OpenCA 体系结构.pdfVIP

OpenCA 体系结构 陈铁明 (Timper) Email: timper@ 论坛 OpenCA 是一个开放源码项目，旨在构建一个功能强大的、健壮的 CA 系统。OpenCA 由 Perl 作为 CGI 脚本开发，配置使用了多个开放源码项目：OpenSSL,OpenLDAP,Apache Proje ct 和Apache Mod_SSL。数据库采用Perl 可访问的DBM 或者Linux 下的mySQL 数据 库系统。 1.总 设计 1.1 基本体系 OpenCA 包括三个最基本的实体：CA Server、RA Server 和RA Operator 。CA 服务器与 网络断开，需用软盘等移动介质与RA 服务器进行数据交换；客户直接与RA Operator 通过 Web 形式交互，而RA Operator 和RA Server 使用SSL 安 交互；每个实 间的数据交换技 术由称为node(节点) 的接口实现。 CA RA Server 移动介质 Server https RA RA Public Server Operator 。。。 Operator (Web Interface) (Web Interface) http Web Browser 图1 OpenCA 的基本体系 1.2 逻辑构成 1.2.1 接口 OpenCA 通过特殊的web 接口将CA,RA,LDAP 等组件有效地结合起来。OpenCA 支持 以下几种接口：Node,CA,RA,LDAP,Pub 。 1．Node ：该接口管理数据库以及处理各种导入导出函数。数据库管理包括备份和恢复机制， 对于导入导出机制可通过配置不同规则解决上下层次节点间的访问同步问题。 2 ．CA：CA 接口主要创建证书和CRL 列表，另外还包括通过webinterface 修改配置的函数。 3 ．RA ：RA 接口处理各种请求，如编辑请求，证明请求，产生密钥对，删除错误请求和邮 件通知用户等。 4 ．Pub ：公共接口包括用户的各种需求处理，如产生CRS （for IE,NC ）；产生密钥对 （若用 户自己不能产生）；接收来自服务器的 PKCS#10 请求格式；登 证书或 CRL；查找证书； 测试证书等等。Pub 接口服务放在RAO 上实现。 1.2.2 流程 OpenCA 系统运行时包含诸多对象，各个对象的生命周期表如下。 new user Pending Valid Revoked Archived Request CRL Certificate CRR Deleted Request Issue R