PKI信任模型

①一个实体能够信任的证书是怎样被确定的；

②这种信任是怎样被建立的P ；

③在一定的环境下，这种信任在什么情形下能够被限制或控制？

 

目前流行的PKI信任模型主要有四种：

认证机构（CA ）的严格层次结构。认证机构（CA ）的严格层次结构可以描绘为一棵倒转的树，根在顶上，树枝向下伸展，树叶在下面。在这棵倒转的树上，根代表一个对整个PKI域内的所有实体都有特别意义的CA ―通常被叫做根CA ，其作为信任的根或“信任锚”。在根CA 的下面是零层或多层中间CA （也被称作子CA ，因为它们是从属于根的），这些CA 由中间节点代表，从中间节点再伸出分支。与非CA 的PK ｝实体相对应的树叶通常被称作终端实体或简称为终端用户。

分布式信任结构。与在PKI系统中的所有实体都信任唯一一个CA 的严格层次结构相反，分布式信任结构把信任分散到两个或更多个（或许是很多个）CA 上。更准确地说，A 把CA ：的公钥作为他的信任锚，而B可以把CAZ 的公钥做为他的信任锚。因为这些CA 的密钥都作为信任锚，因此相应的CA 必须是整个PKI群体的一个子集所构成的严格层次结构的根CA ( CA ：是包括A 在内的层次结构的根，CAZ 是包括B 在内的层次结构的根）。

 Web 模型。这种模型猛一看与分布式信任结构模型相似，但从根本上讲，它与CA 的严格层次结构模型更相象。四eb 模型通过与相关域进行互连而不是扩大现有的主体群体，来使A 成为在浏览器中所给出的所有域的依托方。实际上，每个浏览器厂商都有自己的根，并且由厂商认证嵌入到浏览器中的CA 。唯一真正的不同是根CA 并不被浏览器厂商的根所认证，而是物理地嵌入软件来发布，作为对CA 名字和它的密钥的安全绑定。实质上，这是一种有隐含根的严格层次结构（更准确地说浏览器厂商是实质上的根CA ，而层次结构中下面的第一层则是所有的已嵌入的CA 的密钥）。

以用户为中心的信任。在一般被称作以用户为中心的信任模型中，每个用户都对决定信赖哪个证书和拒绝哪个证书直接完全地负责。尽管最初的可信密钥集通常包括一个特定用户个人认识的朋友、家人或同事的密钥。但这个决定可以被许多因素所影响。