PKI体系如何保障身份安全？

 组件说明

数字证书

PKI中核心载体为数字证书，即由具有公信力的机构为个人颁发的身份ID，其可看作个人在虚拟网络世界的身份ID。

数字证书的分类一般为4大类：根据证书持有者分类、根据秘钥分类、根据验证模式分类以及根据域名分类。

CA中心

CA 中心管理并运营 CA 系统，CA 系统负责颁发数字证书。专门负责颁发数字证书的系统称为 CA 系统，负责管理并运营 CA 系统的机构称为 CA 中心。所有与数字证书相关的各种概念和技术，统称为 PKI（Public Key Infrastructure）。

身份认证

由于网络具有开放性和匿名性等特点，非法用户通过一些技术手段假冒他人身份进行网上欺诈的门槛越来越低，从而对合法用户和系统造成极大的危害。身份认证的实质就是证实被认证对象是否真实和是否有效的过程，被认为是当今网上交易的基础。在PKI体系中，认证中心(Certification Authority，CA)为系统内每个合法用户办一个网上身份认证。

数据完整性（电子邮件）

数据的完整性就是防止非法篡改信息，如修改、复制、插入、删除等。在交易过程中，要确保交易双方接收到的数据与原数据完全一致，否则交易将存在安全问题。如果依靠观察的方式来判断数据是否发生过改变，在大多数情况下是不现实的。在网络安全中，一般使用散列函数的方法(Hash函数，也称密码杂凑函数)来保证通信时数据的完整性。通过Hash算法我们将任意长度的数据通过变换为长度固定的数字摘要(消息认证码，MAC)，并且原始数据中任何一位的改变都将会在相同的计算条件下产生截然不同的数字摘要。

数据保密性（服务访问）

数据的保密性就是对需要保护的数据进行加密，从而保证信息在传输和存储过程中不被未授权人获取。在PKl系统中，所有的保密性都是通过密码技术实现的。密钥对分为两种，一种称作加密密钥对，用作加解密；另一种称作签名密钥对，用作签名。一般情况下，用来加解密的密钥对并不对实际的大量数据进行加解密，只是用于协商会话密钥，而真正用于大量数据加解密的是会话密钥。

不可抵赖性（合同）

不可抵赖性保证参与双方不能否认自己曾经做过的事情。在PKI系统中，不可抵赖性来源于数字签名。由于用户进行数字签名的时候．签名私钥只能被签名者自己掌握，系统中的其他实体不能做出这样的签名，因此，在私钥安全的假设下签名者就不能否认自己做出的签名。保护签名私钥的安全性是不可抵赖问题的基础。

数字签名

由于单一的、独一无二的私钥创建了签名，所以在被签名数据与私钥对应的实体之间可以建立一种联系，这种联系通过使用实体公钥验证签名来实现。如果签名验证正确，并且从诸如可信实体签名的公钥证书中知道了用于验证签名的公钥对应的实体，那么就可以用数字签名来证明被数字签名数据确实来自证书中标识的实体。因此，PKI的数字签名服务分为两部分：签名生成服务和签名验证服务。

小结

针对PKI派拉能提供什么?