0、基础
根据技术特征，现代密码学主要分为三类
• 对称密码
• 非对称密码
• 摘要密码

在密码算法公开的情况下，现代密码学的安全性主要取决于密钥的安全性。
对称密钥管理技术
• 有中心模式
• 无中心模式
非对称密钥管理技术
• 有中心模式
• 无中心模式
这种重点讲述以下非对称密钥的有中心管理模式。存在一个独立的密钥管理中心，每个用户均信任该中心。密钥管理中心为每个用户分配一个公钥，并负责存储和管理所有的用户公钥。在进行密钥分配时，可由用户自己产生公钥和私钥，只把公钥提交给密钥管理中心；也可以由密钥管理中心为用户产生公钥和私钥，把公钥和私钥均安全传递给用户，但只保存公钥。当某用户的私钥泄露后，密钥管理中心将该用户的公钥标记为失效。

由于密钥管理中心需存储所有公钥与用户的映射关系，且需在线验证公钥的合法性，因此该模式不适合于大规模的公众服务领域

1、PKI—本质是把非对称密钥管理标准化
由于非对称密钥管理的无中心模式只适合用于小规模用户场合，很难适应公众普遍参与的信息时代，已经逐渐被边缘化；在信息时代，非对称密钥管理的有中心模式已经成为主流。非对称密钥管理模式，尽管很好地解决了密钥协商或分配时密钥容易泄露的难题，但并没有解决好密钥与用户映射关系容易被篡改的问题，依然通过密钥管理中心集中存储公钥与用户的映射关系。

因此，PKI体系引入了一系列的机制来解决了公钥与用户的映射关系、集中服务性能瓶颈、脱机状态查询等等等的一系列问题，下面将对引入的机制和解决的问题进行详细的介绍。

CA
为解决数字证书的签发问题
PKI引入CA，对数字证书进行集中签发。CA是Certificate Authority的缩写，字面含义是证书权威，也称作CA中心、认证中心。CA中心拥有自己的公钥和私钥，使用其私钥给用户（包含CA中心自己）签发数字证书。

数字证书
为了解决公钥和用户映射关系的问题
PKI引入了数字证书，用于建立公钥与用户之间的对应关系。数字证书实际上是一种特殊的文件格式，包含用户身份信息、用户公钥信息和 CA私钥的数字签名。用户身份信息包括姓名或名称、单位、城市、国家等。X.509 标准规定了数字证书的具体格式。数字证书中只包含公钥，并不包括私钥。由于数字证书中包含CA私钥的数字签名，因此数字证书具有防伪性。由于数字证书中不包含秘密信息，因此数字证书具有公开性。数字证书作为网络身份证，可有效解决网络世界中“你是谁”的问题。

KMC(Key Management Center)
为了解决私钥的备份和恢复问题
KMC主要用于对私钥的全生命周期进行管理，用户公私钥对可由KMC产生，提交CA签发数字证书后，将私钥和数字证书同时安全移交给用户，而KMC将私钥留作备份，可按需要给用户恢复。用户公私钥对也可由用户自己产生（使用软件或密码设备），在向CA中心申请数字证书时，可将私钥安全提交KMC留作备份。

双证书机制
为了私钥唯一性和私钥备份恢复机制这两种矛盾的应用需求
为防止用户身份被冒用，应保证用户私钥的唯一性，不允许备份恢复。为防止公钥加密后的数据无法解密，应提供用户私钥的备份恢复机制。为解决这两种矛盾的应用需求。PKI引入双证书机制：
• 签名证书：签名证书及私钥只用于签名验签，不能用于加密解密，该公私钥对必须由用户自己产生，KMC 不备份签名私钥。
• 加密证书：加密证书及私钥只用于加密解密，不能用于签名验签，该公私钥对必须由KMC产生，且KMC对加密私钥进行备份。

LDAP
为了解决CA中心的性能瓶颈问题
CA 中心存储着所有数字证书，并通过公开服务形式供用户随时查询或下载。为解决数字证书查询或下载的性能问题，避免CA中心成为性能瓶颈，PKI引入了LDAP技术，通过LDAP方式对外提供高速证书查询或下载服务。

为获得高性能的查询服务，需要对数据管理的读取功能进行特殊优化，于是出现了目录服务技术（DAP，Directory Access Protocol）。目录服务技术对查询功能进行优化，比修改操作快10倍以上，适合快速响应和大容量查询服务。DAP技术通过目录树方式对数据进行管理，应用系统只需通过X.500协议就能对数据进行快速查询。

CRL(Certificate Revocation List)
为了解决证书失效作废后的状态同步问题
CRL为证书作废列表，是Certificate Revocation List的缩写，也称作证书黑名单，是一种特殊的文件格式，包含所有失效的证书清单、下次CRL生成时间和CA中心私钥的签名。CA中心定期生成CRL，并将下次生成时间写入CRL中，方便用户按时定期下载CRL。跟数字证书类似，CRL也是通过CA中心私钥的签名来保证CRL无法被篡改的。用户只需定期获取CRL后，就可在本地脱机验证证书是否失效，在下次CRL生成时间之前无需联系CA中心。

OCSP(Online Certificate Status Protocol)
为了解决CRL状态同步的时效性问题
为解决CRL滞后的缺陷，避免给高实时性或高风险交易造成重大损失，PKI引入了OCSP，对用户提供实时的证书状态查询服务。OCSP为在线证书状态协议，是Online Certificate Status Protocol的缩写。当用户需要实时查询对方证书是否有效时，可通过OCSP协议实时访问CA中心获得对方证书的当前状态。

RA
为了解决证书业务远程办理、证书管理流程和应用系统结合的问题
PKI引入了RA，专门用于对用户提供面对面的证书业务服务，负责用户证书办理/作废申请、用户身份审核、制作证书并移交用户等功能，而涉及证书签发时则提交CA系统集中处理。RA是Registry Authority的缩写，又称作RA中心、注册中心。有时候，证书管理流程会与应用业务流程结合，并不单独体现出来，如对于网上银行，证书管理流程就会融合到网银业务流程中。RA可以部署多个，也可以单独部署、也可以与应用系统集成

其他PKI标准
除与CA直接相关的上述标准外，PKI还包括其他很多标准，如密码相关标准、证书应用标准、证书存储标准、证书访问标准、CA运营标准等。