PKI信任模型研究

合集下载

简要说明pki系统中多个ca间建立信任的方法。 -回复

简要说明pki系统中多个ca间建立信任的方法。

-回复PKI（Public Key Infrastructure，公钥基础设施）系统中，信任是确保数字证书的有效性和安全性的关键因素。

在PKI系统中，多个CA （Certification Authority，认证机构）之间建立信任是一项重要的任务。

本文将一步一步回答如何在PKI系统中建立多个CA之间的信任。

第一步：了解PKI系统中的认证机构（CA）PKI系统中的认证机构（CA）是负责验证和签发数字证书的可信机构。

每个CA都有自己的根证书（Root Certificate），该根证书用于验证和签发下级CA的证书。

因此，CA在PKI系统中扮演着至关重要的角色。

多个CA之间建立信任需要确保它们之间的根证书是有效和可信的。

第二步：验证和签发CA的根证书在PKI系统中，首先需要验证和签发每个CA的根证书。

这可以通过以下步骤来完成：1. 验证CA的身份：对于每个CA，其他CA需要验证其身份，确保其符合PKI规范和安全要求。

2. 验证根证书的有效性：其他CA需要验证根证书的有效性，包括根证书的签名是否有效和根证书的完整性是否受到破坏。

3. 签发信任证书：一旦验证通过，其他CA将签发一个信任证书，证明它们对该CA的信任。

该信任证书包含验证通过的根证书信息和对该CA的信任声明。

第三步：更新信任证书和根证书PKI系统中的根证书和信任证书可能会需要定期更新。

更新根证书和信任证书的目的是增加信任的有效期限，以确保PKI系统的连续性和安全性。

以下是更新证书的步骤：1. 根证书的更新：如果根证书过期或被撤销，则需要生成新的根证书。

其他CA通过验证新根证书的有效性来更新对该CA的信任。

2. 信任证书的更新：信任证书也需要定期更新，以确保对其他CA的信任仍然有效。

更新的信任证书将包含新的根证书信息和对该CA的信任声明。

第四步：建立信任链在PKI系统中，信任链是将根证书和信任证书连接在一起的关键。

一种PKI信任模型逻辑推理的改进方法

Ｖｏ．９，．，０７１２Ｎｏ８２０
文章编号：０７１０２０）８００ —４１０ —３Ｘ（０７０－０７０
一
种Ｐ信任模型逻辑推理的改进方法ＫＩ
ＡｎＩｐｏｅｐｒａｈｔｈｅＬｏｉａｍｒｖｄＡｐｏｃｏｔｇｃｌＩｆｒｎｅｏｈｅＰＫＩＴｒｓｏｅｎｅｅｃｎｔｕｔＭｄｌ
ｃｔｓａｄｔｒｅｒｓｒｃｉｎ。ｔｅｄｆｎｔｎｎｆｒｎｅｒｌｓｒｌｔｄｔｈｒｓｄ１ａｅｇｉｅ．Ｔｈｎ，ｏｈｓｂｓｓｔａｅｎｈｅｅｔｉｔｓｈｅｉｉｉｓａｄｉｅｅｃｕｅｅａｅＯｔｅｔｕｔｏｏｎｍｏｅｒｖｎｅｎｔｉａｉｗｏ
维普资讯
Ｃ４ —２８ＴＰＮ３１５／
ＩＳ１０ — ３ＸＳＮ０７１０
计算机工程与科学
ＣＭＰＥＮＧＮＥＲＮＧ＆ＳＩＮＣபைடு நூலகம் ＯＵＴＲＥＩＥＩＣＥＥ
２００７年第２卷第８期９
ｔｅｓｎｎｐｒａｈｓｔｈｗｏｒａｏｉｇａｐｏｃｅＯｔｅＰＫＩｔｕｔｍｏｅｒｐｓｄｂｋａｉＥｎｉｕｉＬｉｓｌ，ｂｓｇｔｒｅｐｅｉｒｓｄｌｏｏｅｙＢａｋｌＨａｄＫａｔｎＦｒｔｙｙｕｉｈｅｒｄ— ｐｏＢｎ
中图分类号：３１４ＴＰ９．１
文献标识码：Ａ

浅析电子政务中的PKI安全技术

政务安全的重要技术之一。在电子政务应用中，通过PKI 实现身份验证，保证传输信息的可信性。本文首先介绍了PKI 基本功能，接下来讨论了身份认证技术，分析了PKI 的信任模型。
书，证书废除的实现方式是将证书中的惟一序列号放人证书废止列表 CRL 中。
( 3 ) 交叉认证
条件地信任 CA 认证中心及其发放的证书，从而建立彼此信任关系每一份数字证书都与上一级的数字签名证书相关联，最终通过安全链追溯到一个已知的并被广泛认为是安全、权威、足
重要的角色，对于敏感性的资料，使用者必须制定防护措施以避免他方的窥探。利用PKI ，使得
机密资料的传送和存储有了更好的保障，只有被授权的一方才能阅读到信息。当用户 A 向用户 B 传送数据时，身份认证过程如图 1 所示。
图 2信任结构由存在着多个根 CA 所组成，独自管理各自的网 CA 络信任域，使用者对这些 CA 除了请求或收到 ( 1)密钥的管理证书之外，还可以查询，每个 CA 都在 PKI 系统由密钥管理中心KM(Key M anagement)负中扮演着重要的角色，并维护着使用者之间的责提供密钥的产生、、登记认证、注销、分发、恢信任。因为有规律的维护信任链之间的信息并复、撤销和销毁等服务， CA 共同完成对用户与证书的签发、恢复和管理工作。保持最新的状态是必须的，此模型中的CA 将被设定为彼此之间互相信任的信息。这种信任密钥的产生有两种方法 :一是最终用户在模型用于电子商务领域，缺点是相互认证复杂。本地计算机中产生一对密钥，然后把公钥发送 ③ Web 信任模式。每个浏览器厂商都有自己的给 CA，为其签发证书; 另一种是由 CA 负责产根，并且由厂商认证嵌入到浏览器中的CA 。唯图 1 PKI 身份认证过程生用户的密钥对，然后以加密文件的形式发送给最终用户，也可以存储在物理介质(如智能卡 1) 用户A 向PKI 应用系统提交公钥证书，一真正的不同是根 CA 并不被浏览器厂商的根并发出登录申请。所认证，而是物理地嵌人软件来发布，作为对或存储卡) 中，交给用户。这是 2)通过系统验证，请求TSP 时间戳服务，加 CA 名字和它的密钥的安全绑定。实质上，密钥的恢复，用户由于某些原因将解密数一种有隐含根的严格层次结构 ( 更准确地说浏据的密钥丢失，从而使已被加密的密文无法解盖标准时间。览器厂商是实质上的根 CA ，而层次结构中下开，为此，提供了密钥备份与密钥恢复机 PKI 3)应用服务器产生的一个随机数，与用户面的第一层则是所有的已嵌人的CA 的密钥) 。 A 的私钥签名和公钥打包成数字信封，再加上制: 当用户证书生成时，加密密钥即被 CA 备份传送给用户 Bo ④ 桥式信任模式。结合层次和分布式模式，在存储; 当需要恢复时，用户只需向CA 提出申用户B 的公钥进行加密，各自根 CA 的基础上，引人桥式模式，从而简化请，就会为用户自动进行恢复。 CA 4 ) 当用户 B 接收到数据时，用私钥对数字了分布式模式的复杂度。还原出随机数、时间戳、服务器的公密钥更新，一个证书的有效期是有限的，信封解密，四、的应用 PKI 一个已颁发的证书需要“ 过期”以便更换新的，钥证书，并用服务器的公钥证书、随机数、时间随着 PKI 技术日趋成熟，已广泛应用 PKI 传送给服务器。证书，由PKI 本身自动完成密钥或证书的更新，戳签名加密，于电子政务。福建省政府办公厅已发出“ 在全省 5)服务器将用户A 的登录信息写入系统。完全无须用户的千预。当失效日期到来时，启动范围内使用福建省数字安全证书” 的函，福建省三、的信任模型 PKI 更新过程，生成一个新证书来代替旧证书。认证中心 CA 是电子政务运用信赖的基 CA 为福建政务网提供的 8000 多份 CA 证书， (2)证书的管理础。它通过自身的注册审核体系，检查核实进行用于各级政府部门领导干部在网上浏览自己权证书是数字证书或电子证书的简称，它符北京、上海已经合X.509 标准，是网上实体身份的证明。证书是证书申请的用户身份和各项相关信息，使网上限范围内允许浏览的所有文件。交易的用户属性客观真实性与证书的真实性一将 PKI 技术应用到政府网上办公、企业网上纳由具备权威性、可信任性和公正性的第三方机税、股民网上炒股、个人安全电子邮件等多个方致。认证中心作为权威的、可信赖的、公正的第构签发的，因此，它是权威性的电子文档。面，并取得了良好的社会效益和经济效益。三方机构，专门负责发放并管理所有参与网上数字证书库是证书集中存贮的地方，用户交易的实体所需的数字证书。在基于 PKI 公钥可以从此处获得其他用户可用的证书和公钥信参考文献 : 息。证书注册是用户按照操作规程将自已的身基础设施的信任服务体系中，数字证书认证中 [1] 阮俊杰，电子政务教程[M ].北京: 红旗心 CA 负责产生、分配并管理所有参与网上交份信息提交给 CA,CA 对这些信息进行正确性出版社 2005, CA 实施验证，并将该证书公布到相应的证书仓库易的实体所需的身份认证字证书。中心向 [2] 尹传勇刘寿强陈娇春，计算机安全[J]. 中。证书在到期后自动废止，当用户私钥泄密、所辖区中的网络实体发放和管理证书，区域中丢失或工作环境变化时，可要求 CA 废除其证的所有用户、计算机及终端设备、网络实体均无 2003 年 08 期

公钥基础设施PKI介绍

22
IDEA ( International Data Encryption Algorithm) 它是一种使用128bit密钥以64bit分组为单位加密数据的分组密码。IDEA的分组长度足够的长，可以阻止统计分析;另外，它的密钥长度足够长，可以防止穷举式密钥搜索;再者它有更好的扰乱性和扩散性。
19
优点:效率高、算法简单、计算开销小，适合加密大量数据。
缺点:密钥分配问题 eg: A与B两人之间的密钥必须不同于A和C 两人之间的密钥，在有1000个用户的团体中， A需要保持至少999个密钥(更确切的说是 1000个，如果她需要留一个密钥给他自己加密数据)。对于该团体中的其它用户，此种倩况同样存在。所以N个用户的团体需要 N2/2个不同的密钥。
30
单向函数散列算法
单向散列函数算法也称为报文摘要函数算法，它是使用单向的散列(Hash)函数，它是从明文到密文的不可逆函数，也就是说只能加密不能还原。单向散列函数H作用于任意长度的信息M，返回一个固定长度128-256 的大数散列值(也称摘要信息)h =H(M) 。
31
特征
计算的单向性:给定M和H，求h =H(M)容易，但反过来给定h和H,求M=H-1(h)在计算上是不可行的。
在应用层上对信息进行加密的算法或对消息来源进行鉴别的协议已有多年的研究。但在传统的基于对称密钥的加密技术中，密钥的分发的问题一直没有得到很好的解决。并对电子商务、安全电子邮件、电子政务等新的安全应用，传统技术基于共享密钥的鉴别协议对通信主体的身份认证也没有很好的解决。
12
针对上述问题，世界各国经过多年的研究，初步形成一套完整的Internet安全解决方案，即目前被广泛采用的PKI技术。PKI技术采用证书管理公钥，通过第三方的可信任机构 — 认证中心 CA

第6章-公钥基础设施--PKI

2020/7/15
15
9、CRL（证书作废列表）的获取
❖每一CA均可以产生CRL。CRL可以定期产生，或在每次由证书作废请求后产生。CA应将它产生的CRL发布到目录服务器上
❖自动发送到下属各实体
❖各PKI实体从目录服务器获得相应的CRL
2020/7/15
16
10、密钥更新 ❖ 在密钥泄漏的情况下，将产生新的密钥和新的证书。 ❖ 在并未泄漏的情况下，密钥也应该定时更换。
2020/7/15
26
PKI提供的附加服务
❖ 4 不可否认性服务
❖ 不可否认性服务提供一种防止实体对其行为进行抵赖的机制，它从技术上保证实体对其行为的认可。实体的行为多种多样，抵赖问题随时都可能发生，在各种实体行为中，人们更关注发送数据、收到数据、传输数据、创建数据、修改数据、以及认同实体行为等的不可否认性。在PKI中，由于实体的各种行为只能发生在它被信任之后，所以可通过时间戳标记和数字签名来审计实体的各种行为。通过这种审计将实体的各种行为与时间和数字签名绑定在一起使实体无法抵赖其行为。
❖ 在VPN中使用PKI技术能增强VPN的身份认证能力，确保数据的完整性和不可否认性。使用 PKI技术能够有效建立和管理信任关系，利用数字证书既能阻止非法用户访问VPN，又能够限制合法用户对VPN的访问，同时还能对用户的各种活动进行严格审计。
2020/7/15
14
8、密钥的恢复
❖在密钥泄漏/证书作废后，为了恢复PKI中实体的业务处理，泄密实体将获得一对新的密钥，并要求CA产生新的证书。
❖在泄密实体是CA的情况下，它需要重新签发以前用泄密密钥签发的证书，每一个下属实体将产生新的密钥对，获得用CA新私钥签发的新的证书。而用泄密密钥签发的旧证书将作废，并被放置入CRL。

基于PKI的阜阳职业技术学院校园网认证模型的研究与设计

Ｐ１Ｋ支持身份认证，信息传输、的完整性，存储消息传输、存储
【ｂｔｃ］ｕｌｅＩｒｔｃｒＰＩｓａｄｒｐｂｃｅｙｔｒｈ，ｅａａｅｅｔｌｂｔｐｏｉｓｉｆＡｓａｔｂｃｙｎａｒｔｅＫｓｎａｕｌｙｒｏａｙｋｙｎｇｍｎｐｄ肌ｏｒｄａｅｅｏｒＰｉＫｆｓｕｕａａｔｄｉｋｃｐｇｐｍａｖｅｒｓ
【摘
要】公钥基础设施ＰＩＫ作为一种标准的公钥密码的密钥管理平台能够提供一系列支持公钥密码的应用（密、密、加解
签名与认证）的基础服务。将ＰＩ术引入校园网络，Ｋ技在加强校园网络安全的同时也为校园网络的使用提出了新的发展方向。本文设计了一套基于ＰＩＫ技术的校园网认证系统，在校园网中构建了一个完整的授权服务体系，基本解决了阜阳职业技术学
ｐｂｃｋｙｃｐｏｒｐｙ（ｎｒｐｉ，ｅｒｔｎｓｎ￣ｅａｄｃｒｆａｉ）ｏｔｅｂｓｅｖｅ．Ｋｃｎｌｙｉｔｔｅｃｍｕｕｌｅｒｔａｈｅｅｙｔｎｄｃｐｉ，ｉａｒｎｅｔｃｔｎｆｈａｉｓｒｃｓＰＩｅｈｏｇｏｈａｐｓｉｙｇｏｙｏｇｉｏｉｃｉｔｏｎ
院校园网所面临的各种安全问题。

【关键词】Ｋ；Ａ校园网安全模型ＰＩ；Ｃ
ＴｈｓａｃｎｓｇｆｙｎｃｔｎｌｎｅｈｉａｌｇｍｐｓＮｅｗｏｋＡｕｈｎｃｔｏｏｅｓｄｏＩｅＲｅｅｒｈａｄＤｅｉｎｏａｇＶｏａｏａｄＴｃｎｃｌＦｕｉａＣｏｌｅＣａｅｕｔｒｔｅｔａｉｎＭｄｌｉＢａｅｎＰＣＡ

PKI

6）历史数据归档
4. PKI系统的组成（续）
(3)注册机构（RA，Registration Authority）
由于一个 PKI 区域的最终实体数量的增加， RA 可以充当CA和它的最终用户之间的中间实体，辅助 CA来完成一些证书处理功能。RA系统是整个CA中心得以正常运营不可缺少的一部分。 RA通常提供下列功能：（1）接收和验证新注册用户的注册信息；
解决: 让第三方即 CA 对公钥进行公正. 公正后的公钥就是证书。
公钥基础设施PKI——问题的提出
怎样才能知道任意一个公开密钥是属于谁的？如果收到一个自称是某人的公开密钥，能相信它吗？
设用户A希望给用户B 传送一份机密信息。
发送者
H
攻击者
用私钥解密其加密消息 A 请求B的公钥 B
接收者
假冒B发送H的公钥
CA负责证书的颁发和管理，属于可信任的第三方，其作用类似颁发身份证的机构。 CA 可以具有层次结构，除直接管理一些具体的证书之外，还管理一些下级 CA，同时又接受上级CA的管理。 CA 分为两类：公共 CA 通过 Internet 运作，向大众提供认证服务；这类 CA不仅对最终用户进行认证，而且还对组织认证。私有CA通常在一个公司的内部或者其他的封闭的网络内部建立，为它们的网络提供更强的认证和访问控制。
PKI策略内容一般包括：认证政策的制定、遵循的技术标准、各 CA 之间的关系、安全策略、服务对象、管理原则和框架、运作制度、所涉及的各方法律以及技术的实现。
4. PKI系统的组成（续）
(2)证书机构（CA，Certificate Authority）
又称为证书管理机构、证书颁发机构、证书管理中心。
接收和撤销的，密钥是如何产生、注册和认证

第8章信任模型

连接下属层次结构
• 许多企业和政府都建立了内部使用的层次结构每个根CA都和其根CA进行交叉认证，形成内环形或集线器形适用于规模较小又期望相互连接信任模型的一组企业
•
•
层次结构链接
层次结构中的交叉链接
• 对非常大的层次结构，证书路径的平均长度可能过长
•
在信任路径的两端点间创建一个“快捷方式”将能优化长路径的验证开销
路径构造
• X.509及PKIX工作组为认证机构和交叉证书定义了目录对象: crossCertificatePair
PKI CA目录对象和crossCertificatePair属性
路径构造
遍历crossCertifacatePair属性
8.3.4 混合信任模型
• 商业关系的动态特性使得任何静态或严格的信任模型不能存活太久 • 1.连接下属层次结构 • 2.层次结构中的交叉链接 • 3.交叉认证覆盖
Indentrus层次结构
8.8.2 ISO银行业信任模型
• 典型层次结构 • 对等交叉证书 • 层次交叉证书 • 特殊交叉证书
8.8.2 ISO银行业信任模型
ISO 15782-1 混合信任模型
8.3 桥CA
• 通过根CA间的对等交叉认证，实现不同层次结构的互联
• 不足之处是根CA间的全相连网状网络的可扩展性不好。
交叉认证网络
8.3.3 网状模型
• 采用信任网状模型使灵活性得到增长，但相应增加了信任关系处理的复性无限制的网状模型的困难在于对新近认证的实体将来要做什么毫无控制力
•
不可预料的信任关系
路径构造
• 路径的正向处理：从被验证的证书开始 • 路径的逆向处理：从信任锚开始 • 任何方向或其组合都是可行的 • 在网状模型中构造路径严重依赖于已有的可访问库，如LDAP兼容目录

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

维普资讯
电子科技２００６年第４期（总第１９期９
Ｐ信任模型研究ＫＩ
周建峰，马玉祥，欧阳雄
（西安电子科技大学计算机学院，陕西西安７０７）１０１摘要介绍了公钥基础设施信任模型的相关概念，详细分析了４种信任模型的特点、适用范围以及采用各
（ｃｏｌｆｏｕｅｃｎｅｎｅｈｏｏｙＸｉｉｉｅｓｙＸｎ７０７，ｈｎ）ＳｈｏｏＣｍｐｔｒｉｃｄＴｃｎｌｇ，ｄａＵｎｒｉ，ｉａ１０１ＣｉａＳｅａｎｖｔ
ＡｂｔａｔＴｉｐｐｒｉｔｄｃｓｔｅｃｎｅｔｏｓｒｃｈｓａｅｎｒｕｅｈｏｃｐｆＰＫＩｔｓｄｌａｄａａｙｅｎｄｔｉｔｅｃａａｔｒｓｉｓａｄｏｒｔｍｏｅｎｎｌｚｓｉｅａｌｈｈｒｃｅｉｔｎｕｃａｐｉａｉｎｆｏｒｒｔｄｌａｄｔｅｒｓｆａｏｔｇｅｃｄ１Ｂａｅｎｔｅａａｙｉｏｅｔｓｄｌｔｉｐｐｒｐｌｔｓｕｕｓｍｏｅｓｎｋｏｄｐｉａｈｍｏｅｃｏｏｆｔｈｉｎｓｄｏｎｌｓｓｆｈｕｔｈｔｒｍｏｅ，ｓａｅｈ
所要做的先期和基本的决策之一。
信任模型相关的主要问题：
个用户认证中心ＣＡ可以把任一公钥绑定到某个实体上，则他信任该ＣＡ。
（）１一个ＰＩＫ用户能够信任的证书是如何被确
定的。
③ 信任域：信任域指的是一个组织内的个体
在一组公共安全策略控制下所能信任的个体集合。
作者简介：周建峰（９１）１８－，男，硕士研究生。研究方向：
计算机网络和安全。马玉祥，男，教授。研究方向：智能网络，网络通信技术等欧阳雄（９７）１７一，男，西安电子科
验证证书时寻找和遍历信任路径的模型。信任关系
并不总是直接建立在域中两个实体之间，而是建立
公钥基础设施；公钥系统；信任模型
模型所带来的风险。并通ຫໍສະໝຸດ 对模型的分析，提出了在选择模型和构建新的模型时的一些基本原则。
关键词
中图分类号
Ｔ３３ＯＰ９．８
ＳｕｙｏｔｄｆＰＫＩＴｒｓｏｅｓｕｔＭｄｌ
ＺｈｕＪａｆｎ，ａＹｕｉｎ，ｙｎｏｇｏｉｎｅｇＭｘａｇＯｕａｇＸｉｎ
技大学计算机学院研究方向：计算机科学与应用。
在一定长度的信任路径之上。信任路径指的是由域
维普资讯
Ｐ任模型研究ＫＩ信
中多个相邻的值得信赖的个体组成的链路。
因为所有的ＣＡ实际上都是相互独立的同位体（在
树。根在顶上，树枝向下伸展，树叶在下面。在这棵倒转的树上，根代表一个对整个ＰＩＫ域所有实体
能的（具有一个或者多个可信颁发者层次结构和一
个或多个多层树型结构）。一般地，完全同位体结
施并提供安全服务的具有普适性的安全基础设施。 ② 信任：．９２０年版对信任的定义为：Ｘ５的０００
收稿日期：２ｏ —９ｌｏ５０一９
④ 信任锚：信任模型中，当可以确定一个身
份或者有一个足够可信的身份签发这个证明其签发的身份时，才能做出信任那个身份的决定。这个可信的实体称为信任锚。 ⑤ 信任模型：信任模型是指建立信任关系和
般说来，如果一个实体假定另一个实体会严格
地像它期望的那样行动，那么就称它信任那个实体” 。其中的实体是指在网络或分布式环境中具有独立决策和行动能力的终端、服务器或智能代理
等。在ＰＩＫ中，以把这个定义具体化为：如果一可
相应的安全级别是非常重要的，同时也是部署ＰＩＫ
．
ｐｏｏｅｅｐｎｉｌｓｅｈｏｉｇｔｅｍｏｅｒｓａｌｈｎｅｎｗｕｔｄ１ｒｐｓｓｔｒｃｐｅｈｉｗｈｎｃｏｓｎｄｌｔｂｉｉｇｔｅｔｓｈｏｅｓｈｒｍｏｅ
．
ＫｅｗｏｄＰ；ｕｌｅｙｔｍ；ｒｓｄｌｙｒｓＫＩｐｂｉｋｙｓｓｅｔｔｃｕｍｏｅ
１引言
选择信任模型（ｒｓＭｏｅ是构筑和运作ＰＩＴｕｔｄ１）Ｋ
所必需的一个环节。选择正确的信任模型以及与它
“
一
个体可以是个人、服务器以及具体的应用程序等。公共安全策略是指系统颁发、管理和验证证书所依据的一系列规定、规则的集合。
（）这种信任是如何被建立的。２
（）在一定的环境下，如何控制这种信任。３
２信任相关的概念
① ＰＩ所谓ＰＩＫ：Ｋ就是一个用公钥概念和技术实
这个结构中没有子Ｃ）Ａ。而另一方面，如果所有的层次结构都是多层结构，那么最终的结构就被叫做满树结构（注意根ＣＡ之间是同位体，但是每个根又是一个或者多个子ＣＡ的上级）混合结构也是可。
３信任模型
３１认证机构的严格层次结构．
认证机构的严格层次可以描绘为一棵倒转的