1. PKI 基础概念：什么是 PKI、核心组成与物联网价值
各位同学好，我是老周。今天咱们正式开讲《设备PKI项目从规划到落地》的第一章。
PKI 这东西，说白了就是一套“数字身份证”的管理体系。你想想看，在互联网上，你怎么证明“你是你”？靠密码？太弱了。靠短信验证码？容易被劫持。PKI 给出的答案是：用一对非对称密钥 + 数字证书，来证明身份。
我在 2016 年给一家车联网公司做 PKI 规划时，客户老板问我：“老周，PKI 不就是装个证书吗？”我当时笑了笑，没直接回答。后来项目做到一半，他们才发现，证书只是冰山一角，底下藏着 CA、RA、CRL、OCSP 一大堆东西。嗯，这就是咱们今天要讲清楚的事。
1.1 什么是 PKI
PKI，全称 Public Key Infrastructure，公钥基础设施。注意“基础设施”这四个字——它不是一个软件，也不是一个协议，而是一整套策略、流程、硬件、软件、人员的集合。
它的核心目标就三个：
- 身份认证——确认“你是谁”
- 数据加密——保证“只有你能看”
- 完整性校验——确保“没人改过”
我习惯把 PKI 比作“国家的身份证系统”。公安部是根 CA，派出所是子 CA，你手里的身份证就是证书，身份证上的防伪水印就是数字签名。你想想看，没有这套系统，你怎么证明你是中国公民？
一句话总结：PKI 就是互联网世界的“公安部+身份证+户籍系统”。
1.2 PKI 的核心组成
PKI 不是铁板一块，它由几个关键角色组成。我画了张图，你先看一眼整体结构：
这张图里的每个角色，咱们一个一个拆开讲。
1.2.1 CA——证书颁发机构
CA 是 PKI 的“心脏”。它的工作就是签发证书、吊销证书、维护证书生命周期。
CA 分三级：
| 层级 | 角色 | 特点 | 我见过的坑 |
|---|---|---|---|
| 根 CA | 信任锚 | 自签名，离线存储，极少使用 | 有人把根 CA 私钥放在服务器上，一锅端 |
| 中间 CA | 策略代理 | 继承根 CA 信任，可设置不同策略 | 策略写得太死，设备升级后证书不兼容 |
| 签发 CA | 直接干活 | 在线服务，高并发，负责实际发证 | 并发预估不足，设备批量上线时直接打崩 |
⚠️ 重要提醒：根 CA 的私钥必须离线保存！我曾经见过一个项目，运维图省事把根 CA 放在服务器上，结果被勒索病毒加密了。整个 PKI 体系重建，几十万台设备重新注册，那叫一个酸爽。
1.2.2 RA——注册机构
RA 是 CA 的“前台”。它不直接发证书，而是负责审核申请者的身份，然后把审核通过的信息转给 CA 去签发。
为什么需要 RA？说白了，CA 的核心职责是“签名”，它不应该直接处理海量的注册请求。RA 可以分布式部署，在设备侧做身份校验，减轻 CA 的压力。
在物联网场景下，RA 通常和设备的“注册中心”合设。设备第一次上线时，RA 验证设备的序列号、密钥对、固件哈希，确认无误后才通知 CA 发证。
1.2.3 证书库
证书库就是存放证书和 CRL（证书吊销列表）的地方。通常用 LDAP 目录服务或者 HTTP 服务器。
这里有个容易被忽略的点：证书库的可用性。设备在验证对方证书时，需要下载 CRL 或者通过 OCSP 查询证书状态。如果证书库挂了，所有设备之间的认证都会失败。
💡 我的建议：证书库一定要做高可用，至少双节点。CRL 的更新周期不要太长，我一般设 24 小时。如果设备离线时间长，可以考虑 OCSP Stapling，让设备自己携带证书状态。
1.3 PKI 在物联网设备中的价值
好，前面讲了 PKI 是什么、由什么组成。现在聊聊最关键的问题：物联网设备为什么需要 PKI？
物联网设备和传统 IT 设备不一样。你想想看：
- 一个传感器可能部署在荒郊野外，没人维护
- 一个智能门锁可能被物理接触，容易被破解
- 一批设备可能同时上线，并发量巨大
- 设备生命周期长达 5-10 年，证书需要自动续期
没有 PKI，这些场景就是裸奔。我列个表，你看看 PKI 到底解决了什么问题：
| 物联网痛点 | PKI 解决方案 | 实际效果 |
|---|---|---|
| 设备身份伪造 | 设备证书 + 双向认证 | 假冒设备无法接入平台 |
| 通信数据被窃听 | TLS 握手 + 证书加密 | 数据在传输中不可读 |
| 固件被篡改 | 代码签名证书 | 篡改固件无法通过校验 |
| 设备被物理破解 | 私钥安全存储（SE/TEE） | 拆芯片也读不出私钥 |
| 设备批量上线 | 自动证书注册（EST/SCEP） | 秒级完成证书颁发 |
| 设备退役 | 证书吊销（CRL/OCSP） | 吊销后立即失效 |
我 2019 年帮一家智能门锁厂商做 PKI 改造。之前他们用预置密钥，结果被黑客批量破解，直接远程开锁。后来换成 PKI 证书体系，每个门锁出厂时烧录唯一证书，平台端做双向 TLS 认证。从那以后，再没出过批量破解的事。
核心观点：PKI 不是“锦上添花”，而是物联网安全的“地基”。没有 PKI，设备身份就是一张白纸，谁都能画两笔。
1.4 本章小结
咱们这一章把 PKI 的底子打好了：
- PKI 是什么——一套管理数字身份的基础设施
- 核心组成——CA 负责签发、RA 负责审核、证书库负责查询
- 物联网价值——解决身份认证、数据加密、固件完整性、设备生命周期管理