信息安全中證書撤銷機(jī)制的分析與研究.pdf

1、一個(gè)設(shè)計(jì)良好的公鑰體系(PKI)對(duì)實(shí)現(xiàn)電子商務(wù)安全,網(wǎng)絡(luò)安全,身份認(rèn)證等至關(guān)重要.從公鑰體系的概念被提出那天開始,它的發(fā)展和應(yīng)用就一直受到兩個(gè)瓶頸問(wèn)題的制約,其中一個(gè)就是該文要討論的證書撤銷機(jī)制,另一個(gè)是對(duì)大規(guī)模CA的管理問(wèn)題.在基于CRL的機(jī)制中,證書撤銷信息的發(fā)布是通過(guò)定期發(fā)布經(jīng)過(guò)數(shù)字簽名的,包含所有撤銷信息的列表文件進(jìn)行.對(duì)CRL機(jī)制最主要的批評(píng)來(lái)源于它低下的性能.人們已經(jīng)提出三種普適的方法和別的一些技術(shù)來(lái)提高CRL機(jī)制的一般性能

2、.比如,可以通過(guò)segmenting CRL來(lái)提高可擴(kuò)展性;可以通過(guò)發(fā)布delta-update of CRL來(lái)提高時(shí)效性;可以通過(guò)使用over-issuing降低峰值請(qǐng)求率來(lái)提高性能.另外,還有幾種別的方法可以提高CRL機(jī)制的可管理性和性能.基于CRL的機(jī)制比較靈活,信息明確度高,并且可以選用或同時(shí)使用幾種CRL擴(kuò)展.采用在線撤銷狀態(tài)查詢協(xié)議,終端用戶可以針對(duì)特定的證書提出撤銷狀態(tài)查詢并得到包含所需信息的回答.這類協(xié)議的局限性在于他們

3、只提供一個(gè)實(shí)時(shí)的查詢/回復(fù)機(jī)制,而不是一個(gè)完備的實(shí)時(shí)撤銷機(jī)制.這類協(xié)議必須配備有一個(gè)用于獲取證書撤銷信息的后臺(tái)機(jī)制,這個(gè)后臺(tái)機(jī)制可能是一個(gè)基于CRL的機(jī)制.基于精簡(jiǎn)數(shù)據(jù)結(jié)構(gòu)的證書撤銷機(jī)制發(fā)展得很快.這類機(jī)制以壓縮方式(比如哈希樹)表示撤銷信息,并試圖向終端用戶提供一個(gè)最小的關(guān)于撤銷狀態(tài)的證明.這類機(jī)制的目的在于避免引入如OCSP和完備撤銷證書等帶來(lái)的大運(yùn)算負(fù)荷,同時(shí)避免引入如CRL等帶來(lái)的通信負(fù)荷.現(xiàn)有各種證書撤銷機(jī)制的特性差異很大.不