基于区块链技术的数字证书处理构想.docxVIP

基于区块链技术的数字证书处理构想 　　在x.509标准中，pki（publickeyinfrastructure）的定义是支持公钥管理并能支持加密、认证、完整性和不可否认服务的基础设施。简单来说，pki就是一种使用公鑰密码理论和技术而建立的在信息安全保护领域普遍适用的系统或平台，为各种网络应用提供必要的安全服务。一个比较典型的pki系统包括证书机构ca、pki策略、数字证书库、证书撤销系统和pki应用接口等。pki是目前网络安全建设的基础与核心，是各类信息服务能够安全实施的基本保障，因此，对pki的研究和开发是目前信息安全领域的热点。 　　区块链技术是利用块链式数据结构来验证与存储数据、利用分布式节点共识算法来生成和更新数据、利用密码学的方式保证数据传输和访问的安全、利用由自动化脚本代码组成的智能合约来编程和操作数据的一种全新的分布式基础架构与计算范式。作为一项新兴的技术，区块链定义了一种全新的网络互信方式，具备去中心化、分布式计算、可编程及安全可信等特点，过程高度透明，数据高度安全，凡是需要公平公开并且互相信任的领域，都可以应用区块链技术。luxresearch于2018年12月发布的《2019年的19项关键技术》报告显示，区块链是即将改变世界经济，并在未来改变人们生活方式的19项关键技术之一。 　　一、pki存在问题 　　随着大数据时代的到来，数据体量将会呈现爆炸性上升的趋势，社会对信息安全服务的效率和多样性需求变得越来越强，人与人之间的信任关系越来越复杂易变，现有的pki系统对于信息的保护和信任关系的建立，已经不值得完全信赖。传统pki技术在具体应用时存在以下问题： 　　（一）信任锚点问题：根ca是信任的起点，必须保证其具有极高的信誉。但如何能保证ca是绝对可信的？有人提出可以把政府或国家机关作为根ca，以国家信用来担保。然而在某些情况下，国家也变得不再可信。据谷歌官方安全博客报道，2013年12月7日，他们发现一个与法国信息系统安全局（anssi）有关系的中级ca发行商向多个google域名发行了伪造的ca证书。这是全球首例曝光的国家级伪造ca证书劫持加密通讯事件，在网络安全行业影响十分恶劣。 　　（二）中心失效问题：作为系统核心的根ca对于黑客来说是极其明显的攻击目标，攻击成本相对较低而收益却非常大。根ca一旦被攻陷，该ca给其他用户签发的证书以及ca给自己签发的根证书都将失去作用。 　　（三）性能瓶颈问题：pki系统的核心是ca，它所做的工作包括证书发放、证书更新、证书撤销、证书验证等，任务繁重且无法被代理。这很容易使ca成为整个系统的性能短板，产生瓶颈问题。 　　（四）证书配置效率问题：用户在配置证书时，要首先向ca申请证书，ca签发证书后，用户需要将签发的证书安装在个人的终端上。在一些需要批量操作的场合例如终端设备的生产线上，由于私钥的私密性和唯一性，必须一个一个地配置安装证书，这样会浪费大量的时间和精力。 　　（五）树状结构问题：ca证书体系是一个层次分明的树状结构。上级ca在多数情况下以静态的方式使用自己的私钥给下级节点签发证书，而下级节点却很难证实它的上级是否可信。不仅如此，上级ca对自己的签名私钥的保护力度在很大程度上决定了下层所有节点的安全程度。因此，受到这种建立信任关系的方式的影响，为保证系统的安全可信，各级ca对其组织和人员的管理维护成本变得极其高昂。 　　二、基于区块链的证书处理方式 　　区块链技术采用了分布式存储计算、共识机制等方法，提供了一种全新的建立信任的方案，已被应用于各类业务场景，如跨境支付、保险理赔、慈善公益等。目前已有emcssl、certcoin等基于区块链的pki技术应用可以实现去中心化的认证方式，美国科技公司pomcor也提出基于区块链的pki系统，该系统仍然采用中心化的认证方式，使用区块链存储已发布或撤销证书的散列值。 　　本文提出一个新的构想，在保持原来pki整体系统架构不变的基础上，改变证书的处理方式，将ca所要完成的工作分散化，由所有证书持有者共同完成。数字证书以区块链的形式存储，证书的申请、颁发、验证、吊销等都由系统内超过半数以上的证书持有者共同决定，初步实现pki去中心化。 　　系统中的区块包含区块头和区块体两个部分，其中区块头中记录着生成本区块的时戳、上一区块的哈希值、默克尔树根等信息，区块体中记录着网络中每一份数字证书和与该证书相关的动作，以及动作执行之后的证书状态。在需要ca对证书用户的操作或请求做出响应时，由区块链网络中的超过半数的其他证书用户应用共识机制批准或禁止系统做出响应。本文提出的构想与传统pki系统处理证书流程相似，涉及证书申请、签发、验证、撤