CN105681047B - 一种ca证书签发方法及*** - Google Patents
一种ca证书签发方法及*** Download PDFInfo
- Publication number
- CN105681047B CN105681047B CN201610176854.4A CN201610176854A CN105681047B CN 105681047 B CN105681047 B CN 105681047B CN 201610176854 A CN201610176854 A CN 201610176854A CN 105681047 B CN105681047 B CN 105681047B
- Authority
- CN
- China
- Prior art keywords
- domain name
- certificate
- record
- server
- issuing
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 15
- 238000012550 audit Methods 0.000 claims abstract 3
- 230000005540 biological transmission Effects 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000008092 positive effect Effects 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/45—Network directories; Name-to-address mapping
- H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
- H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
- H04L63/308—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information retaining data, e.g. retaining successful, unsuccessful communication attempts, internet access, or e-mail, internet telephony, intercept related information or call content
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Technology Law (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明公开了一种CA证书签发方法及***。本方法为:1)域名拥有者向CA注册商代理服务器提交域名的CA证书申请;如果审核通过,则将该域名提交给CA签发指示器;2)签发指示器为该域名生成一签发记录后通知CA注册机构服务器对该域名签名,并把签名信息返回给签发指示器;3)签发指示器更新签发记录并返回成功信息给注册商代理服务器;4)注册商代理服务器将该签名信息发送给该域名拥有者;5)该域名拥有者将该签名信息发送给DNS服务器配置到对应TXT记录;6)注册机构服务器向DNS服务器查询该域名的TXT记录,如果有该域名签名信息,则将CA证书签发给该域名拥有者;否则拒绝签发CA证书。本发明能减少错发域名的发生。
Description
技术领域
本发明涉及一种减少CA证书错发的签发方法及***,属于计算机网络技术领域。
背景技术
CA证书通常发给被授权的用户。该证书通常绑定特定的域名,以便建立安全的TLS或SSL连接。由于CA机构经常无法判别特定用户对特定的域名是否具有关联关系或者管理关系,所以CA机构经常给一些恶意用户错误的发放特定域名的证书,而这些域名并不属于恶意用户。恶意用户通常使用一些伪造的或者非法的材料证明自己是特定域名的拥有者,而CA机构无法辨别出这些材料是伪造的或者非法的,因此错误的发放特定域名的CA证书给不拥有特定域名管理权的恶意用户。该恶意用户通常使用这些证书,装扮成这些特定域名的拥有者,提供网络服务,从而进行网络中间人攻击。
一种常用的技术是CA注册机构通过查询域名的联系人信息,给这些域名的联系人发送电子邮件或者电话进行确认。由于电子邮件和电话的查询都不能完全判定,CA证书所宣称的域名是不是和域名的真正拥有者属于同一个注册者。为了尽可能的阻止这些问题的发生,谷歌公司提出了证书透明的技术措施,并在国际技术标准组织IETF发布成为RFC6962.证书透明机制是一种事后防范机制,在证书错误的发放给恶意伪装成拥有某个域名的用户。但是真正拥有特定域名的用户可能很长时间都不知道自己的域名被某些恶意用户利用了。因此目前的技术措施不能很好的解决证书错误的发放给宣称拥有某个特定域名而实际不拥有特定域名的恶意用户的问题。
发明内容
本发明为了解决证书错误的发放给宣称拥有某个特定域名而实际不拥有特定域名的恶意用户的问题,提供了一种减少CA证书错发的签发方法及***,尤其是可以有效保证证书注册二级代理机构所发放的域名证书的合规性,减少错发域名的发生。
本发明提供了一种通过CA注册机构服务器对用户所申请的CA证书的域名进行签名,该签名信息通过用户原先注册域名时候所用的电子邮件地址进行发送给用户,用户然后在域名服务器(DNS)中配置TXT资源记录,该记录中包含CA注册机构对该域名的签名信息,然后CA注册机构服务器或者CA注册商代理服务器进行DNS查询从而认证用户对宣称拥有的域名具有实际控制权的机制和***。
该***主要有五部分组成,分别是用户终端,CA注册商代理服务器,CA签发指示器,CA注册机构服务器和签名生成器。具体过程如下:
1、用户通过用户终端向CA注册商代理服务器提交域名的CA证书申请。
2、CA注册商代理服务器对用户提交的信息进行审核,把通过审核的域名提交给CA签发指示器。
3、CA签发指示器在表格中增加该域名的签发记录,并填写域名字段信息,并通知CA注册机构服务器,对该域名进行签名。
4、CA注册机构服务器调用签名生成器对该域名进行签名,并把签名信息返回给CA签发指示器。
5、CA签发指示器根据签名信息更新该域名对应的签发记录中的签名信息字段和签名时间字段及签名秘钥字段,并通知CA注册商代理服务器。
6、CA注册商代理服务器通过该域名拥有者即用户的电子邮件地址,向其发送该域名的签名信息。
7、用户通过电子邮件收到签名信息后,在DNS服务器中配置所申请CA证书的域名的TXT的DNS记录。该TXT记录的数据信息中必须含有签名信息,该数据信息可以以“cacertificate:”等前导字段开头,以方便后续查询。用户配置成功TXT的DNS记录后,通过用户终端向CA注册商代理服务器告知TXT的DNS记录已经配置成功,并由其告知CA指示器。如果用户不能真正控制该域名,就不能在DNS服务器上配置这些信息。
8、CA指示器告知CA注册机构服务器用户所申请CA证书的域名的TXT的DNS记录配置成功信息。CA注册机构服务器向DNS服务器查询该域名的TXT记录,看是否有含有该域名签名信息的TXT记录。如果信息正确,在CA指示器的签发记录的CA证书状态字段中置允许签发,在DNS状态字段中置成功;如果不正确,CA证书状态字段中置不允许签发,并在DNS状态字段中置不成功。
9、CA注册商代理服务器对签发记录中的CA证书状态字段中是允许签发的域名,签发证书。其它情况都不能签发证书。
10、CA注册机构服务器定期对CA指示器中签发记录中CA证书状态字段是允许签发的域名,进行DNS查询,看其域名的TXT记录在DNS查询中是否含有该域名签名信息。对这些查询不成功的域名,需在签发记录中的DNS状态字段中置不成功,并对这些域名保持警惕,在必要的时候进行再次审核。
与现有技术相比,本发明的积极效果为:
目前确认CA申请人与域名申请人为同一个人的通行方法是,通过查询域名注册人的电子邮件地址和联系电话的信息,发电子邮件和电话来人工确认是否为同一个人,这种方法只能形式上认证相关域名和CA证书的申请人是否一致,无法实际上判定。这种传统方法,经常造成通过截取或冒名电子邮件地址或者私接电话等多种方式冒充是电话或者电子邮件的拥有者,使某域名的CA证书被冒名申请,从而引发中间人攻击。
本技术可以通过确认拥有DNS自主拥有权的方式,结合联系人电子邮件地址,从实际上确认CA申请人是否控制了CA证书所对应的域名,并自动确认CA申请人与域名申请人是否一致,减少错发CA证书,具有以下特点:
1)可以使CA注册机构对CA注册商所签发的CA证书进行有效的技术监管,防止有些恶意注册商脱离注册机构控制非法发放CA域名证书,引发中间人攻击等恶性事件。
2)可以有效的判定域名的CA证书申请人是否实际控制了该域名。并结合传统的电子邮件地址的认证方式,可以有效的减少冒名申请他人域名的CA证书的情况。本专利使真正对域名有控制权的,且拥有域名注册的时候电子邮箱的申请人才有可能申请到对应的CA证书。
3)目前流行的事后监管机制(证书透明机制)无法在事前判定所签发的证书是否有问题。本专利可以尽可能的在事前利用技术手段判别所签发的CA证书中的域名是否属于域名的实际拥有者。
附图说明
附图为本发明的***证书发放流程图。
具体实施方式
下面结合附图对本发明进行进一步详细描述:
1)用户通过用户终端向CA注册商代理服务器提交example.com域名的CA证书申请。
2)CA注册商代理服务器对用户提交的example.com域名及其信息进行审核,把通过审核的example.com域名提交给CA签发指示器。
3)CA签发指示器在表格中增加该域名的签发记录,并填写域名字段信息,并通知CA注册机构服务器,对该域名进行签名。
4)CA注册机构服务器调用签名生成器对该example.com域名进行签名,并把签名信息eeb15e1270c0ca233e60073250c8ad2531a07dfa返回给CA签发指示器。
5)CA签发指示器更新该域名对应的签发记录中的签名信息字段和签名时间字段及签名秘钥字段,并通知CA注册商代理服务器。
6)CA注册商代理服务器通过该域名拥有者既用户的电子邮件地址[email protected],向其发送该域名的签名信息。
7)用户通过电子邮件收到签名信息后,在DNS服务器中配置所申请CA证书的域名的TXT的DNS记录。该TXT记录的数据信息中必须还有签名信息,该数据信息可以以“cacertificate:”等前导字段开头,以方便后续查询。用户配置成功TXT的DNS记录后,通过用户终端向CA注册商代理服务器告知TXT的DNS记录已经配置成功,并由其告知CA指示器。
Example.com TXT 86400ca certificate:eeb15e1270c0ca233e60073250c8ad2531a07df
8)CA指示器告知CA注册机构服务器用户所申请CA证书的example.com域名的TXT的DNS记录配置成功信息。CA注册机构服务器向DNS服务器查询该域名的TXT记录,看是否有含有该域名签名信息的TXT记录。如果信息正确,在CA指示器的签发记录的CA证书状态字段中置允许签发,在DNS状态字段中置成功;如果不正确,CA证书状态字段中置不允许签发,并在DNS状态字段中置不成功。
9)CA注册商代理服务器对签发记录中的CA证书状态字段中是允许签发的example.com域名,签发证书。其它情况都不能签发证书。
10)CA注册机构服务器定期对CA指示器中签发记录中CA证书状态字段是允许签发的域名,进行DNS查询,看其域名的TXT记录在DNS查询中是否含有该域名签名信息。对这些查询不成功的域名,需在签发记录中的DNS状态字段中置不成功,并对这些域名保持警惕,在必要的时候进行再次审核。
Claims (8)
1.一种CA证书签发方法,其步骤为:
1)域名拥有者通过用户终端向CA注册商代理服务器提交域名的CA证书申请;
2)CA注册商代理服务器对该CA证书申请进行审核,如果审核通过,则将该域名提交给CA签发指示器;
3)CA签发指示器为该域名生成一签发记录,记录该域名的域名信息;然后通知CA注册机构服务器对该域名进行签名,并把签名信息返回给CA签发指示器;
4)CA签发指示器根据该签名信息更新该域名对应的签发记录中的签名信息和签名时间及签名秘钥,并返回签名信息给CA注册商代理服务器;
5)CA注册商代理服务器通过注册该域名时提供的通信渠道将该域名的签名信息发送给该域名拥有者;
6)该域名拥有者将该签名信息发送给DNS服务器,DNS服务器将该签名信息配置到该域名对应CA证书的TXT记录,并返回配置成功信息给CA注册机构服务器;
7)CA注册机构服务器向DNS服务器查询该域名的TXT记录,如果有该域名的签名信息的TXT记录,则将该域名的CA证书签发给该域名拥有者。
2.如权利要求1所述的方法,其特征在于,步骤7)中,如果有该域名的签名信息的TXT记录,则将CA签发指示器中对应签发记录的CA证书状态设为允许签发、将DNS状态置为成功并将该域名的CA证书签发给该域名拥有者;否则,将对应签发记录的CA证书状态设为不允许签发、将DNS状态置为不成功。
3.如权利要求2所述的方法,其特征在于,CA注册机构服务器定期对CA指示器中签发记录中CA证书状态字段是允许签发的域名进行DNS查询,检查域名的TXT记录在DNS查询中是否含有该域名的签名信息;对于查询不成功的域名,则将其对应签发记录中的DNS状态置为不成功。
4.如权利要求1或2或3所述的方法,其特征在于,所述通信渠道为电子邮件地址。
5.一种CA证书签发***,其特征在于,包括用户终端,CA注册商代理服务器,CA签发指示器,CA注册机构服务器和DNS服务器;其中,
用户终端,用于向CA注册商代理服务器提交域名的CA证书申请;
CA注册商代理服务器,用于对CA证书申请进行审核,如果审核通过,则将对应域名提交给CA签发指示器;以及通过注册域名时提供的通信渠道将域名的签名信息发送给该域名的拥有者;
CA签发指示器,用于为审核通过的域名生成一签发记录,记录该域名的域名信息;然后通知CA注册机构服务器对该域名进行签名;以及根据收到的签名信息更新对应域名的签发记录中的签名信息和签名时间及签名秘钥,并返回签名信息给CA注册商代理服务器;
CA注册机构服务器,用于对域名进行签名,并把签名信息返回给CA签发指示器;以及向DNS服务器查询域名的TXT记录,如果有该域名的签名信息的TXT记录,则将该域名的CA证书签发给该域名拥有者;
DNS服务器,用于将域名拥有者提供的签名信息配置到该域名拥有者的域名对应CA证书的TXT记录,并返回配置成功信息给CA注册机构服务器。
6.如权利要求5所述的***,其特征在于,如果有该域名的签名信息的TXT记录,则将CA签发指示器中对应签发记录的CA证书状态设为允许签发、将DNS状态置为成功并将该域名的CA证书签发给该域名拥有者;否则,将对应签发记录的CA证书状态设为不允许签发、将DNS状态置为不成功。
7.如权利要求6所述的***,其特征在于,CA注册机构服务器定期对CA指示器中签发记录中CA证书状态字段是允许签发的域名进行DNS查询,检查域名的TXT记录在DNS查询中是否含有该域名的签名信息;对于查询不成功的域名,则将其对应签发记录中的DNS状态置为不成功。
8.如权利要求5或6或7所述的***,其特征在于,所述通信渠道为电子邮件地址。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201610176854.4A CN105681047B (zh) | 2016-03-25 | 2016-03-25 | 一种ca证书签发方法及*** |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201610176854.4A CN105681047B (zh) | 2016-03-25 | 2016-03-25 | 一种ca证书签发方法及*** |
Publications (2)
Publication Number | Publication Date |
---|---|
CN105681047A CN105681047A (zh) | 2016-06-15 |
CN105681047B true CN105681047B (zh) | 2019-01-04 |
Family
ID=56223966
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201610176854.4A Active CN105681047B (zh) | 2016-03-25 | 2016-03-25 | 一种ca证书签发方法及*** |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN105681047B (zh) |
Families Citing this family (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102016215917A1 (de) * | 2016-08-24 | 2018-03-01 | Siemens Aktiengesellschaft | Gesichertes Verarbeiten einer Berechtigungsnachweisanfrage |
CN106357820A (zh) * | 2016-11-10 | 2017-01-25 | 济南浪潮高新科技投资发展有限公司 | 一种云环境下ca基础设施资源分配***及方法 |
CN107196965B (zh) * | 2017-07-04 | 2020-02-11 | 烟台大学 | 一种安全网络实名登记注册方法 |
CN108737111B (zh) * | 2018-05-24 | 2021-07-27 | 中国互联网络信息中心 | 一种数字证书处理方法及装置 |
CN109150874B (zh) * | 2018-08-16 | 2020-10-16 | 新华三技术有限公司 | 访问认证方法、装置及认证设备 |
CN114124411B (zh) * | 2021-12-07 | 2024-01-09 | 牙木科技股份有限公司 | 信息注册方法、信息认证方法、dns服务器及存储介质 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1783848A (zh) * | 2004-12-02 | 2006-06-07 | 北京航空航天大学 | 基于域名层次认证机构的邮件传输代理原发抗抵赖方法 |
US20060143442A1 (en) * | 2004-12-24 | 2006-06-29 | Smith Sander A | Automated issuance of SSL certificates |
WO2010033126A1 (en) * | 2008-09-22 | 2010-03-25 | Nokia Corporation | Certificate based dns name space control |
CN103078877A (zh) * | 2013-01-31 | 2013-05-01 | 中国科学院计算机网络信息中心 | 基于dns的用户认证和域名访问控制方法及*** |
-
2016
- 2016-03-25 CN CN201610176854.4A patent/CN105681047B/zh active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1783848A (zh) * | 2004-12-02 | 2006-06-07 | 北京航空航天大学 | 基于域名层次认证机构的邮件传输代理原发抗抵赖方法 |
US20060143442A1 (en) * | 2004-12-24 | 2006-06-29 | Smith Sander A | Automated issuance of SSL certificates |
WO2010033126A1 (en) * | 2008-09-22 | 2010-03-25 | Nokia Corporation | Certificate based dns name space control |
CN103078877A (zh) * | 2013-01-31 | 2013-05-01 | 中国科学院计算机网络信息中心 | 基于dns的用户认证和域名访问控制方法及*** |
Also Published As
Publication number | Publication date |
---|---|
CN105681047A (zh) | 2016-06-15 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN105681047B (zh) | 一种ca证书签发方法及*** | |
KR100950894B1 (ko) | 보이스 오버 인터넷 프로토콜(브이오아이피) 커뮤니케이션내에서 디지털-증명서를 등록하고 자동으로 검색하는 방법및 시스템 | |
AU2003212723B2 (en) | Single sign-on secure service access | |
US8856525B2 (en) | Authentication of email servers and personal computers | |
JP4717886B2 (ja) | 電子メールを規制する方法及びシステム | |
JP6093102B1 (ja) | 認証システム、ならびに、プログラム | |
US20060123476A1 (en) | System and method for warranting electronic mail using a hybrid public key encryption scheme | |
CN105516163B (zh) | 一种登录方法及终端设备及通信*** | |
US20110047373A1 (en) | User authentication system and method for the same | |
RU2641227C2 (ru) | Способ регистрации и подтверждения приема сообщений электронной почты | |
US20100306820A1 (en) | Control of message to be transmitted from an emitter domain to a recipient domain | |
EP1698096A2 (en) | Mobile device and method for providing certificate based cryptography | |
US11165768B2 (en) | Technique for connecting to a service | |
US8112535B2 (en) | Securing a server in a dynamic addressing environment | |
US20190386835A1 (en) | Information processing apparatus, method for controlling the same, and program therefor | |
CN103701612B (zh) | 一种标识私钥获取与发放方法 | |
EP1705547A1 (en) | Spam prevention by legal user database and user authentication | |
JP2015508916A (ja) | 携帯端末へのデータメッセージの送達を証明する方法 | |
KR102462411B1 (ko) | 전자 신원확인 및 인증 서비스(eidas)를 위한 전자 공고를 인증하는 플랫폼 및 방법 | |
Hutzelman et al. | Generic security service application program interface (GSS-API) authentication and key exchange for the secure shell (SSH) protocol | |
WO2013080039A2 (en) | Auditable multiclaim security token | |
CN105119884A (zh) | 用于网络通信用户权限的校验方法 | |
US9882891B2 (en) | Identity verification | |
JP4066719B2 (ja) | 位置情報を提供する位置情報サーバとその利用者端末 | |
JP2020173507A (ja) | 認証仲介装置及び認証仲介プログラム |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |