PKIX

PKIX，即公钥基础设施（X.509），是互联网工程任务组的一个工作组和标准工作，专注于将X.509公钥证书技术适配并规范为互联网上的实际应用。它不是一个传统的商业品牌、公司、产品公司或证书颁发机构。相反，它是标准生态系统的一部分，定义了颁发、表示、验证、使用和撤销数字证书的互操作机制。 与PKIX相关的工作基于X.509，这是国际电信联盟最初与X.500目录架构一起制定的标准。X.509证书通过数字签名将身份（如域名、组织、设备或个人）绑定到公钥。PKIX为互联网环境定义了该更广泛标准的配置文件，在互联网环境中，全球X.500目录模型并未按最初设想部署，系统需要更灵活的方式来发现颁发者、构建认证路径和评估信任。 PKIX规范支撑着多种形式的互联网安全。它们与传输层安全性（TLS）密切相关，TLS是保护HTTPS连接的协议族，但相同的证书概念也支持安全电子邮件、代码和文档签名、设备认证、企业身份系统以及其他应用。证书可以由认证机构颁发，通过中间机构链验证到受信任的根，或在更有限的自签名或本地管理的信任模型中使用。 PKIX的一个核心贡献是定义了X.509版本3证书和证书撤销列表的互联网配置文件。这些配置文件描述了诸如颁发者、主题、公钥、有效期、序列号、签名算法和扩展等字段。扩展可以限制证书是否允许颁发其他证书，指定允许的加密操作，标识预期用途（如TLS服务器认证或电子邮件保护），并表达替代名称（如域名）。该配置文件还提供了认证路径验证规则，允许软件确定所呈现的证书是否链接到受信任的机构，以及其限制是否得到满足。 PKIX规范与其他公钥基础设施和政策制度共存。政府PKI、企业信任库、商业证书颁发机构以及CA/浏览器论坛生态系统可能施加额外要求或不同的验证策略。PKIX本身提供互操作的技术配置文件，而不是通用的商业信任策略。因此，软件可能仅在颁发机构包含在相关信任库中且证书满足应用程序策略时，才接受技术上符合PKIX配置文件的证书。 这项工作最好被理解为一项开放标准活动，而不是一个销售证书的组织。其产出是RFC、配置文件、协议和操作指南，供浏览器、服务器、操作系统、加密库、网络设备和系统使用。最有影响力的配置文件是RFC 5280，它规定了互联网X.509证书和证书撤销列表配置文件。PKIX的持续重要性在于维护数字身份和信任的通用技术语言，跨越独立实现。

PKIX的出现源于使X.509公钥证书在互联网协议和实现中可用的需求。X.509由国际电信联盟与X.500目录标准一起引入。其原始模型假设了一个相对正式的、分层的目录和认证环境。互联网的发展不同：全球X.500目录并未广泛实现，互联网应用需要能够在异构网络和独立管理的机构之间运行的证书发现、信任和验证机制。 IETF的PKIX工作通过为互联网使用定义X.509配置文件来解决这一差距。该工作不是试图复制完整的X.500环境，而是集中于互联网协议所需的证书和撤销结构、命名约定、扩展、信任关系和验证程序。这种方法允许实现使用X.509版本3证书，同时适应诸如分层证书颁发机构、桥接安排和其他信任配置等实际拓扑。 PKIX的技术模型区分了证书颁发机构证书和终端实体证书。根证书充当信任锚，而中间或下级机构可以在其下颁发证书。终端实体证书标识个人、组织、主机、服务或设备，通常不能颁发其他证书。软件通过检查签名、有效期、允许的用途、颁发者和主题关系、关键扩展以及适用的策略约束来验证链。 该工作还解决了证书生命周期管理。PKIX定义了证书撤销列表，允许机构发布不应再被信任的证书。相关的IETF工作指定了在线状态检查和证书注册机制，包括用于请求、颁发和管理证书的协议。这些标准共同支持企业和公共PKI所需的操作功能。 互联网X.509证书和证书撤销列表配置文件最终在RFC 5280中规定，该文件成为实现PKIX风格验证的软件的核心参考。该配置文件定义了证书结构和重要扩展，如基本约束、密钥用法、扩展密钥用法、主题替代名称和机构信息访问。这些字段允许证书传达其是否代表CA、支持哪些加密操作、哪些应用程序可以使用它，以及在哪里可以找到相关的颁发者或状态信息。 PKIX标准成为TLS和HTTPS的基础，尽管部署也依赖于浏览器和操作系统的信任程序、证书颁发机构策略以及应用程序特定规则。标准本身并不指定每个受信任的商业CA，也不建立单一的全球策略。相反，它们为不同的信任生态系统提供了共同的技术基础。 随着时间的推移，互联网证书实践暴露了操作问题，如证书链不完整、难以定位中间证书、撤销检查限制以及增强验证标签的实际价值不确定性。实现和部署实践随之演变。Web服务器越来越多地直接提供中间证书，而浏览器和其他客户端调整了它们显示或解释证书验证信息的方式。这些发展说明了PKIX的协议和数据格式标准与商业证书颁发机构、浏览器供应商、政府和企业管理员的独立策略之间的区别。

• 1988

  X.509初始发布

  [2]X.509en.wikipedia.org

  国际电信联盟与X.500目录框架一起引入了X.509，建立了将身份绑定到公钥的证书标准化结构。

• IETF PKIX工作组成立

  [1]PKIX Working Group overviewdatatracker.ietf.org

  IETF开发了PKIX，以将X.509公钥基础设施概念适应互联网协议，并解决依赖全球部署的X.500目录的实际限制。

• 互联网X.509证书和CRL配置文件发布

  [3]RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profilerfc-editor.org

  RFC 5280定义了广泛使用的X.509版本3证书和证书撤销列表的互联网配置文件，包括证书扩展和路径验证要求。

一个IETF标准工作，将通用的X.509证书框架转化为互联网公钥基础设施的互操作配置文件和程序。

• 证书标准

  互联网X.509证书配置文件

  用于互联网的X.509版本3证书配置文件。它定义了主要证书字段、签名和公钥信息、颁发者和主题命名、有效期、序列号以及用于表达约束和预期应用的扩展。它在许多TLS、电子邮件、设备管理、企业和文档签名环境中实现。

• 撤销标准

  互联网X.509证书撤销列表配置文件

  一种标准化的方式，供证书颁发机构发布有关在预定到期前已撤销的证书的信息。该配置文件规定了依赖方在证书链验证中检索和评估撤销信息所需的结构和字段。

• 信任验证框架

  认证路径验证

  用于评估从终端实体通过中间机构到受信任根或其他信任锚的证书链的规则和数据结构。验证包括签名检查、有效期、基本约束、密钥用法、扩展密钥用法、名称约束（如适用）和策略处理。

1. 1PKIX Working Group overviewdatatracker.ietf.org
2. 2X.509en.wikipedia.org
3. 3RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profilerfc-editor.org