使用SCEP为SSL提供证书服务.pdfVIP

使用SCEP 为SSL 提供证书服务 杨扬，马跃 北京邮电大学计算机科学与技术学院，北京（100876 ） E-mail：yywberry.student@ 摘 要：SSL 作为目前流行的保障信息安全的协议，具有保密性、消息完整性和端点认证等 特性。本文使用 SCEP 模块为 SSL 提供端点认证的特性，它作为路由器上的一个模块，向 CA 服务器提出请求，为通信双方提供身份认证。 关键词：SCEP，SSL，CA 服务器，CRL 中图分类号：TP393 1. 引言 SCEP[1] （Simple Certificate Enrollment Protocol）是一种证书解决方案，目前广泛应用于 PKI client 和CA 实现。SCEP 中有三种实体：终端实体、数字证书认证中心（CA ）和审核 授权部门（RA ）。终端实体是指在证书的 subject name 域或者在 X.509 V3[2]扩展版本中 subjectAltName 域中定义名字的实体。它的功能是产生一对非对称 RSA 密钥，发起证书申 请或者证书查询请求。CA 是证书的颁发机构，是PKI 的核心，职责是接收终端用户的申请， 决定是否为其颁发证书；处理证书的更新请求；处理证书的查询请求；发布 CRL 等。RA 协助CA 负责为已授权的证书申请者制作、发放和管理证书，在RA 存在的情况下，终端实 体通过RA 提出证书申请，此时终端实体除了获得CA 自签名证书外，还要获得由CA 颁发 的RA 证书。 SCEP 模块 HTTP 模块 SSL 模块 TCP 模块 图1 SCEP 模块在路由器中的位置 在建立SSL 连接的过程中，有两处需要提供证书服务。一处是SSL 服务器向客户端发 送证书来证明自己的身份时，这就需要 SSL 服务器拥有自己的数字证书；另外一处是如果 SSL 服务器选择了客户端认证，那么它在获得客户端证书时就需要认证客户端证书的可靠 性。由于验证证书需要耗费大量的时间，如果一个 SSL 服务器同时为多个客户端服务，验 证每个客户端的证书将耗费大量的服务器时间，降低了服务器的效率。因此，对客户端身份 的验证往往不使用证书，而是通过其他的方式完成，比如用户名/ 口令等。所以本文只讨论 SCEP 为SSL 申请数字证书的情况，SCEP 模块在系统中的位置可以用图1 表示。 2. 为SSL 服务器申请证书 SSL 连接中进行服务器验证，首先要保证服务器拥有数字证书，申请证书的过程由SCEP 模块完成，申请成功后将证书送至SSL 信箱，SSL 模块可以将证书存储在内存中，启动SSL 模块时自动加载证书，而无需每次重新申请证书。 SCEP 在申请证书前需要具备以下两个前提条件：具有一对RSA 密钥；已知CA 服务器 - 1 - URL 。SCEP 拥有的这对密钥即是将来CA 颁发的服务器证书中的SubjectPublicKeyInfo[2]域 中要包含的内容，同时，SSL 在剩余的建立连接过程中还要使用其中的密钥信息，因此密钥 的生成可以交由SSL 模块完成，之后再将密钥提供给SCEP 用来申请证书。因为SCEP 申请 证书的过程用到了HTTP 消息，所以必须知道CA 服务器的URL 。本文使用的网络拓扑如 图2 所示，路由器R 作为SSL 服务器，其上已经装载了SCEP 模块，还有一台安装了Windows 2003 证书服务器的机器作为CA 服务器，假设其IP 为,CA 服务器名为test （建立CA 服务器时由用户填写），CA 服务器在路由器内的名字为myca （此名字用来在路由器内部使 用