基于Web+Service的PKI研究.pdfVIP

维普资讯 第 10卷 第 2期 重庆科技学院学报 自然科学版 2008年4月 基于WebService的PKI研究 周 潇 钱 乐旦 温州大学，温州 325035 摘 要：传统 PKI体系结构复杂，不同的实施方案之间兼容性差，应用性不强 。在分析当前 PKI技术 的前提下 ，构建基 于WebService框架 的PKI体系解决传统 PKI技术的不足。 关 键 词：PKI；WebService；数字认证 中图分类号 ：TP393．08 文献标识码 ：A 文章编号 ：1673—1980 2008 02-0082-04 PKI是 “PublicKeyInfrastructure”的缩 写 ，意为 可信的第三方权威机构 ，具有验证用户证书 申请， “公钥基础设施”。简单地说，PKI技术就是利用公钥 签发证书，定期发布证书实效列表 ，向应用证书 吊 理论和技术建立起来的，提供信息安全服务的基础 销请求等功能，同时还可 以对用户存储证书备份 、 设施 。网络通讯、网上交易都是利用PKI来保证其 进行钥恢复。 信息安全 。但是传统PKI体系结构复杂，其应用开 RA RegistrationAuthority ．注册机构 ：相 当于 发和推广有极大难度 。 CA的一个代理机构 ，帮助 CA完成证书申请的登记 WebService是一种面向服务的体系结构 ，它提 和审计工作 ，将验证过的证书申请由CA签发。 供 了一种理想、灵活的分布式应用框架 ，在Web 安全策略管理 ：通过管理员为不同用户选择不 Service基础上构建的PKI体系可 以克服传统PKI 同的安全策略。分发不同安全级别 的数字证书。 的缺点。 证书管理 ：PKI系统可以根据具体需要制定不 同的证书策略，包括证书扩展项 的选用 ，CA的部 1PKl体系 署 ，证书路径长度等。 1．1 PKI的组件 撤销系统 ：如果一个证书还没有到期 ，又不再有 PKI可以作为支持认证、完整性、机密性和不可 效，就需要进行证书撤销 。通过一种有效、可信的方 否认性的技术基础 ，可 以从技术上解决网上身份认 法 ，如黑名单 CRL，在证书 自然过期前撤销它 。 证 ，信息完整性和抗抵赖等安全 问题 ，为 网络应用提 1．2 PKI的服务 供可靠的安全保障。PKl系统结构如图1所示。 PKI提供的服务包括认证、完整性、保密性 、安 全时间戳 、不可否认 、安全公证。前三种是 PKI提供 …jJ… ’●·r———————变———塑———笠———堡—一 怍 的核心服务 ，后三种是 附加服务 ，它们建立在核心 ：用 证书 作 ： I ^ ● 服务基础之上 。一些 PK1支持附加服务 ，有 的则不 支持。 1 认证 一 请 安 策略 证书撤销 ： ： 网I I 掣 认证是指确认某实体确实是 自己所声 明的实 体。PKI认证服务主要针对 Internet上不定身份 的大 图 1 PKI系统结构图 数量用户认证而开发的技术，一般使用数字签名确 数字证书：PKI系统中最基本的元素，所有安 认实体的身份 。因此提供认证服务的PKI必须具有 全实现都 以数字证书为基础。 生成数字签名和验证数字签名的功能。 CA CertificateAuthority 认证 中心 ：它是一个 2 完整性 收稿Et期 ：2007—12—15 作者简介 ：周潇 1982一 ，女，浙江永嘉人，温州大学现代教育技术 中心助理实验师，研究方 向：webService、网络、电子商务等 。 · 82 · 维普资讯 周潇 ．钱 乐旦 ：基于W ebService的PKI研 究 数据完整性服务是指确认数据在传输过程或者 人1有责任为该证书指定一个独一无二的序列号，以 存储过程 中没有被修改。实现数据完整性服务的主 区别于该实体发布的其他证书 。序列号信息有许多 要方法是数字签名技术 ，其过程基本上和认证服务 用途 ．比如当一份证书被回收以后 ，它的序列号被放 相同．唯一的区别是被签名的数据不同。 人证书回收列表 CRL 之中； 3 保密性 4 证书持有人唯一 的标示符 f或称 DN—dis． 数据保密性服务是确保数据在传输过程 中不被 tinguishedname 。这个名字在 Internet上应该是唯 除指定接收者以外的任何人看懂 。PKI的保密性服 一 的 ： 务采用 “数字信封”机制，发送方先产生一个对称密 5 证书的有效期。证书起始 日期和时间以及终 钥 ．并用该对称密钥加密敏感数据 。同时，发送方用 止 日期和时间，指 明证书何时失效 ； 接收方的公钥加密对称密钥，就像把它装入一个 “数 6 证书发布者的唯一名字。这是签发该证书的 字信封 ”，被加密的敏感数据和 “数