分布式PKI并不是一個(gè)新概念。實(shí)踐中出現(xiàn)了大量的文章和試圖將這一概念付諸實(shí)踐的嘗試。分布式PKI的基礎(chǔ)假設(shè)是，核證機(jī)關(guān)在簽發(fā)和管理證書的過程中存在嚴(yán)重的脆弱性，因此需要下放證書頒發(fā)權(quán)力，使這一過程更加透明。

集中式PKI的缺陷偶爾會(huì)浮出水面，造成重大的財(cái)務(wù)和聲譽(yù)損失。最近的一個(gè)例子是，在2018年年中，研究人員發(fā)現(xiàn)了一個(gè)全新的惡意軟件項(xiàng)目，該項(xiàng)目使用從幾家***科技公司竊取的數(shù)字證書，即D-Link，對(duì)惡意軟件進(jìn)行簽名，使其看起來像合法的應(yīng)用程序。令人困惑的是，D-Link只有在得到研究人員的通知后才會(huì)撤銷證書。這意味著這種類型的惡意軟件很難檢測(cè)到，因?yàn)榧词乖诠境蜂N其證書的簽名時(shí)，反病毒程序也無法檢查證書的有效性?？杀氖牵@不是一個(gè)黑客竊取有效證書來為他們的惡意軟件簽名的個(gè)案。

PKI是什么？

PKI通過一組公共和私有密鑰對(duì)數(shù)據(jù)交換進(jìn)行加密和解密，這些公鑰和私鑰是由隨機(jī)產(chǎn)生的數(shù)字組成的長(zhǎng)字符串。通過生成對(duì)的算法，這些長(zhǎng)數(shù)字字符串在數(shù)學(xué)上是相關(guān)的。

PKI現(xiàn)在被廣泛使用，因此保護(hù)私鑰的問題非常重要。只要考慮一下這些用例：

1. 服務(wù)器標(biāo)識(shí)：每當(dāng)有人使用了HTTPS安全的web服務(wù)器連接時(shí)，他們都在SSL握手中使用一個(gè)PKI服務(wù)器標(biāo)識(shí)證書。

2. Web應(yīng)用程序的身份驗(yàn)證和授權(quán)： 這種身份驗(yàn)證通常使用用戶名和密碼完成，但是PKI提供了一個(gè)有吸引力的替代方案。SSL具有在建立安全加密連接之前要求客戶端證書的可選能力。因此，web服務(wù)器在允許建立HTTPS連接之前需要有效的客戶機(jī)證書。但是它很少被使用，因?yàn)楝F(xiàn)有的解決方案并不合適，這使得管理它成為一場(chǎng)噩夢(mèng)。

3. 電子文檔和表單簽名： PKI支持的簽名由計(jì)算文檔內(nèi)容的哈希值和附加包含哈希值的加密簽名組成。

除了上述用例之外，PKI還可以應(yīng)用于vpn、S/MIME電子郵件簽名和加密、電子郵件列表服務(wù)器、無線網(wǎng)絡(luò)安全和安全即時(shí)消息的身份驗(yàn)證，更不用說許多其他應(yīng)用程序了。

在傳統(tǒng)的PKI模型中，核證機(jī)關(guān)發(fā)出并簽署所有證書，充當(dāng)頂級(jí)信任代理，促進(jìn)第三方信任模型。用戶彼此信任，因?yàn)楹俗C機(jī)關(guān)會(huì)保證信息的真實(shí)性和完整性。

但正如最近的事件所突顯的那樣，核證機(jī)關(guān)受到了損害。

密碼學(xué)能幫上忙

REMME團(tuán)隊(duì)提出了開源PKI （d）協(xié)議的概念來保護(hù)通信，我們確信主要的用例是人類身份驗(yàn)證。最近，我們加入了致力于同一方向的全球聯(lián)盟和社區(qū)。與FIDO、W3C和DIF一起，正在跟蹤描述無密碼原則和解決方案的新規(guī)范。

然而，經(jīng)過一年的研發(fā)，我們已經(jīng)明白，作為一家技術(shù)網(wǎng)絡(luò)安全公司，我們面臨的主要挑戰(zhàn)將是具有更廣泛影響的安全通信。目前，最流行的數(shù)據(jù)保護(hù)技術(shù)是公鑰基礎(chǔ)設(shè)施（Public Key Infrastructure， PKI）。它基于X.509客戶端證書的頒發(fā)和管理，在許多場(chǎng)景中，這些證書被廣泛用于對(duì)交易對(duì)手進(jìn)行的身份驗(yàn)證。我們對(duì)此進(jìn)行了研究，并將相同的功能集成到我們的想法中。畢竟，重新發(fā)明輪子是沒有意義的。

例如，在web資源的情況下，服務(wù)器使用證書和關(guān)聯(lián)的私鑰對(duì)其客戶機(jī)進(jìn)行身份驗(yàn)證。這種情況在銀行業(yè)、政府等行業(yè)非常典型。這是一種適用于任何需要高度安全性場(chǎng)景的技術(shù)，在這種場(chǎng)景中，密碼是一種不可接受的用戶身份驗(yàn)證方式（因?yàn)樗鼈兒苋菀妆簧鐣?huì)工程或惡意軟件竊?。?/p>

這些證書還廣泛用于機(jī)器對(duì)機(jī)器的交互。這是一種非常直觀的機(jī)器間身份驗(yàn)證方法。例如，傳感器可以向遠(yuǎn)程服務(wù)器發(fā)送數(shù)據(jù);要對(duì)傳感器進(jìn)行身份驗(yàn)證，服務(wù)器將向傳感器請(qǐng)求客戶機(jī)證書。

另一個(gè)用例是安全代幣。這與第一點(diǎn)非常相似，只是私鑰存儲(chǔ)在特定的硬件上。

深入了解分布式PKI協(xié)議

該團(tuán)隊(duì)重新考慮了PKI的基礎(chǔ)，添加了區(qū)塊鏈，以消除單點(diǎn)故障和組織信任核證機(jī)關(guān)的需求。這是一個(gè)開源解決方案，正在為PKI開發(fā)定制的區(qū)塊鏈。所有這些都是關(guān)于在區(qū)塊鏈上存儲(chǔ)證書的公鑰，主要是存儲(chǔ)它們的有效性時(shí)間和撤銷狀態(tài)。目前，我們正在構(gòu)建用于分布式驗(yàn)證用戶數(shù)據(jù)的系統(tǒng)。

在這張圖中，我們看到幾個(gè)節(jié)點(diǎn)連接到一個(gè)小型網(wǎng)絡(luò)和一些客戶機(jī)應(yīng)用程序中。在這里，我們可以很容易地看到為什么分布式系統(tǒng)比集中式系統(tǒng)更可取。如果一個(gè)節(jié)點(diǎn)失敗，我們切換到另一個(gè)節(jié)點(diǎn)，這沒有關(guān)系。每個(gè)節(jié)點(diǎn)具有相同的數(shù)據(jù)、相同的邏輯和相同的API。這些節(jié)點(diǎn)還復(fù)制所有數(shù)據(jù)、所有事務(wù)歷史記錄和所有證書的狀態(tài)。這種冗余使我們的系統(tǒng)非常健壯。

這就是我們?nèi)绾斡梦覀兊慕鉀Q方案解決集中化的挑戰(zhàn)。

促進(jìn)PKI的發(fā)展

數(shù)字化的未來正在迅速到來。我們還需要開發(fā)一種共同的方法，為該行業(yè)提供其成長(zhǎng)和創(chuàng)新所需的安全空間。