ocsp证书状态查询机制与实现

《ocsp证书状态查询机制与实现》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第18卷第1期电脑与信息技术Vo1．18No．120l0年2月ComputerandInformationTechnologyFeb．2010文章编号：1005—1228(2010)01-0044—02OCSP证书状态查询机制与实现吕国忠(江南计算技术研究所，无锡214083)摘要：证书状态查询是公钥基础设施中最重要的问题之一，OCSP是解决这个问题的一种重要机制。文章分析了CRL协议、OCSP协议、状态缓存、线程池、预签名，设计了一种OCSP服务器的实现方法，详细描述了该设计在具体实现中需要特别注意的几项关键技术，以提高系统的性能和稳定性。关键词：PKI；在线证书状态协议；证书撤销中图

2、分类号：TP393．08文献标识码：AMechanismsandImplementationofCertificateStatusQueryLVGuo——zhong(JiangnanInstituteofComputingTechnology，Wuxi214083，China)Abstract：CertificatestatusqueryisoneofthekeyissuesinPublicKeyInfrastructure，andOCSPisanimportantmechanismtOsolvethisproblem．Thispaperanalyzesthetechnicaldetai

3、lsofCRLprotocol，OCSPprotocol，cache，thread—pooltechnology，advancedsignature,presentsaonlinecertificatestatusquerymechanism，severalkeytechnologiesinitsimplementationarealsodescribedindetailtOimprovetheefficiencyandstabilityofthesystem．Keywords：pubhckeyinfrastructure；onlinecertificateStatuSprotocol；

4、certificaterevocation随着电子商务、电子政务的迅猛发展，PKI(Public(1)时效陛差由于CRL撤销列表是定时发布的，发KeyInfrastructure，公钥基础设施)技术的应用越来越布周期往往需要几天或门周，甚至更长，因此在CRL表本次广泛。其中数字证书是PKI基础设施中的重要概念，它发布后下次发布前撤销的证书，无法准确识别其状态，会给是用户在网络交易中的电子身份凭证，是一个由权威交易带来隐患。机构CA(CertificateAuthority)中心发行的。应用系统在(2)使用效率低CRL撤销列表是针对CA全生使用证书前，必须先验证数字证书的有效性，包括CA命

5、周期的，每一张撤销的证书会一直在CRL列表中出对证书的签名值、证书签发者、证书使用策略、证书有现，当CA使用时间长，撤销的证书越来越多时，尤其效期及证书状态等。其中证书状态是指在证书的生命是发生诸如CA密钥泄露或根密钥泄露等严重安全事周期中，由于某些原因(私钥泄露、人员调离等)一些证件时，需要撤销的证书规模很大，CRL表也会变得非常书会被撤销，被撤销的证书其状态被标识为无效，这就庞大，导致对CRL表的管理及使用需要很大的开销。需要一个证书状态查询系统。现有PKI系统所提供的(3)维护困难由于CRL表是离线验证的，应用证书状态查询机制主要有两种：基于CRL(Certicate服务器或应用客

6、户端通过验证CRL表，验证指定证书RevokeList，证书撤销列表)的查询机制和基于OCSP是否有效。当CRL表失效时，需要应用系统及时更新(OnlineCertifcateStatusProtocol，在线证书状态协议)CRL撤销表，这就对应用系统维护CRL表、CA系统发的实时查询机制。布CRL表的稳定性提出了更高的要求。CRL是一种最简单、最常用的证书撤销方法。CRLRFC2560“x．509因特网公钥基础设施在线证书状是由颁发证书的CA定期签发的一个由其签名的数据态协议——OCSP”是一个无需证书撤销列表就可以决结构，内含该CA撤销的所有证书列表。但CRL在使定一张数字证书当前状

7、态的协议，作为检查定期证书用过程中有其局限性：撤销列表的补充，在涉及大量资金的交易或者股票买收稿日期：2009一l1—1O作者简介：吕国忠(1969一)，男，高级工程师，主要研究方向为信息安全。第18卷第1期吕国忠：OCSP证书状态查询机制与实现卖时，必须要获得一些有关证书撤销状态的即时信息，·随机数nonce在线证书状态协议(OCsP)使得交易双方可以测定所状态查询协议通过nonce项来防止重放攻击。随需要检验证书的(撤销)状态。