面向HTTPS内容分发网络代理关系透明化.PDFVIP

第3 卷 第2 期 信 息 安 全 学 报 Vol. 3 No.2 2018 年3 月 Journal of Cyber Security March, 2018 面向HTTPS 的内容分发网络 代理关系透明化 1, 2, 3 1, 2, 3 1, 2* 王 泽 , 李文强 , 蔡权伟 1 中国科学院信息工程研究所 北京 中国100093 2 中国科学院数据与通信保护研究教育中心 北京 中国100093 3 中国科学院大学网络空间安全学院 北京 中国 100049 摘要 内容分发网络可以提高浏览器访问网站的速度和网站安全性(例如防 DDoS 攻击), 已被广泛部署和应用。当浏览器的 HTTPS 连接被重定向到内容分发网络的代理服务器时, 由于浏览器要求收到的证书与访问的网站域名匹配, 内容分发网络不能 直接使用自己的证书, 而是需要使用内容来源网站的有效证书和私钥, 才能正确地同浏览器建立HTTPS 连接。现在, 大量内容 分发网络和源网站共用私钥, 违背了 PKI 的设计原则。同时, 现有模式下的代理关系对于浏览器是不透明的, 内容源网站也无 法快速地撤销代理关系。本文提出了一种面向HTTPS 的, 公开可验证的内容分发网络代理关系管理方案。在本方案中, 内容来 源网站在公开的日志服务器中发布授权代理其内容的内容分发网络的信息, 并产生可验证的代理证据。浏览器使用 HTTPS 连 接内容分发网络代理服务器时, 代理服务器推送自己的证书和相应的代理证据。浏览器不必与源网站直接通信, 即可验证代理 证据, 并使用内容分发网络的证书正确地建立HTTPS 连接。同时, 本方案允许内容分发网络和内容来源网站独立地管理各自的 私钥, 且内容来源网站可以独立地更新、撤销代理关系。我们实现了本方案的原型系统, 并进行了性能评估: 实验结果表明, 本 方案在带宽/延迟/存储等各方面均未造成过大开销。 关键词 公钥基础设施; 内容分发网络; 安全套接层; 安全传输层协议; 公开日志; 代理; 信任 中图法分类号 TN393.08 DOI 号 10.19363/10-1380/tn.2018.03.02 Delegation Transparency for HTTPS with CDNs WANG Ze1, 2, 3, LI Wenqiang1, 2, 3, CAI Quanwei1, 2* 1 Institute of Information Engineering, Chinese Academy of Sciences, Beijin