[发明专利]一种X509数字证书与证书应用之间的精确化身份认证方法

权利要求书

1.一种X509数字证书与证书应用之间的精确化身份认证方法，其特征在于：

步骤一、搭建身份认证平台，针对证书应用提供身份认证服务；每个基于数字证书的、需要对数字证书进行身份认证的应用系统，称为一个证书应用，搭建身份认证平台，在该身份认证平台上维护数字证书与证书应用之间的匹配关系，通过自动加载证书链、CRL并能及更新的方式，形成唯一的可信列表；

步骤二、精确化身份证书认证；证书应用在对数字证书进行身份认证时，只需要验证该数字证书是否存在于该数字证书应用对应的可信列表即可。

2.根据权利要求1所述的精确化身份认证方法，其特征在于，步骤一中：

（1）在身份认证平台配置证书应用，该证书应用支持CA机构的证书链、该证书应用支持CA机构的CRL，配置完成后身份认证平台会在数据库中为每个证书应用创建一张数字证书与证书应用的匹配表；

（2）证书链以及CRL自动载入，对于CA机构的公开发布的证书链以及CRL，平台的数据加载模块相关配置，将证书链以及CRL加载到内存中，并能根据设置及时更新CRL，保证加载到平台的CRL是CA机构所颁发的最新的；

（3）证书合法性验证，每张数字证书在申请进入证书应用时，经过身份认证平台的三次验证，依次是：验证该数字证书的有效期；验证该数字证书的证书链；验证该证书是否存在于CRL中；三次验证均通过说明数字证书合法，平台将该数字证书加入到匹配表中；

（4）提供可信、安全的身份认证服务。

3.根据权利要求2所述的精确化身份认证方法，其特征在于：所述匹配表采用数字证书指纹作为唯一主键。

4.根据权利要求2所述的精确化身份认证方法，其特征在于：所述提供可信、安全的身份认证服务，身份认证平台为每个证书应用提供的身份认证服务有两种方式：一种是对证书应用提供在线身份认证接口，以直接的开放接口形式的提供即时身份认证服务；另外一种是对证书应用提供平台设备接口，由代理证书应用做身份认证的安全网关设备通过该接口和身份认证平台交互，获取数字证书与该证书应用匹配表的部分或全部信息，并能确保其有效更新，从而完成身份认证。

5.根据权利要求3或4所述的精确化身份认证方法，其特征在于：证书应用验证黑名单的环节放置在身份认证平台上，通过这种方式将传统上的白名单和黑名单合二为一形成唯一的可信列表；身份认证平台对加入到匹配表中的证书做了包含验证CRL在内的三次验证，证书应用在对数字证书进行身份认证时，只需要验证该数字证书是否存在于该数字证书应用对应的可信列表即可。