3. 方法概述 (Overview of Approach)
以下是使用 X.509 (PKIX) specifications 的 Public-Key Infrastructure 所假定 architectural model 的简化视图.
该模型中的组件包括:
- end entity: PKI certificates 的 user 和/或作为 certificate subject 的 end user system
- CA: certification authority
- RA: registration authority, 即 CA 委派某些 management functions 的可选系统
- CRL issuer: 生成并签名 CRLs 的系统
- repository: 存储 certificates 和 CRLs 的系统或 distributed systems 集合, 并作为向 end entities 分发这些 certificates 和 CRLs 的手段
3.1. X.509 Version 3 Certificate
public key 的 users 需要确信相关 private key 由正确的 remote subject (person 或 system) 拥有, 且 encryption 或 digital signature mechanism 将与该 subject 一起使用. 这种信任通过使用 public key certificates 获得, public key certificates 是将 public key values 绑定到 subjects 的 data structures.
3.2. Certification Paths and Trust
需要了解 public key 的 security service user 通常需要获取并验证包含所需 public key 的 certificate.
3.3. Revocation
certificate 签发后, 预期会在其整个 validity period 内使用. 然而, 各种情况可能导致 certificate 在 validity period 过期前变为无效.
3.4. Operational Protocols
需要 Operational protocols 将 certificates 和 CRLs (或 status information) 交付给使用 certificate 的 client systems.
3.5. Management Protocols
需要 Management protocols 支持 PKI user 与 management entities 之间的 online interactions.