用于确定数字证书是否已被撤消的服务的制作方法

专利名称：用于确定数字证书是否已被撤消的服务的制作方法
技术领域：
本发明涉及诸如可由联网服务器等提供的服务，其中该服务可以被客户机 查询以确定由该客户机使用的一特定数字证书是否己被撤消。更具体而言，本 发明涉及这样一种服务，其中客户机可在实时或接近实时的基础上査询该服 务，使得该客户机无需维护任何本地撤消列表等。
背景技术：
如已知的，数字证书在联网环境中特别地用于担当该证书的所有者实际上 是该证书中所命名的实体的证据提供者，并且还用于担当与该证书相关的某一 相应要素是真实的和/或可信的等的证据提供者。例如，要在一计算设备上操作 的数字应用程序可附带有证明该应用程序可被信任来以特定方式操作的应用 程序证书。同样，操作这一计算设备的用户可在其上和/或在别处由证明该用户 是特定的人、具有特定的用户权限、属于特定的用户组等的用户证书来表示。 如可以理解的，其中可采用数字证书的其它情况包括关于诸如数字文件、数字 内容、用于采用数字内容的数字许可证等的数字构造。类似地，数字证书可对 计算设备本身发放，并且计算设备内的各种硬件元件(硬件驱动器、处理器、
视频卡等)和软件元件(BIOS、操作系统、图形子系统等)各自可具有数字证 书。
通常，数字证书是由如在该证书中向该证书中所阐明的命名所有者标识的 特定证书授权机构来发放的，并且其中包括了诸如来自公钥-私钥对的公钥的 一个或多个密码密钥。尤其是在其中这一密钥实际上是公钥的情况下，相应的 私钥与这一证书相关联，并且假定被该证书的命名所有者作为密码来严密地持 有。
由此，特别地，命名所有者可采用私钥来数字地签署某一类电子文档，并 且可将该证书附加到该电子文档。具有该证书的电子文档的接收者可在某一时刻随后如己知的那样用来自该证书的公钥确认该数字签名，以确认该电子文档 未被修改等等。当然，数字证书也可在许多其它情况下使用。
如已知的，由证书授权机构所发放的数字证书可包括引导回到来自可信根 授权机构的根数字证书的数字证书链，其中该链中的每一证书包括可用于确认 该链中向下的下一证书的签名的公钥，假定具有该证书链的客户机知道根证书 的公钥。由此，为使客户机使用所附的证书链来确认特定证书，客户机首先确 认该链中从根证书开始向下到该特定证书的每一证书。另外，如果任何其它证 书是基于该特定证书发放的，即，是由对应于这一特定证书的私钥来签署的， 这这一其它证书可通过沿着该链向下继续该过程到这一其它证书来确认。
重要的是，发放特定证书的证书授权机构具有撤消该证书的权力。撤消证 书的原因有许多，且是变化的，并且例如可包括证书和/或由证书所表示的根本 实体的时效，以及改变的状态。然而，原则上，证书在该证书中的信息不再能 被依赖是准确的时候被撤消。值得注意的是，如果发放证书的授权机构确定对 应于一证书的私钥已被公布或以其它方式公开，其结果是具有这一私钥的任何 人能够用其来数字地签署，而非仅仅是该证书的所有者，则该授权机构可撤消 这一证书。同样值得注意的是，如果发放证书的授权机构发现命名所有者正在 不正确地使用证书，诸如通过误称一元件基于该证书可以被信任，或通过将该 证书用于与发放该证书不同的目的，则该证书授权机构可撤消这一证书。
为撤消证书，发放证书的授权机构等例如可以在一可访问位置公开列出与 该证书相关联的公钥。此前，这些可访问位置是例如作为另一数字构造的附件 被周期性地提供给每一客户机的数字撤消列表。由此，客户机在验证任何特定 证书以认证相应元素时可从其发放者获得相应的撤消列表，并审阅该列表来确 定该证书是否被撤消，且如果是，则可拒绝遵从该证书并相应地拒绝遵从/认证 /信任等该证书所对应的数字元素。
然而，重要的是，获得并审阅撤消列表对客户机而言即使不是沉闷的也会 迅速变得繁琐，尤其是在客户机需要来自多个证书授权机构的撤消列表的时 候，以及尤其是在撤消列表的结构变得非常大和/或复杂的时候。此外，至少可 以理解，由于撤消列表并不一定是被立即提供给客户机和/或不一定立即被客户 机获得的，因此已被撤消的证书仍有可能在相当一段时间内被客户机遵从，直到客户机实际上拥有了相应的撤消列表。
因此，需要一种能够访问最近撤消信息，使得客户机能以迅速且最新的方 式确定一特定数字证书是否已被撤消的集中式服务。具体地，需要这样一种集 中式服务，它能够访问多个撤消信息存储库，使得客户机能联系该服务来获得 涉及由多个证书授权机构中的任一个所发放的证书的撤消信息。此外，需要这 样一种集中式服务，它允许容易地添加附加的撤消信息存储器，并被容易地配 置成定位对于多个特定证书中的任一个的适当的撤消信息存储库。
发明概述
上述需求至少部分地由本发明来满足，在本发明中， 一种撤消确定服务为 客户机确定由一特定证书授权机构(CA)发放的一特定数字证书是否已被这 一CA撤消。在该服务中， 一引擎从客户机接收查询，其中该査询标识了该特
定证书以及发放该特征证书的CA。至少一个提供者驻留在该服务处，其中每
一提供者对应于一撤消信息存储库，并表示该服务处的相应存储库，并且连接
到该相应存储库。每一存储库具有来自至少一个CA的撤消信息。每一提供者
响应于来自客户机的查询被转发到该提供者来确定该特定证书是否在相应存 储库中被标识为已撤消。
该服务还具有包括对应于驻留在该服务处的每一提供者的配置信息记录 的配置存储。每一配置信息记录包括提供者以及对应于该提供者的存储库对其
具有撤消信息的每一 CA的标识。该引擎然后基于所接收的查询参考该配置存 储来标识驻留在该服务处并对应于所接收的査询的所标识的CA的特定提供者 以处理该查询，并且实际上将所接收的査询转发给所标识的提供者以确定所接 收的查询的所标识的证书是否在相应的存储库中被标识为已撤消。该服务可通 过能访问一个或多个相应存储库来处理来自客户机的关于由多个CA中的任一 个所发放的数字证书的查询，其中每一存储库都借助一相应的提供者。
附图简述
当结合附图阅读时，将更好地理解本发明的以上概述以及以下实施例的详 细描述。出于图示本发明的目的，附图中示出了目前较佳的实施例。然而，应当理解，本发明不限于所示的精确排列和手段。附图中-


图1是表示其中可结合本发明的各方面和/或其部分的通用计算系统的框
图2是在本发明的一个实施例中可采用证书撤消确定服务的客户机的框
图3是在本发明的一个实施例中由图2的客户机采用的证书撤消确定服务 的框图；以及
图4是示出根据本发明的一个实施例的，由图3的撤消确定服务在服务来 自图2的客户机的查询以确定一特定证书是否已被撤消时所执行的关键步骤的 流程图。
发明详述
计算机环境
图1及以下讨论提供了对适于在其中实现本发明的计算环境的简要概括 描述。尽管并非所需，但本发明将在诸如程序模块等由诸如客户机工作站或服 务器等计算机执行的计算机可执行指令的一般上下文环境中描述。 一般而言， 程序模块包括执行特定的任务或实现特定的抽象数据类型的例程、程序、对象、 组件、数据结构等等。此外，应当理解，本发明和/或其部分可以用其它计算机 系统配置来实施，包括手持式设备、多处理器系统、基于微处理器或可编程消 费者电子设备、网络PC、小型机、大型计算机等等。本发明也可以在其中任 务由通过通信网络链接的远程处理设备来执行的分布式计算环境中实践。在分 布式计算环境中，程序模块可以位于本地和远程存储器存储设备中。
如图1所示， 一示例性通用计算系统包括常规个人计算机120等，包括处 理单元121、系统存储器122以及将包括系统存储器的各类系统组件耦合至处 理单元121的系统总线123。系统总线123可以是若干种总线结构类型中的任 一种，包括存储器总线或存储器控制器、外围总线以及使用各类总线体系结构 中的任一种的局部总线。系统存储器包括只读存储器(ROM) 124和随机存取 存储器(RAM) 125。基本输入/输出系统(BIOS) 126包含如在启动时协助在 计算机120内的元件之间传输信息的基本例程，可储存在ROM 124中。个人计算机120还可包括用于对硬盘(未示出)进行读写的硬盘驱动器
127，用于对可移动磁盘129进行读写的磁盘驱动器128，以及用于对可移动光 盘131，如CD-ROM或其它光介质进行读写的光盘驱动器130。硬盘驱动器127、 磁盘驱动器128以及光盘驱动器130分别通过硬盘驱动器接口 132、磁盘驱动 器接口 133和光盘驱动器接口 134连接至系统总线123。驱动器及其相关联的 计算机可读介质为个人计算机20提供了计算机可执行指令、数据结构、程序 模块和其它数据的非易失性存储。
尽管这里描述的示例性环境采用了硬盘、可移动磁盘129以及可移动光盘 131，但是应当理解，在该示例性操作环境中也可以使用可由计算机访问的、 用于储存数据的其它类型的计算机可读介质。这些其它类型的介质包括盒式磁 带、闪存卡、数字视频盘、Bernoum盒式磁盘、随机存取存储器(RAM)、 只读存储器(ROM)等等。
多个程序模块可被储存在硬盘、磁盘129、光盘131、ROM 124或RAM 125 中，包括操作系统135、 一个或多个应用程序136、其它程序模块137以及程 序数据138。用户可以通过诸如键盘140和定点设备142等输入设备向个人计 算机120输入命令和信息。其它输入设备(未示出)可包括话筒、操纵杆、游 戏手柄、圆盘式卫星天线、扫描仪等等。这些和其它输入设备通常通过耦合至 系统总线的串行端口接口 146连接到处理单元121，但也可以通过其它接口， 如并行端口、游戏端口或通用串行总线(USB)连接。监视器147或其它类型 的显示设备也通过接口，如视频适配器148连接到系统总线123。除监视器147 之外，个人计算机通常包括其它外围输出设备(未示出)，如扬声器和打印机。 图1的示例性系统还包括主机适配器155、小型计算机系统接口 (SCSI)总线 156、以及连接到SCSI总线156的外部存储设备162。
个人计算机120可以使用到一个或多个远程计算机，如远程计算机149 的逻辑连接在网络化环境中操作。远程计算机149可以是另一个人计算机、服 务器、路由器、网络PC、对等设备或其它常见的网络节点，并通常包括许多 或所有相对于个人计算机120所描述的元件，尽管在图1中仅示出了存储器存 储设备150。图1描述的逻辑连接包括局域网(LAN) 151和广域网(WAN) 152。这类网络环境常见于办公室、企业范围计算机网络、内联网以及因特网。个人计算机120还可用作对诸如另一个人计算机120、如便携式播放器或便携 式数据助理等更专门化的设备等客机的主机，由此特别地，主机将数据下载到 客机和/或从客机上传数据。
当在LAN网络环境中使用时，个人计算机120通过网络接口或适配器153 连接至LAN151。当在WAN网络环境中使用时，个人计算机120通常包括调 制解调器154或用于通过广域网152，如因特网建立通信的其它装置。调制解 调器154可以是内置或外置的，它通过串行端口接口 146连接至系统总线123。 在网络化环境中，相对于计算机120所描述的程序模块或其部分可储存在远程 存储器存储设备中。可以理解，示出的网络连接是示例性的，也可以使用在计 算机之间建立通信链路的其它手段。
用于确定数字证书是否己被撤消的服务
如上所述，且现在转向图2，在诸如计算设备等客户机10中，某一形式 的认证过程12执行包括确认证书14及其各自与一实体18相关联的证书链16 以认证这一实体18的功能。重要的是，作为确认每一证书14的一部分，认证 过程12确保证书14没有被发放这一证书14的证书授权机构(CA)等撤消。 在确定证书24尚未被撤消之后，认证过程12可采用客户机10上的非撤消证 书24来执行各种操作，当然要假定证书以其它方式生效。
注意，客户机10和其上的认证过程12可以是任何客户机和认证过程，而 不背离本发明的精神和范围。例如，客户机10可以是计算设备，诸如个人计 算机、便携式播放器、服务器、智能电器、联网的便携式设备、或采用数字证 书14的任何其它数字处理设备。同样，认证过程12可以是客户机10上的权 限管理系统的一部分，用于确保数字内容等同仅根据相应的数字许可证等中所 述的权限来呈现。
在本发明的一个实施例中，证书14被发放该证书等的证书授权机构(CA) 通过将其在撤消信息存储库20 (图3)等中标识为实际上已被撤消来撤消。重 要的是，这一存储库20可包括具有与已被撤消的每一证书14相关的信息的列 表、数据库、文件等，并且可包括用于响应于相应请求来提供撤消判定的服务 器等(未示出)。由此，客户机10的认证过程12不必通过撤消列表等来被提供关于撤消的信息。同样，客户机10上的这一认证过程12可通过通过适当的 请求，经由相应存储库20来确定关于一特定证书14的最新撤消状态，而没有 撤消列表中现有的等待时间。
在本发明的一个实施例中，且现在转向图3，客户机10通过对撤消服务 22的查询来获得关于一特定证书14的撤消信息。可以理解，这一服务22可以 对客户机10是本地或远程的，并且在远程的情况下，通过适当的网络连接来 连接到客户机IO。此外，在本发明的一个实施例中，服务22可通过能够访问 一个或多个撤消存储库20来服务来自客户机10的关于来自多个CA中的任一 个的证书14的请求，其中每一撤消存储库作为一适当的提供者24。
可以理解，每一存储库20可以具有来自一个或多个CA的撤消信息，并 且出现在存储库20中的撤消信息可采用任何适当的形式而不背离本发明的精 神和范围。例如，撤消信息可仅仅列出已被撤消的每一证书14，或可适当地列 出多个一系列已撤消证书14。同样，对于每一已撤消证书14的撤消信息可仅 通过对撤消的简单断言来表示,或者可包括诸如撤消日期和/或撤消原因等进一 步的细节。实际上，情况甚至可以是对撤消的判定需要使用逻辑或计算机代码， 在这一情况下，这一逻辑或计算机代码可被包括在该撤消信息中。每一存储库 20可对于服务22是本地或远程的，且在远程的情况下通过适当的网络连接来 连接到服务22。
可以理解，每一提供者24驻留在服务22处，并且向服务22表示一相应 的存储库20。在本发明的一个实施例中，每一提供者24是可被随意添加到服 务22或从其中移除的插件模块等的形式。由此，添加或移除对服务22处的存 储库的访问一般是向服务22添加相应提供者24和/或从服务22移除相应提供 者24的问题。响应于在服务22的引擎26处接收到的来自客户机10的査询， 提供者24然后包括与引擎26交互所需的功能，以便从其接收某种形式的査询、 连接到存储库20、向存储库20发送査询、作为返回从存储库20接收响应、以 及进而将某种形式的响应返回给引擎26。这些功能对相关公众是已知或应是显 而易见的，因此无需详细陈述。因此，可采用任何适当类型或版本的这种功能， 而不背离本发明的精神和范围，当然要假定这些功能实际上允许服务22从对 应于提供者24的存储库20获得适当的撤消信息。注意，每一提供者24可包括用于将服务22配置成采用这种提供者24的 所有必需的配置信息，或在期望这些配置信息的其余部分能在关于服务22的 别处获得和/或手动输入到服务22的情况下可包括少于全部的这些配置信息。 原则上，对每一提供者24，与其相对应的配置信息应包括对应于该提供者24 的存储库20对其具有撤消信息的每一 CA的标识。另外，这些配置信息一般 应包括一种特定形式，其中如果服务22实际上允许这一形式，则应出现来自 引擎26的查询；以及应包括一种特性形式，其中同样如果实际上服务22允许 这种形式的变化，则应出现返回给引擎26的响应。当然，配置信息可包括其 它信息，而不背离本发明的精神和范围。例如，特别地，情况可以是配置信息 包括关于响应提供者24如何连接到相应存储库20的连接信息。
在本发明的一个实施例中，对服务22处的每一提供者的这一配置信息的 记录连同提供者24的标识一起被储存在服务22处的配置存储28内。这一配 置存储28田而且右羊千当前肚留龙服容"々卜成"话入"苴由的毎一提哄者24
的配置信息的记录，并且可以理解，该记录因此用作标识处理针对关于由一特 定CA发放的证书14的撤消信息的査询的提供者24的映射。由此，基于在引 擎26处接收到的每一査询，其中该査询包括特定证书14的标识以及发放该特 定证书14的CA的标识，引擎26标识或映射到提供者24以便根据发放证书 14的CA来处理来自配置存储28中的配置信息的查询。
注意，如可以在从客户机10到服务22的査询中找到的特定证书14的标 识和发放该特定证书14的CA的标识可以是任何特定格式而不背离本发明的 精神和范围。然而，通常，这一标识是由客户机IO从特定证书中获得的，其 中特定证书14的标识是如由CA发放且如在证书14中所陈述的序列号的形式， 并且CA的标识是如在证书14中所陈述的CA的公钥的形式，可能是散列的形 式(图2)。
无论如何，现在转向图4，引擎26在接收到来自客户机10的对于特定证 书14的撤消信息的査询(步骤401)之后定位该查询内所标识的CA和所标识 的证书14 (步骤403)，定位配置存储28中对应于所标识的CA的配置信息 的记录(步骤405)，并从所定位的记录中标识相应的插件提供者24以处理该 查询(步骤407)。另外，如有必要，引擎26可在所定位的记录内定位所标识的提供者24期望从引擎26接收査询的特定形式、所标识的提供者将向引擎26 返回响应的特定形式、和/或其它信息(如需要)。
基于所定位的配置信息的记录，如有必要，引擎26然后可适当地格式化 对所标识的提供者24的査询，将该查询转发给这一提供者24 (步骤409)， 并等待返回的响应。注意，此处，被转发给提供者24的査询应至少包含证书 24的标识。当然，如有必要，被转发给提供者24的查询还应包含CA的标识， 尤其是在相应的存储库20处理来自一个以上CA的撤消信息的情况下。
无论如何，可以理解，提供者24基于所转发的査询还将该査询的某一版 本转发给相应存储库20 (步骤411)，从其接收具有对应于所标识的证书14 的适当撤消信息的返回的响应(步骤413)，并将返回的响应的某一版本转发 回引擎26 (步骤415)。有了这一返回的响应，引擎26然后确定所标识的证 书14是否已被撤消(步骤417)，并向作出査询的客户机IO返回关于该判定 的响应(步骤419)。
注意，从引擎26返回给作出查询的客户机10的响应可以是任何形式而不 背离本发明的精神和范围。例如，所返回的响应可以仅仅是关于所标识的证书 14是否已被撤消的状态，或者可提供包括提供者24提供的任何附加信息的部 分或全部的附加信息。这一附加信息的实例包括但不限于，撤消的日期和/或情 况(如可用且适用)。可以理解，这一附加信息可以对作出査询的客户机10 是有价值的，尤其是在客户机IO采用该信息来产生最终撤消判定的时候。
注意，特别是在其中期望服务从客户机10接收许多关于撤消信息的査询 且许多査询是关于同一证书14的高吞吐量环境中，包括如图3所示的前端高 速缓存服务30可能是有利的。可以理解，在本发明的一个实施例中，这一高 速缓存服务30将用作最初从客户机10接收查询并对每一查询确定这一高速缓 存服务30是否具有可用于响应该查询的相对最新的高速缓存的撤消信息的第 一线。如果是这样，则高速缓存服务30将用这一相对最新的高速缓存的撤消 信息来响应这一査询，而无需将查询转发给服务22。然而，如果不是这样，则 高速缓存服务30将改为将查询转发给服务22以供按如上所述的方式进一步处 理。另外，现在应当理解，在服务22如在图4的步骤419处那样向客户机10 返回响应之后，该响应应通过高速缓存服务30以高速缓存该响应以便在适当时对将来的査询作出响应。
注意，可采用任何适当形式的高速缓存服务30而不背离本发明的精神和 范围。由于高速缓存一般对相关公众是已知或应当明白的，因此此处无需详细
描述这一高速缓存服务30的细节。还要注意，定义高速缓存的撤消信息是否
是相对最新的可用任何方式来执行，而不背离本发明的精神和范围。例如，情
况可以是，比一设定的时间段，诸如12或24小时老的高速缓存的信息被认为 不是最新的。类似地，情况可以是，基于一根据以什么频率访问高速缓存的信 息来变化的变化的尺度来认为高速缓存的信息不是最新的。
结论
尽管本发明对于诸如个人计算机、服务器等客户机IO尤其有用，但是本 发明也可对任何适当的客户机10实施，所有这些都不背离本发明的精神和范 围。因此，客户机10被解释为包含了采用证书14并且需要确定特定证书14 是否已被撤消的任何适当设备。
实现关于本发明所执行的过程所需的程序设计是相对直接的，且应对相关 程序设计公众是显而易见的。因此，这一程序设计并未附加于此。由此，任何 特定的编程设计都可用于实现本发明而不背离其精神和范围。
在以上描述中，可以看到，本发明包括一种新的且有用的集中式服务22， 它能够访问最新的撤消信息，使得客户机10能以即时且最新的方式来确定一 特定数字证书14是否已被撤消。集中式服务22可访问多个撤消信息存储库20， 使得客户机10能联系该服务来获得关于如由多个证书授权机构(CA)中的任 一个所发放的证书14的撤消信息。每一附加撤消信息存储库20可通过向服务 22添加适当的相应提供者24而被容易地添加，并且服务22可通过每一提供者 24来容易地被配置成定位关于多个特定证书14中的任一个的适当的撤消信息 存储库20。因此，应当理解，本发明不限于所公开的具体实施例，而是旨在覆 盖落入所附权利要求书所定义的本发明的精神和范围之内的修改。
权利要求
1. 一种用于为客户机确定由一特定证书授权机构(CA)发放的特定数字证书是否已被该CA撤消的撤消判定服务，所述服务包括用于从所述客户机接收查询的引擎，所述查询标识所述特定证书和发放所述特定证书的CA；驻留在所述服务处的至少一个提供者，每一提供者对应于一撤消信息存储库并表示所述服务处的相应存储库，并且用于连接到所述相应存储库，每一存储库具有来自至少一个CA的撤消信息，每一提供者响应于来自所述客户机的被转发到该提供者的查询来确定所述特定证书是否在所述相应存储库中被标识为已撤消；以及配置存储，它包括对应于驻留在所述服务处的每一提供者的配置信息记录，每一配置信息记录包括所述提供者的标识和对应于该提供者的存储库具有关于其的撤消信息的每一CA的标识，所述引擎基于所接收到的查询参考所述配置存储来标识驻留在所述服务处并对应于所接收的查询的所标识的CA的特定提供者来处理该查询，并且实际上将所接收的查询转发该所标识的提供者，使得所标识的提供者确定所接收的查询的所标识的证书是否在所述相应存储库中被标识为已撤消，由此，所述服务可通过能够访问一个或多个相应存储库来处理来自所述客户机的关于由多个CA中的任一个发放的数字证书的查询，每一所述存储库借助一相应提供者。
2. 如权利要求1所述的服务，其特征在于，每一提供者是可被随意添加 到所述服务或从所述服务移除以添加或移除对所述相应存储库的访问的插件 模块的形式。
3. 如权利要求2所述的服务，其特征在于，每一提供者包括用于将所述 服务配置成采用该提供者和相应存储库的至少某些配置信息，所包括的配置信 息在所述提供者被添加到所述服务时被储存在所述配置存储中的相应配置信 息记录中。
4. 如权利要求1所述的服务，其特征在于，响应于在所述引擎处接收到的来自所述客户机的查询，每一提供者与所述引擎交互以从其接收所述査询， 连接到所述相应存储库，将所述查询发送给所述相应存储库，作为返回从所述 相应存储库接收响应，并进而将所述响应返回给所述引擎。
5. 如权利要求1所述的服务，其特征在于，所述配置存储中对应于每一 提供者的所述配置信息记录还包括从所述引擎转发的査询要表现的特定形式， 以及返回给所述引擎的响应要表现的特定形式。
6. 如权利要求1所述的服务，其特征在于，所述配置存储中对应于每一提供者的所述配置信息记录还包括关于所述提供者如何连接到所述相应存储 库的连接信息。
7. 如权利要求l所述的服务，其特征在于，还包括一前端高速缓存服务， 用于最初接收来自所述客户机的査询，并且确定该高速缓存服务是否具有可用 于响应该查询的相对最新的高速缓存的撤消信息。
8. —种其上实例化了一撤消判定服务的计算设备，所述撤消判定服务用 于为客户机确定由一特定证书授权机构(CA)发放的特定数字证书是否已被 该CA撤消，所述服务包括.-用于从所述客户机接收査询的引擎，所述査询标识所述特定证书和发放所 述特定证书的CA;驻留在所述服务处的至少一个提供者，每一提供者对应于一撤消信息存储 库并表示所述服务处的相应存储库，并且用于连接到所述相应存储库，每一存 储库具有来自至少一个CA的撤消信息，每一提供者响应于来自所述客户机的 被转发到该提供者的査询来确定所述特定证书是否在所述相应存储库中被标 识为已撤消；以及配置存储，它包括对应于驻留在所述服务处的每一提供者的配置信息记 录，每一配置信息记录包括所述提供者的标识和对应于该提供者的存储库具有 关于其的撤消信息的每一CA的标识，所述引擎基于所接收到的査询参考所述 配置存储来标识驻留在所述服务处并对应于所接收的查询的所标识的CA的特 定提供者来处理该查询，并且实际上将所接收的查询转发该所标识的提供者， 使得所标识的提供者确定所接收的查询的所标识的证书是否在所述相应存储 库中被标识为已撤消，由此，所述服务可通过能够访问一个或多个相应存储库来处理来自所述客 户机的关于由多个CA中的任一个发放的数字证书的査询，每一所述存储库借 助一相应提供者。
9. 如权利要求8所述的计算设备，其特征在于，每一提供者是可被随意 添加到所述服务或从所述服务移除以添加或移除对所述相应存储库的访问的 插件模块的形式。
10. 如权利要求9所述的计算设备，其特征在于，每一提供者包括用于将 所述服务配置成采用该提供者和相应存储库的至少某些配置信息，所包括的配 置信息在所述提供者被添加到所述服务时被储存在所述配置存储中的相应配 置信息记录中。
11. 如权利要求8所述的计算设备，其特征在于，响应于在所述引擎处接 收到的来自所述客户机的査询，每一提供者与所述引擎交互以从其接收所述査 询，连接到所述相应存储库，将所述查询发送给所述相应存储库，作为返回从 所述相应存储库接收响应，并进而将所述响应返回给所述引擎。
12. 如权利要求8所述的计算设备，其特征在于，所述配置存储中对应于 每一提供者的所述配置信息记录还包括从所述引擎转发的查询要表现的特定 形式，以及返回给所述引擎的响应要表现的特定形式。
13. 如权利要求8所述的计算设备，其特征在于，所述配置存储中对应于 每一提供者的所述配置信息记录还包括关于所述提供者如何连接到所述相应 存储库的连接信息。
14. 如权利要求1所述的计算设备，其特征在于，所述服务还包括一前端 高速缓存服务，用于最初接收来自所述客户机的査询，并且确定该高速缓存服 务是否具有可用于响应该査询的相对最新的高速缓存的撤消信息。
15. —种供撤消判定服务用于为客户机确定由一特定证书授权机构(CA) 发放的特定数字证书是否已被该CA撤消的方法，所述方法包括从所述客户机接收查询，所述査询标识所述特定证书和发放所述特定证书 的CA;参考一配置存储，所述配置存储包括对应于驻留在所述服务处的至少一个 提供者中的每一个的配置信息记录，每一配置信息记录包括所述提供者的标识和对应于该提供者的存储库具有关于其的撤消信息的每一CA的标识，这一参考包括标识驻留在所述服务处并对应于所接收的查询的所标识的CA的特定提 供者来处理该査询；以及将所接收的査询转发该所标识的提供者，以确定所接收的査询的所标识的 证书是否在所述相应存储库中被标识为己撤消，因而所标识的提供者表示所述 服务处的相应存储库，并且.-连接到所述相应存储库；以及从所述相应存储库中确定所述特定证书是否在所述相应存储库中被 标识为已撤消，由此，所述服务可通过能够访问一个或多个相应存储库来处理来自所述客 户机的关于由多个CA中的任一个发放的数字证书的查询，每一所述存储库借 助一相应提供者。
16. 如权利要求13所述的方法，其特征在于，包括 从所述客户机接收关于一特定证书的撤消信息的査询； 在所述査询内定位所标识的CA和所标识的证书； 在所述配置存储内定位对应于所标识的CA的配置信息记录；从所定位的记录中标识驻留在所述服务处的相应提供者以处理所述査询；将所述査询转发给所标识的提供者，所标识的提供者将所转发的查询转发 给相应存储库并接收从所述相应存储库返回的带有对应于所标识的证书的撤 消信息的响应。
17. 如权利要求15所述的方法，其特征在于，每一提供者是可被随意添加到所述服务或从所述服务移除以添加或移除对所述相应存储库的访问的插 件模块的形式，并且其中，每一提供者包括用于将所述服务配置成采用该提供 者和相应存储库的至少某些配置信息，所述方法还包括在所述提供者被添加到 所述服务时将所包括的配置信息存储在所述配置存储中的相应配置信息记录 中。
18. 如权利要求15所述的方法，其特征在于，响应于在所述服务的引擎 处接收到的来自所述客户机的查询，所标识的提供者从所述引擎接收所述査 询，连接到所述相应存储库，将所述査询发送给所述相应存储库，作为返回从所述相应存储库接收响应，并进而将所述响应返回给所述引擎。
全文摘要
一种撤消判定服务为客户机确定由一特定证书授权机构(CA)发放的特定数字证书是否已被该CA撤消。在该服务中，一引擎从客户机接收查询，其中该查询标识该特定证书和发放该特定证书的CA。至少一个提供者驻留在该服务处，其中每一提供者对应于一撤消信息存储库，并表示该服务处的相应存储库，并连接到该相应存储库。每一存储库具有来自至少一个CA的撤消信息。一配置存储包括对应于驻留在该服务处的每一提供者的配置信息记录。每一配置信息记录包括提供者的标识以及对应于该提供者的存储库对其具有撤消信息的每一CA的标识。
文档编号G06F15/00GK101305359SQ200680042194
公开日2008年11月12日 申请日期2006年11月14日 优先权日2005年11月14日
发明者A·本-梅内汉姆, M·I·艾恩-皮耶特-罗莎努, V·阿加沃 申请人:微软公司