[发明专利]提供基于策略的网络安全证明撤回的方法和装置

权利要求书

1.一种方法，包括计算机实现的以下步骤：

接收一个或多个证明撤回规则，其中每个所述证明撤回规则指定与要被撤回的一个或多个证明相关联的一个或多个第一属性和所述第一属性的第一值；

接收一个或多个网络证明，其中每个所述网络证明包括一个或多个第二属性和所述第二属性的第二值；以及

当所述一个或多个网络证明中的特定网络证明的一个或多个第二属性的第二值与所述证明撤回规则之一的一个或多个第一属性的第一值相匹配时，确定所述特定网络证明是无效的，并执行响应动作。

2.一种用于基于策略的网络安全证明撤回的装置，包括：

用于接收和存储一个或多个证明撤回规则的装置，其中每个所述证明撤回规则指定与要被撤回的一个或多个证明相关联的一个或多个第一属性和所述第一属性的第一值；

用于接收和存储一个或多个网络证明的装置，其中每个所述网络证明包括一个或多个第二属性和所述第二属性的第二值；以及

用于当所述一个或多个网络证明中的特定网络证明的一个或多个第二属性的第二值与所述证明撤回规则之一的一个或多个第一属性的第一值相匹配时，确定所述特定网络证明是无效的，并执行响应动作的装置。

3.如权利要求2所述的装置，其中所述一个或多个网络证明是属性证书和身份证书中的任意一种。

4.如权利要求2所述的装置，其中所述一个或多个证明撤回规则被存储在撤回规则缓存中。

5.如权利要求2所述的装置，其中所述响应动作包括以下动作中的任意一种：无效所述证明、写入指示不合要求的或被撤回的证明的标识的日志条目、发出警报消息或其他通知、使用事件总线公布事件，以及拒绝对服务或资源的访问。

6.如权利要求2所述的装置，其中请求所述网络证明包括请求在线证明服务提供用于作为特定在线事务的一部分的验证的网络证明。

7.如权利要求2所述的装置，还包括用于接收定义一个或多个所述证明撤回规则的装置和用于向一个或多个网络元件提供所述证明撤回规则的装置。

8.如权利要求7所述的装置，还包括用于在撤回机构的证明撤回规则列表中存储所述证明撤回规则的装置；用于创建包含一个或多个所述证明撤回规则的网络证明撤回消息的装置；以及用于使用多播消息向所述网络元件发送所述网络证明撤回消息的装置。

9.如权利要求8所述的装置，其中提供所述证明撤回规则包括在服务器中存储所述证明撤回规则，其中所述服务器的网络位置在所述特定网络证明中标识。

10.一种用于基于策略的网络安全证明撤回的装置，包括：

耦合到数据网络的用于从所述数据网络接收一个或多个分组流的网络接口；

处理器；

一个或多个被存储的指令序列，当所述指令序列被所述处理器执行时使得所述处理器执行以下步骤：

接收一个或多个证明撤回规则，其中每个所述证明撤回规则指定与要被撤回的一个或多个证明相关联的一个或多个第一属性和所述第一属性的第一值；

接收一个或多个网络证明，其中每个所述网络证明包括一个或多个第二属性和所述第二属性的第二值；以及

当所述一个或多个网络证明中的特定网络证明的一个或多个第二属性的第二值与所述证明撤回规则之一的一个或多个第一属性的第一值相匹配时，确定所述特定网络证明是无效的，并执行响应动作。

11.如权利要求10所述的装置，其中所述一个或多个网络证明是属性证书和身份证书中的任意一种。

12.如权利要求10所述的装置，其中所述一个或多个证明撤回规则被存储在撤回规则缓存中。

13.如权利要求10所述的装置，其中所述响应动作包括以下动作中的任意一种：无效所述证明、写入指示不合要求的或被撤回的证明的标识的日志条目、发出警报消息或其他通知、使用事件总线公布事件，以及拒绝对服务或资源的访问。

14.如权利要求10所述的装置，其中请求所述网络证明包括请求在线证明服务提供用于作为特定在线事务的一部分的验证的网络证明。