基于策略的安全证书过滤制造技术

在用于解决怎样处理通信实体的数字安全证书的执行环境的安全处理中建立策略过滤服务，不需要通过认证中心（“ＣＡ”）链与实体相关联的根证书的局部复制。利用表示用于证书过滤条件的一组规则（或其它策略格式）来指定策略。优选地，在确定需要的根ＣＡ证书无效时，在握手过程中调用该过滤。在一个方案中，策略使用指定允许证书（即看作以获得验证来处理）的条件的规则以及指定阻挡证书（即看作没有获得验证来处理）的条件的其它规则。优选地，按照最具体到最不具体的顺序评估和执行策略规则。

【技术实现步骤摘要】
【国外来华专利技术】
本专利技术涉及计算机安全，尤其涉及通信网络中的安全通信交换。
技术介绍
传输层安全(″TLS″)和安全套接层(″SSL″)是常用的安全工具，用于在客户端/服务器网络中结合认证和加密。TLS和SSL是设计用于因特网环境(最初不是设计为安全环境)的网络协议，并操作为TCP/IP(″传输控制协议″/″因特网协议″)层之上的协议层。然后，应用代码驻留在网络协议栈中的TLS/SSL之上。当应用(例如浏览器)产生要发往网络中另一个实体的数据以后，数据从应用层传给TLS/SSL层(在TLS/SSL层中执行各种安全程序)，然后TLS/SSL层将转换后的数据传给TCP层。在连接的接收端，当TCP层收到输入数据以后，它将该数据向上传给TLS/SSL层(在TLS/SSL层中执行程序，将数据恢复为最初形式)，然后恢复后的数据被传给接收应用。
技术实现思路
本专利技术限定用于基于策略的安全证书的过滤技术。在一个方面，本专利技术优选包括以下步骤：通过通信网络中的第一实体，接收第二实体的安全证书；以及确定所述第一实体是否将所述安全证书看作已获得认证的情况来处理。所述确定步骤优选包括步骤：查找适于解决所述确定的至少一个策略规范；以及评估所查找到的至少一个策略规范中的每一个，直到对于怎样处理所述安全证书得出结论为止。所述查找步骤优选地还包括查找涉及该安全证书的至少一个策略规-->范，该策略规范可涉及(例如)所述第一实体和/或所述第二实体。所述结论优选表示所述第一实体将所述安全证书看作已获得认证或没有获得认证的情况来处理。实施例还支持：该结论表示要求用户的输入来确定第一实体要怎样处理所述安全证书，并且在这种情况下，优选请求和使用用户的输入。第一实体和第二实体可以是客户端装置和服务器装置，或者反过来。接收和确定步骤可以在第一实体与第二实体之间的协议握手流期间发生。优选地，响应于确定对安全证书认证所需的认证中心证书在接收证书的第一实体处无效时发生所述确定步骤。策略规范优选按照最具体到最不具体的顺序评估。可以在评估所查找到的策略规范的第一匹配规范后得出关于第一实体要怎样处理安全证书的结论；在其它情况下，在评估所查找到的策略规范的至少两个匹配规范之后得出结论。策略规范可包括策略规则，每个策略规则包括在评估中要使用的至少一个条件以及在得出结论时要使用的行为。在评估所查找到的策略规范的至少一个匹配规范时，得出所述第一实体将所述安全证书看作已获得认证的情况来处理的结论，其中所查找到的策略规范指定允许所述安全证书的条件。在评估所查找到的策略规范的至少一个匹配规范时，得出所述第一实体将所述安全证书看作没有获得认证的情况来处理的结论，其中所查找到的策略规范指定阻挡所述安全证书的条件。评估优选地还包括将所述评估后的策略规范中指定的至少一个条件的每个条件与涉及所述安全证书的信息进行比较。涉及所述安全证书的信息可包括(作为实例)其发布者和/或有效期。应用于确定第一实体要怎样处理安全证书的策略规范可包括涉及在安全证书中指定的至少一个值的、涉及第一实体的和/或涉及第二实体的策略规范。所述方法还包括执行关于第一实体要怎样处理安全证书的结论。本专利技术的实施例还可以，或者替代性地，作为系统或计算机程序产品-->提供。上述是
技术实现思路
，因此必要地包括细节的简化、概括和省略；因此，本领域技术人员能够理解，
技术实现思路
仅仅是示例性的，而不是要以任何方式限制。如所附权利要求书所限定的本专利技术的其它方面、创造性特点、以及优点，在下面提供的非限制性的详细描述中将变得显而易见。附图说明下面仅通过实例并参照附图描述本专利技术的优选实施例，附图中：图1示出可用于本专利技术实施例的数字证书的典型格式；图2示出在客户端认证服务器情况下的消息流；图3示出根据本专利技术的一个或多个实施例的指定为规则的实例策略；图4示出适于存储和/或执行程序代码的数据处理系统；以及图5示出可应用本专利技术一个或多个实施例的典型网络环境。具体实施方式默认地，TLS和SSL采取服务器认证模式，在这种模式下，在协议的握手阶段，服务器向客户端发送它签名的数字证书。证书通过可信任的认证中心(″CA″)发布，发布特定证书的CA负责证书的数字签名，因此，通过认证(即验证)证书上CA的数字签名，可以确定证书的真实性。因此，当客户端接收服务器签名的数字证书时，该客户端负责利用服务器的证书以及通过认证中心链与该服务器相关联的一个或多个其它CA证书来认证该服务器。有时候，除了本身的证书，服务器还可以向客户端发送附加证书。如果向客户端发送附加证书，则以有序的″证书列表″来发送证书，在证书列表中，先是服务器的证书，然后是CA证书，CA证书开始是发布服务器证书的CA，然后依次上溯到根CA。客户端知道的根证书通常驻留在一般称为″密钥环″的地方。大多数常用的数字证书满足对于公共密钥基础设施(″PKI″)的X.509规范中指定的标准和格式，如请求注解(″RFC″)2459所述。因此，这些数字证书一般称-->为″X.509数字证书″或者″X.509证书″。(RFC 2459由互联网工程工作小组或″IETF″公布。)数字证书上的数字签名通过计算证书的散列摘要(hashed digest)产生，包括证书的公共密钥字段。参见图1，图1是X.509数字证书的典型格式100。(X.509数字证书格式是基于二进制的格式，并且可参照RFC2459中定义的证书结构来解释。)当计算散列摘要时利用字段110至字段170中的值。下面更详细地描述数字证书100的这些字段的典型内容。版本号字段110指定证书的版本(采用默认值的时候可省略)。序列号字段120是CA向它发布的每个证书分配的特定整数值(因此序列号字段120与发布者字段140可确定唯一证书)。签名信息字段130表明使用哪一种算法产生数字签名，并指定该算法所使用的参数，发布者字段140确定发布该证书的CA。字段150指定证书的有效期，表明CA保证它将保持与证书状态相关信息的时间周期。所述字段150通常包括″非之前″日期和″非之后″日期，其中″非之前″日期是证书有效期开始的日期，″非之后″日期是证书有效期结束的日期。对象字段160标识服务器(或者更一般地，实体或″对象″)，证书为该服务器而产生。算法字段172标识算法，存储在对象公共密钥字段174中的公共密钥使用该算法。因此，向服务器发布证书时，字段174存储服务器的公共密钥。利用签名(即发布)CA的私有密钥将对字段110-170计算的散列摘要加密，从而产生数字签名值180。(根据字段130中标识的签名算法，用于产生证书数字签名180的散列数的大小可变。)验证证书100时，验证器利用签名CA的公共密钥将证书的数字签名字段180解密。然后验证器对字段110-170重新计算散列，将其与字段180的解密值进行比较。如果这些值匹配，则证书获得认证，可以信任。在TLS/SSL握手期间，对于链中的每个证书都要进行验证过程，直到根CA。当为了安全而使用SSL/TLS并且服务器未发出证书列表时，通常客户端接收服务器证书，因此在客户端密钥环上根证书无效。然后很多执行平-->台向终端用户发出消息，要求终端用户亲自检查服务器证书，接收或者拒绝该证书。终端用户的响应确定TLS/SSL握手是本文档来自技高网...

【技术保护点】
一种计算机实现的基于策略的安全证书过滤方法，包括以下步骤：　通过通信网络中的第一实体，接收第二实体的安全证书；以及　确定所述第一实体是否将所述安全证书看作已获得认证的情况来处理，包括以下步骤：　查找适于解决所述确定的至少一 个策略规范；以及　评估所查找到的至少一个策略规范中的每一个，直到对于怎样处理所述安全证书得出结论为止。

【技术特征摘要】
【国外来华专利技术】US 2006-4-17 11/405,0691.一种计算机实现的基于策略的安全证书过滤方法，包括以下步骤：通过通信网络中的第一实体，接收第二实体的安全证书；以及确定所述第一实体是否将所述安全证书看作已获得认证的情况来处理，包括以下步骤：查找适于解决所述确定的至少一个策略规范；以及评估所查找到的至少一个策略规范中的每一个，直到对于怎样处理所述安全证书得出结论为止。2.如权利要求1所述的方法，其中，所述结论表示所述第一实体将所述安全证书看作已获得认证的情况来处理。3.如权利要求1所述的方法，其中，所述结论表示所述第一实体将所述安全证书看作没有获得认证的情况来处理。4.如权利要求1所述的方法，其中，所述结论表示要求用户的输入来确定所述第一实体要怎样处理所述安全证书，并且还包括以下步骤：从所述用户要求所述输入；以及根据所述用户的输入，将所述安全证书看作已获得验证的情况或者没有获得验证的情况来处理。5.如权利要求1所述的方法，其中，所述第一实体是客户端装置，所述第二实体是服务器装置。6.如权利要求1所述的方法，其中，所述第一实体是服务器装置，所述第二实体是客户端装置。7.如权利要求1所述的方法，其中，所述接收和确定步骤在所述第一实体与所述第二实体之间的协议握手流期间发生。8.如权利要求1所述的方法，其中，响应于确定对所述安全证书认证所需要的认证中心证书在所述第一实体无效，发生所述确定步骤。9.如权利要求1所述的方法，其中，所述评估步骤在评估所查找到的策略规范的第一匹配规范之后得出结论。10.如权利要求1所述的方法，其中，所述评估步骤在评估所查找到的策略规范的至少两个匹配规范之后得出结论。11.如权利要求1所述的方法，其中，所述策略规范按照最具体到最不具体的顺序来评估。12.如权利要求1所述的方法，其中，所述策略规范包括策略规则，每个策略规则包括要在所述评估中使用的至少一个条件以及要在得出所述结论中使用的行为。13.如权利要求2所述的方法，其中，在评估所查找到的策略规范的至少一个匹配规范时，得出所述第一实体将所述安全证书看作已获得认证的情况来处理的结论，其中所查找到的策略规范指定允许所述安全证书的条件。14.如权利要求3所述的方法，其中，在评估所查找到的策略规范的至少一个匹配规范时，得出所述第一实体将所述安全证书看作没有获得认证的情况来处理的结论，其中所查找到的策略规范指定阻挡所述安全证书的条件。15.如权利要求1所述的方法，其中，所述评估步骤还包括将所述评估后的策略规范中指定的至少一个条件的每个条件与涉及所述安全证书的信息进行比较。16.如权...

【专利技术属性】
技术研发人员：RF布拉布森，B马萨科斯基，LH小奥弗毕，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：US[美国]