基于CRL的证书撤销模型研究

分析了应用证书撤销列表(CRL)发布公共密钥基础设施(PKI)证书状态信息的传统模型，并提出了两种改善的模型：过量发布CRL模型和分段CRL模型．通过比较，改善后的模型相对于传统模型在一定程度上降低了CRL储存库峰值请求率，缩短了响应时间，使储存库在性能上有很大的提高。     

基于Over-Issued增量CRL发布机制的研究

目前关于公钥基础设施（public key infrastructure）中证书撤销问题的主要解决方案是使用X．509证书撤销列表（CRL）来定期发布证书状态信息;现有的发布机制主要针对提高处理时间,而对存储库性能的优化仍然存在一些问题——CRL存储库峰值负荷过大;通过对增量CRL和Over—Issued CRL模型的分析,给出了一种基于Over—Issued增量CRL机制的证书状态信息发布方法;它结合了上述两种模型的优点,通过改变Over- IssuedCRL发布的时间间隔和增量CRL发布窗口大小,有效降低了存储库峰值负荷。     

公钥基础设施中证书撤销机制的研究与改进

从证书序列号出发,引用位标识指针将证书序列号缩减,以减少证书撤销列表（Certificate Revocation List,CRL）所需空间,提高CRL的查询速度,并成功构造了一棵新型撤销证书查询树。该树既继承了证书撤销树（Certificate Revocation Tree,CRT)证明一个证书的状态(是否被吊销)不需要整个CRT,而只与其中部分相关路径有关的优点,又克服了CRT在更新时几乎需要对整个树重新计算的缺点。该树在更新时仅需计算相关部分路径的数值,加速了撤销树的更新速度。     

分段CRL的一种改进方案

证书撤销列表（CRL）是公开密钥基础设施中应用最为广泛的一种证书撤销机制。通过对基本CRL及分段CRL的分析,在分段CPL的基础上,提出了二次分段CRL。对于分段CRL中的尺寸越来越大以至于影响性能的分段,二次分段CRL根据不同于第一次的分段标准对其进行再次分段,改善了分段CRL中由于证书分类不平衡导致的性能下降问题,同时采用将各分段错开更新的方案,降低了CRL的峰值请求率。二次分段CRL由于通信量小,峰值请求率低,可扩展性好,适合于大规模的PKI系统。     

基于CRL的证书状态信息发布机制的研究

随着数字证书不断的被接受和使用，人们从中获得了更大的动力寻找各种方法来撤销已停止使用的数字证书，并及时通知终端用户，避免他们使用已被撤销的证书。证书撤销的问题在广域网的PKI产品开发中愈加显得关键。文中阐述了证书撤销的需求与重要性，分析了目前被采用的各种基于CRL的证书状态信息发布机制，并着重讨论了MYPKI中Delta CRL的实现。     

PKI证书的撤销与验证

随着电子商务公司越来越多地使用数字证书 (由认证中心签发的电子身份证 )来保证在线交易的安全性 ,这一行为引发了对另一种安全性的需要 ,即对数字证书的有效性进行验证。因此 ,CA认证的一个重要操作就是验证用户的证书是否被撤销或者挂起。证书的撤销采用证书撤销列表 ,而用于验证证书状态的机制一般使用轻型目录存取协议或者在线证书状态协议。简要介绍了证书撤销列表以及基于轻型目录存取协议的目录服务机制 ,而重点讨论了基于在线证书状态协议的目录服务 ,并例举了一个在线证书状态协议的实际应用。     

一种分布式的分段增量CRL机制

在分析分段增量CRL证书撤销机制的基础上,针对网络稳定性差、带宽有限的环境,提出了一种分布式的分段增量CRL机制。新机制能有效降低信任实体对CRL库的请求率、分散网络中CRL传输的数据流、保证用户及时获取最新的证书撤销信息,并且实现容易。     

对增量CRL应用的一些研究

本文对PKIX依从系统中增量CRLs的应用进行了一些研究，包括：增量CRL的时间跨度对性能的影响及其最优选择；基于完全CRL与增量CRL检查证书状态以及构造新的完全CRL的算法。     

CRL增量-过量发布综合模型研究

针对当前PKI应用规模的变化,提出了一种新模型：增量-过量发布综合模型。该模型采用将Delta-CRLs的Base CRL过量发布来实现。通过比较表明,该方式既可以减小信任方下载的CRL大小,改善了响应时间,减少时间碎片;又可以降低对Base CRL峰值请求率,从而降低对存储库的峰值带宽和平均负荷。文中同时指出,增量．过量发布综合模型优于传统模型和增量模型,但其发布性能依赖于PKI系统的证书有效期、证书吊销率、Delta CRL的颁发周期和时间跨度。Delta CRL的颁发周期越长,时间跨度越大,证书吊销率越高,证书有效期越短,过量发布Base CRL所带来的性能优化就越小。因此,增量-过量模型适合于在Delta CRL的颁发周期和时间跨度较短、证书吊销率不高、证书有效期较长的大型PKI系统中。     

证书撤销机制的分析与设计

证书撤销管理是大规模公钥基础设施PKI中十分重要且耗费最多的操作。分析了在PKI实施中应用的证书撤销机制,比较了证书撤销列表CRL、增量CRL、分段CRL与重复颁发CRL在峰值请求大小、网络带宽影响、用户查询代价等方面的性能,指出了各种机制的优缺点,最后对不同PKI规模中的证书撤销系统进行了设计和性能分析。     

CRL的一种改进方案

提出了一种改进的CRL方案,通过对CRL结构的改进,大大减少了证书用户查找撤销证书的时间。方案使用的基于排序的折半查找算法比较成熟,整体方案易于实现。     

一种基于分段的CRL改进方案

分析了有序顺序表和二叉排序树表的证书撤销列表方案的不足,提出了一种基于分段的证书撤销列表CRL（Certificate Revocation List）改进方案,给出了按撤销证书到期的时间间隔的分段策略,并对CRL结构进行了改进。通过分析表明,缩短了证书用户查找撤销证书的平均搜索长度,在CRL更新时,不但减少了其它已撤销证书的移动次数,而且还减少了CA对CRL重新签名的计算量。     

基于P2P网络的Over-Issued CRL机制研究

目前关于公钥基础设施（public key infrastructure）中证书撤销问题的主要解决方案是使用X.509证书撤销列表（Certificate Revocation List）来定期发布证书状态信息。现有的发布机制存在CRL存储库峰值负荷过重,导致PKI部署成本过高的问题。通过对Over-Issued CRL模型和P2P技术的分析,给出一种基于P2P网络和Over-Issued CRL发布机制,它结合了上述两种技术的优点,有效降低了CRL存储库峰值负荷。     

证书撤销机制的分析与研究

数字证书是实现电子政务和电子商务中实体的信任及信任验证的关键元素.CA实际可能会根据不同的情况而导致证书的意外作废或撤销,那么应使要使用证书的用户尽可能获知最新的证书情况,这对于实现PKI系统的可信性至关重要.通过分析国内外通常采用的CRL和OCSP这两种基本的证书撤销、查询方法,总结了它们的优缺点以及在实际应用过程中遇到的难点.最后提出了相应的改进措施,使用户能及时获得最新的证书状况,为电子政务和电子商务提供更可靠的安全性.     

基于P2P技术的分布式PKI证书撤销列表发布

大规模PKI（Public Key Infrastructure）的核心在于数字证书的发放和管理,目前,PKI的管理机构一般采用证书撤消列表（Certificate Revocation List,简称CRL）的方式管理失效证书,但这些发布机制都不能有效地减低服务器端证书存储库的负荷。因此,在P2P技术的基础上,提出了一种分布式的CRL发布机制,该策略不仅在服务器端降低了峰值请求率,而且发挥了P2P网络中资源的版本越多越有利于资源的发现和共享的优点。     

一种新型的证书撤销列表

对证书撤销机制进行了研究。指出基于有序顺序表的证书撤销列表方案的不足,提出一种基于二叉排序树的CRL方案。通过分析表明,该方案与传统CRL相比,能够减少证书用户查找撤销证书的平均查询次数,克服了顺序CRL在更新时移动记录的缺点,优化了系统性能,且方案易于实现。     

一种改进的OCSP证书撤销方案

在WPKI中,无线终端设备必须验证服务器证书是否己经撤销.撤销验证是一个复杂的处理过程,因此要选择一个代价较小、简单可靠、适合无线环境的撤销验证方案.在已有的OCSP(On-line Certificate Status Protocol)方案基础上提出一种新的方案,称之为改进的OCSP方案.它是对OCSP协议的改进,能够用较小的代价获得证书的实时状态.给出了这种方案的详细设计,并和其他方案进行了比较.     

基于局部签名Hash表的证书撤销列表方案

在大规模应用环境中,不合理的证书撤销方案会带来巨大的运算量和网络传输负担。该文分析几类主要的证书撤销列表（CRL）机制,提出PSHT—CRL方案,综合分段CRL、重定向CRL和重复颁发CRL方案的特点,采用Hash表、局部签名和链接等方法,在确保安全性的基础上,提高用户查询和证书更新时的效率,以解决其他证书撤销方案中遇到的问题。对PSHT-CRL方案的安全性和效率进行分析,与其他CRL方案作了比较。     

基于排队模型的证书撤销机制分析

证书撤销机制是影响PKI服务可靠度的关键技术之一。根据撤销机制是否含有CRL服务器建立了两个基于排队论的数学模型,指出在较大规模下应用短周期证书策略是不合适的,并对分段CRL的优越性给出理论证明,最后,结合模型导出参数对实际应用中缓冲器容量的选取进行定性分析。     

无线PKI中证书状态查询机制研究与实现

无线PKI技术在移动电子商务中扮演着重要角色,而证书状态查询机制是其关键部件.对无线PKI中的3种常见的证书状态查询机制进行了分析和比较;OCSP协议能够提供实时的证书状态查询服务,但由于无线PKI的特殊限制,并不能直接应用于无线PKI环境中.在充分考虑无线PKI特殊的限制条件基础上,给出了一种基于OCSP协议的适合无线PKI环境的证书状态查询设计方案;详细描述了该设计在具体实现中需要特别注意的几项关键技术,以提高系统的性能和安全性.