随着电子商务、电子政务、金融业务的电子化的飞速发展,对于这些构架在网络上层的信息服务的安全需求也越来越高.越来越多的安全协议应运而生,用于提供在不安全的网络环境下基于加解密的安全信息服务,比如:SSL、SET、WTLS、IPSEC等已经广泛应用于各个领域.但这些协议都首先依赖于通信双方的身份的授权和验证,而PKI(Public Key Infrastructure公钥基础设施)正是为不同的安全协议和应用提供统一基于数字证书和数字签名技术的身份授权与鉴定机制.PKI设施是所有安全协议或其他上层安全应用的安全性基础,所以保障PKI设施本身和其提供服务的安全,就成为整个信息安全体系中的重中之重.该文着重分析了PKI机制的关键技术--数字证书和数字签名,以及这些技术实现中存在的安全隐患.并应用当前最新的第三代信息安全技术,容忍入侵技术以及脆弱点分析的思想,结合PKI中关键设施CA(certificate Authority)证书颁发中心的私钥保密问题及其签名服务的安全需求,提出了基于容忍入侵思想的CA私钥分存管理以及证书分步签名的技术方案.着重从系统架构和理论算法两个方面保证方案的容侵特性:通过系统的冗余配置和与门限密码算法相结合的分步签名方案,共同保证系统即使在遭受入侵的情况下,仍可以继续提供证书签发服务的能力,并且对系统部分主机的入侵不会导致CA签名私钥的泄漏;系统可以同时触发密钥份额更新以及其他安全机制使系统自动恢复到正常状态,从而提高了整个系统的安全性,使其具备了容忍入侵的特性.