一種虛擬化環(huán)境中數(shù)字證書撤銷狀態(tài)檢查的方法和系統(tǒng)的制作方法
【技術領域】
[0001]本發(fā)明涉及計算機安全領域，特別涉及一種在虛擬化環(huán)境中進行數(shù)字證書撤銷狀態(tài)檢查的方法和系統(tǒng)。
【背景技術】
[0002]公鑰基礎設施(PKI:Public Key Infrastructure)在公鑰密碼技術的基礎上，主要解決密鑰屬于誰，即密鑰認證的問題。PKI通過由數(shù)字證書認證中心(CA -Certificat1nAuthority)簽發(fā)數(shù)字證書來實現(xiàn)密鑰認證的服務，也就是發(fā)布公鑰屬于誰的信息，使得網(wǎng)絡上的數(shù)字簽名等各種安全服務有了基礎的安全保障。
[0003]CA作為第三方的數(shù)字證書認證中心，是PKI系統(tǒng)中通信雙方都信任的實體，由它負責簽發(fā)數(shù)字證書。一個數(shù)字證書(簡稱證書)中綁定了公鑰數(shù)據(jù)和相應私鑰擁有者的身份信息，并帶有CA的數(shù)字簽名(簡稱簽名)。通過數(shù)字證書，PKI很好地證明了公鑰屬于誰的問題。證書是有時限的，在有效期之后，證書就不再是有效的證書，證書所表示的綁定關系也就不再存在。
[0004]由于密鑰泄露、證書持有者身份信息改變、公鑰算法被破解等原因，使證書在到期之前，解除綁定關系、中途作廢證書的行為稱為證書撤銷。如果缺少證書撤銷，PKI就會面臨很大的安全威脅。例如，Alice在證書到期之前，其私鑰被攻擊者Oscar竊取，如果沒有證書撤銷機制，Oscar就可以冒充Alice登錄到Alice的應用系統(tǒng)、解密其他人發(fā)送給Alice的機密信息。
[0005]發(fā)布證書撤銷信息的最基本思路是:PKI系統(tǒng)中的CA將當前被撤銷證書的標識(通常是證書序列號)集中到一個列表中，向PKI系統(tǒng)的所有用戶公布。為了防止偽造和篡改，CA需要對這個列表進行數(shù)字簽名。這個被CA簽名的、包含了當前被撤銷證書標識的列表，就被稱為證書撤銷列表(CRL-Certificate Revocat1n List)。
[0006]使用CRL來檢查證書撤銷狀態(tài)的基本過程大致如下:
[0007]a.首先，證書依賴方(證書依賴方是指使用其他人的證書來進行加密通信、身份鑒別、數(shù)字簽名驗證等安全操作的實體)可以從資料庫查詢下載得到CRL，驗證CRL本身的有效性，包括:驗證CRL的數(shù)字簽名是否正確、CRL是否處于有效期內(nèi)。
[0008]b.構(gòu)造被撤銷證書的證書序列號列表。對于不同的CRL機制，有著不同的方法來構(gòu)造被撤銷證書的證書序列號列表。對于基本的CRL機制，從每一個單獨的CRL文件就能夠得到完整的、當前被撤銷證書的證書序列號列表。
[0009]c.檢查證書是否已經(jīng)被撤銷。檢查被撤銷證書的證書序列號列表，查看被驗證證書的序列號是否在其中。如果在列表中，則表示證書已經(jīng)被撤銷；如果不在其中，則表示證書沒有被撤銷。
[0010]CRL具有時效性。因為證書撤銷狀態(tài)是隨時間變化，而且是不可預測的，所以CRL上面的信息也必須隨時變化，才能正確地反應最新的情況。證書依賴方需要及時地獲取CRL。不同應用場合，對撤銷信息的及時性要求會有所不同?？紤]到只有在極少數(shù)安全事件發(fā)生的時候才需要撤銷證書，而大多數(shù)情況下，證書是不用被撤銷的。一般來說，CA采用周期性的發(fā)布CRL的方式來發(fā)布證書撤銷信息，更新周期長短由PKI系統(tǒng)根據(jù)應用需求的不同而具體設定。例如，用于大額電子交易的CRL，其更新周期設定為I小時；用于日常電子郵件保護的CRL，其更新周期設定為48小時。
[0011]證書依賴方從同一個CRL文件中能夠同時知道多個證書的撤銷狀態(tài)。這種服務方式非常適用于證書依賴方與同時許多人進行通信、需要驗證很多證書的情況。例如，對于要求用戶使用證書登錄的網(wǎng)絡游戲服務器，服務器只需要定期地從資料庫下載到最新的CRL，就能夠檢查所有用戶證書的撤銷狀態(tài)，并沒有必要在驗證每一個證書的時候與PKI資料庫通信。
[0012]對于CA，提供CRL下載的方式有很多種，如使用CRL分發(fā)點機制、增量CRL機制、重定向CRL機制等，證書依賴方要按照不同CA的服務方式進行分別進行配置。CRL的下載方式，有的時候以證書擴展的形式直接寫在證書中，則證書依賴方可以自動知道、然后自動去相應的資料庫下載CRL。但是，有的時候，CRL的下載方式不寫在證書中，就需要證書依賴方在每一個機器上一一手工配置，比較麻煩。而且，有的時候，雖然CRL的下載方式已經(jīng)寫在證書中，但是該方式是某些證書依賴方的計算機系統(tǒng)不支持的，例如LDAP協(xié)議，就不一定所有證書依賴方都支持。如上述所說，這些都會帶來PKI客戶端設計和實現(xiàn)的復雜性，也會給應用系統(tǒng)和使用者帶來混亂。另外，證書依賴方收到證書之后，才開始下載CRL，考慮到CRL文件有可能比較大(有的時候，超過IM字節(jié))，會帶來延遲(因為要等到CRL下載之后，才能夠進行后續(xù)步驟的工作)。如果能夠提前下載，就能夠減少通信帶來的延遲。
[0013]隨著AMD和Intel相繼推出支持硬件虛擬化的產(chǎn)品，虛擬化技術得到廣泛應用。企業(yè)利用虛擬化，可以減少資金成本、降低空間需求、提高可用性、提升業(yè)務的靈活適應力、提高安全性。通過虛擬化技術，可以在同一份物理計算機上運行多個客戶虛擬機(VirtualMachine，簡稱VM)，此時物理計算機稱為宿主機。虛擬化平臺一個重要的組成部分是虛擬機監(jiān)控器(Virtual Machine Monitor，VMM)，它的主要作用是管理宿主機的資源，以使在其之上運行的客戶虛擬機可以共享同一套物理主機的資源。虛擬化平臺，提供了對多臺虛擬機統(tǒng)一管理的能力:通過虛擬化技術實現(xiàn)對客戶虛擬機屏蔽底層的差異，上層的客戶虛擬機可以用統(tǒng)一的方式使用下層的資源，不論該資源的具體實現(xiàn)方式是什么(可以是軟件實現(xiàn)或硬件實現(xiàn)，可以是使用不同形式的硬件來實現(xiàn))。

【發(fā)明內(nèi)容】

[0014]本發(fā)明提供一種在虛擬化環(huán)境中進行數(shù)字證書撤銷狀態(tài)檢查的方法和系統(tǒng)，通過證書撤銷列表管理器管理每個客戶虛擬機中的證書依賴方對證書撤銷列表CRL的訪問；證書撤銷列表管理器運行在VMM中，獨立于虛擬機之外，作為一個虛擬設備用來管理客戶虛擬機中的證書依賴方的證書撤銷狀態(tài)檢查服務請求行為，并提供相應的服務。
[0015]本發(fā)明的技術方案為:
[0016]一種虛擬化環(huán)境中數(shù)字證書撤銷狀態(tài)檢查的方法，其步驟為:
[0017]I)在宿主機上創(chuàng)建多個客戶虛擬機，在該宿主機的虛擬機監(jiān)控器內(nèi)設置一證書撤銷列表管理器；其中，所述證書撤銷列表管理器中存儲證書撤銷列表文件CRL和一配置CRL文件訪問地址的配置文件；
[0018]2)客戶虛擬機中的證書依賴方向證書撤銷列表管理器發(fā)出證書撤銷狀態(tài)檢查服務請求；其中，所述證書撤銷狀態(tài)檢查服務請求包括:證書簽發(fā)者名稱和可選的證書序列號;
[0019]3)證書撤銷列表管理器根據(jù)該證書撤銷狀態(tài)檢查服務請求在本地查找是否有對應的CRL文件:a)如果有對應的CRL文件，則將該CRL文件返回給該客戶虛擬機中的證書依賴方，或者查找該CRL文件中是否存在對應的證書序列號，然后將查詢結(jié)果返回給該客戶虛擬機中的證書依賴方；b)如果沒有對應的CRL文件，則根據(jù)所述配置文件下載并驗證對應的CRL文件，然后將該CRL文件返回給該客戶虛擬機中的證書依賴方，或者查找該CRL文件中是否存在對應的證書序列號，然后將查詢結(jié)果返回給該客戶虛擬機中的證書依賴方。
[0020]進一步的，所述證書撤銷狀態(tài)檢查服務請求還包括CRL分發(fā)點擴展信息；所述步驟3)中，如果沒有對應的CRL文件，所述證書撤銷列表管理器首先根據(jù)該CRL分發(fā)點擴展信息訪問資料庫下載并驗證CRL文件，然后查詢對應證書的撤銷狀態(tài)信息并將查詢結(jié)果返回給該客戶虛擬機中的證書依賴方。
[0021]進一步的，當所述證書撤銷列表管理器根據(jù)該證書撤銷狀態(tài)檢查服務請求下載對應的CRL文件后，所述證書撤銷列表管理器重新配置該CRL文件的下載周期。
[0022]進一步的，所述證書撤銷列表管理器根據(jù)所述配置文件定期更新本地的CRL文件。
[0023]進一步的，所述證書撤銷管理器定期地查看本地存儲的CRL文件，將不在有效期內(nèi)的CRL文件刪除；或者在向客戶虛擬機中的證書依賴方提供查詢服務讀取對應的CRL文件時檢查該CRL文件的有效期，如果不在有效期內(nèi)，則重新下載相應的最新CRL文件。
[0024]進一步的，所述證書撤銷列表管理器與所述客戶虛擬機之間采用Virt1技術進行通信；其中，前端驅(qū)