公钥体系PKI

IETF

InternetEngineeringTaskForce：互联网工程任务组

PKIX

Public Key Infrastructure for X.509 Certificates：公钥基础设施为509证书

PKI

Public Key Infrastructure：公钥基础设施，又称公钥体系，用于发布和传输公开秘钥（即公钥）的系统

Certificate

证书：即公钥的载体，用于保证公钥的完整性和真实性

IETF的安全领域的公钥基础实施（PKIX）工作组为互联网上使用的公钥证书定义一系列的标准。PKIX工作组在1995年10月成立。

Internet工程任务组（IETF）主要负责制定标准化协议/功能并推动其运用。正是这些协议/功能使得Internet具有巨大用处且充满趣味（如TCP/IP、SMTP、FTP、TELNET、HTTP等）。这些工作被很多工作组分担，它们分别致力于不同的领域。

在IETF的安全领域中，其中一个工作组负责公开密钥基础设施(PKI)及X.509，通常称为PKIX工作组，旨在使X.509标准中所做的证书和证书撤销列表工作，满足于在Internet环境中建立Internet公开密钥基础设施(IPKI)的需要。

PKIX主要目的

PKIX的目的是要开发必须的互联网标准来支持可互操作的PKI。工作组的第一项任务就是要创建一个概要文件，把证书数据结构、扩展域和数据取值限定在一个特定的可选范围内。X.509标准的巨大灵活性使得互操作难以实现，PKIX工作组希望通过限定允许的选项，提高PKI系统间的互操作性。

PKIX工作组定义了公钥证书及CRL的概要文件。在一些情况下，他还定义了其他的证书扩展字段或证书属性，还有这些属性的对象标识。PKIX也正在开发新的协议，以便于PKI生命周期中自始至终对PKI信息的管理。这些协议部分包括证书管理协议(CMP)、安全多用途邮件扩展（S/MIME）和在线证书状态协议（OCSP）。

PKIX主要内容

PKIX作为IETF设定的工作组，其目的更多的在于Internet PKI，而不仅仅是刻画X.509证书和做证书撤销列表工作。所以，PKIX的章程中包含了如下4项专门领域：

1、 证书和证书撤销列表概貌（Profile）；

2、 证书管理协议；

3、 证书操作协议；

4、 证书策略（CP）和认证业务声明(CSP)结构。

第一项是有创造性的工作——制定X.509的语法，包括对强制性的、可选择性的、必要的和非必要的扩展的详细说明，这些扩展用于PKIX相容的证书和证书撤销列表中。

第二项对在IPKI中管理操作需求所用到的协议进行了详细说明。这些操作包括对实体及密钥对的初始化/认证、证书撤销、密钥备份和恢复，以及CA密钥更换、交叉认证等。

第三项详细描述了日常IPKI操作中需要用到的协议，比如从公共存储库中收回证书/证书撤销列表，证书的在线撤销状态检查等。

第四项为书写CP和CSP文档的作者提供了指导，对特殊环境中所应包括的主题和格式做了建议。

公钥体系简介

X.509标准