WO2016127294A1 - 一种证书管理方法、设备及系统 - Google Patents

一种证书管理方法、设备及系统 Download PDF

Info

Publication number
WO2016127294A1
WO2016127294A1 PCT/CN2015/072565 CN2015072565W WO2016127294A1 WO 2016127294 A1 WO2016127294 A1 WO 2016127294A1 CN 2015072565 W CN2015072565 W CN 2015072565W WO 2016127294 A1 WO2016127294 A1 WO 2016127294A1
Authority
WO
WIPO (PCT)
Prior art keywords
instance
certificate
identifier
request message
information
Prior art date
Application number
PCT/CN2015/072565
Other languages
English (en)
French (fr)
Inventor
冯成燕
王江胜
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP15881456.6A priority Critical patent/EP3247080B1/en
Priority to JP2017541765A priority patent/JP2018511206A/ja
Priority to CN201580016066.2A priority patent/CN106464667B/zh
Priority to PCT/CN2015/072565 priority patent/WO2016127294A1/zh
Publication of WO2016127294A1 publication Critical patent/WO2016127294A1/zh
Priority to US15/673,075 priority patent/US10581619B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2143—Clearing memory, e.g. to prevent the data from being stolen

Definitions

  • the present invention relates to the field of communications, and in particular, to a certificate management method, device, and system.
  • NFV Network Function Virtualization
  • VNF Virtualised Network Function
  • hardware devices such as general-purpose servers, switches, and storage devices, so that these network functions are on general-purpose hardware devices. Operation, no need to configure a new dedicated network element device, can greatly enhance the flexibility of network deployment and reduce investment costs.
  • VNFs in the virtual network communicate with each other, or VNF and external network communication have security risks. Therefore, IPSec (Internet Protocol Security) or TLS is adopted in the prior art. Technologies such as Transport Layer Security (Transport Layer Security) establish connections in the network. These security technologies require a mutual configuration certificate that communicates with each other. The certificate contains the keys and algorithms used by the communicating parties for authentication.
  • a VNF is a set of software that is instantiated and terminated when needed.
  • instantiation of VNF refers to the process of allocating resources and installing software for a VNF; the term “terminating” refers to the process of releasing resources allocated to the VNF.
  • the inventor finds that after the VNF instance is terminated, the resources allocated to the VNF instance may be allocated to other VNFs. In this case, the storage resources of the original VNF instance storing the certificate information are allocated to other resources.
  • VNF which causes the certificate of the original VNF instance to be obtained by other VNFs
  • the certificate issued to the original VNF or VNFC (Virtualised Network Function Component) instance may be illegally obtained by the attacker, which reduces the virtual network system. Communication security.
  • the embodiment of the present invention provides a certificate management method, device, and system, which can solve the problem that a private key corresponding to a VNF instance certificate may be illegally obtained by an attacker after the VNF instance is terminated in the virtual network system, thereby impersonating the VNF instance identity, resulting in a virtual network.
  • the problem of reduced communication security of the system is a problem that a private key corresponding to a VNF instance certificate may be illegally obtained by an attacker after the VNF instance is terminated in the virtual network system, thereby impersonating the VNF instance identity, resulting in a virtual network.
  • an embodiment of the present invention provides a certificate management method, which is applied to a virtual network system, and includes:
  • the first device acquires a certificate identifier of the first instance, where the first instance is a terminated instance;
  • the first device updates the certificate status information of the first instance to a revocation status according to the certificate identifier of the first instance, or the first device sends a first request message to the second device, where the first The request message includes a certificate identifier of the first instance, and the first request message is used to request to cancel the certificate of the first instance.
  • the method before the acquiring, by the first device, the certificate identifier of the first instance, the method further includes:
  • the first device receives the certificate information of the first instance sent by the first instance, and the certificate information of the first instance sent by the first instance includes the identifier of the first instance and the certificate identifier of the first instance;
  • the first device stores or updates the certificate information of the first instance according to the certificate information of the first instance sent by the first instance.
  • the identifier of the first instance includes an ID of the first instance, and the certificate identifier of the first instance includes a certificate serial number of the first instance.
  • the ID of the first instance is a virtual network function VNF ID, or a virtual network function component VNFC ID, or a virtual machine VM ID, or a virtual container VC ID.
  • the first device receives Before the certificate information of the first instance sent by the first instance, the method further includes:
  • the first device sends a query message to the first instance, where the query message includes The identifier of the first instance;
  • the first device receives the report message sent by the first instance, where the report message includes the certificate information of the first instance sent by the first instance.
  • the method before the acquiring, by the first device, the certificate identifier of the first instance, the method further includes:
  • the first device terminates the first instance according to the second request message.
  • the method further includes:
  • the first device sends a second acknowledgement message to the third device, where the second acknowledgement message includes an identifier of the first instance, and the second acknowledgement message is used to indicate that the first instance is terminated.
  • the third device is a network function virtualization orchestrator NFVO.
  • the method further includes:
  • the first device receives the first indication information that is sent by the fourth device, where the first indication information is used to indicate that the first instance is crashed, and the first indication information includes an identifier of the first instance, where the An indication information is forwarded by the fourth device to the first device by the fifth device.
  • the fourth device is a network function virtualization infrastructure NFVI
  • the fifth device is a virtual infrastructure manager VIM.
  • the method further includes:
  • the first device sends the second indication information to the VIM and the NFVI, where the second indication information is used to instruct the VIM to delete the resource corresponding to the first instance, and instruct the NFVI to delete the first
  • the certificate of an instance and the key corresponding to the certificate of the first instance is used to instruct the VIM to delete the resource corresponding to the first instance.
  • the method before the acquiring, by the first device, the certificate identifier of the first instance, the method further includes:
  • the first device terminates the first instance when the first device detects that the first instance crashes.
  • the method further includes:
  • the first device receives a first acknowledgement message sent by the second device, where the first acknowledgement message is used to indicate that the first instance is revoked.
  • the first device acquires a certificate identifier of the first instance After that, it also includes:
  • the first device deletes the certificate information of the first instance according to the certificate identifier of the first instance.
  • the first device is according to the first instance
  • the certificate identifier updates the certificate status information of the first instance to a revocation status, including:
  • the first device adds the certificate identifier of the first instance to the already stored certificate revocation list CRL.
  • the first instance is a virtual network function VNF instance or a virtual network function component VNFC instance.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the second device is a certificate authority CA/registration center RA, or NFVO, or an online certificate status protocol OCSP server.
  • an embodiment of the present invention provides a certificate management method, which is applied to a virtual network system, and includes:
  • the second device updates the certificate status information of the first instance to a revocation status according to the certificate identifier of the first instance.
  • the second device according to the certificate identifier of the first instance, updating the certificate status information of the first instance to a revocation status, including:
  • the second device adds the certificate identifier of the first instance to the already stored certificate revocation list CRL.
  • the second device according to the certificate identifier of the first instance, the first After the certificate status information of the instance is updated to the revocation status, it also includes:
  • the second device sends a first acknowledgement message to the first device, where the first acknowledgement message is used to indicate that the first instance is revoked.
  • the first instance is a VNF instance or a virtual network function component VNFC instance.
  • the second device is a certificate authority CA/registration center RA, or NFVO, or an online certificate status protocol OCSP server.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the embodiment of the present invention provides a first device, which is applied to a virtual network system, and includes:
  • An obtaining unit configured to obtain a certificate identifier of the first instance, where the first instance is a terminated instance
  • the obtaining unit After the obtaining unit acquires the certificate identifier of the first instance,
  • a certificate management unit configured to update the certificate status information of the first instance to a revocation state according to the certificate identifier of the first instance acquired by the acquiring unit;
  • the sending unit configured to send a first request message to the second device, where the first request message includes a certificate identifier of the first instance, where the first request message is used to request to cancel the certificate of the first instance .
  • the first device further includes a receiving unit, configured to receive certificate information of the first instance sent by the first instance, where the certificate information of the first instance sent by the first instance includes the identifier of the first instance, and the The certificate identifier of an instance;
  • the certificate management unit is further configured to store or update the certificate information of the first instance according to the certificate information of the first instance sent by the first instance received by the receiving unit.
  • the identifier of the first instance includes an ID of the first instance, and the certificate identifier of the first instance includes a certificate serial number of the first instance.
  • the ID of the first instance is a virtual network function VNF ID, or a virtual network function group.
  • VNFC ID or virtual machine VM ID, or virtual container VC ID.
  • the sending unit is further configured to send a query message to the first instance, where the query message includes an identifier of the first instance;
  • the receiving unit is further configured to receive the report message sent by the first instance, where the report message includes the certificate information of the first instance sent by the first instance.
  • the first device further includes a receiving unit, configured to receive a second request message sent by the third device, where the second request message includes an identifier of the first instance, and the second request message is used to indicate termination of the First instance;
  • the first device further includes an instance management unit, configured to terminate the first instance according to the second request message received by the receiving unit.
  • the sending unit is further configured to send a second acknowledgement message to the third device, where the second acknowledgement message includes an identifier of the first instance, and the second acknowledgement message is used to indicate to confirm that the first Example.
  • the third device is a network function virtualization orchestrator NFVO.
  • the first device further includes a receiving unit, configured to receive first indication information that is sent by the fourth device, where the first indication information is used to indicate that the first instance is crashed, and the first indication information includes the first An identifier of the instance, where the first indication information is forwarded by the fourth device to the first device by using a fifth device.
  • a receiving unit configured to receive first indication information that is sent by the fourth device, where the first indication information is used to indicate that the first instance is crashed, and the first indication information includes the first An identifier of the instance, where the first indication information is forwarded by the fourth device to the first device by using a fifth device.
  • the fourth device is a network function virtualization infrastructure NFVI
  • the fifth device is a virtual infrastructure manager VIM.
  • the sending unit is further configured to send the second indication information to the VIM and the NFVI, where the second indication information is used to instruct the VIM to delete a resource corresponding to the first instance, and instruct the NFVI to delete The certificate of the first instance and the key corresponding to the certificate of the first instance.
  • the first device further includes an instance management unit, configured to terminate the first instance when detecting that the first instance crashes.
  • the first device further includes a receiving unit, configured to receive a first acknowledgement message sent by the second device, where the first acknowledgement message is used to indicate to confirm that the first instance is revoked.
  • the certificate management unit is further configured to delete the certificate information of the first instance according to the certificate identifier of the first instance.
  • the certificate management unit is specifically configured to add the certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the first instance is a virtual network function VNF instance or a virtual network function component VNFC instance.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the second device is a certificate authority CA/registration center RA, or NFVO, or an online certificate status protocol OCSP server.
  • the embodiment of the present invention provides a second device, which is applied to a virtual network system, and includes:
  • a receiving unit configured to receive a first request message sent by the first device, where the first request message includes a certificate identifier of the first instance, where the first request message is used to request to cancel the certificate of the first instance;
  • a certificate management unit configured to update the certificate status information of the first instance to a revocation status according to the certificate identifier of the first instance.
  • the certificate management unit is specifically configured to add the certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the second device further includes a sending unit, configured to send a first acknowledgement message to the first device, where the first acknowledgement message is used to indicate to confirm that the first instance is revoked.
  • the first instance is a VNF instance or a virtual network function component VNFC instance.
  • the second device is a certificate authority CA/registration center RA, or NFVO, or an online certificate status protocol OCSP server.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • an embodiment of the present invention provides a first device, which is applied to a virtual network system.
  • the system includes: a processor, a memory, a bus, and a transmitter, wherein the processor, the memory, and the transmitter are connected to each other through the bus;
  • the processor is configured to obtain a certificate identifier of the first instance, where the first instance is a terminated instance;
  • the processor is further configured to update the certificate status information of the first instance to a revocation state according to the obtained certificate identifier of the first instance;
  • the sender configured to send a first request message to the second device, where the first request message includes a certificate identifier of the first instance, where the first request message is used to request to cancel the first instance Certificate.
  • the first device further includes a receiver, configured to receive certificate information of the first instance sent by the first instance, where the certificate information of the first instance sent by the first instance includes the identifier of the first instance, and the The certificate identifier of an instance;
  • the processor is further configured to store or update the certificate information of the first instance according to the certificate information of the first instance sent by the first instance received by the receiver.
  • the identifier of the first instance includes an ID of the first instance, and the certificate identifier of the first instance includes a certificate serial number of the first instance.
  • the ID of the first instance is a virtual network function VNF ID, or a virtual network function component VNFC ID, or a virtual machine VM ID, or a virtual container VC ID.
  • the sender is further configured to send a query message to the first instance, where the query message includes an identifier of the first instance;
  • the receiver is further configured to receive the report message sent by the first instance, where the report message includes certificate information of the first instance sent by the first instance.
  • the first device further includes a receiver, configured to receive a second request message sent by the third device, where the second request message includes an identifier of the first instance, and the second request message is used to indicate termination of the First instance;
  • the processor is further configured to terminate the first instance according to the second request message received by the receiver.
  • the transmitter is further configured to send a second acknowledgement message to the third device, where the second acknowledgement message includes an identifier of the first instance, and the second acknowledgement message is used to indicate to confirm that the first Example.
  • the third device is a network function virtualization orchestrator NFVO.
  • the first device further includes a receiver, configured to receive first indication information that is sent by the fourth device, where the first indication information is used to indicate that the first instance is crashed, and the first indication information includes the first An identifier of the instance, where the first indication information is forwarded by the fourth device to the first device by using a fifth device.
  • the fourth device is a network function virtualization infrastructure NFVI
  • the fifth device is a virtual infrastructure manager VIM.
  • the transmitter is further configured to send the second indication information to the VIM and the NFVI, where the second indication information is used to indicate that the VIM deletes the corresponding a resource, and instructing the NFVI to delete the certificate of the first instance and the key corresponding to the certificate of the first instance.
  • the processor is further configured to: when detecting the first instance crash, the first device terminates the first instance.
  • the first device further includes a receiver, configured to receive a first acknowledgement message sent by the second device, where the first acknowledgement message is used to indicate to confirm that the first instance is revoked.
  • the processor is further configured to delete the certificate information of the first instance according to the certificate identifier of the first instance.
  • the processor is specifically configured to add the certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the first instance is a virtual network function VNF instance or a virtual network function component VNFC instance.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the second device is a certificate authority CA/registration center RA, or NFVO, or an online certificate status protocol OCSP server.
  • an embodiment of the present invention provides a second device, which is applied to a virtual network system, including: a processor, a memory, a bus, and a receiver, and the processor, the storage And the receiver are connected to each other through the bus;
  • the receiver is configured to receive a first request message sent by the first device, where the first request message includes a certificate identifier of the first instance, where the first request message is used to request to cancel the first instance. certificate;
  • the processor is configured to update the certificate status information of the first instance to a revocation status according to the certificate identifier of the first instance.
  • the processor is specifically configured to add the certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the second device further includes a transmitter, configured to send a first acknowledgement message to the first device, where the first acknowledgement message is used to indicate to confirm that the first instance is revoked.
  • the first instance is a VNF instance or a virtual network function component VNFC instance.
  • the second device is a certificate authority CA/registration center RA, or NFVO, or an online certificate status protocol OCSP server.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • an embodiment of the present invention provides a virtual network system, including a first device and a second device.
  • the first device is the first device described in the third aspect or any one of the possible implementation manners of the third aspect, where the second device is any one of the fourth aspect or the fourth aspect a second device as described in the implementation;
  • the first device is any one of the fifth aspect or the fifth aspect
  • the second device is the second device described in the sixth aspect or any one of the possible implementation manners of the sixth aspect.
  • the first device obtains the certificate identifier of the first instance, and updates the certificate status information of the first instance to the revocation state according to the certificate identifier of the first instance, or A device sends a first request message to the second device.
  • the certificate of the first instance is obtained, the certificate of the first instance is verified to be revoked, and the certificate obtained by the first instance cannot be used.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker, thereby impersonating the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • FIG. 1 is a schematic structural diagram of a network function virtualization system according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of a certificate management method according to an embodiment of the present invention.
  • FIG. 3 is a schematic flowchart of another certificate management method according to an embodiment of the present disclosure.
  • FIG. 4 is a schematic flowchart of a certificate management method according to another embodiment of the present invention.
  • FIG. 5 is a schematic flowchart of a certificate management method according to another embodiment of the present invention.
  • FIG. 6 is a schematic flowchart of a certificate management method according to still another embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a first device according to an embodiment of the present disclosure.
  • FIG. 8 is a schematic structural diagram of a second device according to an embodiment of the present disclosure.
  • FIG. 9 is a schematic structural diagram of a first device according to another embodiment of the present invention.
  • FIG. 10 is a schematic structural diagram of a second device according to another embodiment of the present invention.
  • the network function virtualization system 10 includes a NFVO (Network Functions Virtualization Orchestrator) 101 and a VNFM (Virtualized Network Function Manager). , Virtual Network Function Manager) 102, VIM (Virtualised Infrastructure Manager) 103, OSS/BSS (Operations and Business Support Systems) 104, EMS (Element Management System) System 105, VNF 106, NFVI (Network Function Virtualization Infrastructure) 107.
  • NFVO Network Functions Virtualization Orchestrator
  • VNFM Virtualized Network Function Manager
  • VIM Virtualised Infrastructure Manager
  • OSS/BSS Operating and Business Support Systems
  • EMS Event Management System
  • the NFVO 101 is used for network side programming and management of infrastructure resources and software resources of NFV (Network Function Virtualization), and implements NFV service topology on NFVI 107.
  • NFV Network Function Virtualization
  • the VNFM 102 is used to manage the life cycle of a VNF (Virtualized Network Function) instance.
  • VNF Virtualized Network Function
  • VIM 103 used to control and manage entities that implement computing, storage, and network resources and their virtualization.
  • OSS/BSS 104 for network management, system management, billing, accounting, customer service, and more.
  • the EMS 105 manages one or more network elements.
  • the VNF 106 corresponds to a PNF (Physical Network Function) in a traditional non-virtualized network, such as a virtualized EPC (Evolved Packet Core) node, to implement a specific network function.
  • the VNF can be composed of multiple lower-level components, namely VNFC (Virtualised Network Function Component).
  • VNFC Virtualised Network Function Component
  • a VNF can be deployed on multiple VMs (Virtual Machines), and each VM hosts a VNFC.
  • NFVI 107 which consists of hardware resources, virtual resources, and virtual layers, is the entity that provides the required virtual resources.
  • the embodiment of the present invention provides a certificate management method, which is applied to a first device.
  • the first device may be the network function virtualization system 10 shown in FIG. 1 .
  • the VNFM 102 in the middle, or the first device may also be an EM (Element Management).
  • the certificate management method provided in this embodiment includes the following steps:
  • the first device acquires a certificate identifier of the first instance.
  • the first instance is an instance of termination.
  • the first instance may be a VNF instance or a VNFC instance.
  • the certificate identification of the first instance may include the certificate serial number of the first instance.
  • the first device may receive the certificate information of the first instance sent by the first instance, where the certificate information of the first instance sent by the first instance includes the identifier of the first instance and the certificate identifier of the first instance.
  • the first device stores or updates the certificate information of the first instance according to the certificate information of the first instance sent by the first instance.
  • the certificate information of the first instance is sent to the first device.
  • the first device queries the first instance for the certificate information. Specifically, the first device sends a query message to the first instance, where the query message includes the identifier of the first instance, and the first device receives the first instance.
  • the report message includes the certificate information of the first instance sent by the first instance.
  • the identifier of the first instance includes an ID (Identifier) of the first instance, and the ID of the first instance may be a VNF ID, or a VNFC ID, or a VM ID, or a VC ID (Virtual Container Identifier).
  • the certificate identifier of the first instance includes the certificate serial number of the first instance.
  • the first device terminates the first instance in two cases, and the network function virtualization system 10 shown in FIG. 1 is taken as an example.
  • the present embodiment only takes the two cases as an example, and It is not intended that the invention be limited thereto.
  • the network function virtualization system 10 actively terminates the first instance.
  • the first device receives the second request message sent by the third device, where the second request message includes the identifier of the first instance, and the second request message is used. Terminating the first instance at the instruction; the first device is according to the The second request message terminates the first instance.
  • the first device may further send a second acknowledgement message to the third device, where the second acknowledgement message includes an identifier of the first instance, and the second acknowledgement message is used to indicate that the first instance is terminated.
  • the third device may be the NFVO 101 in the network function virtualization system 10 shown in FIG. 1.
  • the first instance is passively terminated due to a crash or the like.
  • the first device detects that the first instance crashes, the first instance is terminated.
  • the fourth device detects that the first instance is in a crash, the first device receives the first indication information sent by the fourth device, where the first indication information is used to indicate that the first instance is crashed, and the first indication information includes the first An identifier of the instance, where the first indication information is forwarded by the fourth device to the first device by using the fifth device; the first device terminates the first instance according to the first indication information.
  • the first device may further send a second acknowledgement message to the third device.
  • the third device may be the NFVO 101
  • the fourth device may be the NFVI 107
  • the fifth device may be the VIM 103.
  • the first device may send the second indication information to the NFVI 107 and the VIM 103, where the second indication information is used to instruct the VIM to delete the resource corresponding to the first instance, and instruct the NFVI to delete the certificate of the first instance and the first The key corresponding to the certificate of an instance.
  • the first device updates the certificate status information of the first instance to the revocation status according to the certificate identifier of the first instance, or the first device sends the first request message to the second device.
  • the first device may add the certificate identifier of the first instance to the CRL (Certificate Revocation List) that has been stored, or Update the certificate status list and change the certificate status of the first instance to the revocation status in the certificate status list.
  • CRL Chip Revocation List
  • the present invention does not limit how the first device updates the certificate status information.
  • the first device may send a first request message to the second device, where the first request message includes a certificate identifier of the first instance, and the first request message is used to indicate that the certificate of the first instance is revoked.
  • the second device in the present invention may be a CA (Certificate Authority)/RA (Registration Authority), or OCSP (Online). Certificate Status Protocol, server, or NFVO 101 in network function virtualization system 10 shown in FIG.
  • step 202 in the communication system, which device receives the first request message depends on which device maintains the certificate status information. If the first device maintains the certificate status information, the first device directly updates the certificate status information after terminating the first instance; if the NFVO 101 maintains the certificate status information, the first device sends the first request message to the NFVO 101; If the CA/RA maintains the certificate status information, the first device may directly send the first request message to the CA/RA, or send the first request message to the CA/RA through the NFVO 101; if the OCSP server maintains the certificate status information, the first A device forwards the certificate revocation request to the OCSP server through CA/RA forwarding or forwarding through NFVO 101 and CA/RA.
  • the certificate information of the first instance may be deleted according to the certificate identifier of the first instance.
  • the first device may further receive the first acknowledgment message sent by the second device, where the first acknowledgment message is used to indicate that the acknowledgment is revoked first Example.
  • the certificate of the first instance is illegally obtained by the attacker, here mainly, the private key in the certificate is illegally obtained, and the certificate management method in this embodiment is used.
  • the certificate status information of the first instance is changed to the revocation state. If the certificate of the first instance is illegally obtained by the attacker, it can be verified that the certificate has been revoked and cannot be used before being used.
  • the private key in the certificate of the first instance may be illegally acquired, thereby impersonating the VNF instance identity, and threatening the communication security of the network system.
  • the first device acquires the certificate identifier of the first instance, and updates the certificate status information of the first instance to the revocation state according to the certificate identifier of the first instance, or the first device sends the second device to the second device.
  • Send the first request message such as If the integer of the first instance is illegally obtained by the attacker, when the certificate of the first instance obtained by the illegal use is used, it can be verified that the certificate of the first instance has been revoked, and the certificate obtained by the first instance cannot be used, and the solution is solved.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker, thereby impersonating the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • the embodiment of the present invention provides another certificate management method, which is applied to the second device.
  • the second device may be a CA. /RA, NFVO or OCSP (Online Certificate Status Protocol) server. Referring to Figure 3, the following steps are included:
  • the second device receives the first request message sent by the first device.
  • the first request message includes a certificate identifier of the first instance, and the first request message is used to indicate that the certificate of the first instance is revoked.
  • the certificate identifier of the first instance includes the certificate serial number of the first instance.
  • the first instance may be a VNF instance or a VNFC instance.
  • the first device may perform information transmission with the second device through the NFVO 101.
  • the first device and the second device may perform information transmission by using the CA/RA, or the first device and the second device may pass the NFVO 101. Information transfer with CA/RA.
  • the second device updates the certificate status information of the first instance to a revocation status according to the certificate identifier of the first instance.
  • the second device may add the certificate identifier of the first instance to the already stored CRL according to the certificate identifier of the first instance; or the second device updates the certificate status list, and how to update the certificate status information for the second device. No restrictions.
  • the second device may further send a first acknowledgement message to the first device, where the first acknowledgement message is used to indicate that the first instance is revoked.
  • the certificate management method of this embodiment After the first instance is terminated, the certificate status information of the first instance is changed to the revocation state. If the certificate of the first instance is illegally obtained by the attacker, it can be verified that the certificate has been revoked before use, and the certificate cannot be used, thereby avoiding the private key in the certificate of the first instance after the termination of the first instance. It may be illegally obtained to impersonate the VNF instance identity and threaten the communication security of the network system.
  • the second device receives the first request message sent by the first device, and updates the certificate status information of the first instance to the revocation status according to the certificate identifier of the first instance, and uses the illegally obtained
  • the certificate of an instance may be revoked, and the certificate obtained by the first instance may not be used.
  • the private key corresponding to the VNF instance certificate may be The attacker illegally obtains the identity of the VNF instance, resulting in a problem of reduced communication security of the virtual network system.
  • the first device is VNFM
  • the second device is used.
  • the device is described as an example of the CA/RA.
  • the first device may also be an EM
  • the second device may also be an NFVO or OCSP server.
  • the certificate management method provided in this embodiment includes the following steps:
  • the NFVO receives the request to terminate the first instance.
  • the request to terminate the first instance comes from the OSS or VNFM, or the EM triggers the VNFM to send the request.
  • the first instance may be a VNF instance or a VNFC instance.
  • NFVO can verify the validity of the request, and can also verify whether the VNF/VNFC instance exists.
  • the NFVO sends a second request message to the VNFM.
  • the second request message includes an identification of the first instance, and the second request message is used to indicate termination of the first instance.
  • the identifier of the first instance includes an ID (Identifier) of the first instance, and the ID of the first instance may be a VNF ID, or a VNFC ID, or a VM ID, or VC ID (Virtual Container Identifier).
  • the VNFM terminates the first instance.
  • the VNFM terminates the corresponding first instance according to the identifier of the first instance included in the second request message.
  • the VNFM sends a second acknowledgement message to the NFVO.
  • the second confirmation message includes an identifier of the first instance, and the second confirmation message is used to indicate that the first instance is terminated.
  • the VNFM obtains the certificate identifier of the first instance.
  • the VNFM may obtain the certificate identifier of the first instance corresponding to the identifier of the first instance according to the stored certificate information of the first instance, and confirm the first instance certificate to be revoked according to the certificate identifier of the first instance, the first instance
  • the certificate information includes the identifier of the first instance and the certificate identifier of the first instance.
  • the certificate identifier of the first instance includes the certificate serial number of the first instance.
  • the VNFM sends a first request message to the CA/RA.
  • the first request message includes a certificate identifier of the first instance, and the first request message is used to indicate that the certificate of the first instance is revoked.
  • the CA/RA updates the CRL according to the certificate identifier of the first instance.
  • the CA/RA updates the CRL according to the certificate identifier of the first instance.
  • the CA/RA adds the certificate identifier of the first instance to the CRL.
  • the update interval of the CRL may be fixed. After receiving the first request message sent by the VNFM, the CA/RA releases the updated CRL at the next update time, and the present invention does not limit the present invention.
  • the CA/RA sends a first acknowledgement message to the VNFM.
  • the first confirmation message includes a certificate identifier of the first instance, and the first confirmation message is used to indicate that the certificate of the first instance is revoked.
  • the VNFM deletes the certificate information of the first instance according to the certificate identifier of the first instance.
  • the method further includes:
  • Deleting the resource configured for the first instance is the recycling of the resource that will be assigned to the first instance. Specifically, the VIM deletes the resource corresponding to the first instance, and the NFVI deletes the first real The certificate of the example and the key corresponding to the certificate of the first instance. In particular, if there is a secure hardware storage such as a TPM (Trusted Platform Module), it is deleted in the hardware.
  • TPM Trusted Platform Module
  • the NFVO may also send a confirmation message that the first instance terminates to the OSS/BSS or the VNFM.
  • the first device acquires the certificate identifier of the first instance, and updates the certificate status information of the first instance to the revocation state according to the certificate identifier of the first instance, or the first device sends the second device to the second device.
  • the certificate of the first instance is verified to be revoked, and the certificate of the first instance is not used, and the VNF instance in the virtual network system is solved.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker, thereby impersonating the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • the first device is VNFM
  • the second device is used.
  • the device is described as an example of the CA/RA.
  • the first device may also be an EM
  • the second device may also be an NFVO or OCSP server.
  • the certificate management method provided in this embodiment includes the following steps:
  • the first instance may be a VNF instance or a VNFC instance.
  • the VNFM may determine whether the first instance is crashed by detecting a heartbeat message between the VNFM and the first instance.
  • the first instance sends a heartbeat to the VNFM every other time period. The message is used to prove that the first instance is running normally. If the VNFM does not receive the heartbeat message within the specified time period, it proves that the first instance crashes.
  • this is merely an example, and does not mean that the present invention is limited to this.
  • the present invention is not limited to the time period during which the heartbeat message is sent, and may be set according to the specific situation.
  • the VNFM sends the second indication information to the NFVO.
  • the second indication information is used to indicate that the VIM deletes the resource corresponding to the first instance. And instructing the NFVI to delete the certificate of the first instance and the key corresponding to the certificate of the first instance.
  • Deleting the resource configured for the first instance is the recycling of the resource that will be assigned to the first instance. Specifically, the VIM deletes the resource corresponding to the first instance, and the NFVI deletes the certificate of the first instance and the key corresponding to the certificate of the first instance. In particular, if there is a secure hardware storage such as a TPM, it is deleted in the hardware.
  • the VNFM obtains a certificate identifier of the first instance.
  • the VNFM may obtain the certificate identifier of the first instance corresponding to the identifier of the first instance according to the stored certificate information of the first instance, and confirm the first instance certificate to be revoked according to the certificate identifier of the first instance, the first instance
  • the certificate information includes the identifier of the first instance and the certificate identifier of the first instance.
  • the certificate identifier of the first instance includes the certificate serial number of the first instance.
  • the VNFM sends a first request message to the CA/RA.
  • the first request message includes a certificate identifier of the first instance, and the first request message is used to indicate that the certificate of the first instance is revoked.
  • the VNFM sends the first request message to the NFVO, and the NFVO forwards the first request message to the CA/RA.
  • the CA/RA updates the CRL according to the certificate identifier of the first instance.
  • the CA/RA updates the CRL according to the certificate identifier of the first instance.
  • the CA/RA adds the certificate identifier of the first instance to the CRL.
  • the CRL update interval may be fixed. After receiving the first request message sent by the VNFM, the CA/RA releases the updated CRL at the next update time.
  • the CA/RA sends a first acknowledgement message to the VNFM.
  • the CA/RA sends a first acknowledgement message to the NFVO, and the NFVO forwards the first acknowledgement message to the VNFM.
  • the first confirmation message includes a certificate identifier of the first instance, and the first confirmation message is used to indicate that the certificate of the first instance is revoked.
  • the VNFM may delete the certificate information of the first instance according to the certificate identifier of the first instance.
  • the first device obtains the certificate of the first instance a book identifier, the certificate status information of the first instance is updated to a revocation status according to the certificate identifier of the first instance, or the first device sends a first request message to the second device, when the certificate of the first instance that is illegally acquired is used, It can be verified that the certificate of the first instance has been revoked, and the certificate obtained by the first instance cannot be used.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker after the VNF instance is terminated in the virtual network system. Counterfeiting the VNF instance identity causes a problem of reduced communication security of the virtual network system.
  • the first device is VNFM
  • the second device is used.
  • the device is an OCSP server as an example.
  • the first device may also be an EM
  • the second device may also be an NFVO or a CA/RA.
  • the certificate management method provided in this embodiment includes the following steps:
  • the NFVI detects that the first instance is crashing, the first indication information is sent to the VNFM.
  • the first indication information is used to indicate that the first instance is in a crash, and the first indication information includes the identifier of the first instance.
  • the first instance may be a VNF instance or a VNFC instance, and the identifier of the first instance includes the ID of the first instance. (Identifier, ID), the ID of the first instance may be a VNF ID, or a VNFC ID, or a VM ID, or a VC ID.
  • the first indication information is forwarded by the VIM to the VNFM.
  • the VNFM sends the second indication information to the NFVO.
  • the VNFM sends the second indication information to the VIM and the NFVI, where the second indication information is used to indicate that the VIM deletes the resource corresponding to the first instance, and instructs the NFVI to delete the certificate of the first instance and the key corresponding to the certificate of the first instance. 603. Delete the resource configured for the first instance.
  • Deleting the resource configured for the first instance is the recycling of the resource that will be assigned to the first instance.
  • the VIM deletes the resource corresponding to the first instance
  • the NFVI deletes the certificate of the first instance and the key corresponding to the certificate of the first instance.
  • a secure hardware storage such as a TPM
  • the VNFM obtains the certificate identifier of the first instance.
  • the VNFM may obtain the certificate identifier of the first instance corresponding to the identifier of the first instance according to the stored certificate information of the first instance, and confirm the first instance certificate to be revoked according to the certificate identifier of the first instance, the first instance
  • the certificate information includes the identifier of the first instance and the certificate identifier of the first instance.
  • the certificate identifier of the first instance includes the certificate serial number of the first instance.
  • the VNFM sends a first request message to the OCSP server.
  • the first request message includes a certificate identifier of the first instance, and the first request message is used to request to cancel the certificate of the first instance.
  • the VNFM sends the first request message to the CA/RA, and the CA/RA forwards the first request message to the OCSP server.
  • the OCSP server updates the certificate status list according to the certificate identifier of the first instance.
  • the OCSP server changes the certificate status of the first instance to the revocation status in the certificate status list according to the integer identifier of the first instance.
  • the OCSP server sends a first acknowledgement message to the VNFM.
  • the OCSP server sends a first confirmation message to the CA/RA, and the CA/RA forwards the first confirmation message to the VNFM.
  • the first confirmation message includes a certificate identifier of the first instance, and the first confirmation message is used to indicate that the certificate of the first instance is revoked.
  • the VNFM may delete the certificate information of the first instance according to the certificate identifier of the first instance.
  • the first device acquires the certificate identifier of the first instance, and updates the certificate status information of the first instance to the revocation state according to the certificate identifier of the first instance, or the first device sends the second device to the second device.
  • the certificate of the first instance is verified to be revoked, and the certificate of the first instance is not used, and the VNF instance in the virtual network system is solved.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker, thereby impersonating the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • the embodiment of the present invention provides a first device, which is used to perform the certificate management method described in the foregoing embodiment corresponding to FIG. 2, and preferably, Applied to the network function virtualization system 10 shown in FIG. 1, the first device may be the VNFM 102, or the first device may be an EM.
  • the first device 70 includes an obtaining unit 701, a certificate management unit 702, and a sending unit 703.
  • the obtaining unit 701 is configured to obtain a certificate identifier of the first instance, where the first instance is a terminated instance.
  • the certificate management unit 702 is configured to update the certificate status information of the first instance to the revocation status according to the certificate identifier of the first instance acquired by the obtaining unit 701.
  • the sending unit 703 is configured to send a first request message to the second device, where the first request message includes a certificate identifier of the first instance, where the first request message is used to indicate that the certificate of the first instance is revoked.
  • the first device 70 may also include a receiving unit 704.
  • the receiving unit 704 is configured to receive the certificate information of the first instance sent by the first instance, where the certificate information of the first instance sent by the first instance includes the identifier of the first instance and the certificate identifier of the first instance.
  • the certificate management unit 702 is further configured to store or update the certificate information of the first instance according to the certificate information of the first instance sent by the first instance received by the receiving unit 704.
  • the identifier of the first instance includes an ID of the first instance
  • the certificate identifier of the first instance includes a certificate serial number of the first instance
  • the ID of the first instance is a virtual network function VNF ID, or a virtual network function component VNFC ID, or a virtual machine VM ID, or a virtual container VC ID.
  • the sending unit 703 is further configured to send a query message to the first instance, where the query message includes an identifier of the first instance.
  • the receiving unit 704 is further configured to receive the report message sent by the first instance, where the report message includes the certificate information of the first instance sent by the first instance.
  • the receiving unit 704 is configured to receive a second request message sent by the third device, where the second request message includes an identifier of the first instance, and the second request message is used to indicate that the first instance is terminated.
  • the first device 70 further includes an instance management unit 705 for terminating the first instance according to the second request message received by the receiving unit 704.
  • the sending unit 703 is further configured to send a second acknowledgement message to the third device, where the second acknowledgement message includes an identifier of the first instance, and the second acknowledgement message is used to indicate that the first instance is terminated.
  • the third device may be a network function virtualization orchestrator NFVO.
  • the receiving unit 704 is configured to receive first indication information that is sent by the fourth device, where the first indication information is used to indicate that the first instance is crashed, the first indication information includes an identifier of the first instance, and the first indication information is used by the fourth device. Five devices are forwarded to the first device.
  • the fourth device is a network function virtualization infrastructure NFVI
  • the fifth device is a virtual infrastructure device manager VIM.
  • the sending unit 703 is further configured to send the second indication information to the VIM and the NFVI, where the second indication information is used to instruct the VIM to delete the resource corresponding to the first instance, and instruct the NFVI to delete the certificate of the first instance and the first instance.
  • the certificate corresponds to the key.
  • the instance management unit 705 is configured to: when detecting that the first instance crashes, the first device terminates the first instance.
  • the receiving unit 704 is further configured to receive a first acknowledgement message sent by the second device, where the first acknowledgement message is used to indicate that the first instance is revoked.
  • the certificate management unit 702 is further configured to delete the certificate information of the first instance according to the certificate identifier of the first instance.
  • the certificate management unit 702 is specifically configured to add the certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the first instance is a virtual network function VNF instance or a virtual network function component VNFC instance.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the second device is a Certificate Authority CA/Registry Center RA, or NFVO, or an Online Certificate Status Protocol OCSP server.
  • the first device obtains the certificate identifier of the first instance, and updates the certificate status information of the first instance to the revocation state according to the certificate identifier of the first instance, or the first device sends the second device to the second device.
  • the certificate of the first instance is verified to be revoked, and the certificate of the first instance is not used, and the VNF instance in the virtual network system is solved.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker, thereby impersonating the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • the embodiment of the present invention provides a second device, which is used to perform the certificate management method described in the foregoing embodiment corresponding to FIG. 3.
  • the second device 80 includes : receiving unit 801 and certificate management unit 802.
  • the receiving unit 801 is configured to receive a first request message sent by the first device, where the first request message includes a certificate identifier of the first instance, and the first request message is used to request to cancel the certificate of the first instance.
  • the certificate management unit 802 is configured to update the certificate status information of the first instance to the revocation status according to the certificate identifier of the first instance.
  • the certificate management unit 802 is specifically configured to add the certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the second device 80 further includes a sending unit 803, configured to send a first acknowledgement message to the first device, where the first acknowledgement message is used to indicate that the first instance is revoked.
  • the first instance is a VNF instance or a virtual network function component VNFC instance.
  • the second device is a Certificate Authority CA/Registry Center RA, or NFVO, or an Online Certificate Status Protocol OCSP server.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the second device receives the first request message sent by the first device, and updates the certificate status information of the first instance to the revocation status according to the certificate identifier of the first instance, and uses the illegally acquired
  • An instance of the certificate can be verified that the certificate of the first instance has been revoked, and the certificate obtained by the first instance cannot be used.
  • the private key corresponding to the VNF instance certificate can be solved after the VNF instance is terminated in the virtual network system. It can be illegally obtained by an attacker, which can counterfeit the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • the first device may be the VNFM 102, or the first device may also be an EM.
  • the first device 90 includes: at least one processor 901, a memory 902, a bus 903, and a transmitter 904. The at least one processor 901, the memory 902, and the transmitter 904 are connected and completed by a bus 903. Communication.
  • the bus 903 may be an ISA (Industry Standard Architecture) bus, a PCI (Peripheral Component) bus, or an EISA (Extended Industry Standard Architecture) bus.
  • the bus 903 can be divided into an address bus, a data bus, a control bus, and the like. For ease of representation, only one thick line is shown in Figure 9, but it does not mean that there is only one bus or one type of bus. among them:
  • the memory 902 is used to execute the application code of the inventive scheme, and the application code for executing the inventive scheme is stored in a memory and controlled by the processor 901 for execution.
  • the memory can be a read only memory ROM or other type of static storage device that can store static information and instructions, a random access memory RAM or other type of dynamic storage device that can store information and instructions, or can be electrically erasable or programmable.
  • These memories are connected to the processor via a bus.
  • the processor 901 may be a central processing unit 901 (CPU), or an application specific integrated circuit (ASIC), or one or more configured to implement the embodiments of the present invention. Integrated circuits.
  • the processor 901 is configured to call the program code in the memory 902. In a possible implementation manner, when the application program is executed by the processor 901, the following functions are implemented.
  • the processor 901 is configured to obtain a certificate identifier of the first instance, where the first instance is a terminated instance.
  • the processor 901 is further configured to update the certificate status information of the first instance to the revocation status according to the obtained certificate identifier of the first instance.
  • the sender 904 is configured to send a first request message to the second device, where the first request message includes a certificate identifier of the first instance, and the first request message is used to request to cancel the certificate of the first instance.
  • the first device 90 can also include a receiver 905,
  • the receiver 905 is configured to receive the certificate information of the first instance sent by the first instance, where the certificate information of the first instance sent by the first instance includes the identifier of the first instance and the certificate identifier of the first instance.
  • the processor 901 is further configured to store or update the certificate information of the first instance according to the certificate information of the first instance sent by the first instance received by the receiver 905.
  • the identifier of the first instance includes an ID of the first instance
  • the certificate identifier of the first instance includes a certificate serial number of the first instance
  • the ID of the first instance is a virtual network function VNF ID, or a virtual network function component VNFC ID, or a virtual machine VM ID, or a virtual container VC ID.
  • the sender 904 is further configured to send a query message to the first instance, where the query message includes an identifier of the first instance.
  • the receiver 905 is further configured to receive the report message sent by the first instance, where the report message includes the certificate information of the first instance sent by the first instance.
  • the receiver 905 is configured to receive a second request message sent by the third device, where the second request message includes an identifier of the first instance, where the second request message is used to indicate termination of the first instance.
  • the processor 901 is further configured to terminate the first instance according to the second request message received by the receiver 905.
  • the sender 904 is further configured to send a second acknowledgment message to the third device, where the second acknowledgment message includes an identifier of the first instance, and the second acknowledgment message is used to indicate that the acknowledgment terminates the first instance.
  • the third device is a network function virtualization orchestrator NFVO.
  • the receiver 905 is configured to receive first indication information that is sent by the fourth device, where the first indication information is used to indicate that the first instance is in a crash, the first indication information includes an identifier of the first instance, and the first indication information is passed by the fourth device. Five devices are forwarded to the first device.
  • the fourth device is a network function virtualization infrastructure NFVI
  • the fifth device is a virtual infrastructure device manager VIM.
  • the transmitter 904 is further configured to send the second indication information to the VIM and the NFVI, where the second indication information is used to instruct the VIM to delete the resource corresponding to the first instance, and instruct the NFVI to delete the certificate of the first instance and the first The key corresponding to the certificate of the instance.
  • the processor 901 is further configured to: when detecting that the first instance crashes, the first device terminates the first instance.
  • the processor 901 is further configured to delete the certificate information of the first instance according to the certificate identifier of the first instance.
  • the processor 901 is specifically configured to add the certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the first instance is a virtual network function VNF instance or a virtual network function component VNFC instance.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the second device is a Certificate Authority CA/Registry Center RA, or NFVO, or an Online Certificate Status Protocol OCSP server.
  • the first device acquires the certificate identifier of the first instance, and updates the certificate status information of the first instance to the revoke according to the certificate identifier of the first instance. a state, or the first device sends a first request message to the second device, and when the certificate of the first instance that is illegally obtained is used, it can be verified that the certificate of the first instance has been revoked, and the certificate of the first instance is obtained.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker, thereby impersonating the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • another embodiment of the present invention provides a second device, which is used to perform the certificate management method described in the foregoing embodiment corresponding to FIG. 3.
  • the second device is shown.
  • 100 includes: at least one processor 1001, a memory 1002, a bus 1003, and a receiver 1004.
  • the at least one processor 1001, the memory 1002, and the receiver 1004 are connected by a bus 1003 and complete communication with each other.
  • the bus 1003 may be an ISA (Industry Standard Architecture) bus, a PCI (Peripheral Component) bus, or an EISA (Extended Industry Standard Architecture) bus.
  • the bus 1003 can be divided into an address bus, a data bus, a control bus, and the like. For ease of representation, only one thick line is shown in FIG. 10, but it does not mean that there is only one bus or one type of bus. among them:
  • the memory 1002 is for executing application code of the inventive scheme, and the application code for executing the inventive scheme is stored in a memory and controlled by the processor 1001 for execution.
  • the memory can be a read only memory ROM or other type of static storage device that can store static information and instructions, a random access memory RAM or other type of dynamic storage device that can store information and instructions, or can be electrically erasable or programmable.
  • These memories are connected to the processor via a bus.
  • the processor 1001 may be a central processing unit (CPU), or an application specific integrated circuit (ASIC), or configured to implement the implementation of the present invention.
  • CPU central processing unit
  • ASIC application specific integrated circuit
  • the processor 1001 is configured to call the program code in the memory 1002. In a possible implementation manner, when the application program is executed by the processor 1001, the following functions are implemented.
  • the receiver 1004 is configured to receive a first request message sent by the first device, where the first request message includes a certificate identifier of the first instance, and the first request message is used to request to cancel the certificate of the first instance.
  • the processor 1001 is configured to update the certificate status information of the first instance to the revocation status according to the certificate identifier of the first instance.
  • the processor 1001 is configured to add a certificate identifier of the first instance to the certificate revocation list CRL that has been stored.
  • the second device 100 further includes a transmitter 1005, configured to send a first acknowledgement message to the first device, where the first acknowledgement message is used to indicate that the first instance is revoked.
  • the first instance is a VNF instance or a virtual network function component VNFC instance.
  • the second device is a Certificate Authority CA/Registry Center RA, or NFVO, or an Online Certificate Status Protocol OCSP server.
  • the first device is a virtual network function manager VNFM or a network element manager EM.
  • the second device receives the first request message sent by the first device, and updates the certificate status information of the first instance to the revocation status according to the certificate identifier of the first instance, and uses the illegally acquired
  • the certificate of an instance may be revoked, and the certificate obtained by the first instance may not be used.
  • the private key corresponding to the VNF instance certificate may be The attacker illegally obtains the identity of the VNF instance, resulting in a problem of reduced communication security of the virtual network system.
  • the embodiment of the present invention provides a virtual network system for performing the above-mentioned FIG. 2, FIG. 3, FIG. 4, FIG. 5 and FIG. 6 based on the embodiments corresponding to FIG. 2, FIG. 3, FIG. 4, FIG.
  • the function of the virtual network system is as follows:
  • the virtual network system provided in this embodiment may include the network function virtualization system shown in FIG. 1.
  • the virtual network system provided in this embodiment includes: a first device and a second device.
  • the first device is the first device described in the embodiment corresponding to FIG. 7, and the second device is the second device described in the embodiment corresponding to FIG. 8.
  • the first device is the first device described in the embodiment corresponding to FIG. 9, and the second device is the second device described in the embodiment corresponding to FIG. 10.
  • the first device obtains the certificate identifier of the first instance, and updates the certificate status information of the first instance to the revocation state according to the certificate identifier of the first instance, or the first device sends the second device to the second device.
  • the certificate of the first instance is verified to be revoked, and the certificate of the first instance is not used, and the VNF instance in the virtual network system is solved.
  • the private key corresponding to the VNF instance certificate may be illegally obtained by the attacker, thereby impersonating the VNF instance identity, resulting in a problem of reduced communication security of the virtual network system.
  • Computer readable media includes both computer storage media and communication media including any medium that facilitates transfer of a computer program from one location to another.
  • a storage medium may be any available media that can be accessed by a computer.
  • the computer readable medium may include a RAM (Random Access Memory), a ROM (Read Only Memory), and an EEPROM (Electrically Erasable Programmable Read Only Memory).
  • CD-ROM Compact Disc Read Only Memory
  • CD-ROM Compact Disc Read Only Memory
  • Any connection may suitably be a computer readable medium.
  • coaxial cable, fiber optic cable, twisted pair, DSL (Digital Subscriber Line, number Word user line) or wireless technology such as infrared, radio and microwave transmission from a website, server or other remote source then coaxial cable, fiber optic cable, twisted pair, DSL or such as infrared, wireless and microwave Wireless technology is included in the fixing of the associated medium.
  • the disc and the disc include a CD (Compact Disc), a laser disc, a compact disc, a DVD disc (Digital Versatile Disc), a floppy disc, and a Blu-ray disc, wherein the disc is usually magnetically copied,
  • the disc uses a laser to optically replicate the data. Combinations of the above should also be included within the scope of the computer readable media.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明公开了一种证书管理方法、设备及系统，涉及通信领域，能够解决虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。具体方案为：第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，第一请求消息用于请求撤销第一实例的证书。本发明用于证书管理。

Description

一种证书管理方法、设备及系统 技术领域
本发明涉及通信领域，尤其涉及一种证书管理方法、设备及系统。
背景技术
NFV(Network Function Virtulization，网络功能虚拟化)通过在通用的服务器、交换机、存储器等硬件设备上建立VNF(Virtualised Network Function，虚拟网络功能)实现部分网络功能，使得这些网络功能在通用的硬件设备上运行，不需要配置新的专用网元设备，能够极大的增强网络部署的灵活性，并且降低了投资成本。
在通过NFV技术实现网络功能的过程中，虚拟网络内部VNF之间互相通信，或者VNF与外部网络通信都存在安全隐患，因此，现有技术中采用IPSec(Internet Protocol Security，互联网协议安全)或TLS(Transport Layer Security，传输层安全协议)等技术建立网络中的连接。这些安全技术需要相互通信的双方配置证书，证书包含通信双方用于验证的密钥及算法。
在虚拟化场景下，VNF是一组软件，在需要的时候进行实例化和终止。所谓VNF的实例化，是指为一个VNF分配资源和安装软件的过程；所谓终止，是指解除对该VNF分配的资源的过程。在实现上述功能的过程中，发明人发现，当VNF实例终止后，分配给该VNF实例的资源回收后可能会分配给其他VNF，此时，原来VNF实例存储证书信息的存储资源分配给了其他VNF，这就使得原来VNF实例的证书会被其他VNF获取，导致签发给原VNF或VNFC(Virtualised Network Function Component，虚拟网络功能组件)实例的证书可能被攻击者非法获取，降低了虚拟网络系统的通信安全。
发明内容
本发明的实施例提供一种证书管理方法、设备及系统，能够解决虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
为达到上述目的，本发明的实施例采用如下技术方案：
第一方面，本发明实施例提供一种证书管理方法，应用于虚拟网络系统，包括：
第一设备获取第一实例的证书标识，所述第一实例为终止的实例；
所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，或者，所述第一设备向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
结合第一方面，在第一方面的第一种可能的实现方式中，所述第一设备获取第一实例的证书标识之前，还包括：
所述第一设备接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
所述第一设备根据所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，
所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
结合第一方面的第二种可能的实现方式，在第一方面的第三种可能的实现方式中，
所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
结合第一方面的第一种可能的实现方式至第一方面的第三种可能的实现方式中任一实现方式，在第一方面的第四种可能的实现方式中，所述第一设备接收第一实例发送的第一实例的证书信息之前，还包括：
所述第一设备向所述第一实例发送查询消息，所述查询消息包括 所述第一实例的标识；
所述第一设备接收第一实例发送的第一实例的证书信息，包括：
所述第一设备接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
结合第一方面，在第一方面的第五种可能的实现方式中，所述第一设备获取第一实例的证书标识之前，还包括：
所述第一设备接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
所述第一设备根据所述第二请求消息终止所述第一实例。
结合第一方面的第五种可能的实现方式，在第一方面的第六种可能的实现方式中，所述第一设备根据所述第二请求消息终止所述第一实例之后，还包括：
所述第一设备向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
结合第一方面的第五种可能的实现方式或第一方面的第六种可能的实现方式，在第一方面的第七种可能的实现方式中，
所述第三设备为网络功能虚拟化编排器NFVO。
结合第一方面，在第一方面的第八种可能的实现方式中，
所述第一设备获取第一实例的证书标识之前，还包括：
所述第一设备接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
结合第一方面的第八种可能的实现方式，在第一方面的第九种可能的实现方式中，
所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
结合第一方面的第九种可能的实现方式，在第一方面的第十种可能的实现方式中，所述第一设备接收第四设备发送的第一指示信息之后，还包括：
所述第一设备向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
结合第一方面，在第一方面的第十一种可能的实现方式中，所述第一设备获取第一实例的证书标识之前，还包括：
当所述第一设备检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
结合第一方面，在第一方面的第十二种可能的实现方式中，所述第一设备向第二设备发送第一请求消息之后，还包括：
所述第一设备接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第一方面至第一方面的第十二种可能的实现方式中任一实现方式，在第一方面的第十三种可能的实现方式中，所述第一设备获取第一实例的证书标识之后，还包括：
所述第一设备根据所述第一实例的证书标识删除所述第一实例的证书信息。
结合第一方面至第一方面的第十三种可能的实现方式中任一实现方式，在第一方面的第十四种可能的实现方式中，所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
所述第一设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第一方面至第一方面的第十四种可能的实现方式中任一实现方式，在第一方面的第十五种可能的实现方式中，
所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件 VNFC实例。
结合第一方面至第一方面的第十五种可能的实现方式中任一实现方式，在第一方面的第十六种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
结合第一方面至第一方面的第十六种可能的实现方式中任一实现方式，在第一方面的第十七种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
第二方面，本发明实施例提供一种证书管理方法，应用于虚拟网络系统，包括：
第二设备接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
结合第二方面，在第二方面的第一种可能的实现方式中，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
所述第二设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第二方面或第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态之后，还包括：
所述第二设备向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第二方面至第二方面的第二种可能的实现方式中任一实现方式，在第二方面的第三种可能的实现方式中，
所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
结合第二方面至第二方面的第三种可能的实现方式中任一实现 方式，在第二方面的第四种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
结合第二方面至第二方面的第四种可能的实现方式中任一实现方式，在第二方面的第五种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
第三方面，本发明实施例提供一种第一设备，应用于虚拟网络系统，包括：
获取单元，用于获取第一实例的证书标识，所述第一实例为终止的实例；
在所述获取单元获取第一实例的证书标识后，
证书管理单元，用于根据所述获取单元获取的所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态；
或者，发送单元，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
结合第三方面，在第三方面的第一种可能的实现方式中，
所述第一设备还包括接收单元，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
所述证书管理单元，还用于根据所述接收单元接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
结合第三方面的第一种可能的实现方式，在第三方面的第二种可能的实现方式中，
所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
结合第三方面的第二种可能的实现方式，在第三方面的第三种可能的实现方式中，
所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组 件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
结合第三方面的第一种可能的实现方式至第三方面的第三种可能的实现方式中任一实现方式，在第三方面的第四种可能的实现方式中，
所述发送单元，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
所述接收单元，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
结合第三方面，在第三方面的第五种可能的实现方式中，
所述第一设备还包括接收单元，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
所述第一设备还包括实例管理单元，用于根据所述接收单元接收的所述第二请求消息终止所述第一实例。
结合第三方面的第五种可能的实现方式，在第三方面的第六种可能的实现方式中，
所述发送单元，还用于向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
结合第三方面的第五种可能的实现方式或第三方面的第六种可能的实现方式，在第三方面的第七种可能的实现方式中，
所述第三设备为网络功能虚拟化编排器NFVO。
结合第三方面，在第三方面的第八种可能的实现方式中，
所述第一设备还包括接收单元，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
结合第三方面的第八种可能的实现方式，在第三方面的第九种可能的实现方式中，
所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
结合第三方面的第九种可能的实现方式，在第三方面的第十种可能的实现方式中，
所述发送单元，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
结合第三方面，在第三方面的第十一种可能的实现方式中，
所述第一设备还包括实例管理单元，用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
结合第三方面，在第三方面的第十二种可能的实现方式中，
所述第一设备还包括接收单元，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第三方面至第三方面的第十二种可能的实现方式中任一实现方式，在第三方面的第十三种可能的实现方式中，
所述证书管理单元，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
结合第三方面至第三方面的第十三种可能的实现方式中任一实现方式，在第三方面的第十四种可能的实现方式中，
所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第三方面至第三方面的第十四种可能的实现方式中任一实现方式，在第三方面的第十五种可能的实现方式中，
所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
结合第三方面至第三方面的第十五种可能的实现方式中任一实现方式，在第三方面的第十六种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
结合第三方面至第三方面的第十六种可能的实现方式中任一实现方式，在第三方面的第十七种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
第四方面，本发明实施例提供一种第二设备，应用于虚拟网络系统，包括：
接收单元，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
证书管理单元，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
结合第四方面，在第四方面的第一种可能的实现方式中，
所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第四方面或第四方面的第一种可能的实现方式，在第四方面的第二种可能的实现方式中，
所述第二设备还包括发送单元，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第四方面至第四方面的第二种可能的实现方式中任一实现方式，在第四方面的第三种可能的实现方式中，
所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
结合第四方面至第四方面的第三种可能的实现方式中任一实现方式，在第四方面的第四种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
结合第四方面至第四方面的第四种可能的实现方式中任一实现方式，在第四方面的第五种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
第五方面，本发明实施例提供一种第一设备，应用于虚拟网络系 统，包括：处理器、存储器、总线、发送器，所述处理器、所述存储器及所述发送器通过所述总线相互连接；
其中，所述处理器，用于获取第一实例的证书标识，所述第一实例为终止的实例；
在所述处理器获取第一实例的证书标识后，
所述处理器，还用于根据获取的所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态；
或者，所述发送器，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
结合第五方面，在第五方面的第一种可能的实现方式中，
所述第一设备还包括接收器，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
所述处理器，还用于根据所述接收器接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
结合第五方面的第一种可能的实现方式，在第五方面的第二种可能的实现方式中，
所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
结合第五方面的第二种可能的实现方式，在第五方面的第三种可能的实现方式中，
所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
结合第五方面的第一种可能的实现方式至第五方面的第三种可能的实现方式中任一实现方式，在第五方面的第四种可能的实现方式中，
所述发送器，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
所述接收器，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
结合第五方面，在第五方面的第五种可能的实现方式中，
所述第一设备还包括接收器，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
所述处理器，还用于根据所述接收器接收的所述第二请求消息终止所述第一实例。
结合第五方面的第五种可能的实现方式，在第五方面的第六种可能的实现方式中，
所述发送器，还用于向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
结合第五方面的第五种可能的实现方式或第五方面的第六种可能的实现方式，在第五方面的第七种可能的实现方式中，
所述第三设备为网络功能虚拟化编排器NFVO。
结合第五方面，在第五方面的第八种可能的实现方式中，
所述第一设备还包括接收器，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
结合第五方面的第八种可能的实现方式，在第五方面的第九种可能的实现方式中，
所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
结合第五方面的第九种可能的实现方式，在第五方面的第十种可能的实现方式中，
所述发送器，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的 资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
结合第五方面，在第五方面的第十一种可能的实现方式中，
所述处理器，还用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
结合第五方面，在第五方面的第十二种可能的实现方式中，
所述第一设备还包括接收器，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第五方面至第五方面的第十二种可能的实现方式中任一实现方式，在第五方面的第十三种可能的实现方式中，
所述处理器，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
结合第五方面至第五方面的第十三种可能的实现方式中任一实现方式，在第五方面的第十四种可能的实现方式中，
所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第五方面至第五方面的第十四种可能的实现方式中任一实现方式，在第五方面的第十五种可能的实现方式中，
所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
结合第五方面至第五方面的第十五种可能的实现方式中任一实现方式，在第五方面的第十六种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
结合第五方面至第五方面的第十六种可能的实现方式中任一实现方式，在第五方面的第十七种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
第六方面，本发明实施例提供一种第二设备，应用于虚拟网络系统，包括：处理器、存储器、总线及接收器，所述处理器、所述存储 器及所述接收器通过所述总线相互连接；
其中，所述接收器，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
所述处理器，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
结合第六方面，在第六方面的第一种可能的实现方式中，
所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
结合第六方面或第六方面的第一种可能的实现方式，在第六方面的第二种可能的实现方式中，
所述第二设备还包括发送器，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
结合第六方面至第六方面的第二种可能的实现方式中任一实现方式，在第六方面的第三种可能的实现方式中，
所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
结合第六方面至第六方面的第三种可能的实现方式中任一实现方式，在第六方面的第四种可能的实现方式中，
所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
结合第六方面至第六方面的第四种可能的实现方式中任一实现方式，在第六方面的第五种可能的实现方式中，
所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
第七方面，本发明实施例提供一种虚拟网络系统，包括第一设备及第二设备。
其中，所述第一设备为第三方面或第三方面的任意一种可能的实现方式中所描述的第一设备，所述第二设备为第四方面或第四方面的任意一种可能的实现方式中所描述的第二设备；
或者，所述第一设备为第五方面或第五方面的任意一种可能的实 现方式中所描述的第一设备，所述第二设备为第六方面或第六方面的任意一种可能的实现方式中所描述的第二设备。
本发明实施例提供的一种证书管理方法、设备及系统，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种网络功能虚拟化系统结构示意图；
图2为本发明实施例提供的一种证书管理方法流程示意图；
图3为本发明实施例提供的另一种证书管理方法流程示意图；
图4为本发明另一实施例提供的一种证书管理方法流程示意图；
图5为本发明又一实施例提供的一种证书管理方法流程示意图；
图6为本发明再一实施例提供的一种证书管理方法流程示意图；
图7为本发明实施例提供的一种第一设备结构示意图；
图8为本发明实施例提供的一种第二设备结构示意图；
图9为本发明另一实施例提供的一种第一设备结构示意图；
图10为本发明另一实施例提供的一种第二设备结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方 案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明的实施例提供一种网络功能虚拟化系统，参照图1所示，该网络功能虚拟化系统10包括NFVO(Network Functions Virtualization Orchestrator，网络功能虚拟化编排器)101、VNFM(Virtualized Network Function Manager，虚拟网络功能管理器)102、VIM(Virtualised Infrastructure Manager，虚拟基础设备管理器)103、OSS/BSS(Operations and Business Support Systems，运营和业务支撑系统)104、EMS(Element Management System，网元管理系统)105、VNF 106、NFVI(Network Function Virtulization Infrastructure，网络功能虚拟化基础设施)107。
其中，NFVO 101，用于对NFV(Network Function Virtulization，网络功能虚拟化)的基础设施资源及软件资源进行网络侧的编排和管理，以及在NFVI 107上实现NFV业务拓扑。
VNFM 102，用于对VNF(Virtualised Network Function，虚拟网络功能)实例的生命周期进行管理。
VIM 103，用于控制和管理实现计算、存储和网络资源以及它们的虚拟化的实体。
OSS/BSS 104，用于网络管理、系统管理、计费、账务、客户服务等等。
EMS 105，管理一个或多个网络单元。
VNF 106，对应于传统非虚拟化网络中的PNF(Physical network function，物理网络功能)，如虚拟化的EPC(Evolved Packet Core，演进分组核心)节点，实现特定的网络功能。VNF可以由多个更低级别的组件，即VNFC(Virtualised Network Function Component，虚拟网络功能组件)来组成。一个VNF可以部署在多个VM(Virtual Machine，虚拟机)上，每个VM入驻(host)一个VNFC。
NFVI 107，由硬件资源、虚拟资源及虚拟层组成，是提供所需虚拟资源的实体。
基于上述图1所示的网络功能虚拟化系统10，本发明实施例提供一种证书管理方法，应用于第一设备，优选的，第一设备可以是图1所示的网络功能虚拟化系统10中的VNFM 102，或者，该第一设备也可以是EM(Element Management，网元管理器)。参照图2所示，本实施例提供的证书管理方法包括以下步骤：
201、第一设备获取第一实例的证书标识。
第一实例为终止的实例。可选的，第一实例可以是VNF实例或VNFC实例。第一实例的证书标识可以包括第一实例的证书序列号。
可选的，步骤201之前，第一设备可以接收第一实例发送的第一实例的证书信息，第一实例发送的第一实例的证书信息包括第一实例的标识及第一实例的证书标识；第一设备根据第一实例发送的第一实例的证书信息存储或更新第一实例的证书信息。
进一步可选的，在一种应用场景中，第一实例初始安装证书时，将第一实例的证书信息发送至第一设备。在另一种应用场景中，第一设备向第一实例查询证书信息，具体的，第一设备向第一实例发送查询消息，查询消息包括第一实例的标识；第一设备接收第一实例发送的上报消息，上报消息包含第一实例发送的第一实例的证书信息。
优选的，第一实例的标识包括第一实例的ID(Identifier，标识)，第一实例的ID可以是VNF ID，或VNFC ID，或VM ID，或VC ID(Virtual Container Identifier，虚拟容器标识)，第一实例的证书标识包括第一实例的证书序列号。
另外，可选的，第一设备终止第一实例有两种情况，以图1所示的网络功能虚拟化系统10为例，当然，本实施例只是以这两种情况为例进行说明，并不代表本发明局限于此。
第一种情况，网络功能虚拟化系统10主动终止第一实例，此时，第一设备接收第三设备发送的第二请求消息，第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例；第一设备根据第 二请求消息终止该第一实例。可选的，第一设备还可以向第三设备发送第二确认消息，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。优选的，第三设备可以是图1所示的网络功能虚拟化系统10中的NFVO 101。
第二种情况，第一实例因为崩溃等原因被动终止。
此时，可选的，第一设备检测到第一实例崩溃时，终止该第一实例。或者，可选的，第四设备检测到第一实例崩溃时，第一设备接收第四设备发送的第一指示信息，第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，第一指示信息由第四设备通过第五设备转发至第一设备；第一设备根据第一指示信息终止该第一实例。
可选的，第一设备还可以向第三设备发送第二确认消息。此处，优选的，在图1所示的网络功能虚拟化系统10中，第三设备可以是NFVO 101，第四设备可以是NFVI 107，第五设备可以是VIM 103。此时，可选的，第一设备可以向NFVI 107及VIM 103发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
202、第一设备根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息。
可选的，第一设备将第一实例的证书状态信息更新为撤销状态时，可以是第一设备在已经存储的CRL(Certificate Revocation List，证书吊销列表)中增加第一实例的证书标识，或者更新证书状态列表，在证书状态列表中将第一实例的证书状态更改为撤销状态。当然，此处只是举例说明两种具体的可实现方式，对于第一设备如何更新证书状态信息本发明不做限制。
或者，第一设备可以向第二设备发送第一请求消息，该第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。其中，本发明中的第二设备可以是CA(Certificate Authority，认证中心)/RA(Registration Authority，注册中心)，或OCSP(Online  Certificate Status Protocol，在线证书状态协议)服务器，或图1所示的网络功能虚拟化系统10中的NFVO 101。
对于步骤202，在通信系统中，哪个设备接收第一请求消息取决于哪个设备维护证书状态信息。如果是第一设备维护证书状态信息，则第一设备终止第一实例后直接更新证书状态信息即可；如果是NFVO 101维护证书状态信息，则第一设备将第一请求消息发送至NFVO 101；如果是CA/RA维护证书状态信息，则第一设备可以直接向CA/RA发送第一请求消息，或通过NFVO 101向CA/RA发送第一请求消息；如果是OCSP服务器维护证书状态信息，第一设备通过CA/RA转发，或通过NFVO 101及CA/RA转发，将证书撤销请求发送至OCSP服务器。
此处，值得说明的是，第一设备与第二设备之间可能不止一个中间节点，本发明对此不作限制。
另外，可选的，如果第一设备存储了第一实例的证书信息，当第一设备终止第一实例后，可以根据第一实例的证书标识删除第一实例的证书信息。
步骤202之后，可选的，如果第一设备向第二设备发送第一请求消息，则第一设备还可以接收第二设备发送的第一确认消息，第一确认消息用于指示确认撤销第一实例。
因为在每个证书使用之前，需要验证该证书是否合法，如果第一实例的证书被攻击者非法获取，这里，主要在于证书中的私钥被非法获取，通过本实施例的证书管理方法，在第一实例终止后，将第一实例的证书状态信息更改为撤销状态，如果第一实例的证书被攻击者非法获取，在使用之前，就能验证出该证书已经被撤销，无法使用该证书，避免了第一实例终止后，该第一实例的证书中的私钥可能被非法获取从而仿冒VNF实例身份，威胁网络系统的通信安全。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，这样，如 果第一实例的整数被攻击者非法获取，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2对应的实施例，本发明实施例提供另一种证书管理方法，应用于第二设备，可选的，第二设备可以是CA/RA、NFVO或OCSP(Online Certificate Status Protocol，在线证书状态协议)服务器。参照图3所示，包括以下步骤：
301、第二设备接收第一设备发送的第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。可选的，第一实例的证书标识包括第一实例的证书序列号。可选的，第一实例可以是VNF实例或VNFC实例。
可选的，结合图1所示的网络功能虚拟化系统10，当第二设备是CA/RA、第一设备为VNFM 102时，第一设备可以通过NFVO 101与第二设备进行信息传输。
或者，可选的，当第二设备是OCSP服务器、第一设备为VNFM 102时，第一设备和第二设备可以通过CA/RA进行信息传输，或者第一设备和第二设备可以通过NFVO 101和CA/RA进行信息传输。
302、第二设备根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
具体可选的，第二设备可以根据第一实例的证书标识在已经存储的CRL中增加第一实例的证书标识；或者第二设备更新证书状态列表，对于第二设备如何更新证书状态信息本发明不做限制。
可选的，第二设备还可以向第一设备发送第一确认消息，第一确认消息用于指示确认撤销第一实例。
因为在每个证书使用之前，需要验证该证书是否合法，如果第一 实例的证书被攻击者非法获取，这里，主要在于证书中的私钥被非法获取，通过本实施例的证书管理方法，在第一实例终止后，将第一实例的证书状态信息更改为撤销状态，如果第一实例的证书被攻击者非法获取，在使用之前，就能验证出该证书已经被撤销，无法使用该证书，避免了第一实例终止后，该第一实例的证书中的私钥可能被非法获取从而仿冒VNF实例身份，威胁网络系统的通信安全。
本发明实施例提供的证书管理方法，第二设备接收第一设备发送的第一请求消息，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2和图3对应的实施例，本发明另一实施例提供一种证书管理方法，本实施例以第一设备为VNFM，第二设备为CA/RA为例进行说明，当然，本实施例只是举例说明，并不代表本发明局限于此，第一设备也可以是EM，第二设备也可以是NFVO或OCSP服务器。参照图4所示，本实施例提供的证书管理方法包括以下步骤：
401、NFVO接收到终止第一实例的请求。
可选的，终止第一实例的请求来自OSS或者VNFM，或者EM触发VNFM发送该请求。值得说明的是，第一实例可以是VNF实例或VNFC实例。
可选的，NFVO可以验证该请求的有效性，也可以验证该VNF/VNFC实例是否存在。
402、NFVO向VNFM发送第二请求消息。
第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例。可选的，第一实例的标识包括第一实例的ID(Identifier，标识)，第一实例的ID可以是VNF ID，或VNFC ID，或VM ID，或 VC ID(Virtual Container Identifier，虚拟容器标识)。
403、VNFM终止第一实例。
具体的，VNFM根据第二请求消息中包含的第一实例的标识将对应的第一实例终止。
404、VNFM向NFVO发送第二确认消息。
可选的，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。
405、VNFM获取第一实例的证书标识。
可选的，VNFM可以根据存储的第一实例的证书信息获取第一实例的标识对应的第一实例的证书标识，并根据第一实例的证书标识确认要撤销的第一实例证书，第一实例的证书信息包括第一实例的标识及第一实例的证书标识。第一实例的证书标识包括第一实例的证书序列号。
406、VNFM向CA/RA发送第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。
407、CA/RA根据第一实例的证书标识更新CRL。
可选的，CA/RA根据第一实例的证书标识更新CRL。具体可选的，CA/RA在CRL中增加第一实例的证书标识。其中，可选的，CRL的更新间隔可能是固定的，CA/RA在收到VNFM发送的第一请求消息后，在下一个更新时刻发布更新的CRL，对此，本发明不做限制。
408、CA/RA向VNFM发送第一确认消息。
可选的，第一确认消息包含第一实例的证书标识，第一确认消息用于指示确认撤销第一实例的证书。
409、VNFM根据第一实例的证书标识删除第一实例的证书信息。
可选的，步骤404之后，还包括：
410、删除对第一实例配置的资源。
删除对第一实例配置的资源即为将分配给第一实例的资源回收。具体可选的，VIM删除该第一实例对应的资源，NFVI删除该第一实 例的证书及该第一实例的证书对应的密钥。特别地，如果有TPM(Trusted Platform Module，可信平台模块)等安全硬件存储的话，要在硬件中删除。
可选的，NFVO还可以向OSS/BSS或VNFM发送第一实例终止的确认消息。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2和图3对应的实施例，本发明又一实施例提供一种证书管理方法，本实施例以第一设备为VNFM，第二设备为CA/RA为例进行说明，当然，本实施例只是举例说明，并不代表本发明局限于此，第一设备也可以是EM，第二设备也可以是NFVO或OCSP服务器。参照图5所示，本实施例提供的证书管理方法包括以下步骤：
501、VNFM检测到第一实例崩溃时，终止第一实例。
可选的，第一实例可以是VNF实例或VNFC实例。
可选的，VNFM可以通过检测其与第一实例之间的心跳报文确定第一实例是否崩溃，在一种应用场景中，可选的，第一实例每隔一个时间周期向VNFM发送一个心跳报文，以此证明该第一实例运行正常，如果VNFM在规定的时间周期内没有接收到心跳报文，则证明第一实例崩溃，当然此处只是举例说明，并不代表本发明局限于此，另外，对于心跳报文发送的时间周期，本发明不做限制，可以根据具体情况自行设定。
502、VNFM向NFVO发送第二指示信息。
可选的，第二指示信息用于指示VIM删除第一实例对应的资源， 并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
503、删除对第一实例配置的资源。
删除对第一实例配置的资源即为将分配给第一实例的资源回收。具体可选的，VIM删除该第一实例对应的资源，NFVI删除该第一实例的证书及该第一实例的证书对应的密钥。特别地，如果有TPM等安全硬件存储的话，要在硬件中删除。
504、VNFM获取第一实例的证书标识。
可选的，VNFM可以根据存储的第一实例的证书信息获取第一实例的标识对应的第一实例的证书标识，并根据第一实例的证书标识确认要撤销的第一实例证书，第一实例的证书信息包括第一实例的标识及第一实例的证书标识。第一实例的证书标识包括第一实例的证书序列号。
505、VNFM向CA/RA发送第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。
具体可选的，VNFM将第一请求消息发送至NFVO，由NFVO将第一请求消息转发至CA/RA。
506、CA/RA根据第一实例的证书标识更新CRL。
可选的，CA/RA根据第一实例的证书标识更新CRL。具体可选的，CA/RA在CRL中增加第一实例的证书标识。其中，可选的，CRL的更新间隔可能是固定的，CA/RA在收到VNFM发送的第一请求消息后，在下一个更新时刻发布更新的CRL，对此，本发明不做限定。
507、CA/RA向VNFM发送第一确认消息。
具体可选的，CA/RA将第一确认消息发送至NFVO，由NFVO将第一确认消息转发至VNFM。可选的，第一确认消息包含第一实例的证书标识，第一确认消息用于指示确认撤销第一实例的证书。
VNFM接收到第一确认消息后，可以根据第一实例的证书标识删除第一实例的证书信息。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证 书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于图1所示的网络功能虚拟化系统10，结合上述图2和图3对应的实施例，本发明再一实施例提供一种证书管理方法，本实施例以第一设备为VNFM，第二设备为OCSP服务器为例进行说明，当然，本实施例只是举例说明，并不代表本发明局限于此，第一设备也可以是EM，第二设备也可以是NFVO或CA/RA。参照图6所示，本实施例提供的证书管理方法包括以下步骤：
601、NFVI检测到第一实例崩溃时，向VNFM发送第一指示信息。
第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，进一步可选的，第一实例可以是VNF实例或VNFC实例，第一实例的标识包括第一实例的ID(Identifier，标识)，第一实例的ID可以是VNF ID，或VNFC ID，或VM ID，或VC ID。
优选的，第一指示信息由VIM转发至VNFM。
602、VNFM向NFVO发送第二指示信息。
优选的，VNFM向VIM及NFVI发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。603、删除对第一实例配置的资源。
删除对第一实例配置的资源即为将分配给第一实例的资源回收。
具体可选的，VIM删除该第一实例对应的资源，NFVI删除该第一实例的证书及该第一实例的证书对应的密钥。特别地，如果有TPM等安全硬件存储的话，要在硬件中删除。
604、VNFM获取第一实例的证书标识。
可选的，VNFM可以根据存储的第一实例的证书信息获取第一实例的标识对应的第一实例的证书标识，并根据第一实例的证书标识确认要撤销的第一实例证书，第一实例的证书信息包括第一实例的标识及第一实例的证书标识。第一实例的证书标识包括第一实例的证书序列号。
605、VNFM向OCSP服务器发送第一请求消息。
第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
具体可选的，VNFM将第一请求消息发送至CA/RA，由CA/RA将第一请求消息转发至OCSP服务器。
606、OCSP服务器根据第一实例的证书标识更新证书状态列表。
具体可选的，OCSP服务器根据第一实例的整数标识在证书状态列表中将第一实例的证书状态更改为撤销状态。
607、OCSP服务器向VNFM发送第一确认消息。
具体可选的，OCSP服务器将第一确认消息发送至CA/RA，由CA/RA将第一确认消息转发至VNFM。可选的，第一确认消息包含第一实例的证书标识，第一确认消息用于指示确认撤销第一实例的证书。
VNFM接收到第一确认消息后，可以根据第一实例的证书标识删除第一实例的证书信息。
本发明实施例提供的证书管理方法，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图2对应的实施例，本发明实施例提供一种第一设备，用于执行上述图2对应的实施例中所描述的证书管理方法，优选的， 应用于图1所示的网络功能虚拟化系统10中，该第一设备可以是VNFM 102，或者，该第一设备也可以是EM。参照图7所示，该第一设备70包括：获取单元701，证书管理单元702以及发送单元703。
其中，获取单元701，用于获取第一实例的证书标识，第一实例为终止的实例。
在获取单元701获取第一实例的证书标识后，
证书管理单元702，用于根据获取单元701获取的第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
或者，发送单元703，用于向第二设备发送第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于指示撤销第一实例的证书。
第一设备70还可以包括接收单元704。
可选的，在第一种应用场景中，
接收单元704，用于接收第一实例发送的第一实例的证书信息，第一实例发送的第一实例的证书信息包括第一实例的标识及第一实例的证书标识。
证书管理单元702，还用于根据接收单元704接收的第一实例发送的第一实例的证书信息存储或更新第一实例的证书信息。
可选的，第一实例的标识包括第一实例的ID，第一实例的证书标识包括第一实例的证书序列号。
进一步可选的，第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
可选的，发送单元703，还用于向第一实例发送查询消息，查询消息包括第一实例的标识。
接收单元704，还用于接收第一实例发送的上报消息，上报消息包含第一实例发送的第一实例的证书信息。
可选的，在第二种应用场景中，
接收单元704，用于接收第三设备发送的第二请求消息，第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例。
第一设备70还包括实例管理单元705，用于根据接收单元704接收的第二请求消息终止第一实例。
进一步可选的，发送单元703，还用于向第三设备发送第二确认消息，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。
第三设备可以是网络功能虚拟化编排器NFVO。
可选的，在第三种应用场景中，
接收单元704，用于接收第四设备发送的第一指示信息，第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，第一指示信息由第四设备通过第五设备转发至第一设备。
可选的，第四设备为网络功能虚拟化基础设施NFVI，第五设备为虚拟基础设备管理器VIM。
可选的，发送单元703，还用于向VIM及NFVI发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
或者，可选的，实例管理单元705，用于当检测到第一实例崩溃时，第一设备终止第一实例。
另外，可选的，接收单元704，还可以用于接收第二设备发送的第一确认消息，第一确认消息用于指示确认撤销第一实例。
可选的，证书管理单元702，还用于根据第一实例的证书标识删除第一实例的证书信息。
可选的，证书管理单元702，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
可选的，第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
可选的，第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
本发明实施例提供的第一设备，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图3对应的实施例，本发明实施例提供一种第二设备，用于执行上述图3对应的实施例中所描述的证书管理方法，参照图8所示，该第二设备80包括：接收单元801和证书管理单元802。
其中，接收单元801，用于接收第一设备发送的第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
证书管理单元802，用于根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
可选的，证书管理单元802，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
在一种应用场景中，第二设备80还包括发送单元803，用于向第一设备发送第一确认消息，第一确认消息用于指示确认撤销第一实例。
可选的，第一实例为VNF实例或虚拟网络功能组件VNFC实例。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
本发明实施例提供的第二设备，第二设备接收第一设备发送的第一请求消息，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可 能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图2对应的实施例，本发明另一实施例提供一种第一设备，用于执行上述图2对应的实施例中所描述的证书管理方法，优选的，应用于图1所示的网络功能虚拟化系统10中，该第一设备可以是VNFM 102，或者，该第一设备也可以是EM。参照图9所示，该第一设备90包括：至少一个处理器901、存储器902、总线903和发送器904，该至少一个处理器901、存储器902和发送器904通过总线903连接并完成相互间的通信。
该总线903可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(Peripheral Component，外部设备互连)总线或EISA(Extended Industry Standard Architecture，扩展工业标准体系结构)总线等。该总线903可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中：
存储器902用于执行本发明方案的应用程序代码，执行本发明方案的应用程序代码保存在存储器中，并由处理器901来控制执行。
该存储器可以是只读存储器ROM或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器RAM或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器EEPROM、只读光盘CD-ROM或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。这些存储器通过总线与处理器相连接。
处理器901可能是一个中央处理器901(Central Processing Unit，简称为CPU)，或者是特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者是被配置成实施本发明实施例的一个或多个集成电路。
处理器901，用于调用存储器902中的程序代码，在一种可能的实施方式中，当上述应用程序被所述处理器901执行时，实现如下功能。
处理器901，用于获取第一实例的证书标识，第一实例为终止的实例。
在处理器901获取第一实例的证书标识后，
处理器901，还用于根据获取的第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
或者，发送器904，用于向第二设备发送第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
第一设备90还可以包括接收器905，
可选的，在第一种应用场景中，
接收器905，用于接收第一实例发送的第一实例的证书信息，第一实例发送的第一实例的证书信息包括第一实例的标识及第一实例的证书标识。
处理器901，还用于根据接收器905接收的第一实例发送的第一实例的证书信息存储或更新第一实例的证书信息。
可选的，第一实例的标识包括第一实例的ID，第一实例的证书标识包括第一实例的证书序列号。
可选的，第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
可选的，发送器904，还用于向第一实例发送查询消息，查询消息包括第一实例的标识。
接收器905，还用于接收第一实例发送的上报消息，上报消息包含第一实例发送的第一实例的证书信息。
可选的，在第二种应用场景中，
接收器905，用于接收第三设备发送的第二请求消息，第二请求消息包含第一实例的标识，第二请求消息用于指示终止第一实例。
处理器901，还用于根据接收器905接收的第二请求消息终止第一实例。
可选的，发送器904，还用于向第三设备发送第二确认消息，第二确认消息包含第一实例的标识，第二确认消息用于指示确认终止第一实例。
进一步可选的，第三设备为网络功能虚拟化编排器NFVO。
可选的，在第三种应用场景中，
接收器905，用于接收第四设备发送的第一指示信息，第一指示信息用于指示第一实例崩溃，第一指示信息包含第一实例的标识，第一指示信息由第四设备通过第五设备转发至第一设备。
可选的，第四设备为网络功能虚拟化基础设施NFVI，第五设备为虚拟基础设备管理器VIM。
进一步可选的，发送器904，还用于向VIM及NFVI发送第二指示信息，第二指示信息用于指示VIM删除第一实例对应的资源，并指示NFVI删除第一实例的证书及第一实例的证书对应的密钥。
或者，可选的，处理器901，还用于当检测到第一实例崩溃时，第一设备终止第一实例。
可选的，处理器901，还用于根据第一实例的证书标识删除第一实例的证书信息。
可选的，处理器901，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
可选的，第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
可选的，第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
本发明实施例提供的第一设备，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销 状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图3对应的实施例，本发明另一实施例提供一种第二设备，用于执行上述图3对应的实施例中所描述的证书管理方法，参照图10所示，该第二设备100包括：至少一个处理器1001、存储器1002、总线1003和接收器1004，该至少一个处理器1001、存储器1002和接收器1004通过总线1003连接并完成相互间的通信。
该总线1003可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(Peripheral Component，外部设备互连)总线或EISA(Extended Industry Standard Architecture，扩展工业标准体系结构)总线等。该总线1003可以分为地址总线、数据总线、控制总线等。为便于表示，图10中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。其中：
存储器1002用于执行本发明方案的应用程序代码，执行本发明方案的应用程序代码保存在存储器中，并由处理器1001来控制执行。
该存储器可以是只读存储器ROM或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器RAM或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器EEPROM、只读光盘CD-ROM或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。这些存储器通过总线与处理器相连接。
处理器1001可能是一个中央处理器1001(Central Processing Unit，简称为CPU)，或者是特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者是被配置成实施本发明实施 例的一个或多个集成电路。
处理器1001，用于调用存储器1002中的程序代码，在一种可能的实施方式中，当上述应用程序被所述处理器1001执行时，实现如下功能。
接收器1004，用于接收第一设备发送的第一请求消息，第一请求消息包含第一实例的证书标识，第一请求消息用于请求撤销第一实例的证书。
处理器1001，用于根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态。
可选的，处理器1001，具体用于在已经存储的证书吊销列表CRL中增加第一实例的证书标识。
可选的，在一种应用场景中，第二设备100还包括发送器1005，用于向第一设备发送第一确认消息，第一确认消息用于指示确认撤销第一实例。
可选的，第一实例为VNF实例或虚拟网络功能组件VNFC实例。
可选的，第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
可选的，第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
本发明实施例提供的第二设备，第二设备接收第一设备发送的第一请求消息，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
基于上述图2、图3、图4、图5和图6对应的实施例，本发明实施例提供一种虚拟网络系统，用于执行上述图2、图3、图4、图5和图6对应的实施例中所描述的证书管理方法，结合图1所示的网络 功能虚拟化系统10，优选的，本实施例提供的虚拟网络系统可以包含图1所示的网络功能虚拟化系统，本实施例提供的虚拟网络系统包括：第一设备和第二设备。
其中，第一设备为图7对应的实施例中所描述的第一设备，第二设备为图8对应的实施例中所描述的第二设备。
或者，第一设备为图9对应的实施例中所描述的第一设备，第二设备为图10对应的实施例中所描述的第二设备。
本发明实施例提供的虚拟网络系统，第一设备获取第一实例的证书标识，根据第一实例的证书标识将第一实例的证书状态信息更新为撤销状态，或者，第一设备向第二设备发送第一请求消息，当使用非法获取的第一实例的证书时，可以验证出该第一实例的证书已经被撤销，获取到第一实例的证书也无法使用，解决了虚拟网络系统中VNF实例终止后，VNF实例证书对应的私钥可能被攻击者非法获取，从而仿冒VNF实例身份，导致虚拟网络系统的通信安全降低的问题。
通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可以用硬件实现，或固件实现，或它们的组合方式来实现。当使用软件实现时，可以将上述功能存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。以此为例但不限于：计算机可读介质可以包括RAM(Random Access Memory，随机存储器)、ROM(Read Only Memory，只读内存)、EEPROM(Electrically Erasable Programmable Read Only Memory，电可擦可编程只读存储器)、CD-ROM(Compact Disc Read Only Memory，即只读光盘)或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。此外。任何连接可以适当的成为计算机可读介质。例如，如果软件是使用同轴电缆、光纤光缆、双绞线、DSL(Digital Subscriber Line，数 字用户专线)或者诸如红外线、无线电和微波之类的无线技术从网站、服务器或者其他远程源传输的，那么同轴电缆、光纤光缆、双绞线、DSL或者诸如红外线、无线和微波之类的无线技术包括在所属介质的定影中。如本发明所使用的，盘和碟包括CD(Compact Disc，压缩光碟)、激光碟、光碟、DVD碟(Digital Versatile Disc，数字通用光)、软盘和蓝光光碟，其中盘通常磁性的复制数据，而碟则用激光来光学的复制数据。上面的组合也应当包括在计算机可读介质的保护范围之内。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (73)

  1. 一种证书管理方法，其特征在于，应用于虚拟网络系统，包括：
    第一设备获取第一实例的证书标识，所述第一实例为终止的实例；
    所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，或者，所述第一设备向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
  2. 根据权利要求1所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之前，还包括：
    所述第一设备接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
    所述第一设备根据所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
  3. 根据权利要求2所述的方法，其特征在于，
    所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
  4. 根据权利要求3所述的方法，其特征在于，
    所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
  5. 根据权利要求2-4任一项所述的方法，其特征在于，所述第一设备接收第一实例发送的第一实例的证书信息之前，还包括：
    所述第一设备向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
    所述第一设备接收第一实例发送的第一实例的证书信息，包括：
    所述第一设备接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
  6. 根据权利要求1所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之前，还包括：
    所述第一设备接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
    所述第一设备根据所述第二请求消息终止所述第一实例。
  7. 根据权利要求6所述的方法，其特征在于，所述第一设备根据所述第二请求消息终止所述第一实例之后，还包括：
    所述第一设备向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
  8. 根据权利要求6或7所述的方法，其特征在于，
    所述第三设备为网络功能虚拟化编排器NFVO。
  9. 根据权利要求1所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之前，还包括：
    所述第一设备接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
  10. 根据权利要求9所述的方法，其特征在于，
    所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
  11. 根据权利要求10所述的方法，其特征在于，所述第一设备接收第四设备发送的第一指示信息之后，还包括：
    所述第一设备向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
  12. 根据权利要求1所述的方法，其特征在于，所述第一设备获 取第一实例的证书标识之前，还包括：
    当所述第一设备检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
  13. 根据权利要求1所述的方法，其特征在于，所述第一设备向第二设备发送第一请求消息之后，还包括：
    所述第一设备接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  14. 根据权利要求1-13任一项所述的方法，其特征在于，所述第一设备获取第一实例的证书标识之后，还包括：
    所述第一设备根据所述第一实例的证书标识删除所述第一实例的证书信息。
  15. 根据权利要求1-14任一项所述的方法，其特征在于，所述第一设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
    所述第一设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  16. 根据权利要求1-15任一项所述的方法，其特征在于，
    所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
  17. 根据权利要求1-16任一项所述的方法，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  18. 根据权利要求1-17任一项所述的方法，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  19. 一种证书管理方法，其特征在于，应用于虚拟网络系统，包括：
    第二设备接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
    所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
  20. 根据权利要求19所述的方法，其特征在于，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态，包括：
    所述第二设备在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  21. 根据权利要求19或20所述的方法，其特征在于，所述第二设备根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态之后，还包括：
    所述第二设备向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  22. 根据权利要求19-21任一项所述的方法，其特征在于，
    所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
  23. 根据权利要求19-22任一项所述的方法，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  24. 根据权利要求19-23任一项所述的方法，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  25. 一种第一设备，其特征在于，应用于虚拟网络系统，包括：
    获取单元，用于获取第一实例的证书标识，所述第一实例为终止的实例；
    在所述获取单元获取第一实例的证书标识后，
    证书管理单元，用于根据所述获取单元获取的所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态；
    或者，发送单元，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
  26. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
    所述证书管理单元，还用于根据所述接收单元接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
  27. 根据权利要求26所述的设备，其特征在于，
    所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
  28. 根据权利要求27所述的设备，其特征在于，
    所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
  29. 根据权利要求26-28任一项所述的设备，其特征在于，
    所述发送单元，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
    所述接收单元，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
  30. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
    所述第一设备还包括实例管理单元，用于根据所述接收单元接收的所述第二请求消息终止所述第一实例。
  31. 根据权利要求30所述的设备，其特征在于，
    所述发送单元，还用于向所述第三设备发送第二确认消息，所述第二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
  32. 根据权利要求30或31所述的设备，其特征在于，
    所述第三设备为网络功能虚拟化编排器NFVO。
  33. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
  34. 根据权利要求33所述的设备，其特征在于，
    所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
  35. 根据权利要求34所述的设备，其特征在于，
    所述发送单元，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
  36. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括实例管理单元，用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
  37. 根据权利要求25所述的设备，其特征在于，
    所述第一设备还包括接收单元，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  38. 根据权利要求25-37任一项所述的设备，其特征在于，
    所述证书管理单元，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
  39. 根据权利要求25-38任一项所述的设备，其特征在于，
    所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  40. 根据权利要求25-39任一项所述的设备，其特征在于，
    所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
  41. 根据权利要求25-40任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  42. 根据权利要求25-41任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  43. 一种第二设备，其特征在于，应用于虚拟网络系统，包括：
    接收单元，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
    证书管理单元，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
  44. 根据权利要求43所述的设备，其特征在于，
    所述证书管理单元，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  45. 根据权利要求43或44所述的设备，其特征在于，
    所述第二设备还包括发送单元，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  46. 根据权利要求43-45任一项所述的设备，其特征在于，
    所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
  47. 根据权利要求43-46任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  48. 根据权利要求43-47任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  49. 一种第一设备，其特征在于，应用于虚拟网络系统，包括：处理器、存储器、总线、发送器，所述处理器、所述存储器及所述发送器通过所述总线相互连接；
    其中，所述处理器，用于获取第一实例的证书标识，所述第一实例为终止的实例；
    在所述处理器获取第一实例的证书标识后，
    所述处理器，还用于根据获取的所述第一实例的证书标识将所述 第一实例的证书状态信息更新为撤销状态；
    或者，所述发送器，用于向第二设备发送第一请求消息，所述第一请求消息包含所述第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书。
  50. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收第一实例发送的第一实例的证书信息，所述第一实例发送的第一实例的证书信息包括所述第一实例的标识及所述第一实例的证书标识；
    所述处理器，还用于根据所述接收器接收的所述第一实例发送的第一实例的证书信息存储或更新所述第一实例的证书信息。
  51. 根据权利要求50所述的设备，其特征在于，
    所述第一实例的标识包括所述第一实例的ID，所述第一实例的证书标识包括所述第一实例的证书序列号。
  52. 根据权利要求51所述的设备，其特征在于，
    所述第一实例的ID为虚拟网络功能VNF ID，或虚拟网络功能组件VNFC ID，或虚拟机VM ID，或虚拟容器VC ID。
  53. 根据权利要求50-52任一项所述的设备，其特征在于，
    所述发送器，还用于向所述第一实例发送查询消息，所述查询消息包括所述第一实例的标识；
    所述接收器，还用于接收所述第一实例发送的上报消息，所述上报消息包含所述第一实例发送的第一实例的证书信息。
  54. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收第三设备发送的第二请求消息，所述第二请求消息包含所述第一实例的标识，所述第二请求消息用于指示终止所述第一实例；
    所述处理器，还用于根据所述接收器接收的所述第二请求消息终止所述第一实例。
  55. 根据权利要求54所述的设备，其特征在于，
    所述发送器，还用于向所述第三设备发送第二确认消息，所述第 二确认消息包含所述第一实例的标识，所述第二确认消息用于指示确认终止所述第一实例。
  56. 根据权利要求54或55所述的设备，其特征在于，
    所述第三设备为网络功能虚拟化编排器NFVO。
  57. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收第四设备发送的第一指示信息，所述第一指示信息用于指示所述第一实例崩溃，所述第一指示信息包含所述第一实例的标识，所述第一指示信息由所述第四设备通过第五设备转发至所述第一设备。
  58. 根据权利要求57所述的设备，其特征在于，
    所述第四设备为网络功能虚拟化基础设施NFVI，所述第五设备为虚拟基础设备管理器VIM。
  59. 根据权利要求58所述的设备，其特征在于，
    所述发送器，还用于向所述VIM及所述NFVI发送第二指示信息，所述第二指示信息用于指示所述VIM删除所述第一实例对应的资源，并指示所述NFVI删除所述第一实例的证书及所述第一实例的证书对应的密钥。
  60. 根据权利要求49所述的设备，其特征在于，
    所述处理器，还用于当检测到所述第一实例崩溃时，所述第一设备终止所述第一实例。
  61. 根据权利要求49所述的设备，其特征在于，
    所述第一设备还包括接收器，用于接收所述第二设备发送的第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  62. 根据权利要求49-61任一项所述的设备，其特征在于，
    所述处理器，还用于根据所述第一实例的证书标识删除所述第一实例的证书信息。
  63. 根据权利要求49-62任一项所述的设备，其特征在于，
    所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  64. 根据权利要求49-63任一项所述的设备，其特征在于，
    所述第一实例为虚拟网络功能VNF实例或虚拟网络功能组件VNFC实例。
  65. 根据权利要求49-64任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  66. 根据权利要求49-65任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  67. 一种第二设备，其特征在于，应用于虚拟网络系统，包括：处理器、存储器、总线及接收器，所述处理器、所述存储器及所述接收器通过所述总线相互连接；
    其中，所述接收器，用于接收第一设备发送的第一请求消息，所述第一请求消息包含第一实例的证书标识，所述第一请求消息用于请求撤销所述第一实例的证书；
    所述处理器，用于根据所述第一实例的证书标识将所述第一实例的证书状态信息更新为撤销状态。
  68. 根据权利要求67所述的设备，其特征在于，
    所述处理器，具体用于在已经存储的证书吊销列表CRL中增加所述第一实例的证书标识。
  69. 根据权利要求67或68所述的设备，其特征在于，
    所述第二设备还包括发送器，用于向所述第一设备发送第一确认消息，所述第一确认消息用于指示确认撤销所述第一实例。
  70. 根据权利要求67-69任一项所述的设备，其特征在于，
    所述第一实例为VNF实例或虚拟网络功能组件VNFC实例。
  71. 根据权利要求67-70任一项所述的设备，其特征在于，
    所述第二设备为证书中心CA/注册中心RA，或NFVO，或在线证书状态协议OCSP服务器。
  72. 根据权利要求67-71任一项所述的设备，其特征在于，
    所述第一设备为虚拟网络功能管理器VNFM或网元管理器EM。
  73. 一种虚拟网络系统，其特征在于，包括：第一设备及第二设备；
    其中，所述第一设备为权利要求25-42任一项所述的第一设备，所述第二设备为权利要求43-48任一项所述的第二设备；
    或者，所述第一设备为权利要求49-66任一项所述的第一设备，所述第二设备为权利要求67-72任一项所述的第二设备。
PCT/CN2015/072565 2015-02-09 2015-02-09 一种证书管理方法、设备及系统 WO2016127294A1 (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP15881456.6A EP3247080B1 (en) 2015-02-09 2015-02-09 Certificate management method, device and system
JP2017541765A JP2018511206A (ja) 2015-02-09 2015-02-09 証明書管理方法、デバイス、及びシステム
CN201580016066.2A CN106464667B (zh) 2015-02-09 2015-02-09 一种证书管理方法、设备及系统
PCT/CN2015/072565 WO2016127294A1 (zh) 2015-02-09 2015-02-09 一种证书管理方法、设备及系统
US15/673,075 US10581619B2 (en) 2015-02-09 2017-08-09 Certificate management method, device, and system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2015/072565 WO2016127294A1 (zh) 2015-02-09 2015-02-09 一种证书管理方法、设备及系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/673,075 Continuation US10581619B2 (en) 2015-02-09 2017-08-09 Certificate management method, device, and system

Publications (1)

Publication Number Publication Date
WO2016127294A1 true WO2016127294A1 (zh) 2016-08-18

Family

ID=56614220

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/072565 WO2016127294A1 (zh) 2015-02-09 2015-02-09 一种证书管理方法、设备及系统

Country Status (5)

Country Link
US (1) US10581619B2 (zh)
EP (1) EP3247080B1 (zh)
JP (1) JP2018511206A (zh)
CN (1) CN106464667B (zh)
WO (1) WO2016127294A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10469359B2 (en) * 2016-11-03 2019-11-05 Futurewei Technologies, Inc. Global resource orchestration system for network function virtualization
US10318723B1 (en) * 2016-11-29 2019-06-11 Sprint Communications Company L.P. Hardware-trusted network-on-chip (NOC) and system-on-chip (SOC) network function virtualization (NFV) data communications
JP6900870B2 (ja) * 2017-10-13 2021-07-07 コニカミノルタ株式会社 情報処理装置、情報処理装置の制御方法、およびプログラム
CN114880078A (zh) 2018-06-05 2022-08-09 华为技术有限公司 管理容器服务的方法和装置
DK3868057T3 (da) * 2018-11-19 2022-12-05 Ericsson Telefon Ab L M Styring af anvendelsesovervågningsdata
US11764978B2 (en) * 2021-01-27 2023-09-19 Salesforce, Inc. Method and system for certificate management
CN115942314A (zh) * 2021-08-06 2023-04-07 华为技术有限公司 一种证书管理方法和装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102823217A (zh) * 2010-04-01 2012-12-12 诺基亚西门子通信公司 证书机构
CN103838987A (zh) * 2013-06-24 2014-06-04 电子科技大学 一种基于局域网的软件许可证动态授权管理方法
CN104050045A (zh) * 2014-06-27 2014-09-17 华为技术有限公司 基于磁盘io的虚拟资源分配方法及装置
WO2014176105A1 (en) * 2013-04-22 2014-10-30 Cisco Technology, Inc. App store portal providing point-and-click deployment of third-party virtualized network functions

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6026492A (en) * 1997-11-06 2000-02-15 International Business Machines Corporation Computer system and method to disable same when network cable is removed
EP1488595B1 (en) 2002-03-20 2007-08-08 Research In Motion Limited Certificate information storage system and method
JP4915182B2 (ja) * 2006-09-12 2012-04-11 コニカミノルタホールディングス株式会社 情報の管理方法及び情報処理装置
US9003201B2 (en) * 2008-02-26 2015-04-07 David Pohm Hardware protection for encrypted strings and protection of security parameters
US8341625B2 (en) * 2008-05-29 2012-12-25 Red Hat, Inc. Systems and methods for identification and management of cloud-based virtual machines
CN101572707B (zh) * 2009-05-31 2012-08-08 成都市华为赛门铁克科技有限公司 一种证书状态的验证方法、装置和系统
WO2014160479A1 (en) * 2013-03-13 2014-10-02 Arizona Board Of Regents, A Body Corporate Of The State Of Arizona, Acting For And On Behalf Of Arizone State University Systems and apparatuses for a secure mobile cloud framework for mobile computing and communication
US20140052877A1 (en) 2012-08-16 2014-02-20 Wenbo Mao Method and apparatus for tenant programmable logical network for multi-tenancy cloud datacenters
WO2014094857A1 (en) * 2012-12-20 2014-06-26 Telefonaktiebolaget L M Ericsson (Publ) Technique for enabling a client to provide a server entity
US8966260B1 (en) * 2013-01-30 2015-02-24 Palo Alto Networks, Inc. Credentials management in large scale virtual private network deployment
EP2782291A1 (en) 2013-03-20 2014-09-24 Wolting Holding B.V. Compiler for and method of software defined networking
CN103257934B (zh) 2013-04-12 2016-02-10 广东数字证书认证中心有限公司 数字证书的存储、获取方法和装置
CN108156180B (zh) * 2013-06-08 2021-04-09 科大国盾量子技术股份有限公司 一种基于Android智能移动终端的通信密钥分配方法
US9645899B1 (en) * 2013-12-19 2017-05-09 Amdocs Software Systems Limited System, method, and computer program for managing fault recovery in network function virtualization (NFV) based networks
US9460286B1 (en) * 2013-12-19 2016-10-04 Amdocs Software Systems Limited System, method, and computer program for managing security in a network function virtualization (NFV) based communication network
US9158909B2 (en) 2014-03-04 2015-10-13 Amazon Technologies, Inc. Authentication of virtual machine images using digital certificates
WO2015146355A1 (ja) * 2014-03-28 2015-10-01 株式会社Ｎｔｔドコモ 更新管理システムおよび更新管理方法
CN104580208B (zh) 2015-01-04 2018-11-30 华为技术有限公司 一种身份认证方法及装置
JP6388038B2 (ja) * 2015-02-03 2018-09-12 日本電気株式会社 仮想ネットワークシステム、仮想ネットワーク制御方法、統合制御装置、制御装置およびその制御方法と制御プログラム
CN104980438B (zh) * 2015-06-15 2018-07-24 中国科学院信息工程研究所 一种虚拟化环境中数字证书撤销状态检查的方法和系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102823217A (zh) * 2010-04-01 2012-12-12 诺基亚西门子通信公司 证书机构
WO2014176105A1 (en) * 2013-04-22 2014-10-30 Cisco Technology, Inc. App store portal providing point-and-click deployment of third-party virtualized network functions
CN103838987A (zh) * 2013-06-24 2014-06-04 电子科技大学 一种基于局域网的软件许可证动态授权管理方法
CN104050045A (zh) * 2014-06-27 2014-09-17 华为技术有限公司 基于磁盘io的虚拟资源分配方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3247080A4 *

Also Published As

Publication number Publication date
US10581619B2 (en) 2020-03-03
JP2018511206A (ja) 2018-04-19
CN106464667A (zh) 2017-02-22
EP3247080B1 (en) 2020-06-03
CN106464667B (zh) 2020-01-10
EP3247080A4 (en) 2018-01-31
US20170338968A1 (en) 2017-11-23
EP3247080A1 (en) 2017-11-22

Similar Documents

Publication Publication Date Title
WO2016127294A1 (zh) 一种证书管理方法、设备及系统
US11695757B2 (en) Fast smart card login
US11641361B2 (en) Dynamic access control to network resources using federated full domain logon
US10122703B2 (en) Federated full domain logon
US20170054565A1 (en) Certificate Acquiring Method and Device
KR102533536B1 (ko) 사설 네트워크 간의 통신을 위한 방법， 장치， 전자 기기 및 저장 매체
JP2020514863A (ja) 証明書取得方法、認証方法及びネットワークデバイス
US11757827B2 (en) Network security from host and network impersonation
EP3737129A1 (en) Management method for offline management instruction and terminal
CN110121857B (zh) 一种凭据分发的方法和设备
CN105453519A (zh) 一种信息安全验证方法及设备
CN112333214B (zh) 一种用于物联网设备管理的安全用户认证方法及系统
US20220394028A1 (en) Flexible authentication service for iot devices accommodating non-ip environments
US11171786B1 (en) Chained trusted platform modules (TPMs) as a secure bus for pre-placement of device capabilities
CN111988263B (zh) 容器服务管理方法及容器管理器、虚拟网络功能实例和虚拟网络功能管理器
WO2018120182A1 (zh) 一种秘密信息的分发方法和设备
TW202019189A (zh) 用於裝置連線之雲端平台及裝置連線方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15881456

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017541765

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

REEP Request for entry into the european phase

Ref document number: 2015881456

Country of ref document: EP