本申請涉及計算機加密技術領域，尤其涉及數(shù)字證書更新方法、數(shù)字簽名校驗方法和數(shù)字認證裝置。
背景技術：
隨著網(wǎng)絡信息篡改等問題的顯現(xiàn)，網(wǎng)絡信息有效性成為關注焦點。數(shù)字簽名由于具有不可抵賴性，廣泛用于網(wǎng)絡信啟、有效性的校驗，由于數(shù)字簽名需要根據(jù)相應的數(shù)字證書進行交易，因此，需要通過數(shù)字證書更新方法保證用于數(shù)字簽名校驗的數(shù)字證書為最新數(shù)字證書。
目前，數(shù)字證書更新方法為：獲取到待校驗的數(shù)字簽名后，根據(jù)數(shù)字簽名確定對應的數(shù)字證書，校驗該數(shù)字證書的有效性，若該數(shù)字證書失效，則從該數(shù)字證書的發(fā)送端獲取更新的數(shù)字證書，完成該數(shù)字證書的更新。
其中，驗證字證書有效性過程包括：當前日期是否在該數(shù)字證書的有效期內(nèi)；ca(certificateauthority，證書授權中心)發(fā)布的crl(certificaterevocationlist，證書吊銷列表)是否包含該數(shù)字證書。
上述方法中數(shù)字證書更新是由獲取到待校驗的數(shù)字簽名觸發(fā)的，即每次獲取到待校驗的數(shù)字簽名后，均執(zhí)行根據(jù)數(shù)字簽名確定對應的數(shù)字證書，校驗該數(shù)字證書有效性的步驟。而數(shù)字證書在有效期內(nèi)不會更新，上述方法在數(shù)字證書有效期內(nèi)仍會重復執(zhí)行校驗數(shù)字證書的有效性，造成資源浪費。同時，每次均執(zhí)行上述方法，也增加了后續(xù)利用上述方法得到的最新數(shù)字證書進行數(shù)字簽名校驗的時間。
技術實現(xiàn)要素：
為解決上述問題，本申請實施例提出了一種數(shù)字證書更新方法、數(shù)字簽名校驗方法和數(shù)字認證裝置。
第一方面，本申請實施例提供了一種數(shù)字證書更新方法，所述方法包括：
管理單元以預定周期，校驗存儲的第一數(shù)字證書的有效性；
若所述第一數(shù)字證書失效，則管理單元獲取有效的第一數(shù)字證書；
管理單元將所述第一數(shù)字證書更新為有效的第一數(shù)字證書。
第二方面，本申請實施例提供了一種數(shù)字簽名校驗方法，所述方法包括：
校驗單元獲取數(shù)字簽名；
校驗單元在緩存的第四數(shù)字證書中，確定是否有與所述數(shù)字簽名對應的第五數(shù)字證書，所述第四數(shù)字證書為預先從管理單元獲取的，所述管理單元以預定周期，校驗存儲的數(shù)字證書的有效性，當數(shù)字證書失效時，獲取有效的數(shù)字證書，并將數(shù)字證書更新為有效的數(shù)字證書；
若有所述第五數(shù)字證書，則校驗單元根據(jù)所述第五數(shù)字證書預校驗所述數(shù)字簽名，得到第二校驗結果；
校驗單元根據(jù)所述第二校驗結果，校驗所述數(shù)字簽名。
第三方面，本申請實施例提供了一種數(shù)字認證裝置，所述裝置包括：管理單元和校驗單元；
所述管理單元，用于以預定周期，校驗存儲的第一數(shù)字證書的有效性；當所述第一數(shù)字證書失效時，獲取有效的第一數(shù)字證書；將所述第一數(shù)字證書更新為有效的第一數(shù)字證書；
所述校驗單元，用于獲取數(shù)字簽名；在緩存的第四數(shù)字證書中，確定是否有與所述數(shù)字簽名對應的第五數(shù)字證書，所述第四數(shù)字證書為預先從所述管理單元獲取的；當有所述第五數(shù)字證書時，根據(jù)所述第五數(shù)字證書預校驗所述數(shù)字簽名，得到第二校驗結果；根據(jù)所述第二校驗結果，校驗所述數(shù)字簽名。
有益效果如下：
管理單元對于存儲的數(shù)字證書，以預定周期進行校驗，當數(shù)字證書失效時，獲取有效的數(shù)字證書，并將數(shù)字證書更新為有效的數(shù)字證書，使得數(shù)字證書每隔預定周期進行一次校驗，而非每獲取到待校驗的數(shù)字簽名進行一次檢驗，避免了校驗單元每獲取到待校驗的數(shù)字簽名均進行檢驗造成的資源浪費，也減少了后續(xù)校驗單元利用本申請得到的最新數(shù)字證書進行數(shù)字簽名校驗的時間。
附圖說明
下面將參照附圖描述本申請的具體實施例，其中：
圖1示出了本申請一實施例提供的一種數(shù)字證書更新方法以及數(shù)字簽名校驗方法的實施環(huán)境示意圖；
圖2示出了本申請另一實施例提供的另一種數(shù)字證書更新方法以及數(shù)字簽名校驗方法的實施環(huán)境示意圖；
圖3示出了本申請另一實施例提供的另一種數(shù)字證書更新的方法的流程示意圖；
圖4示出了本申請另一實施例提供的另一種數(shù)字簽名校驗方法的流程示意圖；
圖5示出了本申請另一實施例提供的另一種數(shù)字認證管理系統(tǒng)的實施環(huán)境示意圖；
圖6示出了本申請另一實施例提供的一種數(shù)字認證系統(tǒng)運行的流程示意圖；
圖7示出了本申請另一實施例提供的一種數(shù)字認證裝置的結構示意圖。
具體實施方式
為了使本申請的技術方案及優(yōu)點更加清楚明白，以下結合附圖對本申請的示例性實施例進行進一步詳細的說明，顯然，所描述的實施例僅是本申請的一 部分實施例，而不是所有實施例的窮舉。并且在不沖突的情況下，本申請中的實施例及實施例中的特征可以互相結合。
另外，盡管在本發(fā)明實施例中可能采用術語第一、第二、第三等來描述各種數(shù)字證書、crl、發(fā)送端、驗證結果、證書獲取請求和證書校驗請求等，但這些數(shù)字證書、crl、發(fā)送端、驗證結果、證書獲取請求和證書校驗請求不應限于這些術語。這些術語僅用來將數(shù)字證書、crl、發(fā)送端、驗證結果、證書獲取請求和證書校驗請求彼此區(qū)分開。
參見圖1，為本發(fā)明實施例提供的數(shù)字證書更新方法以及數(shù)字簽名校驗方法的實施環(huán)境示意圖。該實施環(huán)境包括發(fā)送端101、ca102、和接收端103，接收端103包括本發(fā)明實施例提供的數(shù)字認證裝置1031，且數(shù)字認證裝置1031包括管理單元10311和校驗單元10312。
其中，管理單元10311可以應用本發(fā)明實施例提供的數(shù)字證書更新方法以預定周期，校驗存儲的數(shù)字證書的有效性；若數(shù)字證書失效，則獲取有效的數(shù)字證書；將失效的數(shù)字證書更新為有效的數(shù)字證書；
校驗單元10312可以應用本發(fā)明實施例提供的數(shù)字簽名校驗方法，基于管理單元10311周期性更新的數(shù)字證書，校驗接收到的數(shù)字簽名。
具體的，校驗單元10312獲取數(shù)字簽名；在緩存的數(shù)字證書中，確定是否有與數(shù)字簽名對應的數(shù)字證書，若有對應的數(shù)字證書，則根據(jù)對應的數(shù)字證書預校驗數(shù)字簽名，得到第二校驗結果；根據(jù)第二校驗結果，校驗數(shù)字簽名。
校驗單元10312緩存的數(shù)字證書為預先從管理單元10311獲取的，由管理單元10311以預定周期更新的數(shù)字證書。
結合上述實施環(huán)境，本實施例提供了一種數(shù)字證書更新的方法。參見圖3，本實施例提供的方法流程具體如下：
301：接收端接收第二發(fā)送端發(fā)送的第二數(shù)字證書，并存儲第二數(shù)字證書；
發(fā)送端101與接收端103進行信息交互時，需要通過數(shù)字簽名保證信息在交互過程中的安全，因此，發(fā)送端101與接收端103進行信息交互前，發(fā)送端101會將自己的數(shù)字證書發(fā)送給接收端103，以使接收端103根據(jù)該數(shù)字證書驗證發(fā)送端101發(fā)送的信息是否安全。
由于不同發(fā)送端101的數(shù)字證書不同，因此，若接收端103與多個發(fā)送端101存在信息交互關系時，會接收到多個發(fā)送端101發(fā)送的數(shù)字證書。
基于上述說明，接收端101中的管理單元10311接收第二發(fā)送端發(fā)送的第二數(shù)字證書，并存儲第二數(shù)字證書。
以圖2所示的，包括：支付寶服務器201(相當于圖1中的發(fā)送端101)、ca202、和用戶a的客戶端203(相當于圖1中的接收端103)的實施場景為例，若用戶a第一次在客戶端203上使用支付寶進行付款，此時，客戶端203中未存有支付寶服務器201相關的數(shù)字證書，為了確保交易的安全，支付寶服務器201會將自己的數(shù)字證書發(fā)送給客戶端203?？蛻舳?03接收支付寶服務器201發(fā)送的數(shù)字證書，并存儲該數(shù)字證書。
在用戶a首次使用支付寶進行付款后，隨著用戶a在淘寶網(wǎng)信譽的累計，其信譽達到預設標準，用戶a想通過螞蟻花唄進行付款。此時，客戶端203中未存有螞蟻花唄服務器相關的數(shù)字證書，為了確保交易的安全，螞蟻花唄服務器會將自己的數(shù)字證書發(fā)送給客戶端203?？蛻舳?03接收螞蟻花唄服務器發(fā)送的數(shù)字證書，并存儲該數(shù)字證書。
綜上可知，本步驟僅在發(fā)送端101與接收端103第一次進行交互前執(zhí)行，且本步驟在執(zhí)行一次之后，發(fā)送端101與其他接收端(除接收端103之外的接收端)第一次進行交互時還會再次執(zhí)行，本實施例不對本步驟的具體執(zhí)行時間、執(zhí)行次數(shù)進行限定。
302：接收端以預定周期，校驗存儲的第一數(shù)字證書的有效性；
其中，第一數(shù)字證書為存儲的數(shù)字證書，即不論是步驟301中接收的第二數(shù)字證書，還是在后續(xù)過程中接收的其他數(shù)字證書，或者，獲取的更新的數(shù)字 證書，或者，通過人機接口獲得的數(shù)字證書，只要在執(zhí)行本步驟時，管理裝置的存儲設備中存儲了該數(shù)字證書，均作為第一數(shù)字證書。
具體的，當?shù)竭_預定周期時，接收端103中的管理單元10311獲取存儲的所有第一數(shù)字證書，輪詢讀取每個第一數(shù)字證書，校驗讀取的第一數(shù)字證書的有效性。
對于校驗讀取的第一數(shù)字證書的有效性的具體實現(xiàn)方式，可以通過下述3個步驟實現(xiàn)。
步驟1：確定第一數(shù)字證書的效期以及當前日期；
步驟2：判斷第一數(shù)字證書的效期以及當前日期之間的關系；
若第一數(shù)字證書的有效期在當前日期之前，則確定第一數(shù)字證書失效；
若第一數(shù)字證書的有效期未在當前日期之前，則執(zhí)行步驟3；
步驟3：根據(jù)第一crl校驗第一數(shù)字證書的有效性。
其中，第一crl為預先從ca獲取的。
具體的，若第一crl中包括第一數(shù)字證書，則確定第一數(shù)字證書失效；
若第一crl中未包括第一數(shù)字證書，則確定第一數(shù)字證書有效。
執(zhí)行步驟302之后，若第一數(shù)字證書失效，則執(zhí)行步驟303，若第一數(shù)字證書有效，則選擇下一個第一數(shù)字證書，校驗其有效性，直至所有的第一數(shù)字證書均驗證完。
仍以圖2所示的例子為例，客戶端203以預定周期，校驗存儲的第一數(shù)字證書的有效性。若到達當前周期時，客戶端存儲了3個數(shù)字證書，分別為數(shù)字證書1、數(shù)字證書2和數(shù)字證書3，則先讀取數(shù)字證書1，確定數(shù)字證書1的效期2016-2-22以及當前日2016-1-27。對于數(shù)字證書1，其有效期在當前日期之后，若預先從ca獲取的crl中未包括數(shù)字證書1，則確定數(shù)字證書1有效，繼續(xù)讀取數(shù)字證書2。若數(shù)字證書2的效期2016-1-27，則對于數(shù)字證書2，其有效期與當前日期相同，此時，如果預先從ca獲取的crl中包括數(shù)字證書2，則確定數(shù)字證書2失效，繼續(xù)執(zhí)行后續(xù)步驟。當后續(xù)步驟完成后，再讀取數(shù)字 證書3，若數(shù)字證書3的效期2016-1-22，則對于數(shù)字證書3，其有效期在當前日期之前，則確定數(shù)字證書3失效，繼續(xù)執(zhí)行后續(xù)步驟。當后續(xù)步驟完成后，則確定客戶端203中所有的數(shù)字證書均驗證完畢。
303：接收端獲取有效的第一數(shù)字證書，將第一數(shù)字證書更新為有效的第一數(shù)字證書；
具體的，接收端103中的管理單元10311獲取有效的第一數(shù)字證書，將第一數(shù)字證書更新為有效的第一數(shù)字證書。
其中，獲取有效的第一數(shù)字證書的方法，包括但不限于：確定第一數(shù)字證書的第一發(fā)送端；向第一發(fā)送端請求有效的第一數(shù)字證書；或者，從人機接口獲取用戶上傳的有效的第一數(shù)字證書。
仍以圖2為例，若客戶端203在步驟302中確定數(shù)字證書2失效，且數(shù)字證書2在存儲時，還存儲有對應的屬性信息，且屬性信息中描述了數(shù)字證書2的發(fā)送端，則客戶端203可以根據(jù)數(shù)字證書2屬性信息的內(nèi)容確定數(shù)字證書2的發(fā)送端，向該發(fā)送端請求有效的數(shù)字證書2。
除了上述方式之外，若用戶a通過購買等其他方式獲取到有效的數(shù)字證書2，用戶a可以通過人機接口將獲取到的有效的數(shù)字證書2上傳，此時，客戶端從人機接口獲取有效的數(shù)字證書2。
數(shù)字認證裝置1031包括管理單元10311和校驗單元10312，校驗單元10312需要使用管理單元10311定期更新的數(shù)字證書校驗數(shù)字簽名，因此，管理單元10311在執(zhí)行步驟303之后，還會將更新的數(shù)字證書發(fā)送給校驗單元10312，以使校驗單元10312更新數(shù)字證書，根據(jù)更新的數(shù)字證書校驗數(shù)字簽名。
接收端103中的管理單元10311周期性的執(zhí)行步驟301至步驟303，以保證管理單元10311存儲的數(shù)字證書定時更新。
同時，管理單元10311周期性的執(zhí)行步驟301至步驟303，是管理單元10311自身觸發(fā)的，不受其他單元觸發(fā)干擾。即，不論其他單元是否觸發(fā)管理單元10311更新其存儲的數(shù)字證書，管理單元10311均會周期性的執(zhí)行步驟301至 步驟303。
有益效果：
管理單元對于存儲的數(shù)字證書，以預定周期進行校驗，當數(shù)字證書失效時，獲取有效的數(shù)字證書，并將數(shù)字證書更新為有效的數(shù)字證書，使得數(shù)字證書每隔預定周期進行一次校驗，而非每獲取到待校驗的數(shù)字簽名進行一次檢驗，避免了校驗單元每獲取到待校驗的數(shù)字簽名均進行檢驗造成的資源浪費，也減少了后續(xù)校驗單元利用本申請得到的最新數(shù)字證書進行數(shù)字簽名校驗的時間。
當數(shù)字認證裝置1031的校驗單元10312接收到數(shù)字簽名的信息時，會觸發(fā)校驗單元10312根據(jù)管理單元10311周期性校驗的數(shù)字證書驗證該數(shù)字簽名。結合上述實施環(huán)境，本實施例提供了一種利用圖4所示實施例更新的數(shù)字證書進行數(shù)字簽名校驗的方法。
參見圖4，本實施例提供的方法流程具體如下：
401：接收端獲取數(shù)字簽名，在緩存的第六數(shù)字證書中，確定是否有與數(shù)字簽名對應的第七數(shù)字證書，若有第七數(shù)字證書，則執(zhí)行步驟402和步驟403，若無第七數(shù)字證書，則執(zhí)行步驟404；
接收端103的校驗單元10312獲取數(shù)字簽名后，在接收端103緩存的所有數(shù)字證書中，確定是否有與該數(shù)字簽名對應的數(shù)字證書。
其中，第六數(shù)字證書為校驗單元10312預先從管理單元10311獲取的，管理單元10311以預定周期，校驗存儲的數(shù)字證書的有效性，當數(shù)字證書失效時，獲取有效的數(shù)字證書，并將數(shù)字證書更新為有效的數(shù)字證書。
以圖2為例，若用戶a第一次在客戶端203上使用支付寶進行付款后，再次使用支付寶進行付款，客戶端203獲取支付寶服務器201發(fā)送的數(shù)字簽名1后，在緩存的所有數(shù)字證書中(數(shù)字證書1、數(shù)字證書2、數(shù)字證書3)，確定是否有與數(shù)字簽名1對應的數(shù)字證書。
402：接收端根據(jù)第七數(shù)字證書預校驗數(shù)字簽名，得到第二校驗結果；
具體的，接收端103的校驗單元10312根據(jù)第七數(shù)字證書預校驗數(shù)字簽名，得到第二校驗結果。
此步驟可采用現(xiàn)有的數(shù)字簽名校驗方法進行校驗，在此本實施例不進行具體說明。
仍以圖2為例，若用戶a緩存的3個數(shù)字證書中有與數(shù)字簽名1對應的數(shù)字證書1，則根據(jù)數(shù)字證書1預校驗數(shù)字簽名，得到第二校驗結果，其中第二校驗結果為有效或無效。
403：接收端根據(jù)第二校驗結果，校驗數(shù)字簽名。
具體的，若第二校驗結果為有效，則接收端103的校驗單元10312確定數(shù)字簽名有效；
若第二校驗結果為失效，則執(zhí)行步驟4031至4034。
仍以圖2為例，若根據(jù)數(shù)字證書1預校驗數(shù)字簽名，得到的校驗結果為有效，則說明數(shù)字簽名在傳輸過程中未被篡改，數(shù)字簽名安全可靠，可以通過該數(shù)字簽名進行后續(xù)支付活動。若根據(jù)數(shù)字證書1預校驗數(shù)字簽名，得到的校驗結果為失效。
需要說明的是，有兩種情況可以使接收端103的校驗單元10312得到第二校驗結果為無效的結論：
第一種情況：數(shù)字簽名在發(fā)送端101傳輸至接收端103的過程中被篡改，數(shù)字簽名不安全；
第二種情況：接收端103中用于驗證數(shù)字簽名的第七數(shù)字證書有誤，用錯誤的數(shù)字證書驗證數(shù)字簽名，無論數(shù)字簽名是否安全，均驗證失效。
其中，可能引起接收端103中第七數(shù)字證書有誤的原因，有如下兩種：
第一種可能性：接收端103管理單元10311存儲的第七數(shù)字證書有誤，由于校驗單元10312中使用的數(shù)字證書均是從管理單元10311中獲取的，所以校驗單元10312中的第七數(shù)字證書也有誤；
第二種可能性：接收端103管理單元10311存儲的第七數(shù)字證書做了更新 (即管理單元10311存儲的第七數(shù)字證書正確)，而校驗單元10312從管理單元10311中獲取更新的第七數(shù)字證書需要耗費一定時間，預校驗數(shù)字簽名恰巧發(fā)生在該時間內(nèi)，因此管理單元10311中的第七數(shù)字證書為未更新的第七數(shù)字證書，即有誤的第七數(shù)字證書。
對于接收端103的校驗單元10312得到第二校驗結果為無效的情況，由于產(chǎn)生的原因較多，為了避免由于第七數(shù)字證書有誤將安全的數(shù)字簽名校驗為數(shù)字簽名失效，需要繼續(xù)執(zhí)行步驟4031至4034，以確定具體的原因，提升本實施例提供方案的校驗準確性。
4031：接收端的校驗單元管理單元向管理單元發(fā)送第二證書校驗請求；
其中，第二證書校驗請求攜帶第七數(shù)字證書，以使管理單元校驗第七數(shù)字證書的有效性，并返回第三校驗結果。
4032：接收端的管理單元接收第一證書校驗請求；
其中，第一證書校驗請求由校驗單元發(fā)送，并攜帶第四數(shù)字證書。
另外，數(shù)字認證裝置1031可以包括多個校驗單元10312，因此管理單元10311接收的第一證書校驗請求，可以為步驟4031中的校驗單元10312發(fā)送的第二證書校驗請求，也可以為數(shù)字認證裝置1031中其他校驗單元發(fā)送的其他證書校驗請求。即，步驟4032中的第一證書校驗請求可以與步驟4031中的第二證書校驗請求相同，也可以不同。若步驟4032中的第一證書校驗請求與步驟4031中的第二證書校驗請求相同，則第一證書校驗請求攜帶的第四數(shù)字證書為步驟4031中第二證書校驗請求攜帶的第七數(shù)字證書。若步驟4032中的第一證書校驗請求與步驟4031中的第二證書校驗請求不相同，則第一證書校驗請求攜帶的第四數(shù)字證書為其他數(shù)字證書，非第七數(shù)字證書，因此，第四數(shù)字證書可以與第七數(shù)字證書相同，也可以不同。
4033：接收端的管理單元校驗第四數(shù)字證書的有效性，得到第一校驗結果，并向校驗單元返回第一校驗結果；
對于校驗第四數(shù)字證書的有效性的具體實現(xiàn)方式，可以通過下述3個步驟 實現(xiàn)。
步驟1：確定第四數(shù)字證書的效期以及當前日期；
步驟2：判斷第四數(shù)字證書的效期以及當前日期之間的關系；
若第四數(shù)字證書的有效期在當前日期之前，則確定第四數(shù)字證書失效；
若第四數(shù)字證書的有效期未在當前日期之前，則執(zhí)行步驟3；
步驟3：根據(jù)第二crl校驗第四數(shù)字證書的有效性。
其中，第二crl為預先從ca獲取的。
具體的，若第二crl中包括第四數(shù)字證書，則確定第四數(shù)字證書失效；
若第二crl中未包括第四數(shù)字證書，則確定第四數(shù)字證書有效。
另外，為了提高校驗效率，管理單元10311在步驟4032接收校驗單元10312發(fā)送的第一證書校驗請求之后，可以先在所有第一數(shù)字證書中，確定是否有與第一證書校驗請求中攜帶的第四數(shù)字證書對應的數(shù)字證書。
若沒有與第一證書校驗請求中攜帶的第四數(shù)字證書對應的數(shù)字證書，則說明該第四數(shù)字證書非管理單元10311發(fā)送，或者，由于其他原因管理單元10311發(fā)送后又刪除，可以直接確定第一校驗結果為無效，而不用執(zhí)行步驟4033中校驗第四數(shù)字證書的有效性的步驟。
若有與第一證書校驗請求中攜帶的第四數(shù)字證書對應的數(shù)字證書，再確定第四數(shù)字證書與對應的數(shù)字證書是否相同，若第四數(shù)字證書與對應的數(shù)字證書不相同，則說明第四數(shù)字證書出現(xiàn)錯誤，可以直接確定第一校驗結果為無效，而不用執(zhí)行步驟4033中校驗第四數(shù)字證書的有效性的步驟。若第四數(shù)字證書與對應的數(shù)字證書相同，再執(zhí)行步驟4033中校驗第四數(shù)字證書的有效性的步驟，得到第一校驗結果。
需要說明的是，雖然管理單元10311在自身周期性更新數(shù)字證書過程的步驟302中，也會從證書授權中心ca獲取第一crl，但由于ca也是周期性更新crl，為了保證步驟4033是的第二crl為最新crl，步驟4033依然預先會從ca獲取第二crl，若步驟4033獲取第二crl的時間與步驟302中獲取 第一crl的時間位于同一周期內(nèi)，則第二crl與第一crl相同，若步驟4033獲取第二crl的時間與步驟302中獲取第一crl的時間位于不同周期內(nèi)，則第二crl與第一crl不相同。本實施例不對第二crl與第一crl是否相同作具體限定。
另外，若第一校驗結果為失效，管理單元10311需要向校驗單元10312提供有效的數(shù)字證書，以使校驗單元10312可以順利的校驗數(shù)字簽名，因此，管理單元10311置在步驟4033中得到第一校驗結果為失效之后，還會獲取有效的第四數(shù)字證書，向校驗裝置發(fā)送有效的第四數(shù)字證書，以使校驗裝置根據(jù)有效的數(shù)字證書驗證數(shù)字簽名。
其中，獲取有效的第四數(shù)字證書的方法，包括但不限于：管理單元10311確定第四數(shù)字證書的第四發(fā)送端；向第四發(fā)送端請求有效的第四數(shù)字證書；或者，管理單元10311從人機接口獲取用戶上傳的有效的第四數(shù)字證書。
為了保證管理單元10311中的數(shù)字證書能夠及時更新，在獲取有效的第四數(shù)字證書后，管理單元10311還會在所有第一數(shù)字證書中，確定是否有與有效的第四數(shù)字證書對應的第五數(shù)字證書；管理裝置若有第五數(shù)字證書，則將第五數(shù)字證書更新為有效的第四數(shù)字證書；管理裝置若未有第五數(shù)字證書，則存儲有效的第四數(shù)字證書。
4034：校驗單元接收第三校驗結果，并根據(jù)第三校驗結果，校驗數(shù)字簽名；
其中，第三校驗結果由管理單元發(fā)送。
具體的，若第三校驗結果為有效，則確定數(shù)字簽名有效；
若第三校驗結果為失效，則校驗單元10312接收管理單元10311發(fā)送的有效的第七數(shù)字證書；校驗單元10312根據(jù)有效的第七數(shù)字證書校驗數(shù)字簽名。
另外，為了確保后續(xù)進行數(shù)字簽名校驗時，直接使用有效的第七數(shù)字證書，校驗單元10312在接收管理裝置發(fā)送的有效的第七數(shù)字證書之后，還會將第七數(shù)字證書更新為有效的第七數(shù)字證書。
404：接收端獲取第七數(shù)字證書，根據(jù)第七數(shù)字證書預校驗數(shù)字簽名，得 到第四校驗結果，根據(jù)第四校驗結果，校驗數(shù)字簽名。
本步驟在具體執(zhí)行時，可以通過下述步驟4041至4045實現(xiàn)
4041：接收端校驗單元向管理單元發(fā)送第二證書獲取請求；
其中，第二證書獲取請求攜帶第七數(shù)字證書的第二標識，以使管理單元10311根據(jù)第二標識返回第七數(shù)字證書；
4042：管理單元接收第一證書獲取請求；
其中，第一證書獲取請求由校驗單元10312發(fā)送，并攜帶第一標識。
另外，數(shù)字認證裝置1031可以包括多個校驗單元10312，因此管理單元10311接收的第一證書獲取請求，可以為步驟4041中的校驗單元10312發(fā)送的第二證書獲取請求，也可以為數(shù)字認證裝置1031中其他校驗裝置發(fā)送的其他證書獲取請求，因此，步驟4042中的第一證書獲取請求可以與步驟4041中的第二證書獲取請求相同，也可以不同。若步驟4042中的第一證書獲取請求與步驟4041中的第二證書獲取請求相同，則第一證書獲取請求攜帶的第一標識與第二證書獲取請求攜帶的第二標識相同。步驟4042中的第一證書獲取請求與步驟4041中的第二證書獲取請求不相同，則第一標識與第二標識不相同，因此，第一標識與第二標識可以相同，也可以不同。
4043：管理單元向校驗單元返回與第一標識對應的第三數(shù)字證書；
具體的，管理單元10311在所有第一數(shù)字證書中，確定是否有與第一標識對應的第三數(shù)字證書，若有第三數(shù)字證書，則向校驗單元10312返回第三數(shù)字證書，若未有第三數(shù)字證書，則獲取第三數(shù)字證書，并向校驗單元10312返回獲取的第三數(shù)字證書；
其中，獲取第三數(shù)字證書的具體方式，包括但不限于：根據(jù)第一標識確定第三數(shù)字證書的第三發(fā)送端，并向第三發(fā)送端請求第三數(shù)字證書；或者，管理裝置從人機接口獲取用戶上傳的第三數(shù)字證書。
另外，管理單元10311在步驟4043獲取新的第三數(shù)字證書后，還會存儲獲取的第三數(shù)字證書。
4044：校驗單元接收管理單元返回的第七數(shù)字證書，根據(jù)返回的第七數(shù)字證書預校驗數(shù)字簽名，得到第四校驗結果；
其中，校驗單元10312接收管理單元10311返回的第七數(shù)字證書之后，還會緩存該第七數(shù)字證書，以在后續(xù)數(shù)字簽名校驗時直接使用該第七數(shù)字證書。
4045：校驗單元根據(jù)第四校驗結果，校驗數(shù)字簽名。
具體的，若第四校驗結果為有效，則確定數(shù)字簽名有效；
若第四校驗結果為失效，則向管理單元發(fā)送第三證書校驗請求，獲取管理單元基于第三證書校驗請求返回的第五校驗結果，根據(jù)第五校驗結果，校驗數(shù)字簽名。
其中，第三證書校驗請求攜帶返回的第七數(shù)字證書，以使管理單元10311校驗返回的第七數(shù)字證書的有效性，并返回第五校驗結果；
管理單元10311接收第三證書校驗請求，并返回第五校驗結果的實施過程與步驟4042和步驟4043相同，僅是證書校驗請求中攜帶的數(shù)字證書不同。具體實施方式參見步驟4042和步驟4043，此處不再贅述。
另外，對于根據(jù)第五校驗結果，校驗數(shù)字簽名步驟，與步驟4044和步驟4045相同，僅是數(shù)字證書不同，具體可參見步驟4044和步驟4045，此處不再贅述。
通過上述步驟401至步驟404，管理單元10311與校驗單元10312進行交互，完成校驗單元10312根據(jù)管理單元10311周期性校驗的數(shù)字證書驗證數(shù)字簽名的過程。
在此過程中，直接使用校驗單元10312緩存的數(shù)字證書對數(shù)字簽名進行校驗，對于校驗成功的情況，不再需要進行數(shù)字證書有效性的驗證，縮短了數(shù)字簽名校驗時間。
另外，圖3所述的實施例中，管理單元10311當更新數(shù)字證書時，均會向校驗單元10312發(fā)送有效的數(shù)字證書，因此，本實施例中的校驗單元10312，在執(zhí)行步驟401至步驟404的同時，還會接收管理單元10311發(fā)送的第八數(shù)字 證書；校驗單元10312在緩存的所有第六數(shù)字證書中，確定是否與第八數(shù)字證書對應的第九數(shù)字證書；校驗單元10312若有第九數(shù)字證書，則將第九數(shù)字證書更新為第八數(shù)字證書；校驗單元10312若未有第九數(shù)字證書，則緩存第八數(shù)字證書，以保證接收端103緩存中的數(shù)字證書與管理單元10311中的數(shù)字證書同步。
以上論述，對本申請的利用圖3所示實施例更新的數(shù)字證書進行數(shù)字簽名校驗的方法進行說明。
下面，結合上述實施環(huán)境，以圖5所示的實施場景為例，對本實施例提供的方法進行再次說明。其中，圖5所示的實施場景包括：管理單元501和校驗單元502，管理單元501包括證書核驗子單元5011、crl請求子單元5012、定時輪詢子單元5013、證書上傳子單元5014、證書請求子單元5015，校驗單元502包括簽名核驗子單元5021和證書緩存子單元5022。
其中，證書核驗子單元5011負責完成證書有效性的核對，具體的工作包括對證書的拆分和有效性的檢查。
crl請求子單元5012是一個定時生效的子單元，主要任務是請求最新的crl。
定時輪詢子單元5013被定期調(diào)度運作，負責觸發(fā)證書核驗子單元5011的運行。
證書上傳子單元5014是為某些特殊渠道的證書提供的，這些渠道不通過報文傳遞新的證書，是通過其他介質(zhì)傳遞，然后由人工手動通過證書上傳子單元上傳的。
證書請求子單元5015承擔通信工作，以約定的方式請求有效的證書。
簽名核驗子單元5021，依據(jù)預設的不同算法和簽名要素對報文的簽名域有效性進行核驗。
證書緩存子單元5022，用于緩存所在終端接收到的數(shù)字證書。
參見圖6，數(shù)字認證系統(tǒng)運行的流程為：
首先，在證書發(fā)布的時刻即指定了其有效期信息，并將信息附加在證書上，證書核驗子單元5011會檢查每個證書的有效期是否在當前日期之前。如果是，則說明該證書失效，需要請求新的證書。否則該證書繼續(xù)保持有效。進一步地，證書核驗子單元5011會查看證書是否在crl中，如果是，則說明證書顯式地被吊銷，依然需要將證書置為無效，并進一步通過證書上傳子單元5014或者證書請求子單元5015獲取有效證書。
crl請求子單元5012是一個定時生效的子單元，它被證書核驗子單元5011所調(diào)度，主要任務是請求最新的crl。獲取到的crl將交給證書核驗子單元5011使用。
可選地，證書核驗子單元5011在發(fā)現(xiàn)當前證書失效后，還會首先請求簽名核驗子單元5021更新自己的緩存，停止繼續(xù)使用失效的證書。在拿到更新的證書時，將證書推送給簽名核驗子單元5021，使之可以繼續(xù)核驗簽名。
證書核驗子單元5011的上述動作是由圖7中所示的定時輪詢子單元5013定期觸發(fā)的，可以在不影響業(yè)務邏輯的前提下保持一個較高頻率的證書輪換操作，當有新證書需要被獲取，整個系統(tǒng)可以在最快時間感知。
簽名核驗子單元5021是整個數(shù)字認證系統(tǒng)運轉(zhuǎn)的核心，當有報文傳遞過來需要驗證簽名時，會調(diào)用簽名核驗子單元5021執(zhí)行簽名核驗。
在申請，將證書核驗和數(shù)字簽名核驗拆分開來，簽名核驗子單元5021在執(zhí)行簽名核驗不通過的時候，優(yōu)先做的操作是主動反向請求證書核驗子單元5011，證書核驗子單元5011此時存在幾種可能，一是尚未感知該證書有更新版本，會重復上述證書更新動作，一是已知證書有更新版本，只是尚未通知給應用者，此時會直接將新證書發(fā)放給簽名核驗子單元5021，并通知所有的簽名核驗子單元5021更新這個證書在其本地由證書緩存子單元5022緩存的證書副本。
有益效果：
校驗單元獲取數(shù)字簽名后，在緩存的數(shù)字證書中，確定是否有與數(shù)字簽名 對應的數(shù)字證書，若有對應的數(shù)字證書，則根據(jù)對應的數(shù)字證書預校驗數(shù)字簽名，得到第二校驗結果，再根據(jù)第二校驗結果，校驗數(shù)字簽名，使得數(shù)字簽名校驗與數(shù)字證書校驗分開，在數(shù)字簽名校驗成功時，不再進行數(shù)字證書校驗，縮短了數(shù)字簽名校驗的時間。另外，緩存中的數(shù)字證書為預先從管理單元獲取的，管理單元以預定周期，校驗存儲的數(shù)字證書的有效性，當數(shù)字證書失效時，獲取有效的數(shù)字證書，并將數(shù)字證書更新為有效的數(shù)字證書，保證了緩存中的數(shù)字證書為最新數(shù)字證書，避免了校驗單元每獲取到待校驗的數(shù)字簽名均進行檢驗造成的資源浪費。
基于同一發(fā)明構思，本實施例提供了一種數(shù)字認證裝置，由于數(shù)字認證裝置決問題的原理與圖3所示的一種數(shù)字證書更新方法以及圖4所示的數(shù)字簽名校驗方法相似，因此數(shù)字認證裝置的實施可以參見圖3以及圖4所示的方法的實施例，重復之處不再贅述。
參見圖7，該數(shù)字認證裝置包括：
管理單元701和校驗單元702；
管理單元701，用于以預定周期，校驗存儲的第一數(shù)字證書的有效性；當?shù)谝粩?shù)字證書失效時，獲取有效的第一數(shù)字證書；將第一數(shù)字證書更新為有效的第一數(shù)字證書；
校驗單元702，用于獲取數(shù)字簽名；在緩存的第四數(shù)字證書中，確定是否有與數(shù)字簽名對應的第五數(shù)字證書，第四數(shù)字證書為預先從管理單元701獲取的；當有第五數(shù)字證書時，根據(jù)第五數(shù)字證書預校驗數(shù)字簽名，得到第二校驗結果；根據(jù)第二校驗結果，校驗數(shù)字簽名。
可選地，管理單元701，用于確定第一數(shù)字證書的發(fā)送端，向發(fā)送端請求有效的第一數(shù)字證書；或者，從人機接口獲取用戶上傳的有效的第一數(shù)字證書。
可選地，管理單元701，還用于向校驗單元702發(fā)送有效的第一數(shù)字證書，以使校驗單元702根據(jù)有效的第一數(shù)字證書校驗數(shù)字簽名。
可選地，校驗單元702，還用于當無第五數(shù)字證書時，向管理單元701發(fā)送第二證書獲取請求，第二證書獲取請求攜帶第五數(shù)字證書的第二標識；根據(jù)返回的第五數(shù)字證書預校驗數(shù)字簽名，得到第四校驗結果；根據(jù)第四校驗結果，校驗數(shù)字簽名；
管理單元701，還用于接收校驗單元702發(fā)送的第一證書獲取請求，第一證書獲取請求攜帶第一標識；在所有第一數(shù)字證書中，確定是否有與第一標識對應的第二數(shù)字證書；當有第二數(shù)字證書時，向校驗單元702返回第二數(shù)字證書；當未有第二數(shù)字證書時，獲取第二數(shù)字證書，并向校驗單元702返回獲取的第二數(shù)字證書。
可選地，校驗單元702，用于當?shù)诙ｒ灲Y果為有效時，確定數(shù)字簽名有效；當?shù)诙ｒ灲Y果為失效時，向管理單元701發(fā)送第二證書校驗請求，第二證書校驗請求攜帶第五數(shù)字證書；根據(jù)返回的第三校驗結果，校驗數(shù)字簽名；
管理單元701，還用于接收校驗單元702發(fā)送的第一證書校驗請求，第一證書校驗請求攜帶第三數(shù)字證書；校驗第三數(shù)字證書的有效性，得到第一校驗結果；向校驗單元702返回第一校驗結果。
可選地，校驗單元702，用于確定數(shù)字簽名有效；當?shù)谌ｒ灲Y果為失效時，接收管理單元701發(fā)送的有效的第五數(shù)字證書；根據(jù)有效的第五數(shù)字證書校驗數(shù)字簽名；
管理單元701，還用于當?shù)谝恍ｒ灲Y果為失效時，獲取有效的第三數(shù)字證書；向校驗單元702發(fā)送有效的第三數(shù)字證書，以使校驗單元702根據(jù)有效的第三數(shù)字證書校驗數(shù)字簽名。
有益效果如下：
校驗單元獲取數(shù)字簽名后，在緩存的數(shù)字證書中，確定是否有與數(shù)字簽名對應的數(shù)字證書，若有對應的數(shù)字證書，則根據(jù)對應的數(shù)字證書預校驗數(shù)字簽名，得到第二校驗結果，再根據(jù)第二校驗結果，校驗數(shù)字簽名，使得數(shù)字簽名校驗與數(shù)字證書校驗分開，在數(shù)字簽名校驗成功時，不再進行數(shù)字證書校驗， 縮短了數(shù)字簽名校驗的時間。另外，緩存中的數(shù)字證書為預先從管理單元獲取的，管理單元以預定周期，校驗存儲的數(shù)字證書的有效性，當數(shù)字證書失效時，獲取有效的數(shù)字證書，并將數(shù)字證書更新為有效的數(shù)字證書，保證了緩存中的數(shù)字證書為最新數(shù)字證書，避免了校驗單元每獲取到待校驗的數(shù)字簽名均進行檢驗造成的資源浪費。
上述實施例中，均可以采用現(xiàn)有的功能元器件模塊來實施。例如，處理模塊可以采用現(xiàn)有的數(shù)據(jù)處理元器件，至少，現(xiàn)有定位技術中采用的定位服務器上便具備實現(xiàn)該功能元器件；至于接收模塊，則是任意一個具備信號傳輸功能的設備都具備的元器件；同時，處理模塊進行的a、n參數(shù)計算、強度調(diào)整等采用的都是現(xiàn)有的技術手段，本領域技術人員經(jīng)過相應的設計開發(fā)即可實現(xiàn)。
為了描述的方便，以上所述裝置的各部分以功能分為各種模塊或單元分別描述。當然，在實施本發(fā)明時可以把各模塊或單元的功能在同一個或多個軟件或硬件中實現(xiàn)。
本領域內(nèi)的技術人員應明白，本發(fā)明的實施例可提供為方法、系統(tǒng)、或計算機程序產(chǎn)品。因此，本發(fā)明可采用完全硬件實施例、完全軟件實施例、或結合軟件和硬件方面的實施例的形式。而且，本發(fā)明可采用在一個或多個其中包含有計算機可用程序代碼的計算機可用存儲介質(zhì)(包括但不限于磁盤存儲器、cd-rom、光學存儲器等)上實施的計算機程序產(chǎn)品的形式。
本發(fā)明是參照根據(jù)本發(fā)明實施例的方法、設備(系統(tǒng))、和計算機程序產(chǎn)品的流程圖和/或方框圖來描述的。應理解可由計算機程序指令實現(xiàn)流程圖和/或方框圖中的每一流程和/或方框、以及流程圖和/或方框圖中的流程和/或方框的結合?？商峁┻@些計算機程序指令到通用計算機、專用計算機、嵌入式處理機或其他可編程數(shù)據(jù)處理設備的處理器以產(chǎn)生一個機器，使得通過計算機或其他可編程數(shù)據(jù)處理設備的處理器執(zhí)行的指令產(chǎn)生用于實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能的裝置。
這些計算機程序指令也可存儲在能引導計算機或其他可編程數(shù)據(jù)處理設備以特定方式工作的計算機可讀存儲器中，使得存儲在該計算機可讀存儲器中的指令產(chǎn)生包括指令裝置的制造品，該指令裝置實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能。
這些計算機程序指令也可裝載到計算機或其他可編程數(shù)據(jù)處理設備上，使得在計算機或其他可編程設備上執(zhí)行一系列操作步驟以產(chǎn)生計算機實現(xiàn)的處理，從而在計算機或其他可編程設備上執(zhí)行的指令提供用于實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能的步驟。盡管已描述了本發(fā)明的優(yōu)選實施例，但本領域內(nèi)的技術人員一旦得知了基本創(chuàng)造性概念，則可對這些實施例作出另外的變更和修改。所以，所附權利要求意欲解釋為包括優(yōu)選實施例以及落入本發(fā)明范圍的所有變更和修改。