 |
| CA中心内部 |
内容概述编辑本段回目录
电子商务的安全是通过使用加密手段来达到的，非对称密钥加密技术（公开密钥加密技术）是电子商务系统中主要的加密技术，主要用于对称加密密钥的分发（数字信封）、数字签名的实现(进行身份认证和信息的完整性检验)和交易防抵赖等。CA体系为用户的公钥签发证书，以实现公钥的分发并证明其合法性。该证书证明了该用户拥有证书中列出的公开密钥。证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。证书的格式遵循X.509标准。
认证功能编辑本段回目录
 |
| 认证流程 |
中国的电子政务CA安全认证体系构建应该符合中国政治体制的运作过程，同时，还要适合电子政务自身的特点。中国国家和各级政府应对CA安全认证体系这一基础性设施实行强制管理和规范。根据这样的思路，中国的CA安全认证体系应该是一个由多个层次构成的体系。其基本的模式划：国家级CA――省级CA和部级CA――市级CA和厅局级CA。一般来说，这样的层次结构包含多个带有清楚定义的上下级关系的CA。在这种模型中，下级子CA由它们的上级CA颁发的证书认证，上级CA颁发的证书将证书颁发机构的公钥绑定到它的标识中。层次结构的顶级（国家级）CA称为根颁发机构或根据CA。它负责对整个系统加强安全并进行控制，其子CA称为下级CA。
在此安全认证体系中，每个CA的覆盖范围是一定的，这样，在一个大的机构内就可能有多层CA，以便上级CA的部分事务可由其授权的子CA来代理。当某层CA发布的证书在网络上传输时，接收方必须验证发布证书的CA已被其上级CA授权，而且其上级CA又被更上层的CA所授权，直到根CA。即在最下层CA和根CA间存在一个“授权链”。如果由于某种原因，下层CA不能有效管理证书，则相应的授权会被根CA收回，这种使下层CA失效的方法，并不影响该下层CA的上级CA所授权的其他CA。如果信任根CA，那么，除非下级CA的证书过期或被吊销，否则，也信任该层次结构中每个下级CA。因此，在单位中的任何根CA都是非常重要的信任点并应适当地加以保护和维护。一般情况下，根CA的物理安全性和证书颁发策略都比下级CA更严格，如果根CA的安全性受到威胁或者向未授权的机构颁发了证书，则该单位中任何基于证书的安全性都很容易受到攻击。虽然根CA可以就发送安全电子邮件这样的任务向最终用户颁发证书，但是在大多数单位中，他们只是用于向其他下级CA颁发证书。而下级CA，是由单位中的另一CA颁发证书的CA。通常，下级CA为特定的任务（如基于web的身份验证或智能卡验证）颁发证书。下级CA还可以向其他更下级的CA颁发证书。这些向其他更下级的CA?
CA就是“中间”CA。拘句话说，它们不向最终用户和计算机颁发证书，而只向证书层次结构中级别低于它们的其他下级CA颁发证书。总之，根CA、已由根CA颁发证书的下级CA以及由其他下级CA颁发证书的下级CA，一起形成了证书层次结构。
发展状况编辑本段回目录
 |
| CA中心大厦 |
所谓认证中心，也称为数字证书认证中心，英文为CertificationAu鄄thority，简称CA，是基于国际互联网平台建立的一个公正、独立、有权威性、广受信赖的组织机构，主要负责数字证书的发行、管理及认证服务，以保证网上业务安全可靠地进行。
一般而言，CA认证体系由证书审批部门和证书操作部门组成。证书审批部门（registryauthority，RA）作为电子商务交易中受信任的第三方，承担公钥的合法性检验的责任。它负责对证书申请者进行资格审查，决定申请者是否有资格获得证书，并承担为不符合资格的证书申请者发放证书所引起的一切后果，因此审核部门应由能够承担这些责任的机构负责。证书操作部门（certificateprocessor，CP）为已授权的申请者制作、发放和管理证书，并承担因操作不当所产生的一切后果，包括失密和为没有获得授权者发放证书等。它可以由审核部门自己担任，也可委托第三方担任。一般CA认证中心具有六项基本功能：证书发放功能，证书查询功能，证书更新功能，证书吊销功能，制定相关政策功能，保护数字证书安全功能。
（二）中国CA认证机构的现状与发展
电子商务、电子政务对网络安全的要求，不仅推动着互联网交易秩序和交易环境的建设，同时也带来了巨大的商业利润。从1999年8月3日成立的中国第一家CA认证中心———中国电信CA安全认证系统起，目前中国已有140多家CA认证机构，但大都不具备合法身份。从2004年8月8日《中华人民共和国电子签名法》颁布以后，已被信息产业部审批的合法CA机构已有22家。其中一些行业建成了自己的一套CA体系，如中国金融认证中心（CFCA）、中国电信CA安全认证系统（CTCA）等；还有一些地区建立了区域性的CA体系，如北京数字证书认证中心（BJCA）、上海电子商务CA认证中心（SHECA）、广东省电子商务认证中心（CNCA）、云南省电子商务认证中心（CNCA）等。
发展对策编辑本段回目录
1.建立有序的CA互通格局：中国CA业各地区、各行业分而治之的局面，不利于CA业的长期有序发展，因为现实中的垄断并不能构成互联网上的优势地位，某一领域内的单根认证中心也不利于电子商务的健康发展。例如，银行业完全可以自己发放证书为自己的客户服务，但这种附属于某一家银行的CA中心不太可能给所有行业和公司颁发证书。
而基于一个最高级别的根CA（国家根CA）、由多个真正第三方CA构成的多根认证中心才能为各个行业、各个地方的用户提供便利和专业性的服务，从而避免各方在协调和服务过程中出现互相牵扯和不相容。以上海CA（SHECA）倡导建立的UCA认证体系为例，为了推动中国网络信任服务的发展，SHECA联合北京、天津、山东、安徽、昆明、无锡等地的CA认证机构，成立了全国性互通的CA认证体系———中国协卡认证体系UnitedCertificateAuthority，简称UCA，从而实现了跨地区、跨行业的认证，使协卡体系成为全国范围内的互联网安全信任服务提供商。
就投资而言，虽然各行业和公司可以运行自己的证书系统，但这不仅建设成本增高，而且技术风险也很大。通常用在CA相关产品购买上的开销仅仅是整个运营成本的一部分，配置、运行和维护一个认证系统所需的持续成本才是巨大的。所以，CA中心的投资应该由一个有稳定收入来源、实力雄厚、承担的风险较小且具有极高信任度的社会机构来承担。
2．确保CA技术的可靠性：在技术层面，CA中心的建设涉及到国家的主权和利益，不能受制于人，因此在安全和加密技术上应减少对国外技术的依赖，力争在遵循国际标准的基础上，开发拥有自主产权的CA产品。同时，由于CA认证必须具有透明性、社会性和公正性，CA中心必须采取安全可靠的技术和严格高效的管理来保证自身的被信赖度。
3．行业管理要标准化、法制化：电子商务、电子政务、电子邮件以及其他网上交互活动，都可能要求参与者提供法定的身份证明，而数字签名就是最有效的法定身份证明，因此制定专门的数字签名法是完全必要的。目前，中国相关部门已经在着手开展信息安全标准化工作。2007年4月15日，在北京成立的全国信息安全标准化技术委员会开始制订数字签名、信息安全评估管理等公共信息安全的国家标准。信息安全标委会的任务是向国家标准化管理委员会提出信息安全标准化工作的方针、政策和技术措施建议，并负责协调各有关部门提出一套系统、全面、分布合理的信息安全标准体系。可以预见，随着信息安全领域标准化、法制化建设的日益完善，中国CA业的标准化管理也将逐步发展和健全，CA的建设和应用将走上健康发展的轨道。
存在问题编辑本段回目录
 |
| 认证环节 |
（2）技术层面上并没有形成统一的标准，“互联互通”需要进一步加强。在技术层面上，由于受到美国出口限制的影响，国内的CA认证技术完全靠自己研发。又由于参与部门很多，导致标准不统一，既有国际上的通行标准，又有自主研发的标准，即便是同样的标准，其核心内容也有所偏差，这导致交叉认证过程中出现“各自为政”的局面。到目前为止，国内尚未出台统一的PKI标准或相关的管理规范，也没有一个明确的CA管理机构。这种缺乏统一标准的态势必将造成多种技术标准共存的局面，也是目前中国众多CA中心各方割据、难以互通的一个主要原因。
（3）CA认证还存在明显的地域性与行业性，重复建设现象严重，无法满足全社会电子商务发展的要求。在分布格局上，目前中国的CA机构还存在明显的地域性和行业性，CA建设仍处于一种无序状态。从国内CA建设开始至今，一直没有出台一个指导国内CA建设的总体规划和管理指南，使得CA建设目的不明、性质不清、重复建设的现象还比较严重。
（4）行业整体缺乏有效的监督规范，相关法律还不够健全。但随着《电子签名法》和《电子认证服务管理办法》的出台，中国电子商务的发展环境得到一定的改善。特别是《电子签名法》的实施，为国内众多的CA机构设定了门槛，对人员、设备等都做出了明确的规定。按照《电子签名法》的规定，信息产业部已批准了20多家CA机构，可以说开启了CA机构规范化、合法化的进程。但《电子签名法》还需要更进一步的实施规章和细则，这也是目前CA行业最需要解决的问题。
