欢迎来到天天文库
浏览记录
ID:34531765
大小:241.00 KB
页数:3页
时间:2019-03-07
《ocsp证书状态查询机制与实现》由会员上传分享,免费在线阅读,更多相关内容在教育资源-天天文库。
1、第18卷第1期电脑与信息技术Vo1.18No.120l0年2月ComputerandInformationTechnologyFeb.2010文章编号:1005—1228(2010)01-0044—02OCSP证书状态查询机制与实现吕国忠(江南计算技术研究所,无锡214083)摘要:证书状态查询是公钥基础设施中最重要的问题之一,OCSP是解决这个问题的一种重要机制。文章分析了CRL协议、OCSP协议、状态缓存、线程池、预签名,设计了一种OCSP服务器的实现方法,详细描述了该设计在具体实现中需要特别注意的几项关键技术,以提高系统的性能和稳定性。关键词:PKI;在线证书状态协议;证书撤销中图
2、分类号:TP393.08文献标识码:AMechanismsandImplementationofCertificateStatusQueryLVGuo——zhong(JiangnanInstituteofComputingTechnology,Wuxi214083,China)Abstract:CertificatestatusqueryisoneofthekeyissuesinPublicKeyInfrastructure,andOCSPisanimportantmechanismtOsolvethisproblem.Thispaperanalyzesthetechnicaldetai
3、lsofCRLprotocol,OCSPprotocol,cache,thread—pooltechnology,advancedsignature,presentsaonlinecertificatestatusquerymechanism,severalkeytechnologiesinitsimplementationarealsodescribedindetailtOimprovetheefficiencyandstabilityofthesystem.Keywords:pubhckeyinfrastructure;onlinecertificateStatuSprotocol;
4、certificaterevocation随着电子商务、电子政务的迅猛发展,PKI(Public(1)时效陛差由于CRL撤销列表是定时发布的,发KeyInfrastructure,公钥基础设施)技术的应用越来越布周期往往需要几天或门周,甚至更长,因此在CRL表本次广泛。其中数字证书是PKI基础设施中的重要概念,它发布后下次发布前撤销的证书,无法准确识别其状态,会给是用户在网络交易中的电子身份凭证,是一个由权威交易带来隐患。机构CA(CertificateAuthority)中心发行的。应用系统在(2)使用效率低CRL撤销列表是针对CA全生使用证书前,必须先验证数字证书的有效性,包括CA命
5、周期的,每一张撤销的证书会一直在CRL列表中出对证书的签名值、证书签发者、证书使用策略、证书有现,当CA使用时间长,撤销的证书越来越多时,尤其效期及证书状态等。其中证书状态是指在证书的生命是发生诸如CA密钥泄露或根密钥泄露等严重安全事周期中,由于某些原因(私钥泄露、人员调离等)一些证件时,需要撤销的证书规模很大,CRL表也会变得非常书会被撤销,被撤销的证书其状态被标识为无效,这就庞大,导致对CRL表的管理及使用需要很大的开销。需要一个证书状态查询系统。现有PKI系统所提供的(3)维护困难由于CRL表是离线验证的,应用证书状态查询机制主要有两种:基于CRL(Certicate服务器或应用客
6、户端通过验证CRL表,验证指定证书RevokeList,证书撤销列表)的查询机制和基于OCSP是否有效。当CRL表失效时,需要应用系统及时更新(OnlineCertifcateStatusProtocol,在线证书状态协议)CRL撤销表,这就对应用系统维护CRL表、CA系统发的实时查询机制。布CRL表的稳定性提出了更高的要求。CRL是一种最简单、最常用的证书撤销方法。CRLRFC2560“x.509因特网公钥基础设施在线证书状是由颁发证书的CA定期签发的一个由其签名的数据态协议——OCSP”是一个无需证书撤销列表就可以决结构,内含该CA撤销的所有证书列表。但CRL在使定一张数字证书当前状
7、态的协议,作为检查定期证书用过程中有其局限性:撤销列表的补充,在涉及大量资金的交易或者股票买收稿日期:2009一l1—1O作者简介:吕国忠(1969一),男,高级工程师,主要研究方向为信息安全。第18卷第1期吕国忠:OCSP证书状态查询机制与实现卖时,必须要获得一些有关证书撤销状态的即时信息,·随机数nonce在线证书状态协议(OCsP)使得交易双方可以测定所状态查询协议通过nonce项来防止重放攻击。随需要检验证书的(撤销)状态。
此文档下载收益归作者所有