CN117675217A - 一种跨域信任管理平台 - Google Patents

Abstract

本发明公开了一种跨域信任管理平台，其中信任管理平台包括以下模块：多信任域CA互信模块，集中式证书存储模块，动态安全评估模块，证书维护模块。本发明所提出的跨域信任管理平台，能够作为第三方平台实现与多个信任域的双向信任，支持不同证书格式、加密算法并可对证书进行集中式存储管理，实时评估信任等级以保证跨域互信安全性。证书维护模块能够在支持证书基本操作的基础上，在互信CA的信任域中实现多渠道的跨域证书认证功能。

Description

一种跨域信任管理平台

技术领域

本发明涉及信息安全技术领域，特别是一种用于跨域信任的集中式管理平台。

背景技术

现有技术中，发明CN116647415 A公开了一种终端双向认证方法、装置及跨网跨域数据交换系统，所述双向认证方法通过基于设备特征码和RSA非对称加密算法的双向认证方案，实现设备接入系统时的鉴权认证，能够有效避免违规设备的接入，从而保证了系统安全。相应地，本发明还提供了分别用于客户端和服务端的双向认证装置，以及包含所述双向认证装置的双向认证系统。同时，本发明提供的跨网跨域数据交换系统，利用前置机、网闸和后置机在两个不同的网络系统之间搭建数据传输通道，接入系统的任意两个相互连接的设备之间，除了最初连接时需要进行双向认证之外，还要进行周期性地双向认证，进一步确保了数据交换系统自身的安全性。

然而，该终端双向认证方法专利主要局限于在单一信任域客户端和服务端之间建立信任的情况，并未考虑到客户端及服务端处于不同信任域下的情况。并且，所提跨网跨域数据交换系统并未基于跨域认证行为。而本发明提出的跨域信任管理平台解决了这一问题，能够进行不同信任域下用户跨域认证服务。

发明CN116668190A公开了一种本发明公开了一种基于浏览器指纹的跨域单点登录方法及系统，属于网络安全和用户认证领域，其中，跨域单点登录方法包括：在客户端生成浏览器指纹并加密；用户输入凭据；发送指纹与凭据至认证服务器；认证服务器验证用户凭据；风险监控；认证状态管理服务器根据加密指纹查询用户登录状态等。跨域单点登录方法包括客户端、认证服务器、认证状态管理服务器、双因素认证模块和风险监控模块。通过本发明，解决了同应用多个跨域子系统间频繁登录的问题，大幅提高用户体验，同时确保登录过程的安全性。

然而，相该基于浏览器指纹的跨域单点登录方法专利主要集中在解决单一应用中多个跨域子系统间的登录问题，缺乏类似本发明包含的多信任域及多加密方法的支持，且其方法反而引入了安全性问题，使得其在更广泛的应用场景和复杂的信任环境中可能会有大幅受限。

发明CN116566730A公开了一种跨域用户认证方法，包括获取用户在登录域的用户跨域信息；通过顶级域和所述用户跨域信息，查找所述用户的归属域；在所述归属域中对所述用户进行认证，以给予用户目标业务域的应用权限。本公开的方法能够实现用户在强隔离业务环境下进行跨域访问，具有高可适配性，且构建了各域之间的层级关系，配合用户令牌保证了用户信息的归属性和权威性。

然而，该方法涉及到多个步骤，包括获取用户跨域信息、查找归属域以及在归属域中进行认证，这增加了实施过程的复杂性。并且因为需要在不同的域之间进行多次查询和认证，这可能影响到整体的执行效率和用户体验。而本发明通过应用第三方平台进行桥接操作，不仅大量简化了认证步骤，还能提供更好的安全及专业性保障。

自从20世纪90年代首次推出以来，公钥基础设施(PKI)已在网络安全领域成为核心组成部分。通过提供一套全面的管理框架，包括数字证书、公钥加密和数字签名，其中，证书颁发机构(CA)在PKI架构中扮演着至关重要的角色，它在确保数据传输的可靠性、完整性和安全性方面发挥了至关重要的作用。该技术主要依赖于非对称加密算法，如RSA、DSA和ECC，进行密钥管理和身份认证。在诸多安全应用中，包括Web浏览中的安全套接字层(SSL)、传输层安全(TLS)协议，电子邮件保护的S/MIME，以及用于构建安全虚拟专用网络(VPN)的IPsec和远程登录及文件传输的安全外壳协议(SSH)等，CA都扮演着关键角色。

CA的广泛安全应用促使企业和组织开始建立自有的CA，从而加强企业安全管理，实现内部数据的精细控制，提高系统稳健性，并增强机要信息保密性。在全球化和业务多元化深入发展的背景下，组织间跨行业和跨地域的合作日趋频繁，相应地，跨信任域的互信需求也在增加。传统的互信建立流程主要依赖于预定义的信任锚或复杂的手动信任链建立，不仅需要冗长的合同谈判和审查，还涉及繁琐的技术配置和人工管理，从而降低了系统的灵活性和可扩展性。

相对于这些传统方式，本研究提出了一种通过第三方集中管理平台来构建和维护跨域信任关系的高效解决方案。这一方案克服了传统方法的局限性，充分发挥第三方机构较企业更专注于标准化、安全性的特性，降低建立和维护CA及实现跨域互信的复杂度和成本。通过一系列的模块及机制融合，在不影响本地CA的前提下，实现了跨信任域数字证书的高效、安全管理。

发明内容

技术问题：本发明旨在解决现有的跨域信任管理方案在多个信任域之间建立互信关系时存在的问题，特别是在复杂的网络环境中如何实现快速、精确的跨域认证。当前的解决方案往往仅能在单一或有限的信任域中进行操作，或者需要手动进行繁琐的跨域证书管理和安全评估，这限制了它们在更广泛应用场景中的可用性。同时，当前跨域认证方案需要对证书编码标准、证书加密算法进行统一，限制了可进行互信的信任域数量。

技术方案：为了解决上述技术问题，本发明提供一种跨域信任管理平台，该平台包括如下模块：

多信任域CA互信模块：用于为两个及以上不同信任域下的根CA或子CA构建互信关系，使不同信任域下证书能够进行认证操作；

集中式证书存储模块：用于存储互信CA下不同类型的证书及其证书状态，并处理证书上传及下载请求；

动态安全评估模块：用于实时评估互信节点安全指数，对有不遵守规则行为的CA及与其互信的CA发出警告，在安全指数下降到阈值后中断与该节点的双向信任关系；

证书维护模块：在实现跨域证书更新、签名、撤销的基本操作基础上，建立在线证书状态协议服务器监听，对跨域证书认证请求进行直接或代理认证操作。

进一步的，多信任域CA互信模块的功能如下：

(1)准备互信的CA向信任域CA互信模块发起互信请求1，互信请求1包括请求类型识别符，发起请求CA的证书，IP地址，CA基本信息，口令，请求互信节点的地址并使用请求节点私钥进行加密；所述CA基本信息包括：CA名称，CA设备所在地信息，使用者信息。

(2)多信任域CA互信模块接收CA发起的互信请求后，使用请求节点公钥进行解密，并查询发起请求的设备信息，包括请求所提供的证书、CA基本信息、口令是否匹配，如果判定为符合要求的请求，多信任域CA互信模块为该请求设定有效期并存入请求库中；

(3)如在有效期内收到所有CA对应的合法请求，多信任域CA互信模块对所有互信节点发送互信请求2，互信请求2包括True指示符以及所有互信节点IP地址，并使用请求节点私钥进行加密，CA收到指示符为True的互信请求2后，使用请求节点公钥进行解密，与多信任域CA互信模块交换证书请求并签名，建立双向互信关系，并将生成证书发送到所有互信节点，实现CA间互信；

(4)如在未在有效期内收到所有CA的合法请求，多信任域CA互信模块对所有CA发送互信请求3，互信请求3包含False指示符，此次互信请求失效。

进一步的，所述集中式证书存储模块的功能如下：

(1)CA形成存储请求1，存储请求1包括请求类型，需集中存储的证书，并通过请求节点私钥进行加密；

(2)CA将存储请求1发送到集中式证书存储模块，集中式证书存储模块使用请求节点公钥进行解密，并通过内部端口将证书发送至集中式证书存储模块识别并生成证书标签，并将证书、证书标签、证书指纹、证书序列号对应存入证书库；所述证书标签包括：证书加密算法，证书编码标准；所述证书指纹包括：对证书进行SHA-1运算生成的指纹，对证书进行SHA-256运算生成的指纹；所述证书序列号包括：CA生成证书的本地序列号；

(3)CA形成存储请求2；存储请求2包括请求类型，需查询的证书指纹，需查询的证书序列号，并通过请求节点私钥进行加密；

(4)CA将存储请求2发送到集中式证书存储模块，集中式证书存储模块使用请求节点公钥进行解密，按照需查询的证书指纹，需查询的证书序列号找寻匹配的证书，并将证书发送给发起请求的CA。

进一步的，所述动态安全评估模块功能如下：

(1)多信任域CA互信模块建立CA互信后，动态安全评估模块为所有CA维护安全评估系数，并开始对节点行为进行监听记录；

(2)如CA有不遵守规则行为，动态安全评估模块降低其安全评估系数；CA如果在不遵守规则后一段时间内未出现不遵守规则行为，动态安全模块恢复部分安全评估系数。

进一步的，所述证书维护模块功能如下：

(1)当CA已通过多信任域CA互信模块建立信任，已通过集中式证书存储模块上传信任域中证书被动态安全评估模块监听后，CA向证书维护模块发送证书操作请求，以对集中式证书存储模块中的相应证书进行证书操作；

(2)当CA或用户试图认证已建立信任节点的身份时，CA或用户可向证书维护模块发起两种认证请求：如CA或用户支持待认证节点证书的加密算法、证书编码标准，则在发起认证请求时不申请使用代理认证，证书维护模块使用跨域证书认证方法进行认证，返回信任链及信任链上所有证书，CA或用户需继续完成步骤(3)以获得认证结果；如CA或用户无法识别或不支持待认证节点证书加密算法、证书编码标准，则在发起认证请求时申请使用代理认证，证书维护模块使用代理证书认证方法进行认证，并直接返回信任链及认证结果；

(3)如证书维护模块应用步骤(2)中跨域证书认证方法进行认证，CA或用户在收到信任链及信任链上所有证书后，根据信任链向证书维护模块逐级发起OCSP请求，证书维护模块收到请求后通过OCSP动态响应方法，自动响应并启动对应的OCSP服务器，CA或用户根据信任链逐级进行OCSP在线认证，最终得到认证结果。

进一步的，所述证书操作包括：证书签名，证书撤销，证书更新；

所述证书签名包括节点发起签名请求到目标CA，CA通过证书维护模块验证节点状态，签名并将生成的证书上传到集中式证书储存模块；

所述证书撤销包括CA判定其颁发证书出现异常，CA将该证书状态设定为已撤销，并将更新后的证书状态上传到集中式证书储存模块；

所述证书更新包括CA对已过期证书进行重新颁发或更新，将更新后的证书状态上传到集中式证书储存模块。

进一步的，所述跨域证书认证方法如下：

(1)假设请求节点的信任锚为其所处信任域内的根CA或某一子CA，当该请求节点需要认证任意其他节点身份时，其向证书维护模块发送认证请求1；认证请求1包括：请求类型，请求节点证书，需认证节点证书指纹，待认证节点证书序列号，信任锚节点证书指纹，信任锚节点证书序列号，并通过请求节点私钥进行加密；

(2)证书维护模块收到认证请求1，使用请求节点公钥进行解密，确认请求节点证书是否在互信的信任域中，且此证书状态为有效；

(3)如果通过步骤(2)验证，证书维护模块从待认证节点开始，逐级查找证书签署者，直到信任锚节点为止，将查找到的各级证书签署者形成信任链，并将信任链及信任链上所有节点的证书返回请求节点，请求节点根据信任链逐级向证书维护模块发送OCSP请求，证书维护模块通过OCSP动态响应方法启动对应OCSP服务器，请求节点在时限内进行认证后，得到认证结果；

(4)如果未通过步骤(2)验证，则将该次请求无效的通知返回请求节点。

进一步的，所述的代理认证方法如下：

(1)假设请求节点的信任锚为其所处信任域内的根CA或某一子CA，当该请求节点需要认证任意其他节点身份，但请求节点不支持待认证节点证书加密算法及编码标准时，其向证书维护模块发送认证请求2以委托证书维护模块进行代理认证操作；认证请求2包括：请求类型，请求节点证书，需认证节点证书指纹，待认证节点证书序列号，信任锚节点证书指纹，信任锚节点证书序列号，并通过请求节点私钥进行加密；

(2)证书维护模块收到认证请求2，使用请求节点公钥进行解密，确认请求节点证书是否在互信的信任域中，且此证书状态为有效；

(3)如果通过步骤(2)验证，证书维护模块从待认证节点开始，逐级查找证书签署者，直到信任锚节点为止，将查找到的各级证书签署者形成信任链，并在本地端口直接启动对应信任链的多个OCSP服务器，逐级进行OCSP在线认证操作，将认证结果及信任链返回请求节点；

(4)如果未通过步骤(2)验证，则将该次请求无效的通知返回请求节点。

进一步的，OCSP动态响应方法如下：

(1)假设节点需要验证某两个节点是否有直接信任关系，该节点向证书维护模块发起OCSP请求，OCSP请求包括：请求证书，需验证节点证书，CA证书指纹，并使用请求节点私钥进行加密，该节点将OCSP请求发送到证书维护模块；

(2)证书维护模块收到OCSP请求，使用请求节点公钥进行解密，确认请求节点证书是否在互信的信任域中，且此证书状态为有效；

(3)如果通过步骤(2)验证，则证书维护模块打开新端口，启动OCSP服务器监听，并将端口号返回请求节点；

(4)如果未通过步骤(2)验证，则将OCSP服务器未启动的通知返回请求节点。

(5)如果已通过步骤(3)启动OCSP服务器监听，经过规定时间后如OCSP服务器监听未收到任何有效消息，则关闭监听并复用端口。

有益效果，与现有技术相比，本发明的技术方案具有以下有益技术效果：

本说明书提供了一种跨域信任管理平台，该平台基于专业第三方管理实体，独立于传统CA。通过该平台，复杂的传统跨域互信过程得以大幅简化，实现自动化互信过程，且原有的CA在互信过程中能够维持独立性。该平台还具有动态信任评估和集中式证书存储模块，增强了安全性和灵活性，能够适应需要建立长期信任，且包含多种证书加密算法及证书编码标准的复杂网络环境。该平台还简化了跨域认证过程，并提供了代理认证方法以适用多种CA机构。

附图说明

图1是一示例性的跨域信任管理平台结构示意图；

图2是一示例性的多信任域CA互信模块工作流程示意图；

图3是一示例性的集中式证书存储模块工作流程示意图；

图4是一示例性的动态安全评估模块工作流程示意图；

图5是一示例性的证书维护模块工作流程示意图。

具体实施方式

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

需要说明的是：在其他实施例中并不一定按照本说明书示出和描述的顺序来执行相应方法的步骤。在一些其他实施例中，其方法所包括的步骤可以比本说明书所描述的更多或更少。此外，本说明书中所描述的单个步骤，在其他实施例中可能被分解为多个步骤进行描述；而本说明书中所描述的多个步骤，在其他实施例中也可能被合并为单个步骤进行描述。

图1展示了跨域信任管理平台的整体架构，该平台由专业第三方机构部署和维护。该第三方机构需要具备支持多种证书编码格式和加密算法的能力，同时也需要有实时数据更新和维护的功能以确保服务质量。平台中的四个模块在部署时为四个独立的模块，但高度集成和标准化的接口设计确保了各模块能够无缝协作，形成一个全面、安全、高效的管理系统。这种设计不仅增强了平台的可扩展性和灵活性，还维护了原有CA的独立性和完整性，避免了由于参与跨域互信而需要重新颁发或修改证书的繁琐过程。OCSP动态响应方法及跨域证书认证方法则作为实现证书维护模块的两种方法，实现跨域互信后简单易操作的跨域认证流程。OCSP动态响应方法和跨域证书认证方法作为证书维护模块内的两种实施途径，确保在建立跨域互信之后，提供简便而易操作的跨域认证流程。

图2展示了多信任域CA互信模块的具体运行流程；假设两个公司各自有独立的CA且处于不同信任域下，其对应的CA机构为CA1和CA2。当公司之间进行合作或交流时，其CA需要建立互信以使用对方公司的数据库、内部电子邮件等涉密服务。此时，应用多信任域CA互信模块实现跨域互信的完整流程主要包括；

(1)CA1与CA2的对应主体在建立互信前，通过线下、线上会议或电子邮件等方式讨论并确认互信策略、安全策略、证书策略等。互信策略的内容包括但不局限于互信时间长度，即互信证书生命周期；互信更新周期。安全策略的内容包括但不局限于能够容忍的不遵守规则行为类型；能够容忍的安全度，即初始安全评估值；对应不遵守规则行为的安全系数下降程度；安全系数恢复机制。证书策略的内容包括但不局限于证书更新权限；是否允许跨域证书操作；证书读写权限；

(2)CA1和CA2在协定完成各类策略后，向多信任域CA互信模块提交策略。随后按照议定的时间，在较为接近的时间内向多信任域CA互信模块各发起一次互信请求；

(3)多信任域CA互信模块接收到合法请求会将其暂存，在收到所有需要互信节点的请求后，正式开始进行互信操作。多信任域CA互信模块首先为CA的证书请求，即.csr文件签名，再将签名后证书颁发给各个CA，并向每个CA也发起一次证书请求，等待各个CA为该请求签名。至此，多信任域CA互信模块，即第三方机构CA已与各个互信CA构建双向信任关系；

(4)在初次建立互信关系后，多信任域CA互信模块会通过内部接口向集中式证书存储模块发起请求，并且将步骤(3)中所产生的证书进行集中存储至集中式证书存储模块。

图3展示了集中式证书存储模块的具体运行流程；集中式证书存储模块主要包含自适应接口，以自动识别证书加密算法及证书编码格式，并将该信息生成标签，和证书一同存储至非易失性内存。触发集中式证书存储模块的方式仅限于通过内部端口，且能够触发该模块的请求仅包括以下几种，其他方式或来源的请求均视为非法请求，以防止非法篡改、读取等操作；

(1)在CA1和CA2完成跨域互信后，上传CA1和CA2域内所有证书，及互信产生的双向证书到集中式证书存储模块。该请求只限于内部端口的多信任域CA互信模块触发。需注意的是，当议定的策略中互信证书或互信周期到期后，集中式证书存储模块也需要更新一次证书以确保其不出现保留过期证书的行为；

(2)如果存在已经建立互信的CA3，CA3对证书进行了操作，CA3必须及时向证书维护模块提起证书更新请求，以保证集中式证书存储模块管理的证书时效性。该请求只限于证书维护模块通过内部端口发起的请求；

(3)如果动态安全评估模块认定某CA的安全指数已经下降至安全策略所规定的不可信任值，则需要集中式证书存储模块删除该CA域下的所有证书。该请求只限于动态安全评估模块通过内部端口发起的请求。

图4展示了动态安全评估模块的具体运行流程；动态安全评估模块主要包括对各个CA的监听，和多个动态计数器等。根据议定的安全策略，动态安全评估模块为每个互信的CA创建对应的初始安全系数，并监控其各种请求是否存在不遵守规则行为；

(1)完成互信后的节点各获得一个初始安全系数，该安全系数由策略决定，可根据CA机构特性进行动态设定；

(2)动态安全评估模块对所有CA进行监听，监听其是否有不遵守规则行为，其中不遵守规则行为的定义由策略决定；如出现不遵守规则行为，根据策略决定从初始安全系数中减去多少值。当实时安全系数低于阈值时，对参与互信的所有CA发起警告；当实时安全系数归零时，自动结束此次互信，该风险节点将不再与跨域互信平台有任何信任关系。这种实现方式可以避免传统互信在结束互信时对证书进行的繁复操作。

图5展示了证书维护模块的具体运行流程，以及OCSP动态响应方法和跨域证书认证方法的完整流程。该模块不仅提供证书更新接口，还通过上述两种方法实现跨域证书认证操作。其中，基本证书操作包括，证书签名、撤销、更新生命周期操作，这些操作在本地CA上完成后，通过提起证书更新请求在证书维护模块上相应的进行更新操作；

对于实现跨域证书认证，完整认证流程如下；

(1)假设CA1和CA2已完成互信操作，CA1域下的用户USER1想对CA2域下的用户USER2发起安全通信，则USER1需认证USER2是否为可信节点。但USER1的信任锚，即其仅能够信任CA1而不能信任CA2，此时USER1发起CA1对USER2的认证请求，认证请求包括跨域证书认证方法(如下步骤2至步骤3)及代理认证方法(如下步骤4至步骤5)两种；

(2)对于跨域证书认证方法，证书维护模块在收到跨域认证请求后，找寻USER2到CA1的信任链途中遇到自签名证书，即根证书CA2，此时信任链由跨域信任管理平台证书作为中继，最终抵达CA1。证书维护模块将这条信任链返回给USER1；

(3)USER1查验信任链，如USER1确认信任链合法，可以进行下一步认证，则如图中所示，从信任链底层开始，发起上一级的OCSP服务器请求，并进行OCSP在线认证，该流程将一直持续到信任链最后一级，而USER1将会收到每一级的认证结果；证书维护模块则在收到OCSP服务器请求后，打开新端口并部署OCSP服务器，并在一定时间未收到请求后关闭OCSP服务器并关闭该端口；

(4)对于代理证书认证方法，证书维护模块在收到跨域认证请求后，找寻USER2到CA1的信任链途中遇到自签名证书，即根证书CA2，此时信任链由跨域信任管理平台证书作为中继，最终抵达CA1。但由于USER1难以进行自主的认证，证书维护模块将代替USER1进行认证操作；

(5)继续步骤(4)中代理证书认证方法，此时证书维护模块不打开外部端口，相较于步骤(2)至(3)的跨域证书认证方法，其将使用本地端口对应信任链打开OCSP服务器，并使用所储存的证书进行本地端口的OCSP认证，认证过程和步骤(3)相同，从信任链最下层直到最顶部，最终返回各级认证结果，并将该结果和信任链一并返回给USER1以实现代理认证方法。

本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据，并且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准，并提供有相应的操作入口，供用户选择授权或者拒绝。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

在本说明书一个或多个实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书一个或多个实施例。在本说明书一个或多个实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本说明书一个或多个实施例可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书一个或多个实施例范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

以上所述仅为本说明书一个或多个实施例的较佳实施例而已，并不用以限制本说明书一个或多个实施例，凡在本说明书一个或多个实施例的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书一个或多个实施例保护的范围之内。

Claims (9)

1.一种跨域信任管理平台，其特征在于，该平台包括如下模块：

多信任域CA互信模块：用于为两个及以上不同信任域下的根CA或子CA构建互信关系，使不同信任域下证书能够进行认证操作；

集中式证书存储模块：用于存储互信CA下不同类型的证书及其证书状态，并处理证书上传及下载请求；

动态安全评估模块：用于实时评估互信节点安全指数，对有不遵守规则行为的CA及与其互信的CA发出警告，在安全指数下降到阈值后中断与该节点的双向信任关系；

证书维护模块：在实现跨域证书更新、签名、撤销的操作基础上，建立在线证书状态协议服务器监听，对跨域证书认证请求进行直接或代理认证操作。

2.根据权利要求1所述的一种跨域信任管理平台，其特征在于，多信任域CA互信模块的功能如下：

(1)准备互信的CA向多信任域CA互信模块发起互信请求1，互信请求1包括请求类型识别符，发起请求CA的证书，IP地址，CA基本信息，口令，请求互信节点的地址，并使用请求节点私钥进行加密；所述CA基本信息包括：CA名称，CA设备所在地信息，使用者信息；

(2)多信任域CA互信模块接收CA发起的互信请求后，使用请求节点公钥进行解密，并查询发起请求的设备信息，包括请求所提供的证书、CA基本信息、口令是否匹配，如果判定为符合要求的请求，多信任域CA互信模块为该请求设定有效期并存入请求库中；

(3)如在有效期内收到所有CA对应的合法请求，多信任域CA互信模块对所有互信节点发送互信请求2，互信请求2包括True指示符以及所有互信节点IP地址，并使用请求节点私钥进行加密，CA收到指示符为True的互信请求2后，使用请求节点公钥进行解密，与多信任域CA互信模块交换证书请求并签名，建立双向互信关系，并将生成证书发送到所有互信节点，实现CA间互信；

(4)如在未在有效期内收到所有CA的合法请求，多信任域CA互信模块对所有CA发送互信请求3，互信请求3包含False指示符，此次互信请求失效。

3.根据权利要求1所述的一种跨域信任管理平台，其特征在于，所述集中式证书存储模块的功能如下：

(1)CA形成存储请求1，存储请求1包括请求类型，需集中存储的证书，并通过请求节点私钥进行加密；

(2)CA将存储请求1发送到集中式证书存储模块，集中式证书存储模块使用请求节点公钥进行解密，并通过内部端口将证书发送至集中式证书存储模块识别，并生成证书标签，并将证书、证书标签、证书指纹、证书序列号对应存入证书库；所述证书标签包括证书加密算法，证书编码标准；所述证书指纹包括对证书进行SHA-1运算生成的指纹，对证书进行SHA-256运算生成的指纹；所述证书序列号包括CA生成证书的本地序列号；

(3)CA形成存储请求2；存储请求2包括请求类型，需查询的证书指纹，需查询的证书序列号，并通过请求节点私钥进行加密；

(4)CA将存储请求2发送到集中式证书存储模块，集中式证书存储模块使用请求节点公钥进行解密，按照需查询的证书指纹，需查询的证书序列号找寻匹配的证书，并将证书发送给发起请求的CA。

4.根据权利要求1所述的一种跨域信任管理平台，其特征在于，所述动态安全评估模块功能如下：

(1)多信任域CA互信模块建立CA互信后，动态安全评估模块为所有CA维护安全评估系数，并开始对节点行为进行监听记录；

(2)如CA有不遵守规则行为，动态安全评估模块降低其安全评估系数；CA如果在不遵守规则后一段时间内未出现不遵守规则行为，动态安全模块恢复部分安全评估系数。

5.根据权利要求1所述的一种跨域信任管理平台，其特征在于，所述证书维护模块功能如下：

(1)当CA已通过多信任域CA互信模块建立信任，已通过集中式证书存储模块上传信任域中证书被动态安全评估模块监听后，CA向证书维护模块发送证书操作请求，以对集中式证书存储模块中的相应证书进行证书操作；

(2)当CA或用户试图认证已建立信任节点的身份时，CA或用户可向证书维护模块发起两种认证请求：如CA或用户支持待认证节点证书的加密算法、证书编码标准，则在发起认证请求时不申请使用代理认证，证书维护模块使用跨域证书认证方法进行认证，返回信任链及信任链上所有证书，CA或用户需继续完成步骤(3)以获得认证结果；如CA或用户无法识别或不支持待认证节点证书加密算法、证书编码标准，则在发起认证请求时申请使用代理认证，证书维护模块使用代理证书认证方法进行认证，并直接返回信任链及认证结果；

(3)如证书维护模块应用步骤(2)中跨域证书认证方法进行认证，CA或用户在收到信任链及信任链上所有证书后，根据信任链向证书维护模块逐级发起OCSP请求，证书维护模块收到请求后通过OCSP动态响应方法，自动响应并启动对应的OCSP服务器，CA或用户根据信任链逐级进行OCSP在线认证，最终得到认证结果。

6.根据权利要求5所述的一种跨域信任管理平台，其特征在于，所述证书操作包括：证书签名，证书撤销，证书更新；

所述证书签名包括节点发起签名请求到目标CA，CA通过证书维护模块验证节点状态，签名并将生成的证书上传到集中式证书储存模块；

所述证书撤销包括CA判定其颁发证书出现异常，CA将该证书状态设定为已撤销，并将更新后的证书状态上传到集中式证书储存模块；

所述证书更新包括CA对已过期证书进行重新颁发或更新，将更新后的证书状态上传到集中式证书储存模块。

7.根据权利要求5所述的一种跨域信任管理平台，其特征在于，所述跨域证书认证方法如下：

(1)假设请求节点的信任锚为其所处信任域内的根CA或某一子CA，当该请求节点需要认证任意其他节点身份时，其向证书维护模块发送认证请求1；认证请求1包括：请求类型，请求节点证书，需认证节点证书指纹，待认证节点证书序列号，信任锚节点证书指纹，信任锚节点证书序列号，并通过请求节点私钥进行加密；

(2)证书维护模块收到认证请求1，使用请求节点公钥进行解密，确认请求节点证书是否在互信的信任域中，且此证书状态为有效；

(3)如果通过步骤(2)验证，证书维护模块从待认证节点开始，逐级查找证书签署者，直到信任锚节点为止，将查找到的各级证书签署者形成信任链，并将信任链及信任链上所有节点的证书返回请求节点，请求节点根据信任链逐级向证书维护模块发送OCSP请求，证书维护模块通过OCSP动态响应方法启动对应OCSP服务器，请求节点在时限内进行认证后，得到认证结果；

(4)如果未通过步骤(2)验证，则将该次请求无效的通知返回请求节点。

8.根据权利要求5所述的一种跨域信任管理平台，其特征在于，所述的代理认证方法如下：

(1)假设请求节点的信任锚为其所处信任域内的根CA或某一子CA，当该请求节点需要认证任意其他节点身份，但请求节点不支持待认证节点证书加密算法及编码标准时，其向证书维护模块发送认证请求2以委托证书维护模块进行代理认证操作；认证请求2包括：请求类型，请求节点证书，需认证节点证书指纹，待认证节点证书序列号，信任锚节点证书指纹，信任锚节点证书序列号，并通过请求节点私钥进行加密；

(2)证书维护模块收到认证请求2，使用请求节点公钥进行解密，确认请求节点证书是否在互信的信任域中，且此证书状态为有效；

(3)如果通过步骤(2)验证，证书维护模块从待认证节点开始，逐级查找证书签署者，直到信任锚节点为止，将查找到的各级证书签署者形成信任链，并在本地端口直接启动对应信任链的多个OCSP服务器，逐级进行OCSP在线认证操作，将认证结果及信任链返回请求节点；

(4)如果未通过步骤(2)验证，则将该次请求无效的通知返回请求节点。

9.根据权利要求7或8所述的一种跨域信任管理平台，其特征在于，OCSP动态响应方法如下：

(1)假设节点需要验证某两个节点是否有直接信任关系，该节点向证书维护模块发起OCSP请求，OCSP请求包括：请求证书，需验证节点证书，CA证书指纹，并使用请求节点私钥进行加密，该节点将OCSP请求发送到证书维护模块；

(2)证书维护模块收到OCSP请求，使用请求节点公钥进行解密，确认请求节点证书是否在互信的信任域中，且此证书状态为有效；

(3)如果通过步骤(2)验证，则证书维护模块打开新端口，启动OCSP服务器监听，并将端口号返回请求节点；

(4)如果未通过步骤(2)验证，则将OCSP服务器未启动的通知返回请求节点。

(5)如果已通过步骤(3)启动OCSP服务器监听，经过规定时间后如OCSP服务器监听未收到任何有效消息，则关闭监听并复用端口。