【正文】 典型需求6.7..... 機(jī)密性 通信報(bào)文在網(wǎng)絡(luò)中以密文形式傳輸，加密算法必須獲得國密委的認(rèn)同。用戶可離線或在線驗(yàn)簽電子保單，并根據(jù)驗(yàn)簽結(jié)果顯示保單內(nèi)容。HTML格式直接提示用戶驗(yàn)簽不成功，且不會(huì)顯示保單內(nèi)容；PDF格式文件改動(dòng)后可能不能打開，即使能打開，也會(huì)提示用戶文件有改動(dòng)驗(yàn)簽錯(cuò)誤，并直觀顯示驗(yàn)簽結(jié)果，例如驗(yàn)簽成功則顯示綠色√，失敗則顯示紅色。APP應(yīng)用開發(fā)，由應(yīng)用開發(fā)人員根據(jù)保險(xiǎn)公司電子保單的生成要求進(jìn)行現(xiàn)場(chǎng)應(yīng)用開發(fā)。本文中所涉及的方案以及產(chǎn)品，均支持國密，故下述方案中不在具體說明支持國密。國聯(lián)人壽目前計(jì)劃通過投資建設(shè)PKI體系，對(duì)目前各個(gè)業(yè)務(wù)系統(tǒng)進(jìn)行改造，以提高各個(gè)業(yè)務(wù)的整體安全性。數(shù)字證書支撐平臺(tái)：通過數(shù)字證書頒發(fā)平臺(tái)所頒發(fā)的數(shù)字證書，實(shí)現(xiàn)應(yīng)用系統(tǒng)的數(shù)據(jù)機(jī)密性、完整性、抗抵賴性等。建議國聯(lián)人壽在類似于網(wǎng)上商城、OA系統(tǒng)這樣只涉及甲乙雙方關(guān)系的系統(tǒng)中使用自建CA系統(tǒng)進(jìn)行數(shù)字證書的頒發(fā)，一方面，由于此類系統(tǒng)中，使用人數(shù)眾多，采用第三方CA系統(tǒng)頒發(fā)數(shù)字證書，需要高昂的數(shù)字證書維護(hù)費(fèi)用（第三方CA所頒發(fā)證書為租賃方式，需要按年計(jì)費(fèi)）。隨著互聯(lián)網(wǎng)的發(fā)展，會(huì)出現(xiàn)和使用更靈活的格式文件，APP應(yīng)用服務(wù)器只要集成此文件格式的生成API，即可生成新格式的電子保單文件。3. 客戶選擇險(xiǎn)種，并使用用戶名、密碼登陸，填寫保單所需信息后，提交保單。如國聯(lián)人壽計(jì)劃使用信安世紀(jì)簽名服務(wù)器對(duì)該平臺(tái)進(jìn)行替換，需完成以下兩方面工作：1 將北京CA所提供的數(shù)字證書導(dǎo)出，移入信安世紀(jì)簽名服務(wù)器平臺(tái)（也可等待當(dāng)前北京CA簽名服務(wù)器中數(shù)字證書到期后，又信安世紀(jì)平臺(tái)進(jìn)行重新生成CSR請(qǐng)求即可，這樣就無需導(dǎo)入當(dāng)前證書）；2 重新部署API接口，使用信安世紀(jì)API接口替換北京CA接口，并調(diào)用信安世紀(jì)PDF簽名方法即可。 . 安全審計(jì) 能提供完善的審計(jì)功能，包括訪問的時(shí)間、訪問者身份、訪問的資源、訪問者的IP地址等信息。3) 考慮到用戶的使用便利性以及成本，建議采用文件證書的方式。同時(shí)，實(shí)現(xiàn)多鏈路冗余。保證了整個(gè)系統(tǒng)的正常運(yùn)行。強(qiáng)大的審計(jì)功能保證了對(duì)用戶的操作進(jìn)行審計(jì)記錄，并且可以按照管理員要求進(jìn)行特殊的行為日志記錄?；蛘邌为?dú)與OA系統(tǒng)進(jìn)行對(duì)接，完成身份認(rèn)證，數(shù)據(jù)加密，數(shù)據(jù)完整性校驗(yàn)等。n 提供OA系統(tǒng)用戶自主更新和賬戶關(guān)閉接口，完成用戶自主更新和賬戶關(guān)閉操作。提供 對(duì)OA系統(tǒng)新增加未申請(qǐng)證書人員查詢功能，以及非正常操作導(dǎo)致的信息已確認(rèn)但沒有申請(qǐng)證書的查詢功能。n 豐富的數(shù)字證書應(yīng)用類型：產(chǎn)品自帶簽名證書、加密證書、SSL 站點(diǎn)證書等多種數(shù)字證書模板，用戶還可以通過證書模板管理功能靈活配置各種算法、用途和格式的數(shù)字證書。目前正在完成與通聯(lián)金融以及無錫農(nóng)商行對(duì)接的過程中。保證了整個(gè)系統(tǒng)的正常運(yùn)行。 同時(shí)，采用負(fù)載均衡設(shè)計(jì)的架構(gòu)下，當(dāng)未來應(yīng)用出現(xiàn)瓶頸時(shí)，僅需增加應(yīng)用服務(wù)器資源即可，無需調(diào)整網(wǎng)絡(luò)架構(gòu)，實(shí)現(xiàn)模塊化部署，極大的簡(jiǎn)化了應(yīng)用系統(tǒng)投產(chǎn)的時(shí)間與復(fù)雜度。本方案主要描述為一種便捷的認(rèn)證方式，滿足移動(dòng)端的需求。因此移動(dòng)認(rèn)證平臺(tái)提供對(duì)外服務(wù)的獲取簽名二維碼服務(wù)接口。業(yè)務(wù)系統(tǒng)解析VerifyResult獲取用戶名，認(rèn)證時(shí)間，認(rèn)證結(jié)果等內(nèi)容。在業(yè)務(wù)系統(tǒng)登錄或者在關(guān)鍵交易中彈出移動(dòng)認(rèn)證平臺(tái)APP的（另一種實(shí)現(xiàn)方式為不彈界面直接返回動(dòng)態(tài)口令+證書信息），并將動(dòng)態(tài)口令返回業(yè)務(wù)系統(tǒng)APP，業(yè)務(wù)系統(tǒng)APP將動(dòng)態(tài)口令+證書信息提交后臺(tái)，由業(yè)務(wù)系統(tǒng)后臺(tái)調(diào)用移動(dòng)認(rèn)證平臺(tái)后臺(tái)的動(dòng)態(tài)口令驗(yàn)證接口完成驗(yàn)證操作，并將該證書所綁定的用戶信息返回給業(yè)務(wù)系統(tǒng)，由業(yè)務(wù)系統(tǒng)根據(jù)驗(yàn)證簽名結(jié)果進(jìn)行下一步操作。對(duì)于數(shù)字證書而言，采用軟證書往往只能下載至該用戶當(dāng)前平臺(tái)上，并且處于安全性考慮，通常不讓用戶導(dǎo)出。使用云CA設(shè)計(jì)下的數(shù)字證書系統(tǒng)，用戶在任意多個(gè)平臺(tái)下，只擁有一張證書，無任何平臺(tái)限制，使用便利；安全性：用戶使用證書的口令加密存儲(chǔ)，并且只在云平臺(tái)上存儲(chǔ)，不在客戶端保留，避免客戶端漏洞或個(gè)人保管不善所造成的個(gè)人密鑰泄露風(fēng)險(xiǎn)。1234567 適用系統(tǒng)n OA系統(tǒng)；n 網(wǎng)上商城系統(tǒng)；n 其他任何需要移動(dòng)終端、PC端等需要多終端訪問的應(yīng)用系統(tǒng) 系統(tǒng)架構(gòu)n 客戶端：可以是移動(dòng)客戶端，也可以是PC客戶端。 方案投入產(chǎn)品名稱功能數(shù)量?jī)r(jià)格說明NetOpti2200NL鏈路負(fù)載2NSAE2500NBSSL+服務(wù)器負(fù)載3（2生產(chǎn)，1開發(fā)）移動(dòng)終端APP (ios)移動(dòng)終端APP，用于證書管理、客戶端簽名、動(dòng)態(tài)密碼生成等移動(dòng)終端APP（安卓）移動(dòng)終端APP，用于證書管理、客戶端簽名、動(dòng)態(tài)密碼生成等PC客戶端簽名控件Chrom客戶端簽名標(biāo)準(zhǔn)版僅支持IEPC客戶端簽名控件FireFox客戶端簽名標(biāo)準(zhǔn)版僅支持IE移動(dòng)認(rèn)證平臺(tái)與應(yīng)用對(duì)接，完成調(diào)用簽名服務(wù)器與動(dòng)態(tài)密碼服務(wù)器，以及用戶狀態(tài)邏輯判斷等3（2生產(chǎn)，1 開發(fā)）NetSign3300簽名服務(wù)器，實(shí)際完成驗(yàn)簽操作3（2生產(chǎn)，1開發(fā)）NetPass1000動(dòng)態(tài)密碼服務(wù)器，實(shí)際完成動(dòng)態(tài)密碼驗(yàn)證操作3（2生產(chǎn)，1開發(fā)）NetCert（含CA/移動(dòng)RA/LDAP/RADS/EEDS）數(shù)字證書全生命周期管理平臺(tái)1說明1：上述報(bào)價(jià)并不包含國聯(lián)人壽所需的國際第三方證書（如Versign）價(jià)格，需國聯(lián)人壽自行提供第三方的SSL服務(wù)器站點(diǎn)證書。. 動(dòng)態(tài)密碼認(rèn)證 在一個(gè)系統(tǒng)中，如果涉及到安全等級(jí)要求不同的客戶，則對(duì)于低安全需求的客戶，則可采用動(dòng)態(tài)密碼認(rèn)證的方式。移動(dòng)認(rèn)證平臺(tái)如果對(duì)移動(dòng)認(rèn)證平臺(tái)APP掃描結(jié)果驗(yàn)證無誤后將用戶名，驗(yàn)證結(jié)果等驗(yàn)證內(nèi)容返回到業(yè)務(wù)系統(tǒng)后臺(tái)。在用戶申請(qǐng)證書時(shí)，用戶打開信安世紀(jì)的APP，通過APP中的證書申請(qǐng)功能，填入該人員信息，即可直接將該信息發(fā)送至CA系統(tǒng)，CA系統(tǒng)對(duì)該CSR請(qǐng)求進(jìn)行簽發(fā)， 最終返回給用戶。6 基于移動(dòng)終端的CA設(shè)計(jì)6 概述由于移動(dòng)終端的興起，在傳統(tǒng)的PC環(huán)境下，通過PKI技術(shù)已經(jīng)可較為便利的提升用戶的安全性，如目前所使用的網(wǎng)銀系統(tǒng)，客戶通過USB KEY，或動(dòng)態(tài)密碼的方式進(jìn)行登陸、建立SSL隧道、數(shù)字簽名等操作。另一方面，在本項(xiàng)目中，通過在關(guān)鍵節(jié)點(diǎn)部署負(fù)載均衡系統(tǒng)，將應(yīng)用的A/S（Active/Standby）架構(gòu)升級(jí)至A/A架構(gòu)，按照雙節(jié)點(diǎn)部署的典型應(yīng)用下，系統(tǒng)容量理論值增加一倍。n 實(shí)現(xiàn)應(yīng)用系統(tǒng)的高可靠性。n 大規(guī)模應(yīng)用實(shí)踐檢驗(yàn)：目前世界上發(fā)證數(shù)量最大的兩大CA 系統(tǒng)，中國工商銀行和中國農(nóng)業(yè)銀行CA 系統(tǒng)均采用的NetCert 產(chǎn)品系列，實(shí)踐經(jīng)驗(yàn)的積累使得NetCert 的穩(wěn)定性和兼容性非常優(yōu)秀。. 應(yīng)用系統(tǒng)使用流程1) 客戶根據(jù)需求使用瀏覽器訪問OA系統(tǒng)；2) 用戶完成請(qǐng)求后，訪問至信安世紀(jì)NSAENB設(shè)備，實(shí)現(xiàn)SSL卸載，由于在內(nèi)網(wǎng)使用，使用環(huán)境較為安全，建議采用單向SSL即可。由于本方案中，NetCertCA與OA系統(tǒng)集成要求較為緊密，下文主要描述NetCertCA系統(tǒng)：. NetCert CA系統(tǒng)架構(gòu)如下圖所示：證書管理系統(tǒng)由信安世紀(jì)公司負(fù)責(zé)開發(fā)和實(shí)施，通過自建CA頒發(fā)行內(nèi)員工數(shù)字證書，數(shù)字證書用于行內(nèi)OA系統(tǒng)的登陸憑證。n 證書申請(qǐng)和證書更新實(shí)現(xiàn)一步操作，成功后將數(shù)字證書發(fā)送到人員郵箱中，由用戶自行下載安裝數(shù)字證書。說明2：本方案中均按照每一個(gè)系統(tǒng)所使用的產(chǎn)品，實(shí)際上，信安世紀(jì)產(chǎn)品均支持多服務(wù)，即一套產(chǎn)品均可以為多個(gè)系統(tǒng)使用(在網(wǎng)絡(luò)以及安全策略允許的前提下)。獨(dú)立的CRL文件下載服務(wù)，保證應(yīng)用系統(tǒng)運(yùn)行的連續(xù)性和安全級(jí)別。5) APP負(fù)載均衡設(shè)備根據(jù)預(yù)定的算法將相應(yīng)的請(qǐng)求命中至指定的APP服務(wù)器。6) 在應(yīng)用服務(wù)器區(qū)，考慮到應(yīng)用服務(wù)器作為系統(tǒng)的關(guān)鍵資源節(jié)點(diǎn)，采用信安世紀(jì)NetOpt