CN113132108B - 一种数字证书的吊销、校验方法及装置 - Google Patents

Abstract

本申请实施例提供一种数字证书的吊销、校验方法及装置，涉及计算机技术领域，能够提升数字证书的吊销和验证的有效性和安全性。该方法包括：网络设备接收吊销指示消息，该吊销指示消息用于指示网络设备吊销数字证书，该吊销指示消息中包括待吊销数字证书的标识；并且网络设备确定该网络设备的OTP的目标分区，该OTP的目标分区的标识与待吊销数字证书的标识对应；以及网络设备对OTP的目标分区进行写操作，将该OTP的目标分区设置为已编程状态，该OTP的目标分区的已编程状态对应待吊销数字证书的无效状态。

Description

一种数字证书的吊销、校验方法及装置

技术领域

本申请实施例涉及计算机技术领域，尤其涉及一种数字证书的吊销方法及装置。

背景技术

在计算机技术领域，可以使用数字签名技术来校验该电子设备运行时的相关数据(例如软件代码)是否被篡改，从而保证电子设备安全运行。

在电子设备运行过程中，以电子设备接收到某一数据并处理该数据为例，该电子设备接收并读取数据和该数据的数字签名(即采用私钥对该数据进行加密的结果)之后，该电子设备首先需要校验数字证书(该数字证书包含对该数字签名进行验签的公钥)是否有效，若该数字证书已经被吊销(无效)，说明该数字签名是无效的，则电子设备停止处理该数据；若该数字证书是有效的，则电子设备进一步校验该数据是否被篡改(即验签)，在确定该数据未被篡改的情况下，电子设备继续处理该数据。

目前，可以通过在线证书状态协议(online certificate status protocol，OCSP)从证书颁发机构查询数字证书是否有效，即电子设备可以向证书颁发机构发送证书状态查询请求，然后证书颁发机构向电子设备反馈数字证书的状态(吊销或未吊销，有效或无效)。

上述校验数字证书的有效性的方法中电子设备需要联网，并与证书颁发机构进行通信来获取数字证书的状态，然而，有些电子设备在启动过程中就需要校验相关数字证书的有效性，但是电子设备在启动时并未联网，因此无法确定数字证书是否被吊销，该校验数字证书有效性的方法的适用性较差。

发明内容

本申请实施例提供一种数字证书的吊销、校验方法及装置及***，能够提升数字证书的吊销和验证的有效性和安全性。

为达到上述目的，本申请实施例采用如下技术方案：

第一方面，本申请实施例提供一种数字证书的吊销方法，包括：网络设备接收吊销指示消息，该吊销指示消息用于指示网络设备吊销数字证书，该吊销指示消息中包括待吊销数字证书的标识；并且网络设备确定该网络设备的一次性可编程内存(one timeprogrammable memory，OTP)的目标分区，该OTP的目标分区的标识与待吊销数字证书的标识对应；以及网络设备对该网络设备OTP的目标分区进行写操作，将该OTP的目标分区设置为已编程状态，该OTP的目标分区的已编程状态对应待吊销数字证书的无效状态。

本申请实施例中，上述吊销指示消息用于指示网络设备吊销该网络设备的一个或者多个数字证书，具体的，网络设备根据该吊销指示信息中包含的数字证书的标识开始执行吊销该数字证书的操作。

应理解，网络设备的OTP是一次性可编程内存，也就是说，该OTP仅支持一次编程处理(可以理解为仅支持一次写操作)，支持多次读操作。OTP可以包括多个分区，可以使用不同的标识信息(或者编号)来标识OTP的不同分区。

本申请实施例提供的数字证书的吊销方法，网络设备接收吊销指示消息，该吊销指示消息用于指示网网络设备吊销数字证书；并且网络设备该吊销指示消息中包含的待吊销数字证书的标识，确定与该待吊销数字证书对应的该网络设备的OTP的目标分区，该OTP的目标分区的标识与待吊销数字证书的标识对应；以及网络设备对OTP的目标分区进行写操作，将OTP的目标分区设置为已编程状态，该OTP的目标分区的已编程状态对应待吊销数字证书的无效状态。由于网络设备的OTP仅支持一次性写操作，因此，通过写操作改变数字证书对应的OTP的目标分区的状态来吊销数字证书，使得吊销数字证书的操作不可逆，能够提高数字证书吊销的有效性和安全性。

一种可能的实现方式中，网络设备的多个数字证书的标识与该网络设备的OTP的多个分区的标识具有一一对应的关系。

本申请实施例中，可以将网络设备的多个数字证书与该网络设备的OTP的多个分区进行关系绑定，即建立多个数字证书与OTP的多个分区的对应关系，具体的，建立网络设备的多个数字证书的标识与网络设备的多个分区的标识的对应关系，该对应关系是预先配置在该网络设备上的。

在一种实现方式中，网络设备的多个数字证书的标识与网络设备的OTP的多个分区的标识具有一一对应的关系。本申请实施例中，数字证书的标识与OTP的分区的标识之间的对应关系也可以是一对多的关系，例如一个数字证书的标识对应OTP的多个分区的标识，具体可以根据实际情况确定，本申请实施例不作限定。

一种可能的实现方式中，上述吊销指示消息中还包括吊销指示消息的数字签名；上述网络设备确定网络设备的OTP的目标分区的方法可以包括：在吊销指示消息的数字签名有效的情况下，网络设备确定该网络设备的OTP的目标分区。

应理解，在本申请实施例中，吊销一个数字证书是有权限的，网络设备可能有权限吊销一个数字证书，也可能无权限吊销一个数字证书，也就是说，网络设备并不是接收到任何吊销指示消息时，均能执行吊销对应的数字证书(即吊销指示消息中携带的数字证书的序列号或数字证书的哈希值所对应的数字证书)的操作。

本申请实施例中，通过对吊销指示消息进行签名来限制吊销操作的权限，网络设备接收到吊销指示消息时，首先对该吊销指示消息的数字签名进行验签，确定该吊销指示消息的数字签名是否有效。若该吊销指示消息的数字签名验签成功(即数字签名有效)，则该网络设备有权限吊销对应的数字证书。通过对吊销指示消息签名以及验签，可以防止错误吊销数字证书或者防止攻击者吊销某些重要的数字证书，能够提升数字证书吊销过程的安全性。

一种可能的实现方式中，上述网络设备对该网络设备的OTP的目标分区进行写操作具体包括：在网络设备中不存在与待吊销数字证书对应的已签名数据的情况下，网络设备对OTP的目标分区进行写操作。其中，与待吊销数字证书对应的已签名数据指的是采用该吊销数字证书中的公钥所对应的私钥已签名的数据。

本申请实施例中，若网络设备中存在与待吊销数字证书对应的已签名数据，则网络设备本次不执行吊销该待吊销数字证书的操作，即网络设备吊销数字证书失败。如此，可以保证该网络设备中已存储的数据不受影响。若网络设备中不存在与待吊销数字证书对应的已签名数据，则网络设备确定该待吊销数字证书对应的OTP的分区(即目标分区)，并对该目标分区进行写操作，以实现对数字证书的吊销。

一种可能的实现方式中，网络设备的数字证书的标识为该数字证书的序列号和/或数字证书的哈希值。

上述网络设备的数字证书的标识可以为数字证书的序列号和/或数字证书的哈希值(也可以称为哈希指纹或者散列值)，即数字证书的标识可以为数字证书的序列号，或者该数字证书的标识可以为该数字证书的哈希值，又或者该数字证书的标识可以为该数字证书的序列号和该数字证书的哈希值，本申请实施例不作具体限定。

可选的，本申请实施例中，也可以将证书颁发者信息作为数字证书的标识，还可以将其他标识(例如自定义的标识)作为数字证书的标识，具体可以根据实际使用需求确定，本申请实施例不作限定。

应理解，数字证书的序列号可以唯一标识一个数字证书，同理，数字证书的哈希值也可以唯一标识一个数字证书。

第二方面，本申请实施例提供一种数字证书的校验方法，包括：网络设备获取数字证书校验指示；并且网络设备确定待校验数字证书的标识；以及网络设备根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区，该证书绑定关系文件包括网络设备的多个数字证书的标识，以及与该多个数字证书的标识对应的网络设备的OTP的多个分区的标识；若OTP的目标分区的状态为已编程状态，则网络设备确定待校验数字证书无效。

本申请实施例中，上述证书绑定关系文件包括网络设备的多个数字证书的标识，以及与该多个数字证书的标识对应的网络设备的OTP的多个分区的标识，即从证书绑定关系文件可以得到网络设备的多个数字证书的标识与OTP的多个分区的标识之间的对应关系(也是网络设备的多个数字证书与OTP的多个分区的对应关系)。

该数字证书校验指示用于指示网络设备对该网络设备中的一个或多个数字证书进行有效性校验。网络设备获取的数字证书校验指示可以为网络设备接收到的数字证书校验指示消息，该数字证书校验指示也可以为其他触发网络设备执行数字证书校验的信息，本申请实施例不作限定。

可选的，上述证书绑定关系文件可以是预先配置在该网络设备上的，也可以是网络设备从其他设备获取的，本申请实施例不作限定。

本申请实施例提供的数字证书的校验方法，网络设备首先获取数字证书校验指示，并确定待校验数字证书的标识；然后网络设备根据证书绑定关系文件，中确定与待校验数字证书的标识对应的OTP的目标分区；在OTP的目标分区的状态为已编程状态的情况下，网络设备确定待校验数字证书无效。由于网络设备的OTP仅支持一次性写操作，并且是通过对OTP的分区进行写操作来吊销数字证书是安全且不可逆的，因此，通过确定数字证书对应的OTP的目标分区的状态来确定数字证书的是否有效，能够提高数字证书校验的有效性和安全性。

一种可能的实现方式中，本申请实施例提供的数字证书的校验方法还包括：网络设备获取证书绑定关系文件的数字签名。上述网络设备根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区具体包括：在证书绑定关系文件的数字签名有效的情况下，网络设备根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区。

本申请实施例中，为保证证书绑定关系的可靠性(或有效性，安全性)，可以使用根证书对该证书绑定关系文件进行签名保护(即使用根证书中的公钥所对应的私钥对证书绑定关系文件进行加密)。网络设备确定证书绑定关系文件的数字签名有效，说明该证书绑定关系文件是可靠的，如此，可以使用该证书绑定关系文件确定与待校验数字证书对应的OTP的目标分区。

一种可能的实现方式中，网络设备的数字证书的标识为数字证书的序列号或数字证书的哈希值。

第三方面、本申请实施例提供一种网络设备，包括接收模块、确定模块以及处理模块。其中，接收模块用于接收吊销指示消息，该吊销指示消息用于指示网络设备吊销数字证书，该吊销指示消息中包括待吊销数字证书的标识；确定模块用于确定网络设备的OTP的目标分区，该OTP的目标分区的标识与待吊销数字证书的标识对应；处理模块用于对网络设备的OTP的目标分区进行写操作，将该OTP的目标分区设置为已编程状态，该OTP的目标分区的已编程状态对应待吊销数字证书的无效状态。

一种可能的实现方式中，网络设备的多个数字证书的标识与网络设备的OTP的多个分区的标识具有一一对应的关系。

一种可能的实现方式中，上述吊销指示消息中还包括吊销指示消息的数字签名。确定模块具体用于在吊销指示消息的数字签名有效的情况下，确定网络设备的OTP的目标分区。

一种可能的实现方式中，上述处理模块具体用于在待吊销数字证书未被使用的情况下，对OTP的目标分区进行写操作。

一种可能的实现方式中，网络设备的数字证书的标识为数字证书的序列号和/或数字证书的哈希值。

第四方面，本申请实施例提供一种网络设备，包括获取模块和确定模块。其中，获取模块用于数字证书校验指示；确定模块用于确定待校验数字证书的标识，并且根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区，该证书绑定关系文件包括网络设备的多个数字证书的标识，以及与该多个数字证书的标识对应的网络设备的OTP的多个分区的标识；以及在OTP的目标分区的状态为已编程状态的情况下，确定待校验数字证书无效。

一种可能的实现方式中，上述获取模块还用于获取证书绑定关系文件的数字签名；上述确定模块具体用于在证书绑定关系文件的数字签名有效的情况下，根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区。

一种可能的实现方式中，网络设备的数字证书的标识为数字证书的序列号或数字证书的哈希值。

第五方面，本申请实施例提供一种网络设备，包括处理器和与该处理器耦合连接的存储器；该存储器用于存储计算机指令，当网络设备运行时，处理器执行存储器存储的计算机指令，以使得网络设备执行第一方面及其可能的实现方式中任意之一所述的数字证书的吊销方法。

第六方面，本申请实施例提供一种网络设备，该网络设备以芯片的产品形态存在，该网络设备的结构中包括处理器和存储器，存储器用于与处理器耦合，存储器用于存储计算机指令，处理器用于执行存储器中存储的计算机指令，使得该网络设备执行上述第一方面及其可能的实现方式中任意之一所述的数字证书的吊销方法。

第七方面，本申请实施例提供一种计算机可读存储介质，该计算机可读存储介质可以包括计算机指令，当计算机指令在计算机上运行时，使得计算机执行上述第一方面及其可能的实现方式中任意之一所述的数字证书的吊销方法。

第八方面，本申请实施例提供一种网络设备，包括处理器和与该处理器耦合连接的存储器；该存储器用于存储计算机指令，当网络设备运行时，处理器执行存储器存储的计算机指令，以使得网络设备执行第二方面及其可能的实现方式中任意之一所述的数字证书的校验方法。

第九方面，本申请实施例提供一种网络设备，该网络设备以芯片的产品形态存在，该网络设备的结构中包括处理器和存储器，存储器用于与处理器耦合，存储器用于存储计算机指令，处理器用于执行存储器中存储的计算机指令，使得该网络设备执行上述第二方面及其可能的实现方式中任意之一所述的数字证书的校验方法。

第十方面，本申请实施例提供一种计算机可读存储介质，该计算机可读存储介质可以包括计算机指令，当计算机指令在计算机上运行时，使得计算机执行上述第二方面及其可能的实现方式中任意之一所述的数字证书的校验方法。

应当理解的是，本申请实施例的第三方面至第十方面的技术方案及对应的可能的实施方式所取得的有益效果可以参见上述对第一方面、第二方面及其对应的可能的实施方式的技术效果，此处不再赘述。

附图说明

图1为本申请实施例提供的一种网络设备的硬件示意图；

图2为本申请实施例提供的一种数字证书的吊销方法示意图一；

图3为本申请实施例提供的一种数字证书的吊销方法示意图二；

图4为本申请实施例提供的一种数字证书的吊销方法示意图三；

图5为本申请实施例提供的一种数字证书的校验方法示意图一；

图6为本申请实施例提供的一种数字证书的校验方法示意图二；

图7为本申请实施例提供的一种网络设备的安全启动架构示意图；

图8为本申请实施例提供的一种网络设备的结构示意图一；

图9为本申请实施例提供的一种网络设备的结构示意图二；

图10为本申请实施例提供的一种网络设备的结构示意图三；

图11为本申请实施例提供的一种网络设备的结构示意图四。

具体实施方式

本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。

在本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

在本申请实施例的描述中，除非另有说明，“多个”的含义是指两个或两个以上。例如，多个处理单元是指两个或两个以上的处理单元；多个***是指两个或两个以上的***。

首先对本申请实施例提供的一种数字证书的吊销、校验方法及装置中涉及的一些概念做解释说明。

在公私钥加密技术领域，一对秘钥可以包括一个公钥和一个私钥，公钥可以自由发布，私钥则由用户秘密保存。秘钥可以用于生成签名和验证签名(即验签)。

签名：采用私钥对报文(或其他信息)进行加密的过程相当于生成签名，应注意，采用私钥签名的目的是为了签名，不是为了保密。

验签：采用与该私钥对应的公钥对进行解密的过程相当于验签(即验证签名)，若采用公钥解密得到的报文与原报文一致，则验证签名成功。对报文进行签名可以保证报文的完整性，若采用公钥验签成功，则说明报文在传输过程中未被篡改。

数字证书：是由证书颁发机构(certificate authority，CA)签发的对用户的公钥的认证的文件，数字证书的内容可以包括：电子签证机关的信息(例如名称)、用户的公钥、证书颁发机构的签名和数字证书的有效期等。通常，在验签时，可以从数字证书中获取公钥，然后进行验签。应注意，该数字证书须在有效期内，即数字证书有效的情况下，采用该数字证书(即采用数字证书中的公钥)进行验签才是可靠的。

基于背景技术存在的问题，本申请实施例提供一种数字证书的吊销、校验方法及装置，在吊销数字证书的过程中，网络设备接收吊销指示消息，该吊销指示消息中包括待吊销数字证书的标识；并且网络设备确定该网络设备的OTP的目标分区，该OTP的目标分区的标识与待吊销数字证书的标识对应；以及网络设备对OTP的目标分区进行写操作，将该OTP的目标分区设置为已编程状态，该OTP的目标分区的已编程状态对应待吊销数字证书的无效状态。基于该数字证书的吊销方法，在校验数据证书的有效性的过程中，网络设备首先获取数字证书吊销指示；并确定待吊销数字证书的标识；然后网络设备根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区；在OTP的目标分区的状态为已编程状态的情况下，网络设备确定待校验数字证书无效。通过本申请实施例提供的技术方案，能够提升数字证书的吊销和验证的有效性和安全性。

本申请实施例提供的数字证书的吊销、校验方法及装置可以应用于网络设备中，例如家庭网络设备(如监控设备、路由设备、蓝牙设备等)，如图1所示，该网络设备可以是一种片上***(system on a chip，SOC)设备，该网络设备包括SOC和设备闪存(即设备flash)，SOC是一种***芯片，在该芯片上集成一个完整的***，包括(微)处理器、存储器、以及通信接口等。可选的，网络设备还可以包括其他可能的部件，本申请实施例不作具体限定。

其中，SOC片内的处理器可以为中央处理器(central processing unit，CPU)，通用处理器，数字信号处理器(digital signal processor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(fieldprogrammable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合，其可以实现或执行结合本申请实施例公开的内容所描述的各种示例性的逻辑方框，模块和电路；处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

SOC片内的存储器可用于存储软件程序以及模块，处理器通过运行存储在存储器里的软件程序以及模块，从而执行网络设备的各种功能应用以及数据处理。存储器包括存储程序区和存储数据区，其中，存储程序区域可以包括存储SOC启动程序，该存储器还包括OTP。

SOC片内的存储器具体可以包括易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，RAM)；该存储器也可以包括非易失性存储器(non-volatile memory)，例如只读存储器(read-only memory，ROM)，快闪存储器(flashmemory)，硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)；该存储器还可以包括上述种类的存储器的组合。

SOC片内的通信接口可以为网络设备与其他设备进行通信的接口电路，通信接口可以为收发器、收发电路等具有收发功能的结构。

如图1所示，网络设备的设备flash部分可以包括只读分区和可写分区，其中在只读分区中包含网络设备的基本输入/输出***(basic input/output system，BIOS)代码，在可写分区中包含网络设备的操作***(operating system，OS)代码和网络设备上的应用程序(App)代码。

结合图1所述的网络设备的硬件结构，下面简单说明网络设备的启动过程，网络设备启动过程包括SOC启动、BIOS启动、OS启动以及App启动。具体的，在网络设备上电之后，该网络设备开始启动，首先运行SOC启动程序以引导BIOS启动，即读取(加载)并运行BIOS代码进行下一级启动，然后BIOS读取并运行网络设备的OS代码，引导OS启动，OS启动过程主要读取网络设备的App代码以引导App启动。

需要说明的是，本申请实施例提供的数字证书的吊销、校验方法可以应用于上述网络设备，采用该数字证书吊销方法可以对网络设备的数字证书进行吊销，在此基础上，网络设备在启动或者后续运行过程中，可以采用对应的数字证书校验方法对该网络设备的数字证书进行有效性校验，从而保证该网络设备安全启动或者安全运行。

以下分别介绍数字证书吊销过程和数字证书校验过程对本申请实施例提供的数字证书吊销、校验方法进行详细描述。

如图2所示，本申请实施例提供的数字证书吊销方法可以包括S101-S103：

S101、网络设备接收吊销指示消息，该吊销指示消息用于指示网络设备吊销数字证书，该吊销指示消息中包括待吊销数字证书的标识。

在实际使用过程中，当需要吊销某一指定的数字证书时，设备厂商或运营商设备(也可以称为管理设备)可以向网络设备下发携带有吊销参数(例如待吊销数字证书的标识)的吊销指示消息，进而网络设备接收到该吊销指示消息之后，可以根据该吊销指示消息对指定的数字证书进行吊销。

上述网络设备的数字证书的标识可以为数字证书的序列号和/或数字证书的哈希值(也可以称为哈希指纹或者散列值)，即数字证书的标识可以为数字证书的序列号，或者该数字证书的标识可以为该数字证书的哈希值，又或者该数字证书的标识可以为该数字证书的序列号和该数字证书的哈希值，本申请实施例不作具体限定。

应理解，数字证书的序列号可以唯一标识一个数字证书，同理，数字证书的哈希值也可以唯一标识一个数字证书。

示例性的，可以采用一个文本文件来记录数字证书的信息，例如：

SN＝00936eacbe07f201df；

HASH＝e69b9d592feb7bb0da5185e59913e4a7efb38089ed1636c2a5d6535feed7115；

TYPE＝4；

其中，SN表示数字证书的序列号，HASH表示数字证书的哈希指纹(即哈希值或散列值)，TYPE标识数字证书的类型，即数字证书的作用，例如数字证书的类型可以包括用于进行代码签名的数字证书、用于进行时间签名的数字证书等。

可选的，本申请实施例中，也可以将证书颁发者信息作为数字证书的标识，还可以将其他标识(例如自定义的标识)作为数字证书的标识，具体可以根据实际使用需求确定，本申请实施例不作限定。

S102、网络设备确定该网络设备的OTP的目标分区，该OTP的目标分区的标识与待吊销数字证书的标识对应。

应理解，网络设备的OTP是一次性可编程内存，也就是说，该OTP仅支持一次写操作，支持多次读操作。OTP可以包括多个分区，可以使用不同的标识信息(或者编号)来标识OTP的不同分区。

可选的，本申请实施例中，该OTP可以包括但不限于eFuse等任何具备该一次性可编程的物理特性的硬件器件。

本申请实施例中，可以将网络设备的多个数字证书与该网络设备的OTP的多个分区进行关系绑定，即建立多个数字证书与OTP的多个分区的对应关系，具体的，建立网络设备的多个数字证书的标识与网络设备的多个分区的标识的对应关系，该对应关系是预先配置在该网络设备上的。在一种实现方式中，网络设备的多个数字证书的标识与网络设备的OTP的多个分区的标识具有一一对应的关系。示例性的，假设网络设备包括5个数字证书，该数字证书的标识为数字证书的哈希值，如下表1是网络设备的5个数字证书与网络设备的OTP的5个分区的对应关系的示例。

表1

数字证书的标识	OTP的分区的标识
		Hash 1	ID 1
Hash 2	ID 2
		Hash 3	ID 3
Hash 4	ID 4
		Hash 5	ID 5

本申请实施例中，网络设备从其接收的吊销指示消息中获取到待吊销数字证书的标识后，该网络设备根据数字证书的标识与OTP的分区的标识之间的对应关系，确定与该待吊销数字证书的标识对应的OTP的分区的标识。结合表1，若待吊销数字证书的标识为Hash2，则确定与Hash 2对应的ID 3所标识的OTP的分区为目标分区。

可选的，本申请实施例中，数字证书的标识与OTP的分区的标识之间的对应关系也可以是一对多的关系，例如一个数字证书的标识对应OTP的多个分区的标识，具体可以根据实际情况确定，本申请实施例不作限定。

S103、网络设备对OTP的目标分区进行写操作，将该OTP的目标分区设置为已编程状态。

其中，网络设备的OTP的目标分区的已编程状态对应待吊销数字证书的无效状态。

本申请实施例中，网络设备的数字证书与网络设备的OTP的分区具有对应关系，如此，基于该对应关系，可以建立OTP的分区的状态与网络设备的数字证书的状态的对应关系，该OTP的分区的状态包括未编程状态和已编程状态(未编程状态可以理解为未写入状态，已编程状态可以理解为已写入状态)，数字证书的状态包括有效状态和无效状态，其中，有效状态可以理解为该数字证书未被吊销，无效状态可以理解为该数字证书已经被吊销。OTP的分区的状态与网络设备的数字证书的状态的对应关系为：OTP的分区的未编程状态对应数字证书的有效状态，即与数字证书对应的OTP的分区为未编程状态时，表示该数字证书有效(即该数字证书未被吊销)；并且OTP的分区的已编程状态对应数字证书的无效状态，即与数字证书对应一个的OTP的分区为已编程状态时，表示该数字证书无效(即该数字证书已经被吊销)。

示例性的，对于OTP的一个分区(记为分区1)，采用“0”表示该分区处于未编程状态，采用“1”表示该分区处于已编程状态，如下表2为该OTP的该分区的状态与网络设备的一个数字证书的状态的对应关系的示例。

表2

OTP的分区1的状态	数字证书的状态
		0	有效
1	无效

在上述S102中，网络设备确定出与待吊销证书对应的OTP的目标分区之后，该网络设备对该目标分区进行写操作，则该目标分区的状态变为已编程状态，例如，将目标分区的状态由“0”置为“1”。如此，该待吊销数字证书被吊销，即数字证书无效(处于无效状态)。

本申请实施例提供的数字证书的吊销方法，网络设备接收吊销指示消息，用于指示网网络设备吊销数字证书；并且网络设备该吊销指示消息中包含的待吊销数字证书的标识，确定与该待吊销数字证书对应的该网络设备的OTP的目标分区，该OTP的目标分区的标识与待吊销数字证书的标识对应；以及网络设备对OTP的目标分区进行写操作，将OTP的目标分区设置为已编程状态，该OTP的目标分区的已编程状态对应待吊销数字证书的无效状态。由于网络设备的OTP仅支持一次性写操作，因此，通过写操作改变数字证书对应的OTP的目标分区的状态来吊销数字证书，使得吊销数字证书的操作不可逆，能够提高数字证书吊销的有效性和安全性。

可选的，结合图2，如图3所示，本申请实施例中，上述吊销指示消息中还包括吊销指示消息的数字签名，在这种情况下，在上述S101之后，本申请实施例提供的数字证书吊销方法还可以包括S104：

S104、网络设备确定吊销指示消息的数字签名是否有效。

应理解，在本申请实施例中，吊销一个数字证书是有权限的，网络设备可能有权限吊销一个数字证书，也可能无权限吊销一个数字证书，也就是说，网络设备并不是接收到任何吊销指示消息时，均能执行吊销对应的数字证书(即吊销指示消息中携带的数字证书的序列号或数字证书的哈希值所对应的数字证书)的操作。

本申请实施例中，通过对吊销指示消息进行签名来限制吊销操作的权限，网络设备接收到吊销指示消息时，首先对该吊销指示消息的数字签名进行验签，确定该吊销指示消息的数字签名是否有效。若该吊销指示消息的数字签名验签成功(即数字签名有效)，则该网络设备有权限吊销对应的数字证书。通过对吊销指示消息签名以及验签，可以防止错误吊销数字证书或者防止攻击者吊销某些重要的数字证书，能够提升数字证书吊销过程的安全性。

可选的，本申请实施例中，吊销指示消息可以被根证书对应的私钥进行签名的，因此，网络设备确定吊销指示消息的数字签名是否有效时，采用根证书中的公钥对该吊销指示消息的数字签名进行验签。一种实现方式中，吊销指示消息的数字签名是采用私钥对吊销指示消息的哈希值(即散列值，称为第一哈希值)加密的结果，则验签过程包括：网络设备采用公钥对加密后的吊销指示消息的哈希值进行解密，得到第一哈希值，并且网络设备采用哈希算法计算其接收到的吊销指示消息的哈希值(称为第二哈希值)，如此，若第一哈希值与第二哈希值相等，则说明该吊销指示消息的数字签名有效，否则，说明该吊销指示消息的数字签名无效。

如图3所示，结合S104，上述S102具体包括S1021：

S1021、在吊销指示消息的数字签名有效的情况下，该网络设备确定该网络设备的OTP的目标分区。

应理解，网络设备确定吊销指示消息的数字签名有效，则表明该网络设备有权限吊销该待吊销数字证书，进而网络设备确定与该待吊销数字证书对应的OTP分区(即目标分区)，并对该目标分区进行写操作，以实现对数字证书的吊销。

可选的，结合图2，如图4所示，在上述S101之后，本申请实施例提供的数字证书的吊销方法还可以包括：

S105、网络设备确定该网络设备中是否存在与该待吊销数字证书对应的已签名数据。

其中，与待吊销数字证书对应的已签名数据指的是采用该吊销数字证书中的公钥所对应的私钥已签名的数据。

具体的，网络设备确定该网络设备中是否存在与该待吊销数字证书对应的已签名数据的方法包括：网络设备可以检测或者查询该网络设备中是否存在采用该吊销数字证书中的公钥能够验签成功的数据，若不存在采用该吊销数字证书中的公钥能够验签成功的数据，则该网络设备中不存在与该待吊销数字证书对应的已签名数据。

如图4所示，结合S105，上述S102具体包括S1022：

S1022、在网络设备中不存在与待吊销数字证书对应的已签名数据的情况下，该网络设备对OTP的目标分区进行写操作。

本申请实施例中，若网络设备中存在与待吊销数字证书对应的已签名数据，则网络设备本次不执行吊销该待吊销数字证书的操作，即网络设备吊销数字证书失败。如此，可以保证该网络设备中已存储的数据不受影响。若网络设备中不存在与待吊销数字证书对应的已签名数据，则网络设备确定该待吊销数字证书对应的OTP的分区(即目标分区)，并对该目标分区进行写操作，以实现对数字证书的吊销。

对应于上述实施例所述的数字证书的吊销方法，如图5所示，本申请实施例提供一种数字证书的校验方法，可以应用于网络设备的安全启动或者网络设备处理业务等的过程中，该方法可以包括S201-S204：

S201、网络设备获取数字证书校验指示。

其中，该数字证书校验指示用于指示网络设备对该网络设备中的一个或多个数字证书进行有效性校验。

可选的，网络设备获取的数字证书校验指示可以为网络设备接收到的数字证书校验指示消息，该数字证书校验指示也可以为其他触发网络设备执行数字证书校验的信息，本申请实施例不作限定。

S202、网络设备确定待校验数字证书的标识。

上述网络设备的数字证书的标识可以为数字证书的序列号和/或数字证书的哈希值(也可以称为哈希指纹或者散列值)，即数字证书的标识可以为数字证书的序列号，或者该数字证书的标识可以为该数字证书的哈希值，又或者该数字证书的标识可以为该数字证书的序列号和该数字证书的哈希值，本申请实施例不作具体限定。

应理解，数字证书的序列号可以唯一标识一个数字证书，同理，数字证书的哈希值也可以唯一标识一个数字证书。对于数字证书的其他描述可以参见上述S101中关于数字证书的相关描述，此处不再赘述。

S203、网络设备根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区。

其中，该证书绑定关系文件包括网络设备的多个数字证书的标识，以及与该多个数字证书的标识对应的网络设备的OTP的多个分区的标识。

本申请实施例中，从证书绑定关系文件可以得到网络设备的多个数字证书的标识与OTP的多个分区的标识之间的对应关系(也是网络设备的多个数字证书与OTP的多个分区的对应关系)。数字证书的标识与OTP的分区的标识之间的对应关系可以是一一对应的关系，也可以是一对多的关系，例如一个数字证书的标识与OTP的多个分区的标识对应，本申请实施例不作限定。

关于网络设备的多个数字证书的标识与网络设备的OTP的多个分区的标识的对应关系的描述可以参见上述S102中的相关描述，此处不再赘述。

可选的，上述证书绑定关系文件可以是预先配置在该网络设备上的，也可以是网络设备从其他设备获取的，本申请实施例不作限定。

需要说明的是，本申请实施例中，数字证书与OTP的分区的绑定关系信息(可以简称为证绑定关系信息)可以通过上述证书绑定关系文件的形式进行存储，在实际使用中，该证书绑定关系信息也可以通过其他形式的数据进行存储，包括但不限于二进制数据、加密数据。本申请实施例不作具体限定。

可以理解的是，该网络设备上存储有多个数字证书，上述证书绑定关系信息可以与网络设备的数字证书分开(分离)存储，或者，在数字证书的扩展字段存储证书绑定关系信息，具体的，X.509规范中允许用户自定义一些扩展字段，从而在该扩展字段存储证书绑定关系信息，并且使用对象标识(object identifiers，OID)来标识该证书绑定关系信息。

本申请实施例中，网络设备根据证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区具体包括：网络设备根据证书绑定关系文件，获得网络设备的多个数字证书的标识与该网络设备的OTP的多个分区的标识之间的对应关系，从而确定与待校验数字证书的标识对应的OTP的分区，该OTP的分区即为目标分区。

S204、若OTP的目标分区的状态为已编程状态，则网络设备确定待校验数字证书无效。

基于上述实施例中的对数字证书的吊销过程的描述，可以理解，由于网络设备的OTP的分区的状态(包括未编程状态和已编程状态，其中，未编程状态可以理解为未写入状态，已编程状态可以理解为已写入状态)与网络设备的数字证书的状态(有效状态和无效状态)的具有对应关系，因此可以根据OTP的分区的状态确定与该OTP的分区对应的数字证书的状态，即在S203中，与待校验数字证书对应的OTP的分区(即目标分区)为未编程状态时，表示该数字证书有效(即该数字证书未被吊销)；与待校验数字证书对应OTP的分区(即目标分区)为已编程状态时，表示该数字证书无效(即该数字证书已经被吊销)。

结合图5，如图6所示，本申请实施例提供的数字证书的校验方法还可以包括S205-S206：

S205、网络设备获取证书绑定关系文件的数字签名。

本申请实施例中，为保证证书绑定关系的可靠性(或有效性，安全性)，可以使用根证书对该证书绑定关系文件进行签名保护(即使用根证书中的公钥所对应的私钥对证书绑定关系文件进行加密)。

S206、网络设备确定证书绑定关系文件的数字签名是否有效。

本申请实施例中，使用根证书中的公钥对证书绑定关系的数字签名进行签名验证，签名验证成功，则该证书绑定关系文件的数字签名有效，否则，证书绑定关系文件的数字签名无效。

此处，确定证书绑定关系的数字签名是否有效的方法与上述确定吊销指示消息的数字签名是否有效的方法类似，此处不再详述。

如图6所示，结合S205-S206，上述S203具体包括S2031：

S2031、在证书绑定关系文件的数字签名有效的情况下，网络设备从证书绑定关系文件中确定与待校验数字证书的标识对应的OTP的目标分区。

本申请实施例中，网络设备确定证书绑定关系文件的数字签名有效，说明该证书绑定关系文件是可靠的，如此，可以使用该证书绑定关系文件确定与待校验数字证书对应的OTP的目标分区。

综上，基于上述数字证书的吊销方法提出了该吊销方法对应的数字证书的校验方法，网络设备首先获取数字证书校验指示，并确定待校验数字证书的标识；然后网络设备根据证书绑定关系文件，中确定与待校验数字证书的标识对应的OTP的目标分区；在OTP的目标分区的状态为已编程状态的情况下，网络设备确定待校验数字证书无效。由于网络设备的OTP仅支持一次性写操作，并且是通过对OTP的分区进行写操作来吊销数字证书是安全且不可逆的，因此，通过确定数字证书对应的OTP的目标分区的状态来确定数字证书的是否有效，能够提高数字证书校验的有效性和安全性。

在一种应用场景中，上述数字证书的校验方法可以应用于网络设备的安全启动场景中，结合上述实施例的相关介绍可知，网络设备的启动过程包括：SOC启动阶段、BIOS启动阶段、OS启动和App运行阶段。在网络设备安全启动过程中，上述各个启动阶段均涉及数字证书有效性的校验。结合图1所示的网络设备的硬件示意图，图7为网络设备的安全启动架构示意图，网络设备的SOC的存储器包括存储SOC启动程序的区域和OTP，其中OTP包括多个分区，该OTP的第一个分区(分区1)用于存储BIOS代码的签名结果(该签名结果是对BIOS代码的哈希值的签名结果)；设备flash的只读分区中包含BOIS代码以及数字证书(包括根证书和子证书)，设备flash的可写分区中包含OS代码以及对OS的数字签名，设备flash的可写分区还包括App代码以及App代码的数字签名，以及证书绑定关系文件。

结合图7，基于上述数字的校验方法，以下实施例是对网络设备安全启动的过程的介绍。

第一阶段：SOC部分的安全启动。

SOC部分的安全启动可以包括：网络设备上电，并执行SOC片内的SOC启动程序，执行该SOC启动程序具体包括：

a1、读取设备flash的第一个分区中的BIOS代码、根证书以及子证书。

b1、读取SOC中OTP的第一个分区中BIOS代码的数字签名。

c1、对BIOS代码的数字签名进行签名验证。

本申请实施例中，根证书是CA自身签发的数字证书，根证书是证书链的起始点，是信任度最高(即受信任)的数字证书。在数字证书的实际应用中必须首先通过根证书对其他用户证书(即子证书)进行验证，确认用户证书的合法及有效性。

上述对BIOS代码的数字签名进行签名验证具体包括：首先，采用根证书校验对BIOS代码进行签名的子证书(对BIOS代码进行签名的数字证书指的是：用于签名和验签的一对密钥中，包含私钥(对BIOS代码进行加密的私钥)所对应的公钥的数字证书)是否有效；若子证书有效，则对上述读取的设备flash的第一个分区中的BIOS代码，采用哈希算法，计算该BIOS代码的哈希值，得到哈希值1；然后采用对BIOS代码进行签名的子证书中的公钥对上述读取的SOC中OTP的第一个分区中BIOS代码的数字签名进行解密，得到哈希值2，若哈希值1与哈希值2相等，说明BIOS代码未被篡改，因此SOC继续加载并执行BIOS代码。

d1、执行BIOS代码。

第二阶段：BIOS部分的安全启动。

BIOS部分的安全启动包括：BIOS引导OS，具体包括：

a2、读取设备flash的可写分区中的OS代码、OS代码的数字签名以及证书绑定关系文件。

b2、对OS代码的数字签名进行签名验证。

应理解，对OS代码的数字签名进行签名验证的方法包括：采用根证书先校验对OS代码进行签名的子证书是否有效；若子证书有效，则在采用该子证书对OS的数字签名是否有效，具体方法与上述对BIOS代码的数字签名进行签名验证的方法类似，此处不再赘述。

若OS代码的数字签名验证成功，即OS代码的数字签名有效，则继续执行下述c2。

c2、根据根证书对证书绑定关系文件的数字签名进行签名验证。

根据根证书对证书绑定关系文件的数字签名进行签名验证，即验证绑定关系文件的数字签名是否有效，若绑定关系文件的数字签名有效，则继续执行下述d2。根据根证书对证书绑定关系文件的数字签名进行签名验证的方法可以参见上述S205的相关描述，此处不再赘述。

d2、根据证书绑定关系文件，确定对OS代码进行签名的数字证书(即子证书)所对应的OTP的分区的状态。

应理解，对OS代码进行签名的数字证书指的是：用于签名和验签的一对密钥中，包含私钥(对OS代码进行加密的私钥)所对应的公钥的数字证书。示例性的，对OS代码进行签名的数字证书为数字证书A，OTP的分区中与该数字证书1对应的分区为分区A，然后，确定该分区A的状态。

e2、根据对应的OTP分区的状态确定对OS代码进行签名的数字证书的有效性。

上述与对OS代码进行签名的数字证书所对应的OTP分区为未编程状态，则说明该数字证书有效，例如，上述分区A的状态标志为“0”，表示该分区A未被编成，则说明数字证书A有效。

f2、对OS代码进行签名的数字证书的有效的情况下，BIOS继续加载OS程序并执行OS代码。

第三阶段：OS部分的安全启动。

BIOS部分的安全启动包括：BIOS引导OS，具体包括：

a3、读取设备flash的可写分区中的App代码、App代码的数字签名以及证书绑定关系文件。

b3、对App代码的数字签名进行签名验证。

若App代码的数字签名验证成功，即OS代码的数字签名有效，则继续执行下述c3。

c3、根据根证书对证书绑定关系文件的数字签名进行签名验证。

根据根证书对证书绑定关系文件的数字签名进行签名验证，即验证绑定关系文件的数字签名是否有效，若绑定关系文件的数字签名有效，则继续执行下述d3。

d3、根据证书绑定关系文件，确定对App代码进行签名的数字证书(即子证书)所对应的OTP的分区的状态。

应理解，对App代码进行签名的数字证书指的是：用于签名和验签的一对密钥中，包含私钥(对App代码进行加密的私钥)所对应的公钥的数字证书。

e3、根据对应的OTP分区的状态确定对App代码进行签名的数字证书的有效性。

上述与对App代码进行签名的数字证书所对应的OTP分区为未编程状态，则说明该数字证书有效。

f3、对App代码进行签名的数字证书的有效的情况下，OS继续加载App程序并执行App代码。

至此，网络设备可以安全启动，并运行该网络设备上的各种应用(App)以处理业务。

本申请实施例可以根据上述方法示例对网络设备进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

在采用对应各个功能划分各个功能模块的情况下，图8示出了上述实施例中所涉及的网络设备的一种可能的结构示意图，如图8所示，网络设备可以包括：接收模块1001、确定模块1002以及处理模块1003。接收模块1001可以用于支持该网络设备执行上述方法实施例中的S101；确定模块1002可以用于支持该网络设备执行上述方法实施例中的S102(包括S1021或S1022)、S105；处理模块1003可以用于支持该网络设备执行上述方法实施例中的S103、S104。其中，上述方法实施例涉及的各步骤的所有相关内容均可以援引到对应功能模块的功能描述，在此不再赘述。

在采用集成的单元的情况下，图9示出了上述实施例中所涉及的网络设备的一种可能的结构示意图。如图9所示，网络设备可以包括：处理模块2001和通信模块2002。处理模块2001可以用于对该网络设备的动作进行控制管理，例如，处理模块2001可以用于支持该网络设备执行上述方法实施例中的S102(包括S1021或S1022)、S103、S104以及S105，和/或用于本文所描述的技术的其它过程。通信模块2002可以用于支持该网络设备与其他网络实体的通信，例如，通信模块2002可以用于支持该网络设备执行上述方法实施例中的S101。可选的，如图9所示，该网络设备还可以包括存储模块2003，用于存储该网络设备的程序代码和数据。

其中，处理模块2001可以是处理器或控制器(例如可以是上述如图1所示的处理器)，例如可以是CPU、通用处理器、DSP、ASIC、FPGA或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请实施例公开内容所描述的各种示例性的逻辑方框、模块和电路。上述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。通信模块2002可以是收发器、收发电路或通信接口等(例如可以是上述如图1所示的通信接口)。存储模块2003可以是存储器(例如可以是上述如图1所示的存储器)。

当处理模块2001为处理器，通信模块2002为收发器，存储模块2003为存储器时，处理器、收发器和存储器可以通过总线连接。总线可以是外设部件互连标准(peripheralcomponent interconnect，PCI)总线或扩展工业标准结构(extended Industry standardarchitecture，EISA)总线等。总线可以分为地址总线、数据总线、控制总线等。

在采用对应各个功能划分各个功能模块的情况下，图10示出了上述实施例中所涉及的网络设备的一种可能的结构示意图，如图10所示，网络设备可以包括：获取模块3001和确定模块3002。获取模块3001可以用于支持该网络设备执行上述方法实施例中的S201和S205；确定模块3002可以用于支持该网络设备执行上述方法实施例中的S202、S203(包括S2031)、S204以及S206。其中，上述方法实施例涉及的各步骤的所有相关内容均可以援引到对应功能模块的功能描述，在此不再赘述。

在采用集成的单元的情况下，图11示出了上述实施例中所涉及的网络设备的一种可能的结构示意图。如图11所示，网络设备可以包括：处理模块4001和通信模块4002。处理模块4001可以用于对该网络设备的动作进行控制管理，例如，处理模块4001可以用于支持该网络设备执行上述方法实施例中的S201-S204、S205以及S206，其中S203包括S2031)，和/或用于本文所描述的技术的其它过程。通信模块4002可以用于支持该网络设备与其他网络实体的通信。可选的，如图11所示，该网络设备还可以包括存储模块4003，用于存储该网络设备的程序代码和数据。

其中，处理模块4001可以是处理器或控制器(例如可以是上述如图1所示的处理器)，例如可以是CPU、通用处理器、DSP、ASIC、FPGA或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请实施例公开内容所描述的各种示例性的逻辑方框、模块和电路。上述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。通信模块4002可以是收发器、收发电路或通信接口等(例如可以是上述如图1所示的通信接口)。存储模块4003可以是存储器(例如可以是上述如图1所示的存储器)。

当处理模块4001为处理器，通信模块4002为收发器，存储模块4003为存储器时，处理器、收发器和存储器可以通过总线连接。总线可以是PCI总线或EISA总线等。总线可以分为地址总线、数据总线、控制总线等。

本发明实施例中的网络设备可以是存储阵列的控制器、分布式存储***中的存储节点或客户端。另一种实现方式，本发明实施例也可以由特定的硬件实现，如FPGA、GPU等。本发明实施例对此不作限定。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件程序实现时，可以全部或部分地以计算机程序产品的形式实现。该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行该计算机指令时，全部或部分地产生按照本申请实施例中的流程或功能。该计算机可以是通用计算机、专用计算机、计算机网络或者其他可编程装置。该计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，该计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))方式或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心传输。该计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包括一个或多个可用介质集成的服务器、数据中心等数据存储设备。该可用介质可以是磁性介质(例如，软盘、磁盘、磁带)、光介质(例如，数字视频光盘(digital video disc，DVD))、或者半导体介质(例如固态硬盘(solid state drives，SSD))等。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的***，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的***，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：快闪存储器、移动硬盘、只读存储器、随机存取存储器、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何在本申请揭露的技术范围内的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (18)

1.一种数字证书的吊销方法，其特征在于，包括：

网络设备接收吊销指示消息，所述吊销指示消息用于指示所述网络设备吊销数字证书，所述吊销指示消息中包括待吊销数字证书的标识；

所述网络设备确定所述网络设备的一次性可编程内存OTP的目标分区，所述OTP的目标分区的标识与所述待吊销数字证书的标识对应；

所述网络设备对所述OTP的目标分区进行写操作，将所述OTP的目标分区设置为已编程状态，所述OTP的目标分区的已编程状态对应所述待吊销数字证书的无效状态。

2.根据权利要求1所述的方法，其特征在于，

所述网络设备的多个数字证书的标识与所述网络设备的OTP的多个分区的标识具有一一对应的关系。

3.根据权利要求1或2所述的方法，其特征在于，所述吊销指示消息中还包括所述吊销指示消息的数字签名；所述网络设备确定所述网络设备的一次性可编程内存OTP的目标分区，包括：

在所述吊销指示消息的数字签名有效的情况下，所述网络设备确定所述网络设备的OTP的目标分区。

4.根据权利要求1至3任一项所述的方法，其特征在于，

所述网络设备对所述OTP的目标分区进行写操作，包括：

在所述网络设备中不存在与所述待吊销数字证书对应的已签名数据的情况下，所述网络设备对所述OTP的目标分区进行写操作。

5.根据权利要求1至4任一项所述的方法，其特征在于，

所述网络设备的数字证书的标识为所述数字证书的序列号和/或所述数字证书的哈希值。

6.一种数字证书的校验方法，其特征在于，包括：

网络设备获取数字证书校验指示；

所述网络设备确定待校验数字证书的标识；

所述网络设备根据证书绑定关系文件，确定与所述待校验数字证书的标识对应的一次性可编程内存OTP的目标分区，所述证书绑定关系文件包括所述网络设备的多个数字证书的标识，以及与所述多个数字证书的标识对应的所述网络设备的OTP的多个分区的标识；

若所述OTP的目标分区的状态为已编程状态，则所述网络设备确定所述待校验数字证书无效。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

所述网络设备获取所述证书绑定关系文件的数字签名；

所述网络设备根据所述证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区，包括：

在所述证书绑定关系文件的数字签名有效的情况下，所述网络设备根据所述证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区。

8.根据权利要求6或7所述的方法，其特征在于，

所述网络设备的数字证书的标识为所述数字证书的序列号或所述数字证书的哈希值。

9.一种网络设备，其特征在于，包括接收模块、确定模块以及处理模块：

所述接收模块，用于接收吊销指示消息，所述吊销指示消息用于指示所述网络设备吊销数字证书，所述吊销指示消息中包括待吊销数字证书的标识；

所述确定模块，用于确定所述网络设备的一次性可编程内存OTP的目标分区，所述OTP的目标分区的标识与所述待吊销数字证书的标识对应；

所述处理模块，用于对所述OTP的目标分区进行写操作，将所述OTP的目标分区设置为已编程状态，所述OTP的目标分区的已编程状态对应所述待吊销数字证书的无效状态。

10.根据权利要求9所述的网络设备，其特征在于，

所述网络设备的多个数字证书的标识与所述网络设备的OTP的多个分区的标识具有一一对应的关系。

11.根据权利要求9或10所述的网络设备，其特征在于，所述吊销指示消息中还包括所述吊销指示消息的数字签名；

所述确定模块，具体用于在所述吊销指示消息的数字签名有效的情况下，确定所述网络设备的OTP的目标分区。

12.根据权利要求9至11任一项所述的网络设备，其特征在于，

所述处理模块，具体用于在所述网络设备中不存在与所述待吊销数字证书对应的已签名数据的情况下，对所述OTP的目标分区进行写操作。

13.根据权利要求9至12任一项所述的网络设备，其特征在于，

所述网络设备的数字证书的标识为所述数字证书的序列号和/或所述数字证书的哈希值。

14.一种网络设备，其特征在于，包括获取模块和确定模块；

所述获取模块，用于获取数字证书校验指示；

所述确定模块，用于确定待校验数字证书的标识，并且根据证书绑定关系文件，确定与所述待校验数字证书的标识对应的OTP的目标分区；以及在所述OTP的目标分区的状态为已编程状态的情况下，确定所述待校验数字证书无效，所述证书绑定关系文件包括所述网络设备的多个数字证书的标识，以及与所述多个数字证书的标识对应的所述网络设备的一次性可编程内存OTP的多个分区的标识。

15.根据权利要求14所述的网络设备，其特征在于，

所述获取模块，还用于获取所述证书绑定关系文件的数字签名；

所述确定模块，具体用于在所述证书绑定关系文件的数字签名有效的情况下，根据所述证书绑定关系文件，确定与待校验数字证书的标识对应的OTP的目标分区。

16.根据权利要求14或15所述的网络设备，其特征在于，

所述网络设备的数字证书的标识为所述数字证书的序列号或所述数字证书的哈希值。

17.一种网络设备，其特征在于，包括处理器和与所述处理器耦合连接的存储器；所述存储器用于存储计算机指令，当所述网络设备运行时，处理器执行存储器存储的所述计算机指令，以使得所述网络设备执行如权利要求1至5任一项所述的方法或者权利要求6至8任一项所述的方法。

18.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括计算机指令，当所述计算机指令在计算机上运行时，以执行如权利要求1至5任一项所述的方法或如权利要求6至8任一项所述的方法。

Images