CN115514500B - 一种ca证书撤销列表快速验证方法 - Google Patents

Abstract

本发明属于数字证书认证领域，涉及区块链技术，用于解决数字证书认证系统中的撤销列表超大增长的问题，具体是一种CA证书撤销列表快速验证方法，包括以下步骤：颁发CA证书时，获取已分配的最大序列号S_n与积值V，计算并记录下一个大于S_n的质数并标记为序列号S_n+1，生成CA证书并将CA证书与序列号S_n+1进行匹配，通过计算得到颁发值V’，将颁发值V’对积值V的数值进行替换；本发明是通过为CA证书分配唯一的质数作为序列号，同时计算CA系统的积值，使CA系统只需维护一个有效证书序列号的乘积以及已分配的最大证书序列号，即可实现证书的快速认证，提高了撤销列表的验证效率。

Description

一种CA证书撤销列表快速验证方法

技术领域

本发明属于数字证书认证领域，涉及区块链技术，具体是一种CA证书撤销列表快速验证方法。

背景技术

联盟链作为一类许可链，会通过数字证书验证各节点的身份，同时数据上链时也通过用户数字证书验证用户身份，有时因用户身份的改变、密钥泄露等原因需要在证书有效期到来之前将其撤销；

现有的CA证书撤销列表验证方法一般分为两类，第一类是周期性的发布证书撤销列表，但是随着时间的发展，证书撤销列表会越来越大，证书撤销列表的下载与检索变慢；第二类通过在线查询机制进行撤销列表验证，如在线证书状态协议(OCSP)，此方法在证书认证系统中同样需要维护证书撤销列表，也面临撤销列表超大增长的问题；

针对上述技术问题，本申请提出一种解决方案。

发明内容

本发明的目的在于提供一种CA证书撤销列表快速验证方法，用于解决数字证书认证系统中的撤销列表超大增长的问题。

本发明需要解决的技术问题为：如何提供一种可以快速进行撤销列表验证的CA证书撤销列表快速验证方法。

本发明的目的可以通过以下技术方案实现：

一种CA证书撤销列表快速验证方法，包括以下步骤：

步骤S1：颁发CA证书时，获取积值V和已分配的最大序列号Sn，其中，所述积值V为在所述颁发CA证书之前所有CA证书的有效序列号的乘积，计算并记录下一个大于S_n的质数并标记为序列号S_n+1，生成CA证书并将CA证书与序列号S_n+1进行匹配，通过公式V’=V*S_n+1得到颁发值V’，将颁发值V’对积值V的数值进行替换；

步骤S2：撤销CA证书时，获取要撤销的CA证书的序列号S，将积值V与序列号S的比值标记为撤销值CX，将撤销值CX对积值V的数值进行替换；

步骤S3：对撤销列表进行认证分析：获取已分配的最大序列号S_n，将积值V除以最大序列号S_n的余数标记为认证值，对认证值的数值是否为零进行判定：若认证值的数值为零，则判定认证通过；若认证值的数值不为零，则判定认证不通过；

步骤S4：定期对联盟链进行密钥泄露检测；

步骤S5：对联盟链的主动撤销与被动撤销情况进行验证分析。

作为本发明的一种优选实施方式，在步骤S4中，定期对联盟链进行密钥泄露检测的具体过程包括：

步骤S41：设定检测周期，将检测周期分割为若干个检测时段，将已颁发的CA证书标记为检测对象，获取检测对象在检测时段内的上传数据SC、更换数据GH以及攻击数据GJ，通过对检测时段内的上传数据SC、更换数据GH以及攻击数据GJ进行数值计算得到检测时段内检测对象的泄密系数XM；

步骤S42：将检测对象在所有检测时段内的泄密系数XM进行求和取平均值得到泄露表现值，获取预设泄露表现阈值，将泄露表现值与泄露表现阈值进行比较并通过比较结果将检测对象标记为待定对象或预警对象；

步骤S43：对待定对象进行集中分析并将待定对象标记为安全对象或预警对象；

步骤S44：向预警对象对应的用户手机终端发送泄露预警信号。

作为本发明的一种优选实施方式，在步骤S41中，上传数据SC为检测时段内检测对象的私钥被上传次数，更换数据GH为检测时段内检测对象对应管理员的更换次数，攻击数据GJ为检测时段内检测对象受到主动窃密攻击的次数。

作为本发明的一种优选实施方式，在步骤S42中，对泄露表现值与泄露表现阈值进行比较的具体过程包括：

若泄露表现值小于泄露表现阈值，则将对应的检测对象标记为待定对象；

若泄露表现值大于等于泄露表现阈值，则判定检测对象存在私钥泄露风险，将对应检测对象标记为预警对象。

作为本发明的一种优选实施方式，在步骤S43中，对待定对象进行集中分析的具体过程包括：将检测时段按照时间顺序进行排序并生成序号，将待定对象中泄露系数XM不小于泄露表现阈值的检测时段标记为分析时段，将分析时段按照序号由小到大的顺序进行排列，由排序第一至排序第L1的分析时段构成第一个分析集合，由排序第二的分析时段至排序第L1+1的分析时段构成第二个分析集合，以此类推，直至排序最后的L1个分析时段构成分析集合，对分析集合进行方差计算得到分析集合的集中系数，获取预设集中阈值，将集中系数与集中阈值进行比较并通过比较结果将待定对象标记为安全对象或预警对象。

作为本发明的一种优选实施方式，将集中系数与集中阈值进行比较的具体过程包括：

若集中系数小于集中阈值，则将对应分析集合标记为集中集合；若集中系数大于等于集中阈值，则将对应分析集合标记为分散集合；在所有分析集合的集中系数均与集中阈值完成比较后：

若集中集合的数量不为零，则判定检测对象存在私钥泄露风险，将对应检测对象标记为预警对象；若集中集合的数量为零，判定检测对象不存在私钥泄露风险，将对应检测对象标记为安全对象。

作为本发明的一种优选实施方式，在步骤S5中，对联盟链的主动撤销与被动撤销情况进行验证分析的具体过程包括：在一个检测周期结束后，获取检测周期内接收到的证书撤销请求的次数并标记为主动值，获取检测周期内的预警对象数量并标记为被动值，将主动值与被动值的差值的绝对值标记为验证值，获取预设验证阈值，将验证值与验证阈值进行比较并通过比较结果对泄露检测结果是否满足要求进行判定。

作为本发明的一种优选实施方式，在步骤S5中，将验证值与验证阈值进行比较的具体过程包括：

若验证值小于等于验证阈值，则判定主动撤销与被动撤销相对应，密钥泄露检测结果满足要求；

若验证值大于验证阈值，则判定主动撤销与被动撤销不对应，对主动值与被动值进行数值比较：

若主动值大于被动值，则判定密钥泄露检测结果不满足要求，生成泄露检测优化信号并发送至管理人员的手机终端；

若主动值小于被动值，则判定CA证书存在潜在危险，生成证书危险信号并发送至管理人员的手机终端。

本发明具备下述有益效果：

1、通过为CA证书分配唯一的质数作为序列号，同时计算CA系统的积值，使CA系统只需维护一个有效证书序列号的乘积以及已分配的最大证书序列号，即可实现证书的快速认证，避免了现有技术中周期性发布证书撤销列表以及在线查询导致的撤销列表超大增长的问题，提高了撤销列表的验证效率；

2、通过定期对联盟链进行密钥泄露检测可以对CA证书的安全性进行检测分析，通过分时段检测的方式，对CA证书的整体安全性与异常集中程度同时进行反馈，从而在CA证书存在私钥泄密风险时及时进行预警，用户接收预警信号后可对CA证书进行撤销，避免出现私钥泄密导致的网络安全事故；

3、通过对联盟链的主动撤销与被动撤销情况进行验证分析可以对密钥泄露检测结果进行验证分析，通过主动值与被动值的数值比较结果对CA系统的运行环境进行反馈，在发现CA证书存在潜在危险时向管理人员预警，在发现密钥泄露检测结果与主动撤销不匹配时进行系统优化，提高CA系统运行的整体安全性能。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的方法流程图。

具体实施方式

下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

CA拥有一个证书（内含公钥和私钥），网上的公众用户通过验证CA的签字从而信任CA，任何人都可以得到CA的证书（含公钥），用以验证它所签发的证书；如果用户想得到一份属于自己的证书，他应先向CA提出申请，在CA判明申请者的身份后，便为他分配一个公钥，并且CA将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请者；如果一个用户想鉴别另一个证书的真伪，他就用CA的公钥对那个证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的，证书实际是由证书签证机关（CA）签发的对用户的公钥的认证。

证书撤销列表是认证中心(CA)已撤销的证书的时间戳记列表；在证书撤销列表(CRL)中找到的证书可能未到期，但发出该证书的认证中心不再信任该证书。认证中心将创建包含序列号的CRL，并发出已撤销的证书的CA专有名称，如果CA认为客户机证书已泄密，那么可以将该证书添加到证书撤销列表；证书撤销列表由认证中心维护和发放。

如图1所示，一种CA证书撤销列表快速验证方法，包括以下步骤：

步骤一：颁发CA证书时，获取已分配的最大序列号Sn与积值V，计算并记录下一个大于S_n的质数并标记为序列号S_n+1，生成CA证书并将CA证书与序列号S_n+1进行匹配，通过公式V’=V*S_n+1得到颁发值V’，将颁发值V’对积值V的数值进行替换；需要说明的是，在CA证书颁发之前，积值V的数值为所有CA证书的有效序列号测乘积；

步骤二：撤销CA证书时，获取要撤销的CA证书的序列号S，将积值V与序列号S的比值标记为撤销值CX，将撤销值CX对积值V的数值进行替换；

步骤三：对撤销列表进行认证分析：获取已分配的最大序列号S_n，将积值V除以最大序列号S_n的余数标记为认证值，对认证值的数值是否为零进行判定：若认证值的数值为零，则判定认证通过；若认证值的数值不为零，则判定认证不通过；通过为CA证书分配唯一的质数作为序列号，同时计算CA系统的积值，使CA系统只需维护一个有效证书序列号的乘积以及已分配的最大证书序列号，即可实现证书的快速认证，避免了现有技术中周期性发布证书撤销列表以及在线查询导致的撤销列表超大增长的问题，提高了撤销列表的验证效率；

步骤四：定期对联盟链进行密钥泄露检测：设定检测周期，将检测周期分割为若干个检测时段，将已颁发的CA证书标记为检测对象，获取检测对象在检测时段内的上传数据SC、更换数据GH以及攻击数据GJ，其中上传数据SC为检测时段内检测对象的私钥被上传次数，更换数据GH为检测时段内检测对象对应管理员的更换次数，攻击数据GJ为检测时段内检测对象受到主动窃密攻击的次数；通过公式XM=α1*SC+α2*GH+α3*GJ得到检测时段内检测对象的泄密系数XM，需要说明的是，泄密系数是一个反映检测时段内检测对象的私钥存在泄露可能性的数值，泄密系数的数值越大，则表示检测时段内检测对象的私钥泄露可能性越大；其中α1、α2以及α3均为比例系数，且α3＞α1＞α2＞1；将检测对象在所有检测时段内的泄密系数XM进行求和取平均值得到泄露表现值，获取预设泄露表现阈值，将泄露表现值与泄露表现阈值进行比较：若泄露表现值小于泄露表现阈值，则将对应的检测对象标记为待定对象；若泄露表现值大于等于泄露表现阈值，则判定检测对象存在私钥泄露风险，将对应检测对象标记为预警对象；对待定对象进行集中分析：将检测时段按照时间顺序进行排序并生成序号，将待定对象中泄露系数XM不小于泄露表现阈值的检测时段标记为分析时段，将分析时段按照序号由小到大的顺序进行排列，由排序第一至排序第L1的分析时段构成第一个分析集合，由排序第二的分析时段至排序第L1+1的分析时段构成第二个分析集合，以此类推，直至排序最后的L1个分析时段构成分析集合，L1为数值常量，L1的具体数值由管理人员自行设置；对分析集合进行方差计算得到分析集合的集中系数，获取预设集中阈值，将集中系数与集中阈值进行比较：若集中系数小于集中阈值，则将对应分析集合标记为集中集合；若集中系数大于等于集中阈值，则将对应分析集合标记为分散集合；在所有分析集合的集中系数均与集中阈值完成比较后：若集中集合的数量不为零，则判定检测对象存在私钥泄露风险，将对应检测对象标记为预警对象；若集中集合的数量为零，判定检测对象不存在私钥泄露风险，将对应检测对象标记为安全对象；向预警对象对应的用户手机终端发送泄露预警信号；通过定期对联盟链进行密钥泄露检测可以对CA证书的安全性进行检测分析，通过分时段检测的方式，对CA证书的整体安全性与异常集中程度同时进行反馈，从而在CA证书存在私钥泄密风险时及时进行预警，用户接收预警信号后可对CA证书进行撤销，避免出现私钥泄密导致的网络安全事故；

步骤五：对联盟链的主动撤销与被动撤销情况进行验证分析：在一个检测周期结束后，获取检测周期内接收到的证书撤销请求的次数并标记为主动值，获取检测周期内的预警对象数量并标记为被动值，将主动值与被动值的差值的绝对值标记为验证值，获取预设验证阈值，将验证值与验证阈值进行比较：若验证值小于等于验证阈值，则判定主动撤销与被动撤销相对应，密钥泄露检测结果满足要求；若验证值大于验证阈值，则判定主动撤销与被动撤销不对应，对主动值与被动值进行数值比较：若主动值大于被动值，则判定密钥泄露检测结果不满足要求，生成泄露检测优化信号并发送至管理人员的手机终端；若主动值小于被动值，则判定CA证书存在潜在危险，生成证书危险信号并发送至管理人员的手机终端；通过对联盟链的主动撤销与被动撤销情况进行验证分析可以对密钥泄露检测结果进行验证分析，通过主动值与被动值的数值比较结果对CA系统的运行环境进行反馈，在发现CA证书存在潜在危险时向管理人员预警，在发现密钥泄露检测结果与主动撤销不匹配时进行系统优化，提高CA系统运行的整体安全性能。

一种CA证书撤销列表快速验证方法，工作时，颁发CA证书时，获取已分配的最大序列号S_n与积值V，计算并记录下一个大于S_n的质数并标记为序列号S_n+1，生成CA证书并将CA证书与序列号S_n+1进行匹配，通过计算得到颁发值V’，将颁发值V’对积值V的数值进行替换；撤销CA证书时，获取要撤销的CA证书的序列号S，将积值V与序列号S的比值标记为撤销值CX，将撤销值CX对积值V的数值进行替换；对撤销列表进行认证分析：获取已分配的最大序列号S_n，将积值V除以最大序列号S_n的余数标记为认证值，对认证值的数值是否为零进行判定并通过判定结果对认证是否通过进行标记；定期对联盟链进行密钥泄露检测：设定检测周期，将检测周期分割为若干个检测时段，将已颁发的CA证书标记为检测对象，获取检测对象在检测时段内的上传数据SC、更换数据GH以及攻击数据GJ并进行数值计算得到泄密系数，对泄密系数进行数值计算得到泄露表现值，从而根据泄露表现值对检测对象是否存在泄露风险进行判定；对联盟链的主动撤销与被动撤销情况进行验证分析。

需要说明的是，本方法除了用于证书撤销列表的验证，还可以用于分布式数字身份凭证等各种撤销列表的认证。

以上内容仅仅是对本发明结构所作的举例和说明，所属本技术领域的技术人员对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，只要不偏离发明的结构或者超越本权利要求书所定义的范围，均应属于本发明的保护范围。

上述公式均是采集大量数据进行软件模拟得出且选取与真实值接近的一个公式，公式中的系数是由本领域技术人员根据实际情况进行设置；如：公式XM=α1*SC+α2*GH+α3*GJ；由本领域技术人员采集多组样本数据并对每一组样本数据设定对应的泄密系数；将设定的泄密系数和采集的样本数据代入公式，任意三个公式构成三元一次方程组，将计算得到的系数进行筛选并取均值，得到α1、α2以及α3的取值分别为3.54、1.17和6.48；

系数的大小是为了将各个参数进行量化得到的一个具体的数值，便于后续比较，关于系数的大小，取决于样本数据的多少及本领域技术人员对每一组样本数据初步设定对应的泄密系数；只要不影响参数与量化后数值的比例关系即可，如泄密系数与上传数据的数值成正比。

在本说明书的描述中，参考术语“一个实施例”、“示例”、“具体示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

以上公开的本发明优选实施例只是用于帮助阐述本发明。优选实施例并没有详尽叙述所有的细节，也不限制该发明仅为的具体实施方式。显然，根据本说明书的内容，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本发明的原理和实际应用，从而使所属技术领域技术人员能很好地理解和利用本发明。本发明仅受权利要求书及其全部范围和等效物的限制。

Claims (7)

1.一种CA证书撤销列表快速验证方法，其特征在于，包括以下步骤：

步骤S1：颁发CA证书时，获取积值V和已分配的最大序列号Sn，其中，所述积值V为在所述颁发CA证书之前所有CA证书的有效序列号的乘积，计算并记录下一个大于S_n的质数并标记为序列号S_n+1，生成CA证书并将CA证书与序列号S_n+1进行匹配，通过公式V’=V*S_n+1得到颁发值V’，将颁发值V’对积值V的数值进行替换；

步骤S2：撤销CA证书时，获取要撤销的CA证书的序列号S，将积值V与序列号S的比值标记为撤销值CX，将撤销值CX对积值V的数值进行替换；

步骤S3：对撤销列表进行认证分析：获取已分配的最大序列号S_n，将积值V除以最大序列号S_n的余数标记为认证值，对认证值的数值是否为零进行判定：若认证值的数值为零，则判定认证通过；若认证值的数值不为零，则判定认证不通过；

步骤S4：定期对联盟链进行密钥泄露检测；

步骤S5：对联盟链的主动撤销与被动撤销情况进行验证分析。

2.根据权利要求1所述的一种CA证书撤销列表快速验证方法，其特征在于，在步骤S4中，定期对联盟链进行密钥泄露检测的具体过程包括：

步骤S41：设定检测周期，将检测周期分割为若干个检测时段，将已颁发的CA证书标记为检测对象，获取检测对象在检测时段内的上传数据SC、更换数据GH以及攻击数据GJ，通过对检测时段内的上传数据SC、更换数据GH以及攻击数据GJ进行数值计算得到检测时段内检测对象的泄密系数XM；

步骤S42：将检测对象在所有检测时段内的泄密系数XM进行求和取平均值得到泄露表现值，获取预设泄露表现阈值，将泄露表现值与泄露表现阈值进行比较并通过比较结果将检测对象标记为待定对象或预警对象；

步骤S43：对待定对象进行集中分析并将待定对象标记为安全对象或预警对象；

步骤S44：向预警对象对应的用户手机终端发送泄露预警信号；

上传数据SC为检测时段内检测对象的私钥被上传次数，更换数据GH为检测时段内检测对象对应管理员的更换次数，攻击数据GJ为检测时段内检测对象受到主动窃密攻击的次数；通过公式XM=α1*SC+α2*GH+α3*GJ得到检测时段内检测对象的泄密系数XM，其中α1、α2以及α3均为比例系数，且α3＞α1＞α2＞1。

3.根据权利要求2所述的一种CA证书撤销列表快速验证方法，其特征在于，在步骤S42中，对泄露表现值与泄露表现阈值进行比较的具体过程包括：

若泄露表现值小于泄露表现阈值，则将对应的检测对象标记为待定对象；

若泄露表现值大于等于泄露表现阈值，则判定检测对象存在私钥泄露风险，将对应检测对象标记为预警对象。

4.根据权利要求2所述的一种CA证书撤销列表快速验证方法，其特征在于，在步骤S43中，对待定对象进行集中分析的具体过程包括：将检测时段按照时间顺序进行排序并生成序号，将待定对象中泄露系数XM不小于泄露表现阈值的检测时段标记为分析时段，将分析时段按照序号由小到大的顺序进行排列，由排序第一至排序第L1的分析时段构成第一个分析集合，由排序第二的分析时段至排序第L1+1的分析时段构成第二个分析集合，以此类推，直至排序最后的L1个分析时段构成分析集合，对分析集合进行方差计算得到分析集合的集中系数，获取预设集中阈值，将集中系数与集中阈值进行比较并通过比较结果将待定对象标记为安全对象或预警对象。

5.根据权利要求4所述的一种CA证书撤销列表快速验证方法，其特征在于，将集中系数与集中阈值进行比较的具体过程包括：

若集中系数小于集中阈值，则将对应分析集合标记为集中集合；若集中系数大于等于集中阈值，则将对应分析集合标记为分散集合；在所有分析集合的集中系数均与集中阈值完成比较后：

若集中集合的数量不为零，则判定检测对象存在私钥泄露风险，将对应检测对象标记为预警对象；若集中集合的数量为零，判定检测对象不存在私钥泄露风险，将对应检测对象标记为安全对象。

6.根据权利要求1所述的一种CA证书撤销列表快速验证方法，其特征在于，在步骤S5中，对联盟链的主动撤销与被动撤销情况进行验证分析的具体过程包括：在一个检测周期结束后，获取检测周期内接收到的证书撤销请求的次数并标记为主动值，获取检测周期内的预警对象数量并标记为被动值，将主动值与被动值的差值的绝对值标记为验证值，获取预设验证阈值，将验证值与验证阈值进行比较并通过比较结果对泄露检测结果是否满足要求进行判定。

7.根据权利要求6所述的一种CA证书撤销列表快速验证方法，其特征在于，在步骤S5中，将验证值与验证阈值进行比较的具体过程包括：

若验证值小于等于验证阈值，则判定主动撤销与被动撤销相对应，密钥泄露检测结果满足要求；

若验证值大于验证阈值，则判定主动撤销与被动撤销不对应，对主动值与被动值进行数值比较：

若主动值大于被动值，则判定密钥泄露检测结果不满足要求，生成泄露检测优化信号并发送至管理人员的手机终端；

若主动值小于被动值，则判定CA证书存在潜在危险，生成证书危险信号并发送至管理人员的手机终端。

Images