[发明专利]一种基于LRA受理点信息的数字证书管理方法及装置

说明书

本发明提出了一种基于LRA受理点信息的数字证书管理方法及装置，其特征在于在用户数字证书的签发以及证书的整个生命周期中对证书进行完善的管理。通过对证书的属性进行扩展，同时在CA中心和LDAP目录服务器中对证书的受理点信息进行有效管理，在证书的整个生命周期中，可以有效地对证书签发时间、签发人等信息进行追溯，为PKI体系的安全管理提供了保障。本发明是对PKI建立一套完善的管理体系的有效补充，也可以满足更多类型的业务需求。同时，应用系统可以通过目录服务器得到完整的有效信息，方便用户使用。

技术领域

本发明涉及网络与信息安全领域中数字证书及其应用技术，特别是涉及数字证书发放和管理的技术和方法。

背景技术

当前基于PKI（Public Key Infrastructure，公钥基础设施）技术的数字证书在电子商务、电子政务、网上银行等应用中使用越来越广泛，用户急剧增长。PKI是通过使用公开密钥技术和数字证书来确保系统信息安全并负责验证数字证书持有者身份的一种体系。一个完整地PKI系统是由认证机构、密钥管理中心（KMC）、注册机构、目录服务、以及安全认证应用软件、证书应用服务等部分组成。

在PKI体系中注册机构RA(Registration Authority)中心负责证书用户的身份审核、用户基本信息维护、证书管理服务，可以对注册的用户信息进行管理和维护。RA中心是整个CA（Certificate Authority）中心正常运营不可缺少的一部分。CA中心以集中发放证书或网上发放证书为主要发证模式；在这种情况下，用户注册、注册审核、统一发证等各个业务步骤都必须统一化、规范化，这都可以由RA中心来实现。RA中心在不同的部门设立RA业务终端系统，满足中央/节点的分布式机构对证书业务服务的需要，并支持对未来系统结构的扩展。RA中心的设置可以根据具体行业和业务需求来进行，RA的下级机构可以是RA分中心或业务受理点LRA。受理点LRA与注册机构RA共同组成证书申请、审核、注册中心的整体。LRA面向最终用户，负责对用户提交的申请资料进行录入、审核和证书制作。

轻量级目录访问协议LDAP（Lightweight Directory Access Protocol）目录服务器用于存储对象的各类属性和信息，它定义了一个用来发布目录信息到许多不同资源的协议，使得各种应用可以通过标准接口目录服务器获取相应信息。在PKI领域，LDAP目录服务器主要用于存储和发布CA写入的公钥数字证书和CRL证书注销列表。通过该目录服务器，应用系统可以查询到用户的证书基本属性信息和证书状态。

发明内容

本发明所要解决的技术问题是提供一种用于对负责证书业务的受理点LRA进行有效管理，保证可以对每个受理点发放的证书进行有效管理、识别，并可以根据证书来追溯到是由哪个受理点发放的一种基于LRA受理点信息的数字证书管理方法。

为解决上述技术问题，本发明采用的技术方案为：一种基于LRA受理点信息的数字证书管理方法，其包括以下步骤：在注册机构RA中心发送的用户证书申请信息中附加受理该用户申请的LRA受理点编号信息；CA中心签发的该用户证书的扩展选项中包含其关联的LRA受理点编号，并存储相关信息；轻量级目录访问协议LDAP目录服务器存储用户证书信息和与之关联的LRA受理点编号信息。