资源描述：
《PKI技术 教学课件 作者 荆继武第19讲 Nested CA and Nested Certificate.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、PKI技术第十九讲NestedCAandNestedCertificateNestedCertificateUseofNestedCertificatesforEfficient,Dynamic,andTrustPreservingPublicKeyInfrastructureALBERTLEVI,SabanciUniversityM.UFUKCAGLAYAN,BogaziciUniversityCETINK.KOC,OregonStateUniversityACMTransactionsonInformationandSys
2、temSecurity,February2004.2本课内容NestedCertificateNPKI:Nested-Certificate-BasedPKI证书路径和证书验证证书撤销证书存储和查询讨论3NestedCertificateandNPKINPKI是对传统PKI的一种改进通过引入NestedCertificatecertificatesforothercertificates有如下特点：兼容传统PKI证书验证计算量小1次公钥验证、以及多次HASH计算对多层次结构的证书链（传统PKI是多次公钥验证）撤销处理简单增加C
3、A运算量，减少PKIUser计算量，更适用MobileAgent环境4WhatisNestedCertificate?NestedCertificatecertificatesforothercertificates证书subject是另一张证书传统PKI证书subject可以是某个人、某个邮件地址、某台服务器等等NestedCertificate的Subject是另一张证书NestedCertificate中不包含公钥信息“Anestedcertificateissimplydefinedasacertificatefora
4、nothercertificate.”如下图：5NestedCertificate(简称NC)1：传统证书A给B签发2：NCC给1签发3：NCD给2签发2也是NC6SC,SubjectCertificate我们把NC所对应的另一张证书，称为SubjectCertificate(SC)如图：对NC2而言，1就是SC对NC3而言，2就是SC7NC格式内容示意证书SC（可能是传统证书、或者另一个NC）SC=CntSC
5、SigSC，由证书内容Content和签名Sig组成针对SC签发的NCNC(SC)=CntNC
6、SigNCCntNC
7、=Hash(CntSC)
8、SigSC
9、OtherOther是指版本、NC证书序列号、NC签发者等辅助信息SigNC是对CntNC的签名结果8NC证书签发过程NCA签发NC的CA签发过程输入：某个证书（传统证书或者另一个NC）输出：NC过程：验证“输入证书”的数字签名是否正确如果正确，按照上述格式，签发NC9格式讨论NC格式NC(SC)=CntNC
10、SigNCCntNC=Hash(CntSC)
11、SigSC
12、Other问题：为什么CntNC不是直接对“整个SC”的HashWhynotCntNC=Hash(CntSC
13、SigSC)
14、
15、Other原因如下：10Hash(CntSC)
16、SigSC的原因减少计算量在签发过程中，首先要验证SC，即Verify(KeyPub,Hash(CntSC),SigSC)已经计算了Hash(CntSC)，少操作一次Hash计算，直接加入NC中11本课内容NestedCertificateNPKI:Nested-Certificate-BasedPKI证书路径和证书验证证书撤销证书存储和查询讨论12WhatisNPKI?NPKI:nested-certificate-basedPKI根据作者的说法：CAsissuenestedc
17、ertificatesforthecertificatesissuedbytheirchildreninthePKIhierarchy.Inthisway,aclassicalPKIistransformedintoanNPKI.CA为“其下级CA所签发的证书”签发NestedCertificates，然后，传统PKI就转换到NPKI。如下图：13PKI->NPKI(1)实线是3层结构传统PKI根CA1级CA2级CA：负责用户证书14PKI->NPKI(2)实线是3层结构传统PKI根CA1级CA2级CA：负责用户证书1级CA为
18、用户证书签发NC虚线15PKI->NPKI(3)实线是3层结构传统PKI根CA1级CA2级CA：负责用户证书1级CA为用户证书签发NC虚线根CA为1级CA的NC签发NC虚线16PKI-NPKI经过上述2步骤操作，就从传统PKI转到NPKI图中RootCA和NCA是同一实体，实
