①认证机构将证书序列号、法人实体的验证签名公钥、法人相关信息提交给KMC，请求KMC代法人产生加密密钥对 。密钥生成请求信息括:法人永久性ID；实体鉴别密码器m；证书服务编号；密钥长度 。
②KMC在收到认证机构提交的密钥对产生请求后立即产生加密密钥对 。
③KMC向CA中心返回处理结果，包括:加密公钥；经加密的解密私钥；KMC对密钥对的签名 。
密钥对产生有二种方式:签名密钥使用者自己产生，只有使用者自己知道密钥,不会泄漏给第三者 。在CA中心产生加密密钥，在实体的保护下将密钥交给使用者，并将产生密钥有关的数据及密钥本身销毁 。
当用户证书生成后，用户信息通过RA上传到KMC，与加密密钥一起存到当前库进行托管保存，以便以后查询和恢复操作 。所有的托管密钥都必须以分割和加密的方式保存在密钥数据库服务器中 。
⑵密钥存储 。
双证书绑定同一个用户，其私钥保存硬件介质，签名证书私钥是用户自己产生 。信任方可以相信，证书中包含的公钥验证的信息确系证书所绑定的实体签名，保证信息的完整性和不可抵赖性 。
加密证书私钥由KMC产生，在该机构数据库中备份了用户私钥，实现用户密钥托管 。用户和KMC都拥有用户加密证书所对应的私钥 。
用户本地存储私钥，口令加密保存；当需要使用私钥时，输入口令对话框，读取相应私钥进行相应的操作 。
用户公钥明文和用户信息存储在一个数据表中，私钥经过加密、采用根CA公钥进行加密，存储与另一表中；其读取应输入相应管理员口令，公钥与私钥可以通过ID进行联系 。
⑶密钥传输 。
用户提交申请信息，同时在用户端产生签名公钥与私钥，公钥经过加密上传CA中心，经审核后产生双证书；使用该用户的签名公钥进行加密返回用户，返回方式以使用网站挂起或用户邮箱进行发送
⑷密钥备份 。
①冷备(Cold Standby)，通过定期的对生产系统数据库进行备份，并将备份数据存储在磁盘等介质 。备份数据平时处于一种非激活的状态，直到故障发生导致生产数据库系统不可用、才激活 。
②热备(Warm Standby)，需要一个备用的数据库系统 。与冷备相似，只不过当生产数据库发生故障时，通过备用数据库的数据进行业务恢复 。因此，热备的恢复时间比冷备大大缩短 。
⑸密钥和证书的更新 。
证书更新的过程和证书签发非常相似，因为用户只是更新证书，在申请证书时己经通过审核，在证书更新时不再需要审核过程 。
①CA依其实际需要，对新旧证书的有效期限，制定自己的策略 。前后证书的期限可以重叠或不重叠 。若允许有效期重叠，可以避免CA可能在同一失效期限，必须重新签发大量的证书问题 。
②已逾期证书需从目录服务中删除 。CA提供不可否认服务，需将旧证书保存一段时间；以备将来有争议时，验证签名解决争议之用 。
⑹查询 。
OCSP是一个简单的请求/响应协议，使得客户端应用程序可以测定所需验证证书体系的状态 。一个OCSP客户端发送一个证书状态查询给一个OCSP响应器，等待响应器返回一个响应 。
协议对OCSP客户端和OCSP响应器之间需要交换的数据进行描述 。
OCSP请求包含:协议版本、服务请求 、目标证书标识和可选的扩展项等 。
OCSP响应器对收到的请求返回一个响应；OCSP响应器返回出错信息时，该响应不用签名；响应器返回确定的回复，该响应必须进行数字签名 。
每一张被请求证书回复中包含证书状态值，正常、撤销、末知 。“正常”状态表示证书没有被撤销，“撤销”状态表示证书己被撤销，“未知”状态表示响应器不能判断请求的证书状态 。
⑺注销 。
当有一些特殊状况时，CA必须停止某些证书的使用，注销此证书 。例如使用者在证书有效期未满之前，自觉其密钥不安全，或是CA对此使用者已丧失管辖权等状况，必须注销此证书 。
文章插图
（5） 时间戳服务
时间戳是一个具有法律效力的电子凭证，是各种类型电子文件在时间、权属及内容完整性方面的证明 。时间戳能证明用户在什么时间拥有一个什么样的电子文件 。
时间戳主要用在商业秘密保护、工作文档的责任认定、著作权保护、原创作品、软件代码、发明专利、学术论文、试验数据、电子单据等方面 。
时间戳颁发必须由可信第三方时间戳服务机构提供可信赖的且不可抵赖的时间戳服务，其产生的时间戳具有法律效力 。时间戳服务中心TSA由国家授时中心与共同建设的权威第三方时间戳服务机构 。
推荐阅读
- SSL工作原理
- IT基础设施国产替代：依次为芯片、操作系统、中间件、数据库
- 个人服务器基础设施架构简介
- Zipkin架构简介
- 密码学及公钥基础设施入门
- 网络密钥交换与公钥分发的方法
- PKI如何帮助缓解网络安全挑战
- 柬埔寨希望中国先进技术经验惠及柬基础设施建设
- 军事应用和5G电信基础设施推动GaN射频市场持续增长
- 网络安全之PKI技术原理