证书撤销机制的分析与设计

证书撤销管理是大规模公钥基础设施PKI中十分重要且耗费最多的操作。分析了在PKI实施中应用的证书撤销机制,比较了证书撤销列表CRL、增量CRL、分段CRL与重复颁发CRL在峰值请求大小、网络带宽影响、用户查询代价等方面的性能,指出了各种机制的优缺点,最后对不同PKI规模中的证书撤销系统进行了设计和性能分析。     

一种新型的证书撤销列表

对证书撤销机制进行了研究。指出基于有序顺序表的证书撤销列表方案的不足,提出一种基于二叉排序树的CRL方案。通过分析表明,该方案与传统CRL相比,能够减少证书用户查找撤销证书的平均查询次数,克服了顺序CRL在更新时移动记录的缺点,优化了系统性能,且方案易于实现。     

公钥基础设施中证书撤销机制的研究与改进

从证书序列号出发,引用位标识指针将证书序列号缩减,以减少证书撤销列表（Certificate Revocation List,CRL）所需空间,提高CRL的查询速度,并成功构造了一棵新型撤销证书查询树。该树既继承了证书撤销树（Certificate Revocation Tree,CRT)证明一个证书的状态(是否被吊销)不需要整个CRT,而只与其中部分相关路径有关的优点,又克服了CRT在更新时几乎需要对整个树重新计算的缺点。该树在更新时仅需计算相关部分路径的数值,加速了撤销树的更新速度。     

IPsec VPN安全网关的认证优化设计与实现

IPsec VPN网关在使用数字证书对IPsec对等实体(远程用户、远程VPN网关)进行身份认证建立安全关联时,存在有效CRL及时性差、IPsec VPN安全网关开销过大和IKE认证时延过长等问题.为解决此类问题,给出了两种设计方案,分别为根据静态固定查询周期和根据自适应算法动态调整查询周期从LDAP服务器上获取CRL.这两种方案能有效平衡网关开销、提高认证速度并能较大提高有效CRL的及时性.     

基于局部签名Hash表的证书撤销列表方案

在大规模应用环境中,不合理的证书撤销方案会带来巨大的运算量和网络传输负担。该文分析几类主要的证书撤销列表（CRL）机制,提出PSHT—CRL方案,综合分段CRL、重定向CRL和重复颁发CRL方案的特点,采用Hash表、局部签名和链接等方法,在确保安全性的基础上,提高用户查询和证书更新时的效率,以解决其他证书撤销方案中遇到的问题。对PSHT-CRL方案的安全性和效率进行分析,与其他CRL方案作了比较。     

一种新的证书撤销列表发布方案设计

对现有公钥基础设施的证书撤销列表发布方式进行了改进,通过引入多层次主从目录服务器结构,降低了CRL发布时的访问峰值;采用链表与哈希相结合的方式进行增量存储,减小了CRL发布的尺寸,能够减少通信量并降低网络延迟,从而提高了查询效率.     

一种基于P2P共享下载模式的证书撤销机制

基于增量CRL证书撤销机制,提出了基于P2P共享下载模式的证书撤销机制。在Delta-CRL的发布周期内,CA发布Base-CRL和Delta-CRL,用户除初始化外,其他时刻只需下载Delta-CRL即可。当用户提出请求,通过洪泛机制查询相应节点和资源的信誉度记录,找到最优记录节点,建立P2P连接。然后,将下载的CRL模块在客户端重构以获得完整的CRL。与其他CRL相比,该方法能够有效减少CRL的下载尺寸,真正降低通信载荷以及系统的峰值请求率,提供更为及时的证书撤销信息。     

入侵容忍技术在Web服务器系统的应用

提出了一个具有入侵容忍特性的Web服务器系统.在系统设计中结合入侵容忍通用模型SITAR,应用了多代理、多样性、冗余等入侵容忍技术,在响应的一致性协商过程中引入分散选举算法和加密技术,提高了运行效率,加强系统的安全性.     

分布式存储方案的设计与研究

针对基于纠删码的分布式存储方法中信息分割算法IDA在运算中涉及构造拆分矩阵,计算开销大,且单纯基于纠删码的方案无法确保所存储数据的完整性、机密性等特性,只能够容忍系统中存在的良性故障,无法容忍入侵者的恶意入侵.提出了分布式系统中一种基于Tomado码的浏览器-服务器工作模式的数据存储方案.在数据写入过程中通过构造编码后数据分块的Hash值级联(即数字指纹),并与每个数据分块一起分布在存储服务器集中的不同服务器中,当需要读出时对分块及数据指纹进行验证,然后利用Tomado译码方法恢复原始文件,即可实现Byzantine环境数据的完整性保护,并提高了系统的容错能力.     

入侵容忍技术在Web服务器系统的应用

结合入侵容忍通用模型SITAR和分散选举技术,提出了一个具有入侵容忍特性的Web服务器系统.在设计中应用了多代理、多样性、冗余等技术,在响应的一致性协商过程参考Byzantine容错算法,并引入Hash算法和加密技术,加强系统的安全,提高运行效率.     

基于单向散列链的公钥证书撤销机制

证书撤销是公钥基础设施（PKI，Public Key Infrastructure）研究和应用的难点问题．本文首先讨论了当前应用最广泛的两类证书撤销机制一证书撤销列表（CRL，Certificate Revocation List）和在线证书状态罅议（OCSP，Online Certificate Status Protocol），剖析了这两种机制各自存在自的不足．在此基础上，提出了一种基于单向散列链的证书撤销机制．     

基于单向哈希函数的证书撤销机制

证书撤销是公钥基础设施PKI(Public Key Infrastructure)研究和应用的难点问题.首先讨论了当前应用最广泛的两类证书撤销机制:证书撤销列表CRL(Certificate Revocation List)和在线证书状态协议OCSP(0nline Certificate Status Protoco1),剖析了这两种机制各自存在的不足.在此基础上,提出了一种基于单向哈希函数的证书撤销机制.     

基于Over-Issued增量CRL发布机制的研究

目前关于公钥基础设施（public key infrastructure）中证书撤销问题的主要解决方案是使用X．509证书撤销列表（CRL）来定期发布证书状态信息;现有的发布机制主要针对提高处理时间,而对存储库性能的优化仍然存在一些问题——CRL存储库峰值负荷过大;通过对增量CRL和Over—Issued CRL模型的分析,给出了一种基于Over—Issued增量CRL机制的证书状态信息发布方法;它结合了上述两种模型的优点,通过改变Over- IssuedCRL发布的时间间隔和增量CRL发布窗口大小,有效降低了存储库峰值负荷。     

基于P2P技术的安全凭证回收方法

安全凭证回收的实现是公钥基础设施(PKI)所面临的一个主要的问题。许多种回收策略已经被提出,CRL是其中最简单,最容易实现的方法。但是如何有效地分布已经回收的安全凭证信息是这种方法所面临的一个挑战。论文提出利用P2P技术组织终端实体,并利用bloomfilter压缩向量代表安全凭证回收链CRL。通过实体间的协作和bloomfilter的压缩功能减少REPOSITORY和网络的负担。此外,为了有效地向终端实体发布CRL的bloomfilter压缩向量,提出一种高效的广播算法,在最小的TTL内尽量将向量广播到每一个节点。论文最后进行了模拟试验,实验证明提出的解决方案是有效的。     

证书吊销的线索二叉排序Hash树解决方案

提出了公钥基础设施(publickeyinfrastructure,简称PKI)中证书吊销问题的一个新的解决方案--线索二叉排序Hash树(certificaterevocationthreadedbinarysortedhashtree,简称CRTBSHT)解决方案.目前关于证书吊销问题的主要解决方案有X.509证书系统的证书吊销列表(certificaterevocationlist,简称CRL)、Micali的证书吊销系统(certificaterevocationsystem,简称CRS)、Kocher的证书吊销树(certificaterevocationtree,简称CRT)及Naor-Nissm的2-3证书吊销树(2-3CRT),这些方案均不完善.在CRT系统思想的基础上,利用线索化二叉排序树及Hash树给出的新方案,既继承了CRT证明一个证书的状态(是否被吊销)不需要整个线索二叉树,而只与其中部分相关路径有关的优点,又克服了CRT在更新时几乎需要对整个树重新构造的缺点,新方案在更新时仅需计算相关部分路径的数值.新方案对工程实现具有一定的参考价值.     

基于B_树的证书吊销实用系统

针对公钥基础设施PKI中证书吊销问题,提出一种B_树解决方案,将查询与更新时的最大时间复杂度始终保持在O（logd（（n＋1）/2）＋1）量级,与其他方案相比,当数据量特别大时,更能显示其优越性,同时介绍基于B_树的证书管理方案。实验结果表明,该方案对工程实现具有一定指导意义。     

车载Ad Hoc网络中证书快速撤销机制研究

证书撤销是保障车载Ad Hoc网络安全的难点问题之一,但传统的CRL发布方式由于网络规模大,车辆机动性强等原因并不适用。结合车载Ad Hoc网络中节点移动规律和速度等特性,在提出降解CRL规模的方法的基础上,进一步提出一种基于车辆速度证书快速撤销方案。分析表明在证书有效期较短的情况下,该方案要优于传统方案。     

一个新的证书吊销列表设计方案

通过对证书员销列表中吊销证书条目字段重新编码在,结合分段的思想,提出一个新的证书吊销信息分发方案Compact CRL,新方案大大简化了CRL的大小,节省了证书吊销信息分发所需要的带宽。     

基于带权跳表的证书废除机制CRPSL

在目前已经提出的证书废除机制中,由于未考虑证书查询概率之间的差异,限制了算法的性能。基于带权跳表的证书废除机制(CRPSL)根据证书查询频度动态调整证书废除字典的存储结构,使查询频度高的证书查询路径缩短,查询速度加快。测试结果表明,CRPSL的插入、删除及查询性能均比CRL及2-3CRT高,较好地适合了证书查询的实际情况。