数字证书状态验证系统研究

论文摘要

PKI是目前公认的在大规模、开放网络环境下解决信息安全问题最可行、最有效的一种办法。PKI作为一种基础设施,它提供了一个通用的信息安全基础平台,能够有效地解决各种网络应用中的真实性、机密性、完整性、不可否认性和访问控制等安全问题。数字证书状态验证系统是PKI的一个不可或缺的组成部分,用于在PKI应用中为数字证书依赖者提供相关证书的撤销信息。本文将基于ErcistPKI项目背景,从理论和实践两方面来探讨PKI的这个核心组件:数字证书状态验证系统。 OCSP是一种比较常见的数字证书状态验证机制,它克服了CRL的及时性有限、可扩展性差和难于管理等缺点,能够通过简单的查询向用户提供实时的数字证书状态信息。这在诸如涉及到大量资金的交易或股票买卖等实时性要求较强的安全应用非常有用。本文基于OCSP机制设计了一种高度模块化的、安全高效的、可扩展的在线证书状态验证系统,并讨论系统实现中的若干问题及其解决方法,最后分析影响系统性能、可扩展性和安全性等的相关因素。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪言
• 1.1 研究背景
• 1.2 数字证书状态验证机制发展现状
• 1.3 研究内容和组织结构
• 第二章 密码学基础和PKI系统概述
• 2.1 密码学基础
• 2.1.1 加密/解密
• 2.1.2 对称密码体制
• 2.1.3 非对称密码体制
• 2.1.4 杂凑函数
• 2.1.5 数字签名技术
• 2.1.6 数字信封技术
• 2.2 PKI系统概述
• 2.2.1 公钥证书PKC
• 2.2.2 PKI的构成
• 2.2.3 PKI的主要功能
• 2.2.4 PKI的相关标准和协议
• 2.3 本章小节
• 第三章 系统设计中使用的若干关键技术
• 3.1 OCSP协议分析
• 3.1.1 OCSP工作原理
• 3.1.2 OCSP协议消息语法
• 3.1.3 OCSP扩展
• 3.1.4 OCSP的传输机制
• 3.1.5 委托服务
• 3.2 线程池设计
• 3.2.1 线程池的技术背景
• 3.2.2 线程池技术提高服务器性能的原理
• 3.2.3 线程池的组成部分
• 3.2.4 优化线程池尺寸
• 3.2.5 线程池的风险及应注意的问题
• 3.3 数据库同步
• 3.3.1 数据同步模式
• 3.3.2 数据库复制
• 3.4 本章小结
• 第四章 基于OCSP的在线证书状态验证系统设计
• 4.1 响应器的一般模式
• 4.2 OCSP系统结构设计
• 4.3 OCSP系统实现的若干问题及其解决办法
• 4.3.1 OCSP数据库的数据新鲜性和可靠性问题
• 4.3.2 证书路径问题
• 4.3.3 OCSP响应的签发
• 4.4 影响系统性能和可扩展性的因素分析
• 4.4.1 多线程技术
• 4.4.2 响应预计算
• 4.4.3 缓存
• 4.4.4 使用LDAP目录作为OCSP数据库
• 4.5 OCSP系统的安全性分析
• 4.5.1 OCSP数据库与CA数据库的安全同步
• 4.5.2 OCSP系统内部网络与外部网络的隔离
• 4.5.3 拒绝服务攻击
• 4.5.4 重发攻击
• 4.6 本章小结
• 第五章 总结
• 5.1 本文的主要成果
• 5.2 进一步的工作
• 参考文献
• 发表文章目录
• 感谢