基于PKI的PMI技術(shù)研究.pdf

1、PMI(Privilege Management Infrastructure)是權(quán)限管理基礎(chǔ)設(shè)施或授權(quán)管理基礎(chǔ)設(shè)施，它由屬性證書、屬性權(quán)威、屬性證書庫等組成，用來實(shí)現(xiàn)權(quán)限和證書的產(chǎn)生、管理、存儲、分發(fā)和撤銷等功能，以向用戶和應(yīng)用程序提供權(quán)限管理和授權(quán)服務(wù)為目標(biāo)。本文針對PMI中的若干技術(shù)進(jìn)行了研究。 論文主要做了如下的工作： 在詳細(xì)分析證書后，提出和實(shí)現(xiàn)了以XML作為證書的表現(xiàn)形式。證書以XML作為表現(xiàn)形式可以簡化互操

2、作問題，可以直接利用XML的相關(guān)協(xié)議實(shí)現(xiàn)證書的交換等管理功能，簡化證書解析接口。傳統(tǒng)的屬性證書中的屬性都是不可變的，不能滿足一些實(shí)際應(yīng)用需要，例如，預(yù)交費(fèi)信用卡需要在使用過程中周期性的更新信用卡的余額，電子商務(wù)中的個人信譽(yù)值也會隨著交易的進(jìn)行而變化。因此本文提出了屬性可變的可變屬性證書，可變屬性證書包括了可以變化的屬性和不可以變化的屬性。 當(dāng)前應(yīng)用最廣泛的證書撤銷機(jī)制：證書撤銷列表(CRL)和在線證書狀態(tài)查詢協(xié)議(OCSP)，都

3、存在一些不足。證書撤銷列表是下載查詢方式，查詢證書狀態(tài)時的通信負(fù)荷比較重，針對CRL機(jī)制的不足，提出了AVL樹證書撤銷機(jī)制，新機(jī)制相對CRL機(jī)制在檢驗(yàn)證書有效性時，通信量有較大幅度的下降；OCSP是在線查詢方式，它的及時性依賴于證書撤銷數(shù)據(jù)庫的更新頻度，證書的撤銷只能由證書中心控制，每次查詢的安全性必須通過數(shù)字簽名來保證。針對這些不足，提出了基于單向哈希函數(shù)的證書撤銷機(jī)制，新機(jī)制的證書撤銷可以由證書中心或者用戶控制，在查詢證書狀態(tài)時能很