一种高效实用的证书验证机制的研究

在公钥基础设施当中,数字证书有可能在没有到期就要撤销它.PKI主要提供了两种证书撤销方法,就是周期性发布的证书撤销列表CRL和在线证书状态协议OCSP.详细地分析了CRL和OCSP两种证书撤销机制的优点和局限性,结合两者各自的优点,提出了一个高效实用的证书验证机制.给出了该机制的工作原理,并详细地介绍了的实现方法.     

基于NTRUSign的新型公钥基础设施的设计*

为了提高可信第三方证书授权中心(Certificate Authority, CA)对数字证书的管理效率,提出了一种基于NTRUSign签名算法的多证书公钥基础设施(Multi-Certificate Public Key Infrastructure, MCPKI)。对证书中所使用NTRUSign签名算法公钥的部分系数进行哈希运算,并在此基础上补全剩余系数得到一个新的公钥,然后依次循环此操作,将这些公钥对应的证书形成证书链,并将证书链应用到MCPKI场景中。该方案的提出为CA在数字证书的管理问题上提供了一种新思路,用户只需向CA申请一次,便可拥有证书链上的全部证书。与传统的公钥基础设施(Public Key Infrastructure, PKI)相比,MCPKI实现了CA对证书更加高效的管理。在MCPKI中,不仅可以自发的进行证书替换,而且实现了证书的自签发与自撤销。     

基于带权跳表的证书废除机制CRPSL

在目前已经提出的证书废除机制中,由于未考虑证书查询概率之间的差异,限制了算法的性能。基于带权跳表的证书废除机制(CRPSL)根据证书查询频度动态调整证书废除字典的存储结构,使查询频度高的证书查询路径缩短,查询速度加快。测试结果表明,CRPSL的插入、删除及查询性能均比CRL及2-3CRT高,较好地适合了证书查询的实际情况。     

Exploiting the European Union trusted service status list for certificate validation in STORK: design,implementation, and lessons learnt

Since December 2009, the European Union Trusted Service Status Lists (TSLs) have been specified and adopted across European Union countries in order to enable the verification of digital signatures with legal values. This paper deals with the exploitation of TSLs in real digital services, other than electronic signatures, that is for certificate validation service. In particular, we used such lists in the service provided by the pan‐European Secure identTities acRoss boRders linKed identity management infrastructure in order to validate X.509 public key certificates. In addition, we propose an XML data structure to be used in conjunction with a TSL, in the form of a Trust Service Association (TrSA) file, to hold trust relationships between different services in a TSL. The TrSA file in conjunction with the TSLs may be used directly by the service providers or users to validate certificates. For the generation of the TSLs, we propose also a tool for automatic generation of the TSLs, named TSLGenerator. Copyright © 2014 John Wiley & Sons, Ltd.     

一种集成化的PKI数字证书验证安全增强方案

近年来,PKI数字证书服务出现了多次安全事件：CA机构由于攻击等原因签发虚假的TLS服务器数字证书,将攻击者的公钥绑定在被攻击网站的域名上。因此,研究人员提出了多种PKI数字证书验证安全增强方案,用于消除虚假数字证书的影响,现有各种方案在安全性和效率上各有优劣。提出了一种集成化的PKI数字证书验证安全增强方案,以Pinning方案为基础,利用其他方案来改进Pinning方案的缺陷。当浏览器面临TLS服务器数字证书的三种Pinning方案不同状态（初始化、正常使用、更新）,兼顾安全性和执行效率、分别综合使用不同的安全增强方案,整体上达到了最优的安全性和执行效率。完成的集成化PKI数字证书验证安全增强方案能够有效解决虚假数字证书的攻击威胁。     

资源公钥基础设施数据同步的改进方法研究

资源公钥基础设施(RPKI)依赖方需定期从资料库系统同步数据进行信息验证.为了完成数据同步,当前主流的方式是采用Rsync和RRDP两种技术,但各自存在着相关问题.针对上述问题,通过分析研究依赖方从资料库同步数据的方式,建立了数学模型,并根据两种技术各自面临的相关问题,提出了一种改进的RPKI数据同步方法,分析了传统数...