基于EJBCA的证书状态查询系统的实现与优化.docVIP

基于EJBCA的证书状态查询系统的实现与优化 星论文网??来源：??发布时间：2010-05-30 18:23:36 1?引言随着电子商务的迅速发展，PKI（Public Key Infrastructure，公钥基础设施）技术的应用将越来越广泛。在PKI框架中，CA（Certification Authority，认证中心）的主要功能是颁发和管理证书。证书有一定的生命期，而由于某些原因（私钥泄漏等）一些证书在到期之前会被撤销，证书将不再有效。证书状态查询是PKI系统中一个重要的问题。现有PKI系统所提供的证书状态查询机制一般是基于CRL（Certificate Revoke List，证书撤销列表）的查询机制和基于OCSP协议（Online Certificate Status Protocol，在线证书状态协议）的实时查询机制。CRL是一种最简单、最常用的证书撤销方法，CRL实质上是由颁发证书的CA定期签发的一个签名的数据结构，内含被该CA撤销的证书列表。CRL使用证书序列号来标识每一个被撤销的证书。使用证书的系统就可以通过查询“最近签发”的CRL 来查询证书的状态。由于CRL是定期发布的，所以不能保证证书撤销信息的实时性和准确性。OCSP协议是PKIX工作组在RFC2560中提出的协议，给用户提供了一种方便快捷的数字证书状态查询通道，它可以满足那些要求提供比CRL更及时的证书撤销信息的操作要求，例如涉及大量资金的交易或者股票买卖。因而OCSP可以作为周期性的CRL的一种代替机制或补充机制，使得PKI体系能更有效、更安全地应用于各个领域。目前，在校园网中部署CA系统的技术已经相对成熟，而且有许多开源的CA系统可供参考。使用独立的PKI系统，不仅有助于校园网统一管理，而且可以节省大量的费用。EJBCA用JAVA编写，是一个具有完整功能的证书认证体系，并提供了一个开放的、高性能的、具有独立平台和基于组件的CA。它包含有PKI中几乎所有重要的功能部件，比如RA（Registration Authority，注册中心）、CA、CSDB（Certificate Storage Database，证书存储数据库）、CRL、OCSP等。为了提高校园网安全性，这里使用EJBCA建立GDUFCA。 2?EJBCA系统的安装配置在安装软件的配置上，这里选择最新版本的EJBCA软件，并经多方测试优化组合。相关软件均可通过开源网站下载得到。表1? EJBCA系统的软件组合 软件名称及版本?下载地址JDK1.6.0_9?/JBOSS-4.2.2.GA?EJBCA_3.7.2?/download.htmApache-ant-1.7.0?/ant/MySQL 5.0?MySQL-connector-java-5.0.6?/MySQL/Jce_policy-1_6_0?/javase/downloads/index.jspMySQL-front-3.2?http://www.mysqlfront.de部署EJBCA系统的过程如下：（1）生成初步部署文件ejbca.ear。在%EJBCA_HOME%目录下，运行：ant bootstrap。生成完毕，运行%JBOSS_HOME%/run.bat文件，启动jboss。由于内存处理任务较繁重，为了防止内存溢出错误，设置ANT_OPTS变量，参数为：ANT_OPTS=-Xmx512m。（2）安装管理CA并初始化EJBCA系统。首先启动MySQL数据库，然后在%EJBCA_HOME%/下，运行以下命令：ant install，安装管理CA并初始化EJBCA系统。安装时，将“CN=AdminCA1,O=EJBCA Sample,C=SE”设置为：“CN=GDUFCA,O=GDUF,C=CN”；将“CN=localhost,O=EJBCA Sample,C=SE”设置为：“CN=localhost,O=GDUF,C=CN”。安装完毕，停止JBOSS。（3）重新部署整个系统。在%EJBCA_HOME%目录下，运行命令：ant deploy。将重新部署整个系统，并用密钥库配置Sevlet容器。（4）安装管理员证书。将%EJBCA_HOME%/p12/superadmin.p12证书导入浏览器，默认密码是ejbca。方法为：选择证书文件，并单击右键，在弹出的对话框中选择“安装PFX”，就会打开导入证书的对话框。（5）重新启动JBOSS。登录http://localhost:8080/ejbca/。如果可以进入管理员（administrator）页面（要提示证书）说明安装成功。管理地址为：https://localhost:8443/ejbca/adminweb/index.jsp