[发明专利]证书管理方法、装置及系统

说明书

技术领域

本发明涉及信息安全领域，具体地，涉及证书管理方法、装置、及系统。

背景技术

在信息安全领域，分级证书体系已经被广泛应用。在现有的证书管理模型中，出于安全的考虑，证书的发放通常都是证书机构(Certificate Authority，简称为CA)，其中，CA是指负责签发证书、认证证书、管理已颁发证书的机构。

通常来说，用户需要使用数字证书时，用户向CA提出申请，CA为其制作证书。大部分CA提供的证书都是满足X.509标准的，但是还是有些CA提供的证书有一些细微的区别，但是，X.509标准中如下的基本证书项目是所有CA颁布的证书都必须有的。

(1)版本号：用来区分X.509的不同版本号；(2)序列号；由CA为每个证书分配的唯一数字型编号，当证书被取消时，实际上是将此证书的序列号放入由CA签发的CRL(Certificate RevocationList，证书废止列表)中，这也是序列号唯一的原因；(3)签名算法标识符：用来指定用CA签发证书时所使用的签名算法，其中，算法标识符用来指定CA签发证书时所使用的公开密钥算法和HASH算法，须向国际指明标准组织(如ISO)注册；(4)认证机构：即发放该证书的机构的唯一CA的x.500名字；(5)有效期限：证书有效的时间包括两个日期：证书开始生效期和证书失效的日期和时间，证书在所指定的这两个时间之间有效；(6)主体信息：证书持有人的姓名、服务处所等信息；(7)认证机构的数字签名：以确保这个证书在发放之后没有被撰改过；(8)公钥信息：包括被证明有效的公钥值和使用这个公钥的方法名称。

在验证该证书时，通过序列号及认证机构信息，采用分级溯源的方式验证该证书的合法性，基于CA制作的证书存在如下几个缺点：(1)分级溯源验证机制开销大、效率较低，在某些情况下不能满足实时性要求；(2)攻击者可以以合法的方式从CA中心拿到一个证书在网络中非法使用，这在某些情况下存在安全漏洞。

考虑实际应用中的如下场景：A非CA，A有CA颁发的证书。C需要保证向其传输数据的数据源是安全的，同时，需要保证传输给它的数据是完整的。假定B传输数据给C，B有CA颁发的证书，B利用证书的私钥对发送给C的数据进行签名，C接收到数据及签名后，根据B的证书验证数据的完整性，但是当B处于非安全场合时，B可以利用合法证书发送非法的数据，此时，C无法识别收到B的数据是否是安全的。在这种情况下，存在进一步监管B的行为的需求。同时，在局部环境下，A、B、C之间存在某些固定的流程，基于X.509的证书中的某些信息，如索引、CA位置等，对B的证书来说不是必要的。

因而，在局部环境下，如何有效地制作和使用证书是一个需要解决的问题。

发明内容

考虑到相关技术中存在的在局部环境下如何有效地制作和使用证书的问题而提出本发明，为此，本发明旨在提供了一种改进的证书管理方案，用以实现对局部环境中实时简易证书的管理。

为了实现上述目的，根据本发明的一个方面，提供了一种证书管理方法。

根据本发明的证书管理方法包括：由第一设备制作第二设备证书，使用第一设备证书的私钥完成第二设备证书的数字签名，并将第二设备证书发送至第二设备；第三设备从第二设备获取第二设备证书，其中，第二设备证书中包括公钥信息和数字签名；第三设备从第一设备获取第一设备证书，并使用第一设备证书验证第二设备证书。

优选地，第一设备独立于证书机构。

优选地，第二设备证书中还包括如下的部分或全部信息：签名算法标识符、证书有效期、主体信息、版本号、序列号、认证机构。

优选地，公钥信息包括：被证明有效的公钥值，或者，被证明有效的公钥值和公钥值对应的公钥的使用方法信息。

为了实现上述目的，根据本发明的另一个方面，还提供了一种证书管理装置。

根据本发明的证书管理装置包括：第一获取部，用于从第一设备获取第一设备证书，其中，第一设备独立于证书机构；第二获取部，用于从第二设备获取第二设备证书，其中，由第一设备制作第二设备证书，使用第一设备证书的私钥完成第二设备证书中的数字签名，并将第二设备证书发送至第二设备；其中，第二设备证书中包括公钥信息和数字签名；验证部，用于使用第一获取部获取的第一设备证书验证第二获取部获取的第二设备证书。

优选地，第二设备证书中还包括如下的部分或全部信息：签名算法标识符、证书有效期、主体信息、版本号、序列号、认证机构。