證書撤銷制造技術

一種包括多個節點的通信系統，所述通信系統被安排為：為所述多個節點的每個指派證書，其中，借助于該證書，所述節點可以向所述通信系統中的其他節點認證其自身；定期向所述多個節點分發更新，其中，所述更新通過對代表被指派給所述多個節點的證書的有效性的數據集進行壓縮來形成，所述更新是這樣的，以使得節點不可以能夠從所述更新中無歧義地確定特定證書是否有效；以及，為所述多個節點提供關于所述多個證書的有效性的信息源，其中，所述信息源與所述更新不同，并且，借助于所述信息源，節點可以解決所述更新中關于特定證書有效性的歧義。

【技術實現步驟摘要】
【國外來華專利技術】
本專利技術涉及在通信系統中對客戶端進行認證，并且特別涉及當用于對客戶端進行認證的證書不再有效時對節點進行更新。
技術介紹
許多通信系統包括由系統提供商運行的集中式服務器。客戶端可以通過訪問那些服務器中的一個來獲取服務。通常，服務器在向客戶端提供所請求的服務之前對客戶端的身份進行認證。例如，可以要求用戶輸入用戶名和密碼，其中，服務器對照其存儲或可訪問的用戶名和密碼的記錄檢查所述用戶名和密碼。一旦服務器已對客戶端進行認證，其可以依照請求提供服務。其它通信系統被進行不同的安排。取代使用僅由系統提供商運行的集中式服務器，網絡可以包含大量分布式節點，其中，客戶端可以訪問所述分布式節點以獲取服務。這些節點不必被系統提供商擁有或運行。例如，節點可以是用戶設備，所述用戶設備運行使其能夠充當通信系統中的節點的來自系統提供商的軟件。這使通信系統能夠通過本質上從數百萬設備“借用”少量計算資源而被創建。用戶可以然后經由數百萬節點中的任一個訪問系統。在所述分布式網絡中，客戶端不必再訪問集中式服務器以獲取服務。然而，仍然需要對客戶端進行認證。一種選項將是客戶端向分布式節點提供其用戶名和密碼，分布式節點可以然后使用集中式數據庫對所述用戶名和密碼進行檢查。然而，分布式節點在每次其需要對客戶端進行認證時不得不與集中式數據庫聯系是不可取的。一種可替換選項是為每個客戶端指派私鑰/公鑰對。客戶端可以通過向節點發送消息來向分布式節點認證其自身，其中，該客戶端已使用其私鑰對所述消息進行數字簽名。分布式節點可以然后通過對消息應用對應公鑰來對客戶端進行認證。每個客戶端通常被發給數字證書。數字證書構成RELOAD協議的一部分，并且在由C.Jennings 等所著的 “Resource Location and Discovery (RELOAD) Base Protocol，，中進行描述。證書包含用戶名與公鑰之間的綁定，從而第三方節點可以確定公鑰被指派給了該特定客戶端。證書可以由被節點信任的中央服務器或由某個被信任的第三方發行者發出。發行者使用其私鑰對證書進行簽名。由于節點信任證書的發行者，所以，一旦客戶端具有對密鑰進行認證的證書，則該節點可以確定客戶端的公鑰被指派給了該客戶端。通常，證書包括: -客戶端的公鑰 -客戶端的用戶名 -證書的到期日 -發行者的名稱 -發行者的數字簽名。在大型通信系統中，每個節點存儲針對系統中的每個用戶的證書不可行。證書因此需要被存儲在系統中的別處，在可被分布式節點訪問的位置處。一種選項將是證書由中央服務器存儲。然而，這將要求節點在每次其想要對客戶端進行認證時訪問中央服務器。一種優選選項是，將特定客戶端的證書存儲在特定節點中。證書可以然后遍及通信系統的節點進行分發。分布式電信系統的一個示例在圖1中示出。一般地在101處示出的系統包括多個一般地在102處示出的節點。系統被圖示為“環形”結構，其中，在所述環形中的每個位置處分配了號碼。在圖1中所示的示例中，環形具有22個所述位置。然而實際上，位置的數量可以共計許多百萬。每個位置可以被節點102占有，而某些位置仍舊為空。跟隨在一個或多個空位之后的節點將承擔對緊接在其自身位置之前的空位的責任(例如，如103處所示，圖1中位置20處的節點107還對位置18和19負責)。關聯于特定客戶端的證書可以被存儲在所述節點中的一個中。在圖1中，對客戶端104的公鑰進行認證的證書被存儲在節點106中。通常，將存儲關聯于一個特定用戶的證書的節點的身份將由中央服務器確定，該中央服務器可以然后將證書向外“推送”到合適的節點。想要對特定客戶端進行認證的節點可以從存儲該客戶端的證書的節點請求該客戶端的證書。一種在包括大量分布式節點的通信系統中存儲數據的方式是通過使用分布式哈希表(DHT)。DHT提供與哈希表類似的服務，其通過存儲鍵/值對從而使任意參與的節點可以檢索關聯于給定鍵的值。DHT可以將維護鍵到值的當前映射的職責分布到通信系統的節點中，從而使參與節點的改變導致最少量的中斷。為最小化系統中的節點需要為其它節點存儲數據的量，可以僅允許任意給定節點在覆蓋中的少量位置處存儲數據。例如，RELOAD協議提供訪問控制，允許給定鍵僅可通過少量節點寫入。節點被準許進行寫入的位置可以由其證書確定。可以還要求節點使用其私鑰對每個將被存儲的值進行簽名，以便對其在該位置處進行存儲的權限進行認證。對將被存儲的值進行簽名還用于保護所存儲的數據不被篡改。因此，不僅為了控制對系統的訪問，而還為了保護存儲在系統中的數據以防流氓節點，當證書無效時通知覆蓋中的節點是重要的。一個問題是如何在證書的到期日之前撤銷證書。例如，如果膝上電腦被偷的用戶將想要撤銷該膝上電腦訪問通信系統的權利。在可以包括許多百萬節點的通信系統中，這不一定是簡單明了的。一種選項是，中央服務器將關于證書撤銷的信息向外推送到網絡中的全部節點。這樣的一個示例如在由D.Cooper等所著的“Internet X.509 Public KeyInfrastructure Certificate and Certificate Revocation List (CRL) Profile，，中描述的證書撤銷列表。然而，如果這些消息太頻繁地被生成，則其可以負面影響系統的性能。相反，如果不足夠頻繁地生成這些消息以向節點提供關于證書撤銷的及時更新，則存在這樣的可能:客戶端可以被提供以其不再被授權的服務，因為還未將證書已被撤銷通知到提供該服務的節點。另一種選項是，如在由M.Myers等所著的“X.509 Internet Public KeyInfrastructure Online Certificate Status Protocol - 0CSP”中描述的，通過使用在線狀態檢查來針對證書狀態對節點進行更新。然而，這要求節點與集中式OSCP應答器(其可以是證書權力機構)聯系以檢查證書的當前狀態。該選項因此也遭受性能/及時性折衷的問題，由此，試圖獲取最新證書信息的節點經由用狀態請求轟擊中央節點可以負面影響系統性能。由于證書被存儲的方式而出現進一步的問題。在RELOAD中，證書由中央機構發出，并且然后被存儲在覆蓋中的給定位置處(如上面所描述的)。該位置可被證書的擁有者寫入，并且因此不能免受來自被盜用節點的攻擊。因此，存在對于遍及通信系統分發證書撤銷信息的改進方式的需求。
技術實現思路
根據本專利技術的第一實施例，提供一種包括多個節點的通信系統，所述通信系統被安排為:為所述多個節點的每個指派證書，借助于該證書，所述節點可以向所述通信系統中的其他節點認證其自身；定期向所述多個節點分發更新，所述更新通過對代表指派給所述多個節點的證書的有效性的數據集進行壓縮而形成，所述更新是這樣的，從而使節點不可以能夠從所述更新中無歧義地確定特定證書是否有效；以及，為所述多個節點提供關于所述多個證書的有效性的信息源，其中，所述信息源與所述更新不同，并且借助于所述信息源，節點可以解決所述更新中關于特定證書的有效性的歧義。所述通信系統可以被安排為通過形成所述數據集以致其識別所述證書的哪些是有效的以及所述證書的哪些是無效的來生成所述更新。所述通信系統可以被安排為，將所述數據集形成為:包括至少數量與被指派給所本文檔來自技高網...

【技術保護點】

【技術特征摘要】
【國外來華專利技術】2010.09.17 US 12/8850501.一種包括多個節點的通信系統，所述通信系統被安排為: 為所述多個節點的每個指派證書，借助于該證書其可以向所述通信系統中的其他節點認證其自身； 定期向所述多個節點分發更新，所述更新通過對代表指派給所述多個節點的證書的有效性的數據集進行壓縮來形成，所述更新是這樣的，其使得節點不可以能夠從所述更新中無歧義地確定特定證書是否有效；以及 為所述多個節點提供與所述更新不同的、關于所述多個證書的有效性的信息源，并且，借助于該信息源，節點可以解決所述更新中關于特定證書的有效性的歧義。2.根據權利要求1的通信系統，其中，所述通信系統被安排為，通過形成所述數據集以使得其識別所述 證書中的哪些有效以及所述證書中的哪些無效來生成所述更新。3.根據權利要求1或2的通信系統，其中，所述通信系統被安排為，將所述數據集形成為位圖，所述位圖包括數量至少與指派給所述多個節點的證書的數量一樣多的條目。4.根據任一前面權利要求的通信系統，其中，所述通信系統被安排為，將所述更新生成為位圖，所述位圖包括數量比指派給所述多個節點的證書的數量少的條目。5.根據任一前面權利要求的通信系統，其中，所述通信系統被安排為，通過對所述數據集應用有損壓縮算法來生成所述更新。6.根據任一前面權利要求的通信系統，其中，所述通信系統被安排為，通過對所述數據集應用Bloom過濾器來生成所述更新。7.根據任一前面權利要求的通信系統，其中，所述通信系統被安排為，存儲證書撤銷的指示符作為與所述定期更新不同的、關于所述多個證書的有效性的信息源。8.根據權利要求7的通信系統，其中，所述通信系統被安排為，將所述指示符存儲在所述通信系統中這樣的位置處，其中，被指派了所述已被撤銷證書的節點不被允許寫入該位置。9.根據權利要求7或8的通信系統，其中，所述通信系統包括認證節點，所述認證節點被安排為:確定證書應當被撤銷，以及，響應于該確定，將該證書撤銷的指示符寫入這樣的位置，該位置在所述認證節點外部，并且被指派了所述已被撤銷證書的節點不被允許寫入該位置。10.根據任一前面權利要求的通信系統，其中，所述通信系統包括存儲節點，所述存儲節點被安排為，存儲與所述定期更新不同的、關于所述多個證書的有效性的信息源。11.根據依賴于權利要求7到9中任一個的權利要求10的通信系統，其中，所述存儲節點被安排為存儲所述指示符。12.根據權利要求11的通信系統，其中，所述存儲節點被安排為，不允許被指派了所述已被撤銷證書的節點寫入所述指示符所存儲于的位置。13.根據權利要求3的通信系統，其中，所述存儲節點被安排為，允許僅所述認證節點寫入所述指示符所存儲于的位置。14.根據權利要求7到13中任一個的通信系統，其中，所述多個節點中的一個或多個被安排為，當其不能從所述更新中無歧義地確定特定節點是否有效時，獲取對應于該特定證書的指示符，并且從所述指示符中確定該特定證書是否有效。15.根據權利要求9到14中任一個的通信系統，其中，所述認證節點被安排為，響應于確定所述證書應當被撤銷，為被指派了所述已被撤銷證書的節點指派新證書。16.根據權利要求7到15中任一個的通信系統，其中，所述指示符識別這樣的證書，該證書是最新近被指派給被指派了所述已被撤銷證書的節點的有效證書。17.根據權利要求16的通信系統，其中，所述指示符包括序列號，該序列號關聯于所述最新近被指派給被指派了所述已被撤銷證書的節點的有效證書。18.根據權利要求11到17中任一個的通信系統，其中，所述多個節點中的一個或多個被安排為，每當所述指示符改變時，請求所述存儲節點對其進行更新。19.根據權利要求18的通信系統，其中，所述存儲節點被安排為，當所述指示符改變時，將該改變的指示發送到所述已請求所述更新的節點。20.根據權利要求18或19的通信系統，其中，所述存儲節點被安排為，當所述指示符改變時，將所述新指示符發送到所述已請求所述更新的節點。21.根據權利要求9到20中任一個的通信系統，其中，所述認證節點被安排為，將所述指示符寫入多于一個節點。22.根據權利要求21的通信系統，其中，所述存儲所述指示符的節點中的每個被安排為，不允許被指派了所述已被撤銷證書的節點寫入所述指示符所存儲于的位置。23.一種用于在包括多個節點的通信系統中運行的節點，其中，每個節點被指派證書，借助于該證書，其可以向所述通 信系統中的其他節點認證其自身，所述節點被安排為: 接收更新，所述更新指示被指派給所述多個節點的證書的有效性； 確定其不能從所述更新中無歧義地斷定特定證書是否有效；以及 響應于該確定，訪問與所述更新不同的、關于所述多個證書的有效性的信息源...

【專利技術屬性】
技術研發人員：E雷斯科拉，T佐爾佐維利斯，
申請(專利權)人：斯凱普公司，
類型：
國別省市：