基于PKI的證書撤銷方式.pdf

1、該論文通過對PKI技術(shù)的闡述,分析了在PKI系統(tǒng)中各種證書撤銷方式原理、優(yōu)缺點(diǎn)和適應(yīng)的網(wǎng)絡(luò)環(huán)境,并設(shè)計(jì)構(gòu)造了基于在線證書狀態(tài)協(xié)議(OCSP)的證書撤銷系統(tǒng).雖然數(shù)字證書只是PKI的組成部分之一,但它是限制或擴(kuò)展安全設(shè)施整個(gè)性能的本質(zhì)部分.因此用戶必須能驗(yàn)證證書.該文主要介紹了兩種方式驗(yàn)證證書的狀態(tài):1)周期性發(fā)布證書狀態(tài)信息機(jī)制,證書撤銷列表(CRLs).基于傳統(tǒng)CRL撤銷發(fā)布機(jī)制,介紹了增量CRL.分布點(diǎn)CRL、重疊發(fā)布CRL、證書撤

2、銷樹(CRT).權(quán)限撤銷列表ARL.間接CRL.由于證書撤銷信息在整個(gè)PKI中的傳播需要一段時(shí)間,這樣就給攻擊者留有了余地.2)在線查詢機(jī)制,如在線證書狀態(tài)協(xié)議OCSP.一個(gè)OCSP響應(yīng)必須經(jīng)過數(shù)字簽名以保證響應(yīng)是源于可信任方并且在傳輸過程中沒有被改動(dòng).OCSP在應(yīng)用方面也存在著一定的局限性,該文對這些局限性提出了改進(jìn)方案.基于以上各種不同的證書撤銷機(jī)制,該文提出了評價(jià)標(biāo)準(zhǔn),在不同的環(huán)境給出了可使用的方案,并以O(shè)CSP為例,提出了具體的