在Internet诞生之初引入公钥基础结构（PKI）之后，它经历了多次更改和更新，但是它仍然是用于加密数据和保护通信的传统方法。 PKI支持隐私和浏览器与服务器之间数据通信的保护，但它需要来自称为证书颁发机构（CA）的单个实体或实体链的隐式信任，这导致了信任度崩溃。 多年来，拥有一个根实体来控制向公众发布私钥的方式表明，这可能会导致透明性和安全性方面的严重麻烦。
在本文中，我们将再次深入探讨当前系统的问题，并考虑可以克服现有缺陷的正在开发的解决方案。
公钥基础设施的当前挑战
Web PKI是最常用的公钥基础结构（PKI）方法。 这是一个基于证书颁发机构的系统，采用集中式信任基础结构。 PKI解决的任务是确保主题标识符与其公钥之间的对应关系的安全性。 必须检查这种符合性，以验证建立安全连接的一方的真实性。 最重要的任务是在身份（标识数据）和用户的公共密钥之间建立对应关系。 使用公钥证书可以解决此问题，公钥证书是用于证明公钥所有权的电子文档。 该证书包含公钥和用户凭据，以及验证用户的受信方的电子签名。 为了确保证书的完整性和真实性，证书由受信方（证书颁发机构）签名。
集中式Web PKI解决方案存在许多严重问题：
- 快速通知关键妥协存在一些挑战，因为撤消证书列表的形成和分发可能需要几分钟到一个小时。 因此，不能100％保证此密钥当前属于特定用户。
- 如果证书是在线验证的（通过向证书颁发机构提出请求），则将侵犯用户的隐私，因为证书颁发机构将了解用户交互的全部历史记录。
- 与检测有害的根证书颁发机构的证书的存在相关的困难。 在这种情况下，可以将硬件安装在客户端和服务器之间的加密流量路径上，从而解密客户端和服务器未注意到的所有数据。
- 可以颁发多个具有相同名称的证书，即可以在不同的根中心对相同的标识符进行认证。
- 证书更新过程很复杂，因为您需要再次联系注册中心，更改数据，重新生成证书并通过证书颁发机构进行认证。
- 由于需要选择算法，因此电子签名存在不同的标准，并且用户会遇到兼容性问题。
- 系统的中心始终是攻击点，破坏根证书会使整个系统暴露于一系列漏洞中。
- 标识符管理在一个集中式组织的手中，并不属于标识符所有者本人。
正如我们所看到的，迫切需要对公钥基础结构进行大修，以消除可能威胁采用其他可靠方法来保护企业系统的安全漏洞。 负责Web PKI的Internet工程任务组（IETF）已创建了
一份备忘录，描述了PKI的当前问题，并同意Web PKI的当前实现存在不容忽视的问题。 过时的PKI设计会带来很高的安全风险，因为可以使用单点故障来打开任何加密的在线通信。 集中式PKI系统正努力跟上不断发展的数字环境，因此需要一种更好的设计，去中心化的PKI方法。
分权化解救
在去中心化的PKI中，区块链充当去中心化的键值存储。 它能够保护读取的数据，以防止MITM（中间人）攻击，并最大程度地降低第三方的力量。 通过将区块链技术的功能引入系统，DPKI解决了传统PKI系统的问题。 管理框架的分散性质可以通过证书吊销，消除单点故障以及对滥用CA做出快速反应来解决CA系统的问题。 区块链能够使流程透明，不变，并防止攻击者闯入，从而有效地避免了MITM攻击。
基于区块链的解决方案不需要任何专门的标准就可以处理区块链上的数据-它们只需要允许它们与链进行交互的软件即可。 这使IT系统能够使用API验证证书以与区块链进行交互，并确保与所有平台（服务器，台式机或移动平台）的互操作性。 在PKI上下文中区块链的其他优势包括：
- 透明性 区块链上的所有参与者都将可以访问智能合约的逻辑，从而提供数字合约中所约定内容的透明性。 还记录交易，以提供清晰的审计线索。
- 资源减少。 通过区块链和智能合约充当中间人或代理，可以减少交易所需的资源和时间。 在其中约定了预定义条件的智能合约的情况下尤其如此，一旦满足这些条件，便会执行自执行过程。
- 消除错误。 由于网络上的所有节点分别处理事务，更新和核对记录，因此可以避免计算错误。
- 廉正 记录相互核对，以确保未进行未经授权的更改。
- 耐用性。 由于记录并非仅由特定节点控制，因此整个区块链网络中没有单点故障。 这使得区块链网络更加持久和强大。
- 改进的容错能力和DDoS抵抗力。 区块链提供的功能之一是减轻拒绝服务（DDoS）攻击风险。 这是通过减轻网络中所有节点之间的吞吐量压力来完成的。 利用区块链方法的应用程序开发人员能够托管一个独立的节点来为其用户提供服务，或者视情况而定，仅使用任何公共可用的节点。
基于区块链的PKI的方法
目前，有几种方法可以解决上述问题，如下所示：
- 基于事务绑定技术的分散式公钥基础结构（DPKI），作者： ENCRY技术与创新总监Andrey Chmora。
Andrey Chmora建议采用一种新的方法来构建PKI，以使用分布式分类帐（区块链）技术消除现有的缺点。 我们之前的一篇文章中描述的专利技术提出了一种方法，可以验证特定的公钥集确实属于特定所有者，而无需认证中心和整个证书的概念。 建议创建一个空交易，以存储有关所有者及其电子钱包的信息（从中扣除将交易添加到分类账的佣金）。 空事务充当“锚”，用于挂接下一个事务以及有关公钥的数据。 这种类型的每个事务都包含一个专门的数据结构，称为“通知”-功能字段的结构化数据集，用于存储有关所有者公钥的信息，并通过将其添加到分布式系统中的相关记录之一中来保证该密钥的持久性分类帐。 - IKP（Instant Karma PKI）-通过卡内基梅隆大学的Stephanos Matsumoto和ETH Zurich的Raphael Reischuk进行的区块链转变PKI 。
研究人员认为，基于日志的PKI增强（例如证书透明性）不能为日志和监视器提供足够的诱因，也不能提供域可以采取的任何措施来响应CA的不良行为。 为了解决这个问题，他们提出了IKP，这是一种基于区块链的PKI增强功能，可以自动响应CA的不良行为，并为那些有助于检测不良行为的人员提供激励措施。 通过他们的研究，他们证明了IKP的分散性和智能合约系统允许公开参与，提供对CA保持警惕的激励机制，使人们有能力对不当行为进行财务追索，并且IKP提供的激励机制和威慑力量在技术和经济上都是可行的。 - 分散式公钥基础结构（DPKI） ，由Respect Network，PWC，Open Identity Exchange和Alacrity Software赞助。
该研究小组认为，可以通过使用分散的键值数据存储库来创建分散式公共密钥基础结构（DPKI）的规范来解决PKI的安全性和可用性问题。 DPKI的基本原则是身份属于它们代表的实体。 这就要求设计一个分散的基础架构，其中每个身份都不由受信任的第三方控制，而是由其主要所有者控制。 研究表明，DPKI甚至可以在资源受限的移动设备上运行，并且可以通过保护组织免受私钥丢失或破坏的影响，保持标识符的完整性。 DPKI在PKI生命周期的每个阶段均具有优势。 它使在线身份的无许可自举成为可能，并提供了简单创建更强大的SSL证书的功能。 - Karen Lewison和Francisco Corella，通过区块链PKI支持丰富的凭证 。 研究人员正在解决远程身份证明的问题。 尽管他们在具有链上存储的区块链上实施PKI的方法要求存在颁发CA，但它具有许多优势。 撤销检查在验证者的区块链本地副本上执行，而无需CRL或OCSP。 该提议通过不需要使用发布证书吊销列表（CRL）或响应在线证书状态协议（OCSP）查询的服务，解决了传统PKI的一个长期问题。
- PB-PKI：基于隐私感知的基于区块链的PKI ， 作者是牛津大学的Louise Axon和Michael Goldsmith。
研究人员认为，现有的提议不能提供某些当前和新兴应用中PKI所需的隐私意识。 他们的研究旨在证明如何构建基于区块链的PKI，以提供不同级别的隐私意识。 尽管该提案实现了完全匿名，但是这是以一定的安全成本为代价的：网络成员可能会在短期内篡改其他成员的公钥。 PB-PKI的安全性可以通过邻居组的认证来提高隐私级别，从而提高隐私级别，邻居组在更新时验证密钥更改。
结论
由证书颁发机构控制的PKI时代即将结束。 企业不断变化的需求，不断增强的连通性以及越来越老练的攻击者的增强功能，都必须过渡到更具弹性的替代方案。 这种选择位于区块链上，传统PKI的许多基本弱点都不适用。 区块链不是安全灵丹妙药，但在PKI的背景下，利用分散式环境将具有令人信服的收益。