全世界数百万个浏览器都自动地废止该密钥的使用是不可能的。
7. 以用户为中心的信任模型是怎样实现信任关系的？哪个实际系统是使用这种模型的？
PGP最能说明以用户为中心的信任模型，在PGP中，一个用户通过担当CA（签署其他实体的公钥）并使其公钥被其他人所认证来建立（或参加）所谓的信任网（Web of Trust）。 例如，当A1ice收到一个据称属于Bob的证书时，她将发现这个证书是由她不认识的David签署的，但是David的证书是由她认识并且信任的Catherine签署的。在这种情况下，Alice可以决定信任Bob的密钥（即信任从Catherine到David再到Bob的密钥链），也可以决定不信任Bob的密钥（认为“未知的”Bob与“已知的”Catherine之间的“距离大远”）。
因为要依赖于用户自身的行为和决策能力，因此以用户为中心的模型在技术水平较高和利害关系高度一致的群体中是可行的，但是在一般的群体（它的许多用户有极少或者没有安全及PKI的概念）中是不现实的。
8. 如何实现双向的交叉认证证书？
每个CA只可能覆盖一定的作用范围，即CA的域，当隶属于不同CA的用户需要交换信息时，就需要引入交叉证书和交叉认证，这也是PKI必须完成的工作。
两个CA安全地交换密钥信息，这样每个CA都可以有效地验证另一方密钥的可信任性，我们称这样的过程为交叉认证。事实上，交叉认证是第三方信任的扩展，即一个CA的网络用户信任其他所有自己CA交叉认证的CA用户。 交叉认证可以是单向的，更常见的是双向的。根据X.509中术语，从CA1的观点来看，为它颁发的证书（也就是CA1作为主体而其他CA作为颁发者）叫做“正向交叉证书”，被它颁发的证书叫做“反向交叉证书”。如果一个X.500目录被用作证书资料库，那么正确的正/反向交叉证书可以被存储在相关的CA目录项的交叉证书结构中。
例如假设Alice已经被CA1认证持有可信的一份CA1的公钥，并且Bob已经被CA2认证持有可信的一份CA2的公钥。在CA1和CA2交叉认证之后，Alice的信任能够扩展到CA2的主体群（包括Bob），反之亦然。
在交叉认证之前，两个CA都会去了解对方的安全策略，包括在CA内哪个人负责高层的安全职责。同时还可能要两个CA的代表签署一个具有法律依据的协议。在这些协议中会陈述双方需要的安全策略，并签字保证这些策略要切实实施。
9. CA有哪些具体的职责？
? 验证并标识证书申请者的身份。
? 确保CA用于签名证书的非对称密钥的质量。
? 确保整个签证过程的安全性，确保签名私钥的安全性。 ? 证书材料信息(包括公钥证书序列号、CA标识等)的管理。 ? 确定并检查证书的有效期限。
? 确保证书主体标识的惟一性，防止重名。 ? 发布并维护作废证书表（CRL）。 ? 对整个证书签发过程做日志记录。 ? 向申请人发通知。
其中最为重要的是CA自己的一对密钥的管理，它必须确保高度的机密性，防止他方伪造证书。
33
10. 构造证书库的最佳方法是什么？
证书库是证书的集中存放地，是网上的一种公共信息库，用户可以从此处获得其他用户的证书和公钥。构造证书库的最佳方法是采用支持LDAP协议的目录系统，用户或相关的应用通过LDAP来访问证书库。系统必须确保证书库的完整性，防止伪造、篡改证书。
11. 掌握证书管理有哪3个阶段组成，每个阶段包括哪些具体内容？
1 证书管理 （1）初始化阶段 1. 终端实体注册
终端实体注册是单个用户或进程的身份被建立和验证的过程。注册过程能够通过不同的方法来实现，图示说明了一个实体初始化包括一个RA和一个CA的可能的方案（注意RA部件根本不存在的其他可能方案也是可用的）。终端实体注册是在线执行的，是用注册表格的交换来说明的。注册过程一般要求包括将一个或更多的共享