的数字证书，依赖方将不认可该证书所声明的信息。
数字证书、CA和PKI的关系
数字证书是PKI最基本的元素，也是承载PKI安全服务最重要的载体。数字证书存在的意义在于回答“公钥属于谁”的问题，以帮助用户安全地获得对方的公开密钥。
三者之间的关系简单来说就是从属关系，CA是PKI的核心执行机构，是PKI的主要组成部分，而数字证书是由CA颁发的，所以三者是从属关系，既数字证书从属于CA从属于PKI。
免责声明：素材源于网络，如有侵权，请联系删稿。
