[发明专利]利用证书透明化技术控制交叉证书信任传递的方法及系统

权利要求书

1.一种利用证书透明化技术控制交叉证书信任传递的方法，其特征在于，包括：

证书签发阶段：当签发CA收到某个CA发送的证书签名请求时，若请求签名的证书是交叉证书，则签发CA生成带有必选日志服务器扩展项的交叉证书发送至相关的CA，相关CA变为主体CA；当主体CA收到来自证书订户的证书签名请求时，下发终端实体证书至所述证书订户，所述证书订户存储的终端实体证书具有相应SCT列表，所述SCT列表嵌入在所述终端实体证书中后一并存储，或者SCT列表与所述终端实体证书分别存储；所述SCT列表至少包含了当前证书认证路径下交叉证书必选日志服务器扩展项中记录的必选日志服务器审核后返回的SCT，所述SCT表示终端实体证书被记录在必选日志服务器中；其中，所述CA表示认证机构，所述必选日志服务器扩展项标识了如何获取与签发CA中运行的必选日志服务器有关的信息；

证书验证阶段：证书依赖方收到来自证书订户的证书链后，自顶向下对证书链中的中间证书进行校验，依次检查当前证书链中各中间证书是否存在必选日志服务器扩展项；若存在，则记录必选日志服务器扩展项中所给出的必选日志服务器，并结合以上记录的必选日志服务器，对终端实体证书的SCT合规性进行额外检查，检查终端实体证书对应的SCT列表中是否存在相应必选日志服务器返回的SCT，若不存在，则证书依赖方拒绝接受证书。

2.根据权利要求1所述的一种利用证书透明化技术控制交叉证书信任传递的方法，其特征在于，所述证书签发阶段还包括：

如果签发CA判断请求签名的证书不为交叉证书，则签发CA按照常规签发方式进行证书的签发。

3.根据权利要求1所述的一种利用证书透明化技术控制交叉证书信任传递的方法，其特征在于，所述签发CA生成带有必选日志服务器扩展项的交叉证书发送至相关的CA，相关CA变为主体CA包括：

签发CA对相关的CA的主体身份进行审核，审核通过后再生成带有必选日志服务器扩展项的交叉证书发送至相关的CA，相关CA收到所述带有必选日志服务器扩展项的交叉证书后变为主体CA。

4.根据权利要求1所述的一种利用证书透明化技术控制交叉证书信任传递的方法，其特征在于，所述主体CA收到来自证书订户的证书签名请求时，下发终端实体证书至所述证书订户包括：

所述主体CA收到来自证书订户的证书签名请求时，先对所述证书订户身份进行审核，审核通过后再下发终端实体证书至所述证书订户。

5.根据权利要求1或4所述的一种利用证书透明化技术控制交叉证书信任传递的方法，其特征在于，所述证书订户存储的终端实体证书具有相应SCT列表，采用如下任一种方式实现：

方式一、所述主体CA对所述证书订户进行身份审核，审核通过后生成相应的预证书；之后，将预证书分别发送至当前证书认证路径下交叉证书必选日志服务器扩展项中对应的必选日志服务器；各必选日志服务器收到所述预证书后进行审核，审核通过后返回相应的SCT；如果审核失败，则不记录该证书并且不返回相应的SCT；所述主体CA将收到的所有SCT整合形成SCT列表，生成带有SCT扩展的证书，并将SCT列表嵌入至带有SCT扩展的证书中形成终端实体证书发送至所述证书订户，所述证书订户存储嵌入有SCT列表的终端实体证书；

方式二、所述主体CA对所述证书订户进行身份审核，审核通过后直接生成终端实体证书发送至所述证书订户；所述证书订户将终端实体证书发送给当前证书认证路径下交叉证书必选日志服务器扩展项中对应的必选日志服务器；各必选日志服务器收到终端实体证书后进行审核，审核通过后返回相应的SCT；所述证书订户将收到的所有SCT整合形成SCT列表并与终端实体证书分别存储。

6.根据权利要求1所述的一种利用证书透明化技术控制交叉证书信任传递的方法，其特征在于，所述证书验证阶段还包括：

如果依赖方的可信根存储区中不存在该证书链的根证书，则拒绝接受该证书；

如果依赖方的可信根存储区中存在该证书链的根证书，根证书的下级证书不为中间证书，或者根证书的下级证书为中间证书且中间证书中不存在必选日志服务器扩展项，或者中间证书存在必选日志服务器扩展项，且相关终端实体证书通过额外的SCT合规性检查时，进行常规证书校验。