CN1653779B - 支持移动通信设备上多个证书状态提供器的系统和方法 - Google Patents

支持移动通信设备上多个证书状态提供器的系统和方法 Download PDF

Info

Publication number
CN1653779B
CN1653779B CN038112337A CN03811233A CN1653779B CN 1653779 B CN1653779 B CN 1653779B CN 038112337 A CN038112337 A CN 038112337A CN 03811233 A CN03811233 A CN 03811233A CN 1653779 B CN1653779 B CN 1653779B
Authority
CN
China
Prior art keywords
digital certificate
status information
request
message
certificate status
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
CN038112337A
Other languages
English (en)
Other versions
CN1653779A (zh
Inventor
赫伯特·A·利特尔
斯特凡·E·扬胡宁
戴尔·J·霍布斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
BlackBerry Ltd
Original Assignee
Research in Motion Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Research in Motion Ltd filed Critical Research in Motion Ltd
Publication of CN1653779A publication Critical patent/CN1653779A/zh
Application granted granted Critical
Publication of CN1653779B publication Critical patent/CN1653779B/zh
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/18—Service support devices; Network management devices
    • H04W88/182—Network node acting on behalf of an other network entity, e.g. proxy

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Information Transfer Between Computers (AREA)
  • Radio Relay Systems (AREA)
  • Devices For Checking Fares Or Tickets At Control Points (AREA)
  • Computer And Data Communications (AREA)

Abstract

公开了一种用于支持多个数字证书状态信息提供器的方法和系统。在代理系统客户端模块处，准备初始服务请求，并且发送到在代理系统处运行的代理系统服务模块。代理系统准备多个服务请求，并发送服务请求给相应的多个数字证书状态信息提供器。选择对从所述状态信息提供器接收到的服务请求的响应之一，并且基于所选择的响应准备对所述初始服务请求的响应，并返回给代理系统客户端模块。

Description

支持移动通信设备上多个证书状态提供器的系统和方法
相关申请的交叉参考
本申请要求2002年3月20号提交的美国临时专利申请序列号为：60/365,534的利益和优先权，其全部公开一并在此作为参考。
技术领域
本发明大体上涉及安全电子消息发送领域，更具体地涉及对数字证书的状态的检验。
背景技术
包括如运行在桌面计算机系统上的电子邮件软件应用程序的已知安全消息客户端，维护数据存储区，或至少维护专用数据存储区，用于安全消息发送信息，如数字证书等。数字证书通常包括实体的公钥及用一个或多个数字签名与公钥进行捆绑的标识信息。在安全多用途因特网邮件扩展(S/MIME)消息中，例如，使用公钥确认所接收到的安全消息上的数字签名，并且加密用于加密要发送的消息的会话密钥。在其他安全消息发送方案中，可以使用公钥加密数据或消息。如果在被要求用于加密或数字签名验证时，公钥在消息客户端中不可用，则在能够执行这些操作之前，必须将数字证书或至少将公钥加载到消息客户端上。
通常，针对证书撤销列表(CRL)检验数字证书，以确定数字证书是否已经被其发行者撤销。例如，当接收到新CRL时，当第一次接收到数字证书并且之后周期地接收时，执行该检验。然而，CRL趋于相对庞大，这样CRL传送到消息客户端消耗相当大的通信资源，并且在消息客户端处的CRL的存储可能消耗巨大的存储器空间。基于CRL的撤销状态检验也是处理器强化和费时的。这些影响在运行于无线移动通信设备上的消息客户端中特别明显，这些消息客户端运行在有限带宽的无线通信网络内，并且可能具有有限的处理和存储器资源。此外，只有当分发新CRL时，才在基于CRL的系统中更新撤销状态。
用于数字证书撤销状态检验的另一方案涉及查询维护数字证书撤销状态信息的远程系统。该方案的困难之处在于，对要查询的每个远程系统都需要单独的请求-响应交换。尤其对于运行在无线移动通信设备上的安全消息发送客户端，这些交换可能引起相当大的时间延迟，并消耗大量的可用通信带宽。
数字证书有效性检验对于运行在受限的设备上的消息发送客户端同样是处理器强化和耗时的。数字证书有效性检验可同样由远程系统执行，并且对于这些设备可能是有用的，但如上所述，当要查询多个远程系统时，典型的方案并不是特别合适的。
发明内容
按照本发明的一个方面，一种访问多个数字证书状态信息提供器以获得数字证书状态信息的方法包括以下步骤：从通信设备接收对数字证书状态信息的请求，基于接收到的请求产生多个服务请求，所述多个服务请求的每一个对应于数字证书状态信息提供器，发送所产生的多个服务请求给它们相应的数字证书状态信息提供器，从所述数字证书状态信息提供器中的至少一个接收包括数字证书状态信息的响应，使用所述接收到的数字证书状态信息的至少一部分，产生对所述数字证书状态信息请求的响应，并发送所产生的、对所述请求的响应给通信设备。
按照本发明的另一方面，一种用于访问多个数字证书状态信息提供器以获得用于通信设备的数字证书状态信息的设备，包括：从所述通信设备接收关于数字证书状态信息的请求的装置，基于接收到的请求产生多个服务请求的装置，每个产生的服务请求均对应于数字证书状态信息提供器，经计算机网络发送所产生的多个服务请求给它们相应的状态信息提供器的装置，和经计算机网络从所述数字证书状态信息提供器中的至少一个接收包含数字证书状态信息的响应的装置，其中在向所述通信设备提供状态信息响应时，使用所述接收到的数字证书状态信息的至少一部分。
附图说明
图1是消息发送系统的方框图。
图2是示出了消息发送系统中的安全电子邮件消息交换的方框图。
图3是支持多个数字证书状态信息提供器的系统的方框图。
图4是示出了支持多个数字证书状态信息提供器的方法的流程图。
图5是具有支持多个数字证书状态信息提供器的多个代理系统客户端模块的系统的方框图。
图6是无线移动通信设备的方框图。
图7是示出了利用中间计算机系统的多个消息发送方案的方框图。
图8是示出了示例通信系统的方框图。
图9是可选示例通信系统的方框图。
图10是另一可选示例通信系统的方框图。
具体实施方式
安全消息是由消息发送器或者可能由消息发送器和消息接收器之间的中间系统已经进行了处理的消息，以保证数据保密性，数据整体性和用户验证中的一个或多个。安全消息发送的普通技术包括利用数字签名对消息进行签名和/或对消息进行加密。例如，安全消息可以是按照如安全多用途因特网邮件扩展(S/MIME)的各种变体已经签名或加密或加密然后签名或签名然后加密的消息。
消息发送客户端允许它在其上运行的系统接收并可能也发送消息。消息发送客户端可以运行在计算机系统、手持设备或具有通信能力的任何其他系统或设备上。很多消息发送客户端还具有附加的非消息发送功能。
图1是典型消息发送系统的方框图。有很多不同的系统拓扑，并且图1所示的系统是可以由在此公开的系统和方法使用的多个系统之一。
系统10包括广域网络(WAN)12，与计算机系统14、无线网络网关16和公司局域网络(LAN)18相连。无线网络网关16还连接到无线通信网络20，其中配置无线移动通信设备22(“移动设备”)运行其中。典型的移动设备22可以是在美国专利No.6,278,442，标题为“具有优化拇指使用的键盘的手持电子设备”(HAND-HELDELECTRONICDEVICE WITH A KEYBOARD OPTIMIZED FOR USE WITH THETHUMBS)中公开的类型，其全部公开在此一并作为参考。
计算机系统14代表被配置连接到WAN 12的桌上型或膝上型PC。WAN 12能够是专用网络或较大的公共可访问的网络，如因特网等。PC，如计算机系统14，通常通过因特网服务提供商(ISP)、应用服务提供商(ASP)等访问因特网。
公司LAN 18是基于因特网的消息客户端的示例。如图所示，公司LAN 18通常位于安全防火墙24的后面。在公司LAN 30内，是运行于防火墙24内的计算机上的消息服务器26，其作为公司的主要接口用于在LAN 18内交换信息和通过WAN 12与其他外部消息客户端交换消息。两个公知的最普通的消息服务器26是MicrosoftTM Exchange和Lotus DominoTM服务器产品。这些服务器通常与路由和传递邮件的因特网邮件路由器一起使用。消息服务器26可以扩展超过仅仅消息发送和接收，提供具有用于如日历、计划表、任务表、电子邮件和文档等数据的预定义数据库格式的动态数据库存储引擎的功能。
消息服务器26向LAN 18中的一个或多个网络计算机系统28提供消息发送能力。典型的LAN包括统称为计算机系统28的多个计算机系统，每个实现消息客户端，最通常作为如Microsoft OutlookTM的软件应用程序，用于消息发送功能。在网络18内，消息由消息服务器26接收，分布给在接收到的消息中寻址的用户帐户的合适信箱，并且能够由用户通过在一个或多个计算机系统28中的计算机访问。尽管在LAN 18内的消息客户端运行于计算机系统28上，还有与手持设备和其他系统或具有电子消息能力的设备一起运行的多个已知消息发送客户端。像消息服务器26那样，消息发送客户端还可以具有附加的非消息发送功能。
无线网关16提供对无线网络20的接口，通过该接口可与移动设备22交换消息。这些功能，如移动设备22的寻址、用于无线传输的编码或其他转换消息和其他需要的接口功能，由无线网络网关16执行。如果配置无线网关16与多于一个无线网络20操作，无线网关16也可以确定用于定位给定的用户的最可能的网络，并且当用户在国家或网络之间漫游时可跟踪他们。
任何访问WAN 12的计算机系统可以通过无线网络网关16与移动设备22交换消息。或者，也可以实现专用无线网络网关，如无线虚拟专用网络(VPN)路由器，以给诸如20等无线网络提供专用接口。例如，在LAN 18中实现的无线VPN可以通过无线网络20提供从LAN 18到一个或多个移动设备的专用接口。
这种通过无线网络网关16和/或无线网络20到无线设备的专用接口通过提供与消息服务器26操作的消息转发或重定向系统有效地扩展到LAN 18外部的实体。在该类型的系统中，由消息服务器26接收并且寻址到具有移动设备22的用户的输入消息通过无线网络接口，例如无线VPN路由器、无线网关16或其他接口，重定向到无线网络20及用户移动设备22。在消息服务器26上运行的示例重定向器系统可以具有在美国专利No.6,219,694中公开的类型，该专利标题为“用于从主系统到具有共享电子地址的移动数据通信设备推信息的系统和方法”(SYSTEM AND METHOD FOR PUSHING INFORMATION FROM A HOSTSYSTEM TO A MOBILE DATA COMMUNICATION DEVICE HAVING A SHAREDELECTRONIC ADDRESS)，其全部公开在此一并作为参考。
在如20等无线网络中，通常通过无线网络20中的基站和移动设备之间的RF传输，传递消息到如移动设备22等移动设备和从如移动设备22等移动设备接收信息。当代无线网络典型地服务于成千的用户，每个用户均具有移动设备。例如，无线网络20可以是不同类型的无线网络之一，如数据中心型无线网络、语音中心型无线网络或/和通过相同的物理基站能够支持语音和数据通信的双模式网络。双模式网络包括但不限于最近开发的码分多址(CDMA)网络、移动特别小组或全球移动通信系统(GSM)和通用分组无线业务(GPRS)和将来第三代(3G)网络象用于全球发展增进型数据比率(EDGE)和通用移动电信系统(UMTS)。GPRS是在GSM无线网络上的数据覆盖，实际运行于欧洲中的每个国家。此外，除了这些图示的无线网络，也可以使用其他无线网络。
其他数据中心网络的示例包括但不限于MobitexTM无线网络(“Mobitex”)和DataTACTM无线网络(“DataTAC”)。较老的语音中心型数据网络的示例包括个人通信系统(PCS)网络，如CDMA、GSM和时分多址(TDMA)。
移动设备22可以是数据通信设备、语音通信设备或能够进行语音、数据和其他类型通信的多模式设备。参照图6在下面进一步详细描述典型的移动设备22。
也许当前使用的最普遍的消息是电子邮件。在标准的电子邮件系统中，电子邮件消息由电子邮件发送器，可能通过消息服务器和/或服务提供者系统，进行发送，并且典型地经因特网路由到一个或多个消息接收器。电子邮件消息通常未加密地发送，并且使用传统的简单邮件传送协议(SMTP)、RFC822首标和MIME主体部分定义电子邮件消息的格式。如上简单描述的那样，路由到所寻址的消息接收器的消息能够重定向到移动设备。由于无线链路不能以与有线连接相同的方式得到物理保护，通常将加密消息用于通过无线网络传送。如果消息发送器和每个接收器之间也使用安全传输机制，能够进一步增强整体消息安全性。
在近些年，安全消息发送技术已经得到发展，以保护如电子邮件消息等消息的内容和完整性。S/MIME和Pretty Good PrivacyTM(PGPTM)是两个公钥安全电子邮件消息发送协议，用于加密以保护数据内容，和签名以保护消息的完整性和用于由消息接收器进行的发送器验证。除了加密和/或签名以外，安全消息还可以被编码、压缩或另外处理。
图2是示出了消息发送系统中安全电子邮件消息交换的方框图。系统包括与WAN 32和无线网关34相连的电子邮件发送者30，提供WAN32和无线网络34之间的接口。移动设备38适合于运行在无线网络36内。在图2还示出了数字证书状态信息提供器35和37和代理系统39，二者均与WAN 32相连。
例如，电子邮件发送器30可以是PC，如图1所示的系统14，或可以是联网计算机，如图1所示的计算机系统28。电子邮件发送器30也可以是在其上可以创建和发送电子邮件消息的另一移动设备。WAN32、无线网关34、无线网络36和移动设备38实际上与图1中类似标记的组件相同。
按照安全消息方案，如S/MIME和PGP，使用由电子邮件发送器30选择的一次性会话密钥加密消息。使用会话密钥，加密消息体，然后使用将要向其发送消息的每个所寻址的消息接收器的公钥，进行自身加密。如在40所示，用该方法加密的消息包括加密的消息体44和加密的会话密钥46。在这种类型的消息加密方案中，消息发送器，如电子邮件发送器30，必须具有对要向其发送加密消息的每个实体的公钥的访问能力。
安全电子邮件消息发送器，如30，通常通过提取消息的摘要，并使用发送器的私钥签名摘要来对消息进行签名。例如，可以通过对消息执行检验和、循环冗余检验(CRC)、摘要算法如消息摘要算法5(MD5)、散列算法如安全散列算法1(SHA-1)或某些其他优选的非可逆操作，产生摘要。在图2所示的示例中，使用加密的消息体44和加密的会话密钥46产生摘要。然后，由发送器30使用发送器私钥签名该摘要。例如，使用签名私钥对摘要执行加密或其他转换操作，以产生摘要签名。然后，包括摘要和摘要签名的数字签名被附加到输出消息上，如在42所示。发送器的数字证书，其包括发送器公钥和用一个或多个数字签名捆绑到公钥的发送器标识信息的发送器证书、及可能的任何链式数字证书和与发送器数字证书及任何链式证书相关的CRL，也可以附加到安全消息40上。
由电子邮件发送者30发送的安全电子邮件消息40包括数字签名42以及均被签名的已加密消息体44和已加密会话密钥46。在S/MIME安全消息发送技术中，数字证书、CRL和数字签名通常被放置在消息的开始，并且在文件附件中包括消息体。由其他安全消息发送方案产生的消息可以以与所示的不同的顺序放置消息组件或包括附加的和/或不同的组件。例如，安全消息诸如40可以包括寻址信息，如“To：(到：)”和“From：(从：)”电子邮件地址和其他首标信息。
当从电子邮件发送器30发送安全电子邮件消息40时，它通过WAN32被路由到无线网络36和移动设备38。电子邮件发送器30和移动设备38之间的传输路径还可以包括附加的或与图2所示的不同的组件。例如，安全电子邮件消息40可以寻址到与消息服务器或数据服务器相关的信箱或数据存储器，所述消息服务器或数据服务器已经被无线启动用于转发或发送接收到的消息和数据到移动设备38。另外的中间系统也可以存储和/或路由安全消息到移动设备38。如先前描述并且在美国专利No.6,219,694中公开的典型系统是这种系统的一个示例。
此外，安全消息40可以通过其他传输机构而不是无线网关34路由或转发到移动设备38。例如，路由到无线网络36可以使用与电子邮件发送器30相关的无线VPN路由器或在中间计算机系统处接收消息然后转发到移动设备38的情况下，与计算机系统或服务器相关的无线VPN路由器来完成。
无论签名的消息直接发送到移动设备38还是通过中间系统或组件转发到移动设备38，当接收到签名的消息时，移动设备38可以验证数字签名。为了验证数字签名42，移动设备38使用与由消息发送器使用的签名产生算法相对应的数字签名检验算法和发送器的公钥。其中，可以在消息首标中或在数字签名42中指定所述消息发送者使用的签名产生算法。如果安全消息包括发送器的数字签名证书，那么可以从所述数字证书中提取发送器公钥。可替换为，例如在从来自发送器的较早消息提取公钥并且存储在接收器本地存储器中的密钥存储器中或发送器的数字证书存储在本地存储器中的情况下，从本地存储器中检索发送器的公钥，或从公钥服务器(PKS)中检索发送器公钥。PKS是通常与证书权威(CA)相关的服务器，从证书权威可得到实体的数字证书，包括实体的公钥。PKS可驻留在公司LAN，如图1的LAN 18内，或驻留在通过其消息接收器可以与PKS建立通信的WAN 32、因特网或其他网络或系统上的任何地方。
尽管数字签名算法和摘要算法可能是公知的，发送器使用其自己的私钥签名原始消息。因此，改变原始消息的实体不能产生用发送器公钥验证的数字签名。如果发送消息在由发送器已经签名之后由攻击者改变，那么基于发送器公钥的数字签名验证失败。这些数学操作不防止任何人看到安全消息的内容，但是保证消息没有被篡改因为它由发送器签名，并且保证消息由在消息的“From(从)”字段中指示的人签名。
当数字签名42已经被验证，或者某些时候即使数字签名验证失败，那么在能够被显示或进一步由运行在图2中的移动设备38上的接收到的消息客户端处理之前，解密加密的消息体44。接收消息客户端使用其私钥解密被加密的会话密钥46，然后使用解密的会话密钥解密被加密的消息体44，并且由此恢复原始消息。本领域技术人员将理解，实体可具有多于一个相关的密码密钥对，如签名私/公钥对和加密私/公钥对。于是，移动设备38可以使用私钥解密加密的消息体44，并使用不同的私钥，以数字签名输出的安全消息。
被寻址到多于一个接收器的加密消息包括使用接收器的公钥加密的、用于每个接收器的会话密钥的加密版本。每个接收器执行相同的数字签名验证操作，但是将使用其自己的私钥解密不同的加密会话密钥。
因此，在安全消息发送系统中，发送消息客户端应该能够访问加密消息将发送到的任何接收器的公钥。接收消息客户端应该能够获得发送器的公钥，消息发送客户端可通过各种机制得到，以便验证签名消息中的数字签名。尽管移动设备38是安全消息40的接收器，移动设备38可以实现双向通信，并且因此访问用于消息发送和消息接收二个操作的公钥。
公钥通常设置在数字证书中。如上所述，对于任何特定的实体的数字证书典型地包括实体公钥和用数字签名捆绑到公钥的标识信息。几个类型的数字证书当前在被广泛使用，包括例如典型地用于S/MIME中的X.509数字证书。PGP使用稍微不同格式的数字证书。在此讨论的系统和方法可以结合这些类型的数字证书中的任何一个，以及其他类型的数字证书，当前已知类型以及将来可能开发出来的其他类型来使用。数字证书中的数字签名由数字证书的发行者产生，并且能够由消息接收者检验，实质上如上。数字证书某些时候包括过期时间或有效期，消息发送客户端根据其确定数字证书是否已经过期。数字证书的有效性的验证也可涉及通过数字证书链跟踪证书路径。证书链包括用户的数字证书和用于验证用户数字证书是真实的其他数字证书。
还可以检验数字证书，以保证它还没有被撤销。如上所述，可以通过询问CRL或通过请求来自数字证书撤销状态信息源的数字证书状态信息，检验数字证书撤销状态。在图2的系统中，移动设备38的用户可以针对存储在移动设备38处的任何数字证书，向状态信息提供器35和37之一提交撤销状态请求。然后，提供器35或37返回用于该数字证书的撤销状态信息给移动设备38。为了查询状态提供器35和37，向每个状态提供器发送单独的请求。
在线证书状态协议(OCSP)是提供不需要CRL来确定数字证书撤销状态的一个方案。例如，已经在RFC 2560和因特网草案“在线数字证书状态协议，版本2”(二者可从因特网工程任务组(IETF)得到)中定义OCSP版本。OCSP是最广泛使用的数字证书撤销状态检验协议之一，因此在此用作这些方案的示例。然而，在此描述的系统和方法也可以用于涉及从远程源获取撤销状态信息的其他类型的数字证书撤销状态检验方案。
按照OCSP，提交请求给通常被称为OCSP响应器的状态信息提供器。一旦接收到合适格式的请求，OCSP响应器返回响应给请求器。OCSP请求至少包括OCSP协议版本号、服务请求和与该请求相关的目标数字证书的标识。
版本号标识请求所符合的OCSP的版本。服务请求指定被请求的服务的类型。对于OCSP版本2，已经定义了在线撤销状态(ORS)，授权路径有效(DPV)和授权路径发现(DPD)服务。通过ORS服务，消息发送客户端可以获得数字证书的撤销状态信息。DPV和DPD服务有效地将数字证书有效路径相关处理授权(delegate)给远程系统。
通常，使用数字证书发行者的识别名(DN)的散列以及数字证书的序列号，在OCSP请求中标识目标数字证书。然而，由于多个数字证书发行者可以使用相同的DN，进一步的标识信息，以发行者公钥的散列的形式也包括在请求中。因此，OCSP请求中的目标数字证书信息包括散列算法标识符、使用散列算法产生的数字证书发行者的DN的散列、使用散列算法产生的发行者公钥的散列、和目标数字证书的序列号。
请求可以或可以不由请求器签名。进一步可选的信息也可以包括在请求中，并且由OCSP响应器处理。
当消息发送客户端操作在移动设备上时，可能希望OCSP，因为它相对于基于CRL的撤销状态检验减少了检验数字证书的撤销状态需要的处理和存储器资源。然而，OCSP请求可能相对长并且由此消耗有限的无线通信资源。当请求提交给多于一个状态提供器，例如，当响应请求，返回出错消息给状态提供器时，请求的开销可能特别大。代理系统39，连同适当使能的移动设备38，或消息客户端在其上进行操作的可能的任何其他系统，可用于优化OCSP和用于多个远程系统的类似议，这正如在下面进一步详细描述的那样。
图3是支持多个数字证书状态信息提供器的系统的方框图。移动设备38包括存储器52、消息发送系统60、代理系统客户端模块62、用户接口(UI)64和无线收发器65。存储器52包括用于数字证书存储器54的存储区域，以及如其中存储消息联系信息的地址本56的数据存储器，和存储与移动设备38上的软件应用程序相关的数据的应用程序数据存储器58。数据存储器56和58是可以在移动设备38上的存储器52中实现的存储器的示例。存储器52也可以由除了图3所示的那些之外的其他设备系统使用，以存储其他类型的数据。
存储器52是其他设备组件可以写入数据的示例可写存储器，如RAM。数字证书存储器54是专用于在移动设备38上存储数字证书的存储区。数字证书可以以它们被接收到的格式存储在数字证书存储器54中，或者可选地在写到存储器54之前被解析或另外翻译成存储格式。
消息发送系统60连接到无线收发器65，由此启动通过无线网络的通信。消息发送系统60可以是以软件应用程序实现的消息发送客户端。
可以作为软件应用程序或组件实现的代理系统客户端模块62可以与消息发送系统60、数字证书存储器54和移动设备UI 64相连，如图所示。可以使用代理系统客户端模块62检验针对存储在数字证书存储器54中的任何数字证书的撤销状态或已经由消息发送系统60接收但还没有存储在数字证书存储器54中的那些证书的撤销状态。
UI 64可以包括UI组件，如键盘或小键盘、显示器、或从移动设备38的用户接收输入或提供输出给移动设备38的用户的其他组件。尽管在图3中示为单个方框，移动设备38典型地包括多于一个UI，因此，UI 64代表一个或多个用户接口。
无线网络36、无线网关34、WAN 32和状态信息提供器35和37实质上与图2中类似标出的组件相同。
代理系统39包括代理系统服务模块或组件68和状态提供器客户端模块66和67。代理系统服务组件68被配置为与代理系统客户端模块62交换信息，并且状态提供器客户端模块66和67分别用于与状态信息提供器35和37交换信息。状态提供器客户端模块66和67和代理系统服务模块68最好是操作在代理系统39处的软件应用程序或模块。这些软件应用程序可以是单个程序，或可选地可以是独立执行的单独程序。
在运行中，如上所述，移动设备38上的消息发送系统60通过无线网络36接收并可能发送安全消息。当接收到的安全消息上的签名要被验证或要用加密的会话密钥发送消息时，消息发送系统60可从移动设备38上的数字证书或密钥存储器中检索实体(即，接收消息的发送器或要发送的消息的接收者)的公钥。然而，在使用公钥之前，消息发送系统60或其用户可能希望检验包含公钥的数字证书是有效的并且还没有被撤销。
例如，当以预定的或用户配置的间隔周期地接收数字证书时，或当通过UI 64由用户调用时，数字证书检验操作可以自动执行。不同类型的数字证书检验操作也可以取决于不同的控制。例如，对于当数字证书第一次被加载到移动设备38中时，检验数字证书的有效性和撤销状态的情况，可以假定直到过期时间之前，或在数字证书中指定的有效期内，数字证书是有效的。然而，此后可以每星期一次地检验其撤销状态。
如上所述，对远程信息提供器如35或37的数字证书状态信息请求可能相对较长，并且因此对于在移动设备38或其他带宽受限的通信系统中的实现并不是最优的。在提交对多个状态信息提供器的每一个的请求中涉及的时间延迟和数据传送，即使对于较少约束的系统也可能是不希望的。最好，代理系统客户端模块62和服务模块68适合于从所有知道的状态信息提供器收集用于请求数字证书的状态信息的数字证书状态请求信息。
例如，当移动设备38的用户希望检验数字证书的撤销状态时，通过在如键盘等UI 64上输入合适的命令，可以调用代理系统客户端模块62或可能协同代理系统客户端模块62一起操作的软件应用程序。用户也可以例如使用数字证书的序列号或主题名，指定要被检验的特定数字证书。或者，代理系统客户端模块62可以访问数字证书存储器54，以显示给用户当前存储的数字证书列表，从该表中用户可以选择一个或多个要被检验的数字证书。
然后，代理系统客户端模块62最好或从所选择的数字证书中提取或者通过UI 64从用户那里获得代理系统服务模块68需要的用于数字证书撤销状态检验的任何信息。因为代理系统39提供移动设备38和状态信息提供器35和37之间的接口，代理系统客户端模块62和代理系统服务模块68之间的请求和响应不需要符合在状态提供器客户端模块66和67及相应的状态信息提供器35和37之间使用的协议。因此，尽管状态提供器35和37和客户端模块66和67可以支持OCSP或类似协议，代理系统服务模块68和客户端模块可以支持涉及较少数据交换的更小型化的协议。
由代理系统客户端模块62提取或获得的特定信息依赖于在代理系统客户端模块62和服务模块68之间实现的通信协议。代理系统客户端模块62最好能够从数字证书存储器54中的数字证书中提取数字证书主题名、序列号、发行者名字和其他数字证书信息。如果数字证书首先被解析，然后解析的数据存储在数字证书存储器54中，则这种信息可以由代理系统客户端模块62从数字证书存储器54中的解析数据中提取。如果需要另外的信息，用户可被提醒输入数据。例如，如果配置代理系统39存储保持数字证书发行者和序列号和/或主题名之间的通信的映射表等单元，则状态提供器客户端模块66和67可以只基于由代理系统服务模块68从代理系统客户端模块62接收到的序列号或主题名，格式化对状态信息提供器35和37的请求。
代理系统客户端模块62最好收集对任何一个状态信息提供器35和37请求所需要的所有信息。当所有需要的信息已经被提取或者另外由代理系统客户端模块62获得时，格式化请求，并发送到代理系统服务模块68。该请求的内容还取决于在代理系统服务模块68和客户端模块62之间使用的通信协议。如果支持多于一个类型的服务，那么该请求可以指定请求哪个类型的服务。在某些实现中，仅支持单一的服务，这样没有服务类型需要被指定。
由代理系统服务模块68接收到的信息最好传递到每个状态提供器客户端模块66和67。然后，由状态提供器客户端模块66和67使用该信息，格式化对相应的状态信息提供器35和37的请求。如果撤销状态信息提供器35和37和状态提供器客户端模块66和67支持OCSP，由代理系统服务模块68提供的信息以及任何进一步需要的信息被格式化成OCSP请求。在某些情况下，由代理系统服务模块68提供的信息可以包括所有需要的信息，而在其他情况下，可以从其他源，如上述示例中的映射表，提取进一步的信息，并且包括在对状态信息提供器35和37的请求中。
由于状态提供器客户端模块66和67可能支持不同的协议或需要不同的信息用于服务请求，每个提供器可以提取或使用在由代理系统服务模块68接收到的初始服务请求中提供的不同信息。例如，如果提供器客户端模块66只需要提供器客户端模块67所需的信息的子集，那么每个状态提供器客户端模块66、67最好从所述初始请求中提取它需要的信息，或从所述初始请求中，或从所述初始请求的版本、或从其中提取出的、存储到代理系统39的数据存储器的解析数据中，检索出它需要的信息。或者，配置代理系统服务模块68，以传递任何需要的信息到每个提供器客户端模块66和67。然后，可以通过配置代理系统客户端模块62，以只在初始请求中包括由提供器客户端模块66和67需要的任何信息一次，进一步减少初始请求的长度。由此减少初始请求中的冗余和由此减少初始请求的长度，因为由多于一个提供器客户端模块需要的公共信息只出现在初始请求中一次，但是能够由每个提供器客户端模块66和67提取或检索到，或传递到每个提供器客户端模块66和67。
于是，代理系统39响应对代理系统39的单个初始请求，请求来自已经实现了提供器客户端模块的多个状态信息提供器的数字证书状态信息。按照已知技术，通过移动设备38向每个状态信息提供器35和37提交单独的请求。
可以用几种方法中的任何一种进行对将响应来自移动设备38的初始请求向其发送请求的特定状态信息提供器的判定。代理系统39可以发送请求给已经实施了提供器客户端模块的每个状态信息提供器，或可能给在代理系统39处存储的缺省表中的每个状态信息提供器。类似地，缺省的、可能用户配置的状态信息提供器列表可以存储在移动设备38处，并且包括在从移动设备38发送的初始请求中。在该情况下，代理系统39可以存储初始请求中、从移动设备38接收到的缺省列表，然后使用缺省列表用于来自移动设备38的后续初始请求，直到接收到用于移动设备38的新缺省列表。或者，用户可以选择或指定要用于提供所请求的服务的状态信息提供器。在初始请求中用户选择或指定的状态信息提供器可以不考虑状态信息提供器的任何缺省列表。当数字证书是初始请求中的目标数字证书时，也可以在存储在数字证书存储器54中或由移动设备38接收并提交给代理系统服务模块68的每个数字证书中包括优选的状态信息提供器。
在图3中，状态提供器37可以支持ORS等服务。一旦接收到请求，当提供器35和37及客户端模块66和67支持OCSP时，将作为OCSP响应器的每个状态信息提供器35和37检验该请求，保证其被合适地格式化、所请求的服务是被配置提供的服务、并且该请求包括所请求的服务需要的所有信息。如果这些条件不满足，则提供器35或37可以返回出错消息给其客户端模块66或67。然后，每个客户端模块66和67可以执行出错处理(如果被配置了的话)，包括以下操作：提供任何丢失的需要的信息，通过代理系统服务模块68向移动设备38请求丢失的信息，或返回出错消息给代理系统服务模块68。响应于来自客户端模块66或67的出错消息，代理系统服务模块68最好格式化并发送出错消息给代理系统客户端模块62，作为对其初始服务请求的响应。其他条件，如当提供器35或37接收到未签名的请求但被配置为期望签名的请求时，或当提供器服务不能响应时，可能导致出错消息被返回到提供器客户端模块66或67。然而，因为从多个状态信息提供器35和37请求数字证书状态信息，仅当请求已经被发送到的所有状态信息提供器35和37返回出错消息时，才可以调用出错处理。
如果请求满足上述条件，则所谓的“确定的”响应返回到相应的提供器客户端模块66或67。确定的响应典型地包括多个状态指示之一，如当目标数字证书还没有撤销时的“有效”等，当目标数字证书已经被撤销时的“无效”等，或如果状态提供器35或37没有目标数字证书的记录或不知道目标数字证书的“未知”指示。
由于请求要发送到每个状态信息提供器35和37，可以由多个提供器客户端模块和66和67之一接收响应。任何响应最好传递到代理系统客户端模块68，其选择要在准备返回到移动设备38上的代理系统客户端模块62的响应中使用的一个响应。在该配置中，代理系统服务模块68使用第一确定的响应，准备对代理系统客户端模块62的响应。如果没有接收到确定的响应，则代理系统服务模块68可以准备出错或类似响应，并且返回到代理系统客户端模块62，以指示该结果。例如，包括状态信息提供器排名表的其他选择规则也可以被用来控制多个响应中的哪一个将返回到代理系统客户端模块62或用于准备对代理系统客户端模块62的响应。可以在代理系统39或在移动设备38处建立这样的排名，或者在数字证书中指定。如上所述，在用来控制代理系统39将向其发送请求的特定状态信息提供器的表中，相对排名也能够是按状态信息提供器的排序所固有的。
当来自状态信息提供器35和37之一的选择响应被签名，并且配置代理系统客户端模块62或移动设备38上的另一组件以验证状态响应上的数字签名时，则整个选择响应，或可能其签名的部分可以实际上不被改变地转发到代理系统客户端模块62。如果只是响应的一部分被签名，则未签名的响应部分最好由代理系统服务模块68去除，以减少通过无线网络36发送到代理系统客户端模块62的响应的大小。然而，如果代理系统服务模块68或状态提供器客户端模块66代表移动设备38检验状态响应签名，那么响应的一部分，例如状态指示和数字证书序列号或主题名，可以由代理系统服务模块68提取，并且格式化成响应，然后发送到代理系统客户端模块62。然后，来自代理系统服务模块68的响应由代理系统客户端模块62或移动设备38上可能的另一组件处理，以确定是否该数字证书已经被撤销。
优选地，代理系统客户端模块62的存在并不排除按照已知技术的数字证书有效性和撤销状态检验。这样，涉及远程系统，如状态信息提供器35和37，的数字证书状态检验可以是对其他状态检验操作的补充。
图4是示出了支持多个数字证书状态信息提供器的方法的流程图。在步骤80，标识要执行状态检验的任何数字证书。如上所述，该步骤能够自动执行或数字证书能够由用户选择。然后，在步骤82准备初始请求并且发送到代理系统。在某些情况下，初始请求包括应该向其发送请求的状态信息提供器列表，和可能指示来自不同的状态信息提供器的随后响应的优选顺序的排名表。如上所述，可以按提供状态信息提供器信息和优选信息二者的优选顺序安排状态信息提供器列表。
在步骤84，在代理系统处的状态信息提供器客户端模块准备和发送服务请求给每个状态信息提供器，如OCSP响应器。然后，每个状态信息提供器检验其响应，以保证它被合适地格式化，在本示例中所请求的服务、数字证书撤销状态由提供器支持，并且所有需要的信息包括在请求中。
如果请求不满足这些条件，那么在步骤88将出错消息返回到代理系统。然后，在步骤90可以执行出错处理，例如，在步骤84可以准备新服务请求并且发送到提供器之后，当请求不包括所有需要的信息时，获得进一步的信息。
当在步骤86中请求满足条件时，在步骤92，状态信息提供器返回状态指示给代理系统，以响应来自代理系统的服务请求。步骤86，88和92最好由已经在步骤84向其发送请求的每个状态信息提供器执行。
在步骤94，代理系统选择在准备对请求器，如图3中的移动设备38，的响应中使用的响应。如上所述，选择第一确定的响应，或可以应用其他选择规则。然后，在步骤96，做为对初始服务请求的响应，所选择的响应，或响应的至少一部分，被返回到请求器。
尽管上述的系统和方法涉及数字证书撤销状态检验、数字证书有效性检验的示例，例如，可以按照OCSP的DPV和DPD服务或其他协议，通过代理系统客户端模块和服务模块类似地针对多个状态信息提供器进行优化。也可以使代理系统能够提供其代理服务给多个移动设备，并且可以配置移动设备与多于一个代理系统通信。
在另一实施例中，移动设备100和代理系统128包括多个客户端和服务模块。图5是具有支持多个数字证书状态信息提供器的多个代理系统客户端模块的系统的方框图。在图5中，存储器102、数据存储器104、106和108、消息发送系统110、UI 114、无线收发器116、无线网络118、无线网关120和WAN 122基本上与在图3中类似标出的组件相同。
移动设备100包括含有代理系统客户端模块A 113和代理系统客户端模块N 111的N个客户端模块112。代理系统128包括相应的代理系统服务模块A和N 132和136。应理解，在移动设备100上的其他代理系统服务模块可以由代理系统128中的其他代理系统服务模块支持，或由其他代理系统中的代理系统服务模块支持。代理系统128还包括状态提供器客户端模块A和N 130和134，所述模块被配置用于分别与状态信息提供器A 126和状态信息提供器N 124通信。
图5中的系统基本上如上所述操作。当一个或多个数字证书的状态，如撤销状态，要被检验时，每个代理系统客户端模块113和111最好提取或另外获得在对其各代理系统服务模块132和136的服务请求中需要的信息。然后，状态提供器客户端模块130和134使用来自移动设备100的服务请求的信息，和可能在代理系统128处得到的信息，以准备对状态信息提供器126和124的服务请求。最好配置代理系统服务模块132和136或代理系统128可能的另一组件，以便格式化仅由状态信息提供器126和124返回的响应之一，或至少其一部分，如果需要，并返回在移动设备100处的代理系统客户端模块113和111。按照上述描述的任何一个方案，可以选择响应之一。
可以使得每个代理系统客户端模块113和111收集请求信息并且处理用于不同的远程数字证书状态检验协议的响应信息。然而，由代理系统客户端模块113和111收集的信息可以被组合成对代理系统128的单个初始请求。然后，每个代理系统服务模块132和136从对其相关状态信息提供器126和124的服务请求所需要的服务请求中提取信息。
如图5中所示的多个客户端模块系统，当用户希望检验整个数字证书链的有效性和/或撤销状态时，特别有用，所述数字证书链包括从不同的状态信息提供器得到状态信息的数字证书。在已知系统中，在所述链中对每个数字证书的单独请求必须发送到状态信息提供器。然而，在图5中，只有单个请求需要从移动设备100发送，以从任何数目的状态信息提供器获得状态信息。
图6是无线移动通信设备的方框图。移动设备600最好是至少具有语音和数据通信能力的双向通信设备。移动设备600最好具有与因特网上的其他计算机系统通信的能力。根据移动设备提供的功能，移动设备可称为数据消息设备、双向寻呼机、具有数据消息能力的移动电话、无线因特网设备或数据通信设备(具有或不具有电话功能)。如上所述，这种设备在此简单地统称为移动设备。
移动设备600包括收发器611、微处理器638、显示器622、闪速存储器624、随机存取存储器(RAM)626、辅助输入/输出(I/O)设备628、串行端口630、键盘632、扬声器634、麦克风636和短距离无线通信子系统640和其他设备子系统642。收发器611包括发送和接收天线616、618、接收器(Rx)612、发送器(Tx)614，一个或多个本地振荡器(LO)613和数字信号处理器(DSP)620。在闪速存储器624内，移动设备600包括多个可由微处理器638(和/或DSP 620)执行的软件模块624A-624N，包括语音通信模块624A、数据通信模块624B和多个用于执行多个其他功能的其他操作模块624N。
移动设备600最好是具有语音和数据通信能力的双向通信设备。于是，例如移动设备600可以在如任何模拟或数字蜂窝网络的语音网络上通信，也可以在数据网络上通信。语音和数据网络在图6中由通信塔619表示。这些语音和数据网络可以是使用如基站、网络控制器等分离的基础设施的分离的通信网络，或它们可以集成为单一的无线网络。因此对网络619的引用应解释为包括单一语音和数据网络以及分离的网络。
通信子系统611用于与网络619的通信。DSP 620用于发送信号给发送器614和从接收器612接收通信信号，并且也可以与发送器614和接收器612交换控制信息。如果语音和数据通信发生在单个频率上，或近间隔的频率组上，那么单个LO 613可以与发送器614和接收器612一起使用。或者，如果不同频率用于语音和数据通信，那么能够使用多个LO产生对应于网络619的多个频率。尽管在图6中示出了两个天线616、618，移动设备600能够使用单天线结构。包括语音和数据信息的信息经DSP 620和微处理器638之间的链路与通信模块611交互通信。
通信子系统611的详细设计，如频带、分量选择和功率电平等，取决于移动设备600将运行其中的通信网络619。例如，预期运行于北美市场的移动设备600可包括通信子系统611，该子系统设计运行于Mobitex或DataTAC移动数据通信网络，并且也设计运行于各种语音通信网络，如AMPS、TDMA、CDMA、PCS等，而预期用在欧洲的移动设备600可被配置运行于GPRS数据通信网络和GSM语音通信网络。其他类型的数据和语音网络，分离的和集成的，也可以用于移动设备600。
取决于网络619的类型，可改变对移动设备600的访问需要。例如，在Mobitex和DataTAC数据网络中，移动设备使用与每个设备相关的唯一标识号注册在网络上。然而，在GPRS数据网络中，网络访问与移动设备600的订户或用户相关。GPRS设备典型地需要订户标识模块(“SIM”)，需要它以便移动设备600运行于GPRS网络上。没有SIM，本地或非网络通信功能(如果有)可能是可运行的，但是移动设备600将不能执行涉及在网络619上通信的任何功能，除了任何合法需要的操作之外，如‘911’紧急呼叫。
在已经完成任何需要的网络注册或激活程序之后，移动设备600可经网络619发送和接收通信信号，最好包括语音和数据两种信号。由天线616从通信网络619接收到的信号被路由到接收器612，该接收器设置用于信号放大、频率下转换、滤波、信道选择和模拟到数字转换的操作。接收信号的模拟到数字转换允许更复杂的通信功能，如使用DSP 620执行的数字解调和解码。以类似方式，处理将发送到网络619的信号，包括例如由DSP 620执行的调制和编码，然后提供给发送器614用于数字模拟转换、频率上变换、滤波、放大和经天线618发送给通信网络619。尽管图6中所示的单个接收器611用于语音和数据二种通信，移动设备611能够包括两个不同的收发器，用于发送和接收语音信号的第一收发器和用于发送和接收数据信号的第二收发器。也可以在移动设备中提供多个收发器，该移动设备用于操作于多于一个的通信网络或多个频带内。
除了处理通信信号之外，DSP 620还可设置用于接收器和发送器控制。例如，可以通过在DSP 620中实现的自动增益控制算法，自适应控制施加到接收器612和发送器614中的通信信号的增益电平。其他收发器控制算法也可以在DSP 620中实现，以便提供对收发器611更复杂的控制。
微处理器638最好管理和控制移动设备600的整个操作。这里可以使用很多类型的微处理器或微控制器，或者，可选地，能够使用单个DSP 620执行微处理器638的功能。低级通信功能至少包括数据和语音通信通过收发器611中的DSP 620执行。其他高级通信功能，如语音通信应用程序624A和数据通信应用程序624B也可以存储在闪速存储器624中用于由微处理器638执行。例如，语音通信模块624A可提供高级用户接口，该接口可操作用于经网络619在移动设备600和多个其他语音设备之间发送和接收语音呼叫。类似地，数据通信模块624B可提供高级用户接口，可操作用于经网络619在移动设备600和多个其他数据设备之间发送和接收数据，如电子邮件消息、文件、组织者信息、短文本消息等。在移动设备600上，安全消息发送软件应用程序，例如包含对应于消息发送系统60和代理系统客户端模块62或客户端模块113和111的软件模块，可与数据通信模块624B一起运行，以实现上述的技术。
微处理器638还与其他设备子系统交互，这些子系统诸如是显示器622、闪速存储器624、RAM 526、辅助输入/输出(I/O)子系统628、串行端口630、键盘632、扬声器634、麦克风636、短距离通信子系统640和总的表示为642的任何其他设备子系统。例如，模块624A-N由微处理器638执行，并且可提供用户和移动设备600之间的高级接口。该接口典型包括通过显示器622提供的图形组件和通过辅助I/O 628、键盘632、扬声器634或麦克风636提供的输入/输出组件。这些接口在图3和5中分别总的表示为UI64和114。
图6所示的某些子系统执行通信相关的功能，而其他子系统可提供“驻留”或设备内置功能。明显地是，某些子系统，如键盘632和显示器622，可以用于如输入用于通过数据通信网络传送的文本消息等通信相关功能，以及如计算器或任务表或其他PDA型功能等设备驻留功能。
微处理器638使用的操作系统软件最好存储在非易失存储器，如闪速存储器624中。除了操作系统和通信模块624A-N，闪速存储器624还能包括用于存储数据的文件系统。最好还在闪速存储器624中提供存储区域以存储数字证书、地址本条目和消息通信需要的其他可能的信息，如图3中的数据存储器54，56和58或图5中的数据存储器104，106和108。操作系统、特定的设备应用程序或模块或其部件，可以临时装进易失存储器，如RAM 626，用于较快操作。此外，接收到的通信信号在永久写到位于闪速存储器624中的文件系统之前，也可以临时存储到RAM 626中。
可以加载到双模式设备600中的典型应用模块624N是个人信息管理器(PIM)应用程序，其提供如日历事件、约会和任务项等PDA功能。该模块624N还能与语音通信模块624A进行交互，以便管理电话呼叫、语音信件等，并且还与数据通信模块624B进行交互，以便管理电子邮件通信和其他数据传输。或者，可以将语音通信模块624A和数据通信模块624B的所有功能集成到PIM模块中。
闪速存储器624最好提供文件系统，以方便在该设备上PIM数据项的存储。PIM应用程序最好包括经无线网络619或者通过其自身或者结合语音和数据通信模块624A和624B发送和接收数据项的能力。PIM数据项通过无线网络619最好与所存储的或与主机算机系统相关的一组相应的数据项无缝集成、同步和更新，由此为与特定用户相关的数据项建立镜像系统。
尽管示出为闪速存储器624，本领域的普通技术人员将理解除了或代替闪速存储器624，可以使用其他类型的非易失存储器，如电池备份RAM。
通过将移动设备600放置在将移动设备600的串行端口630与主系统的串行端口相连的接口插座中，移动设备600还能与主系统人工同步。串行端口630还能用于使用户能够通过外部设备或软件应用程序设定偏爱，以下载其他应用程序模块624N进行安装，并且将证书、密钥和其他信息加载到上述设备上。可以使用该有线下载路径，以将加密密钥加载到设备上，这是比通过无线网络619交换加密信息更安全的方法。
附加的应用程序模块624N可通过网络619、通过辅助I/O子系统628、通过串行端口630、通过短距离通信子系统640或通过任何其他合适的子系统642加载到移动设备600上，并且由用户安装在闪速存储器624或RAM 626中。这种在应用程序安装方面的灵活性增加了移动设备600的功能，并且能够提供增强的设备内置功能、通信相关功能或二者。例如，安全通信应用程序可以使得电子商务功能和其他财务交易能够使用移动设备600执行。
当移动设备600运行于数据通信模式时，收发器611处理如文本消息或网页下载等接收到的信号，并提供给微处理器638，其最好进一步处理接收到的信号，以便输出到显示器622，或可选地输出到辅助I/O设备628。如上所述，对接收到的安全消息进行处理。移动设备600的用户也可以使用键盘632编辑如电子邮件信息等数据项，键盘632最好是QWERTY型的完整字母数字键盘布局，尽管也能使用其他类型的完整字母数字键盘，如已知的DVORAK型。用多个辅助I/O设备628对移动设备600的用户输入进行进一步的增强，该辅助设备可包括指轮输入设备、触摸板、各种开关、摇杆输入开关等。然后，用户输入的编辑后的数据项可经收发器611在通信网络619上被发送。由移动设备600接收并且发送的安全消息按照上述的技术由数据通信模块624B或相关安全消息发送软件应用程序处理。
当移动设备600操作在语音通信模式下时，移动设备600的整个操作实质上类似于数据模式，除了接收到的信号最好输出到扬声器634和用于发送的语音信号由麦克风636产生之外。可选的语音或音频I/O子系统，如语音消息记录子系统，也可以在移动设备600上实现。尽管语音或音频信号输出最好主要通过杨声器634完成，也可以使用显示器622提供呼叫方标识、语音呼叫的持续时间或其他语音呼叫相关的信息的指示。例如，微处理器638，结合语音通信模块624A和操作系统软件，可以检测呼入语音呼叫的呼叫方标识信息，并将其显示在显示器622上。
短距离通信子系统640还可以包括在双模式设备600中。例如，子系统640可以包括红外设备及相关电路和组件或BluetoothTM短距离无线通信模块，以提供与类似使能的系统和设备的通信。本领域技术人员将理解“蓝牙”和“802.11”指从电气和电子工程师协会得到的规范组，分别涉及无线个人区域网络和无线LAN。
将理解上述描述仅以示例方式涉及优选实施例，因为对本领域的普通技术人员来说，可以有很多其他变体和示例。例如，尽管按照系统和方法的方案的数字证书状态检验主要结合无线移动通信设备进行了描述，该系统和方法也可以应用于运行在其他平台上的消息发送客户端，包括那些运行在桌面和膝上型计算机系统的，联网计算机工作站和可希望涉及远程系统的数字证书检验的其他类型的消息发送客户端。
上述描述主要涉及OCSP，尽管通过结合远程系统和代理系统客户端模块运行的中间系统，可以类似优化其他协议。这些其他协议不限于数字证书状态检验协议。可以配置代理系统和代理系统客户端模块提供除数字证书状态检验服务以外的其他服务。
图7是示出了利用中间计算机系统的多个消息发送方案的方框图。如图7所示，代理系统一般可以是设置在移动设备702和状态信息提供器(704、706、708)之间的中间计算机系统700。中间计算机系统700通过网络连接710、712与移动设备702和状态信息提供器(704、706、708)交换数据。除了数据通信之外，中间计算机系统700可以执行代理服务器功能，如安全、管理控制和超高速缓存等。
中间计算机系统700在确定哪些状态信息提供器要接收服务请求时，使用状态信息提供器数据结构720。服务请求要求状态信息提供器提供状态信息。数据结构720可以用由移动设备702发送的提供器信息填充。很多其他方法可应用于以提供器信息填充数据结构720。例如，可以在数据结构720中存储映射表，保持数字证书发行者和序列号和/或主题名之间的通信。在该例中，中间计算机系统700可以仅基于从移动设备702发送过来的序列号或主题名，格式化用于状态信息提供器的请求。
服务消息处理器730由中间计算机系统700使用，以基于从移动设备702接收到的请求，产生多个服务请求732。每个产生的服务请求均对应于状态信息提供器，并且请求来自提供器状态信息。在对移动设备状态信息请求的答复中使用来自状态信息提供器(704、706、708)的响应中的至少一个。
图8-10示出了在此公开的系统和方法的较宽范围内的其他示例。图8-10描述了不同的典型通信系统内的系统和方法的其他应用。
图8是示出了通信系统的方框图。在图8中，示出了计算机系统802、WAN 804、安全防火墙808之后的公司LAN 806、无线基础设施810、无线网络812和814、和移动设备816和818。公司LAN 806包括消息服务器820、无线连接器系统828、至少包括多个信箱819的数据存储器817、桌面计算机系统822(具有直接到移动设备的通信链路，如通过物理连接824到接口或连接器826)、和无线VPN路由器832。下面将参考消息833、834和836描述图8中的系统的操作。
计算机系统802，例如可以是被配置连接到WAN 804的膝上、桌面或掌上型计算机系统。这样的计算机系统可以通过ISP或ASP连接到WAN 804。或者，计算机系统802可以是联网计算机系统，例如计算机系统822，其通过LAN或其他网络访问WAN 804。很多现代的移动设备被使能用于通过各种基础设施和网关配置连接到WAN，这样计算机系统802也可以是移动设备。
公司LAN 806是已经能够用于无线通信的、中央型、基于服务器的消息发送系统的示例。公司LAN 806可以称为“主系统”，因为它主持具有用于消息的信箱819的数据存储器817，及可能地用于可以发送到移动设备816和818或从移动设备816和818接收到的其他数据项的另外的数据存储器(未示出)，和无线连接器系统828，无线VPN路由器832或能够进行公司LAN 806和一个或多个移动设备816和818之间的通信的其他可能的组件。用更通用的术语，主系统可以是无线连接器系统在其上运行或与无线连接器系统一起运行或相关运行的一个或多个计算机。公司LAN 806是主系统的一个优选实施例，其中主系统是在至少一个安全通信防火墙808之后操作并且由其保护的公司网络环境内运行的服务器计算机。其他可能的中央主系统包括ISP、ASP和其他服务提供商或邮件系统。尽管桌面计算机系统824和接口/连接器826可以位于这些主系统之外，无线通信操作可以类似于下面描述的那些。
公司LAN 806将无线连接器系统828作为相关无线通信使能组件实现，其通常是软件程序、软件应用程序或被建立为与至少一个消息服务器820工作的软件组件。使用无线连接器系统828，通过一个或多个无线网络812和814发送用户选择的信息到一个或多个移动设备816和818，并且从这些移动设备接收信息。无线连接器系统828可以是消息发送系统的分离组件，如图8所示，或者可以是部分或全部包含于其他通信系统组件中。例如，消息服务器820可以包含实现无线连接器系统828、无线连接器系统828的一部分、或某些功能或全部功能的软件程序、应用程序或组件。
运行在防火墙808后面的计算机上的消息服务器820用作主接口，用于公司与如因特网等的WAN 804交换消息，该消息包括如电子邮件、日历数据、语音信件、电子文档和其他PIM数据等。具体中间的操作和计算机将取决于经其交换消息的消息传递机构和网络的特定类型，因此没有在图8中示出。消息服务器820的功能可以扩展到超过消息发送和接收，如上所述，提供针对日历、待办事件表、任务表、电子邮件和文档等数据的动态数据库存储等特征。
消息服务器，如820，通常在一个或多个数据存储器如817中保持多个信箱819，用于在服务器上具有帐户的每个用户。数据存储器817包括用于多个(“n”)用户帐户的信箱819。标识用户、用户帐号、信箱或与用户、帐号或信箱819相关的其他可能的地址作为消息接收者的、由消息服务器820接收到的消息，通常被存储在相应的信箱819内。如果消息寻址到多个接收者或分布表，那么相同消息的复制件可被存储在多于一个信箱819内。或者，消息服务器820可以在数据存储器中存储该消息的单个复制件，该数据存储器对于具有在消息服务器上的帐户的所有用户是可访问的，并且在每个接收者的信箱819中存储指针或其他标识符。在典型的消息发送系统中，每个用户于是可以使用通常运行于连接在LAN 806内的PC，如桌面计算机系统822，上的消息发送客户端，如Microsoft Outlook或Lotus Notes访问他或她的信箱819及其内容。尽管在图8中仅示出了一个桌面计算机系统822，本领域的普通技术人员应理解的是，LAN将通常包含很多桌面、笔记本和膝上计算机系统。每个消息发送客户端通常通过消息服务器820访问信箱819，尽管在某些系统中，消息发送客户端能够直接访问由桌面计算机系统822在其上进行存储的信箱819和数据存储器817。消息也可以从数据存储器817下载到桌面计算机系统822上的本地数据存储器(未示出)中。
在公司LAN 806内，无线连接器系统828结合消息服务器820操作。无线连接器系统828可驻留在与消息服务器820相同的计算机系统上，或可以改为在不同的计算机系统上实现。实现无线连接器系统828的软件也可以部分或全部地与消息服务器820集成。最好设计无线连接器系统828和消息服务器820合作并且交互，以允许将信息推(push)到移动设备816，818。在这样的安装中，最好配置无线连接器系统828，将存储在一个或多个与公司LAN 806相关的数据存储器中的信息通过公司防火墙808，并经WAN 804和无线网络812、814之一，发送到一个或多个移动设备816、818。例如，在数据存储器817中具有帐户和相关信箱819的用户也可以具有移动设备，如816。如上所述，用于标识用户、帐号或信箱819的、由消息服务器820接收到的消息，由消息服务器820存储到相应的信箱819。如果用户具有移动设备，如816，由消息服务器820接收并且存储到用户信箱819的消息最好由无线连接器系统828检验，并且发送到用户的移动设备816。该类型的功能代表“推”消息发送技术。无线连接器系统828可以改为采用“拉(pull)”技术(其中响应使用移动设备进行的请求或访问操作，将存储在信箱819中的项发送到移动设备816、818)，或两种技术的某些组合。
因此，无线连接器828的使用使得包括消息服务器820的消息发送系统能够被扩展，这样每个用户的移动设备816、818能够使用消息服务器820的存储消息。尽管在此描述的系统和方法不仅限于基于推的技术，基于推消息的更详细描述可被发现于上述被引用参考的美国专利和申请中。该推技术使用无线友好编码、压缩和加密技术，以将所有信息传递到移动设备，于是有效地扩展了公司防火墙808，以包括移动设备816、818。
如图8所示，有几个路径用于从公司LAN 806与移动设备816、818交换信息。一个可能的信息传送路径是使用接口或连接器826，通过如串行端口等物理连接824。该路径是有用的，例如用于在移动设备816、818初始化经常执行的、或当移动设备816、818的用户工作于LAN 806上的计算机系统，如计算机系统822时周期执行的庞大信息更新。例如，如上所述，PIM数据通常通过这样的连接，例如连接到移动设备816、818可以放入或放上的插座的串行端口，被交换。物理连接824也可以用于从桌面计算机系统822到移动设备816，818传送其他信息，包括私有安全密钥(“私钥”)如与桌面计算机系统822相关的私有加密或签名密钥，或如数字证书和CRL等其他相对较大的信息。
使用物理连接824和连接器或接口826的私钥交换允许用户的桌面计算机系统822和移动设备816或818共享用于访问所有加密和/或签名的信件的至少一个标识。用户的桌面计算机系统822和移动设备816或818由此也能够用于共享私钥，这样主系统822或移动设备816或818能够处理寻址到消息服务器820上的用户信箱或帐户的安全消息。需要经过这种物理连接传送证书和CRL，因为它们代表S/MIME、PGP和其他公钥安全方法需要的大量数据。用户自己的数字证书、用于验证用户数字证书的一连串证书和CRL，及用于其他用户的数字证书、数字证书链和CRL可以从用户桌面计算机系统822加载到移动设备816，818上。该其他用户数字证书和CRL到移动设备816，818的加载允许移动设备用户选择其他的实体或用户(这些实体或用户可能正在与移动设备用户交换安全消息)，并且通过物理连接代替无线，将大信息预加载到移动设备上，于是节省了当从这些其他用户接收到安全消息或安全消息发送到这些用户时，或当数字证书的状态将被基于一个或多个CRL确定时的时间和无线带宽。在采用在此描述的系统和方法的情况下，也能避免基于CRL的状态检验。
在已知的“同步”型无线消息发送系统中，物理路径也已经用来从与消息服务器820相关的信箱819向移动设备816和818传送消息。
用于与移动设备816、818数据交换的另一方法是通过无线连接器系统828和使用无线网络812、814的无线交换。如图8所示，这能够涉及无线VPN路由器832(如果在网络806中存在的话)，或可选地，涉及到无线基础设施810的传统WAN连接，其提供到一个或多个无线网络如814的接口。无线VPN路由器832设置用于直接通过特定无线网络812建立到无线设备816的VPN连接。这种无线VPN路由器832可以与静态寻址方案一起使用。例如，如果无线网络812是基于IP的无线网络，那么IPV6将提供足够的IP地址以分配IP地址给被配置操作在网络812内的每个移动设备816，由此能够在任何时间推信息到移动设备816。使用无线VPN路由器832的主要优点是它是不需要无线基础设施810的现成的VPN组件。VPN连接可以使用TCP/IP或UDP/IP连接直接传递消息到移动设备816和从移动设备816传递信息。
如果无线VPN路由器832不是可用的，则与WAN 804(通常是因特网)的连接是可由无线连接器系统828使用的通用连接机制。为了处理移动设备816的寻址和任何其他需要的接口功能，最好使用无线基础设施810。无线基础设施810也可以确定用于定位给定的用户的最可能的无线网络，并且当用户在国家或网络之间漫游时，跟踪用户。在无线网络如812和814中，消息通常经基站和移动设备之间的RF发射，传递到移动设备或从该移动设备传递。
可以提供到无线网络812和814的多个连接，包括例如使用在整个因特网中的TCP/IP协议的ISDN、帧中继或T1连接。无线网络812和814能够表示清楚的、唯一的和不相关的网络，或它们能够表示不同国家中的相同网络，并且可以是下列不同类型的网络的任何一个，这些网络包括但不限于：数据核心无线网络、语音核心无线网络、和能够支持经相同或类似基础设施如上述描述的那些中的任何一种的语音和数据通信的双模式网络。
在某些实现中，可以在公司LAN 806中提供多于一个无线信息交换机制。例如，在图8的示例中，配置与用户相关的移动设备816、818运行在不同的无线网络812和814中，所述用户具有与消息服务器820上的用户帐户相关的信箱819。如果无线网络812支持IPv6寻址，那么无线VPN路由器832可由无线连接器828使用，以与运行在无线网络812内的任何移动设备816交换数据。然而无线网络814可以是不同类型的无线网络，如Mobitex网络，在该情况下，信息可改为经过去往WAN 804和无线基础设施810的连接与运行于无线网络814内的移动设备818交换。
现在，使用从计算机系统802发送并且寻址到具有帐号和信箱819或与消息服务器820和移动设备816或818相关的数据存储器的至少一个接收者的电子邮件消息833的示例，描述图8中的系统的操作。然而，电子邮件消息833仅用于示例。公司LAN 806之间的其他类型信息的交换最好也能由无线连接器系统828进行。
根据使用的具体消息方案，从计算机系统802经WAN 804发送的电子邮件消息833可以是完全未加密的或用数字签名进行签名的和/或被加密的。例如，如果使用S/MIME使得计算机系统802能够用于安全消息，那么电子邮件消息833可以被签名、加密或签名和加密。
电子邮件消息如833通常使用传统SMTP、RFC822首标和MIME主体部分以定义电子邮件消息的格式。这些技术对于本领域的普通技术人员全部是公知的。电子邮件消息833到达消息服务器820，其确定电子邮件消息833应该存储进哪个信箱819。如上所述，消息如电子邮件消息833可包括用户名、用户帐户、信箱标识符或可由消息服务器820映射到特定的帐户或相关信箱819的其他类型的标识符。对于电子邮件消息833，通常使用与用户帐户并由此为信箱819相对应的电子邮件地址识别接收者。
无线连接器系统828最好一旦检测到已经发生了一个或多个触发事件，就通过无线网络812或814，从公司LAN 806向用户移动设备816或818发送或映射某些用户选择的数据项或数据项的一部分。触发事件包括但不限于，下列情况中的一个或多个：在用户联网的计算机系统822上的屏幕保护程序的激活；用户移动设备816或818从接口826断开；或接收从移动设备816或818发送到主系统以开始发送存储在主系统上的一个或多个消息的命令。这样，无线连接器系统828可以检测与消息服务器820相关的触发事件，如命令的接收，或与一个或多个联网的计算机系统822相关的触发事件，包括上述的屏幕保护程序和断开事件。当在LAN 806已经激活移动设备816或818对公司数据的无线访问时，例如，当无线连接器系统828检测到移动设备用户发生了触发事件时，由用户选择的数据项最好发送到用户移动设备。在电子邮件消息833的示例中，假定一旦已经检测到触发事件，无线连接器系统828检测在消息服务器820处消息833的到达。这个例如可以通过监视或询问与消息服务器820相关的信箱819完成，或者如果消息服务器820是Microsoft Exchange服务器，那么，无线连接器系统828可以登记由微软消息应用编程接口(MAPI)提供的建议同步(advise syncs)，由此当新消息存储到信箱819时，接收通知。
当数据项如电子邮件消息833将被发送到移动设备816或818时，无线连接器系统828最好以对移动设备816或818透明的方式重新打包数据项，这样，发送到移动设备816或818或由移动设备816或818接收到的信息类似于存储在主系统、图8中的LAN 806上并且可访问的信息出现。一个优选的重新打包的方法包括：在对应于消息将发送到的移动设备816或818的无线网络地址的电子信封中，打包将通过无线网络812或814发送的所接收到的消息。或者，可以使用其他重新打包的方法，如专用TCP/IP打包技术。这种重新打包的方法最好还导致从移动设备816或818发送的电子邮件消息，似乎来自相应的主系统帐户或信箱819，即使它们是从移动设备编写并发送的。因此，移动设备816或818的用户最好可以在主系统帐户或信箱819和移动设备之间有效地共享单个电子邮件地址。
电子邮件消息833的重新打包在834和836中指示。重新打包技术对于任何有效的传送路径可以是类似的，或可以取决于具体的传送路径、无线基础设施810或无线VPN路由器832。例如，电子邮件消息833最好被压缩和加密，在834处被重新打包之前或之后，由此有效地提供到移动设备818的安全传送。压缩减少了发送消息需要的带宽，而加密保证了发送到移动设备816和818的任何消息或其他信息的保密性。相反，经VPN路由器832传送的消息可能仅被压缩，但不加密，因为由VPN路由器832建立的VPN连接是固有安全的。由此经在无线连接器系统828处的加密，例如，可认为是非标准的VPN隧道或类VPN连接，或者经VPN路由器832，将消息安全地发送到移动设备816和818。由此使用移动设备816或818访问消息与使用桌面计算机系统822访问LAN 806处的信箱同样安全。
当重新打包的消息834或836经无线基础设施810或经无线VPN路由器832到达移动设备816或818时，移动设备816或818从重新打包的消息834或836移去外面的电子信封，并且执行任何需要的解压缩和解密操作。从移动设备816或818发送并且指向一个或多个接收者的消息最好被类似地重新打包，并且可能压缩和加密，以及发送到主系统，如LAN 806。然后，主系统从重新打包的消息移去电子信封，如果需要，解密和解压缩消息，并且将消息路由到被寻址的接收者。
使用外部信封的另一目的是至少保持原始电子邮件消息833中的某些寻址信息。尽管用来路由信息到移动设备816，818的外部信封使用一个或多个移动设备的网络地址寻址，外部信封最好能够将整个原始的电子邮件消息833，包括至少一个地址字段，以压缩和/或加密的形式封装。这使得当外部信封被去除并且消息显示在移动设备816或818上时电子邮件消息833的原始的“To(到)”、“From(从)”和“CC(抄送)”地址得到显示。当从移动设备发送的重新打包的输出消息的外部信封由无线连接器系统828移去时，重新打包也使其能够以反映出主系统上移动设备用户帐户或信箱的地址的“From(从)”字段，将回复消息传递到所寻址的接收者。使用来自移动设备816或818的用户帐户或信箱地址使得从移动设备发送的消息像是来自主系统上的用户信箱819或帐户而不是来自移动设备的消息。
图9是可选的通信系统示例的方框图，其中无线通信由与无线网络的运营者相关的组件实现。如图9所示，系统包括：计算机系统802、WAN 804、位于安全防火墙808后面的公司LAN 807、网络运营者基础设施840、无线网络811、和移动设备813和815。计算机系统802、WAN 804、安全防火墙808、消息服务器820、数据存储器817、信箱819、和VPN路由器835，它们实际上与图8中相同标记的组件相同。然而，由于VPN路由器835与网络运营者基础设施840通信，它不必是图9的系统中的无线VPN路由器。网络运营者基础设施840实现分别与计算机系统842和852相关并且配置运行在无线网络811中的LAN 807和移动设备813、815之间的无线信息交换。在LAN 807中，示出了多个桌面计算机系统842和852，每个具有到接口或连接器848或858的物理连接846或856。无线连接器系统844或854运行在每个计算机系统842和852上或与每个计算机系统842和852一起工作。
无线连接器系统844和854类似于上述的无线连接器系统828，因为它使得数据项，如存储在信箱819中的电子邮件消息和其他项，以及存储在本地或网络数据存储器中的可能的数据项，能够从LAN 807发送到一个或多个移动设备813、815。然而，在图9中，网络运营者基础设施840提供移动设备813和815和LAN 807之间的接口。如上，下面将以电子邮件消息作为可以发送到移动设备813和815的数据项的示例，描述图9所示的系统的操作。
当由消息服务器820接收寻址到具有消息服务器820上的帐户的一个或多个接收者的电子邮件消息833时，消息或可能是存储在中央信箱或数据存储器中的消息的单个复制件的指针，被存储在每个接收者的信箱819中。一旦电子邮件消息833或指针已经存储在信箱819中，它最好能够使用移动设备813或815被访问。在图9示出的示例中，电子邮件消息833已经被寻址到与桌面计算机系统842和852相关的以及由此与相应的移动设备813和815相关的信箱819中。
正如本领域的普通技术人员所理解的那样，通常用在有线网络如LAN 807和/或WAN 804中的通信网络协议不适合于或不匹配无线网络如811中使用的无线网络通信协议。例如，在无线网络通信中主要关心的通信带宽、协议开销和网络等待时间，在有线网络中并不那么重要，有线网络比无线网络典型地具有更高容量和速度。因此，移动设备813和815通常不能直接访问数据存储器817。网络运营者基础设施840提供无线网络811和LAN 807之间的桥梁。
网络运营者基础设施840使得移动设备813或815能够通过WAN804建立到LAN 807的连接，并且例如可以由无线网络811的运营者或为移动设备813和815提供无线通信服务的服务提供商操作。在基于拉的系统中，使用无线网络匹配通信方案，当信息应该保持保密时最好使用安全方案，如无线传输层安全(WTLS)，和无线网络浏览器，如无线应用协议(WAP)浏览器，移动设备813或815可以建立与网络运营者基础设施840的通信会话。然后，用户可以请求(通过人工选择或驻留在移动设备里的软件中的预选择缺省值)存储在LAN 807上的数据存储器817中的信箱819中的任何或所有信息或例如仅仅新信息。然后，如果没有会话已经建立，例如使用安全超文本传输协议(HTTPS)，网络运营者基础设施840建立与无线连接器系统844或854的连接或会话。如上，可以经典型的WAN连接或通过VPN路由器835(如果有的话)进行网络运营者基础设施840和无线连接器系统844或854之间的会话。当接收来自移动设备813或815的请求和传递所请求的信息回到设备之间的时间延迟将被最小化时，可以配置网络运营者基础设施840和无线连接器系统844和854使得通信连接一旦被建立就一直保持开通。
在图9所示的系统中，来自移动设备A 813和B 815的请求将分别被发送到无线连接器系统844和854。一旦接收到来自网络运营者基础设施840的信息请求，无线连接器系统844或854从数据存储器中获得所请求的信息。对于电子邮件信息833，无线连接器系统844或854通常通过结合计算机系统842或852操作的消息发送客户端(或者经消息服务器820或者直接可访问信箱819)，从适当的信箱819获取电子邮件消息833。或者，可以配置无线连接器系统844或854直接或通过消息服务器820访问信箱819本身。此外，其他数据存储器，类似于数据存储器817的网络数据存储器和与每个计算机系统842、852相关的本地数据存储器，对于无线连接器系统844、854来说可以访问，并且由此对于移动设备813、815可以访问。
如果电子邮件消息833寻址到与计算机系统842和852及设备813和815两者相关的消息服务器帐户或信箱819，那么电子邮件消息833可发送到网络运营者基础设施840，如860和862所示，然后发送电子邮件消息的复制件到每个移动设备813和815，如864和866所示。信息可以经去往WAN 804的连接或VPN路由器835，在无线连接器系统844和854和网络运营者基础设施840之间传送。当网络运营者基础设施840经不同的协议与无线连接器系统844、854和移动设备813、815进行通信时，可由网络运营者基础设施840执行翻译操作。重新打包技术也可以在无线连接器系统844、854和网络运营者基础设施840之间，和每个移动设备813和815和网络运营者基础设施840之间使用。
要从移动设备813或815发送的消息或其他信息可以以类似方式得到处理，这些信息首先从移动设备813或815传送到网络运营者基础设施840。然后，网络运营者基础设施840可以发送信息到无线连接器系统844或854，存储在信箱819中，并且例如通过消息服务器820传递到任何所寻址的接收者，或者可选地将信息传递到所寻址的接收者。
图9中的系统的上述描述涉及基于拉的操作。无线连接器系统844和854和网络运营者基础设施可被替换地配置为将数据项推到移动设备813和815。也能够是组合的推/拉系统。例如，可以将当前存储在LAN 807处的数据存储器中的数据项列表或新消息的通知推到移动设备813、815，然后，可以用来经网络运营者基础设施840从LAN 807请求消息或数据项。
如果与LAN 807上的用户帐户相关的移动设备被配置操作于不同的无线网络内，然后，每个无线网络可以具有类似于840的相关无线网络基础设施部件。
尽管在图9的系统中为每个计算机系统842和852示出了分离的专用无线连接器系统844和854，最好配置一个或多个无线连接器系统844和854以与多于一个计算机系统842和852一起操作，或访问与多于一个计算机系统相关的数据存储器或信箱819。例如，无线连接器系统844可被授权访问与计算机系统842和计算机系统852相关的信箱819。然后，可以由无线连接器系统844处理从移动设备A 813或B 815对数据项的请求。该配置可用于实现LAN 807和移动设备813和815之间的通信，而不需要针对每个移动设备用户而运行的桌面计算机系统842和852。无线连接器系统可被替换为与消息服务器820一起实现以能够进行无线通信。
图10是另一可选的通信系统的方框图。该系统包括：计算机系统802、WAN 804、位于安全防火墙808后面的公司LAN 809、访问网关880、数据存储器882、无线网络884和886、和移动设备888和890。计算机系统802、WAN 804、安全防火墙808、消息服务器820、数据存储器817、信箱819、桌上型计算机系统822、物理连接824、接口或连接器826和VPN路由器835实质上与上述相应的组件相同。访问网关880和数据存储器882给移动设备888和890提供对存储在LAN809中的数据项的访问。在图10中，无线连接器系统878运行于消息服务器820上或与消息服务器820一起操作，尽管无线连接器系统可替换为运行于LAN 809中的一个或多个桌面计算机系统上或与LAN 809中的一个或多个桌面计算机系统一起工作。
无线连接器系统878提供存储在LAN 809上的数据项到一个或多个移动设备888和890的传送。这些数据项最好包括，存储在数据存储器817上的信箱819中的电子邮件消息，以及存储在数据存储器817或另一网络数据存储器或计算机系统如822的本地数据存储器中的可能的其他数据项。
如上所述，寻址到具有消息服务器820上的帐户的一个或多个接收者的、并且由消息服务器820接收到的电子邮件消息833可以存储到每个接收者的信箱819中。在图10的系统中，外部数据存储器882最好具有与数据存储器817类似的结构，并且保持与数据存储器817同步。存储在数据存储器882中的PIM信息或数据最好独立于存储在主系统上的PTM信息或数据可修改的。在该种具体配置中，在外部数据存储器882处独立可修改的信息可保持与用户相关的多个数据存储(例如移动设备上的数据，家中个人计算机上的数据，公司LAN上的数据)的同步。该同步可这样完成：例如可通过以一定的时间间隔，每次数据存储器817中的一项被添加或改变，在一天的某些时候，或当在LAN 809启动时，由无线连接器系统878向数据存储器882发送更新，通过消息服务器820或计算机系统822，在数据存储器882处，或可能通过移动设备888、890，经由访问网关880。
在电子邮件消息833的清况下，接收电子邮件消息833之后的某时间发送到数据存储器882的更新资料指示消息833已经存储在存储器817中的某一信箱819中，并且电子邮件消息的复制件将被存储到数据存储器882中的相应存储区域中。当电子邮件消息833已经存储在对应于移动设备888和890的信箱819中时，在图10中以892和894指示的电子邮件消息的一个或多个复制件将被发送到并且存储到数据存储器882中的相应存储区域或信箱中。如图所示，在数据存储器817中存储信息的更新或复制可通过到WAN 804的连接或VPN路由器835的连接发送到数据存储器882。例如，无线连接器系统878可经HTTP投寄请求，投寄更新资料或存储信息到数据存储器882中的资源。或者，可以使用安全协议，如HTTPS或安全套接字层(SSL)。本领域技术人员将理解存储在LAN 809处的数据存储器中多于一个位置的数据项的单个复制件可以被替换为发送到数据存储器882。然后，数据项的该复制件，以存储在数据存储器882中的每个相应位置中的存储数据项的指针或其他标识符，能够存储在数据存储器882中多于一个相应的位置，或者单个复制件可存储在数据存储器882中。
访问网关880是有效的访问平台，因为它为移动设备888和890提供了对数据存储器882的访问。数据存储器882可以配置为在WAN804上可访问的资源，并且访问网关880可以是ISP系统或WAP网关，通过其移动设备888和890可以连接到WAN 804。然后，与无线网络884和886匹配的WAP浏览器或其他浏览器可被用于访问与数据存储器817同步的数据存储器882，并且自动地或响应于来自移动设备888的请求，下载存储的数据项。如在896和898所示，存储在数据存储器817中的电子邮件消息833的复制件，可发送到移动设备888和890。由此，在每个移动设备888，890上的数据存储器(未示处)，可以与公司LAN 809上的数据存储器817的一部分，如信箱819，同步。移动设备数据存储器的变化可类似地反映在数据存储器882和817中。
在此描述的实施例是具有对应于在权利要求中列举的发明的单元组件的系统和方法。该书面说明书可以使本领域普通技术人员能够制造和使用具有同样对应于权利要求中列举的发明的单元的可选组件的实施例。由此，本发明的预期范围包括不同于权利要求的文字语言的其他结构、系统或方法，并且进一步包括具有与权利要求的文字语言无实质区别的其他结构、系统或方法。

Claims (61)

1.一种访问多个数字证书状态信息提供器以获得数字证书状态信息的方法，包括以下步骤：
从通信设备接收数字证书状态信息请求；
基于接收到的请求产生多个服务请求，所述多个服务请求中的每一个对应于数字证书状态信息提供器；
发送所产生的多个服务请求给它们相应的数字证书状态信息提供器；
从所述数字证书状态信息提供器中的至少一个接收包括数字证书状态信息的响应；
使用所述接收到的数字证书状态信息的至少一部分，产生对所述数字证书状态信息请求的响应；和
发送所产生的对所述请求的响应给通信设备，
其中由连接到通信设备和数字证书状态信息提供器的代理计算机系统执行以上各个步骤。
2.如权利要求1所述的方法，其特征在于所述请求包括要向其发送服务请求的数字证书状态信息提供器的列表。
3.如权利要求2所述的方法，其特征在于所述请求包括指定来自数字证书状态信息提供器的连续的响应之间的优先顺序的排名表。
4.如权利要求2所述的方法，其特征在于所述数字证书状态信息提供器列表以来自所述数字证书状态信息提供器的连续响应之间的优先顺序排列。
5.如权利要求1所述的方法，其特征在于还包括步骤：基于发送到所述通信设备的所产生的响应，处理所述通信设备处的安全消息。
6.如权利要求5所述的方法，其特征在于所述安全消息包括数字签名。
7.如权利要求1所述的方法，其特征在于所述请求包括用于标识数字证书状态信息已被请求的目标数字证书的标识信息，其中来自所述数字证书状态信息提供器中的至少一个的响应包括所述目标数字证书的状态信息，并且所产生的响应包括用于所述目标数字证书的状态指示符。
8.如权利要求7所述的方法，其特征在于所述状态指示符包括有效指示符、撤销指示符和未知指示符之一。
9.如权利要求8所述的方法，其特征在于所述目标数字证书包括用于验证在通信设备处接收到的安全消息中的数字签名的签名密钥，还包括以下步骤：
确定所述状态指示符是否为所述有效指示符；和
在所述状态指示符是所述有效指示符的情况下，使用所述签名密钥验证所述数字签名。
10.如权利要求9所述的方法，其特征在于所述安全消息是已经被签名然后加密的消息。
11.如权利要求9所述的方法，其特征在于所述安全消息是已经被加密然后签名的消息。
12.如权利要求6所述的方法，其特征在于使用安全多用途因特网邮件扩展S/MIME技术签名所述安全消息。
13.如权利要求6所述的方法，其特征在于使用PGP技术签名所述安全消息。
14.如权利要求6所述的方法，其特征在于所述安全消息包括电子邮件消息。
15.如权利要求9所述的方法，其特征在于所述安全消息还包括所述目标数字证书。
16.如权利要求1所述的方法，其特征在于还包括以下步骤：
在所述通信设备处接收包括数字证书的安全消息；和
产生对用于所述安全消息中的数字证书的数字证书状态信息的请求。
17.如权利要求1所述的方法，其特征在于还包括以下步骤：
以预定的时间间隔，在所述通信设备处产生对数字证书状态信息的请求。
18.如权利要求17所述的方法，其特征在于所述预定时间间隔是由通信设备的用户配置的。
19.如权利要求1所述的方法，其特征在于还包括以下步骤：
由用户通过通信设备的用户接口，调用数字证书检验操作；和
响应所述调用步骤，在所述通信设备处产生对数字证书状态信息的请求。
20.如权利要求1所述的方法，其特征在于所述请求包括针对存储在通信设备处的数字证书的撤销状态请求。
21.如权利要求20所述的方法，其特征在于发送到相应的数字证书状态信息提供器的、所产生的多个服务请求包括撤销状态信息请求。
22.如权利要求6所述的方法，其特征在于所述安全消息还包括链式数字证书，其中在所述请求中请求所述数字证书和所述链式数字证书的状态信息，并且所产生的响应包括用于所述数字证书和所述链式数字证书的状态指示符。
23.如权利要求1所述的方法，其特征在于在所述请求中请求多个数字证书的状态信息，并且所产生的响应包括用于对多个数字证书中的每一个的状态指示符。
24.如权利要求23所述的方法，其特征在于所述多个服务请求中的每一个包括用于多个数字证书中的至少一个的状态信息请求。
25.如权利要求24所述的方法，其特征在于所述多个服务请求中的每一个包括对所述多个数字证书的状态信息请求。
26.如权利要求1所述的方法，其特征在于所述多个服务请求和来自所述数字证书状态信息提供器的每个响应符合在线证书状态协议OCSP。
27.如权利要求8所述的方法，其特征在于所述目标数字证书包括加密密钥，还包括以下步骤：
确定所述状态指示符是否为有效指示符；和
在所述状态指示符是有效指示符的情况下，使用所述加密密钥处理要从所述通信设备发送的消息。
28.如权利要求27所述的方法，其特征在于所述处理步骤包括以下步骤：
使用会话密钥，加密所述消息；和
使用所述加密密钥，加密所述会话密钥。
29.如权利要求27所述的方法，其特征在于所述处理步骤包括使用所述加密密钥加密所述消息的步骤。
30.如权利要求27所述的方法，其特征在于所述加密密钥是对应于消息的预期接收者的私钥的公钥。
31.如权利要求1所述的方法，其特征在于所述代理计算机系统基于所述接收到的请求和本地存储在代理计算机系统处的信息，产生所述多个服务请求。
32.如权利要求1所述的方法，其特征在于产生对所述请求的响应的步骤包括以下步骤：
确定所述接收到的数字证书状态信息是否包括已签名部分；和
产生包括所述已签名部分而不包括未签名部分的响应。
33.如权利要求1所述的方法，其特征在于所述通信设备包括代理系统客户端组件，所述代理计算机系统包括代理系统服务组件，并且配置所述代理系统服务组件以与代理系统客户端组件交换信息，以获得数字证书状态信息。
34.如权利要求33所述的方法，其特征在于所述通信设备包括多个代理系统客户端组件，并且所述代理系统客户端组件中的每一个适合于收集请求信息，并以不同的数字证书状态检验协议处理响应信息。
35.如权利要求34所述的方法，其特征在于由所述代理系统客户端组件收集的请求信息被组合成所述请求，并发送给所述代理计算机系统，并且所述代理系统服务组件从所述请求中提取信息，以产生所述多个服务请求。
36.如权利要求33所述的方法，其特征在于所述代理计算机系统包括与不同的数字证书状态信息提供器交换信息以获得数字证书状态信息的状态提供器客户端组件。
37.如权利要求36所述的方法，其特征在于所述代理系统客户端组件只在所述请求中包括由所述状态提供器客户端所需的信息一次。
38.如权利要求36所述的方法，其特征在于还包括以下步骤：
选择通信设备上、数字证书状态信息将被请求的数字证书，
其中所述代理系统客户端组件从所选择的数字证书中提取由代理系统服务组件所需的请求信息。
39.如权利要求36所述的方法，其特征在于配置所述代理系统客户端组件以收集请求信息，所述请求信息包括数字证书状态信息被请求的每个数字证书的唯一标识符，其中所述代理计算机系统包括映射表，该映射表包含数字证书发行者和唯一标识符之间的关联，并且在产生多个服务请求时使用所述关联。
40.如权利要求36所述的方法，其特征在于所述代理计算机系统产生和发送服务请求给已经实现了数字证书状态信息提供器客户端组件的每个数字证书状态信息提供器。
41.如权利要求36所述的方法，其特征在于所述代理计算机系统产生和发送服务请求给存储在代理计算机系统处的数字证书状态信息提供器列表中的每个数字证书状态信息提供器。
42.如权利要求1所述的方法，其特征在于当所述请求包含不足以使代理计算机系统产生多个服务请求的信息时，代理计算机系统发送出错消息给通信设备。
43.如权利要求39所述的方法，其特征在于所述请求信息还包括数字证书状态信息提供器列表，并且所述代理计算机系统产生和发送服务请求给所述数字证书状态信息提供器列表中的每个数字证书状态信息提供器。
44.如权利要求43所述的方法，其特征在于每个唯一标识符包括数字证书序列号。
45.如权利要求43所述的方法，其特征在于每个唯一标识符包括数字证书主题名。
46.如权利要求43所述的方法，其特征在于基于来自代理系统客户端组件的、由代理系统服务组件接收的唯一标识符，状态提供器客户端组件格式化用于其相应的数字证书状态信息提供器的服务请求。
47.如权利要求36所述的方法，其特征在于所述代理计算机系统提供通信设备和数字证书状态信息提供器之间的接口。
48.如权利要求47所述的方法，其特征在于代理系统客户端组件和代理系统服务组件之间的请求和响应符合不同于用在所述状态提供器客户端组件及其相应的数字证书状态信息提供器之间的协议的通信协议。
49.如权利要求48所述的方法，其特征在于，所述状态提供器客户端组件及其相应的数字证书状态信息提供器之间的通信协议是在线证书状态协议OCSP，而所述代理系统客户端组件和代理系统服务组件之间的通信协议支持比在线证书状态协议OCSP涉及更少数据交换的协议。
50.如权利要求49所述的方法，其特征在于所述通信设备包括多个代理系统客户端组件，并且所述代理计算机系统包括多个代理系统服务组件。
51.如权利要求1所述的方法，其特征在于所述代理计算机系统通过网络连接与所述通信设备相连。
52.如权利要求51所述的方法，其特征在于所述代理计算机系统和所述通信设备之间的网络连接包括无线网关和无线网络连接。
53.如权利要求52所述的方法，其特征在于所述代理计算机系统和所述通信设备之间的网络连接还包括广域网络。
54.如权利要求51所述的方法，其特征在于所述代理计算机系统和所述通信设备之间的网络连接包括虚拟专用网络。
55.如权利要求1所述的方法，其特征在于所述代理计算机系统通过广域网连接到所述数字证书状态信息提供器。
56.如权利要求1所述的方法，其特征在于产生对所述请求的响应的步骤包括以下步骤：
确定来自所述数字证书状态信息提供器的任何响应是否都包括数字证书状态信息；和
在来自所述数字证书状态信息提供器的任何响应都不包含数字证书状态信息的情况下，产生包括出错消息的响应。
57.如权利要求1所述的方法，其特征在于产生对所述请求的响应的步骤包括以下步骤：
检测来自所述数字证书状态信息提供器之一的第一确定响应的接收；和
使用所述第一确定响应的至少一部分，产生对所述请求的响应。
58.如权利要求1所述的方法，其特征在于产生对所述请求的响应的步骤包括以下步骤：
基于预定的选择规则，选择来自所述数字证书状态信息提供器之一的响应；和
使用所选择的响应的至少一部分，产生对所述请求的响应。
59.如权利要求58所述的方法，其特征在于所述选择规则包括数字证书状态信息提供器排名表。
60.如权利要求1所述的方法，其特征在于所述通信设备是从下列组成的组中选择的：手持通信设备、数据通信设备、语音通信设备、双模式通信设备、具有数据通信能力的移动电话、能够用于无线通信的个人数字助理PDA、双向寻呼机和无线调制解调器。
61.一种用于访问多个数字证书状态信息提供器以获得用于通信设备的数字证书状态信息的设备，包括：
从所述通信设备接收关于数字证书状态信息的请求的装置；
基于接收到的请求产生多个服务请求的装置，每个所产生的服务请求均对应于数字证书状态信息提供器；
经计算机网络发送所产生的多个服务请求给其相应的数字证书状态信息提供器的装置；
经计算机网络从所述数字证书状态信息提供器中的至少一个接收包含数字证书状态信息的响应的装置；
其中在向所述通信设备提供状态信息响应时，使用所述接收到的数字证书状态信息的至少一部分。
CN038112337A 2002-03-20 2003-03-20 支持移动通信设备上多个证书状态提供器的系统和方法 Expired - Lifetime CN1653779B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US36553402P 2002-03-20 2002-03-20
US60/365,534 2002-03-20
PCT/CA2003/000404 WO2003079627A2 (en) 2002-03-20 2003-03-20 System and method for supporting multiple certificate status providers on a mobile communication device

Publications (2)

Publication Number Publication Date
CN1653779A CN1653779A (zh) 2005-08-10
CN1653779B true CN1653779B (zh) 2010-09-29

Family

ID=28042034

Family Applications (1)

Application Number Title Priority Date Filing Date
CN038112337A Expired - Lifetime CN1653779B (zh) 2002-03-20 2003-03-20 支持移动通信设备上多个证书状态提供器的系统和方法

Country Status (9)

Country Link
US (1) US7865720B2 (zh)
EP (1) EP1488594B1 (zh)
CN (1) CN1653779B (zh)
AT (1) ATE385118T1 (zh)
AU (1) AU2003213908A1 (zh)
CA (2) CA2642320A1 (zh)
DE (1) DE60318825T2 (zh)
HK (1) HK1071647A1 (zh)
WO (1) WO2003079627A2 (zh)

Families Citing this family (84)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100410927C (zh) 2001-06-12 2008-08-13 捷讯研究有限公司 证书管理和传送系统及方法
JP3926792B2 (ja) * 2001-06-12 2007-06-06 リサーチ イン モーション リミテッド モバイルデータ通信デバイスと交換するためのセキュアなｅメールを圧縮するシステムおよび方法
WO2002102009A2 (en) 2001-06-12 2002-12-19 Research In Motion Limited Method for processing encoded messages for exchange with a mobile data communication device
BRPI0211093B1 (pt) 2001-07-10 2016-09-06 Blackberry Ltd sistema e método para efetuar o cache de chave de mensagem segura em um dispositivo de comunicação móvel
US8019081B2 (en) 2001-08-06 2011-09-13 Research In Motion Limited System and method for processing encoded messages
US7840812B1 (en) * 2002-05-24 2010-11-23 Access Systems Americas, Inc. Authentication of digital certificates used by portable computing devices
US7184768B2 (en) 2002-10-30 2007-02-27 Research In Motion Limited Methods and apparatus for selecting a communication network
US7284121B2 (en) * 2002-11-20 2007-10-16 Microsoft Corporation System and method for transmitting reduced information from a certificate to perform encryption operations
US7454785B2 (en) * 2002-12-19 2008-11-18 Avocent Huntsville Corporation Proxy method and system for secure wireless administration of managed entities
US20040230965A1 (en) * 2003-02-28 2004-11-18 Harri Okkonen Mobile handset network that facilitates interaction between a generic intelligent responsive agent and a service broker server
US8473620B2 (en) * 2003-04-14 2013-06-25 Riverbed Technology, Inc. Interception of a cloud-based communication connection
US7904895B1 (en) 2004-04-21 2011-03-08 Hewlett-Packard Develpment Company, L.P. Firmware update in electronic devices employing update agent in a flash memory card
ATE450950T1 (de) * 2004-04-30 2009-12-15 Research In Motion Ltd System und verfahren zur prüfung digitaler zertifikate
JP4463815B2 (ja) * 2004-05-05 2010-05-19 リサーチ イン モーション リミテッド 安全なメッセージを送信するシステムおよび方法
US20060036849A1 (en) * 2004-08-09 2006-02-16 Research In Motion Limited System and method for certificate searching and retrieval
US9094429B2 (en) 2004-08-10 2015-07-28 Blackberry Limited Server verification of secure electronic messages
US8526940B1 (en) 2004-08-17 2013-09-03 Palm, Inc. Centralized rules repository for smart phone customer care
DE602004014761D1 (de) * 2004-09-01 2008-08-14 Research In Motion Ltd Bereitstellung von Zertifikatspassen in einem System und Methode für Suchen und Abrufen von Zertifikaten
US7549043B2 (en) 2004-09-01 2009-06-16 Research In Motion Limited Providing certificate matching in a system and method for searching and retrieving certificates
US7631183B2 (en) 2004-09-01 2009-12-08 Research In Motion Limited System and method for retrieving related certificates
US7640428B2 (en) * 2004-09-02 2009-12-29 Research In Motion Limited System and method for searching and retrieving certificates
US7886144B2 (en) * 2004-10-29 2011-02-08 Research In Motion Limited System and method for retrieving certificates associated with senders of digitally signed messages
US7500097B2 (en) * 2005-02-28 2009-03-03 Microsoft Corporation Extendable data-driven system and method for issuing certificates
GB0504573D0 (en) * 2005-03-04 2005-04-13 Firstondemand Ltd Traceability and authentication of security papers
US7509489B2 (en) * 2005-03-11 2009-03-24 Microsoft Corporation Format-agnostic system and method for issuing certificates
US8190773B2 (en) * 2005-06-03 2012-05-29 Nokia Corporation System and method for accessing a web server on a device with a dynamic IP-address residing behind a firewall
US8478986B2 (en) * 2005-08-10 2013-07-02 Riverbed Technology, Inc. Reducing latency of split-terminated secure communication protocol sessions
US20090083537A1 (en) * 2005-08-10 2009-03-26 Riverbed Technology, Inc. Server configuration selection for ssl interception
US8613071B2 (en) * 2005-08-10 2013-12-17 Riverbed Technology, Inc. Split termination for secure communication protocols
US8438628B2 (en) * 2005-08-10 2013-05-07 Riverbed Technology, Inc. Method and apparatus for split-terminating a secure network connection, with client authentication
JP4783112B2 (ja) * 2005-10-11 2011-09-28 株式会社日立製作所 署名履歴保管装置
KR100902627B1 (ko) * 2005-10-14 2009-06-15 리서치 인 모션 리미티드 마스터 암호화 키들을 보호하는 시스템 및 방법
KR100544061B1 (ko) * 2005-10-27 2006-01-23 (주)텔쿼스 휴대 단말기의 개인 정보 전송 장치 및 그 방법
US20070112680A1 (en) * 2005-11-11 2007-05-17 Infineon Technologies Ag System and method for processing digital media content in a mobile device
NL1030659C2 (nl) * 2005-12-13 2007-06-14 Lawlds B V Systeem ter voorkoming Phising.
US8782393B1 (en) 2006-03-23 2014-07-15 F5 Networks, Inc. Accessing SSL connection data by a third-party
EP1852800A1 (en) * 2006-05-04 2007-11-07 Research In Motion Limited System and method for processing certificates located in a certificate search
US8291215B2 (en) 2006-05-04 2012-10-16 Research In Motion Limited System and method for processing certificates located in a certificate search
US8209676B2 (en) 2006-06-08 2012-06-26 Hewlett-Packard Development Company, L.P. Device management in a network
US7814161B2 (en) * 2006-06-23 2010-10-12 Research In Motion Limited System and method for handling electronic mail mismatches
EP2047420A4 (en) 2006-07-27 2009-11-18 Hewlett Packard Development Co USER EXPERIENCE AND DEPENDENCE MANAGEMENT IN A MOBILE DEVICE
US20080167888A1 (en) * 2007-01-09 2008-07-10 I4 Commerce Inc. Method and system for identification verification between at least a pair of entities
JP2008286999A (ja) * 2007-05-17 2008-11-27 Pioneer Electronic Corp プラズマディスプレイ装置及びプラズマディスプレイパネルの駆動方法
US7991910B2 (en) 2008-11-17 2011-08-02 Amazon Technologies, Inc. Updating routing information based on client location
US8533463B2 (en) * 2007-08-30 2013-09-10 Red Hat, Inc. Reduced computation for generation of certificate revocation information
US7962597B2 (en) 2008-03-31 2011-06-14 Amazon Technologies, Inc. Request routing based on class
US7970820B1 (en) 2008-03-31 2011-06-28 Amazon Technologies, Inc. Locality based content distribution
US20100031028A1 (en) * 2008-07-31 2010-02-04 Research In Motion Limited Systems and methods for selecting a certificate for use with secure messages
US8707043B2 (en) * 2009-03-03 2014-04-22 Riverbed Technology, Inc. Split termination of secure communication sessions with mutual certificate-based authentication
WO2010144898A1 (en) * 2009-06-12 2010-12-16 General Instrument Corporation Certificate status information protocol (csip) proxy and responder
US8627063B2 (en) * 2009-12-23 2014-01-07 Citrix Systems, Inc. Systems and methods for flash crowd control and batching OCSP requests via online certificate status protocol
US8621204B2 (en) 2009-12-23 2013-12-31 Citrix Systems, Inc. Systems and methods for evaluating and prioritizing responses from multiple OCSP responders
US20110154026A1 (en) * 2009-12-23 2011-06-23 Christofer Edstrom Systems and methods for parallel processing of ocsp requests during ssl handshake
US20110161663A1 (en) * 2009-12-29 2011-06-30 General Instrument Corporation Intelligent caching for ocsp service optimization
US20110202416A1 (en) * 2010-02-12 2011-08-18 Mark Buer Method and system for authorizing transactions based on device location
US9118485B2 (en) * 2010-02-26 2015-08-25 Red Hat, Inc. Using an OCSP responder as a CRL distribution point
US8700892B2 (en) * 2010-03-19 2014-04-15 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US8566596B2 (en) * 2010-08-24 2013-10-22 Cisco Technology, Inc. Pre-association mechanism to provide detailed description of wireless services
US9003035B1 (en) 2010-09-28 2015-04-07 Amazon Technologies, Inc. Point of presence management in request routing
US8701169B2 (en) 2011-02-11 2014-04-15 Certicom Corp. Using a single certificate request to generate credentials with multiple ECQV certificates
EP2673915B2 (en) * 2011-02-11 2021-11-24 BlackBerry Limited Using a single certificate request to generate credentials with multiple ecqv certificates
US10467042B1 (en) 2011-04-27 2019-11-05 Amazon Technologies, Inc. Optimized deployment based upon customer locality
US9313100B1 (en) 2011-11-14 2016-04-12 Amazon Technologies, Inc. Remote browsing session management
US9330188B1 (en) 2011-12-22 2016-05-03 Amazon Technologies, Inc. Shared browsing sessions
US9374244B1 (en) * 2012-02-27 2016-06-21 Amazon Technologies, Inc. Remote browsing session management
US9154551B1 (en) 2012-06-11 2015-10-06 Amazon Technologies, Inc. Processing DNS queries to identify pre-processing information
US8977856B2 (en) * 2012-08-31 2015-03-10 Blackberry Limited Methods and apparatus for use in sharing credentials amongst a plurality of mobile communication devices
US9973492B2 (en) * 2012-12-25 2018-05-15 At&T Mobility Ip, Llc Unified mobile security system and method of operation
EP2888854B1 (en) 2013-01-29 2018-02-21 BlackBerry Limited A system and method for providing a certificate-based trust framework using a secondary network
US9887982B2 (en) * 2013-10-09 2018-02-06 Digicert, Inc. Accelerating OCSP responses via content delivery network collaboration
US9780952B1 (en) * 2014-12-12 2017-10-03 Amazon Technologies, Inc. Binding digitally signed requests to sessions
US10097448B1 (en) 2014-12-18 2018-10-09 Amazon Technologies, Inc. Routing mode and point-of-presence selection service
US10225326B1 (en) 2015-03-23 2019-03-05 Amazon Technologies, Inc. Point of presence based data uploading
US9832141B1 (en) 2015-05-13 2017-11-28 Amazon Technologies, Inc. Routing based request correlation
CN107026738B (zh) * 2016-02-01 2020-05-19 阿里巴巴集团控股有限公司 数字证书更新方法、数字签名校验方法和数字认证装置
US10116526B2 (en) * 2016-05-13 2018-10-30 Ivanti, Inc. Systems and methods for providing a self-electing service
US10075551B1 (en) 2016-06-06 2018-09-11 Amazon Technologies, Inc. Request management for hierarchical cache
US10110694B1 (en) 2016-06-29 2018-10-23 Amazon Technologies, Inc. Adaptive transfer rate for retrieving content from a server
US10469513B2 (en) * 2016-10-05 2019-11-05 Amazon Technologies, Inc. Encrypted network addresses
US10831549B1 (en) 2016-12-27 2020-11-10 Amazon Technologies, Inc. Multi-region request-driven code execution system
US10938884B1 (en) 2017-01-30 2021-03-02 Amazon Technologies, Inc. Origin server cloaking using virtual private cloud network environments
US10742593B1 (en) 2017-09-25 2020-08-11 Amazon Technologies, Inc. Hybrid content request routing system
US10862852B1 (en) 2018-11-16 2020-12-08 Amazon Technologies, Inc. Resolution of domain name requests in heterogeneous network environments
US11516010B2 (en) * 2019-12-10 2022-11-29 Baidu Usa Llc System and method to securely broadcast a message to accelerators using virtual channels

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0869636A2 (en) * 1997-04-02 1998-10-07 Arcanvs Method and apparatus for managing key revocation
US6219694B1 (en) * 1998-05-29 2001-04-17 Research In Motion Limited System and method for pushing information from a host system to a mobile data communication device having a shared electronic address
CN1308803A (zh) * 1998-05-04 2001-08-15 伊奥里金纳尔公司 经过认证的文件的电子传输、存储及检索系统与方法
CN1328735A (zh) * 1998-11-24 2001-12-26 艾利森电话股份有限公司 用于保护数据对象的方法与系统
EP1185027A2 (en) * 2000-08-30 2002-03-06 Hitachi, Ltd. Certificate validity authentication method and apparatus

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7177839B1 (en) * 1996-12-13 2007-02-13 Certco, Inc. Reliance manager for electronic transaction system
US7127741B2 (en) * 1998-11-03 2006-10-24 Tumbleweed Communications Corp. Method and system for e-mail message transmission
US6397197B1 (en) * 1998-08-26 2002-05-28 E-Lynxx Corporation Apparatus and method for obtaining lowest bid from information product vendors
US6842863B1 (en) * 1999-11-23 2005-01-11 Microsoft Corporation Certificate reissuance for checking the status of a certificate in financial transactions
US6947440B2 (en) * 2000-02-15 2005-09-20 Gilat Satellite Networks, Ltd. System and method for internet page acceleration including multicast transmissions
GB2366470B (en) * 2000-08-25 2005-07-20 Hewlett Packard Co Improvements relating to document transmission techniques iv
US20020116611A1 (en) * 2000-10-31 2002-08-22 Cornell Research Foundation, Inc. Secure distributed on-line certification authority
JP2002141895A (ja) * 2000-11-01 2002-05-17 Sony Corp コンテンツ配信システムおよびコンテンツ配信方法
GB0027280D0 (en) * 2000-11-08 2000-12-27 Malcolm Peter An information management system
US7174456B1 (en) * 2001-05-14 2007-02-06 At&T Corp. Fast authentication and access control method for mobile networking
US6970862B2 (en) * 2001-05-31 2005-11-29 Sun Microsystems, Inc. Method and system for answering online certificate status protocol (OCSP) requests without certificate revocation lists (CRL)
BRPI0211215B1 (pt) * 2001-07-16 2016-07-05 Blackberry Ltd sistema para suportar múltiplas autoridades de certificação em um dispositivo de comunicação móvel
US7328344B2 (en) * 2001-09-28 2008-02-05 Imagitas, Inc. Authority-neutral certification for multiple-authority PKI environments
US7120793B2 (en) * 2001-09-28 2006-10-10 Globalcerts, Lc System and method for electronic certificate revocation
US7353383B2 (en) * 2002-03-18 2008-04-01 Jpmorgan Chase Bank, N.A. System and method for single session sign-on with cryptography

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0869636A2 (en) * 1997-04-02 1998-10-07 Arcanvs Method and apparatus for managing key revocation
CN1308803A (zh) * 1998-05-04 2001-08-15 伊奥里金纳尔公司 经过认证的文件的电子传输、存储及检索系统与方法
US6219694B1 (en) * 1998-05-29 2001-04-17 Research In Motion Limited System and method for pushing information from a host system to a mobile data communication device having a shared electronic address
CN1328735A (zh) * 1998-11-24 2001-12-26 艾利森电话股份有限公司 用于保护数据对象的方法与系统
EP1185027A2 (en) * 2000-08-30 2002-03-06 Hitachi, Ltd. Certificate validity authentication method and apparatus

Also Published As

Publication number Publication date
ATE385118T1 (de) 2008-02-15
WO2003079627A3 (en) 2003-12-18
EP1488594A2 (en) 2004-12-22
EP1488594B1 (en) 2008-01-23
CA2479527A1 (en) 2003-09-25
HK1071647A1 (en) 2005-07-22
CA2479527C (en) 2008-12-30
US7865720B2 (en) 2011-01-04
AU2003213908A8 (en) 2003-09-29
WO2003079627A2 (en) 2003-09-25
DE60318825T2 (de) 2009-01-22
DE60318825D1 (de) 2008-03-13
CA2642320A1 (en) 2003-09-25
AU2003213908A1 (en) 2003-09-29
CN1653779A (zh) 2005-08-10
US20050148323A1 (en) 2005-07-07

Similar Documents

Publication Publication Date Title
CN1653779B (zh) 支持移动通信设备上多个证书状态提供器的系统和方法
CN1672380B (zh) 用于检验数字证书状态的系统和方法
CN100563242C (zh) 证书信息存储系统和方法
CN1717697B (zh) 压缩安全电子邮件用于与移动通信设备交换的系统和方法
CN1554176B (zh) 在无线移动通信设备上处理加密消息的方法和处理对加密内容的多次访问的装置
CN100410927C (zh) 证书管理和传送系统及方法
CN101232504B (zh) 用于处理已编码消息的系统和方法
CN1674590B (zh) 用于查看消息附件的系统和方法
CN1653764B (zh) 用于传送和利用附件的系统和方法
CN100531108C (zh) 处理编码消息的系统和方法
CN100566236C (zh) 在系统中提供证书匹配以及用于搜索和获得证书的方法
CN1650302B (zh) 选择消息设置的系统和方法
US8423763B2 (en) System and method for supporting multiple certificate status providers on a mobile communication device
CN100373893C (zh) 处理编码消息的多阶段系统和方法
CN100536395C (zh) 用于验证证书上的数字签名的系统和方法
CN1555643A (zh) 用于在移动通信设备上支持多证书授权的系统和方法
CN1951074B (zh) 处理安全消息的系统和方法
CN1650595B (zh) 用于提供安全消息签名状态和信任状态指示的系统和方法
CN1856957B (zh) 用于保证无线数据安全的系统和方法
CN100531029C (zh) 用于搜索和获得证书的系统和方法
CN1685678B (zh) 模拟的消息收发设置选择的系统和方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CX01 Expiry of patent term

Granted publication date: 20100929

CX01 Expiry of patent term