数字校园安全平台中证书撤销机制的研究与设计

论文摘要

数字校园是现实校园通过信息技术在空间和时间上的扩展与延伸,它包含了现实校园及其所衍生出来的数字空间,是利用计算机和网络技术对校园网上的各种资源的有效集成。安全是数字校园建设中的一个重要基础环节。基于PKI的安全支撑平台是数字校园工程的重要组成部分,为公共体系基础设施、应用支撑平台和业务应用系统层提供统一的信息安全基础服务。证书撤销是数字证书管理中必须要解决的重要问题。数字校园中的证书撤销机制要满足数字校园安全平台的基础环境、具有较高的效率和可扩展性,并需要根据数字校园中的主要应用模式进行相应的优化。本文以国防科大数字化校园建设为背景,做了以下几个方面的工作:(1)提出并分析了一种CRL与OCSP相结合的证书撤销与验证机制根据国防科大数字校园的情况,针对每个CA域,均设立一个OCSP服务器,后者定期获取所有CA发布的CRL,为所属域内的客户节点提供证书状态的查询服务。其中,CRL与OCSP相结合体现在两个方面:①将证书验证的用户分为服务节点和客户节点,服务节点依赖CRL,而客户节点则依赖OCSP。②CRL作为OCSP的后台证书状态更新机制。这一方式即充分考虑到了数字校园中客户节点移动性强、资源有限的特点,又考虑到了数字校园中的行政管理关系和资源应用模式,是一种可行的优化方案。(2)提出并分析了基于P2P的CRL分发方法为提高CRL分发的性能,本文提出了基于P2P的CRL分发方案。其基本思想是将整个CRL分为多个小的数据块,CRL的下载节点从CRL发布节点下载不同的数据块,并同时将下载完成的数据块上传到其它客户节点。与传统方式的不同在于,CRL下载节点不仅仅从数据发布节点中下载CRL,而且同时也向其它下载节点提供已下载的CRL数据,将以往的一对多的CRL分发模式改变为多对多的模式。理论分析和仿真试验均表明,这一方法大大缩短了CRL分发的时间,接近理论的最优值。(3)提出并分析了OCSP节点间的请求转发方法提出了OCSP节点间的请求转发方法,即负载较重的节点将无法及时处理的证书撤销验证请求转发到其它负载较轻的节点进行处理,以均衡各OCSP节点的负载,避免因某一个OCSP节点负载过大而影响证书验证的性能。(4)系统的仿真研究根据国防科大的实际情况确定证书撤销仿真环境的参数,构造了一个用于研究数字校园中证书撤销机制性能的仿真环境,设计并实现了相应的仿真引擎,对本文所提出的数字校园中的证书撤销机制进行了仿真分析。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 问题的提出
• 1.1.1 数字校园的概念
• 1.1.2 数字校园中的安全问题
• 1.1.3 数字证书的撤销机制
• 1.2 本文的工作
• 1.3 论文的结构
• 第二章 PKI 的基本概念
• 2.1 PKI 要解决的主要问题
• 2.2 PKI 相关技术及提供的服务
• 2.3 PKI 提供的服务
• 2.4 PKI 的组成
• 2.4.1 整体结构
• 2.4.2 组成部分
• 2.5 小结
• 第三章 数字证书的撤销机制与方法
• 3.1 CRL 及其变形
• 3.1.1 CRL
• 3.1.2 分段CRL
• 3.1.3 Over-issued CRL
• 3.1.4 delta CRL
• 3.1.5 分段 Over-Issued CRL
• 3.2 OCSP
• 3.3 CRT
• 3.4 小结
• 第四章 证书撤销机制的设计与分析
• 4.1 数字校园建设对证书撤销机制的需求
• 4.2 系统设计
• 4.2.1 基本结构
• 4.2.2 CRL 的分发
• 4.2.3 证书状态的验证
• 4.3 系统特性分析
• 4.3.1 CRL 与OCSP 相结合的证书撤销与状态查询机制
• 4.3.2 基于P2P 的CRL 更新方案
• 4.3.3 OCSP 节点间的请求转发
• 4.4 小结
• 第五章 系统的仿真研究
• 5.1 仿真研究的目的
• 5.2 仿真环境的设计
• 5.2.1 仿真环境的参数设定
• 5.2.2 仿真模型和指标
• 5.2.3 仿真引擎
• 5.3 仿真结果及分析
• 5.3.1 基于P2P 的CRL 发布性能
• 5.3.2 证书状态验证性能
• 5.3.3 OCSP 服务器的refering 性能
• 5.4 小结
• 第六章 总结与展望
• 6.1 本文的主要工作和贡献
• 6.2 进一步的工作
• 攻读硕士学位期间发表的论文
• 致谢
• 参考文献