公钥密码构建信任路径的四种方法是什么

公钥密码构建信任路径的四种方法如下：

• 证书链：这种方法被商业CA和大多数SSL所采用，还有S/MIME也是采用这种认证方式的。证书链由一系列从根CA到用户的证书所组成。为了能够认证不同信任域内的用户证书，客户端要保存所有需要的自签根证书，还要有能够验证其他域CA自签证书所用到的签名算法。大多数情况下，可以通过目录服务器来访问分布式的数据库，或用S/MIME电子邮件消息来发布和得到证书链。还有一种是将证书链的构建过程放到发证和制作数字信封当中，这样做可以使客户端变得十分简单而且易于实现，因为剩下的工作只是做签名验证。但是，在大规模的分布式环境中，维护和管理本地每一个用户的数个根CA证书链，而且还要实施密钥保护和维持证书安全策略是很困难的。用户必须经常地从系统管理员那里更新自签证书，一旦用户没有得到正确及时的更新信息，使用了不可信任的根证书所带来的风险就是难以估量的。

• 路径图：这种实施方法是指客户端程序通过检查并存储用户信任域所有的层次关系，产生一幅节点路径图，节点代表CA和用户，弧代表证书。根据某种算法，可以合并包含节点的新的路径图和原有的路径图，来产生更新的路径图。对于每一个新插入路径图的节点都要进行完整性校验，在整个路径构建完毕后，就可以进行路径验证了。在这种方法下可能会有多重路径，所以要有相应的算法来决定最短路径。如果最短路径无效，那么就要对次短路径进行检测，从最短路径到最长路径的序列中找到可以通过验证的最短路径。层次路径图是一种通用的、适应性强的确定证书信任路径的方法，它独立于证书策略所决定的层次结构的形式。

• 证书路径验证服务：用一个专用的DCS服务器来处理证书信任路径的构建和验证，并提供证书的更新信息。为了认证一个PKI用户，客户端将一个认证请求连同自己的证书发送给DCS，DCS负责从目录服务器获取所有需要的证书，构建证书信任路径并加以验证，将结果发送回用户，在这种情况下，客户端是极其简单的，因为它不需要构建证书路径，也不需要验证证书。但从另一方面看，整个系统的安全性依赖于一个服务器，如果该服务器受到拒绝服务攻击或者欺骗攻击，所有的用户和实体都将受到损害，所以要实施DCS，就必须要使用附加的强大的安全手段来保护服务器，另外，要实施DCS就肯定需要一个高性能的服务器，这样无疑增加了系统成本。

• 目录服务器路径构建：由目录服务器来进行路径的构建，在接收到请求之后，目录服务器负责构建证书路径，并将路径上的所有证书都发回给客户端，客户端负责对证书路径进行验证。因为验证操作是在客户端完成的，所以对于目录服务器自身的安全性没有什么损害。在大规模分布式环境下，在目录服务器上实施这样的操作，将会给目录服务器造成极大的负担，从而影响目录服务器的主要功能—提供对分布式存储的访问。另外，要想在目录服务器中实现这项功能，就必须对已有的目录服务器的协议进行修改，这势必会对其开放性和互操作性造成影响。