一种高效实用的证书验证机制的研究

在公钥基础设施当中,数字证书有可能在没有到期就要撤销它.PKI主要提供了两种证书撤销方法,就是周期性发布的证书撤销列表CRL和在线证书状态协议OCSP.详细地分析了CRL和OCSP两种证书撤销机制的优点和局限性,结合两者各自的优点,提出了一个高效实用的证书验证机制.给出了该机制的工作原理,并详细地介绍了的实现方法.     

CRL增量-过量发布综合模型研究

针对当前PKI应用规模的变化,提出了一种新模型：增量-过量发布综合模型。该模型采用将Delta-CRLs的Base CRL过量发布来实现。通过比较表明,该方式既可以减小信任方下载的CRL大小,改善了响应时间,减少时间碎片;又可以降低对Base CRL峰值请求率,从而降低对存储库的峰值带宽和平均负荷。文中同时指出,增量．过量发布综合模型优于传统模型和增量模型,但其发布性能依赖于PKI系统的证书有效期、证书吊销率、Delta CRL的颁发周期和时间跨度。Delta CRL的颁发周期越长,时间跨度越大,证书吊销率越高,证书有效期越短,过量发布Base CRL所带来的性能优化就越小。因此,增量-过量模型适合于在Delta CRL的颁发周期和时间跨度较短、证书吊销率不高、证书有效期较长的大型PKI系统中。     

基于Over-Issued增量CRL发布机制的研究

目前关于公钥基础设施（public key infrastructure）中证书撤销问题的主要解决方案是使用X．509证书撤销列表（CRL）来定期发布证书状态信息;现有的发布机制主要针对提高处理时间,而对存储库性能的优化仍然存在一些问题——CRL存储库峰值负荷过大;通过对增量CRL和Over—Issued CRL模型的分析,给出了一种基于Over—Issued增量CRL机制的证书状态信息发布方法;它结合了上述两种模型的优点,通过改变Over- IssuedCRL发布的时间间隔和增量CRL发布窗口大小,有效降低了存储库峰值负荷。     

一种离线模式下CRL机制的改进方案

本文分析了几种主要的CRL机制及OCSP协议,并提出了一种离线模式下CRL机制的改进方案——基于P2P分布式CRL列表的证书撤消系统,此系统利用CRL发布点技术与重叠发布增量CRL机制相结合的理念,在数据源上对传统CRL列表发布机制进行了改进。在机制中运用P2P技术实现了CRL资源的共享,并将传统的CRL发布的C/S体系结构改进成分散化的P2P结构,使整个网络的信息流量分散化,这不仅降低了系统负荷而且还发挥了对等网中资源版本越多越有利于资源的发现和共享的特点,提高了用户查询CRL列表的及时性,加强了CRL列表的离线性能。经实践证明,方案具有较好的可行性。     

PKI中增量CRL证书撤销机制的改进

公开密钥基础设施是网络安全建设的基础与核心,CRL技术在其中起重要作用,增量CRL机制在发布频率、时延性、风险性等方面有优势,但也有一些缺陷.本文提出了一种改进增量CRL机制,可有效降低下载量、减小峰值请求率.     

一种分布式的分段增量CRL机制

在分析分段增量CRL证书撤销机制的基础上,针对网络稳定性差、带宽有限的环境,提出了一种分布式的分段增量CRL机制。新机制能有效降低信任实体对CRL库的请求率、分散网络中CRL传输的数据流、保证用户及时获取最新的证书撤销信息,并且实现容易。     

基于CRL的证书撤销模型研究

分析了应用证书撤销列表(CRL)发布公共密钥基础设施(PKI)证书状态信息的传统模型，并提出了两种改善的模型：过量发布CRL模型和分段CRL模型．通过比较，改善后的模型相对于传统模型在一定程度上降低了CRL储存库峰值请求率，缩短了响应时间，使储存库在性能上有很大的提高。     

基于P2P网络的Over-Issued CRL机制研究

目前关于公钥基础设施（public key infrastructure）中证书撤销问题的主要解决方案是使用X.509证书撤销列表（Certificate Revocation List）来定期发布证书状态信息。现有的发布机制存在CRL存储库峰值负荷过重,导致PKI部署成本过高的问题。通过对Over-Issued CRL模型和P2P技术的分析,给出一种基于P2P网络和Over-Issued CRL发布机制,它结合了上述两种技术的优点,有效降低了CRL存储库峰值负荷。     

基于P2P技术的安全凭证回收方法

安全凭证回收的实现是公钥基础设施(PKI)所面临的一个主要的问题。许多种回收策略已经被提出,CRL是其中最简单,最容易实现的方法。但是如何有效地分布已经回收的安全凭证信息是这种方法所面临的一个挑战。论文提出利用P2P技术组织终端实体,并利用bloomfilter压缩向量代表安全凭证回收链CRL。通过实体间的协作和bloomfilter的压缩功能减少REPOSITORY和网络的负担。此外,为了有效地向终端实体发布CRL的bloomfilter压缩向量,提出一种高效的广播算法,在最小的TTL内尽量将向量广播到每一个节点。论文最后进行了模拟试验,实验证明提出的解决方案是有效的。     

一种基于P2P共享下载模式的证书撤销机制

基于增量CRL证书撤销机制,提出了基于P2P共享下载模式的证书撤销机制。在Delta-CRL的发布周期内,CA发布Base-CRL和Delta-CRL,用户除初始化外,其他时刻只需下载Delta-CRL即可。当用户提出请求,通过洪泛机制查询相应节点和资源的信誉度记录,找到最优记录节点,建立P2P连接。然后,将下载的CRL模块在客户端重构以获得完整的CRL。与其他CRL相比,该方法能够有效减少CRL的下载尺寸,真正降低通信载荷以及系统的峰值请求率,提供更为及时的证书撤销信息。     

OCSP证书状态查询机制与实现

证书状态查询是公钥基础设施中最重要的问题之一,OCSP是解决这个问题的一种重要机制。文章分析了CRL协议、OCSP协议、状态缓存、线程池、预签名,设计了一种OCSP服务器的实现方法,详细描述了该设计在具体实现中需要特别注意的几项关键技术,以提高系统的性能和稳定性。     

基于单向哈希函数的证书撤销机制

证书撤销是公钥基础设施PKI(Public Key Infrastructure)研究和应用的难点问题.首先讨论了当前应用最广泛的两类证书撤销机制:证书撤销列表CRL(Certificate Revocation List)和在线证书状态协议OCSP(0nline Certificate Status Protoco1),剖析了这两种机制各自存在的不足.在此基础上,提出了一种基于单向哈希函数的证书撤销机制.     

基于单向散列链的公钥证书撤销机制

证书撤销是公钥基础设施（PKI，Public Key Infrastructure）研究和应用的难点问题．本文首先讨论了当前应用最广泛的两类证书撤销机制一证书撤销列表（CRL，Certificate Revocation List）和在线证书状态罅议（OCSP，Online Certificate Status Protocol），剖析了这两种机制各自存在自的不足．在此基础上，提出了一种基于单向散列链的证书撤销机制．     

基于视频监控的人脸检测跟踪识别系统研究

设计了一种基于视频监控的人脸检测跟踪识别系统,该系统的功能是检测并实时跟踪视频中的人脸图像,同时进行身份识别。针对Gentle AdaBoost算法构造的级联分类器检测效率偏低的问题,提出了一种递进复杂度的级联分类器。针对传统粒子滤波器最高权重粒子不准确的问题,提出了均值权重粒子滤波器。针对传统粒子滤波器样本衰退的问题,提出了一种同时结合人脸检测和人脸跟踪算法的跟踪校正策略。对于检测和跟踪到的人脸,利用基于Gabor变换和HMM的方法进行身份识别。实验结果表明,系统能够准确地检测并实时跟踪视频中的人脸,可以实现人脸的快速识别,是一种能够应用到视频监控系统中的有效方法。     

基于改进型OCSP的交叉认证方案

针对在线证书状态协议（OCSP）存在的安全、证书信息源及响应器寻址等问题,提出一种改进型OCSP协议以及一个用于交叉认证系统的设计方案。该方案提高了响应器的性能,在检测证书状态的同时还可建立证书路径并验证其是否有效,避免了因信任域结构不同产生的构建证书路径难的问题。     

一种新的证书撤销列表发布方案设计

对现有公钥基础设施的证书撤销列表发布方式进行了改进,通过引入多层次主从目录服务器结构,降低了CRL发布时的访问峰值;采用链表与哈希相结合的方式进行增量存储,减小了CRL发布的尺寸,能够减少通信量并降低网络延迟,从而提高了查询效率.     

在线证书状态协议与状态机关

讨论了在线证书状态协议（OCSP）,首次提出了状态机关（SA）的概念,并根据OCSP协议定义的HTTP模式,衍生出能与其它任何应用程序结合的TCP模式,定义了它的通用访问接口,而且将之加入到安全中间件国家标准草案中,最后,设计了基于消息中间件的推送SA结构,解决了SA的吞吐量问题,给出了实际环境下SA请求的测试数据,并讨论了它的开销成本.     

基于OCSP中间件的PKI/PMI时钟同步

PKI/PMI体系如果缺乏规范的时钟机制可能产生时钟不同步现象,因此,在可用性和安全性方面存在隐患。该文通过对在线证书状态协议(OCSP)及PMI认证特性的分析,提出一种基于OCSP中间件的时钟同步技术。应用该技术构建的身份认证与访问控制系统可以消除上述隐患,不会明显加重系统负担,或引入额外风险,适用于多数一般性的数字证书应用。