一种高效实用的证书验证机制的研究

在公钥基础设施当中,数字证书有可能在没有到期就要撤销它.PKI主要提供了两种证书撤销方法,就是周期性发布的证书撤销列表CRL和在线证书状态协议OCSP.详细地分析了CRL和OCSP两种证书撤销机制的优点和局限性,结合两者各自的优点,提出了一个高效实用的证书验证机制.给出了该机制的工作原理,并详细地介绍了的实现方法.     

基于OCSP方式的证书撤销策略

阐述了在线证书状态协议(OCSP)方式的证书撤销机制的原理,针对单服务员模式建立了一个策略评估模型。该模型基于排队理论对系统机制进行了简化和抽象,通过该模型对OCSP方式的证书撤销策略进行评价,结合模型对影响系统的排队时间、网络带宽、验证速度等相关参数进行了讨论,分析了机制中的多服务员模型。     

基于单向哈希函数的证书撤销机制

证书撤销是公钥基础设施PKI(Public Key Infrastructure)研究和应用的难点问题.首先讨论了当前应用最广泛的两类证书撤销机制:证书撤销列表CRL(Certificate Revocation List)和在线证书状态协议OCSP(0nline Certificate Status Protoco1),剖析了这两种机制各自存在的不足.在此基础上,提出了一种基于单向哈希函数的证书撤销机制.     

基于短消息的数字证书状态发布系统的研究

在任何一个基于公钥基础设施的安全应用系统中,数字证书的验证对保证系统的安全具有至关重要的作用。简要描述了因特网中通过OCSP进行在线证书状态查询的方法,说明了目前加密手机无法像因特网一样进行在线数字证书状态查询的原因,提出了一种基于短消息的数字证书撤销状态发布方案,有效地解决了无线环境中的数字证书状态验证问题,提高了加密手机的安全水平。     

轻量级目录访问协议在证书库中的应用

轻量级目录访问协议(LDAP)是互联网中的一门新技术,目录服务作为数字证书系统、统一认证和授权管理系统的核心基础设施,为公钥数字证书和公钥属性证书提供查询、证书废止列表查询.探讨了LDAP目录服务PKI/PMI中的应用方案,着重论述了如何建立证书库的应用.     

基于P2P的数字证书撤销列表更新方案及性能分析

针对数字证书撤销列表更新中大量结点同时请求数据造成的系统性能瓶颈,本文提出了基于P2P的数字证书撤销列表更新方案,利用客户结点的资源改善证书撤销列表的更新性能;以数字校园应用为背景建立了分析模型,对所提方案进行了分析比较。     

基于AMQP消息中间件的主动状态证书撤销机制实现

主动状态证书撤销机制是一种新的证书撤销验证机制,如何实现该机制还未见具体的案例。在分析高级消息队列协议(AMQP)的基础上,结合主动状态证书的订阅/发布要求,设计了一种基于AMQP消息中间件的主动状态证书发布与订阅模型。通过实验分析表明,该消息中间件系统应用灵活,系统性能高效、稳定。     

基于LDAP的XKMS服务的研究与实现

介绍了XKMS规范,给出了一个基于LDAP目录服务的XKMS服务的实现过程。通过改进证书撤销状态验证机制以及对LDAP目录结构和数据连接的优化来更好地支持XKMS服务。实现的XKMS服务可以为基于XML数字签名或XML加密标准的应用程序提供良好的密钥/证书服务。     

基于单向散列链的公钥证书撤销机制

证书撤销是公钥基础设施（PKI，Public Key Infrastructure）研究和应用的难点问题．本文首先讨论了当前应用最广泛的两类证书撤销机制一证书撤销列表（CRL，Certificate Revocation List）和在线证书状态罅议（OCSP，Online Certificate Status Protocol），剖析了这两种机制各自存在自的不足．在此基础上，提出了一种基于单向散列链的证书撤销机制．     

基于CRL的证书状态信息发布机制的研究

随着数字证书不断的被接受和使用，人们从中获得了更大的动力寻找各种方法来撤销已停止使用的数字证书，并及时通知终端用户，避免他们使用已被撤销的证书。证书撤销的问题在广域网的PKI产品开发中愈加显得关键。文中阐述了证书撤销的需求与重要性，分析了目前被采用的各种基于CRL的证书状态信息发布机制，并着重讨论了MYPKI中Delta CRL的实现。     

基于改进型OCSP的交叉认证方案

针对在线证书状态协议（OCSP）存在的安全、证书信息源及响应器寻址等问题,提出一种改进型OCSP协议以及一个用于交叉认证系统的设计方案。该方案提高了响应器的性能,在检测证书状态的同时还可建立证书路径并验证其是否有效,避免了因信任域结构不同产生的构建证书路径难的问题。     

LDAP研究及其在CA中的应用

首先介绍了轻量型目录服务在网络中的重要意义，分析了它的特点、基本原理和体系结构；在此基础上阐明了认证中心（CA）需要轻型的目录访问协议（LDAP）的原因，设计了它的一般结构和工作流，说明了如何组织证书条目；最后针对分布式LDAP提出了一种搜索算法，并将其应用到层次式CA体系中，从而实现了证书的自动透明高效搜索。     

关于OCSP应用模式的注记

文献《在线证书状态协议的改进及应用》提出了一个基于OCSP(Online Certificate Status Protocol,在线证书状态协议)查询的数字签名验证应用方案,这个方案的安全性与可行性是值得商榷的。该文给出了一种攻击方法,并分析了其中的几个问题及问题产生的根源;最后给出了一种解决方案。     

OCSP协议的改进和实现

对标准在线证书状态协议(OCSP)进行分析,发现该标准协议存在一定的局限性。在此基础上对其进行改进,改进型OCSP响应包括基本类型OCSP回复和A类型OCSP回复。改进型OCSP响应器采用预签名技术,能提高性能且有效抵御重传攻击。对该响应器进行效率和安全性分析。实验结果表明,改进后的响应器的平均响应时间减少27%,提高了响应器的响应速度。     

电子商务平台认证中心的研究与设计

CA认证系统是PKI的核心组成部分,它负责为PKI中的实体颁发公钥证书。公钥证书是将实体的身份和公开密钥绑定在一起的一种数据结构,数字证书是整个PKI的核心技术,管理证书的证书系统就成为PKI的核心部分。     

Using OGRO and CertiVeR to improve OCSP validation for Grids

Authentication and authorization in many distributed systems rely on the use of cryptographic credentials that in most of the cases have a defined lifetime. This feature mandates the use of mechanisms able to determine whether a particular credential can be trusted at a given moment. This process is commonly named validation. Among available validation mechanisms, the Online Certificate Status Protocol (OCSP) stands out due to its ability to carry near real time certificate status information. Despite its importance for security, OCSP faces considerable challenges in the computational Grid (i.e. Proxy Certificate’s validation) that are being studied at the Global Grid Forum’s CA Operations Work Group (CAOPS-WG). As members of this group, we have implemented an OCSP validation infrastructure for the Globus Toolkit 4, composed of the CertiVeR Validation Service and our Open GRid Ocsp (OGRO) client library, which introduced the Grid Validation Policy. This paper summarizes our experiences on that work and the results obtained up to now. Furthermore we introduce the prevalidation concept, a mechanism analogous to the Authorization Push-Model, capable of improving OCSP validation performance in Grids. This paper also reports the results obtained with OGRO’s prevalidation rules for Grid Services as a proof of concept.

基于windows2k PKI的企业CA的实现

Windows 2000的发布使开发中小企业的CA成为可能。CA在基于PKI的电子商务安全应用中起者核心的作用。文章详细地介绍了 PKI的结构和组成,深入地分析了Windows2000 PKI的结构和其认证服务。最后给出了如何在win2k PKI和其中的认证服务框架下,定制企业独立CA认证中心的技术方法,即如何编写用户的策略模块,并且给出了采用了Visual Basic 6.0具体实现。     

ℋ-OCSP: A protocol to reduce the processing burden in online certificate status validation

Public-key cryptography is widely used as the underlying mechanism for securing many protocols and applications in the Internet. A Public Key Infrastructure (PKI) is required to securely deliver public-keys to widely-distributed users or systems. The public key is usually made public by means of a digital document called certificate. Certificates are valid during a certain period of time; however, there are circumstances under which the validity of a certificate must be terminated sooner than assigned and thus, the certificate needs to be revoked. The Online Certificate Status Protocol (OCSP) is one of the most used protocols for retrieving certificate status information from the PKI. However, the OCSP protocol requires online signatures, which is a costly operation. In this article, we present an improvement over OCSP based on hash chains that reduces the processing burden in the server which in turn provides an additional protection against attacks based on flooding of queries.