一、密鑰分配
密碼算法是公開的，網絡的安全性取決於密鑰的安全保護上，因此密鑰管理非常重要。包括：密鑰的產生、分配、注入、驗證和使用。分爲網外分配方式（派非常可靠的信使）和網內分配方式（對密鑰自動分配）。
1.對稱密鑰的分配
目前常用的密鑰分配方式是設立密鑰分配中心KDC（Key Distribution Center）。KDC是大家都信任的機構，其任務是給需要進行祕密通信的用戶臨時分配一個會話密鑰（僅使用一次）。
過程：
1）假設用戶A和B都是KDC的登記用戶。A和B在KDC登記時就已經在KDC服務器上安裝了各自和KDC進行通信的主密鑰
2）用戶A向KDC發送時用明文，說明想和用戶B通信。在明文中給出A和B在KDC登記的身份。
3）KDC用隨機數產生“一次一密”的會話密鑰
4）當B收到A轉來的票據並使用自己的密鑰
在網上傳送密鑰時，都是經過加密的。解密用的密鑰都不在網上傳送。
KDC還可在報文中加入時間戳，以防止報文的截取者利用以前已記錄下的報文進行重放攻擊。會話密鑰
目前最出名的密鑰分配協議是Kerberos V5。既是鑑別協議，同時也是KDC。使用高級加密進行驗證。TGS提供用於A和B通信的會話密鑰
2.公鑰的分配
需要一個值得信賴的機構來將公鑰與對應的實體（人或機器）進行綁定（binding）。這樣的機構叫做認證中心CA，它由政府出資建立。每個實體都有CA發來的證書，此證書被CA進行了數字簽名。任何用戶都可從可信的地方（如代表政府的報紙）獲得認證中心CA的公鑰，此公鑰用來驗證某個公鑰是否爲某個實體所擁有（通過向CA查詢）。
互聯網X.509公鑰基礎結構PKI（Public Key Infrastructure）。
二、認證中心及證書
1.什麼是CA？
認證中心（Certification Authority）
爲電子政務、電子商務等網絡環境中各個實體頒發數字證書，以證明身份的真實性，並負責在交易中檢驗和管理證書。
CA對數字證書的簽名使得第三者不能僞造和篡改證書。
它是電子商務和網上銀行交易的權威性、可信賴性及公證性的第三方機構。（個人建立的CA認證中心，不可信）
2.CA電子商務網絡示意圖
銀行的網是一個專網。
3.證書的內容
公鑰證書的主要內容，對比身份證：
4.證書圖標
5.CA的功能
1)證書的申請。在線申請或離線申請
2)證書的審批。在線審覈或離線審覈
3)證書的發放。在線發放或離線發放
4)證書的歸檔。
5)證書的撤銷。
6)證書的更新。人工密鑰更新或自動密鑰更新。
7)證書廢止列表CRL的管理。
8)CA本身的管理和CA自身密鑰的管理。
6.使用證書提供的服務
Web認證和專有通道
簽名和加密的信息傳遞
簽名的事務和表單的簽發
網絡操作系統、主機和大型機認證
遠程訪問
虛擬專用網
文件加密
7.證書服務
分層次的證書頒發體系：
8.公鑰基礎設施（PKI）
PKI是用於開放公開密鑰的一種渠道，包含了一系列的標準和算法。
包括三部分：
CA：認證中心，用於生成、分發和管理證書
RA：註冊中心，用於受理用戶，調用國家部門的相關數據庫，驗證用戶身份的真實性
Directory：目錄服務，用於查看通信的雙方是否有證書等，需要大量的查詢操作及少量的插入、刪除和修改操作
三、應用
USBKey客戶證書：
指的是一個帶智能芯片、形狀類似於閃存（即U盤）的實物硬件，是專門用於網上銀行的安全通行證。
客戶有關信息一經下載到USBKey客戶證書內，即具有唯一性和不可複製性，網上所有涉及賬戶資金的對外轉移都必須事先通過USBKey客戶證書進行唯一認證，可以有效防範包括“假網站”和“木馬”病毒在內的各類可能的風險。換句話說，用戶只要將這一實體握在手中，無論詐騙花樣怎麼變，即使是銀行卡號和密碼不慎泄露，自己的資金也都將會安全無憂。