信息技术的发展和推广，可以说为人类开辟了一个新的生活空间，它正对世界范围内的经济、政治、科教及社会发展各方面产生重大的影响。信息化在带来高效率和友好服务的同时，也带来威胁、风险和责任，网上信息被窃、被篡改、被破坏的事件时有发生，各种网络攻击程序的广泛传播更使人们忧心忡忡。因此，与人类的物理生存空间类似，网络空间也需要信任和安全，只有在安全和信任的基础上将网络建成文明、健康、有序的生存空间，才能丰富和繁荣网络应用，发挥网络的优势，推动社会经济和文化的发展。

在中国信息化建设过程中，由于关键的网络设备和系统软件（如交换机、路由器、操作系统、数据库、服务器等）主要依赖于国外的设备和技术，因此中国信息化系统的安全建设存在着先天不足。因此，除了采取必要的安全保障措施与安全管理措施（如防火墙技术、网络隔离技术、VPN技术、入侵检测和漏洞扫描技术和防病毒技术等）来保障网络和系统的安全外，还必须从应用层着手，利用公钥密码技术建立的提供信任和安全服务的基础设施——国家PKI（Public Key Infrastructure）体系，通过加密和数字签名，为信息安全提供有效的强有力的保障，保证通信数据和交易的安全有效。

PKI涉及重大国家利益，是网络经济的制高点，也是推动互联网发展、保障事务处理安全、推动电子政务、电子商务的支撑点。因此，建立健全的国家PKI体系，将有力地促进我国电子政务以及整个国家信息化的发展，否则，如果不加快PKI的研究与建设，中国将在新一轮的竞争中处于不利地位。

一 背景

1.PKI是信息安全基础设施

①信息安全的层次划分。安全的网络空间的建立包括如下三个方面的内容：一是安全的运行环境，包括安全的环境、安全的网络和安全的系统平台（如操作系统、服务器和数据库等）；二是安全的业务系统，即应用系统安全；三是安全管理体系，即与安全技术相配合，共同实现安全目标的制度、规章体系。

这样，我们可以把信息安全划分为物理环境安全、网络平台安全、系统平台安全、应用系统安全和安全管理五个层次，如图1。

在建设安全运行环境方面，目前主要的安全技术包括：防火墙技术、网络隔离技术、VPN技术、入侵检测及漏洞扫描技术和防病毒技术等。在建设安全业务系统方面，目前主要采用密码技术，特别是以公钥密码技术为基础的PKI（Public Key Infrastructure）技术。

图1 信息安全体系结构

②应用系统安全的基础——PKI。应用系统安全包括以下几个方面。

一是真实性。为应用系统中的实体提供有效的身份标识和认证机制，保证惟一标识信息的收发双方的身份，确定信息的准确来源和去向。

二是机密性与个人隐私的保护。即保证信息在生成、传递、处理和存储等环节不被非授权访问。与此同时，还必须充分考虑参与业务的实体的隐私的保护问题。

三是数据完整性。防止信息在存储和传递过程被故意和无意改变。

四是不可否认性。为第三方验证信息源的真实性和信息的完整性提供证据，有助于责任机制的建立，为解决电子政务中的争议提供法律证据。

一些常用的安全技术都只能满足以上列出的部分要求，例如，传统的用户名/口令机制只能提供单向的用户认证，且安全水平不高，不能保证双向身份认证（如对服务提供方的认证）、事务处理细节的机密性和数据的完整性；对称加密技术能提供机密性保证和数据完整性保证，但难以提供不可否认保证。总的来看，机密性还可以通过加密机来实现；完整性通过对称的加密，可以防止被第三方非法篡改，但却不能防止对方或密钥管理方的篡改。而完善的不可否认目前只有使用数字签名技术才能完成。目前为业界普遍认可的能同时满足以上安全要求的技术就是PKI技术，它以复杂的公钥密码技术为基础，通过加密和数字签名，能有效满足以上安全需求。

概括地说，PKI就是利用公钥理论和技术建立的提供信任和安全服务的基础设施。PKI不仅是一种技术，包括硬件和软件，还包括服务、策略、规程、协议等多方面的内容。PKI中最基本的元素就是数字证书，所有安全的操作主要通过证书来实现。PKI的硬设备还包括签署这些证书的证书机构（CA）、登记和批准证书签署的登记机构（RA），以及存储和发布这些证书的电子目录。PKI中还包括证书策略、证书路径及证书的使用者。所有这些都