分布式PKI并不是一個新概念。實踐中出現了大量的文章和試圖將這一概念付諸實踐的嘗試。分布式PKI的基礎假設是，核證機關在簽發和管理證書的過程中存在嚴重的脆弱性，因此需要下放證書頒發權力，使這一過程更加透明。

集中式PKI的缺陷偶爾會浮出水面，造成重大的財務和聲譽損失。最近的一個例子是，在2018年年中，研究人員發現了一個全新的惡意軟件項目，該項目使用從幾家***科技公司竊取的數字證書，即D-Link，對惡意軟件進行簽名，使其看起來像合法的應用程序。令人困惑的是，D-Link只有在得到研究人員的通知后才會撤銷證書。這意味著這種類型的惡意軟件很難檢測到，因為即使在公司撤銷其證書的簽名時，反病毒程序也無法檢查證書的有效性。可悲的是，這不是一個黑客竊取有效證書來為他們的惡意軟件簽名的個案。

PKI是什么？

PKI通過一組公共和私有密鑰對數據交換進行加密和解密，這些公鑰和私鑰是由隨機產生的數字組成的長字符串。通過生成對的算法，這些長數字字符串在數學上是相關的。

PKI現在被廣泛使用，因此保護私鑰的問題非常重要。只要考慮一下這些用例：

1. 服務器標識：每當有人使用了HTTPS安全的web服務器連接時，他們都在SSL握手中使用一個PKI服務器標識證書。

2. Web應用程序的身份驗證和授權： 這種身份驗證通常使用用戶名和密碼完成，但是PKI提供了一個有吸引力的替代方案。SSL具有在建立安全加密連接之前要求客戶端證書的可選能力。因此，web服務器在允許建立HTTPS連接之前需要有效的客戶機證書。但是它很少被使用，因為現有的解決方案并不合適，這使得管理它成為一場噩夢。

3. 電子文檔和表單簽名： PKI支持的簽名由計算文檔內容的哈希值和附加包含哈希值的加密簽名組成。

除了上述用例之外，PKI還可以應用于vpn、S/MIME電子郵件簽名和加密、電子郵件列表服務器、無線網絡安全和安全即時消息的身份驗證，更不用說許多其他應用程序了。

在傳統的PKI模型中，核證機關發出并簽署所有證書，充當頂級信任代理，促進第三方信任模型。用戶彼此信任，因為核證機關會保證信息的真實性和完整性。

但正如最近的事件所突顯的那樣，核證機關受到了損害。

密碼學能幫上忙

REMME團隊提出了開源PKI （d）協議的概念來保護通信，我們確信主要的用例是人類身份驗證。最近，我們加入了致力于同一方向的全球聯盟和社區。與FIDO、W3C和DIF一起，正在跟蹤描述無密碼原則和解決方案的新規范。

然而，經過一年的研發，我們已經明白，作為一家技術網絡安全公司，我們面臨的主要挑戰將是具有更廣泛影響的安全通信。目前，最流行的數據保護技術是公鑰基礎設施（Public Key Infrastructure， PKI）。它基于X.509客戶端證書的頒發和管理，在許多場景中，這些證書被廣泛用于對交易對手進行的身份驗證。我們對此進行了研究，并將相同的功能集成到我們的想法中。畢竟，重新發明輪子是沒有意義的。

例如，在web資源的情況下，服務器使用證書和關聯的私鑰對其客戶機進行身份驗證。這種情況在銀行業、政府等行業非常典型。這是一種適用于任何需要高度安全性場景的技術，在這種場景中，密碼是一種不可接受的用戶身份驗證方式（因為它們很容易被社會工程或惡意軟件竊取）。

這些證書還廣泛用于機器對機器的交互。這是一種非常直觀的機器間身份驗證方法。例如，傳感器可以向遠程服務器發送數據;要對傳感器進行身份驗證，服務器將向傳感器請求客戶機證書。

另一個用例是安全代幣。這與第一點非常相似，只是私鑰存儲在特定的硬件上。

深入了解分布式PKI協議

該團隊重新考慮了PKI的基礎，添加了區塊鏈，以消除單點故障和組織信任核證機關的需求。這是一個開源解決方案，正在為PKI開發定制的區塊鏈。所有這些都是關于在區塊鏈上存儲證書的公鑰，主要是存儲它們的有效性時間和撤銷狀態。目前，我們正在構建用于分布式驗證用戶數據的系統。

在這張圖中，我們看到幾個節點連接到一個小型網絡和一些客戶機應用程序中。在這里，我們可以很容易地看到為什么分布式系統比集中式系統更可取。如果一個節點失敗，我們切換到另一個節點，這沒有關系。每個節點具有相同的數據、相同的邏輯和相同的API。這些節點還復制所有數據、所有事務歷史記錄和所有證書的狀態。這種冗余使我們的系統非常健壯。

這就是我們如何用我們的解決方案解決集中化的挑戰。

促進PKI的發展

數字化的未來正在迅速到來。我們還需要開發一種共同的方法，為該行業提供其成長和創新所需的安全空間。