專利名稱：可信計算中公鑰證書的撤銷方法、裝置及系統(tǒng)的制作方法
技術(shù)領域：
本發(fā)明涉及可信計算技術(shù)領域，尤其涉及可信計算中公鑰證書的撤銷方法、裝置 及系統(tǒng)。
背景技術(shù)：
TCG(Trusted Computing Group，可信計算工作組)是一個旨在增強各種異構(gòu)計 算平臺安全性的工業(yè)標準化組織，TCG制定了一系列用于開發(fā)TCP (Trusted Computing Platform，可信計算平臺)所基于的安全增強硬件和軟件的規(guī)范，還發(fā)布了評估標準，以衡 量采用TCG技術(shù)的計算設備是否滿足可信要求。TCG定義的TCP是在主板上嵌入TPM(Trusted Platform Module，可信平臺模 塊)，并在軟件層增加了 TSS (Trusted Software Stack,可信軟件棧)，通過TCP和TSS的 相互協(xié)作為上層應用程序提供可信計算功能。其中，每一個TCP的TPM都有一個EK證書 (Endorsement Key Credential，簽署證書)，由TPM的制造商發(fā)布，說明TPM制造商、TPM型 號和版本、EK公鑰等信息；每一個TCP還會有一個AIK證書(Attestation Identity Key Credential，身份證明證書)，以在TCP之間的身份證明過程中，向驗證方表明本TCP可信。 在本申請人之前提交的“一種可信計算中簽發(fā)身份證明證書的方法及裝置”申請文件中，記 載了在TCP進行身份證明時，為了獲得AIK證書，還需要預先獲得一個表明本TCP真實有效 的VK證書(Validity Key Credential，有效性證書)，其中，VK證書和AIK證書的簽發(fā)由 隱私CA (Certification Authority,認證權(quán)威)和代理CA(代理認證權(quán)威)完成。上述的 EK證書、VK證書和AIK證書均為X. 509公鑰證書。因為TCP的每次身份證明過程中，都需要一個新的AIK證書，所以大量AIK證書以 及EK證書、VK證書的頻繁使用，使攻擊者可能在竊取證書私鑰或私鑰信息泄露后，假冒一 個真實的TCP，導致TCP間的交易不安全等問題。對于私鑰信息已泄露的公鑰證書，現(xiàn)有的 TCG規(guī)范中未建立相應的處理方法?？梢姡F(xiàn)有技術(shù)的缺陷在于，未對私鑰信息已泄露的公鑰證書進行處理，會導致 TCP間交易不安全。

發(fā)明內(nèi)容
本發(fā)明實施例提供可信計算中公鑰證書的撤銷方法、裝置及系統(tǒng)，可以對私鑰信 息已泄露的公鑰證書進行處理，提高TCP間交易的安全性。為了解決上述技術(shù)問題，本發(fā)明實施例的技術(shù)方案為本發(fā)明實施例提供了一種可信計算中公鑰證書的撤銷方法，包括隱私認證權(quán)威接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的公鑰證書，其中， 所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰證書 為簽署證書或有效性證書；所述隱私認證權(quán)威通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有效；
若有效，則撤銷所述公鑰證書。進一步，若所述公鑰證書為簽署證書，則所述撤銷所述公鑰證書具體為所述隱私認證權(quán)威從已存儲的有效簽署公鑰信息中刪除所述簽署證書的公鑰信 肩、o進一步，所述方法還包括所述隱私認證權(quán)威向代理認證權(quán)威廣播有效性證書的撤銷消息，以撤銷所述有效 性證書，其中，所述有效性證書為依據(jù)所述簽署證書簽發(fā)的有效性證書。進一步，若所述公鑰證書為有效性證書，則所述撤銷所述公鑰證書具體為所述隱私認證權(quán)威向代理認證權(quán)威廣播所述有效性證書的撤銷消息，以撤銷所述 有效性證書。進一步，所述方法還包括所述代理認證權(quán)威在接收到所述有效性證書的撤銷消息后，將所述有效性證書添 加至有效性證書撤銷庫。進一步，所述方法還包括所述代理認證權(quán)威將身份證明證書添加至身份證明證書撤銷庫，其中，所述身份 證明證書為依據(jù)所述有效性證書簽發(fā)的身份證明證書。進一步，所述將身份證明證書添加至身份證明證書撤銷庫包括所述代理認證權(quán)威將所述身份證明證書的撤銷消息發(fā)送至0CSP響應器，通過所 述0CSP響應器將所述身份證明證書添加至身份證明證書撤銷庫。進一步，所述身份證明證書為短周期證書。本發(fā)明實施例還提供了一種可信計算中公鑰證書的撤銷方法，包括代理認證權(quán)威接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的身份證明證書，其 中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述身份證明證書中的公鑰相對應；所述代理認證權(quán)威通過所述身份證明證書中的公鑰驗證所述撤銷請求是否有 效；若有效，則撤銷所述身份證明證書。進一步，所述撤銷所述身份證明證書包括所述代理認證權(quán)威將所述身份證明證書的撤銷消息發(fā)送至在線證書狀態(tài)協(xié)議 0CSP響應器，通過所述0CSP響應器將所述身份證明證書添加至身份證明證書撤銷庫。本發(fā)明實施例還提供了一種可信計算中公鑰證書的撤銷裝置，包括第一接收模塊，用于接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的公鑰證書， 其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰 證書為簽署證書或有效性證書；第一驗證模塊，用于通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有效；第一撤銷模塊，用于當所述第一驗證模塊驗證所述撤銷請求有效時，撤銷所述公 鑰證書。進一步，所述第一撤銷模塊包括刪除單元，用于當所述第一接收模塊接收的公鑰證書為簽署證書時，從簽署公鑰 數(shù)據(jù)庫存儲的有效簽署公鑰信息中刪除所述簽署證書的公鑰信息；
其中，所述簽署公鑰數(shù)據(jù)庫，用于存儲所述有效簽署公鑰信息。進一步，所述第一撤銷模塊包括廣播單元，用于當所述公鑰證書為有效性證書時，向代理認證權(quán)威廣播所述有效 性證書的撤銷消息，以撤銷所述有效性證書。進一步，所述廣播單元，還用于當所述公鑰證書為簽署證書時，向代理認證權(quán)威廣 播有效性證書的撤銷消息，以撤銷所述有效性證書，所述有效性證書為依據(jù)所述簽署證書 簽發(fā)的有效性證書。進一步，所述第一撤銷模塊還包括第一添加單元，用于所述代理認證權(quán)威在接收到所述有效性證書的撤銷消息后， 將所述有效性證書添加至有效性證書撤銷庫；其中，所述有效性證書撤銷庫，用于存儲撤銷的有效性證書。進一步，所述第一撤銷模塊還包括第二添加單元，用于所述代理認證權(quán)威將身份證明證書添加至身份證明證書撤銷 庫，其中，所述身份證明證書為依據(jù)所述有效性證書簽發(fā)的身份證明證書；其中，所述身份證明證書撤銷庫，用于儲存撤銷的身份證明證書。進一步，所述第二添加單元包括發(fā)送子單元，用于所述代理認證權(quán)威將所述身份證明證書的撤銷消息發(fā)送至0CSP 響應器；添加子單元，用于通過所述0CSP響應器將所述身份證明證書添加至所述身份證 明證書撤銷庫。本發(fā)明實施例還提供了一種可信計算中公鑰證書的撤銷裝置，包括第二接收模塊，用于接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的身份證明證 書，其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述身份證明證書中的公鑰相對應；第二驗證模塊，用于通過所述身份證明證書中的公鑰驗證所述撤銷請求是否有 效；第二撤銷模塊，用于當所述第二驗證模塊驗證所述撤銷請求有效后，撤銷所述身 份證明證書。進一步，所述第二撤銷模塊包括第三添加單元，用于將所述身份證明證書的撤銷消息發(fā)送至0CSP響應器，通過所 述0CSP響應器將所述身份證明證書添加至身份證明證書撤銷庫；其中，所述身份證明證書撤銷庫，用于儲存撤銷的身份證明證書。本發(fā)明實施例還提供了一種可信計算中公鑰證書的撤銷系統(tǒng)，所述系統(tǒng)包括隱私 認證權(quán)威、代理認證權(quán)威和可信計算平臺，所述隱私認證權(quán)威，用于接收所述可信計算平臺發(fā)送的撤銷請求和請求撤銷的公 鑰證書，其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應， 所述公鑰證書為簽署證書或有效性證書；通過所述公鑰證書中的公鑰驗證所述撤銷請求是 否有效；若有效，則撤銷所述公鑰證書；所述代理認證權(quán)威，用于接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的身份證 明證書，其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述身份證明證書中的公鑰相對應；通過所述身份證明證書中的公鑰驗證所述撤銷請求是否有效；若有效，則撤銷所述身 份證明證書。本發(fā)明實施例通過由TCP對私鑰信息泄露的公鑰證書提出撤銷請求，隱私CA或代 理CA驗證撤銷請求有效后，將相應公鑰證書進行撤銷，減小了由于私鑰信息泄漏而導致用 戶身份被假冒的可能性，使由于私鑰信息泄漏等原因而無效的證書不能再用于交易，提高 了 TCP之間交易的安全性。


圖1是本發(fā)明實施例一種可信計算中公鑰證書的撤銷方法流程圖；圖2是本發(fā)明實施例一種可信計算中EK證書的撤銷方法流程圖；圖3是本發(fā)明實施例一種可信計算中VK證書的撤銷方法流程圖；圖4是本發(fā)明實施例一種可信計算中AIK證書的撤銷方法流程圖；圖5是本發(fā)明實施例一種可信計算中公鑰證書的撤銷裝置結(jié)構(gòu)框圖；圖6是本發(fā)明實施例一種撤銷模塊的結(jié)構(gòu)框圖；圖7是本發(fā)明實施例另一種撤銷模塊的結(jié)構(gòu)框圖；圖8是本發(fā)明實施例一種可信計算中公鑰證書的撤銷裝置結(jié)構(gòu)框圖；圖9是本發(fā)明實施例一種可信計算中公鑰證書的撤銷系統(tǒng)結(jié)構(gòu)框圖。
具體實施例方式為了使本領域技術(shù)人員能進一步了解本發(fā)明的特征及技術(shù)內(nèi)容，請參閱以下有關(guān) 本發(fā)明的詳細說明與附圖，附圖僅提供參考與說明，并非用來限制本發(fā)明。下面結(jié)合附圖和實施例，對本發(fā)明的技術(shù)方案進行描述。參照圖1，為本發(fā)明實施例一種可信計算中公鑰證書的撤銷方法流程圖。該方法可 以包括以下步驟步驟101，隱私CA接收TCP發(fā)送的撤銷請求和請求撤銷的公鑰證書，其中，所述撤 銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰證書為EK證 書或VK證書；TCP具有EK證書、AIK證書，也可以具有VK證書，當TCP發(fā)現(xiàn)自己保存的某公鑰證 書的私鑰信息泄露時，將會生成一個撤銷該公鑰證書的請求，然后用與該公鑰證書中的公 鑰所對應的私鑰，對該撤銷請求進行簽名，然后再將要撤銷的公鑰證書和該簽名后的撤銷 請求發(fā)送到隱私CA。步驟102，所述隱私CA通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有效；其中，驗證過程即隱私CA首先根據(jù)TCP發(fā)送的公鑰證書，得到該公鑰證書中的公 鑰，然后通過該公鑰驗證撤銷請求是否有效。若有效，說明該公鑰證書中的公鑰與TCP簽名 時使用的私鑰確實為一對密鑰對，而且提交撤銷請求的TCP確實為擁有該私鑰的TCP，隱私 CA可以根據(jù)該撤銷請求執(zhí)行后續(xù)動作。步驟101中用私鑰簽名和步驟102中用相應的公鑰驗證，是相對應的過程，可以采 用多種方法。具體的，例如簽名過程可以先作哈希運算再用私鑰對哈希運算值簽名，相應的 驗證過程為先用公鑰解出哈希運算值，再重新作一遍哈希運算，得到的哈希運算值與簽名過程中的哈希運算值相比較，若相同則撤銷請求有效。步驟103，若有效，則撤銷所述公鑰證書。若TCP向隱私CA提交的公鑰證書為EK證書或VK證書，隱私CA可以直接將相應 證書添加至撤銷庫，或作信息記錄等，具體的撤銷過程，在后續(xù)實施例中進行詳細說明。在本發(fā)明實施例中，TCP在發(fā)現(xiàn)私鑰信息泄露后，通過向隱私CA提交撤銷請求，并 通過驗證確認后，對相應的公鑰證書進行撤銷，提高了 TCP之間交易的安全性。不同的公鑰證書，具體的撤銷過程有所區(qū)別，以下通過實施例進行詳細說明。參照圖2，為本發(fā)明實施例一種可信計算中EK證書的撤銷方法流程圖。該方法可 以包括以下步驟步驟201，隱私CA接收TCP發(fā)送的撤銷請求和請求撤銷的EK證書，其中，撤銷請求 預先用EK私鑰簽名；步驟202，隱私CA通過EK證書中的公鑰驗證撤銷請求是否有效；其中，步驟201與步驟202的具體實施過程與前述實施例類似，此處不再贅述。步驟203，若有效，則隱私CA從已存儲的有效EK公鑰信息中刪除該EK證書的公鑰
fn息o隱私CA保存有所有有效的EK公鑰的信息，該有效EK公鑰信息可以以列表的形式 存在于隱私CA中，當然也可以采用其他方式存儲，正常狀態(tài)下，直到EK證書過期，再將相應 的EK公鑰從該有效EK公鑰信息中刪除。當隱私CA驗證了撤銷請求有效后，即可將該有效EK公鑰列表中刪除該EK證書的 公鑰信息，使該EK證書失效。這樣在TCP再持該EK證書向隱私CA請求認證時，隱私CA可以查找該列表，若列 表中沒有該公鑰信息，則說明該EK證書對應的私鑰信息已經(jīng)泄露，則隱私CA不會簽發(fā)VK 證書，避免了為惡意獲得EK證書的TCP假冒者簽發(fā)VK證書。但是，若EK私鑰泄露了，該EK證書所對應的其它證書也不再安全，所以，在本發(fā)明 的另一實施例中，為了更加增強TCP交易的安全性，隱私CA還可以采取以下步驟步驟204，隱私CA向代理CA廣播VK證書的撤銷消息，以撤銷所述VK證書，其中， 所述VK證書為依據(jù)所述EK證書簽發(fā)的VK證書；本步驟中，隱私CA依據(jù)上述失效的EK證書，獲得依據(jù)該EK證書所簽發(fā)的所有VK 證書，然后，將該VK證書的撤銷消息廣播到所有的代理CA，以撤銷該EK證書對應的所有VK 證書，使這些VK證書失效。其中，撤銷消息包括該VK證書，還可以包括撤銷時間以及撤銷 原因等。步驟205，所述代理CA在接收到所述VK證書的撤銷消息后，將所述VK證書添加至 VK證書撤銷庫；代理CA可自己維護有VK證書撤銷庫，以便存儲撤銷的VK證書，正常狀態(tài)下，直到 VK證書過期后，將相應VK證書刪除。當TCP持一 VK證書向代理CA申請AIK證書時，該代 理CA可以先在本地VK撤銷庫中查詢是否由該VK證書，若有，則說明該VK證書已經(jīng)失效， 不會為該TCP簽發(fā)AIK證書，需TCP更換VK證書，重新申請。本發(fā)明實施例也還可以包括以下步驟步驟206，所述代理CA將AIK證書添加至AIK證書撤銷庫，其中，所述AIK證書為依據(jù)所述VK證書簽發(fā)的AIK證書。代理CA可以自己維護有一個AIK證書撤銷庫，以便存儲撤銷的AIK證書，正常狀 態(tài)下，直到AIK證書過期后，將相應AIK證書刪除。當TCP之間進行身份證明時，當驗證方 得到被驗證方提供的AIK證書后，可以通過在該AIK證書撤銷庫中查詢是否由該AIK證書， 若有，則說明該AIK證書已失效，則該證明過程失敗。但是，代理CA若既維護VK證書撤銷庫又維護AIK證書撤銷庫，勢必會增加代理CA 的負擔，所以，本步驟206還可以通過以下方法來完成AIK證書的撤銷。具體的，本步驟中的將AIK證書添加至AIK證書撤銷庫的過程可以為代理CA將所述AIK證書的撤銷消息發(fā)送至OCSP (Online Certificate Status Protocol，在線證書狀態(tài)協(xié)議)響應器，通過所述0CSP響應器將AIK證書添加至AIK證書 撤銷庫。該撤銷消息中包括該AIK證書，還可以包括撤銷時間以及撤銷原因等。這樣，代理CA只是將AIK證書的撤銷消息發(fā)送出去，而由0CSP響應器去完成AIK 證書的撤銷和AIK證書撤銷庫的維護，減輕了代理CA的負載，0CSP響應器只需要定期將過 期的AIK證書從撤銷庫中刪除。當驗證方需要查詢被驗證方提交的AIK證書的狀態(tài)時，可以通過向0CSP響應器申 請，0CSP響應器通過查詢本地AIK證書撤銷庫，獲知該AIK證書的狀態(tài)，然后再反饋給驗證 方即可。其中，驗證方向0CSP提出的申請可以主要包含指定一個AIK證書的字段，如序列 號、簽發(fā)者；0CSP響應器對驗證方的響應可以主要包含指定一個AIK證書的字段，如序列 號、簽發(fā)者，以及證書的狀態(tài)，如果證書被撤銷，還可以包含撤銷時間和撤銷原因等。參照圖3，為本發(fā)明實施例一種可信計算中VK證書的撤銷方法流程圖。該方法可 以包括以下步驟步驟301，隱私CA接收TCP發(fā)送的撤銷請求和請求撤銷的VK證書，其中，撤銷請求 預先用VK私鑰簽名；步驟302，隱私CA通過VK證書中的公鑰驗證撤銷請求是否有效；其中，步驟301與步驟302的具體實施過程與前述實施例類似，此處不再贅述。步驟303，若有效，則隱私CA向代理CA廣播所述VK證書的撤銷消息，以撤銷所述 VK證書。隱私CA將該VK證書的撤銷消息廣播到所有的代理CA，以撤銷該VK證書，使VK證 書失效。其中，撤銷消息包括該VK證書，還可以包括撤銷時間以及撤銷原因等。該廣播的 過程即通知各代理CA該VK證書無效的過程。本發(fā)明的另一實施例中，還可以包括以下步驟步驟304，所述代理CA在接收到所述VK證書的撤銷消息后，將所述VK證書添加至 VK證書撤銷庫；步驟305，所述代理CA將AIK證書添加至AIK證書撤銷庫，其中，所述AIK證書為 依據(jù)所述VK證書簽發(fā)的AIK證書。本實施例中，步驟304與步驟305與前述實施例中的步驟205和步驟206類似，此 處不再贅述。
參照圖4，為本發(fā)明實施例一種可信計算中AIK證書的撤銷方法流程圖。該方法可 以包括以下步驟步驟401，代理CA接收TCP發(fā)送的撤銷請求和請求撤銷的AIK證書，其中，所述撤 銷請求預先用AIK私鑰簽名；步驟402，所述代理CA通過所述AIK證書中的公鑰驗證所述撤銷請求是否有效；步驟403，若有效，則撤銷所述AIK證書。本步驟403中撤銷AIK證書的過程可以由代理CA直接作信息記錄也可以直接將 AIK證書添加到代理CA維護的AIK證書撤銷庫，在本實施例中，采用以下方法撤銷該AIK證 書代理CA將所述AIK證書的撤銷消息發(fā)送至0CSP響應器，通過所述0CSP響應器將 所述AIK證書添加至AIK證書撤銷庫。本發(fā)明實施例中各步驟的具體實施，請參照前述實施例。對于AIK證書與VK證書 的關(guān)聯(lián)關(guān)系泄漏，或AIK證書的聲明改變/不再有效，這種情況下用戶可以放棄使用該AIK 證書直到它過期，也可以請求撤銷，處理方式與AIK私鑰泄漏的情況相同。以上各實施例中的AIK證書均為短周期證書。如果AIK證書采用普通的公鑰證書形式，有效期通常為一年、三年、五年甚至十 年，而一個AIK證書只用于一次認證，它在正常使用或撤銷后仍然需要保存很長的一段時 間直到過期，并且AIK密鑰在TCP中保存的時間越長，其私鑰泄漏的可能性就越大?？紤]到 AIK證書的大數(shù)據(jù)量，TCP將負擔大量的AIK密鑰對和證書存儲負載，而0CSP響應器維護的 AIK證書撤銷庫也會十分龐大。因此，由于一個AIK證書只用于一次認證，所以對AIK證書采用短周期證書十分有 利，其中，一般規(guī)定的短周期證書即證書有效期為一天或小于一天。在本實施例中可設置 AIK證書的有效期為一天或十小時，則0CSP響應器只需要保存一天前簽發(fā)的AIK證書的撤 銷信息，它的AIK證書撤銷庫不會因為代理CA簽發(fā)了大量的AIK證書而變得十分龐大。參照圖5，為本發(fā)明實施例一種可信計算中公鑰證書的撤銷裝置結(jié)構(gòu)框圖。該裝置 可以包括第一接收模塊501、第一驗證模塊502和第一撤銷模塊503。第一接收模塊501，用于接收TCP發(fā)送的撤銷請求和請求撤銷的公鑰證書，其中， 所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰證書 為EK證書或VK證書；第一驗證模塊502，用于通過所述公鑰證書中的公鑰驗證所述撤銷請 求是否有效；第一撤銷模塊503，用于當所述第一驗證模塊502驗證所述撤銷請求有效時， 撤銷所述公鑰證書。在本發(fā)明的另一實施例中，參照圖6，前述第一撤銷模塊503又可以包括刪除單元 613。刪除單元613，用于當所述第一接收模塊接收的公鑰證書為EK證書時，從EK公鑰 數(shù)據(jù)庫存儲的有效EK公鑰信息中刪除所述EK證書的公鑰信息；其中，所述EK公鑰數(shù)據(jù)庫， 用于存儲所述有效EK公鑰信息。第一撤銷模塊503還可以包括廣播單元623、第一添加單元633和第二添加單元 643。廣播單元623，用于當所述公鑰證書為EK證書時，向代理CA廣播VK證書的撤銷消息，以撤銷所述VK證書，所述VK證書為依據(jù)所述EK證書簽發(fā)的VK證書。第一添加單元633，用于所述代理CA在接收到所述VK證書的撤銷消息后，將所述 VK證書添加至VK證書撤銷庫；其中，所述VK證書撤銷庫，用于存儲撤銷的VK證書。第二 添加單元643，用于所述代理CA將AIK證書添加至AIK證書撤銷庫，其中，所述AIK證書為 依據(jù)所述VK證書簽發(fā)的AIK證書；其中，所述AIK證書撤銷庫，用于儲存撤銷的AIK證書。其中，第二添加單元643又可以包括發(fā)送子單元和添加子單元，發(fā)送子單元，用 于所述代理CA將所述AIK證書的撤銷消息發(fā)送至0CSP響應器；添加子單元，用于通過所述 0CSP響應器將所述AIK證書添加至所述AIK證書撤銷庫。在本發(fā)明的另一實施例中，參照圖7，前述第一撤銷模塊503也可以包括廣播單元 723、第一添加單元733和第二添加單元743。其中廣播單元723與前述實施例中廣播單元623的區(qū)別在于，該廣播單元723，還 用于當所述公鑰證書為VK證書時，向代理CA廣播所述VK證書的撤銷消息，以撤銷所述VK 證書。第一添加單元733和第二添加單元743與上述實施例的第一添加單元633和第二添 加單元643類似，此處不再贅述。參照圖8，為本發(fā)明實施例一種可信計算中公鑰證書的撤銷裝置結(jié)構(gòu)框圖。該裝置 可以包括第二接收模塊801、第二驗證模塊802和第二撤銷模塊803。第二接收模塊801，用于接收TCP發(fā)送的撤銷請求和請求撤銷的AIK證書，其中， 所述撤銷請求預先用私鑰簽名，所述私鑰與所述AIK證書中的公鑰相對應；第二驗證模塊 802，用于通過所述AIK證書中的公鑰驗證所述撤銷請求是否有效；第二撤銷模塊803，用于 當所述第二驗證模塊802驗證所述撤銷請求有效后，撤銷所述AIK證書。本發(fā)明實施例中，第二撤銷模塊803還可以包括第三添加單元8031，用于將所述 AIK證書的撤銷消息發(fā)送至0CSP響應器，通過所述0CSP響應器將所述AIK證書添加至AIK 證書撤銷庫；其中，所述AIK證書撤銷庫，用于儲存撤銷的AIK證書。參照圖9，為本發(fā)明實施例一種可信計算中公鑰證書的撤銷系統(tǒng)結(jié)構(gòu)框圖。該系統(tǒng) 可以包括隱私CA 901、代理CA 902和TCP 903。隱私CA 901，用于接收所述TCP 903發(fā)送的撤銷請求和請求撤銷的公鑰證書，其 中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰證 書為EK證書或VK證書；通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有效；若有效， 則撤銷所述公鑰證書；代理CA 902，用于接收TCP 903發(fā)送的撤銷請求和請求撤銷的AIK證書，其中，所 述撤銷請求預先用私鑰簽名，所述私鑰與所述AIK證書中的公鑰相對應；通過所述AIK證書 中的公鑰驗證所述撤銷請求是否有效；若有效，則撤銷所述AIK證書。具體的，若請求撤銷的公鑰證書為EK證書，則隱私CA 901將相應的EK公鑰從EK 公鑰數(shù)據(jù)庫中刪除，并向所有代理CA 902廣播，以撤銷依據(jù)該EK證書簽發(fā)的VK證書，代理 CA 902將這些VK證書添加至VK證書撤銷庫，然后通知0CSP響應器，將依據(jù)這些VK證書簽 發(fā)的AIK證書添加至AIK證書撤銷庫。若請求撤銷的公鑰證書為VK證書，則隱私CA 901直接向所有代理CA902廣播，以 撤銷該VK證書，之后與上述EK證書類似。若是代理CA 902接收到該請求，則直接通知0CSP響應器，將AIK證書添加至AIK
12證書撤銷庫。以上裝置實施例請參照前述方法說明，此處不再贅述。以上所述的本發(fā)明實施方式，并不構(gòu)成對本發(fā)明保護范圍的限定。任何在本發(fā)明 的精神和原則之內(nèi)所作的修改、等同替換和改進等，均應包含在本發(fā)明的權(quán)利要求保護范 圍之內(nèi)。
權(quán)利要求
一種可信計算中公鑰證書的撤銷方法，其特征在于，所述方法包括隱私認證權(quán)威接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的公鑰證書，其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰證書為簽署證書或有效性證書；所述隱私認證權(quán)威通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有效；若有效，則撤銷所述公鑰證書。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于，若所述公鑰證書為簽署證書，則所述撤銷 所述公鑰證書具體為所述隱私認證權(quán)威從已存儲的有效簽署公鑰信息中刪除所述簽署證書的公鑰信息。
3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述方法還包括所述隱私認證權(quán)威向代理認證權(quán)威廣播有效性證書的撤銷消息，以撤銷所述有效性證 書，其中，所述有效性證書為依據(jù)所述簽署證書簽發(fā)的有效性證書。
4.根據(jù)權(quán)利要求1所述的方法，其特征在于，若所述公鑰證書為有效性證書，則所述撤 銷所述公鑰證書具體為所述隱私認證權(quán)威向代理認證權(quán)威廣播所述有效性證書的撤銷消息，以撤銷所述有效 性證書。
5.根據(jù)權(quán)利要求3或4所述的方法，其特征在于，所述方法還包括所述代理認證權(quán)威在接收到所述有效性證書的撤銷消息后，將所述有效性證書添加至 有效性證書撤銷庫。
6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述方法還包括所述代理認證權(quán)威將身份證明證書添加至身份證明證書撤銷庫，其中，所述身份證明 證書為依據(jù)所述有效性證書簽發(fā)的身份證明證書。
7.根據(jù)權(quán)利要求6所述的方法，其特征在于，所述將身份證明證書添加至身份證明證 書撤銷庫包括所述代理認證權(quán)威將所述身份證明證書的撤銷消息發(fā)送至OCSP響應器，通過所述 OCSP響應器將所述身份證明證書添加至身份證明證書撤銷庫。
8.根據(jù)權(quán)利要求6所述的方法，其特征在于，所述身份證明證書為短周期證書。
9.一種可信計算中公鑰證書的撤銷方法，其特征在于，所述方法包括代理認證權(quán)威接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的身份證明證書，其中， 所述撤銷請求預先用私鑰簽名，所述私鑰與所述身份證明證書中的公鑰相對應；所述代理認證權(quán)威通過所述身份證明證書中的公鑰驗證所述撤銷請求是否有效；若有效，則撤銷所述身份證明證書。
10.根據(jù)權(quán)利要求9所述的方法，其特征在于，所述撤銷所述身份證明證書包括所述代理認證權(quán)威將所述身份證明證書的撤銷消息發(fā)送至在線證書狀態(tài)協(xié)議OCSP響應器，通過所述OCSP響應器將所述身份證明證書添加至身份證明證書撤銷庫。
11.一種可信計算中公鑰證書的撤銷裝置，其特征在于，所述裝置包括第一接收模塊，用于接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的公鑰證書，其中， 所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰證書 為簽署證書或有效性證書；第一驗證模塊，用于通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有效； 第一撤銷模塊，用于當所述第一驗證模塊驗證所述撤銷請求有效時，撤銷所述公鑰證書。
12.根據(jù)權(quán)利要求11所述的裝置，其特征在于，所述第一撤銷模塊包括刪除單元，用于當所述第一接收模塊接收的公鑰證書為簽署證書時，從簽署公鑰數(shù)據(jù) 庫存儲的有效簽署公鑰信息中刪除所述簽署證書的公鑰信息； 其中，所述簽署公鑰數(shù)據(jù)庫，用于存儲所述有效簽署公鑰信息。
13.根據(jù)權(quán)利要求11所述的裝置，其特征在于，所述第一撤銷模塊包括廣播單元，用于當所述公鑰證書為有效性證書時，向代理認證權(quán)威廣播所述有效性證 書的撤銷消息，以撤銷所述有效性證書。
14.根據(jù)權(quán)利要求13所述的裝置，其特征在于，所述廣播單元，還用于當所述公鑰證書為簽署證書時，向代理認證權(quán)威廣播有效性證 書的撤銷消息，以撤銷所述有效性證書，所述有效性證書為依據(jù)所述簽署證書簽發(fā)的有效 性證書。
15.根據(jù)權(quán)利要求13或14所述的裝置，其特征在于，所述第一撤銷模塊還包括第一添加單元，用于所述代理認證權(quán)威在接收到所述有效性證書的撤銷消息后，將所 述有效性證書添加至有效性證書撤銷庫；其中，所述有效性證書撤銷庫，用于存儲撤銷的有效性證書。
16.根據(jù)權(quán)利要求15所述的裝置，其特征在于，所述第一撤銷模塊還包括第二添加單元，用于所述代理認證權(quán)威將身份證明證書添加至身份證明證書撤銷庫， 其中，所述身份證明證書為依據(jù)所述有效性證書簽發(fā)的身份證明證書； 其中，所述身份證明證書撤銷庫，用于儲存撤銷的身份證明證書。
17.根據(jù)權(quán)利要求16所述的裝置，其特征在于，所述第二添加單元包括發(fā)送子單元，用于所述代理認證權(quán)威將所述身份證明證書的撤銷消息發(fā)送至OCSP響 應器；添加子單元，用于通過所述OCSP響應器將所述身份證明證書添加至所述身份證明證 書撤銷庫。
18.一種可信計算中公鑰證書的撤銷裝置，其特征在于，所述裝置包括第二接收模塊，用于接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的身份證明證書， 其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述身份證明證書中的公鑰相對應； 第二驗證模塊，用于通過所述身份證明證書中的公鑰驗證所述撤銷請求是否有效； 第二撤銷模塊，用于當所述第二驗證模塊驗證所述撤銷請求有效后，撤銷所述身份證 明證書。
19.根據(jù)權(quán)利要求18所述的裝置，其特征在于，所述第二撤銷模塊包括第三添加單元，用于將所述身份證明證書的撤銷消息發(fā)送至OCSP響應器，通過所述 OCSP響應器將所述身份證明證書添加至身份證明證書撤銷庫；其中，所述身份證明證書撤銷庫，用于儲存撤銷的身份證明證書。
20.一種可信計算中公鑰證書的撤銷系統(tǒng)，其特征在于，所述系統(tǒng)包括隱私認證權(quán)威、 代理認證權(quán)威和可信計算平臺，所述隱私認證權(quán)威，用于接收所述可信計算平臺發(fā)送的撤銷請求和請求撤銷的公鑰證書，其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述 公鑰證書為簽署證書或有效性證書；通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有 效；若有效，則撤銷所述公鑰證書；所述代理認證權(quán)威，用于接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的身份證明證 書，其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述身份證明證書中的公鑰相對應； 通過所述身份證明證書中的公鑰驗證所述撤銷請求是否有效；若有效，則撤銷所述身份證 明證書。
全文摘要
本發(fā)明提供可信計算中公鑰證書的撤銷方法、裝置及系統(tǒng)，該方法包括隱私認證權(quán)威接收可信計算平臺發(fā)送的撤銷請求和請求撤銷的公鑰證書，其中，所述撤銷請求預先用私鑰簽名，所述私鑰與所述公鑰證書中的公鑰相對應，所述公鑰證書為簽署證書、或有效性證書；所述隱私認證權(quán)威通過所述公鑰證書中的公鑰驗證所述撤銷請求是否有效；若有效，則撤銷所述公鑰證書。本發(fā)明實施例使由于私鑰信息泄漏等原因而無效的證書不能再用于交易，提高了TCP之間交易的安全性。
文檔編號G06F21/00GK101853337SQ20091012956
公開日2010年10月6日 申請日期2009年3月31日 優(yōu)先權(quán)日2009年3月31日
發(fā)明者周雁舟, 戶家富, 李立新, 李超零, 郭錦娣 申請人:中國人民解放軍信息工程大學