關鍵字： PKI/PMI 電子商務 安全
一、電子商務及其安全需求
近年來，隨着網絡技術和電子商務的迅猛發展，人們以各種方式使用着Internet從事電子商務活動。電子商務已經成爲人們進行商務活動的新模式。電子商務有比傳統商務方式更巨大的方便性和靈活性。
然而，網絡面臨的安全問題也隨之而來，例如內部竊密和破壞，截收，非法訪問，破壞資訊的完整性，破壞系統的可用性等等諸多問題。於是需要構建一個安全的資訊基礎設施平臺，爲電子商務提供良好的應用環境。解決網絡與系統安全的技術與設備有防火牆、入侵檢測、漏洞掃描、網絡隔離等。這些資訊安全技術對防外來攻擊、防非法入侵等發揮着較大的作用。但是，這些技術並不能全面地滿足電子商務的安全需要，電子商務的發展對資訊安全提出的不僅僅是資訊的機密性，還包括資訊的完整性和不可否認性。PKI技術能很好地滿足這一需求。由於透過網絡進行的電子商務活動缺少物理的接觸，因而使得用電子方式驗證信任關係變得至關重要。而PKI技術恰好是一種適用於電子商務的密碼技術，它能夠有效地解決電子商務應用中的機密性、真實性、完整性、不可否認性和存取控制等安全問題。
二、PKI/PMI技術
1．公鑰基礎設施PKI
PKI（Public Key Infrastructure）即公開密鑰體系，是一種遵循既定標準的密鑰管理平臺，它能夠爲所有網絡應用提供加密和數字簽名等密碼服務及所必需的密鑰和證書管理體系。簡單來說，PKI就是利用公鑰理論的技術建立的提供安全服務的基礎設施。PKI技術是一種新的網絡安全技術，是一個集硬件、軟件、人力資源、相關政策和操作規範爲一體的綜合系統，它由公開密鑰密碼技術、數字證書、證書發放機構（CA）和關於公開密鑰的安全策略等基本成分共同組成的。嚴格地講，一個完善的PKI必須具有認證機構CA、證書庫、密鑰備份及恢復系統、證書作廢處理系統、PKI應用接口系統等組成部分。其中，認證機構CA是整個系統的核心。用戶使用由證書授權認證中心（Certificate Authority，CA）簽發的數字證書，結合加密技術，可以保證通信內容的保密性、完整性、可靠性及交易的不可抵賴性，並進行用戶身份的識別。PKI的基礎是加密技術，核心是證書服務。 2．授權管理基礎設施PMI
PKI能夠實現ISO7498-2定義的五大安全服務（身份認證、訪問控制、數據保密性、數據完整性、不可否認性）中的大部分功能，但在訪問控制上存在一些不足，這主要是因爲作爲PKI基礎的證書只是綁定了用戶的身份。在有些情況下，單獨的身份認證技術不能完全滿足系統要求，如基於角色的訪問控制。電子商務系統不僅要求用戶提供合法的身份證書用於身份認證，而且要求提供相應的授權管理機制，用於控制用戶在系統中的行爲和動作。授權管理基礎設施(Privilege Management Infrastructure，簡稱PMI)是在PKI發展過程中被提出並逐漸從PKI中分離出來的一個新的概念。PMI提出了一個新的資訊保護基礎設施，能夠系統地建立起對認可用戶的授權，它是由屬性證書（Attribute Certificate AC）、屬性權威、屬性證書庫等部件的集合體，用來實現權限和屬性證書的產生、管理、存儲、分發和撤銷等功能。屬性證書是經過簽名的結構，將用戶的一組屬性和其它資訊透過認證機構的私鑰進行數字簽名，使其不能僞造。其簽名和頒發的機構是屬性管理機構（Attribute Authority , AA）。賦予屬性證書的簽名不是用於證明公鑰/私鑰和身份之間的關係，而是用於證明證書所有者擁有的特權。PMI以資源管理爲核心，對資源的訪問控制權統一交由授權機構統一進行處理，即由資源的所有者來進行訪問控制。基於PMI的集中授權系統採用基於屬性證書的授權模式，嚮應用提供與應用相關的授權服務管理，提供用戶身份到應用授權的映射功能。