Security 分散式对等身份验证

现有的分散式对等身份验证方法是否不使用任何中心实体进行公钥签名。示例场景如下所示。

---

我们有一个对等系统，每个节点都必须验证另一个节点的身份。而且节点不会使用中心实体（比如公钥签名的证书颁发机构）。一个简单的解决方案是在创建/安装阶段将所有节点的公钥烘焙到每个节点。但无论何时创建或删除新节点，都必须对其进行更新（根据节点硬件/软件设计的性质，这是一个昂贵的步骤）。有比这更好的解决方案吗？

不清楚您这里所说的“访问中心实体”是什么意思。通常情况下，验证不需要访问CA。它只需要公钥在过去某个时候由CA签名，节点信任CA的证书。不需要特别的“CA服务器”证书验证甚至不需要网络。我的意思是节点不会使用任何中心实体进行公钥签名。我现在已经更正了措辞。对于节点本身无法控制的每个节点，您必须有一些成分，通常是来自受信任方的加密签名。在TLS中，它是一个或多个CA的签名。在PGP中，它是来自一个或多个已经值得信任的其他人（或节点，如果您愿意）的签名。我信任鲍勃的钥匙，因为爱丽丝信任它，我信任爱丽丝，因为我们见过面，她有我的签名来证明这一事实。你必须找到一种机制来表示这种“亲自会议”的步骤，也可以认为TLS CAS不一定是集中式的。例如，您可以分发多个中间CA证书，例如交叉签名，其中多个CA一起证明另一个证书。这在很大程度上取决于您需要什么才能确信某个节点是“已验证的”。它可以是“我相信所有节点都会介绍自己”（无验证），“我以前见过这个节点”（ssh风格），“我信任某个中心实体来引入节点”（CA），“我信任已知节点来引入新节点”（信任网络，但这只会将问题向后推一步），“我信任一个固定列表”（烘焙在身份列表中），但这一切都取决于你信任的实体是什么。不太清楚什么样的答案可以满足这个问题。“更好的解决方案”取决于你的整个问题。