三種公鑰密碼體系（傳統公開(kāi)密鑰體系 / 基于身份的公開(kāi)密鑰體系 / 基于無(wú)證書(shū)的公開(kāi)密鑰體系 ）

第一種方案是采用證書(shū)機制實(shí)現用戶(hù)的身份和用戶(hù)的鑰匙之間的安全對應。證書(shū)機制一般都采用公鑰基礎設施（Public Key Infrastructure: PKI）技術(shù)。它綜合使用了數字摘要技術(shù)、數字簽名等密碼技術(shù)以及一套完整的證書(shū)管理機制來(lái)提供安全服務(wù)。系統建設有公信力的認證中心（Certification Authority：CA）鑒定用戶(hù)身份，然后為用戶(hù)簽發(fā)數字證書(shū)。數字證書(shū)安全地將用戶(hù)身份和用戶(hù)密鑰綁定在一起。用戶(hù)在業(yè)務(wù)系統中先交換證書(shū)，然后使用公私鑰完成用戶(hù)的身份認證、訪(fǎng)問(wèn)控制、信息安全傳遞等操作。但加密操作過(guò)程中數據發(fā)送方需要預先獲得接收方證書(shū)，進(jìn)而獲取加密公鑰，相關(guān)過(guò)程較為復雜。因此，目前證書(shū)系統廣泛用于提供數字簽名服務(wù)，實(shí)現身份認證、數據一致性保護等。為了進(jìn)一步降低證書(shū)管理的復雜性，目前還有一些輕量級的證書(shū)管理協(xié)議，如簡(jiǎn)單證書(shū)注冊協(xié)議SCEP等來(lái)降低證書(shū)注冊等流程的復雜性。

第二種方案是基于標識的密碼技術(shù) (Identity-Based Cryptography：IBC)。為了降低公鑰系統中密鑰管理和使用的復雜性，Shamir在1984年提出了基于標識的密碼機制。在這種系統中，用戶(hù)的標識就可以用做用戶(hù)的公鑰（更加準確地說(shuō)是用戶(hù)的公鑰可以從用戶(hù)的標識和標識密碼算法規定的一個(gè)方法計算得出）。在這種情況下，用戶(hù)不需要申請和交換證書(shū)，而是直接使用標識（身份信息）進(jìn)行密碼運算，從而解決公鑰真實(shí)性問(wèn)題，極大地簡(jiǎn)化了密鑰系統管理的復雜性。這類(lèi)系統中用戶(hù)的私鑰由系統中的一受信任的第三方（密鑰生成中心：KGC）使用標識私鑰生成算法計算生成。這樣的系統具有天然的密碼委托功能，特別適合于對數據恢復有需求的應用環(huán)境。另外這類(lèi)基于標識的密碼系統相較于傳統PKI具有巨大的靈活性、擴展性、簡(jiǎn)潔性。因為系統加密過(guò)程直接使用應用涉及的標識作為公鑰，無(wú)需分發(fā)、查詢(xún)證書(shū)、無(wú)需申請策略證書(shū)等，充分體現了加密操作的便捷性。應用系統涉及的標識只要具有唯一性特征就可以直接作為公鑰進(jìn)行密碼應用。這些標識可以具有任意的格式、屬性，可以是常用的用戶(hù)標識如郵件地址、手機號碼、身份證號碼；在物聯(lián)網(wǎng)中可以是設備標識、Handle碼、OID等；還可以是數據安全控制策略的形式化編碼、生物特征信息、甚至是標識屬性集等，特別適合基于標識、基于屬性的權限訪(fǎng)問(wèn)控制和數據安全保護。在密碼運算中直接使用這類(lèi)標識作為公鑰運算，無(wú)需進(jìn)行證書(shū)申請、無(wú)需額外的實(shí)體標識與公鑰間的映射管理，充分體現了標識密鑰的靈活性。
基于身份的公開(kāi)密鑰密碼體系存在密鑰托管問(wèn)題
密鑰托管： 是一種將加密數據解密所需的密鑰保存在托管中的安排，以便在某些情況下，授權的第三方可以訪(fǎng)問(wèn)這些密鑰。這些第三方可以包括企業(yè)，誰(shuí)可能需要訪(fǎng)問(wèn)員工的安全與業(yè)務(wù)相關(guān)的通信，還是政府，誰(shuí)可能希望能夠查看加密通信的內容（也被稱(chēng)為特殊的訪(fǎng)問(wèn)）

第三種方案是無(wú)證書(shū)的密碼體制(Certificateless Public Key Cryptography, CL-PKC)。該體制的代表有1991年Girault 提出的“隱式證書(shū)”密碼系統(Implicit Certificate)和Al-Riyami和Paterson在2001年提出的無(wú)證書(shū)公鑰密碼體制（AP-CL-PKC）。這種密碼體制介于傳統PKI和標識密碼技術(shù)之間。這種機制中用戶(hù)私鑰由兩個(gè)秘密因素決定：一個(gè)是從密鑰生成中心中提取的與用戶(hù)身份相關(guān)的密鑰，另一個(gè)是由用戶(hù)自己生成的密鑰。從一個(gè)秘密元素不能計算另一個(gè)，即密鑰生成中心不能算出用戶(hù)的部分密鑰，用戶(hù)也算不出密鑰生成中心生成的部分密鑰。 因此，無(wú)證書(shū)密碼系統沒(méi)有密鑰托管（key escrow）的功能。無(wú)證書(shū)密碼系統保證即使是攻擊人成功地用自己的公鑰代替了受害者的公鑰，攻擊人仍然無(wú)法偽造一個(gè)受害者的簽名，或者解密一段加密給受害者的密文信息。這一點(diǎn)無(wú)疑會(huì )減少惡意攻擊者的興趣。這種密碼機制在加密過(guò)程中仍然提前需要獲取接收方公鑰（實(shí)際為公鑰還原數據），然后使用接收方標識和系統參數計算接收方完整公鑰。因此這類(lèi)密碼系統在加密應用中面臨傳統PKI類(lèi)似的挑戰，即需要預先獲得接收方的公鑰還原數據。對于簽名過(guò)程，簽名方可以將其公鑰還原數據作為簽名的一部分一起傳遞，驗簽方從簽名結果中提取簽名人的公鑰還原數據，然后使用簽名方標識和系統參數計算簽名方的完整公鑰，驗證簽名的正確性。因此這類(lèi)系統在簽名應用中具有無(wú)證書(shū)管理、系統輕量、通信開(kāi)銷(xiāo)低、具有強不可抵賴(lài)性等眾多優(yōu)點(diǎn)，非常適合物聯(lián)網(wǎng)等領(lǐng)域的身份認證應用.