（计算机应用技术专业论文）基于web+service的ocsp服务在电子政务中的研究与实现.pdf

原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独立进 行研究所取得的成果。除文中已经注明引用的内容外，本论文不包含任何 其他个人或集体已经发表或撰写过的科研成果。对本文的研究作出重要贡 献的个人和集体，均已在文中以明确方式标明。本声明的法律责任由本人 承担。 论文作者签名：堡垒缝日期：垫! 三竺兰 关于学位论文使用授权的声明 本人完全了解山东大学有关保留、使用学位论文的规定，同意学校保 留或向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅 和借阅；本人授权山东大学可以将本学位论文的全部或部分内容编入有关 数据库进行检索，可以采用影印、缩印或其他复制手段保存论文和汇编本 学位论文。 ( 保密论文在解密后应遵守此规定) 论文作者签名：g 如蕾轫导师签名：论文作者签名：垫生型导师签名： 日期： 如r 红厂 山东大学硕士学位论文 基于w e bs e r v i c e 的o c s p 服务在电子政务 中的研究与实现 摘要 我国政府近年来加大力度进行电子政务建设并已经取得了 一定的成果。威海作为信息产业部“信息化试点城市”及山东 省“数字化试点城市”，政府投入大量资金进行电子政务应用系 统的建设。p k i ( p u b lick e yin f r a s t r u c t u r e ) 系统为电子政 务服务安全提供了基础设施。其中，作为p k i 的核心实体c a ( c c r t i f i c a t ea u t h o r i t y ) 系统的建设面梳的主要问题为：由于 各政府部门往往根据自身情况与需要，采用不同的技术标准和 不同的软件平台，并由不同的软件提供商开发产生的不可互操 作问题。 基于p k i x o c s p ( 0 n l i t i ec e r t i f i c a t es t a t u sp r o t o c 0 1 ) 的 o c s p 服务同步于c a 中心l d a p ( l i g h t w e i g h td i r e c t o r ya c c e s s p r o t o c 0 1 ) 目录服务器中所发布的证书和c r l ( c e r t i f i c a t e r e v o c a t i or ll is t ) 数据，提供了证书状态在线查询功能的管理 功能。o c s p 服务克服了基于c r l 撤销机制的局跟性，并且为证书 状态查询提供了即时的最新响应。o c s p i p i t 务系统作为威海电子 政务c a 系统中的一部分，也必须要解决上述的跨平台异构系统 的不可操作性问题。同时，因为在客户端与o c s p 服务器之间通 常会有防火墙和代理服务器，所以也存在通信障碍的问题。 针对以上两种问题，o c s p 月t 务系统设计采用客户机服务器 模式，实现时客户端采用w e bs e r v ic e 技术，把o c s p 提供的在线 证书状态查询功能封装成w e b 服务。w e bs e r v ic e 技术将o c s p 服 务构件化，利用u d d i ( u n iv e r s a ld e s c r i p t i 0 1 1 ，d is c o v e r ya n d 1 1 1 t e g r a t i or 1 ) 协议将其发布，通过简单对象访问协议s o a p ( s i m p leo b j e c ta c c e s sp r o t o c 0 1 ) 和标准网络协议对o c s p 服务构件进行调用。基于w e bs e r v ic e 技术的o c s p 服务系统实 山东大学硕士学位论文 现了以下特性；o c s p 服务系统的可跨平台性；实现了o c s p 服 务器与客户端之间可跨越防火墙或代理服务器的通信：o c s p 服 务构件可以在in t e r n e t 范围内被动态定位和使用，从而实现了 与其他应用程序的平滑集成与互操作，方便了电子政务系统的 扩充或升级。w e bs e r v i c e 提供了一种非常理想的、可动态扩展 的、灵活的分布式计算模式，在此基础上构建的电子政务服务 框架可以得到很大程度上的简化。 论文主要内容分为四个部分，第一部分概述了电子政务的 概念和当前发展情况，分析了威海市电子政务建设的目标和面 临的问题，为o c s p 研究的应用背景；第二部分为p k i x - o c s p 详 细分析，以及与其他几种证书分发机制的比较，并得出在o c s p 服务在实现时的一点改进；第三部分为c a 系统的设计与实现， 使用w e bs e r v ic e 技术具体实现o c s p 服务系统；第四部分为 o c s p 服务在电子政务中的应用以及基于w e b 方式、c 1 i e n t 应用 程序的两种应用测试。 在电子政务系统的平台和应用系统的开发建设中，可信w e b s e r r i c e 平台和w e bs e r v ic e 构件已逐渐成为先进和主流。w e b s e r v ic e 技术在c a 系统中的开发和使用，将服务构件化，对c a 系统向着一个基于标准和互操作性的方向发展具有一定的促进 作用。 2 关键字：p k i ：o c s p ：w e bs e r v ic e ：电子政务 山东大学硕士学位论文 r e s e a r c ha n dlm p l e m e n t a tio no fo c s ps e r v ic eb a s e do n w e bs e r vic eine g o v e r n m e n t a b s t r a c t c h i n e s eg o v e r n m e n ti sm a k i n gg r e a te f f o r t s t oc o n s t r u c t e g o v e r n m e n ta n dh a sm a d eag r e a t a c h i e v e m e n t a sa n e x p e r i m e n t a lc i t yi ni n f o r m a t i o na n dd a t ac o n s t r u c t i o nc a l l e db y t h ei n f o r m a t i o ni n d u s t r yd e p a r t m e n ta n ds h a n d o n gp r o v i n c e ， w c i h a ic i t ys p e n d sal o to fm o n e y0 nt h ee - g o v e r n m e n ts y s t e m c o n s t r u c t i o n p u b l i c k e y i n f r a s t r u c t u r e s y s t e mp r o v i d e s t h e b a s i ci n f r a s t r u c t u r ef o rt h es e c u r i t yo fe g o v e r n m e n ts e r v i c e s a st h ek e ye n t i t yo fp k i ，c e r t i f i c a t ea u t h o r i t ys y s t e mf a c e st h e m a i nf o l l o w i n gp r o b l e m ：t h e s eg o v e r n m e n td e p a r t m e n t su s u a l l y a d o p t d i f f e r e n t t e c h n o l o g i e s a n dd e v e l o p m e n tp l a t f o r m sb y d i f f e r e n ts o f t w a r ep r o v i d e r s s ot h e r e i sap r o b l e mt h a tt h e s e k i n d s0 fs 0 1 u t i o n sc a n t0 p e r a t ew i t he a c h0 t h e r t h e0 c s ps e r v i c eb a s e do np k i x o c s p ( o n l i n ec e r t i f i c a t e s t a t u sp r o t o c 0 1 ) p r o v i d e st h es e r v i c eo fq u e r y i n gc e r t i f i c a t e s t a t u so nl i n ea c c o r d i n gw i t hd a t ai s s u e db yt h ed i r e c t o r ys e r v e r b a s e do n l i g h t w e i g h t d i r e c t o r y a c c e s sp r o t o c o l a n d c r l ( c e r t i f i c a t er e v o c a t i o nl i s t ) o c s ps e r v i c eo v e r c o m e st h e l o c a l i z a t i o n o fc r l t o p r o v i d e t h en e w r e s p o n s e o f c e r t i f i c a t i o n ss t a t u s a s ap a r to fc as y s t e mi nw e i h a i s e g o v e r n m e n t ，o c s ps e r v i c es y s t e mm u s tr e s o l v et h ep r o b l e m t h a tc a n t0 p e r a t em u t u a l l ya c r o s sd i f f e r e n tp l a t f o r m a n dt h e o t h e rp r o b l e mt ob er e s o l v e di sc o m m u n i c a t i o no b s t a c l eb e t w e e n c l i e n ta n ds e r v e rc a u s e db ys o m ef i r e w a l ls o f t w a r ea n dp r o x y s e r v e r sl i eb e t w e e nt h e m t or e s o l v et h et w op r o b l e m s ，i ta d o p t sc l i e n t s e r v e rm o d ei n 3 山东大学硕士学位论文 t h ed e s i g no fo c s ps e r v i c es y s t e ma n da d o p t sw e bs e r v i c e t e c h n o l o g yi ni m p l e m e n t a t i o no f c l i e n t a n de n c a p s u l a t i o no f o c s pf u n c t i o no fo n l i n ec e r t i f i c a t es t a t u sc h e c k i n gi n t ow e b s e r v i c e w e bs e r v i c et e c h n o l o g ym a k e so c s ps e r v i c ec o m p o n e n t a n du s e su d d i( u n i v e r s a l d e s c r i p t i o n ，d i s c o v e r y a n d i n t e g r a t i o n ) p r o t o c o lt oi s s u ei t t h eo c s ps e r v i c ec o m p o n e n t c a nb ec a l l e dt h r o u g hs o a p ( s i m p l eo b j e c ta c c e s sp r o t o c 0 1 ) a n d s t a n d a r dn e t w o r kp r o t o c o l s o c s ps e r v i c es y s t e mb a s e do nw e b s e r v i c ea c h i e v e s s p e c i a l t i e si n c l u d i n g ：f i r s t ，o c s p s e r v i c e s y s t e mc ano p e r a t ea c r o s sd i f f e r e n ts y s t e m s s e c o n d ，o c s ps e r v e ra n dc l i e n tp a r tc o m m u n i c a t ea c r o s sf i r e w a l l a n dp r o x ys e r v e r o c s ps e r v i c ec a nb el o c a t e dd y n a m i c a l l ya n d u s e d t h e no c s ps e r v i c ea n do t h e ra p p l i c a t i o nc a ni n t e g r a t ea n d o p e r a t em u t u a l l y i t i sc o n v e n i e n tf o re - g o v e r n m e n ts y s t e m s e x p a n s i o na n du p g r a d e t h er e l i a b l ew e bs e r v i c ep r o v i d e sav e r y p e r f e c t ，d y n a m i ce x t e n d a b l e a n df l e x i b l ed i s t r i b u t e c o m p u t e m o d u l e b a s e do nt h i s ，i tw i l l s i m p l i f yt h e i n f r a s t r u c t u r eo f e - g o v e r n m e n ts e r v i c e ss i g n i f i c a n t i y t h e p a p e r h a sf o u r p a r t s a s f o l l o w i n g ：t h e f i r s t p a r t s u m m a r i z e st h e c o n c e p t o fe - g o v e r n m e n ta n di t s c u r r e n t d e v e l o p m e n ts i t u a t i o n t h e nw ea n a l y z e t h e p r o b l e m s i nt h e e g o v e r n m e n tc o n s t r u c t i o n sg o a lw h i c hw e i h a ic i t yf a c e s t h i s i st h eb a c k g r o u n df o rt h er e s e a r c ho fo c s p t h es e c o n dp a r t a n a l y z e sp k i x o c s p ，a n d d i s c u s s e st h er e l a t i v eo fo t h e r c e r t i f i c a t ei s s u et e c h n i q u e w ea c h i e v e dal i t t l ei m p r o v e m e n to n o c s ps e r v i c ei m p l e m e n t t h et h i r dp a r ti sa b o u tc as y s t e m d e s i g na n di m p l e m e n t a t i o na n do c s ps e r v i c ei m p l e m e n ti nd e t a i l t h e f o u r t h p a r td i s p l a y s o c s ps e r v i c e a p p l i c a t i o n i n e g o v e r n m e n ta n dt w ok i n d so ft e s tb a s e do nw e ba n dc l i e n t a p p l i c a t i o n t h er e l i a b l ew e bs e r v i c ep l a t f o r ma n dc o m p o n e n tt e c h n o l o g y 4 山东大学硕士学位论文 h a v eb e c o m e t h ea d v a n c e dm a i n s t r e a m t e c h n o l o g y i n e g o v e r n m e n tc o n s t r u c t i o n t h eu s eo fw e bs e r v i c et e c h n i q u ei n p k is y s t e md e v e l o p m e n tm a k e ss e r v i c e s i n t oc o m p o n e n t s i t s h o u l dh a v eg r e a tf a c i l i t a t i o nt ot h ed e v e l o p m e n to fp k is y s t e m ， e s p e c i a l l y t o w a r d st h e d e v e l o p m e n t d i r e c t i o nb a s e do nt h e s t a n d a r da n dm u t u a lo p e r a t i o n k e y w o r d s ：p k l 0 c s pw e bs e r v i c ee - g o v e r n m e n t 5 山东大学硕士学位论文 6 p k i ： p k c ： p k i x ： c m p ： c a ： d e s ： r s a ： l d a p ： p k c s ： e e ： r a ： c r l ： p o p ： p g p ： o c s p ： s o a p ： w s d l ： u d d i ： 符号说明 p u b l i ck e yi n f r a s t r u c t u r e p t l b l ick e yc er t i f ic a t e p u b l ick e y1 1 3 f r a s t r u c t u r ex 5 0 9 c e r tif ic a t em a n f t g e m e n tp r o t 0 c 0 1 c e r t i f ic a t i o na u t h o r i t y d a t ae n ( 3 r y p t io i ls t a n d a r d r i v es t ，s h a m i r ，a d le m a l l l i g h t w e i g h td i r e c t o r ya c c e s sp r o t o c 0 1 p u b li c l ( e yc r y p t o g r a p h ys t a n d a r d s e 1 3 de n t i t y r e g is t r a t i 0 r l a u t h o r i t y c e r t i f i c a t e1 1 e v o c a t i o nl is t p r 0 0 f0 fp o ss e ss i0r l p r e t t yg 0 0 dp r i v a c y o n l i l l ec e r t i f ic a t es t a t u sp r o t o c 0 1 s i m p l eo b je c ta c c e s sp r o t 0 ( 2 ：0 1 w e bs e r v i c ed es c r i p t i 0 1 1l ar l g t l a g e 1 j 1 3 i v e r s a ld e s c r i p t i o n ， d is c o v e l - ya n d1 1 3 t e g r a t i 0 i l 山东大学硕士学位论文 第一章应用背景 1 1 电子政务 1 1 1 威海市电子政务的发展 电子政务( e g o v e r n m e n t ) 是电子商务应用体系中，基于网 络的符合i n t e r r e t 技术标准的面向政府机关内部、其它政府、 机关、企业以及社会公众的信息服务和信息处理系统。 在世界各国积极倡导的“信息高速公路”的5 个应用领域中， “电子政务”被列为首位。中国也迫切需要电子政务的改革。 威海作为信息产业部“信息化试点城市”及山东省“数字化试 点城市”，政府投入大量资金进行电子政务应用系统的建设。 而作为公钥基础设施p k i ( p u b l ick e yi n f r a s t r u c t u r e ) 的核心 实体认证机构c a ( c e r t i f ic a t ea u t h o r i t y ) ，是开展电子政务 的重要基础建设。 在2 0 0 i 年北京的“电子政务技术研讨会”上，中科院院士 杨芙清提出，目前信息系统建设很大程度上脱离了现实社会的 基本模型，无法与客观的组织行为和运作方式相一致。以第三 方的方式提供c a 认证服务，难以广泛应用。各行业各省市的电 子政务系统大都是以某一厂家的操作系统与系统集成技术为基 础，相互之间难以在业务与安全范围内实现互联互通和互操作， 严重影响电子政务的正常发展。 1 1 2 在威海市电子政务建设中的c a 系统 c a 系统作为威海市电子政务的一个重要的组成部分，在建 设规划中也是不可缺少的 ， 首先，介绍一下威海市电子政务工程的建设规划。内容主 要包括五个方面：一个专网，一个平台，一个中心，三大数据 库，三大系统。 7 山东大学硕士学位论文 一个专网指的就是威海市电子政务网络，其主要是为威海 市党政机关提供政务数据通信服务和互联网接入服务。该专网 采用v p n 组网方式，党政机关各部门的日常办公均在这个相对封 闭的政务专网上进行，并通过设在中心机房唯一的因特网出口 与外界进行信息交流。 一个平台就是信息交换平台，其主要作用是提供统一的接 口标准和接口技术，消除部门条块分割造成的信息孤岛现象， 实现信息共享。平台的结构分为两层：底层为基础层，提供信 息交换的技术基础；上层为业务层，提供电子政务中信息交换 方面的具体功能。 一个中心指安全监控中心，其主要包括四个系统的建设： 安全认证系统、数据备份系统、安全防御系统、病毒防范系统。 其中，威海安全认证系统( p k i 系统) 是在政府全权控制下通过 由可信的第三方提供的p k i 平台对外界提供身份识别服务的信 息系统。 三大系统是指政府办公业务资源系统、政务决策服务信息 系统和多媒体信息服务系统。 三大数据库包括法人单位基础信息数据库、社会信用数据 库和政务动态信息数据库【2 j 威海电子政务建设中的c a 系统建设是本次研究的背景。本 次研究将为电子政务c a 系统的发展和威海市电子政务的发展作 出指导作用。 。r 电子政务 应用层 统一的安全 电子政务平 台层 公业务 源系统 政务决策 服务信息系统 攥俸 息服务系统 数据交换业务平台 数据交换基础平台 i安全监控中心 施层l 圆圈圈图 基础设施层 l i p k l ) 系统| l 系统li 系统ii 系统l 8 图i - i 威海市电子政务系统的分层逻辑模型 山东大学硕士学位论文 由于电子政务是一个复杂的系统工程，我们用分层的思想 对其来进行设计和实现。按照功能我们把它抽象地分为自下而 上三个层次，如图l i 所示： 1 基础设施层：提供电子政务系统的基础设施，包括网络设 施，p k i 认证系统等： 2 统一的安全电子政务平台层：在网络基础设施、安全基础 设施等基础上，承载最终电子政务应用的软、硬件综合平 台。包括数据交换平台和统一可信的w e b 服务平台等； 3 电子政务应用层：在统一的安全电子政务平台层所提供的 服务上，加载和运行一系列政务业务应用系统，是电子政 务系统面向最终用户的层面。 1 1 3 电子政务的安全需求 电子政务是将传统的政务活动移到网络环境中来，特别是 建立在互联网上的政务活动，其安全问题倍受关注所谓电子 政务的安全，主要是网络安全的问题。需要从电子政务对网络 系统的安去需求分析出发，采取安全技术措施，提供安全服务， 以满足电子政务的各种安全需求。其中，首要问题是指定安全 的策略。 1 1 3 1 安全策略 所谓的安全策略就是实施计算机系统的安全措施及安全管 理的指导思想。是在计算机信息系统内，用于所有安全活动相 关的一套规则。这里的安全策略主要指系统安全策略主要包 括以下几个方面。 1 授权 授权( a u t h o r iz a t i o n ) 是一个安全策略的基本组成部分， 是指赋予主题( 用户、终端、程序等) 对客体( 数据、程序等) 的支配权利。在计算机和通信系统中，主要的要求以一种被称 9 山东大学硕士学位论文 作“访问控制策略”的系统安全策略反映出来。 2 访问控制策略 访问控制策略隶属于系统安全策略，它迫使在计算机系统 和网络中自动地执行授权。它包括以下几种类型： ( 1 ) 基于身份的策略它允许或者拒绝对明确区分的个体或者 群体进行访问； ( 2 )基于任务的策略。它是基于身份的策略的一种变形，它给 每一个体分配任务，并基于这些任务来使用授权规则； ( 3 ) 多等级策略。它是基于信息敏感性的等级以及工作人员许 可证等级而制定的一般规则策略。 3 责任 支撑所有安全控制策略的一个根本原则就是责任。受到安 全策略制约的任何个体在执行任务时，需要对他们的行动负责 任。这是人事安全。 1 1 3 2 安全威胁分析 安全威胁是指某人、物、事件或概念对某一资源的保密性、 完整性、可用性或合法使用所造成的危险。 i 基本安全威胁 基本的安全威胁包括： ( 1 ) 信息泄漏：指信息被泄漏或透露给某个非授权的人或实体： ( 2 ) 完整性破坏：指数据的一致性通过非授权的增删修改或破 坏而受到损坏； ( 3 ) 业务拒绝：指对信息或其他资源的合法访问被无条件地阻 止。比如：攻击者对系统进行非法的根本无法成功的访问 尝试而产生过量的负荷，从而导致系统的资源在合法用户 看来是不可使用的。比如d o s 攻击。又比如，由于系统在物 理上或逻辑上受到破坏而中断业务； ( 4 ) 非法使用：指某一资源被某个非授权的人或以某授权方 式使用。 1 0 山东大学硕士学位论文 2 一些常见的威胁 在安全威胁中，这些威胁的某一种实现，都会直接导致某 种任何基本威胁。主要包括渗入威胁和植入威胁。 渗入威胁包括：假冒、旁路控制、授权侵权； 植入威胁包括：特洛伊木马、陷阱门。 1 1 3 3 网络安全服务 为了防止安全威胁，在信息通信中新采取的安全防范措施 被作安全服务。 1 电子政务的安全服务 安全服务是指一个系统新提供的安全功能。国际上从事计 算机及相关安全标准工作的组织已从不同的角度对信息系统的 安全服务做了定义，结合i s 0 t c 9 7 在开发系统互联参考模型中 定义的安全服务( o s i7 4 9 8 2 ) ，和i s 0 t c 6 8 在金融业务及相关 标准定义的安全需求，以及c c i t l 在文电处理系统( m h s ) 标准 中定义的安全服务，归纳出电子政务中经常需提供的几种安全 服务，如图卜2 所示； 图1 2 电子政务的安全服务 安全服务与安全威胁的关系 安全服务与安全威胁有一种对应关系，下面是一些典型的 山东大学硕士学位论文 安全威胁与采取安全防护措施的安全服务之间建立一种映射关 系。 表1 1 安全威胁与安全服务的对应关系 安全威胁安全服务 假冒攻击认证服务 授权侵犯访问控制服务 窃听攻击保密服务 完整性侵犯完整性服务 业务否认不可否认服务 业务拒绝认证服务、访问控制服务、完整性服务 3 安全服务与安全机制的关系 表1 2 安全服务与安全机制的对应关系 口 安 数 妓全j o t 制 令 全 据 _ 口 加 身数访 设 路 证防6软 安安票 h 密 份 字 问 备 由书火 兀 安全服雾 z 整 件全全证 密 鉴签控 保 控机 墙 性 保 宙 恢鉴 别名制制制护 计 复别 钥护 数据完整性 鉴别和标识 访问控制 服务可用性 抗否性 可审计性与责 任性 机密性 由此可以看出，证书认证机制具有广泛用途，它可以支持 数据保密性、数据完整性、鉴别与识别( 认证) 访问控制及不 可否认性等多种安全服务。1 山东大学硕士学位论文 1 1 3 4 安全需求与p k i 电子政务系统提出常规的安全需求是： ( 1 ) 认证需求：提供某个实体( 人或系统) 的身份认证： ( 2 ) 访问控制需求：保护资源，以防止对它的非法使用和操作； ( 3 ) 保密需求：保护信息不被泄漏或暴露给非授权的实体； ( 4 ) 数据完整性需求：保护数据以防未授权的增删、修改和替 代： ( 5 ) 不可否认需求：防止参与某次通信交换的一方事后否认本 次交换曾经发生过。 针对电子政务的这些安全需求，一种遵循标准的利用公钥 加密技术为互联网上电子政务的开发提供安全基础平台的p k i 应运而生。p k i 能为电子政务环境中的各实体用户的不同安全需 求，提供相关的安全业务：身份识别和认证，数据保密性、数 据完整性、不可否认性以及时间戳等安全服务。 1 。2p kl 基础 p k i ( p u b l ick e yin f r a s t r u c t u r e ) 公钥基础设施就是提 供公钥加密和数字签名等一系列服务的系统，目的是为了实现 网上数字信息传输的机密性、真实性、完整性和不可否认性。 基于p k i 的证书的机制可以为网络信任域中的所有用户和 设备颁发数字公钥证书p k c ( p u b l i ck e yc e r t i f ic a t e ) ，以此 证明该用户或设备是可信或合法的，并为可信接入控制和可信 管理打下基础。 1 2 1p kl 的功能 p k i 具有以下功能： ( 1 ) 注册： ( 2 ) 初始化； ( 3 ) 密钥对恢复； 1 3 山东大学硕士学位论文 通知的分发公布。 1 2 2p ki 的标准 p k i 标准化的主要内容分四大类：基本安全算法、公钥基础 设施、e - m a i l 安全和w e b 安全。1 1 基本安全算法：包括各种公钥通信安全协议( p k c s # ) 、对 称d e s 算法、非对称r s a 算法、h a s h 函数以及数字签名( d s s ) 等： 2 公钥基础设施：包括a s n i 规范、c a 证书格式、x 5 0 9 标准、 p k i x 的主要内容、s e t 安全协议标准等； 3 e - m a i l 安全：包括安全m i m e ( s m i m e ) 等； 4 w e b 安全：主要包括s h t t p 协议及安全套接层协议s s l 标准。 1 2 3 信任p k lx 体系结构 对于整个国家的信任服务体系而言，信任服务的基准体系 将包括自然人证书认证体系、机构证书认证体系和设备证书认 证体系，需要由国家有关部门进行统一规划和建设。此外，还 必须保证整个信任服务体系均采用一致的证书管理策略，这是 通过国家电子政务认证和管理中心来实现的。 对于每个具体的基准信任服务子体系而言，它是遵循传统 的树形结构，即按照国家电子政务数字证书认证和管理中心、 证书认证c a 中心、审核注册r a 中心和c a 业务受理核发点分四级 进行组织。其总体结构如图卜3 所示： 1 4 ：，；销 生新书 撤产更证；和钥钥叉销书 密密交撤证 ) 4 5 6 7 8 ；l 图1 3 信任p k i 服务体系的总体结构 1 5 山东大学硕士学位论文 第二章o c s p 在线证书状态协议研究 2 1 证书撤销列表c r l 认证机构c a 签发证书为用户的身份和公钥进行捆绑，由于 种种原因，还必须存在一种机制来撤销这种捆绑关系，将现行 的证书撤销。撤销的原因有以下几种；证书有效性结束、用户 身份姓名的改变、私钥被窃或丢失、用户与其所属企业关系变 更等在p k i 中，这种警告机制被称作证书撤销。 x 5 0 9 定义了一种基本的证书作废的方式：证书撤销列表， 即c r l ( c e r t if ic a ter e v o c a t i o nl is t ) 。这种方法最初由美 国的m i t r e 公司于1 9 9 4 年提出，是一种周期性的发布机制。c r l 是一种包含撤销的证书列表的签名数据结构，上面列出了所有 被撤销的证书。 2 1 1c r l 结构 在r f c 2 4 5 9 中，x 5 0 9 定义了c r l 格式，如图2 一i 所示： 由 授 权 颁 发 者 签 发 版本号 签名 颁发者 本次更新 下次更新 证书序列号 撤销同期时间 c r l 实体扩展( 可选) 扩展 一1 l 卜撤销的证书列表 l 一 图2 1c r l 结构 ( 1 ) 版本号一一c r l 的版本识别符； ( 2 ) 签名一一计算本c r l 的数字签名所用的算法的对象标识符； ( 3 ) 颁发者一一c r l 的签名者的可识别名( d n ) ，唯一； ( 4 ) 本次更新一一本c r l 的发布时间： 1 6 山东大学硕士学位论文 ( 5 ) 下次更新一一下一c r l 的发布时间，可选项； ( 6 ) 撤销证书列表一一包括证书号、撤消日期、c r l 实体扩展( 可 选的) ； ( 7 ) 扩展域一一每项c r l 扩展，包括理由代码、证书颁发者、控 制指示码、无效日期共四项。 由其结构可以看出，c r l 是一种包含撤销的证书列表的签名 数据结构。c r l 的完整性和可靠性是由它本身的数字签名来保 证。c r l 的签名者一般也是颁发证书的签名者。1 2 1 2c r l 的几种形式 中 为： ( 1 ) 完全c r l 完全c r l 是将某个c a 域内的所有撤销信息都包括在一个c r l 这种方式适合于那些终端实体数目相对很少的域。其缺点 颁发的规模性。撤销信息必须在已颁发证书的整个生命期 里存在，这就有可能导致在某些域内完全c r l 的发布交得非 常庞大： 、 ( 2 ) 撤销信息的及时性随着c r l 大小的增加，c r l 的验证周期 r将会变得很长，因为如果经常连续地下载新的、很大的c r l ?将会对网络资源方面造成不可接受的性能下降。 所以，终端实体的数目、撤消的概率、已颁发证书的验证 周期、证书序列号的大小，都会影响完全c r l 的效率 2 c r l 分布点 c r l 分布点有时也称为分段c r l ，是将一个c a 的撤销信息通 过多个c r l 分布出来。证书撤销通知可能按照正在处理的证书类 型、公布的c r l 类型或者发行的撤消通知的类型加以分类与完 全c r l 相比，c r l 分布点提供了一种扩展性更强的替代方法。其 优点为： ( 1 ) 撤销信息可以被分为很多可空的片段，从而避免了庞大的 lc r l 增长： 1 7 山东大学硕士学位论文 ( 2 ) 证书可以指出c r l 分布点的分布位置，这样用户可以不需要 提前知道关于特定证书的撤销信息的存放位置。 其缺点为一旦颁发了证书，在整个证书的生命期里c r l 分布 点中的相应的c r l 分段就固定了，这就意味着颁发c a 预先就知道 如果将c r l 信息分段，这种分段将不能改变。 为了使c r l 分段的大小更灵活一点，存放的位置能够随时问 改变，解决方法为重定向c r l ，它是基于现有的标准和协议，定 义了一种新的c r l 扩展来实现更灵活的分段定位信息。 3 增量c r l 增量c r l 也称为ac r l ，它是在先前己存在的大量的撤销列 表之外，最近新增加的已撤销的证书列表。此列表将比整个c r l 要小，只要求对比整个c r l 较少的资源进行检索和处理。根据定 义，增量c r l 是以已经颁发的称为基本c r l 为基础，包含基本c r l 不含有的撤销信息。这样，相对小的c r l 可以比基本c r l 的颁发 频率高的多，改善了c r l 的查询性能和及时性。 2 2o c s p 协议综述 i e t f 的p k i x 工作组于1 9 9 9 年6 月提出了r f c 2 5 6 0 。r f c 2 5 6 0 中 定义了在线证书状态协议( o n l i n ec e r t i f i c a t es t a t u s p r o t o c 0 1 ，o c s p ) 。其动机是为了克服基于c r l 的撤销方案的局限 性，并且为证书状态查询提供了即时的最新响应。返回特定证 书撤销通知，而不是c r l 形式的大量线性搜索列表。 c r l 撤销方案的局限性在于：一是作废的时间问隔限制在 c r l 两个发布周期之间，证书撤销状态不能及时有效的发布：二 是网络负载大。o c s p 正是为了解决这两种问题。” 2 3o o s p 协议分析 o c s p 是一种相对简单的请求响应协议，它使得客户端应 用程序可以测定所需验证书证书的状态。一个o c s p 客户端发送 一个证书状态查询给一个o c s p 响应器，并且等待直到响应器返 1 8 山东大学硕士学位论文 回了一个响应协议对o c s p 客户端和o c s p 响应器之间所需要 交换的数据进行了描述。 2 3 1o c s p 请求 一个o c s p 请求包含以下数据： ( 1 ) 协议版本： ( 2 ) 服务请求； ( 3 ) 目标证书标识； ( 4 ) 可选的扩展信息 当o c s p 响应器收到请求之后，它会检查请求的内容： ( 1 ) 请求信息格式是否正确； ( 2 ) 该o c s p 是否被配置为提供应答服务； ( 3 ) 请求的信息是否为响起器所接受的信息。 如果以上条件都不符合，这个o c s p 响应器就会产生错误信 息：否则，它将返回一个确定的响应信息。 2 3 20 c s p 晌应 o c s p 响应可以有多种类型一个o c s p 响应包含一个响应类 型和响应的内容两个部分。下面是一种被所有的o c s p 服务器和 客户端所支持的基本类型。 前边提到o c s p 响应会返回两种信息：错误信息和一个确定 的响应信息。 1 对于所有确定的响应，响应信息应该经过数字签名； 用来签名的密钥属于以下几种： ( 1 ) 一个不确定的认证机构c a 颁发的证书； ( 2 ) 一个被可信赖的响应器，它的公钥被请求端所信赖； ( 3 ) 个c a 响应器( 权威的响应器) ，它拥有c a 直接颁发 的一种特殊的数字证书。 一个确定的响应信息包括以下内容： 1 9 山东大学硕士学位论文 ( 1 )响应语法( 格式) 的版本： ( 2 )响应器名称； ( 3 )请求的目标证书的响应： ( 4 )可选的扩展信息； ( 5 ) 数字签名算法o i d ； ( 6 )通过h a s h 算法签名的散列值( 签名值) 其中，请求的目标证书的响应包括以下内容： ( 1 )目标证书标识符：请求状态查询的证书号； ( 2 )证书状态值：o c s p 响应返回确定的响应来指明目标证 书的状态确定的响应返回证书状态值包括：正常，已撤销 和未知； “正常”状态表示这张证书状态可以查询，意味证书 至少是没有被撤销，但是并不意味着证书曾经被颁发，或 者是响应的产生在证书有效性间隔中：“撤消”状态表示证 书已被撤消：“未知”状态表示响应器在当时不能判断请求 的证书状态。 ( 3 )响应有效性间隔：上次响应和本此响应之间的间隔： ( 4 )可选的扩展信息：提供了除了“正常”和“己撤消” 以外的更多的目标证书状态信息，比如颁布的信息、有效性 等。 2 对于o c s p 响应器返回出错信息时，该响应不用签名； 出错信息包括以下类型： ( 1 )请求编码格式不正确； ( 2 )内部错误； ( 3 )稍后再试； ( 4 )请求需要签名； ( 5 )未授权。 2 4 特点与局限性 一个o c s p 响应必须经过数字签名以保证响应是源于可信 任方并且传输过程中没有被改动签名私钥可能属于颁发证书 2 0 山东大学硕士学位论文 的c a 一一一个可信的第三方，或是经颁发证书的c a 认可( 通过 授权) 的实体。在任何情况下，用户都必须信任响应，