String sharedSecret = "passcode";
String passPhrase = "passPhrase";
KeyPair rsakey = getKeyPair();
String keyName =
"http://xkms.verisign.com/keyname?jurisdiction=d7ea68c518b2602ca4bbca895826a7dd&"+
"mail_email=mverma2@xkms.org&corp_company=Nano";
XKMSKeyData data = new XKMSKeyData(rsakey, new XKMSKeyName(keyName));
XKMSAuthInfo authInfo = new XKMSAuthInfo(passPhrase, sharedSecret);
XKMSRegister register = new XKMSRegister(data, authInfo);
XKMSRegisterResponse resp = null;
String serviceurl = "http://interop-xkms.verisign.com/xkms/Acceptor.nano";
URL url = new URL(serviceurl);
XmlTransportSOAP transport = new XmlTransportSOAP(url);
resp = register.send(transport);
System.out.println("Response status is " + resp.getStatus());
if (resp.getStatus()) {
      System.out.println("The key name is " + resp.getKeyName());
      System.out.println("The public key is " + resp.getPublicKey());
}
步骤 1: 从要注册密钥对的服务提供程序那里获得密码（共享密钥）。服务提供程序还可以提供与密码一起使用的密钥名。
步骤 2: 使用 getKeyPair() 在客户机上生成密钥对。getKeyPair() 的代码是您可以利用本文下载的源代码的一部分（请参阅 参考资料）。
步骤 3: 指定 XKMS 密钥注册所需的密钥数据。创建 XKMSKeyData 对象。提供密钥对和密钥名作为输入。在密钥对中，公钥是已注册的，私钥用于作为所有权的证明。XKMSKeyData 中使用的密钥名必须遵从由提供程序指定的特定格式。
步骤 4: 指定 XKMS 密钥注册所需的注册授权数据。有两种方式可以用来提供授权信息：
• 共享密钥：注册请求伴随着共享密钥，共享密钥由带外（out-of-band）客户机的注册中心给出。
• 注册中心（registration authority，RA）认证：使用 RA 的 X.509 证书和 RA 的私钥。在清单 1 中，我演示了共享密钥认证机制的使用。
步骤 5: 通过提供 XKMS 密钥数据和授权信息，创建 XKMSRegister 对象的一个实例。
步骤 6: 创建一个 XmlTransportSOAP 对象。提供运行注册服务时所在的 URL 作为输入。
步骤 7: 使用 send 方法发送请求给 XKMSRegister 对象，将 XmlTransportSoap 实例传递给这个方法。
send 方法首先注册密钥，然后返回一个 XKMSRegisterResponse 对象。可以通过查询这个对象来获得密钥名和其他密钥信息。通过查询 XKMSRegisterResponse 对象而得到的密钥名不同于您在步骤 3 中创建 XKMSKeyData 对象时提供的密钥名。以后您将使用这个密钥名来定位密钥。
接下来，我将演示如何定位一个已经注册到服务提供程序的密钥。（用于定位密钥的清单 2 中所演示的机制使用了这个密钥名。在清单 2 的后面我将更详细地加以解释。）
清单 2. 定位密钥

// The key name that you got from the XKMSRegisterResponse
// Object
String keyNameToLocate =
"http://xkms.verisign.com/key?company=VeriSign&department=XKMS Test&"+
"CN=MANISH VERMA6&issuer_serial=73efeeea87e159e6d7fc790ef01c6fe7"; 
// An array of response strings to indicate what key
// information is requested
String[] xkmsResponse =   
{XKMSLocate.KeyName,XKMSLocate.KeyValue,XKMSLocate.X509Cert,XKMSLocate.X509Chain };

XKMSLocateResponse locateResponse = null;
XKMSLocate xkmsLocate = new XKMSLocate(keyName,xkmsResponse); 
String serviceurl = "http://interop-xkms.verisign.com/xkms/Acceptor.nano"; 
URL url = null; 
url = new URL(serviceurl);
XmlTransportSOAP transport = new XmlTransportSOAP(url);
locateResponse = xkmsLocate.sendRequest(transport);
List keyInfoList = locateResponse.getXKMSKeyInfos();
Iterator itr = keyInfoList.iterator();
XKMSKeyInfo xkmsKeyInfo = null;
while (itr.hasNext()){
      xkmsKeyInfo = (XKMSKeyInfo)itr.next();
}
步骤 1: 为了定位一个密钥，您可以使用以下任何信息进行查询：
• 密钥名（这应该是先前在一个 XKMSRegisterResponse 对象中返回的密钥名）。注册时与 XKMSKeyData 一起使用的那个密钥名这里不能使用。
• 公钥值。
• X.509 证书。
在清单 2 中，我使用密钥名来查询密钥。
步骤 2: 指定一个响应字符串数组，这些字符串的值都是我们感兴趣的。
步骤 3: 用密钥名和响应字符串数组创建 XKMSLocate 对象。
步骤 4: 创建一个 XmlTransportSOAP 对象。提供运行注册服务时所在的 URL 作为输入。
步骤 5: 使用 sendRequest 方法发送请求给 XKMSLocate 对象，将 XmlTransportSoap 实例传递给该方法。
步骤 6: 获取 XKMSLocateResponse 对象。从这个对象中，您可以获得一个 XKMSKeyInfo 对象列表。迭代这些对象，以获得与响应字符串对应的信息。
XKMS 服务本身的安全性
您还没完全了解 XKMS。您还应该了解一些事情，然后才可以把文档和应用程序的安全性托付给 XKMS 服务。在这一节中我大致谈到的问题与所有基于 Web 的服务有关，但是应该确保 XKMS 可靠和可用，这一点很重要。
• 防止重复攻击（replay attack）：确保 XKMS 服务为某请求发送的回复不被未经授权的第三方捕获到。这个捕获到的响应可以被第三方作为对其他请求的响应再次发送，并假装它就是 XKMS 服务本身。您可以通过各种标准方式来处理这种情况，例如给响应加时间戳。
• 防止服务的抵赖攻击（denial of service attack）：使用 XKMS 来获取密钥信息比较有用，前提是 XKMS 在需要的时候可用，并且这一过程能在合理的时间内完成。实现服务时，必须使其能够承受服务的抵赖攻击，从而保持高度可用。
• 验证一个良好的、健壮的密钥恢复策略：确保 XKMS 服务提供程序具有一个良好的、健壮的密钥恢复策略，因为这直接影响着签名文档的否认和加密文档的可靠性。
结束语
通常，好的技术之所以不能坚持到底，是因为它们使用起来过于笨重。在这种情况下，只有一小撮忠实的开发人员会继续使用这种技术，而一般的 IT 部门不再采纳这种技术。PKI 问世已经有多年了，但是它还没有走进一般的 IT 部门。现在，XKMS 为使用 PKI 和将 PKI 与应用程序集成提供了一种容易的机制。在本文中，我解释了在各种 PKI 解决方案上使用一个 XKMS 抽象层的目的，并演示了使用 XKMS 服务来注册和定位密钥是多么的容易。在我的下一篇文章中，我将重点解释如何通过 SAML 使这种信任可移植。
参考资料
• 下载本文中使用到的 源代码（文件大小：1 MB）。
• 阅读 XML Key Management Specification (XKMS) Version 2.0。
• 参阅 XML Key Management Specification Bulk Operation (X-BULK) 以了解更多关于 XKMS 批量操作的知识。
• 研究这些 Security Assertion Markup Language (SAML) 相关参考资料。
• 访问 PKI 资源 链接以获得更多关于 Public Key Infrastructure 的知识。
• 仔细阅读 XML Encryption Syntax and Processing 规范。
• 阅读 XML-Signature Syntax and Processing 规范。
• 在 Developer Bookstore 可以看到大量的打折 XML 图书。
• 在 developerWorks XML 专区 可以找到更多 XML 的参考资料。
• 了解如何才能成为 IBM 认证的 XML 及相关技术的开发人员。