[發明專利]一種提高數字證書撤銷列表安全性的方法

無效

• 申請號: 201110192254.4
• 申請日: 2011-07-11
• 公開（公告）號: CN102315938A
• 公開（公告）日: 2012-01-11
• 發明（設計）人: 汪宗斌;張慶勇;李向鋒;劉金華
• 申請（專利權）人: 北京信安世紀科技有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明涉及對互聯網中使用的數據證書進行處理的方法，具體涉及一種提高數字證書撤銷列表安全性的處理方法。

背景技術

由于Internet網電子商務系統技術使在網上購物的顧客能夠極其方便輕松地獲得商家和企業的信息，但同時也增加了對某些敏感或有價值的數據被濫用的風險。為了保證互聯網上電子交易及支付的安全性，保密性等，防范交易及支付過程中的欺詐行為，必須在網上建立一種信任機制。這就要求參加電子商務的買方和賣方都必須擁有合法的身份，并且在網上能夠有效無誤的被進行驗證。

以數字證書為核心的加密技術可以對網絡上傳輸的信息進行加密和解密、數字簽名和簽名驗證，確保網上傳遞信息的機密性、完整性。使用了數字證書，即使用戶發送的信息在網上被他人截獲，甚至丟失了個人的賬戶、密碼等信息，仍可以保證賬戶、資金安全。

數字證書是一種權威性的電子文檔，由權威公正的第三方機構，即證書認證中心簽發的證書。

以數字證書為基礎的身份認證體系在出現需要作廢的數字證書時，采用數字證書廢止列表的方式來實現，數字證書廢止列表(業界常簡稱CRL)中記錄所有在原定失效日期到達之前被廢止的數字證書的用戶數字證書序列號，供數字證書使用者在認證對方數字證書時查詢使用。為了處理大用戶量的情況，一般情況下，都會采用將數字證書廢止列表分在多個數字證書廢止列表文件中的方式，在數字證書中表明如若該數字證書被廢止則對應的證書序列號位于那個數字證書廢止列表文件中。數字證書廢止列表的結構如下：

證書廢止列表(CertificateList){

待簽名廢止證書列表(tbsCertList)

版本號(version)

簽名算法(signature)

簽發者(issuer)

本次更新時間(thisUpdate)

下次更新時間(nextUpdate)

廢止的證書(revokedCertificates)

廢止證書的序列號(userCertificate)

廢止時間(revocationDate)

廢止項擴展(crlEntryExtensions)

證書廢止列表擴展crlExtensions

簽名算法(signatureAlgorithm)

簽名值(signatureValue)}

其中廢止項擴展和證書廢止列表擴展的結構如下：

擴展標識

是否為關鍵擴展

擴展值

在現有的標準和業界的操作過程中，經常使用的擴展有：簽發者密鑰標識、簽發者名稱、CRL數量、增量CRL指示器、簽發發布點、最新CRL和權威信息訪問。

一般的證書驗證流程是首先驗證證書合法性，然后根據證書包含的CRL發布點信息下載或從本地查找對應的CRL文件來查驗對應的證書是否在指定的CRL文件中。

從上面我們描述的證書廢止列表的結構看，證書廢止列表的這些內容都沒有表示CRL文件名稱或CRL文件中應涵蓋的CRL范圍，這就導致了CRL與證書驗證的機制脫節，從而出現安全問題。

發明內容

本發明需要解決的技術問題就在于提供一種提高數字證書撤銷列表安全性的方法，本發明解決了目前數字證書撤銷列表導致了CRL與證書驗證的機制脫節，從而出現安全隱患的問題。

為解決上述問題，本發明采用如下技術方案：

數字證的廢止過程是：

(一)發起數字證書撤銷；

(二)將證書序列號放入數字證書廢止列表的待廢止列表；

(三)CA根據預先設定的廢止規則將需要廢止的數字證書序列號構成一個CRL文件；

(四)CA對數字證書廢止列表簽名；

(五)發布數字證書廢止列表至特定的文件中或特定的目錄中；

將第(三)步驟中CRL的文件名或證書中CRL發布點的名字包含在CRL文件中，由CRL簽發者做數字簽名，這樣來保證CRL文件與證書的CRL發布點進行對應。

進一步地，本發明的一種提高數字證書撤銷列表安全性的方法，還具有如下特點：第(三)步驟中保證CRL文件與證書的CRL發布點進行對應的具體方法的步驟是：