4.1.3 保证数据机密性

4.1.3  保证数据机密性

数据的机密性就是实现对所保护数据的加/解密，从而保证数据在传输和存储中，没有被授权的人无法获取真实的信息。所有的机密数据都是由机密技术实现的。而PKI的机密性服务是一个框架结构，通过这个功能模块可以实现交易中的算法协商和密钥交换，而且对参与通信的实体来说这些过程是透明的。

认证体系的PKI实现方案也是遵照该框架结构来提供数据的机密性服务，提供双密钥对证书，其中一对用来做签名，另一对用来做加/解密。一般情况下，用来进行加/解密的密钥对主要用于协商应用协议和会话密钥，不对很大的数据量直接进行加/解密，以避免效率低下。

一般实际的加密过程为：交易一方产生一个进行加密用的对称算法的密钥，用该密钥对需处理的数据用该对称算法进行加密，然后用交易另一方非对称算法的加密密钥对中的公钥对对称算法的密钥进行加密，将两次加密的信息一起发送给交易的另一方。交易的另一方接到这些加密信息后，先用自己的加密密钥对中的私钥解密发送过来的对称算法的密钥，得到该密钥后再对需处理的数据进行解密，完成交易数据的加/解密。