CN115694836A - 一种增量式crl列表更新装置 - Google Patents

Abstract

本申请公开了一种增量式CRL更新装置，包括证书撤销单元、撤销证书存储单元和安全代理服务单元。证书撤销单元主要完成作废证书的撤销过程。撤销证书存储单元负责完成撤销证书的存储工作，并按照增量发布方式存储CRL，供验证方下载使用。安全代理服务单元是采用增量式机制按照设置好的周期下载CRL。本方案将下载存储CRL的工作下移至安全代理服务单元，有效缓解了签名验签服务器压力，从而减少了CRL列表的下载耗时。

Description

一种增量式CRL列表更新装置

技术领域

本申请涉及网络技术领域，更具体地说，涉及一种增量式CRL列表更新装置。

背景技术

作为目前金融科技领域网络安全建设的基础与核心,PKI技术通过数字证书绑定用户身份信息，当发生密钥泄漏、账户关系变更等情况时,需要及时更新作废数字证书,来保证系统安全。基于CA发布的CRL(Certificate Revocation List,证书作废列表)被广泛应用于电子商务等金融场景中，但是在数字化转型的战略背景下，PKI的规模不断扩大，银行业所产生的用户证书数量剧烈膨胀，作废证书体量也随之增长。传统的CRL方案无法完全兼顾证书作废列表发布、下载、查询的及时性、准确性与高效性。因此如何解决CRL的及时分发与下载，查询CRL列表提高签名验证效率，是急需解决的问题。

CA作为PKI应用中权威的可信的公正的第三方机构，负责生成和管理PKI结构下的所有用户(含各种应用程序)的证书。RA是CA的延伸部分，它与CA逻辑上是一个整体，执行不同的功能。RA按照特定的政策和管理规范对用户的资格进行审查，以决定是否为该用户发放证书。证书撤销申请可以由终端用户发起，直接交给CA或者RA中心。RA或CA对用户的申请进行审核。在某些环境下，CA也有权利直接撤销终端实体的证书，证书撤销流程图1所示。

证书状态由颁发该证书的CA管理，为保护CA私钥安全，CA不直接向验证者提供证书状态信息，离线签署证书状态信息后，发布到证书撤销库中并定期更新，由证书撤销库响应验证者的查询请求，流程如图2所示。

目前一般采用全量CRL更新方案，既CA按照一定周期全量发布CRL至CRL存储器中，为用户提供相对较新的证书状态信息，将CRL直接下载至签名验签装置中供其使用。此方案虽然可以实时获取到准确的CRL信息，但由于CRL体量较大，下载耗时较长。

发明内容

有鉴于此，本申请提供一种增量式CRL列表更新装置，用于减少CRL列表的下载耗时。

为了实现上述目的，现提出的方案如下：

一种增量式CRL更新装置，包括证书撤销单元、撤销证书存储单元和安全代理服务单元，其中：

所述证书撤销单元用于将过期的证书或者存在私钥泄露的证书进行作废处理，并将作废处理后的证书存储在所述撤销证书存储单元；

撤销证书存储单元用于将作废处理后的证书以预设数据结构存储；

所述安全代理服务单元用于采用增量式机制通过预设周期下载CRL，并通过所述证书撤销单元对应的信任域证书校验所述CRL的有效性，并在校验通过后将所述CRL发布在所述安全代理服务单元。

可选的，所述证书撤销单元包括证书注册器和证书认证器。

可选的，所述撤销证书存储单元包括CRL存储服务器，其中：

所述CRL存储服务器用于存储作废后的证书。

可选的，所述CRL存储服务器为LDAP服务器。

可选的，所述安全代理服务单元包括CRL下载器、CRL校验器和CRL发布器，其中：

所述CRL下载器用于采用增量式机制通过预设周期下载所述CRL；

所述CRL校验器用于通过所述证书撤销单元对应的信任域证书校验所述CRL的有效性；

所述CRL发布器在所述CRL校验通过后将其进行发布。

从上述的技术方案可以看出，本申请公开了一种增量式CRL更新装置，包括证书撤销单元、撤销证书存储单元和安全代理服务单元。证书撤销单元主要完成作废证书的撤销过程。撤销证书存储单元负责完成撤销证书的存储工作，并按照增量发布方式存储CRL，供验证方下载使用。安全代理服务单元是采用增量式机制按照设置好的周期下载CRL。本方案将下载存储CRL的工作下移至安全代理服务单元，有效缓解了签名验签服务器压力，从而减少了CRL列表的下载耗时。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为证书撤销的流程图；

图2为证书查询的流程图；

图3为本申请实施例的一种增量式CRL更新装置的框图；

图4为本申请实施例的证书撤销单元的框图；

图5为本申请实施例的CRL存储结构的示意图；

图6为本申请实施例的安全代理服务单元的框图；

图7为本申请实施例的CRL下载器的框图；

图8为本申请实施例的CRL校验器的工作流程图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请的实施例涉及多个概念，分别如下所述：

CRL：证书撤销列表(Certificate Revocation List)，是一种特殊的文件格式，包含所有失效的证书清单、下次CRL生成时间和CA私钥的签名。

PKI：公钥基础设施(Public Key Infrastructure)，PKI主要为用户提供证书申请、作废的途径，并利用数字证书及相关的各种服务(签名验签、数字信封等)实现通信中各实体的身份认证，确保通信内容的完整性、保密性和抗抵赖性。

CA：认证机构(Certificate Authority)，也称CA中心或数字证书认证中心，作为网上交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。检查证书持有者身份的合法性，并签发证书，以防证书被伪造或篡改，以及对证书和密钥进行管理。

RA：注册中心(Registry Authority)，是数字证书认证中心对证书发放、管理的延伸。主要负责证书申请者的信息录入、审核以及证书发放等工作，同时，对发放的证书完成相应的管理功能。

LDAP：轻量目录访问协议(Light-weight Directory Access Protocol)，一种高效的查询、浏览、搜索层次型数据库的协议。

图3为本申请实施例的一种增量式CRL更新装置的框图。

如图3所示，本实施例通过的增量式CRL更新装置包括证书撤销单元10、撤销证书存储单元20和安全代理服务单元30。

证书撤销单元的作用是负责将过期的或者存在私钥泄露的证书进行作废处理，并将撤销后的证书存储在撤销证书存储单元，便于后续安全代理服务单元下载使用。证书撤销单元的结构如图4所示。

证书撤销单元包括证书注册器即注册中心和证书认证器即认证机构。证书认证器是证书的签发机构，负责生成和管理PKI结构下的所有用户(含各种应用程序)的证书。证书注册器是认证器的延伸部分，它与认证器逻辑上是一个整体，执行不同的功能。证书认证器按照特定的政策和管理规范对用户的资格进行审查，以决定是否为该用户发放证书。

证书认证器根据用户申请去判断证书状态，通过配置增量周期，去按照一定周期增量发布CRL，并对CRL进行签名，保证其有效性及不可篡改性，将其发布在撤销证书存储单元中。

撤销证书存储单元是指证书撤销单元将撤销掉的证书以某种数据结构存储在CRL存储服务器中，常见的有LDAP服务器。其存储CRL数据结构如图5所示。

其中版本即为CRL的版本号。签名算法字段提供了签名算法标识符以产生CRL的签名。发布者字段提供了发布CRL的权威证书认证器名称。本次更新字段用来指示这次CRL的发布时间，下次更新是指下次发布CRL时间。撤销证书列表是一个用唯一序列号标示的撤销证书集合。扩展信息对整个CRL和一个单独的CRL条目都是有效的。

随PKI体系的不断增大和时间的推移，撤销证书的体量也不断增大，这会给CA的发布及存储带来较大的压力。因此本发明采用增量式证书撤销机制，增量CRL包含两种类型的CRL，基准CRL(Base-CRL)和增量CRL(Delta-CRL)。Base-CRL发布所有撤销证书信息，Delta-CRL在每两次Base-CRL更新期间，以较小的时间间隔发布上一次Base-CRL发布以来新增的撤销证书信息，发布周期比基准发布周期小，这样尽可能接近实时获取到最新的CRL信息。比如Base-CRL发布周期为一天，从00:00开始每隔0.5小时发布一次增量CRL，证书撤销单元发布时刻分别如下：

00:00：Base-CRL

00:30：Delta-CRL01

01:00：Delta-CRL02

......

23:30:Delta-CRL24

撤销证书存储单元按照增量发布方式存储CRL，供验证方下载使用，验证方在00:00下载Base-CRL，在一天中其他时刻(每隔0.5小时)将下载在此基础上存储Delta-CRLi，在下一天的更新周期中，证书撤销单元将发布新的Base-CRL和在此新的基准CRL上新Delta-CRLi，存储供验证者下载使用。发布存储流程如下所示：

安全代理服务单元的作用是采用增量式机制按照设置好的周期通过LDAP或者HTTP方式下载CRL，并通过证书撤销单元对应的信任域证书校验CRL的有效性，校验通过后发布在安全代理服务单元，供签名验证判断证书是否有效使用，无需签名验签服务器去频繁下载大体量的CRL，从而使签名验签服务器有更多的内存资源提供签名验签类服务。本单元包含三个部分，CRL下载器、CRL校验器以及CRL发布器，其结构如图6所示。

CRL下载器通过LDAP或者HTTP方法增量式获取证书撤销单元发布的CRL信息，增量式下载如图7所示，下载端获取了一个有效基准CRL后，只需下载最新增量CRL，可以有效地限制了CRL的下载尺寸，减少了网络通讯量和下载时长。

CRL下载器内置有配置单元，用户可结合实际场景对该装置进行针对性的设置。用户可自设置服务名称，作为CRL下载服务的唯一标识，可配置选择LDAP或者HTTP下载方式，配置过滤条件，可按照用户需求，将不需要下载的证书通过过滤条件删除。配置根证书来验证CRL的有效性，用户可以自己设置下载周期。其他配置项也可以设置服务的启停及日志配置操作。

CRL校验器的作用是来验证证书撤销单元最新发布的CRL是否是有效可用的，通过配置的信任域证书进行签名验签操作，验证通过说明其CRL是由对应证书撤销单元发布，没有被篡改，进而进行后续发布，工作流程图如图8所示：

CRL校验器的工作步骤如下：

1.CRL校验器读取此周期内下载的CRL信息。

2.安全代理服务单元读取配置好的信任域证书，对CRL信息进行签名验证。证书撤销单元发布CRL信息时，为保证信息的真实性进行了签名操作。

3.签名验证通过后，说明此次发布的CRL是可行的，没有被篡改的，那么认为此CRL是有效的，可以进行发布，供验证方使用或者下载。

4.如果签名验证不通过，说明此CRL无效，则丢弃掉此周期发布的CRL，

等待下一周期证书撤销单元发布CRL进行同样的工作流程。

CRL发布器主要用来存储了经过验证的CRL文件，支持其他服务器查询或通过HTTP方式下载发布器里的CRL文件。其他服务器多数指签名验签服务器，签名验签服务器通过访问SSDN代理服务单元中已发布有效的CRL文件，避免大体量CRL文件直接加载在签名验签服务器内存中，可以有效减小内存压力，提高签名验签服务的稳定性。

从上述技术方案可以看出，本实施例提供了一种增量式CRL更新装置，包括证书撤销单元、撤销证书存储单元和安全代理服务单元。证书撤销单元主要完成作废证书的撤销过程。撤销证书存储单元负责完成撤销证书的存储工作，并按照增量发布方式存储CRL，供验证方下载使用。安全代理服务单元是采用增量式机制按照设置好的周期下载CRL。本方案将下载存储CRL的工作下移至安全代理服务单元，有效缓解了签名验签服务器压力，从而减少了CRL列表的下载耗时。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的技术方案进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (5)

1.一种增量式CRL更新装置，其特征在于，包括证书撤销单元、撤销证书存储单元和安全代理服务单元，其中：

所述证书撤销单元用于将过期的证书或者存在私钥泄露的证书进行作废处理，并将作废处理后的证书存储在所述撤销证书存储单元；

撤销证书存储单元用于将作废处理后的证书以预设数据结构存储；

所述安全代理服务单元用于采用增量式机制通过预设周期下载CRL，并通过所述证书撤销单元对应的信任域证书校验所述CRL的有效性，并在校验通过后将所述CRL发布在所述安全代理服务单元。

2.如权利要求1所述的增量式CRL更新装置，其特征在于，所述证书撤销单元包括证书注册器和证书认证器。

3.如权利要求1所述的增量式CRL更新装置，其特征在于，所述撤销证书存储单元包括CRL存储服务器，其中：

所述CRL存储服务器用于存储作废后的证书。

4.如权利要求3所述的增量式CRL更新装置，其特征在于，所述CRL存储服务器为LDAP服务器。

5.如权利要求1所述的增量式CRL更新装置，其特征在于，所述安全代理服务单元包括CRL下载器、CRL校验器和CRL发布器，其中：

所述CRL下载器用于采用增量式机制通过预设周期下载所述CRL；

所述CRL校验器用于通过所述证书撤销单元对应的信任域证书校验所述CRL的有效性；

所述CRL发布器在所述CRL校验通过后将其进行发布。

Images