基于商密SM2算法的證書狀態(tài)查詢機(jī)制設(shè)計(jì)與實(shí)現(xiàn).pdf

1、PKI系統(tǒng)作為提供互聯(lián)網(wǎng)安全的底層架構(gòu)，其管理的核心就是數(shù)字證書。國(guó)際上，數(shù)字證書采用的密碼算法大多是RSA，然而，隨著計(jì)算機(jī)運(yùn)算的速度越來越快，密碼產(chǎn)品中RSA的位數(shù)也越來越長(zhǎng)，在提供同等安全程度的環(huán)境下，使用ECC的密鑰位數(shù)比RSA短的多；與此同時(shí)，在ECC的基礎(chǔ)上我國(guó)自主設(shè)計(jì)了一套商用密碼算法SM2，隨著對(duì)信息安全的日益重視，SM2的商用價(jià)值會(huì)逐步呈現(xiàn)，采用SM2算法生成的證書也將日益流行。因此，對(duì)SM2證書的撤銷與驗(yàn)證將是PKI

2、系統(tǒng)對(duì)證書進(jìn)行管理的最重要任務(wù)。
　　目前獲取證書有效性最常用的方式是CRL（Certificate RevocationList，證書撤銷列表），但這種方式有著內(nèi)在的不足，單純對(duì)它的改進(jìn)仍然無法克服CRL的缺陷。隨著網(wǎng)絡(luò)交易的迅猛發(fā)展，CRL已經(jīng)無法滿足實(shí)時(shí)交易的需求。此時(shí)，OCSP（Online Certificate Status Protocol，在線證書狀態(tài)協(xié)議）作為一種可以實(shí)時(shí)查詢證書有效性的協(xié)議，能夠幫助用戶更及時(shí)的

3、獲取到證書的狀態(tài)信息。
　　本文在OpenSSL開源庫的基礎(chǔ)上擴(kuò)展了支持商密SM2算法的密碼卡設(shè)備，設(shè)計(jì)并實(shí)現(xiàn)了一套基于OCSP協(xié)議的證書狀態(tài)查詢系統(tǒng)，該系統(tǒng)具有易維護(hù)、可重用、可擴(kuò)展和通用性等特點(diǎn)。本文采用了模塊化的思想，將系統(tǒng)分成三個(gè)相對(duì)獨(dú)立的模塊，即Responder響應(yīng)器、密碼運(yùn)算模塊和CRSA（Certificate Revocation Status Administrator，證書撤銷狀態(tài)管理者）模塊，提高了代碼的可

4、擴(kuò)展和可重用性。
　　其中，Responder響應(yīng)器采取的方法是在流行的Apache服務(wù)器中設(shè)計(jì)一個(gè)證書狀態(tài)查詢模塊，響應(yīng)器主要實(shí)現(xiàn)了以下四個(gè)方面：OCSP模塊數(shù)據(jù)結(jié)構(gòu)的設(shè)計(jì)、服務(wù)端配置結(jié)構(gòu)的設(shè)計(jì)、掛鉤（包括內(nèi)容生成器掛鉤）的設(shè)計(jì)實(shí)現(xiàn)以及配置指令的設(shè)計(jì)。本文中將OCSP響應(yīng)器內(nèi)嵌于主流的web服務(wù)器中，以支持海量高并發(fā)的實(shí)時(shí)證書有效性查詢請(qǐng)求。
　　密碼運(yùn)算模塊主要采用支持國(guó)家商密SM2算法的密碼卡，密碼卡中提供了一套滿足國(guó)

5、家密碼設(shè)備規(guī)范的標(biāo)準(zhǔn)API接口。本文借助OpenSSL開源庫的動(dòng)態(tài)引擎機(jī)制，在OpenSSL中添加對(duì)密碼卡的調(diào)用，然后通過OpenSSL的統(tǒng)一調(diào)用接口來進(jìn)行調(diào)用，從而提高了密碼運(yùn)算模塊的獨(dú)立性。從證書撤銷庫中獲取證書查詢結(jié)果后，調(diào)用通用接口（EVP）即可對(duì)查詢結(jié)果進(jìn)行簽名運(yùn)算。
　　CRSA模塊，完成了對(duì)撤銷證書的管理。證書撤銷管理模塊主要實(shí)現(xiàn)了以下四個(gè)方面：配置文件的讀取、LDAP的連接和認(rèn)證、CRL的獲取、時(shí)間（lastUpd