基于AVL搜索树的证书吊销系统

针对公钥基础设施中的证书吊销问题,提出一种基于AVL。搜索树的解决方案,该方案在查询与更新时的最大时间复杂度始终保持在O（lbn）量级。实验结果表明,该方案是有效的,且对工程实现具有一定指导意义。     

公钥基础设施中证书撤销机制的研究与改进

从证书序列号出发,引用位标识指针将证书序列号缩减,以减少证书撤销列表（Certificate Revocation List,CRL）所需空间,提高CRL的查询速度,并成功构造了一棵新型撤销证书查询树。该树既继承了证书撤销树（Certificate Revocation Tree,CRT)证明一个证书的状态(是否被吊销)不需要整个CRT,而只与其中部分相关路径有关的优点,又克服了CRT在更新时几乎需要对整个树重新计算的缺点。该树在更新时仅需计算相关部分路径的数值,加速了撤销树的更新速度。     

一种新型的证书撤销列表

对证书撤销机制进行了研究。指出基于有序顺序表的证书撤销列表方案的不足，提出一种基于二叉排序树的CRL方案。通过分析表明，该方案与传统CRL相比，能够减少证书用户查找撤销证书的平均查询次数，克服了顺序CRL在更新时移动记录的缺点，优化了系统性能，且方案易于实现。     

基于平衡二叉排序Hash树的证书撤销方案研究

分析了公钥基础设施PKI(Public Key Infrastructure)中公钥证书撤销的主要方法.提出了证书撤销平衡二叉排序Hash树的解决方案,从而克服了证书撤销树CRT(certification revocation tree)在更新时需要对整个树重新构造的缺点,新方案在更新时只需计算相关部分路径上的Hash值,缩短了平均查找路径长度,减小了目录服务器对提出证书查询成员的响应时间,减少了证书有效性验证的计算量.     

证书吊销的线索二叉排序Hash树解决方案

提出了公钥基础设施(publickeyinfrastructure,简称PKI)中证书吊销问题的一个新的解决方案--线索二叉排序Hash树(certificaterevocationthreadedbinarysortedhashtree,简称CRTBSHT)解决方案.目前关于证书吊销问题的主要解决方案有X.509证书系统的证书吊销列表(certificaterevocationlist,简称CRL)、Micali的证书吊销系统(certificaterevocationsystem,简称CRS)、Kocher的证书吊销树(certificaterevocationtree,简称CRT)及Naor-Nissm的2-3证书吊销树(2-3CRT),这些方案均不完善.在CRT系统思想的基础上,利用线索化二叉排序树及Hash树给出的新方案,既继承了CRT证明一个证书的状态(是否被吊销)不需要整个线索二叉树,而只与其中部分相关路径有关的优点,又克服了CRT在更新时几乎需要对整个树重新构造的缺点,新方案在更新时仅需计算相关部分路径的数值.新方案对工程实现具有一定的参考价值.     

一种基于分段的CRL改进方案

分析了有序顺序表和二叉排序树表的证书撤销列表方案的不足,提出了一种基于分段的证书撤销列表CRL（Certificate Revocation List）改进方案,给出了按撤销证书到期的时间间隔的分段策略,并对CRL结构进行了改进。通过分析表明,缩短了证书用户查找撤销证书的平均搜索长度,在CRL更新时,不但减少了其它已撤销证书的移动次数,而且还减少了CA对CRL重新签名的计算量。     

基于哈夫曼树的无证书公钥广播加密方案

现有的无证书广播加密方案是向用户传输相同的信息量,没有权限的概念。基于哈夫曼树,引入权值,提出了一种新的无证书公钥广播加密方案,实现了对不同权限的用户传输不同的信息量。与已有的广播方案相比,该方案平均计算密钥量少,降低了通信开销,灵活性更高。     

对2-3树证书撤销方法的改进

2-3树的证书撤销方法在通信和计算开销上有很多优点,随着节点的增加,该方法也有一些不足,如调整树的计算开销就很高。用证书的生效时间计算出证书的剩余有效期,此时撤销证书集进行划分,每个子集建立一棵2-3树。我们称之为剩余有效期游标树,它降低了原来的树高。此外,对于撤销证书集里过期的证书,认证机构和目录不必进行删除操作,减小了通信和计算开销。     

接近最优高度的二分搜索树

本文研究对称二分Ｂ树（Ｓｙｍｍｅｔｒｉｃ Ｂｉｎａｒｙ Ｂ－ｔｒｅｅｓ）的一种拓广形式，即ＳＢＢ（Ｋ）树。这种树结构高度仅为［（１＋１／Ｋ）ｌｏｇ（ｎ＋１）］，通过改变Ｋ值，树重构平均代价为Ｏ（ｏｌｇｎ），维护算法在最坏情况时仅耗费常数代价。     

基于局部签名Hash表的证书撤销列表方案

在大规模应用环境中,不合理的证书撤销方案会带来巨大的运算量和网络传输负担。该文分析几类主要的证书撤销列表（CRL）机制,提出PSHT—CRL方案,综合分段CRL、重定向CRL和重复颁发CRL方案的特点,采用Hash表、局部签名和链接等方法,在确保安全性的基础上,提高用户查询和证书更新时的效率,以解决其他证书撤销方案中遇到的问题。对PSHT-CRL方案的安全性和效率进行分析,与其他CRL方案作了比较。     

基于改进型OCSP的交叉认证方案

针对在线证书状态协议（OCSP）存在的安全、证书信息源及响应器寻址等问题,提出一种改进型OCSP协议以及一个用于交叉认证系统的设计方案。该方案提高了响应器的性能,在检测证书状态的同时还可建立证书路径并验证其是否有效,避免了因信任域结构不同产生的构建证书路径难的问题。     

一种改进的PMI属性证书撤销方案

在PMI授权管理体系中，有关属性证书的维护是其中重要的组成部分，尤其在用户角色相对固定的大规模应用环境中不合理的证书撤销管理将会带来巨大的运算或网络传输负担。并且证书撤销列表的发布是由属性权威(AA)生成，然后交由一个公开目录对外发布。由于公开的目录不能够保证是安全可靠的，在撤销列表的发布中不能假设发布机构是可以信赖的，因此证书撤销列表也需要AA的签名来保证其真实性。该文提出了一种属性证书撤销列表的维护方案，解决了上述的问题，对方案的有效性、安全性和性能进行了分析。     

一种集成化的PKI数字证书验证安全增强方案

近年来,PKI数字证书服务出现了多次安全事件：CA机构由于攻击等原因签发虚假的TLS服务器数字证书,将攻击者的公钥绑定在被攻击网站的域名上。因此,研究人员提出了多种PKI数字证书验证安全增强方案,用于消除虚假数字证书的影响,现有各种方案在安全性和效率上各有优劣。提出了一种集成化的PKI数字证书验证安全增强方案,以Pinning方案为基础,利用其他方案来改进Pinning方案的缺陷。当浏览器面临TLS服务器数字证书的三种Pinning方案不同状态（初始化、正常使用、更新）,兼顾安全性和执行效率、分别综合使用不同的安全增强方案,整体上达到了最优的安全性和执行效率。完成的集成化PKI数字证书验证安全增强方案能够有效解决虚假数字证书的攻击威胁。     

CRL的一种改进方案

提出了一种改进的CRL方案,通过对CRL结构的改进,大大减少了证书用户查找撤销证书的时间。方案使用的基于排序的折半查找算法比较成熟,整体方案易于实现。     

一种基于概率可靠多播的MANET证书更新协议

完全自组织的密钥管理方案中证书库的更新策略只考虑了负载平衡，证书库更新效率不高。该文提出了一种基于概率可靠多播的证书更新协议。新协议包含两个阶段：更新信息传递和分布式更新服务。第1阶段在本地证书库中选取可靠并且在本地路由表中已具备路由信息的节点进行多播。第2阶段当未接收到更新信息的节点发送更新请求时，由目的节点的证书库中已经获得更新信息的节点来满足请求服务。它利用了现有的路由信息，降低了寻找路由带来的通信开销，通过将服务请求任务分散到网络中的多个节点上减少了证书颁发节点的负载，实现了负载平衡，同时可以预先概率分析其工作效率。     

基于P2P网络的Over-Issued CRL机制研究

目前关于公钥基础设施（public key infrastructure）中证书撤销问题的主要解决方案是使用X.509证书撤销列表（Certificate Revocation List）来定期发布证书状态信息。现有的发布机制存在CRL存储库峰值负荷过重,导致PKI部署成本过高的问题。通过对Over-Issued CRL模型和P2P技术的分析,给出一种基于P2P网络和Over-Issued CRL发布机制,它结合了上述两种技术的优点,有效降低了CRL存储库峰值负荷。