基于驗(yàn)證代理的PKI跨域橋接信任模型研究.pdf

1、隨著網(wǎng)絡(luò)應(yīng)用技術(shù)的快速發(fā)展，信息安全問(wèn)題受到人們的普遍關(guān)注，如何保障開(kāi)放式網(wǎng)絡(luò)環(huán)境中各個(gè)系統(tǒng)之間數(shù)據(jù)的安全通信是其中的關(guān)鍵問(wèn)題，公鑰基礎(chǔ)設(shè)施PKI的發(fā)展為信息安全問(wèn)題的解決提供了可行途徑。但是，隨著PKI技術(shù)的日趨成熟，各類(lèi)CA認(rèn)證中心相繼建立，各種潛在的問(wèn)題也凸顯出來(lái)，PKI的發(fā)展面臨著瓶頸，其中核心問(wèn)題是解決開(kāi)放式網(wǎng)絡(luò)環(huán)境中各主體間動(dòng)態(tài)信任關(guān)系與PKI相對(duì)穩(wěn)定的信任模型間的沖突。本文的主要研究目標(biāo)就是通過(guò)對(duì)交叉認(rèn)證技術(shù)的研究，解決不

2、同信任域間的互操作問(wèn)題。
　　本文在分析現(xiàn)有 PKI信任模型和跨域應(yīng)用需求的基礎(chǔ)上，提出了一個(gè)基于驗(yàn)證代理的PKI跨域橋接信任模型。該模型適用于分布式環(huán)境下用戶(hù)基于數(shù)字證書(shū)進(jìn)行跨域訪(fǎng)問(wèn)的情形。在該模型中，用戶(hù)通過(guò)驗(yàn)證代理機(jī)構(gòu)進(jìn)行證書(shū)驗(yàn)證:在同一信任域內(nèi)由VA(Validation Authorit)完成，在不同信任域間由則進(jìn)一步借助 BVA(Bridge Validation Authority)來(lái)實(shí)現(xiàn)。對(duì)于分屬于不同信任域的兩用

3、戶(hù)間的多次頻繁交互，本文提出通過(guò)VA發(fā)放臨時(shí)證書(shū)的方式提高跨域訪(fǎng)問(wèn)的效率，此外，模型中還提出了基于雙hash鏈的證書(shū)驗(yàn)證方案，以驗(yàn)證證書(shū)hash鏈的方式來(lái)替代原來(lái)繁瑣的證書(shū)驗(yàn)證過(guò)程，進(jìn)一步提高了系統(tǒng)效率。
　　本文的創(chuàng)新內(nèi)容在于：
　　(1)提出了一個(gè)基于驗(yàn)證代理的跨域橋接信任模型。模型中由證書(shū)驗(yàn)證代理中心VA（Validation Authority）對(duì)域內(nèi)和域間用戶(hù)提交的證書(shū)進(jìn)行驗(yàn)證，由橋接驗(yàn)證代理中心BVA（Bridg

4、e Validation Authority）負(fù)責(zé)對(duì)各個(gè)信任域內(nèi)的VA及由VA發(fā)來(lái)的證書(shū)驗(yàn)證信息進(jìn)行認(rèn)證和轉(zhuǎn)發(fā)。通過(guò)這兩類(lèi)代理驗(yàn)證機(jī)構(gòu)，幫助用戶(hù)避免了證書(shū)認(rèn)證處理這個(gè)繁瑣耗時(shí)的過(guò)程，減輕了用戶(hù)的工作負(fù)擔(dān)，并且大大提高了證書(shū)認(rèn)證的效率。
　　(2)為了進(jìn)一步提高跨域訪(fǎng)問(wèn)的效率，本文提出了“臨時(shí)證書(shū)”的概念。當(dāng)不同信任域內(nèi)的兩個(gè)用戶(hù)實(shí)體需要進(jìn)行通信時(shí)，VA可為通過(guò)驗(yàn)證的訪(fǎng)問(wèn)請(qǐng)求方用戶(hù)簽發(fā)一張臨時(shí)證書(shū)。之后訪(fǎng)問(wèn)請(qǐng)求方提出訪(fǎng)問(wèn)請(qǐng)求時(shí)，被訪(fǎng)

5、問(wèn)的用戶(hù)只需要驗(yàn)證訪(fǎng)問(wèn)請(qǐng)求方的臨時(shí)證書(shū)是否有效，無(wú)需再進(jìn)行跨域認(rèn)證，大大加快了跨域用戶(hù)之間的訪(fǎng)問(wèn)速度。
　　(3)為了降低VA進(jìn)行證書(shū)驗(yàn)證的計(jì)算代價(jià)，本文提出了基于雙hash鏈的證書(shū)驗(yàn)證方案。VA通過(guò)構(gòu)建兩條hash鏈來(lái)驗(yàn)證提出訪(fǎng)問(wèn)請(qǐng)求得用戶(hù)是否可信。其中一條hash鏈指向認(rèn)證中心的秘密種子，確保種子傳遞的安全性，另一條指向驗(yàn)證鏈路上的每個(gè)CA證書(shū)，確保證書(shū)傳輸?shù)耐暾?。使用雙hash鏈的證書(shū)驗(yàn)證方案，有效地減少了VA對(duì)證書(shū)鏈路上