区块链证书的安全吊销机制

| 导语 证书吊销机制是通过向CA机构发起一个证书吊销动作，CA机构在一段时间后（根据CA机构配置不同，吊销时间会有差异），用户才能查询到最新的CRL，这时被吊销的证书才失去有效性。这无法保证吊销的实时性，在发起吊销到CRL更新的这段时间里，链上的这个证书还是具有有效性的，这就留下了一定的安全隐患，无法实时地将有问题的证书在链上吊销。

术语定义

       区块链：一种去中心化的分布式账本数据库，用分布式数据库识别、传播和记载信息的智能化对等网络，也称为价值互联网。利用共识机制，密码学等保证数据传输和查询的准确性，它的特性包括不可篡改、可溯源等。

       CA证书：CA 证书是经由 CA 机构进行数字签名过的，包含公钥、公钥拥有者（即申请者）信息、签发者信息、有效期等信息的文件。

       CRL（Certificate revocation list）：在一些密码系统的运作中（一般情况下是公开密钥基础建设的系统），证书吊销列表（CRL）是尚未到期就被证书颁发机构吊销的数字证书的名单。这些在证书吊销列表中的证书不再会受到信任。

1、概述

       本文主要讨论一种区块链证书的安全吊销机制。在区块链中，用户可向CA机构申请证书，证书包含公钥、公钥拥有者信息，用户在用私钥签名交易后，其他用户可用该用户证书里的公钥验证签名是否属实，保证交易的正确性。当私钥泄露或者被窃取时，窃取者就可以通过对应的证书伪造签名，这时就需要吊销该证书，使对应私钥的签名无法得到有效验证。在本文中，吊销证书时，用户通过智能合约发起吊销动作，这个动作也可以理解为是一笔交易，并用私钥对交易签名上链，之后，链上就会存储该证书被吊销的信息，该证书也就无法继续在链上使用了。同时，用户也向CA机构发起证书吊销的动作，一段时间后该证书就会被更新到CRL中。

2.现有技术方案

       目前的证书吊销机制是通过向CA机构发起一个证书吊销动作，CA机构在一段时间后（根据CA机构配置不同，吊销时间会有差异），用户才能查询到最新的CRL，这时被吊销的证书才失去有效性。目前的方案无法保证吊销的实时性，在发起吊销到CRL更新的这段时间里，链上的这个证书还是具有有效性的，这就留下了一定的安全隐患，无法实时地将有问题的证书在链上吊销。

3.具体技术方案

       用户通过智能合约发起吊销动作，节点间相互验证后，将吊销信息落入账本，同时向CA发起证书吊销。处理逻辑主要在合约中写好，整体结构如下图。

图1 结构图

      证书的吊销信息落入区块链账本后，所有链上的节点或用户都可以查询到该证书的吊销信息，该证书也就不可再使用，保证了证书吊销的实时性。同时，也会向CA机构发起该证书的吊销动作，CA机构在一定时延后更新CRL，通过CRL提供证书吊销的权威性。

       整个过程由用户发起，智能合约保证链上证书吊销的实时性，具体时序图如下。

图2 时序图

       用户首先通过智能合约发起吊销证书的动作，智能合约使用该用户的私钥对交易签名，打包交易后同步给其他节点，其他节点对交易进行验证，验证通过后将交易信息落入区块链账本，返回成功。此时，该证书的吊销信息就会被记录在账本中，节点只要查询账本中的数据就会发现该证书已失效，不可再用。之后，用户向CA机构发起证书吊销，CA机构在一定时间后更新CRL表，用户就可在CRL表中查询已吊销的证书，从而保证了证书被吊销的权威性。