依據IBE技能構建各種安全運用,第一时间先處理IBE的密鑰管理問題。一般,密鑰管理問題涉及密鑰管理组织建設,以及密鑰生命周期內的發生、存儲、分發、更新、吊銷和歸檔等技能環節。以下僅對對稱加密、PKI和IBE方式下密鑰管理部分關鍵環節進行比較。

密鑰管理组织

密鑰管理组织是系統默認的可信组织,對稱加密方式的密鑰管理组织是密鑰管理中心( Key Management Center,KMC);PKI方式的密鑰管理组织是認證中心( CertificatioAuthority,CA);IBE的密鑰管理组织是私鑰生成器( Private Key Generator,PKG)。在實踐運用中,KMC、CA和PKG在面對大用戶量系統需要時,為防止“單點失效”和進步管理功率,都選用分層樹型結構的管理组织建設方式。可是,由於PKI跨域穿插認證時需要經過根CA,因而根CA易成為系統瓶頸 ,因而國際標準组织主張CA建設層次最好不要超過3層。KMC的管理组织分層建設一般不存在這種約束,5層結構也有運用,可是跨域密碼互通管理也需要經過根KMC,因而根KMC也易成為系統瓶頸。

在IBE中,為處理大規劃系統運用中單個PKG在線分發私鑰的瓶頸問題, Gentry和Sliver berg提出了依據身份分層結構的HIBE( Hierarchical Identity Based Encryption)公鑰機制。HIBE是IBE的擴展,其最大特點是根PKG的私鑰結構和身份驗證作業可由後代PKG承當,且某個PKG的密鑰走漏不會影響其先人PKG安全,也不會影響該域用戶私鑰安全,從這點來說,IBE更適合大規劃、分佈式環境中的強安全運用。

密鑰產生

對稱加密的密鑰一般由制密系統離線生產,選用光盤等載體經過人工安全信道交給用戶運用。在某些實時性要求較高或具有“一次一密”通訊要求的場合,則選用密鑰管理中心或密鑰分發設備進行集中式在線生產。

PKI的公鑰需要可信CA中心進行身份綁定,並簽名證明,而私鑰可由用戶自己發生和保存,也可由證書管理中心一致發生公/私鑰對,加密通訊進程不需要傳遞私鑰,不依賴安全信道,但通訊雙方有必要經過CA運用證書進行身份認證。IBE的公鑰就是用戶的身份標識,而私鑰一般由密鑰管理组织PKG發生用戶在需要私鑰時,由PKG依據用戶標識核算後發生,並經過安全信道發給用戶。

密鑰存儲

對稱加密方式下,一般是將一切用戶的密鑰存儲在專用載體上,經過光盤或注入器一次性經過人工安全信道發給各用戶或將各用戶的密鑰寄存在密鑰分發設備中集中保存,經過在線安全信道發給各用戶。前者在大用戶量時面對存儲容量需要大、密鑰分發功率低一級問題;後者則有必要保障密鑰分發設備的存儲安全和傳輸安全。PKI方式下,一般將各用戶的公鑰寄存在公用的、在線運轉的LDAP目錄庫中集中保存,各用戶均可拜訪和下載,因而特殊運用下的公鑰證書安全存儲和拜訪操控是極端必要的;而私鑰則選用IC卡或USB-Key等載體寄存,要求用戶自己安全保存。這種方式不需要在終端用戶本地存儲很多證書,但當系統規劃越來越大時,巨大的證書庫較難保護,對系統根CA的處理才能要求較高。IBE方式下,公鑰就是用戶自己的唯一性標識,私鑰則由用戶向PKG請求,PKG核算出用戶私鑰後,一般不保存私鑰,因而IBE不存在密鑰存儲問題。可是,當PKG的系統主密鑰S走漏,或PKG發生用戶私鑰後私自保存,則將面對用戶私鑰走漏的問題,即IBE的密鑰保管問題。

密鑰分發、替換與吊銷

對稱加密方式下,用於事務加密的用戶作業密鑰可選用離線、在線分發或替換方式;而用於作業密鑰分發保護的用戶管理密鑰則有必要選用經由人工安全信道的離線分發或替換方式,不然在線安全信道無法樹立。當一個通訊群組中,某個用戶的密鑰走漏後,要及時替換一切用戶密鑰,確保安全組通訊是較為困難的,特別是當系統規劃較大時。

PKI方式下,公鑰證書選用離線分發,經由LDAP目錄庫在線管理和替換方式;而用戶私鑰也一般選用離線分發,當用戶丟掉私鑰需要替換時,有必要連同公鑰證書一起替換,而被吊銷的證書有必要放入在線運轉的證書吊銷列表系統中供其他用戶查詢、獲悉。當系統規劃較大時,證書吊銷列表保護本錢較高。

IBE方式下,用戶的公鑰無須分發,而用戶的私鑰由PKG依據用戶挑選的公鑰來發生,由於私鑰滯後於公鑰發生,所以一般選用在線分發私鑰的方式。在IBE中,用戶公鑰(即身份)無須替換,用戶私鑰替換相對PKI簡略,如只需用戶在挑選公鑰的時分加上時間段字符串作為公鑰的一部分,則可讓私鑰依據需要替換,即超過有效期的私鑰就不再運用。