PKI

PKI（公钥基础设施）是管理数字证书与公钥的体系，含 CA、注册机构、证书库与撤销机制，支撑 TLS 与签名。

用途

为大规模公钥加密提供信任管理与证书生命周期基础设施。

机制

组件：CA（签发）、RA（注册验证）、证书库（发布）、CRL/OCSP（撤销检查）、CPS（策略）。信任链：根 CA → 中间 CA → 终端证书。证书生命周期：申请→验证→签发→使用→撤销/过期。

用例

Web TLS 信任体系
企业内部证书管理
代码签名基础设施
政府电子签名

示例

输入

Root CA → intermediate CA → end-entity certificate

输出

Chain-of-trust validation

Up to a trusted root

常见错误

Stale CRLs let revoked certificates stay in use: Use online OCSP checks or OCSP stapling

相关词条

CA（证书颁发机构）是签发数字证书的可信第三方，将公钥与身份绑定，是 PKI 的信任根。

X.509 Certificate

X.509 证书绑定公钥与身份，由 CA 签名验证，含有效期、颁发者、主体与扩展字段。

TLS（传输层安全）协议在传输层提供加密、完整性与认证，取代 SSL，是 HTTPS、SMTPS 等的安全基础。

零信任是"永不信任，始终验证"的安全模型，不因在网络内部而信任，每次访问都验证身份与授权。

参考链接