随着互联网的发展，网上银行、网上证券、网上保险、电子商务等日益成为业务创新的焦点，受到各方的关注。然而我国网上金融业虽然前景诱人，其发展却远远落后于人们的期望值，所能提供的服务品种也相对有限。这其中有诸多因素的制约，本人认为一个最重要的原因是社会公众对网上支付安全的信心不足。要培育客户信心，一是引导居民改变传统消费观念。二是提供良好的网上交易安全保障措施，打消公众对网上交易安全的顾虑，采用网上金融业务进行网上交易支付活动。从解决网上交易的安全问题出发，本人讨论了PKI体系。实际上，首次接触作为其基础技术的加密、签名技术是在1999年学习EDI的课堂上，这也正是CA中心在国内呈现建设热潮的时刻。外界大量的相关文章资料使我接触到不少PKI认证方面的概念知识，开始产生研究兴趣。时而至今，PKI在中国的发展一路风风雨雨，飘摇不定。本文正是建立在PKI在国内几年来建设历程的基础之上，以如何促进网上金融交易更快更好发展为目标，提出了自己的看法：对于不同的应用要有针对性的合理定位需求，进一步制订PKI体系的相应规范。这是因为：首先，没有规范的CA运作是不权威的。为了抢占市场，有些CA认证机构对证书的发放和审核不够严谨，在没有进行严格的身分确认和验证的情况下，就随意发放证书，CA开始面临信任危机。CA的权威性不保也就谈不上为网上金融交易提供公正、可靠的第三方认证服务。其次，没有应用的PKI是不具可行性的。目前的众多CA中心运营商不在CA的应用上狠下功夫，而在非技术、非市场的恶性竞争上用尽心机，造成PKI没有与应用相捆绑，客户服务的质量无法得到保证。继而，针对网上金融业这一特定需求，本文做出了我国网上金融交易所需PKI架构的需求分析与流程设计。架构分析是围绕密钥管理机制与证书管理机制这两大PKI核心管理内容进行的，每一阶段的分析都针对网上交易的特点提出了PKI体系建设应该考虑的问题。对于密钥管理机制，贯穿于密钥生成与分发，使用、更新与销毁，备份与恢复以及归档的全过程。提出了网上金融交易的PKI体系必须至少要为用户分别配置签名和加密两对密钥。密钥更新要提前于整个密钥生命期的20%左右进行，并且在成功更新以后，原密钥对中的签名私钥必须彻底销毁。用于解密的私钥应该备份、存档，加密公钥无需备份、存档，而用于数字签名的私钥绝对不可备份、存档。CA密钥的备份与恢复要采用机密共享（Secret Sharing）机制等等。对于证书管理机制，贯穿于证书生命周期中的注册、颁发、运作、更新、撤销、暂停、恢复与归档的全部过程。说明了证书在何时生效，何时失效。为提高证书的查询效率，应将与自己关系较大的一部分证书存放到本地。验证证书时要采用证书链验证方式，保证证书路径中的每个证书都是有效的，每个证书都要正确的对应于<WP=3>发行该证书的权威可信的CA 。在证书有效期快结束时，PKI系统应能自动提示用户更新证书，以防证书过期后再去更新所造成的交易的延误。CRL的定期、实时产生方式，和用户获取CRL的推式、拉式和在线查询式，以及证书恢复与证书更新的区别等等。就电子商务、网上银行和网上证券的不同应用本文进行了流程设计。SET协议是一种用来保证公共网络上信用卡支付交易安全性的电子支付协议，本部分首先以SET购物为基础，对用SET协议进行的电子商务，画出了支付交易的流程图。SET协议格式是由一系列请求/应答（Req/Res）消息对组成，本部分主要讨论了其中比较关键的支付交易消息对：购物（PurReq/PurRes）、授权（AuthReq/AuthRes）和转款（CapReq/CapRes）请求/应答对，设计了消息对的产生验证过程，以及其包含的数据包结构等等。其次，针对于网上银行的点对点交易方式对网上银行的PKI应用进行了流程设计，并画出了用户向网上银行提交交易信息的流程图。最后设计了PKI在网上证券中的应用流程和券商服务器向用户发送交易结果的流程图。目前虽然没有本方案的实际应用案例，但是本人认为网上金融交易的健康、快速发展必然要求着这样一套规范的PKI体系的架构分析与设计，作为参考规则。在本文的写作过程中，得到了很多老师的关心帮助。我的导师曹淑艳副教授在我三年的研究生生活中一直是我所尊敬的学习榜样，给予我悉心指导；更为难得的是，她还是我生活中的朋友，让我时刻感受到关怀与照顾。没有她的帮助监督，论文不会如期顺利完成，在此对曹老师表示衷心的感谢！我还要感谢在PKI认证方面很有研究的蒋汉生老师，在百忙之中给予我的宝贵意见。另外，我身边的同学在资料的收集等方面提供给我的帮助也使本文最终成稿。