CN1698310A - 分布式应用环境内验证服务器的方法和系统 - Google Patents

Abstract

本发明揭示了一种在一个分布式应用环境内用一个在客户机系统侧识别和管理第三级服务器证书的中心程序验证第三级服务器的方法和系统。已被中心程序接受的第三级服务器证书存储在分布式应用环境的一个公共数据库内，客户机系统通过一个安全连接向服务器系统发送用于确定接受还是拒绝一个第三级服务器、已被接受为可信任的所述第三级服务器证书的所有必需信息。在本发明的一个优选实施例中，只将接受为可信任的第三级服务器证书的指纹与发送所述第三级服务器证书的服务器名和证书名一起通过一个安全连接传送给分布式应用环境的服务器系统。

Description

分布式应用环境内 验证服务器的方法和系统

技术领域

本发明与分布式应用环境(distributed application environment)内服务器的验证有关，具体地说，与在具有非连续客户机-服务器连接的安全分布式应用环境内验证第三级服务器(third tier server)有关。

背景技术

分布式应用环境通常包括：一个或多个具有分布式应用的一些诸如GUI组件、处理组件(客户机应用)之类的部分的客户机系统，一些具有分布式应用的其余部分(服务器应用或服务器组件)的服务器系统，以及一个在客户机系统与服务器系统之间诸如通过提供一个应用数据储存库之类来交换数据的第三级服务器系统。例如，SAP R/3(SAP的商标)是一个分布式应用的典型例子，应用分成一个例如在一个象IBM的Thinkpad那样的工作站上运行的客户机部分和一些例如在IBM的zSeries大型机系统上运行的服务器部分。

分布式应用环境的各系统之间的通信可以在一个安全或不安全的通信环境内进行。例如，通常安全通信在内部网内进行，而不安全通信在因特网内进行。分布式应用，特别是处理诸如操作系统配置数据之类的敏感信息的那些应用，要求在分布组件之间的数据交换和与诸如数据库之类的应用的数据交换应该用一个建立的安全机制加以保护。

保护客户机与服务器之间的通信的常用方式是建立一个安全会话，所有的通信都用一个对称密钥加密。这个对称密钥在各方之间用公钥密码技术交换。这种交换通常还结合对各方的验证。

这种安全机制的最突出的典范是表示“管理在因特网上消息传输的安全性的最常用的协议”的SSL(Secure Socket Layer，安全套接层)。除其他一些之外，SSL用所谓的“服务器证书(server certificate)”来检验(verify)和保证一个连接内的服务器部分的身份。证书用来分发公钥。此外，它还含有拥有者名、证书名、终止日期、证书签署者公钥和通过将拥有者的私钥应用于证书而产生的数字签名。如果不能进行直接用户互动，在分布式应用的每个组件内检验、接受和管理这种证书可能是一个问题，在服务器组件的情况下尤为如此。

采用这个协议，用户不怎么费事就可从高级保护得到好处。为了建立一个安全连接，这个安全协议在连接握手期间交换客户机或服务器证书。SSL握手的定义和消息流例如可参见RFC 2246。证书标识和验证各参与方。

接收方检验一个证书可以有两种不同的方式。在第一种方式中，如果这个证书已经由另一个证书签署，而该证书以前业已得到接收方的信任，那么这个新的证书就可以自动得到信任。已经得到信任的证书保存在一个数据库内，供以后连接握手中的检验过程使用。在第二种方式中，如果接收方在它的数据库内没有将发来的对等证书确认为可信任的证书，用户必须决定接受还是拒绝这个证书。这可以通过将散列函数作用于证书信息而得到的结果与一些安全公布的值相比较来实现。如果用户选择拒绝这个证书，就不会建立连接。

现有技术

图1示出了现有技术的分布式应用环境，它包括一个在客户机系统上运行的组件1和一些在若干服务器上运行的组件2(n服务器系统)，通过连接a进行通信。用户控制客户机应用1，但除在管理情况之外没有与服务器组件2的直接用户交互作用。

客户机系统的一个例子是Windows^工作站。服务器应用例如可以在IBM的zSeries大型机系统上运行。

客户机系统和服务器系统通过相应的连接b和c与一个第三级服务器系统3通信，这个第三级服务器系统3例如为一个数据库或象LDAP服务器那样的另一种储存库。这两个连接用来将数据从客户机应用1传送给服务器应用2或将数据从服务器应用2传送给客户机应用1，即客户机应用1将信息写入公共数据库(第三级服务器系统3)而服务器系统从数据库提取信息。在处理服务器应用2期间，处理的结果写给数据库，从而可以从客户机应用提取。客户机系统1和服务器系统2用本地证书数据库来检验从第三级服务器3发来的证书。

分布式应用环境的组件之间的数据流可以简要地概括如下。客户机系统1向第三级服务器系统3发送一个建立连接b的请求。在连接握手期间，第三级服务器3向客户机系统发回一个标识第三级服务器3的第三级服务器证书。客户机系统1用证书数据库4检验这个第三级证书。如果自动检验失败，用户必须手动地拒绝或接受这个证书。这可借助于一个对话来实现。在接受证书的情况下，所接受的证书存储在证书数据库4内。客户机系统1将程序控制移交给服务器系统2。服务器系统2试图与第三级服务器系统3连接。服务器系统发送一个建立连接c的请求。在连接握手期间，第三级服务器3向服务器系统2发回一个标识第三级服务器3的第三级服务器证书。服务器系统2用证书数据库5来检验这个第三级服务器。如果检验没有通过，必须用一个机制来决定这个证书是否可接受。如果与客户机系统1的连接a是永久性的而且是安全的，一种可行的解决方案是利用证书数据库4或手动用户互动。另一种方式可以是一组在服务器系统上的确定作出判决的策略。

现有技术的缺点

每个服务器应用都具有一个本地证书数据库，这意味着需要有附加的操作来维护和保护证书数据。如果有例如100个服务器系统的话，防止各个证书数据库被欺骗性修改就要花费巨大的精力。此外，服务器系统必须知道访问证书数据库的多个参数，诸如位置(文件名)和口令或用户名之类，以访问数据库。这些参数对每个系统来说可以是不同的，因此必须为每个服务器应用特别规定。如果由于某种原因一个证书不再是可信任的，就可能要手动地修改所有的服务器证书数据库以删除这个作废的证书。

有时需要让用户决定一个未知的证书是否为可信任的。这是一个问题，因为用户通常不直接与服务器应用互动。不能想当然地认为存在一个连续、安全和防窜改的与客户机的连接可用来向用户发送验证请求。客户机和服务器不一定始终都同时处在活动状态，特别是对于服务器应用是一个由客户机启动的批处理的情况。这个服务器过程启动后连接断开时，没有一种方便的方式使服务器应用可以启动一个对客户机系统的安全连接。用硬编码策略来决定一个未知证书是否可接受不够灵活，而且可能有安全漏洞。

发明内容

因此，本发明的目的是提供一种可以避免现有技术的这些缺点的在一个分布式应用环境内验证服务器的方法和系统。

本发明揭示了一种在一个分布式应用环境内用一个在客户机系统侧识别和管理第三级服务器证书的中心程序验证第三级服务器的方法和系统。已被中心程序(central procedure)接受的第三级服务器证书存储在分布式应用环境的一个公共数据库内，客户机系统通过一个安全连接向服务器系统发送用于确定接受还是拒绝与第三级服务器的连接的、已被接受作为可信任的所述第三级服务器证书的所有必需信息。在本发明的一个优选实施例中被接受作为可信任的第三级服务器证书的指纹与发送所述第三级服务器证书的服务器名和证书名一起通过一个安全连接传送给分布式应用环境的服务器系统。

附图说明

从以下详细说明中可清楚地看到本发明的以上这些及其他一些目的、特征和优点。

本发明的新颖特征在所附权利要求书中给出。然而，从以下结合附图对例示性实施例所作的详细说明中可以很好地理解本发明本身及其应用的优选方式、其他目的和优点，在这些附图中：

图1示出了现有的分布式应用环境；

图2A-C示出了分布式应用环境内采用公共证书识别和管理新构思的在客户机系统和服务器系统侧的独创性系统；

图3示出了分布式应用环境内采用公共证书识别和管理独创性构思的在客户机、服务器和第三级服务器之间的独创性数据流；

图4示出了分布式应用环境的工作流程环境内采用证书识别和管理独创性构思的本发明一个具体实施例；以及

图5示出了具有客户机系统与第三级服务器系统逻辑关联的分布式应用环境内采用证书识别和管理独创性构思的本发明另一个具体实施例。

具体实施方式

来看图2A，图中示出了分布式应用内采用公共证书管理独创性构思的系统框图。与现有技术显著不同的是在服务器侧现在不再需要证书数据库。支持这个独创性构思的客户机系统和服务器系统详细例示于图2B和图2C。

来看图2B，图中示出了支持公共证书管理独创性构思的客户机系统的客户机组件。客户机组件包括数据访问协议客户机组件70、连接协商器组件60、证书检验器组件50、用户接口组件40、证书发送器组件30和传送客户机组件20。

客户机系统的独创性组件有：

连接协商器组件60，具有通过连接b从第三级服务器接收第三级服务器证书的功能；

证书检验器组件50，具有对照存储在分布式应用环境的公共数据库内的证书信息检查接收到的第三级服务器证书的功能；

用户接口组件40，具有向用户询问未知的第三级服务器证书是否可接受的功能；

证书发送器组件30，具有从公共数据库提取所有可信证书的证书信息和通过连接a将它发送给服务器系统的功能；以及

分布式应用环境的公共数据库4，存有从已接受为分布式应用环境的可信任的所述第三级服务器接收到的第三级服务器证书。

下列通信组件通常在现有技术的客户机系统内用来建立与服务器系统和/或第三级服务器系统的通信：

数据库访问协议客户机组件70，具有与第三级服务器通信的功能，可能使用的协议例如是与LDAP服务器连接的LDAP(轻型目录访问协议)或与关系型数据库连接的JDBC(Java数据库连接性)；以及

传送客户机组件20，具有与服务器系统通信的功能，例如SFTP客户机实现或HTTPS客户机实现。

来看图2C，图中示出了支持公共证书管理独创性构思的服务器系统的服务器组件。优选的是，服务器组件包括数据访问协议客户机组件150、连接协商器组件140、证书检验器组件130和传送服务器组件120。

服务器系统的独创性组件有：

连接协商器组件140，具有系统从第三级服务器接收第三级服务器证书的功能；以及

证书检验器组件130，具有对照通过连接a从客户机系统接收到的证书信息检查接收到的证书的功能，这个连接不需要在服务器的整个寿命期间都要维持。

下列通信组件通常在现有技术的服务器系统内用来建立与客户机系统或其他第三级服务器系统的通信：

数据库访问协议客户机组件150，具有与第三级服务器通信的功能，可能使用的协议例如是与LDAP服务器连接的LDAP(轻型目录访问协议)或与关系型数据库连接的JDBC(Java数据库连接性)；以及

传送服务器组件120，具有与相同协议的客户机应用通信的功能，例如安全FTP服务器实现或HTTPS服务器实现。

下面说明按照图2A-C的公共证书管理的独创性构思设计的一个优选实施例。

客户机系统1含有一个证书发送器组件30，它为每个存储在分布式应用环境的公共数据库内的证书计算出至少一个指纹(优选的是通过将一个散列函数作用于一个证书上产生指纹)，优选的是计算出两个不同的指纹(例如用SHA和MD5算法)。然而应指出的是，产生指纹并不是实现本发明的一个实质性的特征，本发明也可以通过将整个第三级证书发送给服务器组件实现。这信息与从其接收证书的第三级服务器系统的证书名和主机名一起发送给服务器系统2。这是检验客户机组件是否接受一个证书的所有必需信息。它要求客户机系统在与分布式应用内任何服务器系统建立连接前先成功建立与第三级服务器的连接。在大多数分布式应用中通常都可以假设是这种情况。客户机系统1已接受的所有证书也将被所有服务器系统2接受。

例如，在客户机系统与服务器系统通过因特网通信时，客户机系统与服务器系统之间的连接必须是安全的，以避免客户机系统发送的证书信息被窜改。优选的是，这个构思有赖于通常在每个服务器系统上可得到的标准传输协议(例如FTP)。在安全性是致关紧要的环境内，协议(例如安全的FTP)的安全措施应该是默认可用的。不需要为建立与服务器系统的安全连接花费额外的精力。

从证书管理来看，连接的信息流只需要是单向的。不需要服务器系统向客户机系统发送接受或拒绝证书的反馈信息。

不需要在服务器组件过程的整个寿命期间维持客户机与服务器系统之间的连接a。一个很短的时帧足以将必要的证书数据从客户机发送给服务器。

服务器系统2的每个服务器用客户机系统发送的证书信息来检验一个与第三级服务器3的连接。将发来的第三级服务器证书的指纹对照从客户机系统接收到的证书数据集进行比较，决定证书因此也就是连接c是否为可接受的。将从第三级证书得出的第三级服务器的证书名和主机名与从客户机组件接收到的相应证书信息相比较。如果所有的属性(指纹、证书名和主机名)都匹配，证书才通过检验。这个技术遵循了用户手动验证证书的方式。因此，维护了高级别的安全性。

在服务器系统2上不存在本地证书数据库。专门通过客户机系统发送的证书信息处理证书检验。在服务器系统上不需要本地管理任何第三级证书。与现有技术相比，这是一个重要改进。

客户机系统作为分布式应用的安全性基础设施内的单个控制点。它是需要进行安全性专用管理的唯一应用。

在本发明的这个优选实施例中，下列属性必须对服务器系统的证书检验器组件已知：

证书名；

两个不同的指纹(例如用SHA和MD5算法产生的)；以及

从其接受证书的服务器名。

必须产生两个不同的指纹，以保证证书信息的完整性。要产生一个具有与另一个证书相同的两个指纹的伪造证书几乎是不可能的。为了避免一个错误的第三方服务器重新使用一个属于一个得到信任的服务器的有效证书，主机名是必要的。如果客户机接受不一致的值的话，主机名可以不同于证书名内引用的主机名。

在本发明的另一个实施例中，将包括发送证书的第三级服务器的名称在内的整个第三级证书传送给服务器系统。然而，这个备选方案的程序与指纹程序相比导致在服务器系统上需要较大的存储量而所提供的安全性较小。

在本发明的另一个实施例中，只产生一个指纹，将它与发送第三级证书的服务器的名称一起发送给服务器系统。与二指纹程序相比，这将提供较小的安全性。

所发送的包括证书名、两个不同的指纹和提供第三方证书的服务器的名称在内的从一个第三级服务器证书得出的属性的一个例子为

证书名： “cn＝Pollux1065.de.ibm.com，ou＝dev，o＝IBM，c＝DE”

SHA指纹： f4:e2:54:0c:9a:2a:5f:94:1d:c0:60:03:e4:b0:

指纹：    e4:25:12:08:6a:ab:10:83:1e:7c:ed:c4:36:8f:

服务器名：Castor1065.de.ibm.com

来看图3，图中示出了按照图2A-C设计的客户机系统、第三级服务器系统和服务器系统之间的数据流。

客户机系统建立一个与一个第三级服务器系统的安全连接310。第三级服务器系统向客户机系统发送它的证书320。客户机系统将接收到的第三级服务器证书对照存储在分布式应用环境的公共数据库内的证书信息进行检查320。如果第三级证书与存储在所述公共数据库内的信息匹配，就将这个证书接受为可信任的证书，从而可以建立一个与第三级服务器的安全连接330。客户机系统含有一个证书发送器组件30，它为存储在分布式应用环境的公共数据库内的每个证书计算出至少一个指纹，优选的是两个不同的指纹(例如用SHA和MD5算法)，将这些指纹与证书名和从其接收证书的第三级服务器的主机名一起发送给服务器系统340。优选的是，在每个服务器应用调用期间向服务器系统发送证书信息。此外，客户机系统与服务器系统之间的连接优选的是一个安全和非连续的客户机-服务器连接。服务器系统通过启动握手准备与第三级服务器连接350。第三级服务器将它的证书发送给服务器系统，服务器系统将这证书信息与从客户机系统接收到的信息相比较360。可以访问客户机系统用来产生这两个不同的指纹的两个不同的算法的服务器系统用每个算法计算出从第三级服务器接收到的证书的一个指纹。如果指纹与从客户机系统接收到的指纹匹配，就接受这个第三级服务器，从而可以建立一个安全连接370。

来看图4，图中示出了本发明的采用这种在一个工作流程环境内证书识别和管理独创性构思的一个具体实施例。

在以级连调用方式组织信息流的情况下，这种新构思可用来保护从每个服务器至第三级服务器以及各服务器本身之间的数据流。

数据流的第一部分与前面所说明的情况相同。在一个工作流程过程中，服务器系统2a可以在与另一个服务器系统2b的后续安全连接a2中作为安全连接的发起方。每个服务器系统必须用一个附加的“证书发送器”模块和一个“传送客户机”模块扩展，这两个模块与前面在客户机系统内用的模块相同。为了启动在服务器系统之间的级连的安全连接，客户机系统1不仅必须发送与第三级服务器关联的证书信息(400)，而且还必须发送在调用链内所有的服务器的证书信息(300)。每个服务器必须将这个证书信息集移交给它调用的服务器。

采用这个程序，可以保证服务器之间和服务器与第三级服务器3之间的所有连接都用通过检验的证书确保其安全。同样，客户机系统1是分布式工作流应用的安全性基础设施内的单个控制点。

来看图5，图中示出了本发明的采用在一个环境内用客户机系统与第三级服务器之间的逻辑关联进行证书管理的独创性构思的具体实施例。

这种情况强调了使证书信息适应所涉及的客户机的实际要求的可能性。在这种情况下，将每个客户机系统与单独的第三级服务器关联。所有的客户机系统与一个相同的服务器系统上的一些相同的服务器系统通信，但每个客户机系统要求这些服务器系统与一个不同的第三级服务器交互作用。

作为一个例子，客户机系统1a将数据存放在第三级服务器3a内，要求服务器系统2与这个储存库连接。在通过连接a1调用这些服务器系统时，客户机系统将发送与第三级服务器3a关联的证书信息，以保证服务器应用2可以通过连接c1安全地与第三级服务器3a连接。

相反，客户机系统1b将它的数据存放在第三级服务器3b内。客户机系统1b通过连接a2将与第三级服务器关联的证书信息发送给服务器系统2。这样，客户机系统保证服务器系统2可以通过连接c2安全地与第三级3b连接。

Claims (17)

1.一种在一个分布式应用环境内验证第三级服务器的方法，其中所述分布式应用环境包括具有分布式应用的一些部分的客户机系统、具有分布式应用的其余一些部分(服务器应用或服务器组件)的服务器系统和在所述客户机系统与所述服务器系统之间交换数据的第三级服务器系统，其中所述客户机系统充当识别和管理第三级服务器证书的单个点，并提供对分布式应用环境的公共数据库的访问，所述公共数据库含有从所述第三级服务器接收到的对所述分布式应用环境而言已被接受为可信任的第三级服务器证书，所述方法在所述服务器系统侧包括下列步骤：

从所述客户机系统的所述公共数据库接收用于确定接受还是拒绝与所述第三级服务器的连接、被接受为可信任的所述第三级服务器证书的所有必需信息；

将从所述客户机系统接收到的所述信息与从所述第三级服务器系统接收到的第三级证书相比较；以及

如果来自所述客户机系统和所述第三级证书的所述信息匹配，接受所述第三级服务器系统作为通过验证的系统。

2.按照权利要求1所述的方法，其中来自所述客户机系统的所述信息是通过一个非连续的客户机-服务器连接接收的。

3.按照权利要求2所述的方法，其中所述非连续的客户机-服务器连接采用一个安全传输协议。

4.按照权利要求1所述的方法，其中所述第三级服务器证书的所述必需信息包括如在所述分布式应用环境的公共数据库内所存储的原始第三级服务器证书和将所述原始第三级服务器证书发送给所述客户机系统的服务器名。

5.按照权利要求1所述的方法，其中所述第三级服务器证书的所述必需信息包括原始第三级服务器证书的指纹和将所述第三级服务器证书发送给所述客户机系统的服务器名。

6.按照权利要求1所述的方法，其中所述第三级服务器证书的所述必需信息包括原始第三级服务器证书的两个不同指纹、将所述第三级服务器证书发送给所述客户机系统的服务器名和证书名。

7.一种在一个分布式应用环境内验证第三级服务器的方法，其中所述分布式应用环境包括具有分布式应用的一些部分的客户机系统、具有分布式应用的其余一些部分(服务器应用或服务器组件)的服务器系统和在所述客户机系统与所述服务器系统之间交换数据的第三级服务器系统，其中所述客户机系统提供对分布式应用环境的公共数据库的访问，所述公共数据库含有从所述第三级服务器接收到的对所述分布式应用环境而言已被接受为可信任的第三级服务器证书，其中所述方法在所述客户机系统侧包括下列步骤：

从第三级服务器系统接收第三级服务器证书；

确定所述接收到的第三级服务器证书是否可被接受为可信任的；

如果所述第三级服务器证书已被接受为可信任的，将所述第三级服务器证书存储在分布式应用环境的所述公共数据库内；以及

将用于确定接受还是拒绝第三级服务器系统、被接受为可信任的所述第三级服务器证书的所有必需信息传送给所述服务器系统的每个服务器。

8.按照权利要求7中所述的方法，其中所述存储步骤还包括已发送所述第三级证书的所述第三级服务器系统的名称。

9.按照权利要求7中所述的方法，其中所述第三级服务器证书是通过一个安全传输协议接收的。

10.按照权利要求7中所述的方法，其中所述第三级服务器证书的所述必需信息通过一个非连续的安全连接发送给所述服务器系统的所述每个服务器。

11.按照权利要求8所述的方法，其中所述客户机系统的验证由用户ID和/或口令实现。

12.一种在一个分布式应用环境内验证第三级服务器系统(3)的服务器系统(2)，其中所述分布式应用环境包括客户机系统(1)，具有分布式应用的一些部分，通过一个安全连接从所述第三级服务器(3)接收发来的第三级服务器证书的连接协商器组件(60)，含有从所述第三级服务器(3)接收到的对所述分布式应用环境而言已被接受为可信任的第三级服务器证书的分布式应用环境的公共数据库(4)，将接收到的第三级服务器证书与存储在所述公共数据库内的信息相比较、如果匹配就将它们存入所述公共数据库的证书验证器组件(50)，允许拒绝或接受一个不包含在所述公共数据存储器内的未知第三级服务器证书的用户接口组件(40)，从所述公共数据库提取用于确定接受还是拒绝第三级服务器、被接受为可信任的所述第三级服务器证书的所有必需信息并通过安全连接(a)将其发送给所述服务器系统(2)的证书发送器组件(30)；具有分布式应用的其余一些部分(服务器应用或服务器组件)的服务器系统(2)；以及在所述客户机系统(1)与所述服务器系统(2)之间交换数据的所述第三级服务器系统(3)，其中所述服务器系统的各服务器包括：

支持非连续和安全的客户机-服务器连接的传送服务器组件(120)，用来接收用于确定接受还是拒绝与所述第三级服务器系统(3)的连接、被接受为可信任的所述第三级服务器证书的所有必需信息；

连接协商器组件(140)，用来通过一个在所述服务器系统与所述第三级服务器之间的安全连接接收发来的第三级服务器证书；

证书检验器组件(130)，用来将所述第三级服务器证书与用于确定接受还是拒绝第三级服务器系统(3)、被接受为可信任的所述第三级服务器证书的所有必需信息进行比较。

13.按照权利要求12所述的系统，其中所述第三级服务器证书的所述必需信息包括原始第三级服务器证书的两个不同指纹、已将所述第三级服务器证书发送给所述客户机系统的服务器名和证书名。

14.按照权利要求13所述的系统，其中所述不同的指纹是通过将两个不同的算法作用到从所述公共数据库接收到的所述第三级服务器证书上产生的。

15.按照权利要求14所述的系统，其中所述服务器系统还包括与用来产生所述两个不同指纹的算法相同的算法。

16.一种在一个分布式应用环境内验证第三级服务器(3)的客户机系统(1)，其中所述分布式应用环境包括具有分布式应用的一些部分的客户机系统(1)，具有分布式应用的其余一些部分(服务器应用或服务器组件)的服务器系统(2)，所述服务器系统(2)还包括支持非连续和安全的客户机-服务器连接的传送服务器组件(120)，通过在所述服务器系统(2)与所述第三级服务器(3)之间的安全连接接收发来的第三级服务器证书的连接协商器组件(140)，将从所述第三级服务器接收到的所述第三级服务器证书与从所述客户机系统接收到的用于确定接受还是拒绝第三级服务器的所述信息相比较的证书检验器组件；以及在所述客户机系统与所述服务器系统之间交换数据的第三级服务器，所述客户机系统(1)包括：

连接协商器组件(60)，用来通过一个安全连接从所述第三级服务器(3)接收发来的第三级服务器证书；

分布式应用环境的公共数据库(4)，它含有从所述第三级服务器系统(3)接收到的对所述分布式应用环境而言已被接受为可信任的第三级服务器证书；

证书检验器组件(50)，用来将接收到的第三级服务器证书与存储在所述公共数据库(4)内的信息相比较，并且如果匹配就将它们存入所述公共数据库；

用户接口组件(40)，用来允许拒绝或接受不包含在所述公共数据存储器内的未知第三级服务器证书；以及

证书发送器组件(30)，用来从所述公共数据库提取用于确定接受还是拒绝第三级服务器、被接受为可信任的所述第三级服务器证书的所有必需信息，并通过安全连接将其发送给所述服务器系统。

17.一种存储在一个数字计算机的内部存储器内的计算机程序产品，所述计算机程序产品含有在所述产品在计算机上运行时执行按照权利要求1-11所述的方法的软件代码的部分。

Images