Fabric系列 - Fabric CA

09/02 11:12
阅读数 151

背景

Fabric CA项目原来是超级账本Fabric内的MemberService组件,负责对网络内各个实体的身份证书进行管理。鉴于其功能十分重要,2017年2月正式成立Fabric CA独立子项目,负责相关代码的维护。Fabric CA项目主要实现了如下几个功能:

  • 负责Fabric网络内所有实体(Identity)的身份管理,包括身份的注册、注销等;
  • 负责证书管理,包括ECerts(身份证书)、TCerts(交易证书)等的发放和注销;
  • 服务端支持基于客户端命令行和RESTful API的交互方式。

在实现上,Fabric CA基于开源的CFSSL项目框架。代码同时托管在https://gerrit.hyperledger.org 和 https://github.com/hyperledger/fabric-ca (只读镜像)上。

CFSSl是Cloudf lare开源的提供PKI和TLS证书相关实现的工具集,项目地址为https://github.com/cloudflare/cfssl。

OpenSSL 和 CFSSL

OpenSSL是开源的SSL(Secure Sockets Layer)实现,SSL 是一个安全协议,为基于 TCP 的应用层提供安全链接,其目标是保证两个应用间通信的保密性和可靠性

CFSSL 是 CloudFlare 公司的一个 PKI 工具包,提供了命令行工具和一个 HTTP API 服务器用于签名、验证和捆绑 SSL 证书

架构

Fabric CA采用了典型的CS(Client-Server)架构,目前包含两个基本组件,分别实现服务端功能和客户端功能。

  • 服务端(Server):fabric-ca-server实现核心的PKI服务功能,支持多种数据库后台(包括MySql、PostgreSQL等),并支持集成LDAP作为用户注册管理功能;
  • 客户端(Client):fabric-ca-client封装了服务端的RESTful API,提供访问服务端的命令,供用户与服务端进行交互。

通常情况下,用户通过客户端从Fabric CA服务端获取合法的证书文件后,即可参与到Fabric网络中发起交易。处理交易过程中,无需实时依赖Fabric CA的在线。同时,服务端本身是个可扩展的Web服务,可以很容易地采用集群部署的方式进行负载均衡,同时提高可靠性。

证书管理

Fabric网络中,CA负责证书的管理。用户虽然可以通过cryptogen工具提前分配好各组织的身份证书,但对于加入到网络中的用户,以及未来支持的交易证书,都需要Fabric CA来进行统一管理。

Fabric CA占据网络中安全和隐私的最核心位置,因此需要加强安全方面的防护。CA不应该暴露在公共网络域中,并且只能由有限个具备权限的用户访问。

另外,根证书往往要进行离线保护处理,减少接触和泄露的可能性。通常使用中间层证书来完成实体证书的签发。同时,绝对不能直接用根证书作为组织管理员的身份证书。

展开阅读全文
打赏
0
0 收藏
分享
加载中
更多评论
打赏
0 评论
0 收藏
0
分享
返回顶部
顶部