2傳統(tǒng)數(shù)字身份技術(shù)在移動(dòng)通信網(wǎng)中的問題 12.1通信網(wǎng)身份憑證通常分為對(duì)稱和非對(duì)稱兩種方式 12.2PKI數(shù)字證書是通信網(wǎng)中實(shí)現(xiàn)身份認(rèn)證的重要憑證 2PKI在實(shí)踐中存在諸多不便 23區(qū)塊鏈為數(shù)字身份帶來的機(jī)遇 53.1基于區(qū)塊鏈構(gòu)建數(shù)字身份認(rèn)證體系的可行性 53.2基于區(qū)塊鏈構(gòu)建數(shù)字身份認(rèn)證體系的原理 64基于區(qū)塊鏈的數(shù)字身份關(guān)鍵技術(shù) 74.1系統(tǒng)架構(gòu) 74.2組網(wǎng)方式 94.3數(shù)字證書管理 94.4數(shù)字證書格式 114.5數(shù)字身份管理 124.6認(rèn)證策略管理 124.7過期數(shù)字身份記錄優(yōu)化 135基于區(qū)塊鏈數(shù)字身份應(yīng)用案例 135.1網(wǎng)絡(luò)設(shè)備身份認(rèn)證 13 5.4智能硬件數(shù)字身份管理 185.5軟件/服務(wù)的數(shù)字身份管理 19 6.1優(yōu)勢(shì)與挑戰(zhàn) 206.2技術(shù)展望 21縮略語列表 23參考文獻(xiàn) 24數(shù)字身份研究報(bào)告(2020)1軟硬件實(shí)體的身份認(rèn)證?；诠€密碼學(xué)的PKI(公鑰基礎(chǔ)設(shè)施，PublicKey問題。本技術(shù)報(bào)告在分析傳統(tǒng)PKI體系在移動(dòng)互聯(lián)網(wǎng)實(shí)踐中遇到2傳統(tǒng)數(shù)字身份技術(shù)在移動(dòng)通信網(wǎng)中的問題2.1通信網(wǎng)身份憑證通常分為對(duì)稱和非對(duì)稱兩種方式數(shù)字身份研究報(bào)告(2020)22.2PKI數(shù)字證書是通信網(wǎng)中實(shí)現(xiàn)身份認(rèn)證的重要憑證由證書認(rèn)證授權(quán)中心(簡(jiǎn)稱CA，CertificationAuthority)簽發(fā)。CA是一個(gè)權(quán)威(1)證書批量配置效率低數(shù)字身份研究報(bào)告(2020)3向在線申請(qǐng)：設(shè)備入網(wǎng)上線時(shí)以在線方式申請(qǐng)證書，例如采用CMP(CertificateManagementProtocol，證書管理協(xié)議)在線申請(qǐng)CA證書，CACA為其他CA簽發(fā)證書的方式，可以擴(kuò)大CA的數(shù)字身份研究報(bào)告(2020)4CRL列表的(4)CRL/OCSP單點(diǎn)故障數(shù)字身份研究報(bào)告(2020)53.1基于區(qū)塊鏈構(gòu)建數(shù)字身份認(rèn)證體系的可行性提升證書批量配置的效率。數(shù)字身份研究報(bào)告(2020)63.2基于區(qū)塊鏈構(gòu)建數(shù)字身份認(rèn)證體系的原理率，解決批量配置問題。數(shù)字身份研究報(bào)告(2020)7跨層功能運(yùn)行管理身份認(rèn)證授權(quán)管跨層功能運(yùn)行管理身份認(rèn)證授權(quán)管理4.1系統(tǒng)架構(gòu)接口層接口層證書管理接口證書查詢接口查詢功能證查詢功能證書查詢狀態(tài)查詢證書更新狀態(tài)變更證書更新狀態(tài)變更證書驗(yàn)證證書記錄基礎(chǔ)層基礎(chǔ)層P2P網(wǎng)絡(luò)區(qū)塊鏈節(jié)點(diǎn)(1)基礎(chǔ)層能PP絡(luò)：提供點(diǎn)到點(diǎn)之間的高效通信。(2)核心層8字證書完整信息的查詢功能。(3)接口層狀態(tài)查詢服務(wù)：提供數(shù)字證書狀態(tài)查詢和數(shù)字證書查詢功能。(4)跨層功能數(shù)字身份研究報(bào)告(2020)9證書用戶證書依賴方證書提交節(jié)點(diǎn)查詢節(jié)點(diǎn)證書用戶證書依賴方證書提交節(jié)點(diǎn)查證書用戶證書依賴方證書提交節(jié)點(diǎn)查詢節(jié)點(diǎn)證書用戶證書依賴方證書提交節(jié)點(diǎn)查詢節(jié)點(diǎn)4.2組網(wǎng)方式基于區(qū)塊鏈的PKI數(shù)字證書管理系統(tǒng)驗(yàn)證節(jié)點(diǎn)驗(yàn)證節(jié)點(diǎn)驗(yàn)證節(jié)點(diǎn)驗(yàn)證節(jié)點(diǎn)驗(yàn)證節(jié)點(diǎn)驗(yàn)證節(jié)點(diǎn)證節(jié)點(diǎn)、態(tài)查詢服務(wù)。查詢節(jié)點(diǎn)可以由具有公信4.3數(shù)字證書管理數(shù)字身份研究報(bào)告(2020)(1)證書發(fā)布申請(qǐng)書時(shí)對(duì)發(fā)布申請(qǐng)進(jìn)行簽名保護(hù)。(2)證書發(fā)布(3)證書更新(4)證書撤銷(5)證書使用數(shù)字身份研究報(bào)告(2020)(6)證書查詢4.4數(shù)字證書格式(1)證書序列號(hào)字段(SerialNumber)(2)簽發(fā)者字段(Issuer)段與使用者主體名稱字段(Subject)完全相同，此時(shí)可以進(jìn)行簡(jiǎn)化。(3)有效期字段(Validity)(4)基本約束(BasicConstraint)數(shù)字身份研究報(bào)告(2020)4.5數(shù)字身份管理。匿名身份可以由用戶自行產(chǎn)生，在證書中不含有用戶的身份信息。證書中Subject的信息僅作為標(biāo)識(shí)信息，對(duì)用戶的身份驗(yàn)證在具體應(yīng)用中進(jìn)行。業(yè)務(wù)應(yīng)用系統(tǒng)需要使用其他方式對(duì)用戶進(jìn)行身份認(rèn)證(如用戶名+口令、人工審核等方式)，并將該證書和認(rèn)證后的用戶建立對(duì)應(yīng)關(guān)系，此時(shí)該證書可用于對(duì)該用戶的4.6認(rèn)證策略管理數(shù)字身份研究報(bào)告(2020)A4.7過期數(shù)字身份記錄優(yōu)化某一區(qū)塊中所有證書均已失效(已過期或被撤銷)，那么可以將該區(qū)塊的區(qū)塊體5基于區(qū)塊鏈數(shù)字身份應(yīng)用案例5.1網(wǎng)絡(luò)設(shè)備身份認(rèn)證P數(shù)字身份研究報(bào)告(2020)數(shù)字身份研究報(bào)告(2020)設(shè)備證書依賴方證書提交節(jié)點(diǎn)查詢節(jié)點(diǎn)設(shè)備證書依賴方證書提交節(jié)點(diǎn)查詢節(jié)點(diǎn)設(shè)備證書依賴方證書提交節(jié)點(diǎn)查詢節(jié)點(diǎn)設(shè)備證書依賴方證書提交節(jié)點(diǎn)查詢節(jié)點(diǎn)基于區(qū)塊鏈的PKI數(shù)字證書管理系統(tǒng)運(yùn)營商節(jié)點(diǎn)運(yùn)營商節(jié)點(diǎn)2點(diǎn)1CA機(jī)構(gòu)節(jié)點(diǎn)4CA機(jī)構(gòu)節(jié)點(diǎn)4點(diǎn)3續(xù)證書用戶證書依賴方RA1查詢節(jié)點(diǎn)證書用戶證書依賴方RA3查詢節(jié)點(diǎn)數(shù)字證書查詢節(jié)點(diǎn)證書用戶證書依賴方RA1查詢節(jié)點(diǎn)證書用戶證書依賴方RA3查詢節(jié)點(diǎn)啟動(dòng)RTINQ5.2.查找證書最新狀態(tài)5.3.CERT_INQresponse5.4.驗(yàn)證設(shè)備的證書6.計(jì)算IKE_AUTN中的字段8.驗(yàn)證網(wǎng)關(guān)的證書9.刪除舊的IKESA基于區(qū)塊鏈的PKI數(shù)字證書管理系統(tǒng)CA2CA1CA2CA4CA3CA4RACA1)證書用戶向證書提交節(jié)點(diǎn)提交證書申請(qǐng)/證書更新/證書撤銷等證書管理2)鑒別通過之后證書提交節(jié)點(diǎn)所屬CA機(jī)構(gòu)為用戶簽發(fā)證書/簽發(fā)更新后的證書/撤銷用戶證書，并且向區(qū)塊鏈系統(tǒng)發(fā)送證書發(fā)布請(qǐng)求/證書更新3)上述證書發(fā)布請(qǐng)求/證書更新請(qǐng)求/證書撤銷請(qǐng)求經(jīng)過其他CA節(jié)點(diǎn)共識(shí)4)依賴方在接收到用戶證書之后，首先驗(yàn)證該證書是否由自己信任的CA設(shè)備認(rèn)證方設(shè)備認(rèn)證方數(shù)字證書查詢節(jié)點(diǎn)llo2.ClientHelloVerifyClientHello(CERT_ID)4.CERT_VERFRTID查找證書及其狀態(tài)7.ServerHello,ServerKeyExchange7.ServerHello,ServerKeyExchangeServerHelloDone(證書及其狀態(tài))ClientKeyExchangeChangeCipherSpec9.ChangeCipherSpec據(jù)該圖中設(shè)備與認(rèn)證方之間的交互遵循標(biāo)準(zhǔn)的TLS協(xié)議，在步驟3的證書查詢節(jié)點(diǎn)查詢證書(步驟4)。查詢節(jié)點(diǎn)根據(jù)證書標(biāo)識(shí)信息查找相應(yīng)的證書5.4智能硬件數(shù)字身份管理第三方CA機(jī)構(gòu)購買數(shù)字證書。第一種方式需要設(shè)備商建設(shè)并維護(hù)一套CA系數(shù)字身份研究報(bào)告(2020)SIPsec5.5軟件/服務(wù)的數(shù)字身份管理至數(shù)字身份研究報(bào)告(2020)服務(wù)注冊(cè)與發(fā)現(xiàn)服務(wù)注冊(cè)與發(fā)現(xiàn)服務(wù)A服務(wù)C服務(wù)調(diào)用服務(wù)調(diào)用服務(wù)注冊(cè)與發(fā)現(xiàn)服務(wù)注冊(cè)與發(fā)現(xiàn)服務(wù)A服務(wù)C服務(wù)調(diào)用服務(wù)調(diào)用服務(wù)注冊(cè)服務(wù)注冊(cè)與發(fā)現(xiàn)服務(wù)B服務(wù)調(diào)用6總結(jié)與展望優(yōu)勢(shì)與挑戰(zhàn)率數(shù)字身份研究報(bào)告(2020