【技術(shù)實(shí)現(xiàn)步驟摘要】
本專利技術(shù)涉及信息處理，尤其涉及一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法及裝置。
技術(shù)介紹
1、公鑰基礎(chǔ)設(shè)施（web?pki）是互聯(lián)網(wǎng)安全通信的基石，傳輸層安全協(xié)議（ssl/tls)離不開公鑰基礎(chǔ)設(shè)施的支撐，利用公鑰數(shù)字證書、證書頒發(fā)機(jī)構(gòu)（certificate?authorities，cas）、證書驗(yàn)證和公鑰加密等關(guān)鍵技術(shù)，為互聯(lián)網(wǎng)提供了一條安全的加密通信信道，幫助通信終端建立信任和保護(hù)互聯(lián)網(wǎng)通信的機(jī)密性、完整性、真實(shí)性和可認(rèn)證性。其中ca負(fù)責(zé)簽發(fā)用于驗(yàn)證網(wǎng)站和服務(wù)實(shí)體身份的數(shù)字證書，是web?pki體系的信任錨點(diǎn)，通常包括根ca和中間ca。數(shù)字證書是一種包含公鑰、主體信息和簽名的數(shù)據(jù)結(jié)構(gòu)，用于建立信任鏈。
2、在現(xiàn)有技術(shù)中的證書驗(yàn)證體系中，一般包括ca、web服務(wù)器以及終端瀏覽器，參見圖1。通常情況下，單向認(rèn)證一般包括：web服務(wù)器生成證書簽名申請(qǐng)csr，發(fā)送給ca，ca核實(shí)后生成網(wǎng)站證書頒發(fā)給web服務(wù)器，web服務(wù)器在ssl網(wǎng)關(guān)上配置證書，啟用http；終端瀏覽器訪問http網(wǎng)址，在tls握手過程中讀取到網(wǎng)站證書，并查詢可信根證書列表，以驗(yàn)證網(wǎng)站證書的有效性。
3、但是現(xiàn)有技術(shù)中存在以下問題：證書驗(yàn)證的過程缺乏靈活性和互操作性。作為域名所有者的web服務(wù)器無權(quán)決定自身的ca信任策略，且客戶端對(duì)網(wǎng)站證書的驗(yàn)證依賴于可信根證書列表。一旦個(gè)別ca被錯(cuò)誤或者誤操作地被從可信根證書列表中刪除，或者web服務(wù)器請(qǐng)求ca簽名的網(wǎng)站證書未在可信根證書列表中，都將會(huì)造成不可恢復(fù)的后果，例如會(huì)使得依賴于該ca簽發(fā)的數(shù)
4、如何克服現(xiàn)有技術(shù)中的證書驗(yàn)證的過程缺乏靈活性和互操作性，是現(xiàn)有技術(shù)中需要解決的技術(shù)問題。
技術(shù)實(shí)現(xiàn)思路
1、本專利技術(shù)提供一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法及裝置，用以解決現(xiàn)有技術(shù)中證書驗(yàn)證的過程缺乏靈活性和互操作性的缺陷。
2、本專利技術(shù)提供一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，用于網(wǎng)站服務(wù)器，所述網(wǎng)站服務(wù)器與信任策略透明管理服務(wù)器連接，且所述網(wǎng)站服務(wù)器向證書簽發(fā)機(jī)構(gòu)ca請(qǐng)求簽名證書；
3、所述方法包括：
4、生成ca信任策略密鑰對(duì)，以及待申請(qǐng)證書密鑰對(duì)；其中，所述ca信任策略密鑰對(duì)包括ca信任策略公鑰和ca信任策略私鑰，所述待申請(qǐng)證書密鑰對(duì)包括待申請(qǐng)證書的證書公鑰和證書私鑰；
5、根據(jù)ca信任策略公鑰和證書公鑰生成證書簽發(fā)請(qǐng)求，并將所述證書簽發(fā)請(qǐng)求發(fā)送給所述ca，接收所述ca簽發(fā)的證書并保存；其中，所述證書包括ca信任策略公鑰；
6、根據(jù)簽發(fā)的所述證書生成ca信任策略記錄，將所述ca信任策略記錄通過ca信任策略私鑰進(jìn)行簽名后，將簽名后的ca信任策略記錄和ca信任策略公鑰安全發(fā)送給信任策略透明管理服務(wù)器保存；
7、在接收到客戶端的訪問請(qǐng)求的情況下，將所述證書發(fā)送到客戶端，以使客戶端基于自身維護(hù)的可信根證書列表對(duì)所述證書進(jìn)行驗(yàn)證，若驗(yàn)證結(jié)果為可信，則啟動(dòng)安全信道建立，實(shí)現(xiàn)客戶端與服務(wù)器的安全通信；若驗(yàn)證結(jié)果為不可信，則使客戶端向信任策略透明管理服務(wù)器查詢ca信任策略記錄，根據(jù)獲取的ca信任策略記錄對(duì)所述證書進(jìn)行補(bǔ)充驗(yàn)證。
8、根據(jù)本專利技術(shù)提供的一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，所述網(wǎng)站服務(wù)器加載有信任錨點(diǎn)管理器，所述網(wǎng)站服務(wù)器保存有ca對(duì)應(yīng)的ca根證書；
9、將所述證書簽發(fā)請(qǐng)求發(fā)送給ca，接收所述ca簽發(fā)的證書，包括：
10、確定自定義的ca信任策略，確定待發(fā)送所述證書簽發(fā)請(qǐng)求的至少一個(gè)ca；
11、通過所述信任錨點(diǎn)管理器向所述至少一個(gè)ca發(fā)送所述證書簽發(fā)請(qǐng)求；其中，每個(gè)ca對(duì)應(yīng)的證書簽發(fā)請(qǐng)求中的證書公鑰互不相同；
12、通過所述信任錨點(diǎn)管理器接收至少一個(gè)ca簽發(fā)的證書；
13、根據(jù)簽發(fā)的所述證書生成ca信任策略記錄，包括：
14、確定簽發(fā)的所述證書對(duì)應(yīng)的ca根證書，根據(jù)簽發(fā)的所述證書及其對(duì)應(yīng)的ca根證書生成所述ca信任策略記錄，其中，所述ca信任策略記錄包括信任的ca根證書列表。
15、根據(jù)本專利技術(shù)提供的一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，在將所述證書簽發(fā)請(qǐng)求發(fā)送給ca，接收所述ca簽發(fā)的證書之后，所述方法還包括：
16、若需要更新信任的ca根證書，根據(jù)已保存的ca信任策略記錄中的ca根證書和需要更新信任的ca根證書，確定目標(biāo)ca；
17、向所述目標(biāo)ca發(fā)送證書簽發(fā)請(qǐng)求，接收所述目標(biāo)ca簽發(fā)的證書并保存；
18、根據(jù)所述目標(biāo)ca簽發(fā)的證書，對(duì)已信任的證書進(jìn)行更新，根據(jù)更新后的證書對(duì)應(yīng)的ca根證書，生成更新后的ca信任策略記錄，將所述更新后的ca信任策略記錄通過ca信任策略私鑰進(jìn)行簽名后，將攜帶簽名的更新后的ca信任策略記錄和ca信任策略公鑰發(fā)送給信任策略透明管理服務(wù)器保存。
19、根據(jù)本專利技術(shù)提供的一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，所述網(wǎng)站服務(wù)器還包括：權(quán)威域名服務(wù)器，用于保存信任策略透明管理服務(wù)器的節(jié)點(diǎn)地址；
20、在將簽名后的ca信任策略記錄和ca信任策略公鑰安全發(fā)送給信任策略透明管理服務(wù)器保存之后，所述方法還包括：
21、接收所述信任策略透明管理服務(wù)器返回的信任策略部署簽名時(shí)間戳，其中，所述信任策略部署簽名時(shí)間戳為所述信任策略透明管理服務(wù)器在所述簽名后的ca信任策略記錄中添加時(shí)間戳而生成，所述信任策略部署簽名時(shí)間戳中攜帶有節(jié)點(diǎn)地址；
22、將所述信任策略部署簽名時(shí)間戳對(duì)應(yīng)的節(jié)點(diǎn)地址存儲(chǔ)于權(quán)威域名服務(wù)器中。
23、根據(jù)本專利技術(shù)提供的一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，在使客戶端向信任策略透明管理服務(wù)器查詢ca信任策略記錄之前，還包括：
24、接收客戶端的地址查詢請(qǐng)求；
25、根據(jù)所述地址查詢請(qǐng)求，在所述權(quán)威域名服務(wù)器中查詢與所述地址查詢請(qǐng)求對(duì)應(yīng)的節(jié)點(diǎn)地址，以使所述客戶端根據(jù)所述節(jié)點(diǎn)地址訪問所述信任策略透明管理服務(wù)器。
26、根據(jù)本專利技術(shù)提供的一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，所述客戶端加載有終端信任增強(qiáng)驗(yàn)證器；
27、將所述證書發(fā)送到客戶端，以使客戶端基于自身維護(hù)的可信根證書列表對(duì)所述證書進(jìn)行驗(yàn)證，包括：
28、將所述證書發(fā)送到客戶端的終端信任增強(qiáng)驗(yàn)證器，以使所述客戶端的終端信任增強(qiáng)驗(yàn)證器基于自身維護(hù)的可信根證書列表對(duì)所述證書進(jìn)行驗(yàn)證；
29、若驗(yàn)證結(jié)果為不可信，則使客戶端向信任策略透明管理服務(wù)器查詢ca信任策略記錄，根據(jù)獲取的ca信任策略記錄對(duì)證書進(jìn)行補(bǔ)充驗(yàn)證，包括：
30、若驗(yàn)證結(jié)果為不可信，則使客戶端的終端信任增強(qiáng)驗(yàn)證器向信任策略透明管理服務(wù)器查詢ca信任策略記錄，根據(jù)獲取的ca信任策略記錄對(duì)所述證書進(jìn)行補(bǔ)充驗(yàn)證。
31、根據(jù)本專利技術(shù)提供的一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，將簽名后的ca信任策略記錄和ca信任策略公鑰安全發(fā)送給信任策本文檔來自技高網(wǎng)...
【技術(shù)保護(hù)點(diǎn)】
1.一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，用于網(wǎng)站服務(wù)器，所述網(wǎng)站服務(wù)器與信任策略透明管理服務(wù)器連接，且所述網(wǎng)站服務(wù)器向證書簽發(fā)機(jī)構(gòu)CA請(qǐng)求簽名證書；
2.根據(jù)權(quán)利要求1所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，所述網(wǎng)站服務(wù)器加載有信任錨點(diǎn)管理器，所述網(wǎng)站服務(wù)器保存有CA對(duì)應(yīng)的CA根證書；
3.根據(jù)權(quán)利要求1所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，在將所述證書簽發(fā)請(qǐng)求發(fā)送給CA，接收所述CA簽發(fā)的證書之后，所述方法還包括：
4.根據(jù)權(quán)利要求1所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，所述網(wǎng)站服務(wù)器還包括：權(quán)威域名服務(wù)器，用于保存信任策略透明管理服務(wù)器的節(jié)點(diǎn)地址；
5.根據(jù)權(quán)利要求4所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，在使客戶端向信任策略透明管理服務(wù)器查詢CA信任策略記錄之前，還包括：
6.根據(jù)權(quán)利要求5所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，所述客戶端加載有終端信任增強(qiáng)驗(yàn)證器；
7.根據(jù)權(quán)利要求1所述的基于證書信任
8.一種基于證書信任透明化技術(shù)的證書驗(yàn)證裝置，其特征在于，設(shè)置于網(wǎng)站服務(wù)器，所述網(wǎng)站服務(wù)器與信任策略透明管理服務(wù)器連接，且所述網(wǎng)站服務(wù)器向證書簽發(fā)機(jī)構(gòu)CA請(qǐng)求簽名證書；
9.一種電子設(shè)備，包括存儲(chǔ)器、處理器及存儲(chǔ)在所述存儲(chǔ)器上并可在所述處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述程序時(shí)實(shí)現(xiàn)如權(quán)利要求1至7任一項(xiàng)所述基于證書信任透明化技術(shù)的證書驗(yàn)證方法的步驟。
10.一種非暫態(tài)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其上存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，所述計(jì)算機(jī)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1至7任一項(xiàng)所述基于證書信任透明化技術(shù)的證書驗(yàn)證方法的步驟。
...【技術(shù)特征摘要】
1.一種基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，用于網(wǎng)站服務(wù)器，所述網(wǎng)站服務(wù)器與信任策略透明管理服務(wù)器連接，且所述網(wǎng)站服務(wù)器向證書簽發(fā)機(jī)構(gòu)ca請(qǐng)求簽名證書；
2.根據(jù)權(quán)利要求1所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，所述網(wǎng)站服務(wù)器加載有信任錨點(diǎn)管理器，所述網(wǎng)站服務(wù)器保存有ca對(duì)應(yīng)的ca根證書；
3.根據(jù)權(quán)利要求1所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，在將所述證書簽發(fā)請(qǐng)求發(fā)送給ca，接收所述ca簽發(fā)的證書之后，所述方法還包括：
4.根據(jù)權(quán)利要求1所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，所述網(wǎng)站服務(wù)器還包括：權(quán)威域名服務(wù)器，用于保存信任策略透明管理服務(wù)器的節(jié)點(diǎn)地址；
5.根據(jù)權(quán)利要求4所述的基于證書信任透明化技術(shù)的證書驗(yàn)證方法，其特征在于，在使客戶端向信任策略透明管理服務(wù)器查詢ca信任策略記錄之前，還包括：
6.根據(jù)權(quán)利要求5...
【專利技術(shù)屬性】
技術(shù)研發(fā)人員：張明明，賈珂婷，徐明偉，張一銘，趙博鑫，王博，
申請(qǐng)(專利權(quán))人：北京中關(guān)村實(shí)驗(yàn)室，
類型：發(fā)明
國別省市：
還沒有人留言評(píng)論。發(fā)表了對(duì)其他瀏覽者有用的留言會(huì)獲得科技券。