[發(fā)明專利]證書查詢方法、裝置、設(shè)備及計算機(jī)可讀存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202110302657.3
• 申請日: 2021-03-22
• 公開（公告）號: CN112994897A
• 公開（公告）日: 2021-06-18
• 發(fā)明（設(shè)計）人: 王信大;孫艷杰
• 申請（專利權(quán)）人: 杭州迪普科技股份有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06;G06F16/2455
• 代理公司: 北京博思佳知識產(chǎn)權(quán)代理有限公司 11415
• 代理人: 陳蕾

1.一種證書查詢方法，其特征在于，所述方法應(yīng)用于一種網(wǎng)絡(luò)設(shè)備，所述方法包括：

獲取目標(biāo)客戶端的證書信息；

生成攜帶所述證書信息的在線證書狀態(tài)協(xié)議OCSP查詢報文；

將所述OCSP查詢報文發(fā)送給至少一個查詢服務(wù)器，其中，所述查詢服務(wù)器用于基于接收的OCSP查詢報文查詢所述目標(biāo)客戶端的證書狀態(tài)，并生成攜帶所述證書狀態(tài)的響應(yīng)報文；

根據(jù)至少一個查詢服務(wù)器返回的響應(yīng)報文，確定所述目標(biāo)客戶端的證書狀態(tài)。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述獲取目標(biāo)客戶端的證書信息，包括：

若本地OCSP請求隊列中存在查詢請求，則依次從所述本地OCSP請求隊列中取出每一個查詢請求，將當(dāng)前取出的查詢請求作為目標(biāo)查詢請求，其中，所述目標(biāo)查詢請求中攜帶了目標(biāo)客戶端的證書信息；

從所述目標(biāo)查詢請求中獲取所述目標(biāo)客戶端的證書信息。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將所述OCSP查詢報文發(fā)送給至少一個查詢服務(wù)器，包括：

按照預(yù)先配置的統(tǒng)一資源標(biāo)識符URI優(yōu)先級，確定用于OCSP查詢的至少一個查詢服務(wù)器的URI；

向確定的每一URI發(fā)送所述OCSP查詢報文。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述URI優(yōu)先級的配置結(jié)果，包括：

將從證書報文中解析出的URI作為第一優(yōu)先級，其中，所述證書報文是所述目標(biāo)客戶端向所述網(wǎng)絡(luò)設(shè)備發(fā)送的攜帶所述證書信息的報文；

或者，將預(yù)先配置的URI作為第一優(yōu)先級；

或者，將從證書報文中解析出的URI與預(yù)先配置的URI，均作為第一優(yōu)先級。

5.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述向確定的每一URI發(fā)送所述OCSP查詢報文，包括：

分別從不同的公網(wǎng)鏈路，向確定的每一URI發(fā)送所述OCSP查詢報文。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)至少一個查詢服務(wù)器返回的響應(yīng)報文，確定所述目標(biāo)客戶端的證書狀態(tài)，包括：

在預(yù)設(shè)的查詢超時時間內(nèi)，若接收到至少一個查詢服務(wù)器返回的響應(yīng)報文，則將第一個返回的響應(yīng)報文所攜帶的證書狀態(tài)，作為所述目標(biāo)客戶端的證書狀態(tài)。

7.根據(jù)權(quán)利要求1-6任一項所述的方法，其特征在于，所述目標(biāo)客戶端的證書狀態(tài)為正常、或吊銷、或未知；所述方法還包括：

若所述目標(biāo)客戶端的證書狀態(tài)為未知、或未接收任一查詢服務(wù)器返回的響應(yīng)報文，則根據(jù)預(yù)設(shè)的狀態(tài)配置方式，將所述目標(biāo)客戶端的證書狀態(tài)設(shè)定為正常或吊銷。

8.根據(jù)權(quán)利要求2-6任一項所述的方法，其特征在于，所述方法還包括：

當(dāng)在所述本地OCSP請求隊列中形成所述目標(biāo)客戶端的查詢請求后，使所述目標(biāo)客戶端與所述網(wǎng)絡(luò)設(shè)備之間的連接請求校驗通過，并將所述目標(biāo)客戶端的會話標(biāo)記設(shè)置為阻塞標(biāo)記；

其中，所述阻塞標(biāo)記用于阻塞所述網(wǎng)絡(luò)設(shè)備、與所述目標(biāo)客戶端所要訪問的后端服務(wù)器之間的連接。

9.根據(jù)權(quán)利要求8所述的方法，其特征在于，所述方法還包括：

檢測所述目標(biāo)客戶端的會話標(biāo)記；

若所述目標(biāo)客戶端的會話標(biāo)記為所述阻塞標(biāo)記，則不向所述目標(biāo)客戶端所要訪問的后端服務(wù)器發(fā)送連接請求；

若所述目標(biāo)客戶端的會話標(biāo)記表示所述目標(biāo)客戶端的證書狀態(tài)為正常，則向所述目標(biāo)客戶端所訪問的后端服務(wù)器發(fā)送連接請求；

若所述目標(biāo)客戶端的會話標(biāo)記表示所述目標(biāo)客戶端的證書狀態(tài)為吊銷，則使所述網(wǎng)絡(luò)設(shè)備與所述目標(biāo)客戶端斷開連接。