專利名稱：面向服務(wù)的信任證保護(hù)處理方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種面向服務(wù)的信任證保護(hù)處理方法，特別是一種在網(wǎng)格環(huán)境下，通過代理信任證實(shí)現(xiàn)面向服務(wù)的信任證保護(hù)處理的方法，以及一種在網(wǎng)格環(huán)境下，上傳信任證實(shí)現(xiàn)面向服務(wù)的信任證保護(hù)處理的方法。
背景技術(shù)：
由于網(wǎng)格計(jì)算(Grid Computing)技術(shù)實(shí)現(xiàn)了在廣域網(wǎng)絡(luò)環(huán)境下的資源共享和協(xié)同工作，因此，隨著互聯(lián)網(wǎng)的日益發(fā)展，網(wǎng)格計(jì)算技術(shù)也不斷獲得更加廣泛的應(yīng)用。
網(wǎng)格計(jì)算的核心內(nèi)容是將虛擬的資源處理網(wǎng)格即“虛擬組織(VirtualOrganization，簡稱VO)”視為電腦終端一類的基礎(chǔ)設(shè)施(Infrastructure)，對其進(jìn)行創(chuàng)建和維護(hù)。由于資源共享具有跨組織性，即不局限于資源所在的網(wǎng)格，而是大量網(wǎng)格協(xié)同進(jìn)行，因此安全性支持在網(wǎng)格計(jì)算中顯得尤為重要?，F(xiàn)有的網(wǎng)格安全體系(Grid Security Infrastructure，簡稱GSI)中主要通過公鑰體系(Public Key Infrastructure，簡稱PKI)及建立于其上的、主要采用X.509協(xié)議的分布式信任模型(Distributed Trust Model)來建立與維護(hù)VO內(nèi)部的安全策略空間。在PKI體系中，所有的對象，包括用戶和資源，都被賦予了一個(gè)全球唯一的區(qū)別名(Distinguished Name簡稱DN)。因此鑒別網(wǎng)格對象就變成鑒別用戶或者資源是否真的為DN標(biāo)識的那個(gè)對象；而對象為了證明其身份，必須擁有信任證。信任證通常是由證書和與之對應(yīng)的私鑰組成，通過可信第三方，如認(rèn)證機(jī)構(gòu)(Certificate Authority，簡稱CA)對證書簽字，將對象的DN和私鑰綁定在一起。這樣，對象可以通過出示自己的證書并證明自己擁有與之對應(yīng)的私鑰來證實(shí)自己的身份。
在廣域網(wǎng)環(huán)境下，用戶經(jīng)常會(huì)在相當(dāng)短的時(shí)間內(nèi)多次鑒別自己的身份，因此不得不反復(fù)使用信任證進(jìn)行驗(yàn)證。首先為了實(shí)現(xiàn)多次鑒別而要求用戶反復(fù)出示信任證是十分不方便的；另外，由于在PKI體系中，信任證的機(jī)密性十分重要，信任證的私鑰僅為擁有它的對象所知，一旦私鑰被泄露出去，直到CA吊銷該信任證之前，知道了私鑰的入侵者只要仿制了證書，就能隨意、不受任何限制的冒充原對象的身份，因此從安全角度來看，每一次出示信任證必須解密私鑰，也就多了一次泄密的機(jī)會(huì)，因此，反復(fù)出示信任證加以驗(yàn)證的方法是不可取的。
從軟件實(shí)現(xiàn)的角度來說，可以只讓用戶輸入一次口令，之后由軟件負(fù)責(zé)保存口令或者解密后的私鑰，從而方便了用戶。但是，這種做法卻存在嚴(yán)重的安全隱患，因?yàn)檐浖苋菀妆磺秩牖蛘咴獾讲《酒茐?。因此，為了保護(hù)私鑰，目前通常采取以下三種保護(hù)措施第一、防止未被授權(quán)的訪問。這種措施一般是利用硬件對信任證進(jìn)行保護(hù)，將信任證存儲(chǔ)在具有嚴(yán)格的訪問控制限制的文件中，該文件又通常被加密，只有信任證擁有者有可能打開該文件。比如存放在便攜式存儲(chǔ)器中，該存儲(chǔ)器由用戶隨身攜帶，只有使用時(shí)才與操作終端發(fā)生連接關(guān)系。雖然通過硬件保護(hù)信任證能夠提供較好的安全性，但是受到了用于存儲(chǔ)私鑰的硬件的限制，也就是說，不得不依賴硬件而存在。
第二、對信任證設(shè)置一個(gè)周期，當(dāng)超過生命期時(shí)，信任證自動(dòng)失效。這就要求對象必須經(jīng)常獲取新的信任證，從而降低信任證泄露帶來的風(fēng)險(xiǎn)。
第三、設(shè)置代理證書。代理證書是一種短期的信任證，它由用戶創(chuàng)建，用來替代長期的信任證來鑒別身份。代理證書有自己的證書和私鑰，由用戶使用信任證對它進(jìn)行簽字，實(shí)際上是在短期內(nèi)將用戶的DN和另一個(gè)私鑰綁定在一起。代理證書存儲(chǔ)在本地文件系統(tǒng)中，不用加密，僅僅通過文件系統(tǒng)的訪問控制機(jī)制來保護(hù)，因此用戶反復(fù)使用它不會(huì)有任何的不便。因?yàn)榇碜C書更容易被泄露，所以代理證書和用戶的信任證比起來，生命期短了很多，通常為幾天，甚至是幾個(gè)小時(shí)。
但隨著網(wǎng)格門戶(Grid Protal)的出現(xiàn)，將全球網(wǎng)服務(wù)(Web Services)技術(shù)引入到網(wǎng)格計(jì)算領(lǐng)域中的新方向，同時(shí)也對信任證的保護(hù)和管理提出了新的更高的要求。Protal是用戶訪問網(wǎng)格的入口，使用戶使用普通的瀏覽器就能方便的訪問網(wǎng)格，這就導(dǎo)致了用戶可能在一個(gè)不方便訪問到自己用戶信任證的地方使用瀏覽器訪問portal，比如用戶在機(jī)場使用公用計(jì)算機(jī)，而信任證保存在各人的私有計(jì)算機(jī)上。這極大的限制了portal的功能，因此，對信任證保護(hù)必須同時(shí)滿足以下要求1.用戶無論在任何時(shí)間任何地點(diǎn)，都能通過網(wǎng)絡(luò)訪問到自己的信任證；2.用戶可通過遠(yuǎn)程終端對信任證進(jìn)行有效的管理；3.具有良好的可擴(kuò)展性，能夠與網(wǎng)格控制系統(tǒng)良好兼容。
可見，隨著對信任證保護(hù)要求的提高，現(xiàn)有的信任證保護(hù)方法由于都局限于在先的申請?jiān)撔湃巫C的終端或者資源，因此已經(jīng)不能滿足網(wǎng)格門戶的要求。
為了克服上述問題，Globus Toolkit(GT)在這方面進(jìn)行了有益的探索。GT系統(tǒng)是網(wǎng)格領(lǐng)域著名的開發(fā)源碼組織Globus推出的網(wǎng)格服務(wù)系統(tǒng)，是目前被廣泛應(yīng)用的網(wǎng)格基礎(chǔ)設(shè)施工具，是包括網(wǎng)格中信息基礎(chǔ)設(shè)施、資源管理、數(shù)據(jù)管理、通信、錯(cuò)誤檢測和安全機(jī)制在內(nèi)的一整套軟件系統(tǒng)。當(dāng)前GT4.0基于服務(wù)網(wǎng)格體系結(jié)構(gòu)中的規(guī)范——網(wǎng)站服務(wù)源框架(Web ServicesResource Framework，簡稱WSRF)規(guī)范，加入了MyProxy來解決信任證保護(hù)的相應(yīng)問題，具體方法是Proxy基于傳統(tǒng)的客戶機(jī)/服務(wù)器(Client/Server，簡稱C/S)模式，從用戶信任證代理出一個(gè)代理證書，并將其放置在服務(wù)器上，當(dāng)用戶需要使用信任證，而又不方便訪問用戶的信任證的存放地址時(shí)，就可以根據(jù)server上的代理證書再衍生出一個(gè)新的代理信任證。
但同時(shí)，MyProxy系統(tǒng)也具有以下幾個(gè)方面缺陷1、MyProxy系統(tǒng)的實(shí)現(xiàn)基于傳統(tǒng)的C/S模式，而現(xiàn)在的網(wǎng)格卻向服務(wù)化的方向發(fā)展，包括GT4.0本身在內(nèi)，所基于的都是WSRF規(guī)范。一方面，在其它系統(tǒng)都遵從WSRF規(guī)范的情況下，信任證的保護(hù)卻采用C/S模式，為別的系統(tǒng)對信任證進(jìn)行管理帶來了不必要的困難；另一方面，由于新的技術(shù)都是面向服務(wù)的，而信任證保護(hù)還是堅(jiān)持使用C/S模式，則不方便在實(shí)現(xiàn)信任證保護(hù)的系統(tǒng)中采用新的技術(shù)，比如安全通信技術(shù)；更重要的是，C/S模式以來Server進(jìn)行新任證書的代理，當(dāng)訪問量大的時(shí)候，很容易發(fā)生瓶頸現(xiàn)象；2、MyProxy系統(tǒng)的安全通信機(jī)制不靈活。在MyProxy系統(tǒng)中，客戶端和服務(wù)器的安全通信是通過安全套接字層(Secure socket layer，簡稱SSL)協(xié)議實(shí)現(xiàn)的，不具備可配制性，難以擴(kuò)展和兼容。這是因?yàn)榘踩ㄐ抛鳛橐豁?xiàng)基本的功能，現(xiàn)有的很多控制系統(tǒng)中都具有提供相應(yīng)的功能的安全通信機(jī)制，如果僅為了增加信任證保護(hù)和管理功能，不得不再引入一種SSL安全通信機(jī)制，既不利于系統(tǒng)的融合，又是一種重復(fù)；再者，如果有的控制系統(tǒng)對安全通信的要求很高，比如安全部門的資源共享系統(tǒng)，或者必須要采用特殊的機(jī)制，比如要求采用多種安全技術(shù)相結(jié)合的控制系統(tǒng)，則這時(shí)就難以通過MyProxy系統(tǒng)實(shí)現(xiàn)信任證的保護(hù)。
3、對信任證的保護(hù)過于簡單。由于信任證是敏感信息，因此要為其提供有效的保護(hù)，但在目前的MyProxy系統(tǒng)中，都是從信任證整體著眼進(jìn)行加密和保護(hù)，保護(hù)的粒度太粗。
綜上所述，現(xiàn)有的技術(shù)方案中還沒有能夠在網(wǎng)格環(huán)境下，靈活的面向服務(wù)實(shí)現(xiàn)信任證保護(hù)處理的方法。

發(fā)明內(nèi)容
本發(fā)明的目的是為了克服上述缺陷，提出一種面向服務(wù)的信任證保護(hù)處理方法，通過將信任證作為一種網(wǎng)格服務(wù)資源進(jìn)行處理，在WSRF框架下實(shí)現(xiàn)對網(wǎng)格信任證的在線分層次保護(hù)和管理。
為實(shí)現(xiàn)上述目的，本發(fā)明提供了一種面向服務(wù)的信任證保護(hù)處理方法，包括以下步驟步驟a1、網(wǎng)格用戶終端與網(wǎng)絡(luò)服務(wù)端建立安全通信通道；步驟a2、網(wǎng)格用戶終端生成本地信任證的代理證書、所述代理證書對應(yīng)的密碼以及安全參數(shù)，并上傳至所述網(wǎng)絡(luò)服務(wù)端的證書庫中；步驟a3、所述網(wǎng)絡(luò)服務(wù)端根據(jù)所述代理證書生成代理信任證，使用所述代理證書對應(yīng)的密碼對所述代理信任證進(jìn)行加密，并保存安全參數(shù)和加密后的代理信任證；步驟a4、網(wǎng)格用戶通過另一網(wǎng)格終端訪問所述網(wǎng)絡(luò)服務(wù)端的證書庫，生成所述代理信任證的證書請求并提供密碼；步驟a5、網(wǎng)絡(luò)服務(wù)端根據(jù)所述安全參數(shù)進(jìn)行所述網(wǎng)格終端的安全檢查，通過檢查則執(zhí)行步驟a6，否則向所述網(wǎng)格返回?zé)o效信息并結(jié)束；步驟a6、網(wǎng)絡(luò)服務(wù)端驗(yàn)證所述密碼是否能夠正確解密所述代理信任證，是則根據(jù)所述代理信任證生成一份新的代理信任證發(fā)送給所述網(wǎng)格終端，否則返回?zé)o效信息并結(jié)束。
本發(fā)明還提供了一種面向服務(wù)的信任證保護(hù)處理方法，包括以下步驟步驟b1、網(wǎng)格用戶終端與網(wǎng)絡(luò)服務(wù)端建立安全通信通道；步驟b2、網(wǎng)格用戶終端將信任證以及安全參數(shù)上傳至所述網(wǎng)絡(luò)服務(wù)端的證書庫中，該信任證具有密碼保護(hù)；步驟b3、網(wǎng)格用戶通過一網(wǎng)格終端訪問所述網(wǎng)絡(luò)服務(wù)端的證書庫，生成獲取所述信任證的請求指令，并上傳訪問信任證的密碼；步驟b4、網(wǎng)絡(luò)服務(wù)端根據(jù)所述安全參數(shù)對所述網(wǎng)格終端進(jìn)行安全檢查，通過檢查則執(zhí)行步驟b5，否則向所述網(wǎng)格終端返回?zé)o效信息并結(jié)束；步驟b5、網(wǎng)絡(luò)服務(wù)端驗(yàn)證所述訪問信任證的密碼是否能夠正確解密所述信任證，是則將所述信任證發(fā)送給所述網(wǎng)格終端，否則向所述網(wǎng)格終端返回?zé)o效信息并結(jié)束。
由上述技術(shù)方案可知，本發(fā)明通過將信任證管理作為網(wǎng)格服務(wù)資源處理，采用分層次的信任證保護(hù)機(jī)制，具有以下有益效果1、將信任證管理方便的融合到WSRF框架中，也便于將網(wǎng)格中出現(xiàn)的新技術(shù)應(yīng)用到信任證管理過程；2、通信安全和信任證管理分開，靈活的對安全通信機(jī)制加以選擇；3、分級別的信任證保護(hù)機(jī)制，增強(qiáng)了保護(hù)的靈活性；4、可在線對信任證進(jìn)行分發(fā)管理。
下面通過附圖和實(shí)施例，對本發(fā)明的技術(shù)方案做進(jìn)一步的詳細(xì)描述。


圖1為本發(fā)明面向服務(wù)的信任證保護(hù)處理系統(tǒng)的示意圖；圖2為圖1所示系統(tǒng)中安全通信端處理數(shù)據(jù)的一個(gè)示例；圖3為本發(fā)明提供的面向服務(wù)的信任證保護(hù)處理方法的一個(gè)實(shí)施例的流程圖；圖4為圖3所示方法中代理證書簽發(fā)的示意圖；圖5為圖3所示方法中生成代理證書的流程圖；圖6為圖3所示方法中保存代理證書的流程圖；圖7為圖3所示方法中網(wǎng)絡(luò)服務(wù)端B進(jìn)行代理證書的安全檢查的流程圖；圖8為圖3所示方法中生成發(fā)送新的代理信任證的流程圖；圖9為本發(fā)明提供的另一面向服務(wù)的信任證保護(hù)處理方法的實(shí)施例的流程圖。
具體實(shí)施例方式
參見圖1，為本發(fā)明面向服務(wù)的信任證保護(hù)處理系統(tǒng)的示意圖，由網(wǎng)格用戶終端1，網(wǎng)絡(luò)服務(wù)端2，以及多個(gè)網(wǎng)格終端3通過廣域互聯(lián)網(wǎng)連接。
網(wǎng)格用戶終端1與網(wǎng)格終端3構(gòu)成相同，唯一的區(qū)別是，圖1中的網(wǎng)格用戶終端是本實(shí)施例中擁有信任證的網(wǎng)格終端，所以特別命名為網(wǎng)格用戶終端。以網(wǎng)格用戶終端1為例，由客戶端11、安全通信端12組成?？蛻舳?1為通常的業(yè)務(wù)處理器，比如臺式電腦或者移動(dòng)PC或者便攜式電腦，主要包括以下處理功能上傳代理證書(Init)、取回代理證書(Logon)、上傳信任證(Store)、取回信任證(Retrieve)、修改密碼(ChangePassphrase)、刪除信任證(Delete)、查詢信任證信息(Info)。
網(wǎng)絡(luò)服務(wù)端2負(fù)責(zé)處理所有到達(dá)的服務(wù)請求，其構(gòu)成包括服務(wù)終端21、安全通信端22、證書庫23以及保護(hù)強(qiáng)制點(diǎn)24。具體的，當(dāng)服務(wù)請求到達(dá)時(shí)，服務(wù)終端21根據(jù)服務(wù)請求中的參數(shù)訪問保護(hù)強(qiáng)制點(diǎn)24，當(dāng)符合保護(hù)策略25時(shí)，該服務(wù)就可以訪問證書庫23，進(jìn)行相應(yīng)的服務(wù)處理流程；如果請求不符合保護(hù)策略25，那么就拒絕服務(wù)。該保護(hù)強(qiáng)制點(diǎn)24用來加強(qiáng)對信任證的保護(hù)，可以指定靈活的保護(hù)策略25。
網(wǎng)絡(luò)服務(wù)端2的安全通信端22和網(wǎng)格用戶終端1的安全通信端12，其作用都是負(fù)責(zé)安全通信。設(shè)立安全通信端12、22是為了將信任證管理的具體功能和安全通信功能盡可能的分離，彼此盡量的獨(dú)立。這樣，客戶可以根據(jù)自己的情況選用不同的通信機(jī)制，而客戶端和服務(wù)端可以將主要精力放在信任證管理的業(yè)務(wù)流程中，處理結(jié)果的數(shù)據(jù)直接交給安全通信端12或22，真正實(shí)現(xiàn)了將信任證的管理作為網(wǎng)格服務(wù)來進(jìn)行處理；而安全通信端12或22專注于將數(shù)據(jù)從一端安全送達(dá)到另一端，負(fù)責(zé)按照事先選定的通信策略將其安全的送達(dá)到對方。
因此，即使不同的網(wǎng)格安全域需要切換不同的安全通信機(jī)制也不影響業(yè)務(wù)的處理，而只要修改通信策略就可以進(jìn)行無縫切換。
顯然，發(fā)送數(shù)據(jù)的數(shù)據(jù)處理過程在安全通信策略應(yīng)用之前進(jìn)行；接收數(shù)據(jù)的數(shù)據(jù)處理過程再安全通信策略應(yīng)用之后進(jìn)行；安全通信與數(shù)據(jù)處理的過程已經(jīng)分開，安全通信端僅需要進(jìn)行加密簽字以保證安全性。圖2給出了一個(gè)通過通信策略和安全通信端處理數(shù)據(jù)的一個(gè)實(shí)例。
參見圖3，為本發(fā)明提供的面向服務(wù)的信任證保護(hù)處理方法的一個(gè)實(shí)施例的流程圖，包括以下步驟步驟10、網(wǎng)格用戶終端A與網(wǎng)絡(luò)服務(wù)端B建立安全通信通道；步驟20、網(wǎng)格用戶終端A生成本地信任證a的代理證書、所述代理證書對應(yīng)的密碼，并上傳至所述網(wǎng)絡(luò)服務(wù)端B的證書庫中；步驟30、所述網(wǎng)絡(luò)服務(wù)端B根據(jù)所述代理證書生成代理信任證a’，使用所述代理證書對應(yīng)的密碼對所述代理信任證a’進(jìn)行加密，并保存安全參數(shù)和加密后的代理信任證a’；步驟40、網(wǎng)格用戶通過另一網(wǎng)格終端C訪問所述網(wǎng)絡(luò)服務(wù)端B的證書庫，生成所述代理信任證a’的證書請求并提供密碼；步驟50、網(wǎng)絡(luò)服務(wù)端B根據(jù)所述安全參數(shù)進(jìn)行網(wǎng)格終端C的安全檢查，通過檢查則執(zhí)行步驟60，否則執(zhí)行步驟80；；步驟60、所述網(wǎng)絡(luò)服務(wù)端B驗(yàn)證所述密碼是否正確，即所述密碼能否正確解密所述代理信任證a’，是則執(zhí)行步驟70，否執(zhí)行步驟80；步驟70、網(wǎng)絡(luò)服務(wù)端B根據(jù)所述代理信任證生成一份新的代理信任證a”發(fā)送給所述網(wǎng)格終端C并結(jié)束；步驟80、網(wǎng)絡(luò)服務(wù)端B向所述網(wǎng)格終端C返回?zé)o效信息并結(jié)束。
其中，步驟10中，網(wǎng)格用戶終端A與所述網(wǎng)絡(luò)服務(wù)端B互相鑒別身份，鑒別通過，則通過安全通信端建立安全通信通道，由此將信任證a管理的具體功能和安全通信功能盡可能的分離，彼此盡量的獨(dú)立。通過該安全通信通道，可以選擇本領(lǐng)域技術(shù)人員已知的任一安全通信機(jī)制，而與信任證a的上傳代理不發(fā)生關(guān)系。通過安全通信機(jī)制進(jìn)行通信的雙方，可以互相獲得對方的身份標(biāo)識。
通過步驟10建立的安全通信通道，網(wǎng)格用戶終端A與網(wǎng)絡(luò)服務(wù)端B之間可以進(jìn)行代理證書的請求和簽發(fā)，其示意圖如圖4所示。
本實(shí)施例中，步驟20的具體方法流程圖如圖5所示，可以包括以下步驟步驟201、網(wǎng)格用戶終端A向網(wǎng)絡(luò)服務(wù)端B發(fā)送代理觸發(fā)指令，指示網(wǎng)絡(luò)服務(wù)端B可以進(jìn)行代理證書的申請；步驟202、網(wǎng)絡(luò)服務(wù)端B生成公鑰和私鑰bb，私鑰bb由網(wǎng)絡(luò)服務(wù)端B自行保存，用于生成新的代理證書時(shí)簽字使用；步驟203、網(wǎng)絡(luò)服務(wù)端B將公鑰和一些必要的信息，包括身份標(biāo)識等，放在一起生成信任證a的證書請求；步驟204、網(wǎng)絡(luò)服務(wù)端B使用所述私鑰bb對所述證書請求簽字后，將所述證書請求發(fā)送給所述網(wǎng)格用戶終端A，經(jīng)過簽字的證書請求不可再被更改；步驟205、網(wǎng)格用戶終端A驗(yàn)證所述證書請求，同意授權(quán)則執(zhí)行步驟206，否則執(zhí)行步驟212；步驟206、網(wǎng)格用戶終端A訪問本地信任證a，并從預(yù)設(shè)的本地安全文件中取得訪問本地私鑰aa的密碼；步驟207、網(wǎng)格用戶終端A檢驗(yàn)密碼是否正確，是則執(zhí)行步驟208，否則執(zhí)行步驟212；步驟208、網(wǎng)格用戶終端A利用本地私鑰aa對所述證書請求簽字，認(rèn)可該證書請求并生成所述代理證書，還可以生成證書名稱用以識別不同的代理證書；步驟209、網(wǎng)格用戶終端A為所述代理證書生成密碼，該密碼將用于保護(hù)存放在網(wǎng)絡(luò)服務(wù)端B的代理信任證a’；步驟210、所述網(wǎng)格用戶終端A為所述代理證書生成安全參數(shù)，并可對該安全參數(shù)進(jìn)行策略設(shè)置；步驟211、所述網(wǎng)格用戶終端A將所述代理證書、密碼以及安全參數(shù)上傳至所述網(wǎng)絡(luò)服務(wù)端B的證書庫中，并結(jié)束代理證書生成；步驟212、向所述網(wǎng)絡(luò)服務(wù)端B發(fā)送拒絕授權(quán)信息并結(jié)束代理證書生成。
獲得授權(quán)后，網(wǎng)絡(luò)服務(wù)端B通過步驟201中的私鑰bb和代理證書組成代理信任證，就可以進(jìn)行新的代理證書的授權(quán)工作。
如圖6所示，是證書庫保存代理證書以及安全參數(shù)的示意圖，可以包括以下步驟步驟301、所述網(wǎng)絡(luò)服務(wù)端B取得證書請求的序號，獲取所述代理證書的密碼和安全參數(shù)，還可以獲得所述代理證書的名稱；步驟302、網(wǎng)絡(luò)服務(wù)端B將所述私鑰bb與所述代理證書組合，生成代理信任證a’；步驟303、網(wǎng)絡(luò)服務(wù)端B使用所述代理證書對應(yīng)的密碼對所述代理信任證a’的私鑰進(jìn)行加密；步驟304、所述網(wǎng)絡(luò)服務(wù)端B從本地刪除所述代理證書對應(yīng)的密碼，以保證密碼不會(huì)泄露，實(shí)現(xiàn)安全維護(hù)；步驟305、網(wǎng)絡(luò)服務(wù)端B將所述安全參數(shù)保存在證書庫的保護(hù)策略文件中；步驟306、網(wǎng)絡(luò)服務(wù)端B將加密后的代理信任證a’保存在證書庫中。
參見圖7、步驟50可以具體包括步驟501、所述網(wǎng)絡(luò)服務(wù)端B提取所述網(wǎng)格終端C的專有名稱(Distinguished Name，簡稱DN)，即網(wǎng)格終端C的身份標(biāo)識；步驟502、所述網(wǎng)絡(luò)服務(wù)端B調(diào)用一條一般適用的服務(wù)級安全策略，該服務(wù)級安全策略是訪問網(wǎng)絡(luò)服務(wù)端B必須滿足的一條安全策略；；步驟503、驗(yàn)證DN是否與該服務(wù)級安全策略匹配，是則執(zhí)行步驟504，否則執(zhí)行步驟80；步驟504、檢查是否有其他服務(wù)級安全策略，是則重新執(zhí)行步驟502，否則執(zhí)行步驟505；步驟505、所述網(wǎng)絡(luò)服務(wù)端B調(diào)用所述代理證書的安全參數(shù)；步驟506、檢驗(yàn)所述安全參數(shù)是否具有預(yù)設(shè)值，即是否經(jīng)過策略設(shè)置構(gòu)成信任證級保護(hù)策略，是則直接執(zhí)行步驟508，否則執(zhí)行步驟507；步驟507、網(wǎng)絡(luò)服務(wù)端B調(diào)用預(yù)設(shè)的缺省策略設(shè)置所述安全參數(shù)，形成信任證級保護(hù)策略；
步驟508、驗(yàn)證所述DN是否與所述信任證級保護(hù)策略匹配，是則執(zhí)行步驟60，否則執(zhí)行步驟80。
在上述步驟501至步驟508中，信任證保護(hù)方法，共分為服務(wù)級保護(hù)和信任證級保護(hù)兩級，每級可以定義不同的策略。服務(wù)級的策略對所有的信任證有效，而信任證級的策略只對指定的信任證有效。服務(wù)級的策略在服務(wù)級信任證保護(hù)策略中配制。服務(wù)級信任證保護(hù)策略中除了服務(wù)級策略外還包括信任證級缺省策略。缺省策略的作用是，當(dāng)用戶不指定某一策略項(xiàng)的配制時(shí)，其值就應(yīng)用對應(yīng)缺省策略項(xiàng)的值。缺省策略的引入極大的方便了用戶的使用，在沒有特別要求時(shí)，用戶不用一一指定所有的策略項(xiàng)的配制。信任證級保護(hù)策略由用戶在上傳信任證時(shí)指定，其策略保存在信任證信息文件中。信任證信息文件和信任證一起存儲(chǔ)在服務(wù)的證書庫中。
而在驗(yàn)證匹配過程中，為了用戶使用方便，支持靈活的策略表達(dá)方式，包括字符、正則表達(dá)式和自定義匹配等不同的匹配模式，從而實(shí)現(xiàn)細(xì)粒度的保護(hù)策略。
進(jìn)一步的，網(wǎng)格終端C和網(wǎng)絡(luò)服務(wù)端B也通過先建立安全通信通道再進(jìn)行通信，雙方通過安全通信通道獲取身份標(biāo)識。
參見圖8，為密碼驗(yàn)證通過后，網(wǎng)絡(luò)服務(wù)端B根據(jù)所述代理信任證a’生成一份新的代理信任證a”并發(fā)送給所述網(wǎng)格終端C的流程圖，可以包括以下步驟步驟601、網(wǎng)絡(luò)服務(wù)端B提取代理信任證a’；步驟602、網(wǎng)絡(luò)服務(wù)端B用私鑰簽發(fā)新的代理信任證a”；步驟603、網(wǎng)絡(luò)服務(wù)端B向網(wǎng)格終端C返回證書鏈信息及新的代理信任證a”，結(jié)束。
為本發(fā)明提供的面向服務(wù)的信任證保護(hù)處理方法的又一實(shí)施例為在上一實(shí)施例的步驟20中，網(wǎng)格用戶終端A生成多個(gè)代理證書和所述多個(gè)代理證書對應(yīng)的密鑰，用于獲取不同用途的網(wǎng)格資源。在用戶上傳和取回代理證書時(shí)，需要指明所訪問的是哪一個(gè)代理證書，該指明的方式可以為提供代理證書名稱。
盡管本發(fā)明在上述實(shí)施例中，提供的都是網(wǎng)格環(huán)境下的信認(rèn)證保護(hù)處理方法，但本領(lǐng)域技術(shù)人員應(yīng)當(dāng)理解，凡是應(yīng)用信任證的網(wǎng)絡(luò)環(huán)境下，本發(fā)明所提供的方法都是適用的。
參見圖9，為本發(fā)明提供的另一面向服務(wù)的信任證保護(hù)處理方法的實(shí)施例，包括以下步驟步驟11、網(wǎng)格用戶終端A與網(wǎng)絡(luò)服務(wù)端B建立安全通信通道；步驟21、網(wǎng)格用戶終端A將信任證以及安全參數(shù)上傳至所述網(wǎng)絡(luò)服務(wù)端B的證書庫中，所述信任證中的私鑰受到密碼保護(hù)；步驟31、網(wǎng)格用戶通過一網(wǎng)格終端C訪問所述網(wǎng)絡(luò)服務(wù)端B的證書庫，生成獲取所述信任證的請求指令，并上傳訪問信任證的密碼；步驟41、網(wǎng)絡(luò)服務(wù)端B根據(jù)所述安全參數(shù)對網(wǎng)格終端C進(jìn)行安全檢查，通過檢查則執(zhí)行步驟51，否則執(zhí)行步驟71；步驟51、網(wǎng)絡(luò)服務(wù)端B所述訪問信任證的密碼是否能夠正確解密所述信任證，是則執(zhí)行步驟61，否則執(zhí)行步驟71；步驟61、將所述信任證發(fā)送給所述網(wǎng)格終端C，結(jié)束；步驟71、向所述網(wǎng)格終端C返回?zé)o效信息并結(jié)束。
其中，步驟21具體為步驟211、所述網(wǎng)格用戶終端A向網(wǎng)絡(luò)服務(wù)端B發(fā)送服務(wù)請求指令；步驟212、所述網(wǎng)格用戶終端A驗(yàn)證所述服務(wù)請求指令，同意授權(quán)則執(zhí)行步驟213，否則向所述網(wǎng)絡(luò)服務(wù)端B發(fā)送拒絕授權(quán)信息；步驟213、所述網(wǎng)格用戶終端A生成所述信任證的安全參數(shù)；步驟214、所述網(wǎng)格用戶終端A將所述信任證和安全參數(shù)上傳至所述網(wǎng)絡(luò)服務(wù)端B的證書庫中；步驟215、所述網(wǎng)絡(luò)服務(wù)端B將將所述信任證和所述安全參數(shù)保存在證書庫中，該信認(rèn)證具有密碼保護(hù)。
步驟41具體包括步驟411、所述網(wǎng)絡(luò)服務(wù)端B提取所述網(wǎng)格終端的身份標(biāo)識；步驟412、所述網(wǎng)絡(luò)服務(wù)端B驗(yàn)證所述身份標(biāo)識是否與服務(wù)端安全策略匹配，是則執(zhí)行步驟413，否則執(zhí)行步驟71；步驟413、所述網(wǎng)絡(luò)服務(wù)端調(diào)用所述信任證的安全參數(shù)，檢驗(yàn)所述安全參數(shù)是否經(jīng)過策略設(shè)置，是則直接執(zhí)行步驟414，否則調(diào)用預(yù)設(shè)的缺省策略設(shè)置所述安全參數(shù)后執(zhí)行步驟414；步驟414、驗(yàn)證所述身份標(biāo)識是否與所述安全參數(shù)匹配，是則執(zhí)行步驟51，否則執(zhí)行步驟71。
盡管本發(fā)明在上述實(shí)施例中，提供的都是網(wǎng)格環(huán)境下的信認(rèn)證保護(hù)處理方法，但本領(lǐng)域技術(shù)人員應(yīng)當(dāng)理解，凡是應(yīng)用信任證的網(wǎng)絡(luò)環(huán)境下，本發(fā)明所提供的方法都是適用的。
最后所應(yīng)說明的是，以上實(shí)施例僅用以說明本發(fā)明的技術(shù)方案而非限制，盡管參照較佳實(shí)施例對本發(fā)明進(jìn)行了詳細(xì)說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當(dāng)理解，可以對本發(fā)明的技術(shù)方案進(jìn)行修改或者等同替換，而不脫離本發(fā)明技術(shù)方案的精神和范圍。
權(quán)利要求
1.一種面向服務(wù)的信任證保護(hù)處理方法，其特征在于包括以下步驟步驟a1、網(wǎng)格用戶終端與網(wǎng)絡(luò)服務(wù)端建立安全通信通道；步驟a2、網(wǎng)格用戶終端生成本地信任證的代理證書、所述代理證書對應(yīng)的密碼以及安全參數(shù)，并上傳至所述網(wǎng)絡(luò)服務(wù)端的證書庫中；步驟a3、所述網(wǎng)絡(luò)服務(wù)端根據(jù)所述代理證書生成代理信任證，使用所述代理證書對應(yīng)的密碼對所述代理信任證進(jìn)行加密，并保存安全參數(shù)和加密后的代理信任證；步驟a4、網(wǎng)格用戶通過另一網(wǎng)格終端訪問所述網(wǎng)絡(luò)服務(wù)端的證書庫，生成所述代理信任證的證書請求并提供密碼；步驟a5、網(wǎng)絡(luò)服務(wù)端根據(jù)所述安全參數(shù)進(jìn)行所述網(wǎng)格終端的安全檢查，通過檢查則執(zhí)行步驟a6，否則向所述網(wǎng)格返回?zé)o效信息并結(jié)束；步驟a6、網(wǎng)絡(luò)服務(wù)端驗(yàn)證所述密碼是否能夠正確解密所述代理信任證，是則根據(jù)所述代理信任證生成一份新的代理信任證發(fā)送給所述網(wǎng)格終端，否則返回?zé)o效信息并結(jié)束。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于所述步驟a1為網(wǎng)格用戶終端與所述網(wǎng)絡(luò)服務(wù)端互相鑒別身份，鑒別通過，則通過安全通信端建立安全通信通道。
3.根據(jù)權(quán)利要求1所述的方法，其特征在于所述步驟a2中，網(wǎng)格用戶終端生成多個(gè)代理證書和所述多個(gè)代理證書對應(yīng)的密碼，用于獲取不同用途的網(wǎng)格資源。
4.根據(jù)權(quán)利要求1或3所述的方法，其特征在于所述步驟a2具體為步驟a21、所述網(wǎng)格用戶終端向網(wǎng)絡(luò)服務(wù)端發(fā)送代理觸發(fā)指令；步驟a22、網(wǎng)絡(luò)服務(wù)端生成公鑰和私鑰；步驟a23、網(wǎng)絡(luò)服務(wù)端保存所述私鑰，并將所述公鑰和身份標(biāo)識生成證書請求；步驟a24、網(wǎng)絡(luò)服務(wù)端使用所述私鑰對所述證書請求簽字后，將所述證書請求發(fā)送給所述網(wǎng)格用戶終端；步驟a25、所述網(wǎng)格用戶終端驗(yàn)證所述證書請求，同意授權(quán)則執(zhí)行步驟a26，否則向所述網(wǎng)絡(luò)服務(wù)端發(fā)送拒絕授權(quán)信息；步驟a26、所述網(wǎng)格用戶終端訪問本地信任證，利用所述信任證中的私鑰對所述證書請求簽字，生成代理證書；步驟a27、所述網(wǎng)格用戶終端生成所述代理證書對應(yīng)的密碼和安全參數(shù)；步驟a28、所述網(wǎng)格用戶終端將所述代理證書、所述代理證書對應(yīng)的密碼以及安全參數(shù)上傳至所述網(wǎng)絡(luò)服務(wù)端的證書庫中。
5.根據(jù)權(quán)利要求4所述的方法，其特征在于步驟a27之后還包括所述網(wǎng)格用戶終端對所述代理證書的安全參數(shù)進(jìn)行策略設(shè)置。
6.根據(jù)權(quán)利要求4所述的方法，其特征在于所述步驟a3具體為步驟a31、所述網(wǎng)絡(luò)服務(wù)端使用所述私鑰與所述代理證書組合生成代理信任證；步驟a32、所述網(wǎng)絡(luò)服務(wù)端使用所述代理證書對應(yīng)的密碼對所述代理信任證的私鑰進(jìn)行加密；步驟a33、所述網(wǎng)絡(luò)服務(wù)端從本地刪除所述代理證書對應(yīng)的密碼；步驟a34、所述網(wǎng)絡(luò)服務(wù)端將所述安全參數(shù)及加密后的代理信任證保存在所述證書庫中。
7.根據(jù)權(quán)利要求1所述的方法，其特征在于所述步驟a5具體為步驟a51、所述網(wǎng)絡(luò)服務(wù)端提取所述網(wǎng)格終端的身份標(biāo)識；步驟a52、所述網(wǎng)絡(luò)服務(wù)端驗(yàn)證所述身份標(biāo)識是否與服務(wù)端安全策略匹配，是則執(zhí)行步驟a53，否則向所述網(wǎng)格終端返回?zé)o效信息；步驟a53、所述網(wǎng)絡(luò)服務(wù)端調(diào)用所述代理證書的安全參數(shù)，檢驗(yàn)所述安全參數(shù)是否經(jīng)過策略設(shè)置，是則直接執(zhí)行步驟a54，否則調(diào)用預(yù)設(shè)的缺省策略設(shè)置所述安全參數(shù)后執(zhí)行步驟a54；步驟a54、驗(yàn)證所述身份標(biāo)識是否與所述安全參數(shù)匹配，是則執(zhí)行步驟a6，否則向所述網(wǎng)格終端返回?zé)o效信息并結(jié)束。
8.一種面向服務(wù)的信任證保護(hù)處理方法，其特征在于包括以下步驟步驟b1、網(wǎng)格用戶終端與網(wǎng)絡(luò)服務(wù)端建立安全通信通道；步驟b2、網(wǎng)格用戶終端將信任證以及安全參數(shù)上傳至所述網(wǎng)絡(luò)服務(wù)端的證書庫中，該信任證具有密碼保護(hù)；步驟b3、網(wǎng)格用戶通過一網(wǎng)格終端訪問所述網(wǎng)絡(luò)服務(wù)端的證書庫，生成獲取所述信任證的請求指令，并上傳訪問信任證的密碼；步驟b4、網(wǎng)絡(luò)服務(wù)端根據(jù)所述安全參數(shù)對所述網(wǎng)格終端進(jìn)行安全檢查，通過檢查則執(zhí)行步驟b5，否則向所述網(wǎng)格終端返回?zé)o效信息并結(jié)束；步驟b5、網(wǎng)絡(luò)服務(wù)端驗(yàn)證所述訪問信任證的密碼是否能夠正確解密所述信任證，是則將所述信任證發(fā)送給所述網(wǎng)格終端，否則向所述網(wǎng)格終端返回?zé)o效信息并結(jié)束。
9.根據(jù)權(quán)利要求8所述的方法，其特征在于所述步驟b2具體為步驟b21、所述網(wǎng)格用戶終端向網(wǎng)絡(luò)服務(wù)端發(fā)送服務(wù)請求指令；步驟b22、所述網(wǎng)格用戶終端驗(yàn)證所述服務(wù)請求指令，同意授權(quán)則執(zhí)行步驟b23，否則向所述網(wǎng)絡(luò)服務(wù)端發(fā)送拒絕授權(quán)信息；步驟b23、所述網(wǎng)格用戶終端生成所述信任證的安全參數(shù)；步驟b24、所述網(wǎng)格用戶終端將所述信任證和安全參數(shù)上傳至所述網(wǎng)絡(luò)服務(wù)端的證書庫中，該信任證具有密碼保護(hù)。
10.根據(jù)權(quán)利要求8所述的方法，其特征在于所述步驟b4具體為步驟b41、所述網(wǎng)絡(luò)服務(wù)端提取所述網(wǎng)格終端的身份標(biāo)識；步驟b42、所述網(wǎng)絡(luò)服務(wù)端驗(yàn)證所述身份標(biāo)識是否與服務(wù)端安全策略匹配，是則執(zhí)行步驟b43，否則向所述網(wǎng)格終端返回?zé)o效信息；步驟b43、所述網(wǎng)絡(luò)服務(wù)端調(diào)用所述信任證的安全參數(shù)，檢驗(yàn)所述安全參數(shù)是否經(jīng)過策略設(shè)置，是則直接執(zhí)行步驟b44，否則調(diào)用預(yù)設(shè)的缺省策略設(shè)置所述安全參數(shù)后執(zhí)行步驟b44；步驟b44、驗(yàn)證所述身份標(biāo)識是否與所述安全參數(shù)匹配，是則執(zhí)行步驟b5，否則向所述網(wǎng)格終端返回?zé)o效信息并結(jié)束。
全文摘要
本發(fā)明公開了一種面向服務(wù)的信任證保護(hù)處理方法，網(wǎng)格用戶終端與網(wǎng)絡(luò)服務(wù)端建立安全通信通道；網(wǎng)格用戶終端生成代理證書、密碼以及安全參數(shù)并上傳；網(wǎng)絡(luò)服務(wù)端生成代理信任證并加密，保存安全參數(shù)和加密后的代理信任證；網(wǎng)格終端訪問網(wǎng)絡(luò)服務(wù)端的證書庫并提供密碼；網(wǎng)絡(luò)服務(wù)端進(jìn)行安全檢查并驗(yàn)證密碼，通過則生成一份新的代理信任證發(fā)送給網(wǎng)格終端。還公開了一種面向服務(wù)的信任證保護(hù)處理方法，網(wǎng)格用戶上傳信任證給網(wǎng)絡(luò)服務(wù)端，網(wǎng)絡(luò)服務(wù)端提供信任證給請求的網(wǎng)格終端。通過本發(fā)明的方法，將信任證管理方便的融合到WSRF框架中；能夠靈活的對安全通信機(jī)制加以選擇；分級別的信任證保護(hù)機(jī)制，增強(qiáng)了保護(hù)的靈活性；可在線對信任證進(jìn)行分發(fā)管理。
文檔編號H04L29/06GK1791116SQ20051013254
公開日2006年6月21日 申請日期2005年12月26日 優(yōu)先權(quán)日2005年12月26日
發(fā)明者懷進(jìn)鵬, 胡春明, 李沁, 劉新剛, 李建欣 申請人:北京航空航天大學(xué)