CA中心又稱CA機構，即證書授權中心(Certificate Authority )，或稱證書授權機構，作為電子商務交易中受信任的第三方，承擔公鑰體系中公鑰的合法性檢驗的責任。
基本介紹
- 中文名：CA中心
- 外文名：Certificate Authority
- 又稱：CA機構
- 即：證書授權中心
定義,架構,職責,數字證書,作用,套用前景,
定義
CA中心為每個使用公開密鑰的用戶發放一個數字證書，數字證書的作用是證明證書中列出的用戶合法擁有證書中列出的公開密鑰。CA機構的數字簽名使得攻擊者不能偽造和篡改證書。在SET交易中，CA不僅對持卡人、商戶發放證書，還要對獲款的銀行、網關發放證書。它負責產生、分配並管理所有參與網上交易的個體所需的數字證書，因此是安全電子交易的核心環節。
電子商務的安全是通過使用加密手段來達到的，非對稱密鑰加密技術（公開密鑰加密技術）是電子商務系統中主要的加密技術，主要用於對稱加密密鑰的分發（數字信封）、數字簽名的實現(進行身份認證和信息的完整性檢驗)和交易防抵賴等。CA體系為用戶的公鑰簽發證書，以實現公鑰的分發並證明其合法性。該證書證明了該用戶擁有證書中列出的公開密鑰。證書是一個經證書授權中心數字簽名的包含公開密鑰擁有者信息以及公開密鑰的檔案。證書的格式遵循X.509標準。
認證中心（CA─Certificate Authority）作為權威的、可信賴的、公正的第三方機構，專門負責發放並管理所有參與網上交易的實體所需的數字證書。它作為一個權威機構，對密鑰進 行有效地管理，頒發證書證明密鑰的有效性，並將公開密鑰同某一個實體（消費者、商戶、銀行）聯繫在一起。它負責產生、分配並管理所有參與網上信息交換各方所需的數字證書，因此是安全電子信息交換的核心。
為保證客戶之間在網上傳遞信息的安全性、真實性、可靠性、完整性和不可抵賴性，不僅需要對客戶的身份真實性進行驗證，也需要有一個具有權威性、公正性、唯一性的機構，負責向電子商務的各個主體頒發並管理符合國內、國際安全電子交易協定標準的安全證書。
隨著認證中心(或稱CA中心)的出現，使得開放網路的安全問題得以迎刃而解。利用數字證書、PKI、對稱加密算法、數字簽名、數字信封等加密技術，可以建立起安全程度極高的加解密和身份認證系統，確保電子交易有效、安全地進行，從而使信息除傳送方和接收方外，不被其他方知悉（保密性）；保證傳輸過程中不被篡改（完整性和一致性）；傳送方確信接收方不是假冒的（身份的真實性和不可偽裝性）；傳送方不能否認自己的傳送行為（不可抵賴性）。
架構
根據PKI的結構，身份認證的實體需要有一對密鑰，分別為私鑰和公鑰。其中的私鑰是保密的，公鑰是公開的。從原理上講，不能從公鑰推導出私鑰，窮舉法來求私鑰則由於目前的技術、運算工具和時間的限制而不可能。每個實體的密鑰總是成對出現，即一個公鑰必定對應一個私鑰。公鑰 加密的信息必須由對應的私鑰才能解密，同樣，私鑰做出的簽名，也只有配對的公鑰才能解密。公鑰有時用來傳輸對稱密鑰，這就是數字信封技術。密鑰的管理政策是把公鑰和實體綁定，由CA中心把實體的信息和實體的公鑰製作成數字證書，證書的尾部必須有CA中心的數字簽名。由於CA中心的數字簽名是不可偽造的，因此實體的數字證書不可偽造。CA中心對實體的物理身份資格審查通過後，才對申請者頒發數字證書，將實體的身份與數字證書對應起來。由於實體都信任提供第三方服務的CA中心，因此，實體可以信任由CA中心頒發數字證書的其他實體，放心地在網上進行作業和交易。
職責
CA中心主要職責是頒發和管理數字證書。其中心任務是頒發數字證書，並履行用戶身份認證的責任。CA中心在安全責任分散、運行安全管理、系統安全、物理安全、資料庫安全、人員安全、密鑰管理等方面，需要十分嚴格的政策和規程，要有完善的安全機制。另外要有完善的安全審計、運行監控、容災備份、事故快速反應等實施措施， 對身份認證、訪問控制、防病毒防攻擊等方面也要有強大的工具支撐。CA中心的證書審批業務部門則負責對證書申請者進行資格審查，並決定是否同意給該申請者發放證書，並承擔因審核錯誤引起的、為不滿足資格的證書申請者發放證書所引起的一切後果，因此，它應是能夠承擔這些責任的機構擔任；證書操作部門（Certificate Processor，簡稱CP）負責為已授權的申請者製作、發放和管理證書， 並承擔因操作運營錯誤所產生的一切後果，包括失密和為沒有授權者發放證書等，它可以由審核業務部門自己擔任，也可委託給第三方擔任。
數字證書
數字證書就是標誌網路用戶身份信息的一系列數據，用來在網路通訊中識別通訊各方的身份，即要在Internet上解決"我是誰"的問題，就如同現實中我們每一個人都要擁有一張證明個人身份的身份證或駕駛執照一樣，以表明我們的身份或某種資格。
在網上電子交易中， 商戶需要確認持卡人是信用卡或借記卡的合法持有者，同時持卡人也必須能夠鑑別商戶是否是合法商戶，是否被授權接受某種品牌的信用卡或借記卡支付。為處理這 些關鍵問題，必須有一個大家都信賴的機構來發放數字安全證書。數字安全證書就是參與網上交易活動的各方（如持卡人、商家、支付網關） 身份的代表，每次交易時，都要通過數字安全證書對各方的身份進行驗證。數字安全證書是由權威公正的第三方機構即CA中心簽發的，它在證書申請被認證中心批 準後，通過登記服務機構將證書發放給申請者。
數字安全證書是一個經證書授權中心數字簽名的包含公開密鑰擁有者信息以及公開密鑰的檔案。最簡單的證書包含一個公開密鑰、名稱以及證書授權中心的數字 簽名。一般情況下證書中還包括密鑰的有效時間，發證機關(證書授權中心)的名稱，該證書的序列號等信息，證書的格式遵循ITUT X.509國際標準。
一個標準的X.509數字安全證書包含以下一些內容：
·證書的版本信息；
·證書的序列號，每個證書都有一個唯一的證書序列號；
·證書所使用的簽名算法；
·證書的發行機構名稱，命名規則一般採用X.500格式；
·證書的有效期，現在通用的證書一般採用UTC時間格式；
·證書所有人的名稱，命名規則一般採用X.500格式；
·證書所有人的公開密鑰；
·證書發行者對證書的簽名。
作用
CA為電子商務服務的證書中心，是PKI（Public Key Infrastructure）體系的核心。它為客戶的公開密鑰簽發公鑰證書、發放證書和管理證書，並提供一系列密鑰生命周期內的管理服務。它將客戶的公 鑰與客戶的名稱及其他屬性關聯起來，為客戶之間電子身份進行認證。證書中心是一個具有權威性、可信賴性和公證性的第三方機構。它是電子商務存在和發展的基礎。認證中心在密碼管理方面的作用如下：
自身密鑰的產生、存儲、備份/恢復、歸檔和銷毀 從根CA開始到直接給客戶發放證書的各層次CA，都有其自身的密鑰對。CA中心的密鑰對一般由硬體加密伺服器在機器內直接產生，並存儲於加密硬 件內，或以一定的加密形式存放於密鑰資料庫內。加密備份於IC卡或其他存儲介質中，並以高等級的物理安全措施保護起來。密鑰的銷毀要以安全的密鑰沖寫標 準，徹底清除原有的密鑰痕跡。需要強調的是，根CA密鑰的安全性至關重要，它的泄露意味著整個公鑰信任體系的崩潰，所以CA的密鑰保護必須按照最高安全級 的保護方式來進行設定和管理。
為認證中心與各地註冊審核發放機構的安全加密通信提供安全密鑰管理服務 在客戶證書的生成與發放過程中，除了有CA中心外，還有註冊機構、審核機構和發放機構（對於有外部介質的證書）的存在。行業使用範圍內的證書， 其證書的審批控制，可由獨立於CA中心的行業審核機構來完成。CA中心在與各機構進行安全通信時，可採用多種手段。對於使用證書機制的安全通信，各機構 （通信端）的密鑰產生、發放與管理維護，都可由CA中心來完成。
確定客戶密鑰生存周期，實施密鑰吊銷和更新管理 每一張客戶公鑰證書都會有有效期，密鑰對生命周期的長短由簽發證書的CA中心來確定。各CA系統的證書有效期限有所不同，一般大約為2～3年。
密鑰更新不外為以下兩種情況：密鑰對到期、密鑰泄露後需要啟用新的密鑰對（證書吊銷）。密鑰對到期時，客戶一般事先非常清楚，可以採用重新申請的方式實施更新。
採用證書的公鑰吊銷，是通過吊銷公鑰證書來實現的。公鑰證書的吊銷來自於兩個方向，一個是上級的主動吊銷，另一個是下級主動申請證書的吊銷。當上級CA對下級CA不能信賴時（如上級發現下級CA的私鑰有泄露的可能），它可以主動停止下級CA公鑰證書的合法使用。當客戶發現自己的私鑰泄露時，也可 主動申請公鑰證書的吊銷，防止其他客戶繼續使用該公鑰來加密重要信息，而使非法客戶有盜取機密的可能。一般而言，在電子商務實際套用中，可能會較少出現私 鑰泄露的情況，多數情況是由於某個客戶由於組織變動而調離該單位，需要提前吊銷代表企業身份的該客戶的證書。
提供密鑰生成和分發服務
CA中心可為客戶提供密鑰對的生成服務，它採用集中或分散式的方式進行。在集中的情形下，CA中心可使用硬體加密伺服器，為多個客戶申請成批的生成密鑰對，然後採用安全的信道分發給客戶。也可由多個註冊機構（RA）分布生成客戶密鑰對並分發給客戶。
提供密鑰託管和密鑰恢復服務
CA中心可根據客戶的要求提供密鑰託管服務，備份和管理客戶的加密密鑰對。當客戶需要時可以從密鑰庫中提出客戶的加密密鑰對，為客戶恢復其加密 密鑰對，以解開先前加密的信息。這種情形下，CA中心的密鑰管理器，採用對稱加密方式對各個客戶私鑰進行加密，密鑰加密密鑰在加密後即銷毀，保證了私鑰存儲的安全性。密鑰恢復時，採用相應的密鑰恢復模組進行解密，以保證客戶的私鑰在恢復時沒有任何風險和不安全因素。同時，CA中心也應有一套備份庫，避免密鑰資料庫的意外毀壞而無法恢復客戶私鑰。
其他密鑰生成和管理、密碼運算功能
CA中心在自身密鑰和客戶密鑰管理方面的特殊地位和作用，決定了它具有主密鑰、多級密鑰、加密密鑰等多種密鑰的生成和管理功能。
對於為客戶提供公鑰信任、管理和維護整個電子商務密碼體系的CA中心來講，其密鑰管理工作是一項十分複雜的任務，它涉及到CA中心自身的各個安全區域和部件、註冊審核機構以及客戶端的安全和密碼管理策略。
套用前景
目前，以數字安全證書為核心的PKI技術正在日趨成熟，其套用已覆蓋了安全電子郵件、虛擬專用網路（VPN）、Web互動安全、電子數據交換、Internet上的信用卡交易等，涉及電子商務、電子政務、電子事務安全等諸多領域。
隨著Internet套用在我國的不斷普及和深入，政府部門將利用數字安全證書技術來支持管理；商業企業內部、企業與企業之間、區域性服務網路、電子商務網站將使用PKI的技術和解決方案。
