基于改进型OCSP的交叉认证方案

针对在线证书状态协议（OCSP）存在的安全、证书信息源及响应器寻址等问题,提出一种改进型OCSP协议以及一个用于交叉认证系统的设计方案。该方案提高了响应器的性能,在检测证书状态的同时还可建立证书路径并验证其是否有效,避免了因信任域结构不同产生的构建证书路径难的问题。     

基于C++在线证书状态协议的设计与实现

在线证书状态协议是数字认证中的一项很重要的安全策略。本文介绍用C 编写的在线证书协议的结构及流程,并给出了各过程的数据描述。     

PKI证书的撤销与验证

随着电子商务公司越来越多地使用数字证书 (由认证中心签发的电子身份证 )来保证在线交易的安全性 ,这一行为引发了对另一种安全性的需要 ,即对数字证书的有效性进行验证。因此 ,CA认证的一个重要操作就是验证用户的证书是否被撤销或者挂起。证书的撤销采用证书撤销列表 ,而用于验证证书状态的机制一般使用轻型目录存取协议或者在线证书状态协议。简要介绍了证书撤销列表以及基于轻型目录存取协议的目录服务机制 ,而重点讨论了基于在线证书状态协议的目录服务 ,并例举了一个在线证书状态协议的实际应用。     

高性能OCSP系统的设计与实现

在对在线证书状态协议(OCSP)深入分析的基础上,针对目前OCSP协议并没有规定响应器用来检索证书状态的信息源以及大量请求到达OCSP响应器易造成其崩溃等问题,利用CA证书库作为OCSP响应器的信息源并采用Hash表缓存机制、预签名技术和多线程机制,提出了一种高性能OCSP系统的实现方案.该方案极大提高了OCSP响应的正确性和及时性.     

一种高效的无线传输层安全握手协议

现有的无线传输层安全(WTLS)握手协议通信量大,且不能对服务器证书的有效性进行在线验证。针对上述问题,提出一种改进的WTLS协议。在无线通信客户端预存服务器证书,握手过程中以证书的唯一标识检索证书,以降低握手协议的通信载荷。引入可信证书验证代理负责服务器证书的在线验证,并生成证书状态凭据。客户端通过验证该凭据的真实性,实现对服务器证书有效性的在线验证,从而提高协议的安全性。     

GSM 网络环境上椭圆曲线密码系统身份认证协议的研究

提出一种将椭圆曲线密码系统身份认证协议应用GSM网络上进行身份认证的控制方法，采用CA证书机制，应用离线获取证书，在线相互认证提高GSM网络系统安全性，应用无求逆数字签名方案实现CA认证，简化了计算复杂度，并通过通讯双方数字签名实现不可抵赖性，最后给出了协议安全分析，提出的认证协议具有保密性高及传输参数少的优点，较容易在无线移动通讯系统软硬件中实现。     

WPKI中证书撤销验证的代理OCSP方案

在WPKI中,如何在无线终端设备中验证服务器证书是否撤销是一个复杂的问题。对此提出一种新的方案,称之为“代理OCSP方案”。它是对OCSP协议的改进,能够用较小的代价获得证书的实时状态。给出这种方案的详细设计,并和其他方案进行了比较。     

基于单向哈希函数的证书撤销机制

证书撤销是公钥基础设施PKI(Public Key Infrastructure)研究和应用的难点问题.首先讨论了当前应用最广泛的两类证书撤销机制:证书撤销列表CRL(Certificate Revocation List)和在线证书状态协议OCSP(0nline Certificate Status Protoco1),剖析了这两种机制各自存在的不足.在此基础上,提出了一种基于单向哈希函数的证书撤销机制.     

在线证书有效性验证方法研究与改进

针对公安系统对移动警务通在证书状态验证的要求,文章深入分析了传统的证书状态验证协议OCSP,针对协议的查询方法、协议的安全性、可扩展性和可用性进行了研究,并针对传统OCSP协议在证书验证方面的不足提出了解决办法。文章最后提出了一种采用LDAP的元素匹配技术对在线证书进行有效性验证的方法。     

在线证书状态协议的改进及应用

该文在对在线证书状态协议进行详细分析的基础上,对协议进行了改进以提高效率,并对基于该协议的证书应用提出了新的实现模式。     

OCSP协议分析和实现

对在线证书状态协议（OCSP）进行了详细分析，给出了协议有关数据的形式化描述，分析了协议的特点和局限性，并提出了OCSP的实现模式。     

基于单向散列链的公钥证书撤销机制

证书撤销是公钥基础设施（PKI，Public Key Infrastructure）研究和应用的难点问题．本文首先讨论了当前应用最广泛的两类证书撤销机制一证书撤销列表（CRL，Certificate Revocation List）和在线证书状态罅议（OCSP，Online Certificate Status Protocol），剖析了这两种机制各自存在自的不足．在此基础上，提出了一种基于单向散列链的证书撤销机制．     

Windows PKI中黑名单查询模块的集成技术研究

数字证书状态的有效验证对于PKI应用而言是非常重要的。Windows PKI平台中自带的黑名单查询模块在功能上和本地化支持上存在不足，无法满足国内的PKI应用需要。本文分析了Windows PKI平台中的黑名单查询机制，提出了在Windows PKI下集成新的黑名单查询模块的方法，实现了对国内CA系统证书查询验证服务的支持，并可支持在线证书状态的验证（OCSP），新开发的黑名单查询模块能紧密集成到Windows PKI平台中，为基于Windows PKI的应用系统准确验证数字证书的合法性提供透明支持。     

OCSP协议的改进和实现

对标准在线证书状态协议(OCSP)进行分析,发现该标准协议存在一定的局限性。在此基础上对其进行改进,改进型OCSP响应包括基本类型OCSP回复和A类型OCSP回复。改进型OCSP响应器采用预签名技术,能提高性能且有效抵御重传攻击。对该响应器进行效率和安全性分析。实验结果表明,改进后的响应器的平均响应时间减少27%,提高了响应器的响应速度。     

基于短消息的数字证书状态发布系统的研究

在任何一个基于公钥基础设施的安全应用系统中,数字证书的验证对保证系统的安全具有至关重要的作用。简要描述了因特网中通过OCSP进行在线证书状态查询的方法,说明了目前加密手机无法像因特网一样进行在线数字证书状态查询的原因,提出了一种基于短消息的数字证书撤销状态发布方案,有效地解决了无线环境中的数字证书状态验证问题,提高了加密手机的安全水平。     

Tracking adoption of revocation and cryptographic features in X.509 certificates

SSL certificates hold immense importance when it comes to the security of the WebPKI. The trust in these certificates is driven by the strength of their cryptographic attributes and the presence of revocation features. In this paper, we perform a historical measurement study of cryptographic strength and the adoption of revocation mechanisms in the X.509 SSL certificates. In particular, it provides a real-world picture of the adoption of new certificate features and pushing new changes to the WebPKI ecosystem. We analyze the features like Online Certificate Status Protocol (OCSP) Stapling, RSA public key collisions, and the strength of certificate serial numbers. We observe the improvement in the adoption and reliability of these features for 2011–2020. Our analysis helps in identifying weaknesses and negligence in certificate issuance practices of Certificate Authorities such as lack of revocation, weak serial numbers, and issuance of the same public key across different certificates for different entities on the web known as the public key collision problem. Our results show that there is an overall increase of up to 97% in the adoption of OCSP-Stapling and OCSP extensions. Along with this, there are also significant improvements in the certificate serial number length with the top 6 CAs in our dataset issuing the majority of certificates with serial byte count greater than 30. We also discovered 803 public key collision sets in our dataset. To distinguish public key collisions, we provide a working criterion to distinguish permissible, safe collisions from unsafe, risky ones. Analysis of these features holds immense importance as weakness in any of these features could allow an adversary to forge certificate(s) and conduct several attacks examples of which include Flame malware, breach of the DigiNotar and Comodo certificate authorities.