[发明专利]证书撤销系统

说明书

技术领域

本发明涉及验证通信系统中的客户端，尤其涉及在用于验证客户端的证书不再有效时更新节点。

背景技术

许多通信系统包括由系统提供方进行操作的集中服务器。客户端可以通过访问那些服务器之一而获得服务。典型地，服务器在向客户端提供所请求的服务之前对其身份进行验证。例如，用户可能被要求输入用户名和密码，服务器相对于其所存储或有权访问的用户名和密码的记录对所述用户名和密码进行检查。一旦服务器已经验证了客户端，其就可以提供所请求的服务。

其它通信系统被有所区别地进行配置。不同于仅使用由系统提供方所操作的集中服务器，网络可以包括客户端能够访问以获得服务的大量分布式节点。这些节点并不必然被系统提供方所拥有或操作。例如，节点可以是运行来自系统提供方的软件的用户设备，该软件使得它们作为通信系统中的节点。这使得能够通过实质上“浏览”数百万设备中的少量计算资源就能够创建通信系统。用户因此能够经由数百万节点中的任意一个对系统进行访问。在这样的分布式网络中，客户端不再必须访问集中服务器来获得服务。然而，仍然需要对客户端进行验证。

一种选择是客户端向分布式节点提供其用户名和密码，该分布式节点随后对集中数据库核查。然而，分布式节点并不期望在每次需要对客户端进行验证时都要联系集中服务器。一种可替换的选择是向每个客户端分配公钥/私钥对。客户端能够通过向分布式节点发送已经利用其私钥进行过数字签名的消息来对该节点验证其自己。该分布式节点随后能够通过对该消息应用相对应的公钥来验证客户端。

每个客户端通常被颁发以数字证书。数字证书形成RELOAD协议的一部分并且在C. Jennings等人的“Resource Location and Discovery (RELOAD) Base Protocol”中有所描述。证书包含用户名和公钥之间的绑定，从而第三方节点能够确信公钥被分配给该特定客户端。证书可以由被节点所信任的中央服务器所颁发，或者由一些受信任的第三方发行方所颁发。发行方利用其私钥对证书进行签署。由于节点信任证书的发行方，所以一旦其具有验证该密钥的证书就能够确信客户端的公钥被分配给了客户端。

典型地，证书包括：

· 客户端的公钥

· 客户端的用户名

· 证书过期时间

· 发行方名称

· 发行方的数字签名。

在大型通信系统中，每个节点存储系统中每个用户的证书是不可行的。证书因此需要被存储在系统中的其它地方，存储在可被分布式节点所访问的位置。一种选择是由中央服务器存储证书。然而，这将要求节点在它们每次想要验证客户端时都要访问中央服务器。一种优选的选择是将特定客户端的证书存储在特定节点中。该证书随后可以遍及通信系统的节点进行分布。

图1中示出了分布式电信系统的示例。总体以101示出的该系统包括总体以102示出的多个节点。该系统被描绘为“环形”结构，其中环中的每个位置被分配以数字。在图1所示的示例中，环具有22个这样的位置。然而在实际上，位置的数量可以为数百万的数量。每个位置可以被节点102所占据，而一些位置则保持为空。跟随一个或多个空位置的节点将假设对直接处于其自身之前的空位置负责（例如图1中位置20处的节点107也对如103处所示的位置18和19负责）。

与特定客户端相关联的证书可以被存储在其中一个节点中。在图1中，对客户端104的公钥进行验证的证书被存储在节点106中。典型地，将存储与一个特定用户相关联的证书的节点的标识可以由中央服务器所确定，其随后能够将证书“推送”至适当节点。想要对特定客户端进行验证的节点能够从存储该客户端证书的节点请求它。

在包括大量分布式节点的通信系统中存储数据的一种方式是通过使用分布式散列表（DHT）。DHT通过存储键值对（key/value pair）以使得任何参与节点都能够获取与给定键相关联的数值而提供了与散列表相似的服务。DHT可以对维护键与数值的当前映射的职责在通信系统的节点之间进行分布，以使得参与节点中的变化导致最少量的干扰。