因为数字证书用于身份认证及数据加密多领域, 传统PKI体系出现好多深层次问题, 像存在中心化信任锚点易被攻击, 证书颁发机构也许被恶意操控, 证书透明度不够等。
有一种全新范式叫区块链PKI, 它借助分布式账本, 借助多节点共识机制, 来重塑证书生命周期管理。它不再依赖单一可信第三方, 而是把证书签发记录到链上, 把证书存储记录到链上, 把证书校验记录到链上, 把证书撤销记录也记录到链上, 使得整个体系从“信任单一实体”转变为“信任算法与网络”。
证书签发验证如何更透明
于传统PKI体系里, 证书颁发机构, 即指CA, 位于独一无二的权威位置。倘若CA面临被弄破的情形, 要么就是颁出了违规证书, 用户一般极难有察觉。
区块链PKI通过智能合约实现了对证书签发规则的程序化约束，每一张证书的签发请求都必须经过链上多个节点验证, 签发记录会立即被写入区块, 并向全网广播, 任何试图篡改证书属性或绕过验证的行为, 都会被网络中的验证节点识别并拒绝。
证书信息在链上是以带着哈希或者加密的形式去进行存储的, 用户仅仅借助链上查询, 就能够确认证书所具有的真实性与有效性, 而不需要逐个朝着CA发起验证请求。像这样的设计, 在很大程度上降低了中间人攻击所附带的风险, 与此同时也有效地防止了因为CA单点故障而引发的大规模信任崩塌状况。证书的签发时间、签发者身份、证书公钥指纹啥的关键元数据不可逆地都被固化在了链上, 致使审计追溯变得直接又高效。
在这样的模式之中, 链条上所存储的证书信息借由哈希或者加密的方式进而妥善地得以保存，用户凭借链条上的查询功能, 轻松地达成对于证书真实性以及有效性的确认, 不再需要逐个麻烦地往前向CA发起验证的请求。此种创新的设计明显地降低了中间人攻击的潜在风险, 有力地避免了因CA单点故障有可能导致的大规模信任危机。证书的签发时间、签发者身份、证书公钥指纹等重要的元数据不可逆地固定在了链上, 为审计追溯提供了直接而且高效的途径。
证书撤销与更新如何避免延迟
被传统PKI采用的证书撤销列表（CRL）, 其更新依靠CA定期发布, 因更新频率低, 且传播路径长, 导致已撤销证书可能在数小时甚至数天内还被继续使用。
而区块链PKI有着不一样的处理方式, 它将撤销操作作为一笔交易写入链里, 一旦撤销状态在后续的区块被确认, 就会马上生效。在这个模式之下, 任何一个节点都可以实时查询证书的当前状态, 不需要等待CRL的同步, 也不依赖OCSP响应器的在线响应。
链上智能合约助力证书更新顺利达成: 旧证书快到期时, 持有者发起更新交易, 智能合约自动验证其私钥持有证明和身份一致性 , 接着颁发新证书并撤销旧证书 . 整个流程无需人工介入, 所有操作记录可公开查询, 杜绝证书静默续期或私下改有效期情况发生。
对于物联网设备, 那些需要频繁轮换证书, 以及微服务架构而言, 这种机制能够显著地缩短信任切换窗口, 有效降低因证书过期而致使的服务中, 断风险。
转载请注明出处：imtoken，如有疑问，请联系（）。
本文地址：https://www.zmdyd.cn/imgfb/7456.html