CN113742787A - 数字证书吊销列表更新方法、发起终端、响应终端及系统 - Google Patents

数字证书吊销列表更新方法、发起终端、响应终端及系统 Download PDF

Info

Publication number
CN113742787A
CN113742787A CN202110899941.3A CN202110899941A CN113742787A CN 113742787 A CN113742787 A CN 113742787A CN 202110899941 A CN202110899941 A CN 202110899941A CN 113742787 A CN113742787 A CN 113742787A
Authority
CN
China
Prior art keywords
version information
digital certificate
revocation list
terminal
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110899941.3A
Other languages
English (en)
Inventor
徐林玉
余小龙
吴宇杰
李新国
宫俊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen National Engineering Laboratory Of Digital Television Co ltd
Original Assignee
Shenzhen National Engineering Laboratory Of Digital Television Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen National Engineering Laboratory Of Digital Television Co ltd filed Critical Shenzhen National Engineering Laboratory Of Digital Television Co ltd
Priority to CN202110899941.3A priority Critical patent/CN113742787A/zh
Publication of CN113742787A publication Critical patent/CN113742787A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/70—Software maintenance or management
    • G06F8/71—Version control; Configuration management

Abstract

本申请公开了一种数字证书吊销列表更新方法、发起终端、响应终端及系统，其中，数字证书吊销列表更新方法，应用在发起终端和响应终端，应用为发起终端时，数字证书吊销列表更新方法包括：将数字证书吊销列表的第一版本信息发送至初次通信连接的响应终端；接收响应终端根据第一版本信息发送的反馈信息；根据反馈信息执行更新操作或流程结束操作。本申请的数字证书吊销列表更新方法，提高了数字证书吊销列表更新的安全性，并且，指定了发起终端发起CRL更新流程，避免了双向信息冗余传递，节省了资源。

Description

数字证书吊销列表更新方法、发起终端、响应终端及系统
技术领域
本申请涉及信息安全技术领域，尤其涉及一种数字证书吊销列表更新方法、发起终端、响应终端及系统。
背景技术
为了保护数字接口内容安全可靠传输，采用数字接口内容保护的安全措施非常关键，基于数字证书的公钥基础设施(PKI)是一种公认的解决网络环境下安全问题且行之有效的方案。数字证书吊销查询是PKI中的一个关键性操作，也是PKI所面临的一大挑战。与各种身份证件一样，数字证书可能在过期之前变得无效，原因可能是密钥介质丢失或用户身份变更等。当用户接收到一个数字证书时，必须先检查这个数字证书是否已经吊销。证书吊销信息更新和发布的频率非常重要，如果一个证书已经被撤消而用户仍然继续使用，将会造成极大的安全隐患。
相关技术中，在X.509标准中采纳的是证书吊销列表(Certificate RevocationList，CRL)和在线证书状态协议(Online Certificate Status Protocol，OCSP)两种证书吊销查询方法。一种是利用周期性发布CRL，CA(CA,Certificate Authority，证书颁发机构)机构需要及时的对此类证书做出吊销处理，并将吊销证书放入CRL中予以公布，用户获取CRL后查询证书的有效性；另一种方法不涉及CRL，采用OCSP在线查询方式查询证书的有效性。在网络规模不大或者离线场景下更适合使用CRL方案。CRL是一个具有时间戳的列表，在其中列出了所有已经吊销或挂起的数字证书信息，可通过时间戳来确定当前的CRL是不是更新的。X509标准中的CRL格式中定义了当前CRL的发布时间(ThisUpdate)以及预测下次CRL发布的时间(nextUpdate)，接收方可通过该时间机制周期性的去更新CRL以便维护最新的CRL。该种机制需要接收方与发布方同步时钟，且因为CRL发布的突发性，将导致证书吊销列表获取延迟，影响安全性。
X.509的吊销列表更新机制不适合数字接口网络，为此，数字接口内容保护规范HDCP采用了一种随传输内容一起传递CRL的方式进行更新CRL，数字接口内容的接收方在接收传输内容的同时，获取CRL，进而校验版本号，验证数字签名，通过这种方式数字接口各参与方获得最新的CRL。但是，这种机制仅适合单向传输接口，当采用双向传输时，则会引起信息冗余传递，消耗更多资源。
发明内容
本申请旨在至少解决现有技术中存在的技术问题之一。为此，本申请提出一种数字证书吊销列表更新方法，提高了数字证书吊销列表更新的安全性，并且，指定了发起终端发起CRL更新流程，避免了双向信息冗余传递，节省了资源。
本申请还提出一种发起终端。
本申请还提出一种响应终端。
本申请还提出一种数字证书吊销列表更新系统。
根据本申请的第一方面实施例的数字证书吊销列表更新方法，应用于发起终端，包括：
将数字证书吊销列表的第一版本信息发送至初次通信连接的响应终端；
接收所述响应终端根据所述第一版本信息发送的反馈信息；
根据所述反馈信息执行更新操作或流程结束操作。
根据本申请实施例的数字证书吊销列表更新方法，至少具有如下有益效果：在与响应终端建立通信连接时，发起终端发起CRL更新流程，将本地存储的数字证书吊销列表的第一版本信息发送给响应终端，并获取响应终端发送的反馈信息，从而确定响应终端是否已根据第一版本信息进行了更新，从而确定自己是否需要进行更新，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性，并且，指定了发起终端发起CRL更新流程，避免了双向信息冗余传递，节省了资源。
根据本申请的一些实施例，所述更新方法还包括：
若在预设时间阈值内未接收到所述反馈信息，则以预设发送次数定时发送所述第一版本信息。
根据本申请的一些实施例，所述更新方法还包括：
在与所述响应终端通信连接过程中，若所述数字证书吊销列表更新，则获取当前数字证书吊销列表的最新版本信息，以得到第一最新版本信息，并将所述第一最新版本信息发送至已建立通信连接的所述响应终端；
接收来自所述响应终端发送的第二最新版本信息，并根据所述第一最新版本信息和所述第二最新版本信息执行更新操作或流程结束操作。
根据本申请的一些实施例，所述反馈信息包括：第一反馈信息和第二反馈信息，第一反馈信息包括：来自所述响应终端的第二版本信息；
所述根据所述反馈信息执行更新操作或流程结束操作，包括：
根据所述第一反馈信息提取得到所述第二版本信息，并根据所述第二版本信息执行所述更新操作；
根据所述第二反馈信息执行所述流程结束操作。
根据本申请的第二方面实施例的数字证书吊销列表更新方法，应用于响应终端，包括：
接收来自发起终端的数字证书吊销列表的第一版本信息；
获取本地存储的数字证书吊销列表的版本信息，以得到第二版本信息；
根据所述第一版本信息和所述第二版本信息，执行所述数字证书吊销列表更新操作或保持所述数字证书吊销列表不变，并发送对应的反馈信息。
根据本申请实施例的数字证书吊销列表更新方法，至少具有如下有益效果：在与发起终端建立通信连接时，接收发起终端的数字证书吊销列表的第一版本信息，并根据第二版本信息和第一版本信息，确定反馈信息的内容，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性。
根据本申请的一些实施例，所述更新方法还包括：
在与所述发起终端通信连接过程中，若所述数字证书吊销列表更新，则获取当前数字证书吊销列表的最新版本信息，以得到第二最新版本信息，并将所述第二最新版本信息发送至已通信连接的发起终端；
接收来自所述发起终端发送的第一最新版本信息，并根据所述第一最新版本信息和所述第二最新版本信息执行更新操作或流程结束操作。
根据本申请的一些实施例，所述反馈信息包括：第一反馈信息和第二反馈信息；
所述根据所述第一版本信息和第二版本信息，执行所述数字证书吊销列表更新操作或保持所述数字证书吊销列表不变，并发送对应的反馈信息，包括：
若所述第二版本信息高于所述第一版本信息，则保持所述数字证书吊销列表不变，并发送所述第一反馈信息；
若所述第一版本信息高于所述第二版本信息，则执行所述更新操作，并发送所述第二反馈信息；
若所述第二版本信息等于所述第一版本信息，则保持所述数字证书吊销列表不变，并发送所述第二反馈信息。
根据本申请的第三方面实施例的发起终端，包括：
第一发送模块，所述第一发送模块用于将数字证书吊销列表的第一版本信息发送至初次通信连接的响应终端；
第一接收模块，所述第一接收模块用于接收所述响应终端根据所述第一版本信息发送的反馈信息；
第一处理模块，所述第一处理模块用于根据所述反馈信息执行更新操作或流程结束操作。
根据本申请实施例的发起终端，至少具有如下有益效果：在与响应终端建立通信连接时，将本地存储的数字证书吊销列表的第一版本信息发送给响应终端，并获取响应终端发送的反馈信息，从而确定响应终端是否已根据第一版本信息进行了更新，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性。
根据本申请的第四方面实施例的响应终端，包括：
第二接收模块，所述第二接收模块用于接收来自发起终端的数字证书吊销列表的第一版本信息；
获取模块，所述获取模块用于获取本地存储数字证书吊销列表的版本信息，以得到第二版本信息；
第二处理模块，所述第二处理模块用于根据所述第一版本信息和所述第二版本信息，执行所述数字证书吊销列表更新操作或保持所述数字证书吊销列表不变，并输出反馈信息；
第二发送模块，所述第二发送模块用于发送所述反馈信息。
根据本申请实施例的响应终端，至少具有如下有益效果：在与发起终端建立通信连接时，接收发起终端的数字证书吊销列表的第一版本信息，并根据第二版本信息和第一版本信息，确定自己的更新状态和反馈信息的内容，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性。
根据本申请的第五方面实施例的数字证书吊销列表更新系统，包括第三方面实施例的发起终端和第四方面实施例的响应终端。
根据本申请实施例的数字证书吊销列表更新系统，至少具有如下有益效果：发起终端与响应终端建立通信连接时，发起终端将本地存储的数字证书吊销列表的第一版本信息发送给响应终端，并获取响应终端发送的反馈信息，从而确定响应终端是否已根据第一版本信息进行了更新，从而确定发起终端是否需要进行更新，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性。
本申请的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本申请的实践了解到。
附图说明
下面结合附图和实施例对本申请做进一步的说明，其中：
图1为本申请一些实施例提供的数字证书吊销列表更新方法的流程图；
图2为本申请一些实施例提供的数字证书吊销列表更新方法的流程图；
图3为本申请一些实施例提供的数字证书吊销列表更新方法的流程图；
图4为本申请一些实施例提供的数字证书吊销列表更新方法的流程图；
图5为本申请一些实施例提供的数字证书吊销列表更新方法的流程图；
图6为本申请一些实施例提供的数字证书吊销列表更新方法的流程图；
图7为本申请一些实施例提供的数字证书吊销列表更新方法的流程图；
图8为本申请一些实施例提供的发起终端的模块框图；
图9为本申请一些实施例提供的响应终端的模块框图；
图10为本申请一些实施例提供的数字证书吊销列表更新系统的模块框图。
附图标记：100、发起终端；110、第一发送模块；120、第一接收模块；130、第一处理模块；200、响应终端；210、第二接收模块；220、获取模块；230、第二处理模块；240、第二发送模块。
具体实施方式
下面详细描述本申请的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本申请，而不能理解为对本申请的限制。
在本申请的描述中，需要理解的是，涉及到方位描述，例如上、下、前、后、左、右等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本申请和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本申请的限制。
在本申请的描述中，若干的含义是一个以上，多个的含义是两个以上，大于、小于、超过等理解为不包括本数，以上、以下、以内等理解为包括本数。如果有描述到第一、第二只是用于区分技术特征为目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量或者隐含指明所指示的技术特征的先后关系。
本申请的描述中，除非另有明确的限定，设置、安装、连接等词语应做广义理解，所属技术领域技术人员可以结合技术方案的具体内容合理确定上述词语在本申请中的具体含义。
本申请的描述中，参考术语“一个实施例”、“一些实施例”、“示意性实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本申请的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
证书吊销列表(CRL，Certificate Revocation List)是PKI(Public keyinfrastructure，公钥基础设施)系统中的一个结构化数据文件，该文件包含了CA(Certificate authority，证书颁发机构)已经吊销的证书的序列号及其吊销日期。CRL文件中还包含证书颁发机构信息、吊销列表失效时间和下一次更新时间，以及采用的签名算法等。
HMAC：(Hash-based Message Authentication Code，密钥相关的哈希运算消息认证码)HMAC运算利用哈希算法，以一个密钥和一个消息为输入，生成一个消息摘要作为输出。
ThisUpdate：设备存储的吊销列表的发布时间。
CRL_Timer：吊销列表更新协议发起方维护的定时器。
TCRL_MAX：吊销列表更新发送一条消息后收到回复消息的最大等待时间，定时器CRL_Timer的最大设定值为TCRL_MAX。
LCRL_MAX：吊销列表更新失败后的最大重试次数。
消息MAC(Message Authentication Code，消息认证码)，MAC用来保证消息的数据完整性和消息的数据源认证。MAC由消息本身和一个密钥经过一系列计算产生，用于生成MAC的算法，称为MAC算法。
参照图1，第一方面，本申请的一些实施例提供了一种数字证书吊销列表更新方法，应用于发起终端，包括但不限于步骤S100、步骤S200和步骤S300。
步骤S100：将数字证书吊销列表的第一版本信息发送至初次通信连接的响应终端；
步骤S200：接收响应终端根据第一版本信息发送的反馈信息；
步骤S300：根据反馈信息执行更新操作或流程结束操作。
发起终端在与响应终端建立通信连接时，发起终端发起CRL更新流程，将本地存储的数字证书吊销列表的第一版本信息发送给响应终端，并获取响应终端发送的反馈信息，从而确定响应终端是否已根据第一版本信息进行了更新，从而确定自己是否需要更新，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性。
需要说明的是，在本申请中，发起终端和响应终端刚建立一次新的通信连接时，即为初次通信连接。在本申请中，通过发起终端或响应终端本地存储的ThisUpdate来判断数字证书吊销列表的版本信息，如发起终端的ThisUpdate领先于响应终端的ThisUpdate，说明发起终端的数字证书吊销列表的版本领先于响应终端的数字证书吊销列表的版本。
参照图2，在本申请的一些实施例中，反馈信息包括：第一反馈信息和第二反馈信息，第一反馈信息包括：来自响应终端的第二版本信息。
步骤S300包括但不限于步骤S310和步骤S320。
步骤S310：根据第一反馈信息提取得到第二版本信息，并根据第二版本信息执行更新操作；
步骤S320：根据第二反馈信息执行流程结束操作。
具体地，发起终端和响应终端建立一次新的通信连接时，需要进行一个认证过程，以实现双方的身份验证和密钥协商，如：比如HDCP(High-bandwidth Digital ContentProtection，高带宽数码内容保护)的AKE(Authentication and Key Exchange，身份验证和密钥交换)过程，TLS(Transport Layer Security，传输层安全协议)的握手协议等，本申请不做具体限制。在此过程中，发起终端会获取响应终端的CRL的ThisUpdate，当发起终端发现本地存储的ThisUpdate和响应终端的ThisUpdate不一致时，发起终端发起CRL更新流程。主要包括以下操作：
第一步：发起终端发送第一版本信息给响应终端，其中第一版本信息包含本地存储的发起终端的标识信息、CRL的版本、消息MAC和吊销子CA证书。
第二步：响应终端接收到第一版本信息后，首先校验HMAC，然后校验第一版本信息的合法性，两个校验都通过以后，响应终端判断第一版本信息和本地存储第二版本信息的ThisUpdate，以确定哪个版本最新。如果第一版本信息高于第二版本信息，响应终端则根据第一版本信息对本地存储的CRL进行更新，并发送包含本地存储标识信息的第二反馈信息给发起终端；如果第一版本信息低于第二版本信息，响应终端则不对本地存储的CRL进行更新，并将包含有本地存储的响应终端的标识信息、第二版本信息、消息MAC和吊销子CA证书一起打包成第一反馈信息发给发起终端，并执行流程结束操作；如果第一版本信息等于第二版本信息，响应终端则执行流程结束操作，并发送包含本地存储的响应终端的标识信息的第二反馈信息给发起终端。
第三步：发起终端接收到反馈信息后，判断反馈信息为第一反馈信息还是第二反馈信息，以确定反馈信息中是否携带第二版本信息。如果反馈信息为第二反馈信息，发起终端执行流程结束操作；如果反馈信息为第一反馈信息，发起终端首先校验HMAC，然后校验第二版本信息的合法性，两个校验都通过以后，判断第二版本信息和本地存储第一版本信息中的ThisUpdate，以确定哪个版本最新。如果本地存储的CRL版本较新，则执行流程结束操作；否则，根据第二版本信息对执行更新操作。
参照图3，在本申请的一些实施例中，数字证书吊销列表更新方法还包括但不限于步骤S400。
步骤S400：若在预设时间阈值内未接收到反馈信息，则以预设发送次数定时发送第一版本信息。
发起终端在于响应终端建立通信连接时，发起终端发起CRL更新流程，将本地存储的数字证书吊销列表的第一版本信息发送给响应终端，并获取响应终端发送的反馈信息，如果在预设时间阈值内没有接收到反馈信息，则表明响应终端没有接收到第一版本信息或者响应终端发送了反馈信息，但是发起终端未接收到，在这种情况下，发起终端将第一版本信息再次发送给响应终端，以使响应终端再次发送反馈消息给发起终端，从而便于发起终端了解响应终端的更新状态，以及确定发起终端执行更新操作或流程结束操作；当发送第一版本信息的次数超过了预设发送次数，表明发起终端、响应终端或者二者之间的通信状态发生了特殊情况，在这种情况下，不需要再次发送第一版本信息。这样设置，增加了CRL更新的可靠性。
具体地，在发起终端发送第一版本信息时，发起终端启动定时器CRL_Timer，如果发起终端在TCRL_MAX内未收到反馈信息，则在LCRL_MAX内重发第一版本信息，其中，TCRL_MAX即为预设时间阈值，LCRL_MAX为预设发送次数。
参照图4，在本申请的一些实施例中，数字证书吊销列表更新方法还包括但不限于步骤S500和步骤S600。
步骤S500：在与响应终端通信连接过程中，若数字证书吊销列表更新，则获取当前数字证书吊销列表的最新版本信息，以得到第一最新版本信息，并将第一最新版本信息发送至已建立通信连接的响应终端；
步骤S600：接收来自响应终端发送的第二最新版本信息，并根据第一最新版本信息和第二最新版本信息执行更新操作或流程结束操作。
具体地，第一最新版本信息和第二最新版本信息包括：CRL的版本信息、消息MAC、吊销子CA证书以及标识信息等。
发起终端在与响应终端通信连接过程中，如果发起终端的数字证书吊销列表发生了更新，发起终端获取数字证书吊销列表的最新版本信息，得到第一最新版本信息，并将第一最新版本信息发送至已建立通信连接的响应终端，以使响应终端根据第一最新版本信息进行更新。
发起终端在与响应终端通信连接过程中，如果响应终端的数字证书吊销列表发生了更新，发起终端接收来自响应终端发送的第二最新版本信息，并根据第一最新版本信息和第二最新版本信息执行更新操作或流程结束操作。当第一最新版本信息高于或等于第二最新版本信息时，说明发起终端的数字证书吊销列表的版本领先于响应终端的数字证书吊销列表的版本，或者发起终端的数字证书吊销列表的版本与响应终端的数字证书吊销列表的版本一致，在这种情况下，发起终端不需要对数字证书吊销列表进行更新，执行流程结束操作。当第一最新版本信息低于第二最新版本信息时，说明发起终端的数字证书吊销列表的版本落后于响应终端的数字证书吊销列表的版本，在这种情况下，发起终端执行更新操作，以第二最新版本信息对数字证书吊销列表进行更新。
参照图5，第二方面，本申请的一些实施例还提供了一种数字证书吊销列表更新方法，应用于响应终端，包括但不限于步骤S700、步骤S800和步骤S900。
步骤S700：接收来自发起终端的数字证书吊销列表的第一版本信息；
步骤S800：获取本地存储的数字证书吊销列表的版本信息，以得到第二版本信息；
步骤S900：根据第一版本信息和第二版本信息，执行数字证书吊销列表更新操作或保持数字证书吊销列表不变，并发送对应的反馈信息。
在与发起终端建立通信连接时，发起终端发起CRL更新流程，接收发起终端的数字证书吊销列表的第一版本信息，并根据第二版本信息和第一版本信息，确定自己的更新状态和反馈信息的内容，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性。
参照图6，在本申请的一些实施例中，反馈信息包括：第一反馈信息和第二反馈信息，第一反馈信息包括：第二版本信息。
步骤S900包括但不限于步骤S910、步骤S920和步骤S930。
步骤S910：若第二版本信息高于第一版本信息，则保持数字证书吊销列表不变，并发送第一反馈信息；
步骤S920：若第一版本信息高于第二版本信息，则执行更新操作，并发送第二反馈信息；
步骤S930：若第二版本信息等于第一版本信息，则保持数字证书吊销列表不变，并发送第二反馈信息。
具体地，发起终端和响应终端建立一次新的通信连接时，需要进行一个认证过程，以实现双方的身份验证和密钥协商，如：比如HDCP(High-bandwidth Digital ContentProtection，高带宽数码内容保护)的AKE(Authentication and Key Exchange，身份验证和密钥交换)过程，TLS(Transport Layer Security，传输层安全协议)的握手协议等，本申请不做具体限制。在此过程中，发起终端会获取响应终端的CRL的ThisUpdate，当发起终端发现本地存储的ThisUpdate和响应终端的ThisUpdate不一致时，发起终端发起CRL更新流程。主要包括以下操作：
第一步：发起终端发送第一版本信息给响应终端，其中第一版本信息包含本地存储的发起终端标识信息、CRL的版本、消息MAC和吊销子CA证书。
第二步：响应终端接收到第一版本信息后，首先校验HMAC，然后校验第一版本信息的合法性，两个校验都通过以后，响应终端判断第一版本信息和本地存储的第二版本信息中的ThisUpdate，以确定哪个版本最新。如果第一版本信息高于第二版本信息，响应终端则根据第一版本信息对本地存储的CRL进行更新，并发送包含本地存储标识信息的第二反馈信息给发起终端；如果第一版本信息低于第二版本信息，响应终端则不对本地存储的CRL进行更新，并将包含有本地存储的响应终端的标识信息、第二版本信息、消息MAC和吊销子CA证书一起打包成第一反馈信息发给发起终端，并执行流程结束操作；如果第一版本信息等于第二版本信息，响应终端则执行流程结束操作，并发送包含本地存储标识信息的第二反馈信息给发起终端。
第三步：发起终端接收到反馈信息后，判断反馈信息为第一反馈信息还是第二反馈信息，以确定反馈信息中是否携带第二版本信息。如果反馈信息为第二反馈信息，发起终端执行流程结束操作；如果反馈信息为第一反馈信息，发起终端首先校验HMAC，然后校验第二版本信息的合法性，两个校验都通过以后，判断第二版本信息和本地存储的第一版本信息中的ThisUpdate，以确定哪个版本最新。如果本地存储的CRL版本较新，则执行流程结束操作；否则，根据第二版本信息对执行更新操作。
参照图7，在本申请的一些实施例中，数字证书吊销列表更新方法还包括但不限于步骤S1000和步骤S1100。
步骤S1000：在与发起终端通信连接过程中，若数字证书吊销列表更新，则获取当前数字证书吊销列表的最新版本信息，以得到第二最新版本信息，并将第二最新版本信息发送至已通信连接的发起终端；
步骤S1100：接收来自发起终端发送的第一最新版本信息，并根据第一最新版本信息和第二最新版本信息执行更新操作或流程结束操作。
响应终端在与发起终端通信连接过程中，如果响应终端的数字证书吊销列表发生了更新，响应终端获取数字证书吊销列表的最新版本信息，得到第二最新版本信息，并将第二最新版本信息发送至已建立通信连接的发起终端，以使发起终端根据第二最新版本信息进行更新。
响应终端在与发起终端通信连接过程中，如果发起终端的数字证书吊销列表发生了更新，响应终端接收来自发起终端发送的第一最新版本信息，并根据第一最新版本信息和第二最新版本信息执行更新操作或流程结束操作。当第一最新版本信息高于第二最新版本信息时，说明发起终端的数字证书吊销列表的版本领先于响应终端的数字证书吊销列表的版本，在这种情况下，在这种情况下，响应终端执行更新操作，以第一最新版本信息对数字证书吊销列表进行更新。当第一最新版本信息低于或等于第二最新版本信息时，说明发起终端的数字证书吊销列表的版本落后于响应终端的数字证书吊销列表的版本，或者发起终端的数字证书吊销列表的版本与响应终端的数字证书吊销列表的版本一致，在这种情况下，响应终端不需要对数字证书吊销列表进行更新，执行流程结束操作。
参照图8，第三方面，本申请还提出一种发起终端，包括第一发送模块110、第一接收模块120和第一处理模块130。第一发送模块110用于将数字证书吊销列表的第一版本信息发送至初次通信连接的响应终端；第一接收模块120用于接收响应终端根据第一版本信息发送的反馈信息；第一处理模块130用于根据反馈信息执行更新操作或流程结束操作。
在与响应终端建立通信连接时，发起终端100发起CRL更新流程，将本地存储的数字证书吊销列表的第一版本信息发送给响应终端，并获取响应终端发送的反馈信息，从而确定响应终端是否已根据第一版本信息进行了更新，从而确定自己是否需要进行更新，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性，并且，指定了发起终端发起CRL更新流程，避免了双向信息冗余传递，节省了资源。
需要说明的是，本实施例的发起终端100与第一方面的数字证书吊销列表更新方法相对应，具体的更新流程请参照前述的数字证书吊销列表更新方法，在此不再赘述。
参照图9，第四方面，本申请还提出一种响应终端，包括第二接收模块210、获取模块220、第二处理模块230和第二发送模块240。第二接收模块210用于接收来自发起终端的数字证书吊销列表的第一版本信息；获取模块220用于获取本地存储数字证书吊销列表的版本信息，以得到第二版本信息；第二处理模块230用于根据第一版本信息和第二版本信息，执行数字证书吊销列表更新操作或保持数字证书吊销列表不变，并输出反馈信息；第二发送模块240用于发送反馈信息。
在与发起终端建立通信连接时，发起终端发起CRL更新流程，接收发起终端的数字证书吊销列表的第一版本信息，并根据第二版本信息和第一版本信息，确定自己的更新状态和反馈信息的内容，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性，并且，指定了发起终端发起CRL更新流程，避免了双向信息冗余传递，节省了资源。
需要说明的是，本实施例的响应终端200与第二方面的数字证书吊销列表更新方法相对应，具体的更新流程请参照前述的数字证书吊销列表更新方法，在此不再赘述。
参照图10，第五方面，本申请还提出一种数字证书吊销列表更新系统，包括第三方面的发起终端100和第四方面的响应终端200。
发起终端100与响应终端200建立通信连接时，发起终端100将本地存储的数字证书吊销列表的第一版本信息发送给响应终端200，并获取响应终端200发送的反馈信息，从而确定响应终端200是否已根据第一版本信息进行了更新，从而确定发起终端100的更新状态，这样设置，实现了在通信启动时强制更新数字证书吊销列表，提高了数字证书吊销列表更新的安全性，并且，指定了发起终端100发起CRL更新流程，避免了双向信息冗余传递，节省了资源。
需要说明的是，本实施例的数字证书吊销列表更新系统与第一方面、第二方面的数字证书吊销列表更新方法相对应，具体的更新流程请参照前述的数字证书吊销列表更新方法，在此不再赘述。
需要说明的是，在本申请中，对于响应终端200和发起终端100之间的连接数量不做限制，一个发起终端100可以与多个响应终端200建立通信连接，一个响应终端200也可以和多个发起终端100建立通信连接。当其中一个响应终端200或者发起终端100的CRL发生变化时，整个通信连接网络上所有的节点(包括响应终端200和发起终端100)都会进行CRL更新。
下面以一个具体的实施例对本申请的数字证书吊销列表更新系统进行详细说明，需要理解的是，以下仅仅是为了对本申请的数字证书吊销列表更新系统进行详细说明，而不能理解为对本申请的限制。
当发起终端100和响应终端200准备开启一次新的通信时，需要进行一个认证过程，以实现双方的身份验证和密钥协商，如：比如HDCP(High-bandwidth Digital ContentProtection，高带宽数码内容保护)的AKE(Authentication and Key Exchange，身份验证和密钥交换)过程，TLS(Transport Layer Security，传输层安全协议)的握手协议等，本申请不做具体限制。在此过程中，发起终端100会获取响应终端200的CRL的ThisUpdate，当发起终端100发现本地存储的ThisUpdate和响应终端200的ThisUpdate不一致时，发起终端100发起CRL更新流程。主要包括以下操作：
第一步：发起终端100发送第一版本信息给响应终端200，其中第一版本信息包含本地存储的发起终端100的标识信息、CRL的版本、消息MAC和吊销子CA证书，并启动定时器CRL_Timer，如果发起终端100在TCRL_MAX内未收到反馈信息，则在LCRL_MAX内重发第一版本信息。
第二步：响应终端200接收到第一版本信息后，首先校验HMAC，然后校验第一版本信息的合法性，两个校验都通过以后，响应终端200判断第一版本信息和本地存储的第二版本信息中的ThisUpdate，以确定哪个版本最新。如果第一版本信息高于第二版本信息，响应终端200则根据第一版本信息对本地存储的CRL进行更新，并发送包含本地存储标识信息的第二反馈信息给发起终端100；如果第一版本信息低于第二版本信息，响应终端200则不对本地存储的CRL进行更新，并将包含有本地存储标识信息、第二版本信息、消息MAC和吊销子CA证书一起打包成第一反馈信息发给发起终端100，并执行流程结束操作；如果第一版本信息等于第二版本信息，响应终端200则执行流程结束操作，并发送包含本地存储标识信息的第二反馈信息给发起终端100。
第三步：发起终端100接收到反馈信息后，判断反馈信息为第一反馈信息还是第二反馈信息，以确定反馈信息中是否携带第二版本信息。如果反馈信息为第二反馈信息，发起终端100执行流程结束操作；如果反馈信息为第一反馈信息，发起终端100首先校验HMAC，然后校验第二版本信息的合法性，两个校验都通过以后，判断第二版本信息和本地存储的第一版本信息中的ThisUpdate，以确定哪个版本最新。如果本地存储的CRL版本较新，则执行流程结束操作；否则，根据第二版本信息对执行更新操作。
当发起终端100和响应终端200处于正在通信连接的过程中时，如果发起终端100或者响应终端200的CRL发生了更新。例如：发起终端100的CRL发生了更新，发起终端100获取数字证书吊销列表的最新版本信息，得到第一最新版本信息，并将第一最新版本信息发送至已建立通信连接的响应终端200，响应终端200接收到第一最新版本信息后，对第一最新版本信息中的CRL版本进行证书校验，验证CRL的合法性，验证通过后，比较第一最新版本信息中的ThisUpdate和响应终端200本地存储的ThisUpdate，如果第一最新版本信息中的ThisUpdate领先于本地存储的ThisUpdate，则根据第一最新版本信息中的CRL版本进行更新，否则执行流程结束操作。当响应终端200的CRL发生了更新，其操作与发起终端100的CRL发生了更新时的类似，在此不再赘述。
例如：存在三个通信设备A、B、C和D，设备A与设备C处于通信连接过程中，设备C和设备D处于通信连接过程中，设备A与设备B正准备开启一次新的通信连接，设备A作为发起终端100，设备B和C作为响应终端。当设备A的CRL发生了变化时，设备A将CRL的第一最新版本信息发送至设备C，设备C对第一最新版本信息中的CRL版本进行证书校验，验证CRL的合法性，验证通过后，比较第一最新版本信息中的ThisUpdate和设备C本地存储的ThisUpdate，如果第一最新版本信息中的ThisUpdate领先于本地存储的ThisUpdate，则根据第一最新版本信息中的CRL版本进行更新，否则执行流程结束操作。当设备C根据第一最新版本信息更新后，设备C的CRL发生了更新，此时，设备C将自身的CRL版本进行刷新，并将最新的CRL版本(第二最新版本信息)发送给与设备C连接的设备，即将第二最新版本信息发送给设备A和设备D，由于设备A的CRL版本与设备C的CRL版本一致，此时，设备A不会进行更新；而设备D的操作与设备C的操作流程类似。
设备A和设备B在建议通信连接时，需要进行一个认证过程，以实现设备A和设备B的身份验证和密钥协商，如：比如HDCP(High-bandwidth Digital Content Protection，高带宽数码内容保护)的AKE(Authentication and Key Exchange，身份验证和密钥交换)过程，TLS(Transport Layer Security，传输层安全协议)的握手协议等。在此过程中，设备A获取设备B的CRL的ThisUpdate，当设备A发现本地存储的ThisUpdate和设备B的ThisUpdate不一致时，设备A发起CRL更新流程。
第一步，发起终端100发送第一版本信息给响应终端200，其中第一版本信息包含本地存储的设备A的标识信息、CRL的版本、消息MAC和吊销子CA证书，并启动定时器CRL_Timer，如果设备A在TCRL_MAX内未收到设备B的反馈信息，则在LCRL_MAX内重发第一版本信息。通过判断是否设备B的反馈信息，以确定设备B的CRL的更新状态，如果没有接收到反馈信息，进行多次发送，以确保设备B在连接正常的情况下，能够接受到第一版本信息，从而，增强了CRL的安全性。
第二步，设备B接收到第一版本信息后，首先校验HMAC，然后校验CRL的合法性，两个校验都通过以后，设备B判断本地存储的第二版本信息和第一版本信息的ThisUpdate，以确定哪个版本最新。如果第一版本信息高于第二版本信息，设备B则根据第一版本信息对本地存储的CRL进行更新，并发送包含本地存储标识信息的第二反馈信息给设备A；如果第一版本信息低于第二版本信息，设备B则不对本地存储的CRL进行更新，并将包含有本地存储标识信息、第二版本信息、消息MAC和吊销子CA证书一起打包成第一反馈信息发给设备A，并执行流程结束操作；如果第一版本信息等于第二版本信息，设备B则执行流程结束操作，并发送包含本地存储标识信息的第二反馈信息给设备A。
第三步：设备A接收到反馈信息后，判断反馈信息为第一反馈信息还是第二反馈信息，以确定反馈信息中是否携带第二版本信息。如果反馈信息为第二反馈信息，发起终端100执行流程结束操作；如果反馈信息为第一反馈信息，设备A首先校验HMAC，然后校验CRL的合法性，两个校验都通过以后，判断第二版本信息和本地存储的第一版本信息中的ThisUpdate，以确定哪个版本最新。如果本地存储的CRL版本较新，则执行流程结束操作；否则，根据第二版本信息对执行更新操作。
上面结合附图对本申请实施例作了详细说明，但是本申请不限于上述实施例，在所属技术领域普通技术人员所具备的知识范围内，还可以在不脱离本申请宗旨的前提下作出各种变化。此外，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

Claims (10)

1.数字证书吊销列表更新方法，其特征在于，应用于发起终端，包括：
将数字证书吊销列表的第一版本信息发送至初次通信连接的响应终端；
接收所述响应终端根据所述第一版本信息发送的反馈信息；
根据所述反馈信息执行更新操作或流程结束操作。
2.根据权利要求1所述的更新方法，其特征在于，所述更新方法还包括：
若在预设时间阈值内未接收到所述反馈信息，则以预设发送次数定时发送所述第一版本信息。
3.根据权利要求1所述的更新方法，其特征在于，所述更新方法还包括：
在与所述响应终端通信连接过程中，若所述数字证书吊销列表更新，则获取当前数字证书吊销列表的最新版本信息，以得到第一最新版本信息，并将所述第一最新版本信息发送至已建立通信连接的所述响应终端；
接收来自所述响应终端发送的第二最新版本信息，并根据所述第一最新版本信息和所述第二最新版本信息执行所述更新操作或所述流程结束操作。
4.根据权利要求1所述的更新方法，其特征在于，所述反馈信息包括：第一反馈信息和第二反馈信息，所述第一反馈信息包括：来自所述响应终端的第二版本信息；
所述根据所述反馈信息执行更新操作或流程结束操作，包括：
根据所述第一反馈信息提取得到所述第二版本信息，并根据所述第二版本信息执行所述更新操作；
根据所述第二反馈信息执行所述流程结束操作。
5.数字证书吊销列表更新方法，其特征在于，应用于响应终端，包括：
接收来自发起终端的数字证书吊销列表的第一版本信息；
获取本地存储的数字证书吊销列表的版本信息，以得到第二版本信息；
根据所述第一版本信息和所述第二版本信息，执行所述数字证书吊销列表更新操作或保持所述数字证书吊销列表不变，并发送对应的反馈信息。
6.根据权利要求5所述的更新方法，其特征在于，所述更新方法还包括：
在与所述发起终端通信连接过程中，若所述数字证书吊销列表更新，则获取当前数字证书吊销列表的最新版本信息，以得到第二最新版本信息，并将所述第二最新版本信息发送至已通信连接的发起终端；
接收来自所述发起终端发送的第一最新版本信息，并根据所述第一最新版本信息和所述第二最新版本信息执行更新操作或流程结束操作。
7.根据权利要求5所述的更新方法，其特征在于，所述反馈信息包括：第一反馈信息和第二反馈信息，所述第一反馈信息包括：第二版本信息；
所述根据所述第一版本信息和第二版本信息，执行所述数字证书吊销列表更新操作或保持所述数字证书吊销列表不变，并发送对应的反馈信息，包括：
若所述第二版本信息高于所述第一版本信息，则保持所述数字证书吊销列表不变，并发送所述第一反馈信息；
若所述第一版本信息高于所述第二版本信息，则执行所述更新操作，并发送所述第二反馈信息；
若所述第二版本信息等于所述第一版本信息，则保持所述数字证书吊销列表不变，并发送所述第二反馈信息。
8.发起终端，其特征在于，包括：
第一发送模块，所述第一发送模块用于将数字证书吊销列表的第一版本信息发送至初次通信连接的响应终端；
第一接收模块，所述第一接收模块用于接收所述响应终端根据所述第一版本信息发送的反馈信息；
第一处理模块，所述第一处理模块用于根据所述反馈信息执行更新操作或流程结束操作。
9.响应终端，其特征在于，包括：
第二接收模块，所述第二接收模块用于接收来自发起终端的数字证书吊销列表的第一版本信息；
获取模块，所述获取模块用于获取本地存储的数字证书吊销列表的版本信息，以得到第二版本信息；
第二处理模块，所述第二处理模块用于根据所述第一版本信息和所述第二版本信息，执行所述数字证书吊销列表更新操作或保持所述数字证书吊销列表不变，并输出反馈信息；
第二发送模块，所述第二发送模块用于发送所述反馈信息。
10.数字证书吊销列表更新系统，其特征在于，包括：
如权利要求8所述的发起终端；
如权利要求9所述的响应终端。
CN202110899941.3A 2021-08-06 2021-08-06 数字证书吊销列表更新方法、发起终端、响应终端及系统 Pending CN113742787A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110899941.3A CN113742787A (zh) 2021-08-06 2021-08-06 数字证书吊销列表更新方法、发起终端、响应终端及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110899941.3A CN113742787A (zh) 2021-08-06 2021-08-06 数字证书吊销列表更新方法、发起终端、响应终端及系统

Publications (1)

Publication Number Publication Date
CN113742787A true CN113742787A (zh) 2021-12-03

Family

ID=78730332

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110899941.3A Pending CN113742787A (zh) 2021-08-06 2021-08-06 数字证书吊销列表更新方法、发起终端、响应终端及系统

Country Status (1)

Country Link
CN (1) CN113742787A (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101136098A (zh) * 2006-08-30 2008-03-05 阿里巴巴公司 一种访问证书吊销列表的方法、装置和系统
CN101527837A (zh) * 2009-04-10 2009-09-09 四川长虹电器股份有限公司 一种数字接口吊销列表的更新方法
CN102215488A (zh) * 2011-05-27 2011-10-12 中国联合网络通信集团有限公司 智能手机数字证书的应用方法和系统
US20190260596A1 (en) * 2018-01-19 2019-08-22 Cable Television Laboratories, Inc Systems and methods for enhanced online certificate status protocol
CN113141257A (zh) * 2021-03-26 2021-07-20 深圳国实检测技术有限公司 吊销列表更新方法和存储介质

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101136098A (zh) * 2006-08-30 2008-03-05 阿里巴巴公司 一种访问证书吊销列表的方法、装置和系统
CN101527837A (zh) * 2009-04-10 2009-09-09 四川长虹电器股份有限公司 一种数字接口吊销列表的更新方法
CN102215488A (zh) * 2011-05-27 2011-10-12 中国联合网络通信集团有限公司 智能手机数字证书的应用方法和系统
US20190260596A1 (en) * 2018-01-19 2019-08-22 Cable Television Laboratories, Inc Systems and methods for enhanced online certificate status protocol
CN113141257A (zh) * 2021-03-26 2021-07-20 深圳国实检测技术有限公司 吊销列表更新方法和存储介质

Similar Documents

Publication Publication Date Title
EP3759885B1 (en) Broker-based bus protocol and multi-client architecture
CN111799867B (zh) 一种充电设备与充电管理平台间的互信认证方法及系统
CN110572418B (zh) 车辆身份认证的方法、装置、计算机设备及存储介质
US8386790B2 (en) Method of using ECDSA with winternitz one time signature
US7269409B2 (en) Wireless communication system, terminal, processing method for use in the terminal, and program for allowing the terminal to execute the method
US20060282675A1 (en) Message authentication system, message transmission apparatus and message reception apparatus
US11917018B2 (en) Broker-based bus protocol and multi-client architecture
CN110858970B (zh) 第一车辆侧的终端设备及其运行方法、第二车辆侧的终端设备及其运行方法
CN108134672B (zh) 基于量子加密交换机装置的数据传输系统及其传输方法
CN113098863B (zh) 一种基于tls+mqtt协议的物联网双认证方法和系统
CN113452660B (zh) 网状网络与云端服务器的通信方法、网状网络系统及其节点装置
CN113630248A (zh) 一种会话密钥协商方法
CN113141257B (zh) 吊销列表更新方法和存储介质
WO2004071123A1 (ja) 無線アドホック通信システム、端末、その端末における属性証明書発行提案方法及び属性証明書発行依頼方法並びにそれらの方法を端末に実行させるためのプログラム
CN106982115B (zh) 一种分组密码模式的同步方法和系统
CN112053477A (zh) 智能门锁的控制系统、方法、装置及可读存储介质
CN113742787A (zh) 数字证书吊销列表更新方法、发起终端、响应终端及系统
CN111740985A (zh) 一种tcp长连接安全验证加密方法
JP2004260803A (ja) 無線アドホック通信システム、端末、その端末における属性証明書発行提案方法及び属性証明書発行依頼方法並びにそれらの方法を端末に実行させるためのプログラム
CN111064571B (zh) 一种通信终端、服务器及动态更新预共享密钥的方法
JP5664104B2 (ja) 通信システム、並びに、通信装置及びプログラム
CN117176346B (zh) 分布式量子密钥链路控制方法及密钥管理系统
CN112260987B (zh) 一种数字内容保护系统中双向安全认证方法及系统
CN107846686B (zh) 一种集群多基站加密通信系统的密钥同步方法及装置
US20230418930A1 (en) Methods and apparatus for managing trusted devices

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination