基于商密SM2算法的證書狀態(tài)查詢機制設計與實現(xiàn).pdf

1、PKI系統(tǒng)作為提供互聯(lián)網(wǎng)安全的底層架構(gòu)，其管理的核心就是數(shù)字證書。國際上，數(shù)字證書采用的密碼算法大多是RSA，然而，隨著計算機運算的速度越來越快，密碼產(chǎn)品中RSA的位數(shù)也越來越長，在提供同等安全程度的環(huán)境下，使用ECC的密鑰位數(shù)比RSA短的多；與此同時，在ECC的基礎上我國自主設計了一套商用密碼算法SM2，隨著對信息安全的日益重視，SM2的商用價值會逐步呈現(xiàn)，采用SM2算法生成的證書也將日益流行。因此，對SM2證書的撤銷與驗證將是PKI

2、系統(tǒng)對證書進行管理的最重要任務。
　　目前獲取證書有效性最常用的方式是CRL（Certificate RevocationList，證書撤銷列表），但這種方式有著內(nèi)在的不足，單純對它的改進仍然無法克服CRL的缺陷。隨著網(wǎng)絡交易的迅猛發(fā)展，CRL已經(jīng)無法滿足實時交易的需求。此時，OCSP（Online Certificate Status Protocol，在線證書狀態(tài)協(xié)議）作為一種可以實時查詢證書有效性的協(xié)議，能夠幫助用戶更及時的

3、獲取到證書的狀態(tài)信息。
　　本文在OpenSSL開源庫的基礎上擴展了支持商密SM2算法的密碼卡設備，設計并實現(xiàn)了一套基于OCSP協(xié)議的證書狀態(tài)查詢系統(tǒng)，該系統(tǒng)具有易維護、可重用、可擴展和通用性等特點。本文采用了模塊化的思想，將系統(tǒng)分成三個相對獨立的模塊，即Responder響應器、密碼運算模塊和CRSA（Certificate Revocation Status Administrator，證書撤銷狀態(tài)管理者）模塊，提高了代碼的可

4、擴展和可重用性。
　　其中，Responder響應器采取的方法是在流行的Apache服務器中設計一個證書狀態(tài)查詢模塊，響應器主要實現(xiàn)了以下四個方面：OCSP模塊數(shù)據(jù)結(jié)構(gòu)的設計、服務端配置結(jié)構(gòu)的設計、掛鉤（包括內(nèi)容生成器掛鉤）的設計實現(xiàn)以及配置指令的設計。本文中將OCSP響應器內(nèi)嵌于主流的web服務器中，以支持海量高并發(fā)的實時證書有效性查詢請求。
　　密碼運算模塊主要采用支持國家商密SM2算法的密碼卡，密碼卡中提供了一套滿足國

5、家密碼設備規(guī)范的標準API接口。本文借助OpenSSL開源庫的動態(tài)引擎機制，在OpenSSL中添加對密碼卡的調(diào)用，然后通過OpenSSL的統(tǒng)一調(diào)用接口來進行調(diào)用，從而提高了密碼運算模塊的獨立性。從證書撤銷庫中獲取證書查詢結(jié)果后，調(diào)用通用接口（EVP）即可對查詢結(jié)果進行簽名運算。
　　CRSA模塊，完成了對撤銷證書的管理。證書撤銷管理模塊主要實現(xiàn)了以下四個方面：配置文件的讀取、LDAP的連接和認證、CRL的獲取、時間（lastUpd