（计算机应用技术专业论文）互联网宽带业务一致性研究.pdf

北京邮电大学顺士毕业论文 互联刚宽带业务一致性研究 互联网宽带业务一致性研究 摘要 本文论述了一种以运营商为中心的业务一致性平台 2 0 0 3 年以来 中国宽带用户数急剧增长 到2 0 0 4 年6 月底宽带 用户数已经达到3 1 1 0 万 宽带互联网走入 应用为王 时代 互联 网业务发生了深刻地变化 基于宽带的增值服务吸引了大量的客户 同时也从免费走向付费 这使得i s p i c p 的业务运营管理模式发生 了变革 因此如何建立一种新型的互联网商业模式来整合各类i c p 以 及庞大的用户群迫在眉睫 建立业务一致性平台的关键在于需要对用户进行统一的身份认 证 识别和授权 本文中首先介绍了具有成熟技术的公共密钥基础结 构 p k l 的体系结构 实体功能 组织方式以及操作思想 并且对 数字信封 数字签名以及加密解密问题进行了描述 利用p k i 思想 本文中提出在一致性平台中用用户身份证书来进行认证 用属性证书 进行授权 使用运营商的原有计费系统进行计费 在满足了网络运营 的a a a 的基础上 尽量避免对运营商现有网络的更改而达到业务一致 性的要求 本文详细讨论了业务一致性平台的总体设计 包括系统模型和平 台的总体结构等 考虑到安全认证部分的重要性 本文着重介绍了安 全认证子系统的业务流程 其中包括身份证书 属性证书的介绍 用 户的注册登陆访问及证书的发放 以及业务计费防抵赖技术 为了达到真正的业务的一致性 将接入认证和业务认证进行统一 是其中的一个思路 即将用户在进行接入认证和业务认证的时候使用 统一的信息 本文在接入客户端中用到了u s b k e y 技术 使用用户证 书和用户私钥的散列作为认证信息存放在u s b 设备中 使得用户无需 记忆其相关的认证信息 既方便了用户使用 又增加了系统安全 本文提出的业务一致性平台充分利用运营商自己固有的用户资 源以及计费服务 作为用户与i c p 的桥梁来填充用户与i c p 需求之间 的鸿沟 进而实现i s p i c p 用户 运营商等的多方共赢 该一致性平台为运营商的业务发展提供了新的思路 但是也存在 一些不足 包括u s b 设备的费用 尚未考虑用户的业务漫游情况等 关键宇 业务一致性c a 认证p k is s ou s b k e y 北京邮电丈学硕士毕业论文 互联网宽带业务一致性研究 t 脏r e s e a r c ho nt h ec o h e r e n c y o f i n t e r n e t b r o a d b a n d s e r c e s a b s t r a c t n l ed i s s e r t a t i o nd i s c u s s e st h ep l a t f o r mo fs e r v i c e sc o h e r e n c yc o n c e n t r a t e do n o p e r a t o r s i n c e2 0 0 3 t h ea m o u n to ft h eb r o a d b a n da c c e s su s e r si nc h i n ah a si n c r e a s e d m p i d l y t ot h ee n do f j u n 2 0 0 4 t h ea m o u n t h a sr e a c h e d3 l 1 0 0 0 0 0a n dt h et i m e so f i n t e r a c ta p p l i c a t i o n si sc o m i n g t h ei n t e m e tb u s i n e s sv a l u e a d d e da t t r a c t ss om a n y c u s t o m e r st os u r fi ni n t e r a c t w i t 1t h ec h a r g i n go fb u s i n e s so p e r a t i o nm o d ei ni s pa n d i c p t h ef r e es e r v i c e sb e g i nt oc h a r g e s oi t i s u r g e n tn o wt o c r e a t ean e wi n t e r a c t b u s i n e s so p e r a t i o nm o d et om e e tt h en e e d so f i c p sa n du s e r s 1 1 1 e k e y o ft h e p l a t f o r m o fs e r v i c e s c o h e r e n c y l i e so na u t h e n t i c a t i o n a u t h o r i z a t i o na n da c c o u n t i n g t h ed i s s e r t a t i o ni n 乜o d u c e st h ea r c h i t e c t u r e e n t i t y f i m c t i o n s o r g a n i z a t i o na n do p e r a t i o no fm a t u r ep k ia n dd e s c r i b e sd i g i t a le n v e l o p d i g i t a ls i g n a t u r e a n d e n c r y p t i o n d e c r y p t i o n i n t h e p l a t f o r m u s e r s c a nb e a u t h e n t i c a t e d b yi d e n t i t yc e r t i f i c a t e a u t h o r i z e db y a t t r i b u t i o nc e g i f i c a t e a n d a c c o u n t e db yt h eo r i g i n a lb i l l i n gs y s t e m s ot h ep l a t f o r mc a nf u l l ym e e tt h en e e d so f o p e r a t o rf o ra a a t h ed i s s e r t a t i o nd i s c u s s e st h ed e s i g no ft h e p l a t f o r mi n c l u d i n gt h es y s t e mm o d e l a n d a r c l l i m c t u r c c o n s i d e r i n g t h e i m p o r t a n c e o f s e c u r i t y a u t h e n t i c a t i o n t h e d i s s e r t a t i o n e m p h a s i z e s o nn l es e r v i c ef l o w so fi d e n t i t yc e r t i f i c a t e a t t r i b u t i o n c e r t i f i c a t e t h er e g i s t e r o fu s e r t h er e l e a s eo fc e r t i f i c a t ea n dt h e a n t i d e n y i n g t e c h n o l o g yo f s e r v i c eb i l l i n g i no r d e rt of u l l yr e a c hs e r v i c ec o h e r e n c y i ti sn e c e s s a r yt ou n i t et h ea c c e s s a u t h e n t i c a t i o na n dt h es e r v i c ea u t h e n t i c a t i o n t h a ti st os a y t h es a m ei n f o r m a t i o ni s u s e dt ot h ea c c e s sa u t h e n t i c a t i o na n dt h es e r v i c ea u t h e n t i c a t i o n n l eu s b k e y t e c h n o l o g yi su s e di nt h ed i e me n d t h ec e r t i f i c a t ea n dt h eh a s ho fp r i v a t ek e yf o r u s e r sa r ep l a c e di nu s b k e yt oe n h a n c et h es e c u r i t ya n dc o n v e n i e n c eo ft h es y s t e m f o ru s e r s t h ep l a t f o r m a sab r i d g ec o n n e c t i n gu s e r s 讯t l li c p s m a k e su s eo fi t su s e r r e s o u r c e sa n db i l l i n gs e r v i c et of i l lu pt h eg a po fn e e d sb e t w e e nu s e r sa n di c p s a n d 北京哪一u 大学硕上毕业论文互联网宽带业务一致性研究 a c c o m p l i s h3 w i n sa m o n gu s e r s i c p sa n do p e r a t o r t h ep l a t f o r mp r o v i d e sn e w i d e a s f o rt h eo p e r a t o r b u tt h e r ea r es o m el a c k si n c l u d i n gt h ee x p e n d i t u r ef o ru s ba n d s e r v i c er o a m i n ga n ds oo n k e y w o r d s s e r v i c ec o h e r e n c e c aa u t h e n v i c a t i o n p k i s s 0 u s b k e y 北京州i 乜人学顺士毕业论文 互联州宽带业务一致性研究 独创性 或创新性 声明 本人声明所呈交的论文是本人在导9 币指导下进行的研究工作及取得的研究 成果 尽我所知 除了文中特别加以标注和致谢中所罗列的内容以外 论文中不 包含其他人已经发表或撰写过的研究成果 也不包含为获得北京邮电大学或其他 教育机构的学位或证书而使用过的材料 与我一同工作的同志对本研究所做的任 何贡献均已在论文中作了明确的说明并表示了谢意 申请学位论文与资料若有不实之处 本人承担一切相关责任 本人签名 日期 关于论文使用授权的说明 学位论文作者完全了解北京邮电大学有关保留和使用学位论文的规定 即 研究生在校攻读学位期间论文工作的知识产权单位属北京邮电大学 学校有权保 留并向国家有关部门或机构送交论文的复印件和磁盘 允许学位论文被查阅和借 阅 学校可以公布学位论文的全部或部分内容 可以允许采用影印 缩印或其它 复制手段保存 汇编学位论文 保密的学位论文在解密后遵守此规定 保密论文注释 本学位论文属于保密在 年解密后适用本授权书 非保密论 文注释 本学位论文不属于保密范围 适用本授权书 本人签名 导师签名 日期 日期 北京邮l 乜人学砸上毕业沧立互联州宽带业务一致性研究 第一章概述 业务一致性 本文提到的业务一致性概念是指以网络运营商为核心 通过 c a 认证连接i p 与用户建立起来的运营模式 该模式对用户来说屏蔽了i c p 访 问的差别 无论用户身处何处 只要用户能够接入运营平台就能够访问自己在不 同i c p 定制的各种业务 而只需要在平台的一次认证即可 单点登陆 s i n g l e s i g n o n 简称s s o 单点登陆从用户的视角是指用户在 特定的逻辑安全区域中 只需进行一次登陆即可在访问在此逻辑安全区域中不同 应用系统中的被授权的资源 只有超越了安全区域边缘时才要求再次登陆 本系 统中用身份认证来实现 u s b e e y 是一种支持硬件i d 身份识别的内嵌有用户身份的u s b 安全棒 其 安全区里面存放有代表用户身份的身份证书和私钥 以及用户进行业务访问时使 用的加密算法 1 1 研究背景 1 1 1当前业务发展需求分析 2 0 0 3 年我国互联网行业发展环境更加宽松灵活 发展速度明显加快 整体 发展势头趋于强劲 以自主知识产权为代表的核心网络技术以及关键网络设备和 产品的研发生产取得一系列突破 互联网宽带业务 网上交易 网络信息内容服 务业务等新型实用服务门类和业务模式不断推出 互联网对社会 经济 文化乃 至公共管理的重要服务作用日益显现 网络经济出现重大转机 i t 人才紧缺状 况开始得到逐步好转 互联网的发展正在朝着积极 稳健 务实的方向大踏步迈 进 1 用户需求分析 目前互联网上用户类型众多 用户需求多样化 用户希望有丰富的i c p 类型和服务类型 用户在使用各类互联网服务时 希望有方便的付费方式和渠道 用户希望有统一的业务一致性服务平台 增加使用的方便性 如减少在 不同地方注册和记忆用户名 口令的不便 用户希望统一的帐号和口令 可以方便访问所有平台i c p 的内容 用户希望有一个良好信誉的运营商做为保障 第1 页 北京娜电大学坝卜毕业论文 互联网宽带业务一致性研究 2 i c p 需求分所 对i c p 业务 可以划分为以下几种类型 基于w e b 的信息服务 游戏类 视频点播类 应用类 收费邮箱 下载服务 会员服务等 其中互动游戏 视频点播 在线教育目前发展良好且潜力巨大 业务需 求发展很快 然而只有1 0 的游戏业务能够收到费用 而且用户发展受到很 大的限制 急需建立代收费渠道和借助其他用户资源进行发展 3 运营商需求分析 运营商市场定位应该是开放的互联网络和应用计费和管理平台提供商 为i c p 的服务提供销售的渠道 为用户提供统一的接入和内容及应用服务 运营商的资源优势 1 运营商是优秀的网络服务提供商 具有强大的网络资源 同时为 各类应用和信息提供商提供开放的 公平接入的 功能强大的宽 带网络 2 运营商是优秀的客户聚集者 已经具各了大量的基础网络用户资 源 这些用户资源均有提升为业务一致性平台用户的需求 3 运营商是连接各类互联网应用和信息提供商与用户之间的纽带 目前已经聚集了一定的i c p 这些i c p 均有代收费的需求 因此 需要提供代收费服务 沟通各类应用和信息提供商与运营商客户 之间的联系渠道 保证业务的顺利运营 4 运营商为备类互联网应用和信息提供商提供网络接入 媒体存储 媒体推送 媒体交换 网络管理和业务支撑服务 运营商业务方向 基于以上分析 运营商在业务一致性平台的具体运营的业务方向应该是 在业务一致性平台的基础上实现替i c p 代收费 充分利用已有的用户资源和收费渠道 4 鸿沟的存在 通过对用户需求与互联网发展现状的分析 最终用户的需求与i c p 所能 够提供的服务以及与i c p 自身的商业目标存在巨大的鸿沟 对于该鸿沟 i c p 和用户由于自身的局限性而没有能力解决 因此各方面呼吁建立新型的互联网增值业务服务平台 即统一的业 务一致性平台 该平台最终目标是填充用户与i c p 之间的巨大鸿沟 在实现 第2 页 北京邮电大学硕士毕业论文 互联嘲宽惜业务一数性研究 代收费的基础上实现i c p 用户 网络运营商三方共赢 开创互联网业务发 展的新时代 1 1 2互联网增值业务环境分析 根据互联网增值业务的特征 如i c p 可能在异地 异国 i c p 本身提供的内 容丰富多样 用户消费习惯 消费类型完全不同 因此 在系统的设计时就要考 虑各类因素 以方便用户使用 方便i c p 加载 计费灵活 交费方式多样等为原 则 li c p 用户的数量庞大和分散性 据报道 目前中国国内互联网用户数量已经超过几千万 互联网上有大 量的i c p 资源 而且i c p 均有代收费的需求 1 用户广泛接入的需求 由于目前用户数量巨大 用户接入方式多样 因此业务一致性平台在设 计上要求考虑到组网规模和组网方式 同时要考虑和其他业务一致性平台的 互通问题 2 i c p 广泛服务的需求 目前互联网上的i c p 有些在本地 有些可能在异地甚至在国外 但都有 代收费的需求 作为运营商的收费渠道和巨大的用户资源 将会对i c p 带来 巨大的商机 因此也促成i c p 有接入平台的强烈愿望 3 结论 需要在用户和i c p 如此庞大 分布如此广泛和分散的环境下实现 一站 式的信息服务和代收费服务 2 用户 i c p 平台三方不信任环境 由于互联网上用户 i c p 数量庞大 地域性差异大等特点 甚至可能用户 i c p 在国外 与平台可能属于完全不同的行政实体 因此 预先建立三者之 间的信任关系是不可能的 三方实际处于一个互不信任的商业环境 3 在三方不信任环境下建立信任关系 虽然用户 i c p 平台可能处于不同的行政实体 建立预先的信任关系是 不可能的 但是 用户和i c p 均需要在三方互不信任的环境下实现交易 因此 对业务一致性平台的首要要求就是 在三方互不信任的环境下建 立满足交易的信任关系 只有建立这种信任关系 采用保证各方计费的准确性和可靠性 才能保 证整个业务层代收费平台的顺利运行 第3 页 北京邮电大学顷士毕业论文 互联网宽带业务一致性研究 l 法律依据和保障 对于在三方互不信任的环境下建立信任关系的技术手段赋予法律的保 证 将更能 减少纠纷 保证业务的发展 只有以一定的法律依据作为保障 才能解决系统运行过程中可能出现的 各类纠纷 使得在出现各类异常问题时有一个可以处理问题的依据 2 采用技术手段解决信任关系 针对以上两种需求 在从业务上无法预先建立信任关系的情况下 我们 可以通过技术手段来建立这种信任关系 这种技术手段就是c a 认证系统和数 字签名 数字签名是在电子商务中解决交易防抵赖的关键技术 目前 欧美 日 本等国家已经完成了数字签名法的立法工作并在电子商务的业务开展中起到 了法律依据的作用 在我国 数字签名的有效性得到广泛承认 并得到广泛应用 其立法工 作正在进行中 i i 3 解决办法 建立新型的互联舄 模式 1 新型商业模型 新的互联网业务发展的商业模型 应该是如下图所示 有电信运营商建立统 一的业务 致性计费服务平台 通过整合各类i c p 资源 利用已有的收费渠道 连接i c p 和用户 建立互联网业务发展的新型产业链 第4 页 北京l 电大学硕士毕业论义且联州宽带业务一毁性研究 图i i 互联网业务发展商业模型 2 用户 平台 i c p 三者之间的关系和定位 在新型的商业模型中 用户 平台 i c p 各自的定位如下 1 平台业务定位 由通信公司负责建设和运营 主要完成认证 收费 支付 结算 用户 管理 i c p 管理等功能 充分利用运营商已有的各类资源 为i c p 提供收费 渠道和用户资源 2 i c p 业务定位 专注于内容发展 其收费由平台完成 可充分利用已有的和平台的用户 资源 3 用户得到的服务 对用户来说 只要通过与已有的电信收费渠道的绑定进行支付 就可以 享受所有与平台连接的i c p 所提供的各类服务 包括收费邮箱 个人应用 游 戏 教育 新闻 下载服务 如手机铃声和屏保 会员服务 聊天 交友 二手交易等 个入主页 虚拟主机服务 查询 搜索服务等 第5 页 北京邮电大学硕士毕业论文互联网宽带业务一致性研究 1 2 课题的意义 2 0 0 3 年以来 中国宽带接入用户数发生了急剧的增长 到2 0 0 4 年6 月底宽 带用户数已经达到3 i 1 0 万 宽带互联网已经从 接入为王 的时代彻底走入 应 用为王 时代 互联网业务也发生了深刻地变化 基于宽带地增值服务吸引了大 量地客户 使得用户不仅仅停留在窄带时期的简单的网页浏览和收发e m a i l 上 网路游戏 视频和音频点播 远程教育等多媒体内容越来越吸引着更多的人停留 在互联网上 互联网上传统的免费午餐也逐渐改为负费 i s p i c p 的业务和运 营管理模式也在发生着深刻的变革 本文将现有的宽带业务分为两类 一类是基础接入业务 另一个是增值业务 基础接入业务是指运营商为用户提供的接入网络的业务 增值业务是指所有在宽 带网络上运营的 由运营商或者是其他i s p 或i c p 为用户提供的诸如流媒体 电 子邮件等业务 通过上面研究背景的分析 为了避免已经建成的宽带网络形成泡沫 运营商 开始格外关注网络的业务运营和盈利能力 为了适应当前宽带网络迅速发展的需 求 构建新型的商业模型来进行探索性研究是必要的 以运营商为中心的业务运 营模式正在形成 这种新型的商业模式就是利用运营商强大的接入服务能力 庞 大的用户群资源 以运营商为中心来连接用户与i c p 本文利用c a 认证这种成 熟的技术来实现用户 i c p 的统一接入 本文首先构建了一个业务一致性平台 连接用户 i c p 的业务访问 最后在客户端利用u s b 技术将接入认证与业务认证 统一 极大的增强了用户的方便性与网络安全性 1 3 作者所完成的工作 在完成论文期间本文所作的工作主要有 首先对现在互联网宽带业务现状做了调查分析 分析了当前业务发展以及互 联网增值业务环境等 并且对当前成熟的c a 认证技术做了大量研究 最终决定 采用c a 技术来实现业务一致性平台的身份认证工作 在平台的设计过程中 用c a 身份证书来做用户的身份认证 用属性证书做 用户授权认证 充分利用运营商固有的计费系统来做计费 完全满足网络运营的 a a a 要求 此外 弩虑了平台与其他系统的接口 例如与接入系统 认证系统 计 费系统等 在平台客户端的设计中 用到了u s b k e y 技术 使用户的身份证书放 置于固件中 对用户来说安全方便 第6 页 北束邮i 乜大学硕士毕业论文互联刚宽带业务一致作研究 1 4 文章内容安排 文章分为三部分 第一部分主要介绍了公共密钥基础结构 p k i 的体系结构 实体功能 组 织方式以及操作思想 最后介绍了p k i 相关的技术 比如数字信封 数字签名以 及加密解密问题 第二部分介绍了业务一直性平台的总体设计以及安全认证系统 其中系统设 计部分包括系统模型 总体结构等 安全认证部分包括身份证书 属性证书的介 绍 用户的注册登陆访问及证书的发放 最后介绍了业务计费防抵赖技术 第三部分主要介绍了客户端的接入认证与业务认证的统一 在客户端用到了 u s b k e y 技术 把用户证书以及私钥散列放置在u s b 中 既方便用户使用又增强 了系统安全 第7 页 北京邮电大学硕士毕业论文 互联网宽带业务一致盹研究 2 1p k i 简介 第二章公共密钥基础结构 p k i 为了提高i n t e r n e t 的安全性 越来越多的安全协议得到应用 目前国际上 流行的电子商务所采用的协议主要包括 基于信用卡交易的安全电子交易协议 s e c u r ee l e c t r o n i ct r a n s a c t i o n 即s e t 协议 用于接入控制的s s l 协议 s e c u r es o c k e tl a y e r 安全套接字层 安全h t t p s h t t p 协议 安全电 子邮件协议 如p e m s m i m e 等 用于公对公交易的i n t e r n e te i d 等 此外 也可以在i n t e r n e t 网上建设虚拟专网v p n 利用v p n 为企业 政府提供一些基 本的安全服务如企业 政府间的公文 报表传送 电子报税业务等 这些协议都 建立在公钥加密技术的基础上 它们分别工作在不同的层次上 实现了不同的 p k i 系统 在i n t e r n e t 网上提供安全的电子商务服务 p k i p u h l ck e yi n f r a s t r u r e 即公钥基础结构 利用公钥加密技术为网 上电子商务的开展提供了一套安全基础平台 用户利用p k i 平台提供的安全服务 进行安全通信 使用基于公钥技术系统的用户建立安全通信信任机制的基础是 网上进行的 任何需要安全服务的通信都建立在公钥的基础之上 而与公钥相对的私钥只掌握 在他们与之通信的另一方 这个信任基础通过公钥证书的使用来实现 公钥证书 即是一个用户的公钥和他的身份的绑定 在绑定之前由 个可以信任的c a 来证 实用户的身份 然后这个可信任c a 对证明该绑定的证书进行数字签名 p k i 指在公钥加密技术的基础上实现证书的产生 管理 存储 发放以及作 废而必须的全部硬件 软件 入力资源 相关政策和操作程序以及为p k i 体系中 的成员提供的安全服务的全部 简单地说 p k i 的功能是绑定证书持有者的身份 和相关的密钥对 通过为公钥及相关的用户身份信息签发数字证书 为用户提 供方便的直接或间接获取证书的途径 对证书发放环境的方便的访问途径 证书 作废的直接或间接宣告途径 并进而利用数字证书及相关的各种服务 证书发布 黑名单发布 时戳服务等 实现通信中各实体的身份认证 完整性 不可否认性 和保密性 第8 贞 北京邮l 乜大学倾e 毕业论文 互联网宽带业务一致性研 宄 2 2p k i 体系结构及实体功能 随着信息和电信技术的飞速发展 电子信息和电子商务的应用越来越广 为 网上电子事务提供安全服务的p k i 系统也得到了广泛关注 在p k i 体系基础上建 立的安全证书体系得到了从普通用户 商家到政府各职能部门的普遍关注 美国 加拿大等政府机构都提出了建立国家p k i 体系的具体实施方案 p k i 系统的建立应该着眼于用户使用证书及相关服务的便利性 用户身份的 可靠认证 制定完善的证书管理政策 建立高可信度的c a 中心 用户属性的管 理 用户身份隐私保护 证书作废列表的管理 c a 中心为用户提供的证书及c r l 有关服务的管理 安全和相应的法规确立 责任的划分和完善的责任政策的建立 一个典型的p k i 体系结构如下 2 2 1p a a 图2 1p 体系结构 政策批准机构 创建整个p k i 系统的方针 批准本p a a 下属p c a 的政策 为 下属p c a 签发公钥证书 建立整个p k i 体系的安全政策 并具有监测各p c a 行为 的责任 它的具体功能是 1 发布p a a 的公钥证书 2 设置本体系的政策和操作程序 3 设置本p k i 体系中建立新p c a 的政策和操作程序 第9 页 北京邮咆大学硕士毕业论文 互联网宽带业务一致性研究 4 对下属p c a 和需要交叉认证的其他报证书进行身份认证和鉴别 5 为下属p c a 和需要交叉认证的其他根证书产生证书 6 发布下属p c a 的身份和位置信息 7 接收和发布下级p c a 的政策 8 定义下级p c a 申请证书作废请求所需的信息 9 接收和认证对它所签发的证书的作废申请请求 l o 为它所签发的证书产生c r l 1 1 保存证书 c r l 审计信息 p c a 政策 1 2 发布它所签发的证书和c r l 2 2 2p c a 政策c a 制定本p c a 下的具体政策 可以是p a a 政策的扩充或细化 但不 能与之相背离 这些政策可能包括本p c a 范围内密钥的产生 长度 证书的有效 期规定 c r l 的处理等 并为下属c a 签发公钥证书 它的具体功能是 1 发布自己的身份和位置信息 2 发布它所签发的下属c a 的身份和位置信息 3 公布它的服务对象 4 发布它j 制定的安全政策和证书处理有关程序 如密钥的产生和模长 对 p c a c 3 o r a 系统的安全控制 用户私钥的安全控制 c r l 的发布频率 审计程序等 5 对下属各成员进行身份认证和鉴别 6 产生和管理下属成员的公钥 7 发布p a a 和自己的证书到下属成员 8 定义证 作废请求生效所需的信息和程序 9 接收和认证对它所签发的证书的作废申请请求 l o 为它所签发的证书产生c r l 1 1 保存证二书 c r l 审计信息 和它所签发的政策 1 2 发布它所签发的证书和c r l 不具备或具备有限的政策制定功能 按照上级p c a 制定的政策 担任具体的 用户公钥证书的生成和发布 或c r l 生成发布职能 它的具体功能是 1 发布本地c a 对p c a 政策的增补部分 第1 0 页 北京邮电大学顾上毕业论文互联网宽带业务一效性研究 2 对下属各成员进行身份认证和鉴别 3 产生和管理下属证书 4 发布自身证书和上级证书 j 证实o r a 的证书申请请求 6 向0 鼢返回证书制作的确认信息或已制定好的证书 7 接收和认证对它所签发的证书的作废申请请求 8 为它所签发的证书产生c r l 9 保存证书 c r l 审计信息 和它所签发的政策 1 0 发布它所签发的证书和c r l 2 2 4o r a 进行证书申请者的身份认证 向c a 提交证书申请请求 验证接收到的c a 签发的证书 并将之发放给证书申请者 必要时 还协助证书作废过程 它的具 体功能是 1 对用户进行身份认证和鉴别 2 将用户身份信息和公钥以签名数据的方式发送给c a 3 接收c 返回的证书制作确认信息或制作好的证书 4 发放c a 证书 c a 的上级证书 以及 在返回制作好的用户证书的情 况下 用户证书给用户 5 接收证书作废请求 验证其有效性 验证通过盼情况下向c a 发放请求 2 3 p k j 体系结构的组织方式 在一个p k i 体系结构内 成员的组织可以有很多方式 例如 c o c o m m u n i t v o fi n t e r e s t 亨式 这种方式将成员按他们的日常职能分类 将日常行为中通 信较频繁的成员划分到一个c a 或p c a 下 政策的制定就由c o i 组织来决定 而 组织化方式将p k i 体系建立在现有的政府或组织机构的管理结构基础之上 而安 全政策就由每一个组织的管理机构来制定 担保等级方式则基于在一个p m 系统 中 成员的行为可以分为三到四个安全级别 成员按照他们相应的安全级别来组 织 而安全政策的制定可以由类似委员会的机构来完成 这些方式都是基于两点 的考虑 由哪个 几构来设置安全政策 在安全政策下用户该如何组织 在具体的 实旌过程中采取哪种或哪几种方式的组合应考虑到以下因素后选取 系统可靠 性 系统可扩展性 系统的灵活性和使用的便利性 c a 机构的可信任性 在需 第1 1 页 北京邮电人学硕上毕业论文 互联网宽带业务一致性研究 要的情况下 与其他系统的互操作性 建立系统或增加成员的时间开销 系统各 模块的管理结构 责任划分等 2 4p k i 的操作思想 在p k i 的实际运行中 与p k i 操作有关的许多行为都有多种实现方式 而且 这些行为各自选取了怎样的实现方式又将影响到其他行为的实现方式 不同实现 方式的组合将形成不同的p k i 全局操作思想 c o n o p s p k i 操作有十二种主要行为 包括 产生 证明和分发密钥 签名和验证 证书的获取 验证证书 保存证书 本地保存的证书的获取 密钥泄漏或证书中 证明的某种关系中止的报告 密钥泄漏的恢复 c r l 的获取 密钥更新 审计 存储等 这些行为分别和p k i 中下列成员相关 p k i 认证机构 p 数据发布 的目录 d 和用户 u 2 4 i 产生 验证和分发密钥 用户的公私钥对的产生 验证和分发可以有两种方式 自己产生或由代理方 产生 由实际的p c a 政策决定 如果由用户自己产生 那么用户对产生密钥方法的选取 私钥的存放应负有 责任 用户还应向c a 提交自己的公钥和身份证明 c a 对用户进行身份认证 并 对密钥的强度和持有者进行测试 在测试通过的情况下为用户的公钥产生证书 然后通过面对面 信件或电子方式将证书发放给用户 最后c a 还负责将证书发 布到相应的目录服务器 在某些情况下 用户将到o r a 去进行证书申请 此时 o r a 完成对用户的身 份认证 通过后 以签名数据的方式向c a 提供用户的公钥和相关信息 c a 完成 对公钥的测试然后产生证书 c a 将证书返回给o r a 并由o r a 发放给用户 或者 c a 通过电子方式将证书发放给用户 另一种情况下 用户的密钥对由密钥产生中心系统来完成 这个密钥产生中 心系统可以配噩在c a 里或作为一个单独机构 此时 用户应到密钥产生中心去产生密钥并取得密钥对 成功后密钥产生中 心应自动销毁本地的用户密钥对拷贝 用户取得密钥对后 按照上面描述的方式 到c a 或0 r a 申请证书 c a 包括p a a p c a c a 自己产生自己的密钥对 o r a 的密钥对可由自 己或第三方产 呈 由p c a 的政策制定 p c a 的公钥证书由p a a 签发 同时 它 第1 2 页 北京邮电大学硕士事业论义 互联削宽带业务一致性研宄 取得p a a 的公钥证书 c a 的公钥由上级p c a 签发 同时取得上级p c a 和p a a 的公钥证书 当它签发下级 用户或o r a 证书时向下级发送上级p c a p a a 的 公钥证书 2 4 2签名和验证 在p k i 体系中 对信息或文件的签名 以及相应的对数字签名的验证属于使 用非常普遍的操作 p k i 的成员可以使用多种算法来计算数字签名和进行相应的 验证 这些算法可以是硬件 软件或者软硬件结合的固件来完成 密钥和证书可 以存放在内存中 或通过i c 卡或软盘等其他介质存放 2 4 3证书的获l 班 在验证信息的数字签名时 用户必须获取信息的发送者的公钥证书 以及一 些需要附加获得的证书 如c a 证书等 用于验证发送者证书的有效性 证书的获取可以有多种方式 如发送者发送签名信息时附加发送自己的证 书 或以另外的单独信息发送证书 或者可以通过访问证书发布的目录服务器来 获得 或者直接从证书相关的实体处获得 在一个p k i 体系中 可以采取某种或 某几种上述方式获得证书 发送者在发送签名数据的同时可能发送证书链 此时 接收者拥有证书链上 的每一个证书从而可以验证发送者证书 如果发送者没有发送这些证书 接收者 必须判断为验证发送者的证书应取得哪些其他证书 可以通过检查发送者证书的 发放机构c a 从而从目录服务器取得该c a 证书 并重复这个步骤直到追溯到一个 已拥有可信任公钥证书的c a 机构为止 或者通过判断证书的唯一名称中包括的 证书验证机构名称从而取得该验证机构的证书 并重复该步骤直到追溯到一个己 拥有可信任公钥证书的e a 机构为止 在这两种方法中 必须借助目录服务来定 位证书请求和相应c r l 请求的目录服务器 2 4 4 证书使用 在电子商务系统中 证书的持有者可以是个人用户 企事业单位 商家 银 行用户 也可以是网络上的服务器 路由器等设备 归纳起来 这些证书持有者 或者是服务提供者 或者是被服务方 而在具体开展业务时 这些实体除了要具 备证书外 还要有相应的软硬件系统能够存放证书 进行相应的数据加解密 数 字签名和签名验证 身份认证等与密码有关的操作 第1 3 页 北京邮电大学硕士毕业论文 互联网宽带业务一致性研究 无论是电子商务中的哪一方 在使用证书验证数据时 都遵循同样的验证流 程 一个完整的验证过程有以下几步 1 将客户端发来的数据解密 如解开数字信封 2 将解密后的数据分解成原始数据流 签名数据 客户证书三部分 3 用c a 根证书验证客户证书的签名完整性 4 检查客户证书是否有效 当前时间在证书结构中的所定义的有效期 内 5 检查客户证书是否作废 o c s p 方式或黑名单方式 6 验证客户证书结构中的证书用途 7 用客户证书验证原始数据的签名完整性 如果以上各项均验证通过 则接受该数据 2 4 5验证证书 签名验证的过程包括迭代的决定证书链中的下一个证书和它相应的上级c a 证书 在使用每个证书前必须检查相应的c r i 用户从检查证书路径中最后一个 证书 即用户确认可以信任的c a 证书 所签发的证书的有效性开始 验证每 个证书 一旦证实后 提取被证实的证书中的公钥用于验证下一个证书 直到验 证完签名信息发送者的证书 并将此证书中包括的公钥用于验证签名 2 4 6保存证书 保存证书是指p e i 实体在本地储存证书以减少在p k i 体系中获取证书的时间 并提高签名验证的效率 在储存每个证书之前 应该验证证书的有效性 p k i 实 体可以选择储存所有从其他实体接收到的证书链上所有证书 也可以只存储签名 数据发送者的证书等 证书存储区应定时管理维护 清除已作废或已过期的证书和一定时间内未使 用过的证书 并同最新发布的c r l 文件比较 删除c r l 文件中发布的证书 证书 存储区存满后 一般采取删除最少使用 l r u l e a s tr e c e n t l yu s e d 证书的方 式维护 2 4 7本地保存的证书的获取 用户收到签名数据后 将检查证书存储区判断是否保存了信息发送者的证 书 如果保存了 用户则从本地储存区中取得该证书 用其中包含的公钥验证签 第1 4 页 北京邮电大学顽l 毕业论文 互联硝宽带业务一毁性研究 名 注意 用户可以选择每次使用前检查最新发布的c i i l 以确保发送者的证书未 被作废 也可以选择定期证实本地证书存储区中证书的有效性 如果用户的本地 存储区中未保存发送者的证书 用户则应按照上面描述的获取证书的方法来取得 所需的证书 2 4 8密钥泄漏或证书中证明的某种关系中止的报告 当p k i 中某实体的私钥被泄漏时 泄密私钥对应的公钥证书应被作废 对 c a 而言 私钥的泄密一般是由于恶意攻击造成的 对一般用户而言 私钥的泄 密可能是因为存放介质的遗失或被盗 如果证书中包含的证书持有者和某组织的关系已经中止 相应的公钥证书也 应该被作废 在这两种情况下 应尽快以带外 电话或书面文件 方式通知相应证书的签 发 c a 在密钥泄漏的情况下 应由泄密私钥的持有者通知c a 在关系中止的 情况下 由原关系中组织方或相应的安全机构通知相应的o r a 或c a 如果o r a 得到通知 o r a 应通知相应的c a 一旦请求得到认证 c a 在数据库中将该证书 标记为己作废 并在下次发布c r l 时加入该证书序列号及其作废时间 c r l 中的 证书过期时间到达后即可删除 对c a 的私钥泄漏的情况 c a 应通知它的上级c a 上级c a 将相应的c a 证书 放入c r l 中 注意 此时p k i 系统应迅速通知该c a 下属的实体 因为c a 证书的 作废将对其下属实体验证签名带来不便 另外 如何证实这种通知的可信任性也 是一个需要考虑的问题 种可能的方式是由泄密c a 的上级c a 签发一个泄密通 知消息 由该泄密c a 发放给它的下级实体 2 4 9密钥逮漏的恢复 在密钥泄漏 证书作废后 为了恢复p k i 中实体的业务处理和产生数字签名 泄密实体将获得一对新的密钥 并要求c a 产生新的证书 在泄密实体是c a 的情况下 它需要重新签发以前用泄密密钥签发的证书 每一个下属实体 瞎产生新的密钥对 获得用c a 新私钥签发的新的证书 而用泄 密密钥签发的证书将作废 并被放置入c r l 为了减少重新产生密钥对和重新签发证书的巨大工作量 可以采取双c a 的 方式来进行泄密后的恢复 即每一个p k i 实体的公钥都由两个c a 签发证书 当 一个c a 密钥泄漏后 得到通知的用户转向另一个证书链 可以通过另一个c a 签发的证书来验证签名 丽泄密c a 的恢复和它对下属实体证书的重新发放可以 第1 5 页 北京邮电大学硕士毕业论文 互旺恻宽带业务一致性研究 稍慢进行 系统的功能不受太大影响 2 4 1 0c r l 的获取 每一c a 均可以产生c r l c r l 可以定期产生 或在每次有证书作废请求后产 生 c a 应将它产生的c r l 发布到目录服务器上 c r l 的获得可以有多种方式 例如 c a 产生c r l 后 自动发送到下属各实体 大多数隋况下 出使用证书的各p k i 实体从目录服务器获得相应的c r l 2 4 1 1 密钥更新 在密钥泄漏的情况下 将产生新的密钥和新的证书 在并未泄漏的情况下 密钥也应该定时更换 这种更换的方式也有多种 p k i 体系中的各实体可以在同 一天 也可以在不同的时候更换密钥 相应的 每个证书都有一个有效期截止时间 与签发者和被签发者的密钥作 废时间中较早者保持一致 如果c a 和其下属的密钧同时到达有效期截止日期 则c a 和其下属同时更换 密钥 c a 用自己的新私钥为下属成员的新公钥签发证书 如果c a 和其下属的密钥不是同时到达有效期截止日期 当用户的密钥到期 后 c a 将用它当前的私钢为用户的新公钥签发证书 而到达c a 密钥的截止日期 时 c a 用新私钢为所有用户的当前公钥重新签发证书 不管哪一种更换方式 p k i 中的实体都应该在就密钥截止之前取得新密钥对 和新证书 在截止日期到达后 p k i 中的实体开始使用新私钥来签名数据 同时 应该将旧密钥对和证书归档保存 2 4 1 2 审计 p k i 体系中的任何实体都可以进行审计操作 但一般而言是由c a 执行 c a 保存所有与安全有关的审计信息 如 产生密钥对和证书的请求 密钥泄漏的报 告 证书中包括的某种关系的中止等 2 4 1 3 存档 出于政府和法律的要求以及系统恢复的需要 c a 产生的证书和c r l 应被归 档保存 另外的文件或审计信息出于调整或法规的需要也应被归档保存 第1 6 页 北京邮电大学硕士毕业论文互联斟宽带业务一致性研究 2 5p k l 体系的互通性 随着网络互连化程度提高 世界范围内将出现多种多样的证书管理体系结 构 p k i 体系的互通性也不可避免地成为p k i 体系建设时必须考虑的问题 p k i 体系中采取的算法的多样性更加深了互通操作的复杂程度 p k i 的互通首先必须建立在网络互通的基础之上 才能保证在全球范围内数 据可以在任何终端用户之间的传送 其次 用户必须借助于x 5 0 0 目录服务获得 对方签名使