分布式PKI并不是一個新概念。實踐中出現(xiàn)了大量的文章和試圖將這一概念付諸實踐的嘗試。分布式PKI的基礎(chǔ)假設(shè)是，核證機(jī)關(guān)在簽發(fā)和管理證書的過程中存在嚴(yán)重的脆弱性，因此需要下放證書頒發(fā)權(quán)力，使這一過程更加透明。

集中式PKI的缺陷偶爾會浮出水面，造成重大的財務(wù)和聲譽(yù)損失。最近的一個例子是，在2018年年中，研究人員發(fā)現(xiàn)了一個全新的惡意軟件項目，該項目使用從幾家***科技公司竊取的數(shù)字證書，即D-Link，對惡意軟件進(jìn)行簽名，使其看起來像合法的應(yīng)用程序。令人困惑的是，D-Link只有在得到研究人員的通知后才會撤銷證書。這意味著這種類型的惡意軟件很難檢測到，因為即使在公司撤銷其證書的簽名時，反病毒程序也無法檢查證書的有效性。可悲的是，這不是一個黑客竊取有效證書來為他們的惡意軟件簽名的個案。

PKI是什么？

PKI通過一組公共和私有密鑰對數(shù)據(jù)交換進(jìn)行加密和解密，這些公鑰和私鑰是由隨機(jī)產(chǎn)生的數(shù)字組成的長字符串。通過生成對的算法，這些長數(shù)字字符串在數(shù)學(xué)上是相關(guān)的。

PKI現(xiàn)在被廣泛使用，因此保護(hù)私鑰的問題非常重要。只要考慮一下這些用例：

1. 服務(wù)器標(biāo)識：每當(dāng)有人使用了HTTPS安全的web服務(wù)器連接時，他們都在SSL握手中使用一個PKI服務(wù)器標(biāo)識證書。

2. Web應(yīng)用程序的身份驗證和授權(quán)： 這種身份驗證通常使用用戶名和密碼完成，但是PKI提供了一個有吸引力的替代方案。SSL具有在建立安全加密連接之前要求客戶端證書的可選能力。因此，web服務(wù)器在允許建立HTTPS連接之前需要有效的客戶機(jī)證書。但是它很少被使用，因為現(xiàn)有的解決方案并不合適，這使得管理它成為一場噩夢。

3. 電子文檔和表單簽名： PKI支持的簽名由計算文檔內(nèi)容的哈希值和附加包含哈希值的加密簽名組成。

除了上述用例之外，PKI還可以應(yīng)用于vpn、S/MIME電子郵件簽名和加密、電子郵件列表服務(wù)器、無線網(wǎng)絡(luò)安全和安全即時消息的身份驗證，更不用說許多其他應(yīng)用程序了。

在傳統(tǒng)的PKI模型中，核證機(jī)關(guān)發(fā)出并簽署所有證書，充當(dāng)頂級信任代理，促進(jìn)第三方信任模型。用戶彼此信任，因為核證機(jī)關(guān)會保證信息的真實性和完整性。

但正如最近的事件所突顯的那樣，核證機(jī)關(guān)受到了損害。

密碼學(xué)能幫上忙

REMME團(tuán)隊提出了開源PKI （d）協(xié)議的概念來保護(hù)通信，我們確信主要的用例是人類身份驗證。最近，我們加入了致力于同一方向的全球聯(lián)盟和社區(qū)。與FIDO、W3C和DIF一起，正在跟蹤描述無密碼原則和解決方案的新規(guī)范。

然而，經(jīng)過一年的研發(fā)，我們已經(jīng)明白，作為一家技術(shù)網(wǎng)絡(luò)安全公司，我們面臨的主要挑戰(zhàn)將是具有更廣泛影響的安全通信。目前，最流行的數(shù)據(jù)保護(hù)技術(shù)是公鑰基礎(chǔ)設(shè)施（Public Key Infrastructure， PKI）。它基于X.509客戶端證書的頒發(fā)和管理，在許多場景中，這些證書被廣泛用于對交易對手進(jìn)行的身份驗證。我們對此進(jìn)行了研究，并將相同的功能集成到我們的想法中。畢竟，重新發(fā)明輪子是沒有意義的。

例如，在web資源的情況下，服務(wù)器使用證書和關(guān)聯(lián)的私鑰對其客戶機(jī)進(jìn)行身份驗證。這種情況在銀行業(yè)、政府等行業(yè)非常典型。這是一種適用于任何需要高度安全性場景的技術(shù)，在這種場景中，密碼是一種不可接受的用戶身份驗證方式（因為它們很容易被社會工程或惡意軟件竊?。?。

這些證書還廣泛用于機(jī)器對機(jī)器的交互。這是一種非常直觀的機(jī)器間身份驗證方法。例如，傳感器可以向遠(yuǎn)程服務(wù)器發(fā)送數(shù)據(jù);要對傳感器進(jìn)行身份驗證，服務(wù)器將向傳感器請求客戶機(jī)證書。

另一個用例是安全代幣。這與第一點非常相似，只是私鑰存儲在特定的硬件上。

深入了解分布式PKI協(xié)議

該團(tuán)隊重新考慮了PKI的基礎(chǔ)，添加了區(qū)塊鏈，以消除單點故障和組織信任核證機(jī)關(guān)的需求。這是一個開源解決方案，正在為PKI開發(fā)定制的區(qū)塊鏈。所有這些都是關(guān)于在區(qū)塊鏈上存儲證書的公鑰，主要是存儲它們的有效性時間和撤銷狀態(tài)。目前，我們正在構(gòu)建用于分布式驗證用戶數(shù)據(jù)的系統(tǒng)。

在這張圖中，我們看到幾個節(jié)點連接到一個小型網(wǎng)絡(luò)和一些客戶機(jī)應(yīng)用程序中。在這里，我們可以很容易地看到為什么分布式系統(tǒng)比集中式系統(tǒng)更可取。如果一個節(jié)點失敗，我們切換到另一個節(jié)點，這沒有關(guān)系。每個節(jié)點具有相同的數(shù)據(jù)、相同的邏輯和相同的API。這些節(jié)點還復(fù)制所有數(shù)據(jù)、所有事務(wù)歷史記錄和所有證書的狀態(tài)。這種冗余使我們的系統(tǒng)非常健壯。

這就是我們?nèi)绾斡梦覀兊慕鉀Q方案解決集中化的挑戰(zhàn)。

促進(jìn)PKI的發(fā)展

數(shù)字化的未來正在迅速到來。我們還需要開發(fā)一種共同的方法，為該行業(yè)提供其成長和創(chuàng)新所需的安全空間。