基于网关的证书跨域信任链传递算法研究

基于网关的证书跨域信任链传递算法研究 如果您需要更多资料可以到www.docin.com/week114进行免费查阅 基于网关的证书跨域信任链传递算法研究 胡喆，龙毅宏 武汉理工大学信息工程学 院，武汉(430070) Email: whut_hz@163.com 摘 要:随着 PKI 技术的广泛使用，CA 建立更加普遍，但各个 CA 间颁发的证书并不能很好的跨 CA 信任域使用。本文所介绍的基于网关思想的证书跨信任域的方案就是一种针对以 上问题所提出的面向应用的解决方式，其核心思想就是将证书信任链在整个信任网络中传 递，使得应用系统能识别不同 CA 颁发的证书。本文针对其中的实现核心——证书信任链的 传递算法进行了深入的研究，使得基于网关思想的证书跨信任域解决方案能得以高效的实 现。 关键字:网关，信任链，算法 中图分类号:TP312 1. 引言 域，即信任域，对于一个组织实际上可以定义为:公共控制下或服从于公共策略的系统 [1]集。现有的跨域解决方案可为如下几种方式:1、根 CA;2、交叉认证;3、桥 CA;4、 信任列表 。其中前三种解决跨域方案都是基于 CA 机构的角度思考的，主要是考虑在两个 不同的信任域中建立 CA 机构的信任联系，从而开辟一条信任路径;而信任列表是基于应用 系统的角度出发的，主要是考虑直接使应用系统认可其信任域外的 CA 机构，从而减少 CA 间的相互认证且达到证书跨信任域使用的目的。基于网关的数字证书跨信任域使用也是采用 面向应用的解决方案。 2. 网关跨域思想模式 基于网关思想的跨域模式也是一种面向应用系统的解决方案。其实现的核心即是数字证 书的信任链传递问题。 2.1 网关思想跨域模式 图 1:由信任网关组成的信任网络 网关思想跨域模式主要的思想就是通过一个具有网关功能的接入点作为应用系统与 CA 机构间的桥梁，使得 CA 的证书信任链能传递给应用系统，接入点又可以彼此相连从而 形成信任网络(如图 1 所示)，最终实现不同信任域 CA 机构的证书信任链都可被应用系统 如果您需要更多资料可以到www.docin.com/week114进行免费查阅 如果您需要更多资料可以到www.docin.com/week114进行免费查阅 认可的状态。 图 2:信任网关的组成 [2]此接入点网关整体我们可以称为信任网关。信任网关可分为两个部分(如图 2 所示)， 一个部分主要负责与应用系统或者 CA 机构相连，可称为边界网关;另一部分主要负责与其 它网关联系，把证书信任链在整个信任网络中传递，可称为中心网关。把信任网关为两 部分主要是出于如下几点考虑: (1)功能细化，有利于针对不同的连接对象实现针对性功能; (2)扩展性强，当连接对象的需求发生改变时，只需改变某一网关的某一部分，而不用 整体改变整个网关; (3)有利于保护核心数据，中心网关常常带有证书信任链和特殊信息等核心数据，把它 隐藏在边界网关之后可有效防止数据流失或窃取。 当然网关分开后相应带来个急需解决的问题:网关间如何通信,这个问题可通过自己定 [3]义 xml 通信解决，在本系统开发研究中，我们采取了一种 SAML 协议帮助解决网关 间的通信问题。 2.2 边界网关 边界网关主要负责与应用系统或 CA 通信，所以可以把边界网关布置在应用系统或 CA 本地。 边界网关实质是一个 web 管理系统，提供的一定的对外接口，可实现对边界网关系统 的证书库管理，接入对象配置等功能。当边界网关接入的是 CA 机构时，主要负责把 CA 机 构的证书信任链储存在自己的证书库中;当边界网关接入的是应用系统时，主要负责应用系 统及时更新、修改其自己的证书库。当边界网关证书库的状态改变时，边界网关将通过 SAML 协议与中心网关取得通信，交换数据，使得中心网关的证书库状态及时更新，实现 CA 信任 链传递到中心网关系统。当边界网关接收到中心网关证书库状态改变通知时，与中心网关取 得通信，使得本地证书库与中心网关证书库状态同步，并告知相连的应用系统更新证书库。 2.3 中心网关 中心网关只与边界网关相连或与相邻中心网关通信，相对与 CA 机构和应用系统，中心 网关是完全隐藏的。 当边界网关把更新的数据传递到中心网关后，中心网关把证书信任链暂存在自己的证书 缓存中，由管理员判断是否接受此信任链，当证书信任链通过审查后将存储到中心网关证书 库中，中心网关也将发起更新通知，告知所有与其相连的中心网关并传递数据，从而完成证 书信任链在整个信任网络中的传递。若此中心网关不是更新发起者，接收到其它中心网关更 如果您需要更多资料可以到www.docin.com/week114进行免费查阅