CN106899408A - 一种更新crl的方法和装置 - Google Patents

Abstract

本发明公开了一种更新CRL的方法和装置，包括：分别获取各数字证书认证中心(CA)对应的基证书吊销列表(CRL)；分别获取各CA对应的增量CRL，并根据获得的基CRL和增量CRL获取完全CRL。通过本发明的方案，通过自发获取各CA对应的基CRL和增量CRL，并根据获得的基CRL和增量CRL获取完全CRL，从而及时地更新了自身的CRL，使得发布CRL的服务器中的CRL和用户获得的CRL保持一致。

Description

一种更新CRL的方法和装置

技术领域

本发明涉及数字证书技术，尤指一种更新证书吊销列表(CRL，Certification Revocation List)的方法和装置。

背景技术

数字证书是一种权威性的电子文档，它提供了一种在因特网(Internet)上验证身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。数字证书是由一个权威机构——数字证书认证中心(CA，CertificateAuthority)发行的，人们可以在互联网交往中用数字证书来识别对方的身份。当然在数字证书认证过程中，CA作为权威的、公正的、可信赖的第三方，其作用是至关重要的。

数字证书具有一个指定的寿命，但CA可通过称为证书吊销过程来缩短这一寿命。CA通过发布一个CRL列出被认为不能再使用的数字证书的序列号，CRL中还包含有数字证书被吊销的时间和被吊销的理由。其中，被吊销的理由可以是以下的任意一个：泄露密钥、泄露CA、从属关系改变、被取代、业务终止、证书持有等等。

CA发布CRL后，用户可以从CA发布CRL的服务器中下载发布的CRL，由于CA会不断发布新的CRL，而用户无法获知发布CRL的服务器更新CRL的时间，因此，用户无法及时更新自身的CRL，使得发布CRL的服务器中的CRL和用户获得的CRL无法保持一致。

发明内容

为了解决上述问题，本发明提出了一种更新CRL的方法和装置，能够及时更新自身的CRL，使得发布CRL的服务器中的CRL和用户获得的CRL保持一致。

为了达到上述目的，本发明提出了一种更新证书吊销列表CRL的方法，包括：

分别获取各数字证书认证中心CA对应的基CRL；

分别获取各CA对应的增量CRL，并根据获得的基CRL和增量CRL获取完全CRL。

可选地，所述分别获取各CA对应的基CRL包括：

分别从预先设置的各CA对应的地址对应的服务器中下载各所述CA对应的基CRL。

可选地，所述分别获取各CA对应的增量CRL包括：

对于每一个CA，以CA对应的预设时间为周期获取CA对应的增量CRL。

可选地，所述根据获得的基CRL和增量CRL获取完全CRL包括：

判断出所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL和增量CRL满足有效性条件，将所述CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

可选地，当判断出所述CA对应的基CRL的序号小于所述CA对应的增量CRL中指定的基CRL的序号时，

所述判断出CA对应的基CRL和增量CRL满足有效性条件之前还包括：重新获取所述CA对应的基CRL；

所述将CA对应的基CRL和增量CRL合并得到完全CRL包括：

将重新获得的CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

可选地，当判断出所述CA对应的基CRL和增量CRL不满足有效性条件时，该方法还包括：

在下一个周期继续执行所述获取CA对应的增量CRL的步骤。

可选地，所述判断出CA对应的基CRL和增量CRL满足有效性条件包括：

判断出所述CA对应的基CRL和增量CRL在有效时间范围内，且所述CA对应的基CRL和所述增量CRL的签名正确，且所述CA对应的基CRL和所述增量CRL的发布者相同，且所述CA对应的基CRL和所述增量CRL具有相同的范围，且所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL的序号小于所述CA对应的增量CRL的序号。

可选地，所述将CA对应的基CRL和增量CRL合并得到完全CRL包括：

按照所述CA对应的基CRL和增量CRL的条目中的吊销时间的先后顺序，依次将所述CA对应的增量CRL的条目中吊销理由不是从CRL中移除RemoveFromCRL的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号相同的条目中吊销理由不是证书持有CertificateHold的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号不相同的条目保存到所述完全CRL中，将所述完全CRL的序号设置为所述增量CRL的序号，将所述完全CRL的有效时间设置为所述增量CRL的有效时间。

本发明还提出了一种更新证书吊销列表CRL的装置，至少包括：

获取模块，用于分别获取各数字证书认证中心CA对应的基CRL；分别获取各CA对应的增量CRL；

合并模块，用于根据获得的基CRL和增量CRL获取完全CRL。

可选地，所述获取模块具体用于：

分别从预先设置的各CA对应的地址对应的服务器中下载各所述CA对应的基CRL；分别获取各CA对应的增量CRL。

可选地，所述获取模块具体用于：

分别获取各数字证书认证中心CA对应的基CRL；对于每一个CA，以CA对应的预设时间为周期获取CA对应的增量CRL。

可选地，所述合并模块具体用于：

判断出所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL和增量CRL满足有效性条件，将所述CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

可选地，所述合并模块还用于：

判断出所述CA对应的基CRL的序号小于所述CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL和增量CRL满足有效性条件，重新获取所述CA对应的基CRL，将重新获得的CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

可选地，所述合并模块还用于：

判断出所述CA对应的基CRL和增量CRL不满足有效性条件，向所述获取模块发送通知消息；

所述获取模块还用于：

接收到所述通知消息，在下一个周期继续执行所述获取CA对应的增量CRL的步骤。

可选地，所述合并模块具体用于：

判断出CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且判断出所述CA对应的基CRL和增量CRL在有效时间范围内，且所述CA对应的基CRL和所述增量CRL的签名正确，且所述CA对应的基CRL和所述增量CRL的发布者相同，且所述CA对应的基CRL和所述增量CRL具有相同的范围，且所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL的序号小于所述CA对应的增量CRL的序号，将所述CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

可选地，所述合并模块具体用于：

判断出所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL和增量CRL满足有效性条件，按照所述CA对应的基CRL和增量CRL的条目中的吊销时间的先后顺序，依次将所述CA对应的增量CRL的条目中吊销理由不是从CRL中移除RemoveFromCRL的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号相同的条目中吊销理由不是证书持有CertificateHold的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号不相同的条目保存到所述完全CRL中，将所述完全CRL的序号设置为所述增量CRL的序号，将所述完全CRL的有效时间设置为所述增量CRL的有效时间。

与现有技术相比，本发明的技术方案包括：分别获取各数字证书认证中心CA对应的基CRL；分别获取各CA对应的增量CRL，并根据获得的基CRL和增量CRL获取完全CRL。通过本发明的方案，通过自发获取各CA对应的基CRL和增量CRL，并根据获得的基CRL和增量CRL获取完全CRL，从而及时地更新了自身的CRL，使得发布CRL的服务器中的CRL和用户获得的CRL保持一致。

进一步地，对于每一个CA，以CA对应的预设时间为周期获取CA对应的增量CRL，及时获取不同的CA对应的增量CRL，从而及时地对不同CA对应的CRL进行更新。

附图说明

下面对本发明实施例中的附图进行说明，实施例中的附图是用于对本发明的进一步理解，与说明书一起用于解释本发明，并不构成对本发明保护范围的限制。

图1为本发明更新CRL的方法的流程图；

图2为本发明更新CRL的装置的结构组成示意图。

具体实施方式

为了便于本领域技术人员的理解，下面结合附图对本发明作进一步的描述，并不能用来限制本发明的保护范围。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的各种方式可以相互组合。

参见图1，本发明提出了一种更新CRL的方法，包括：

步骤100、分别获取各CA对应的基CRL。具体包括：

分别从预先设置的各CA对应的地址对应的服务器中下载各CA对应的基CRL。

其中，各CA对应的地址可以是各CA对应的轻量目录访问协议(LDAP，Lightweight Directory Access Protocol)服务器地址、或超文本传输协议(HTTP，Hypertext Transfer Protocol)服务器地址、或其他协议的服务器等。

当然，各CA对应的基CRL也可以是用户手动输入到需要更新CRL的设备中的。

步骤101、分别获取各CA对应的增量CRL，并根据获得的基CRL和增量CRL获取完全CRL。

本步骤中，分别获取各CA对应的增量CRL包括：对于每一个CA，以CA对应的预设时间为周期获取CA对应的增量CRL。

其中，预设时间是指发布CRL的服务器更新增量CRL的时间间隔。

本步骤中，根据获得的基CRL和增量CRL获取完全CRL包括：

判断出CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL和增量CRL满足有效性条件，将CA对应的基CRL和增量CRL合并得到完全CRL。

进一步地，当判断出CA对应的基CRL的序号小于CA对应的增量CRL中指定的基CRL的序号时，判断出CA对应的基CRL和增量CRL满足有效性条件之前还包括：重新获取CA对应的基CRL；相应地，

本步骤中的将CA对应的基CRL和增量CRL合并得到完全CRL包括：

将重新获得的CA对应的基CRL和增量CRL合并得到完全CRL。

其中，可以从预先设置的各CA对应的地址对应的服务器中重新下载CA对应的基CRL，重新下载的CA对应的基CRL为CA最新更新的CRL。

进一步地，当判断出CA对应的基CRL和增量CRL不满足有效性条件时，还包括：在下一个周期继续执行获取CA对应的增量CRL的步骤。

本步骤中，判断出CA对应的基CRL和增量CRL满足有效性条件包括：

判断出CA对应的基CRL和增量CRL在有效时间范围内，且CA对应的基CRL和增量CRL的签名正确，且CA对应的基CRL和增量CRL的发布者相同，且CA对应的基CRL和增量CRL具有相同的范围，且CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL的序号小于CA对应的增量CRL的序号。其中，

判断出CA对应的基CRL和增量CRL具有相同的范围包括：判断出CA对应的基CRL和增量CRL的发布分配点(IssuingDistributionPoint)扩展均未设置或设置值相同。

可以采用本领域技术人员的公知技术判断CA对应的基CRL和增量CRL是否在有效时间范围内，且CA对应的基CRL和增量CRL的签名是否正确，且CA对应的基CRL和增量CRL的发布者是否相同，且CA对应的基CRL的序号是否大于或等于CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL的序号是否小于CA对应的增量CRL的序号，并不用于限定本发明的保护范围，这里不再赘述。

其中，将CA对应的基CRL和增量CRL合并得到完全CRL包括：

按照CA对应的基CRL和增量CRL的条目中的吊销时间的先后顺序，依次将CA对应的增量CRL的条目中吊销理由不是RemoveFromCRL的条目，或CA对应的基CRL中与增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号相同的条目中吊销理由不是证书持有(CertificateHold)的条目，或CA对应的基CRL中与增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号相同的条目保存到完全CRL，将完全CRL的序号设置为增量CRL的序号，将完全CRL的有效时间设置为增量CRL的有效时间。

本发明的更新CRL的方法可以应用于虚拟专用网络(VPN，VirtualPrivate Network)设备中，也可以应用于其他需要更新CRL的设备中。

通过本发明的方案，通过自发获取各CA对应的基CRL和增量CRL，并根据获得的基CRL和增量CRL获取完全CRL，从而及时地更新了自身的CRL，使得发布CRL的服务器中的CRL和用户获得的CRL保持一致。

参见图2，本发明还提出了一种更新证书吊销列表CRL的装置，至少包括：

获取模块，用于分别获取各数字证书认证中心CA对应的基CRL；分别获取各CA对应的增量CRL；

合并模块，用于根据获得的基CRL和增量CRL获取完全CRL。

本发明的装置中，获取模块具体用于：

分别从预先设置的各CA对应的地址对应的服务器中下载各CA对应的基CRL。

本发明的装置中，获取模块具体用于：

分别获取各数字证书认证中心CA对应的基CRL；对于每一个CA，以CA对应的预设时间为周期获取CA对应的增量CRL。

本发明的装置中，合并模块具体用于：

判断出CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL和增量CRL满足有效性条件，将CA对应的基CRL和增量CRL合并得到完全CRL。

本发明的装置中，合并模块还用于：

判断出CA对应的基CRL的序号小于CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL和增量CRL满足有效性条件，重新获取CA对应的基CRL，将重新获得的CA对应的基CRL和增量CRL合并得到完全CRL。

本发明的装置中，合并模块还用于：

判断出CA对应的基CRL和增量CRL不满足有效性条件，向获取模块发送通知消息；

获取模块还用于：

接收到通知消息，在下一个周期继续执行获取CA对应的增量CRL的步骤。

本发明的装置中，合并模块具体用于：

判断出CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且判断出CA对应的基CRL和增量CRL在有效时间范围内，且CA对应的基CRL和增量CRL的签名正确，且CA对应的基CRL和增量CRL的发布者相同，且CA对应的基CRL和增量CRL具有相同的范围，且CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL的序号小于CA对应的增量CRL的序号，将CA对应的基CRL和增量CRL合并得到完全CRL。

本发明的装置中，合并模块具体用于：

判断出CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL和增量CRL满足有效性条件，按照CA对应的基CRL和增量CRL的条目中的吊销时间的先后顺序，依次将CA对应的增量CRL的条目中吊销理由不是从CRL中移除RemoveFromCRL的条目，或CA对应的基CRL中与增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号相同的条目中吊销理由不是CertificateHold的条目，或CA对应的基CRL中与增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号不相同的条目保存到完全CRL中，将完全CRL的序号设置为增量CRL的序号，将完全CRL的有效时间设置为增量CRL的有效时间。

需要说明的是，以上所述的实施例仅是为了便于本领域的技术人员理解而已，并不用于限制本发明的保护范围，在不脱离本发明的发明构思的前提下，本领域技术人员对本发明所做出的任何显而易见的替换和改进等均在本发明的保护范围之内。

Claims (16)

1.一种更新证书吊销列表CRL的方法，其特征在于，包括：

分别获取各数字证书认证中心CA对应的基CRL；

分别获取各CA对应的增量CRL，并根据获得的基CRL和增量CRL获取完全CRL。

2.根据权利要求1所述的方法，其特征在于，所述分别获取各CA对应的基CRL包括：

分别从预先设置的各CA对应的地址对应的服务器中下载各所述CA对应的基CRL。

3.根据权利要求1所述的方法，其特征在于，所述分别获取各CA对应的增量CRL包括：

对于每一个CA，以CA对应的预设时间为周期获取CA对应的增量CRL。

4.根据权利要求1所述的方法，其特征在于，所述根据获得的基CRL和增量CRL获取完全CRL包括：

判断出所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL和增量CRL满足有效性条件，将所述CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

5.根据权利要求4所述的方法，其特征在于，当判断出所述CA对应的基CRL的序号小于所述CA对应的增量CRL中指定的基CRL的序号时，

所述判断出CA对应的基CRL和增量CRL满足有效性条件之前还包括：重新获取所述CA对应的基CRL；

所述将CA对应的基CRL和增量CRL合并得到完全CRL包括：

将重新获得的CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

6.根据权利要求4所述的方法，其特征在于，当判断出所述CA对应的基CRL和增量CRL不满足有效性条件时，该方法还包括：

在下一个周期继续执行所述获取CA对应的增量CRL的步骤。

7.根据权利要求4所述的方法，其特征在于，所述判断出CA对应的基CRL和增量CRL满足有效性条件包括：

判断出所述CA对应的基CRL和增量CRL在有效时间范围内，且所述CA对应的基CRL和所述增量CRL的签名正确，且所述CA对应的基CRL和所述增量CRL的发布者相同，且所述CA对应的基CRL和所述增量CRL具有相同的范围，且所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL的序号小于所述CA对应的增量CRL的序号。

8.根据权利要求4所述的方法，其特征在于，所述将CA对应的基CRL和增量CRL合并得到完全CRL包括：

按照所述CA对应的基CRL和增量CRL的条目中的吊销时间的先后顺序，依次将所述CA对应的增量CRL的条目中吊销理由不是从CRL中移除RemoveFromCRL的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号相同的条目中吊销理由不是证书持有CertificateHold的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号不相同的条目保存到所述完全CRL中，将所述完全CRL的序号设置为所述增量CRL的序号，将所述完全CRL的有效时间设置为所述增量CRL的有效时间。

9.一种更新证书吊销列表CRL的装置，其特征在于，至少包括：

获取模块，用于分别获取各数字证书认证中心CA对应的基CRL；分别获取各CA对应的增量CRL；

合并模块，用于根据获得的基CRL和增量CRL获取完全CRL。

10.根据权利要求9所述的装置，其特征在于，所述获取模块具体用于：

分别从预先设置的各CA对应的地址对应的服务器中下载各所述CA对应的基CRL；分别获取各CA对应的增量CRL。

11.根据权利要求9所述的装置，其特征在于，所述获取模块具体用于：

分别获取各数字证书认证中心CA对应的基CRL；对于每一个CA，以CA对应的预设时间为周期获取CA对应的增量CRL。

12.根据权利要求9所述的装置，其特征在于，所述合并模块具体用于：

判断出所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL和增量CRL满足有效性条件，将所述CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

13.根据权利要求12所述的装置，其特征在于，所述合并模块还用于：

判断出所述CA对应的基CRL的序号小于所述CA对应的增量CRL中指定的基CRL的序号，且CA对应的基CRL和增量CRL满足有效性条件，重新获取所述CA对应的基CRL，将重新获得的CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

14.根据权利要求12所述的装置，其特征在于，所述合并模块还用于：

判断出所述CA对应的基CRL和增量CRL不满足有效性条件，向所述获取模块发送通知消息；

所述获取模块还用于：

接收到所述通知消息，在下一个周期继续执行所述获取CA对应的增量CRL的步骤。

15.根据权利要求12所述的装置，其特征在于，所述合并模块具体用于：

判断出CA对应的基CRL的序号大于或等于CA对应的增量CRL中指定的基CRL的序号，且判断出所述CA对应的基CRL和增量CRL在有效时间范围内，且所述CA对应的基CRL和所述增量CRL的签名正确，且所述CA对应的基CRL和所述增量CRL的发布者相同，且所述CA对应的基CRL和所述增量CRL具有相同的范围，且所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL的序号小于所述CA对应的增量CRL的序号，将所述CA对应的基CRL和所述增量CRL合并得到所述完全CRL。

16.根据权利要求12所述的装置，其特征在于，所述合并模块具体用于：

判断出所述CA对应的基CRL的序号大于或等于所述CA对应的增量CRL中指定的基CRL的序号，且所述CA对应的基CRL和增量CRL满足有效性条件，按照所述CA对应的基CRL和增量CRL的条目中的吊销时间的先后顺序，依次将所述CA对应的增量CRL的条目中吊销理由不是从CRL中移除RemoveFromCRL的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号相同的条目中吊销理由不是证书持有CertificateHold的条目，或所述CA对应的基CRL中与所述增量CRL的条目中的吊销理由为RemoveFromCRL对应数字证书序列号不相同的条目保存到所述完全CRL中，将所述完全CRL的序号设置为所述增量CRL的序号，将所述完全CRL的有效时间设置为所述增量CRL的有效时间。