[发明专利]一种提高数字证书撤销列表安全性的方法

说明书

技术领域

本发明涉及对互联网中使用的数据证书进行处理的方法，具体涉及一种提高数字证书撤销列表安全性的处理方法。

背景技术

由于Internet网电子商务系统技术使在网上购物的顾客能够极其方便轻松地获得商家和企业的信息，但同时也增加了对某些敏感或有价值的数据被滥用的风险。为了保证互联网上电子交易及支付的安全性，保密性等，防范交易及支付过程中的欺诈行为，必须在网上建立一种信任机制。这就要求参加电子商务的买方和卖方都必须拥有合法的身份，并且在网上能够有效无误的被进行验证。

以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性。使用了数字证书，即使用户发送的信息在网上被他人截获，甚至丢失了个人的账户、密码等信息，仍可以保证账户、资金安全。

数字证书是一种权威性的电子文档，由权威公正的第三方机构，即证书认证中心签发的证书。

以数字证书为基础的身份认证体系在出现需要作废的数字证书时，采用数字证书废止列表的方式来实现，数字证书废止列表(业界常简称CRL)中记录所有在原定失效日期到达之前被废止的数字证书的用户数字证书序列号，供数字证书使用者在认证对方数字证书时查询使用。为了处理大用户量的情况，一般情况下，都会采用将数字证书废止列表分在多个数字证书废止列表文件中的方式，在数字证书中表明如若该数字证书被废止则对应的证书序列号位于那个数字证书废止列表文件中。数字证书废止列表的结构如下：

证书废止列表(CertificateList){

待签名废止证书列表(tbsCertList)

版本号(version)

签名算法(signature)

签发者(issuer)

本次更新时间(thisUpdate)

下次更新时间(nextUpdate)

废止的证书(revokedCertificates)

废止证书的序列号(userCertificate)

废止时间(revocationDate)

废止项扩展(crlEntryExtensions)

证书废止列表扩展crlExtensions

签名算法(signatureAlgorithm)

签名值(signatureValue)}

其中废止项扩展和证书废止列表扩展的结构如下：

扩展标识

是否为关键扩展

扩展值

在现有的标准和业界的操作过程中，经常使用的扩展有：签发者密钥标识、签发者名称、CRL数量、增量CRL指示器、签发发布点、最新CRL和权威信息访问。

一般的证书验证流程是首先验证证书合法性，然后根据证书包含的CRL发布点信息下载或从本地查找对应的CRL文件来查验对应的证书是否在指定的CRL文件中。

从上面我们描述的证书废止列表的结构看，证书废止列表的这些内容都没有表示CRL文件名称或CRL文件中应涵盖的CRL范围，这就导致了CRL与证书验证的机制脱节，从而出现安全问题。

发明内容

本发明需要解决的技术问题就在于提供一种提高数字证书撤销列表安全性的方法，本发明解决了目前数字证书撤销列表导致了CRL与证书验证的机制脱节，从而出现安全隐患的问题。

为解决上述问题，本发明采用如下技术方案：

数字证的废止过程是：

(一)发起数字证书撤销；

(二)将证书序列号放入数字证书废止列表的待废止列表；

(三)CA根据预先设定的废止规则将需要废止的数字证书序列号构成一个CRL文件；

(四)CA对数字证书废止列表签名；

(五)发布数字证书废止列表至特定的文件中或特定的目录中；

将第(三)步骤中CRL的文件名或证书中CRL发布点的名字包含在CRL文件中，由CRL签发者做数字签名，这样来保证CRL文件与证书的CRL发布点进行对应。

进一步地，本发明的一种提高数字证书撤销列表安全性的方法，还具有如下特点：第(三)步骤中保证CRL文件与证书的CRL发布点进行对应的具体方法的步骤是：