【文章內(nèi)容簡(jiǎn)介】 時(shí)接收者也知道，只有你才能發(fā)出這段數(shù)據(jù)，因?yàn)橹挥心悴艜?huì)有這個(gè)在哈希上簽名的私鑰。2 產(chǎn)品概述時(shí)代億信 ETCA 數(shù)字證書(shū)認(rèn)證系統(tǒng)是在充分研究國(guó)內(nèi) CA 應(yīng)用現(xiàn)狀，多年調(diào)研客戶實(shí)際網(wǎng)絡(luò)應(yīng)用安全狀況，結(jié)合 PKI 實(shí)際應(yīng)用需求的基礎(chǔ)上，獨(dú)立研發(fā)的一套用于數(shù)字證書(shū)的申請(qǐng)、審核、簽發(fā)、注銷、更新、查詢的綜合管理系統(tǒng)，頒發(fā)的數(shù)字證書(shū)格式嚴(yán)格遵循 v3 規(guī)范。時(shí)代億信 ETCA 數(shù)字證書(shū)認(rèn)證系統(tǒng)由 CA、RA、證書(shū)發(fā)布系統(tǒng)、證書(shū) CRL查詢系統(tǒng)、LDAP 目錄服務(wù)幾個(gè)部分組成，可在服務(wù)器配備加密卡以及在客戶端配備智能密碼鑰匙。ETCA 支持通過(guò)掛接密鑰管理中心（ KMC）來(lái)管理用戶加密密鑰，從而提高了用戶密鑰的安全性和可靠性。ETCA 同時(shí)為應(yīng)用系統(tǒng)提供中間件，實(shí)現(xiàn)數(shù)據(jù)加密/解密、簽名/驗(yàn)簽服務(wù)。ETCA 數(shù)字證書(shū)認(rèn)證系統(tǒng)可提供對(duì)數(shù)字證書(shū)進(jìn)行全生命周期管理的功能，包括證書(shū)/證書(shū)撤銷列表的生成與簽發(fā)、證書(shū)/證書(shū)撤銷列表的存儲(chǔ)與發(fā)布、證書(shū)狀態(tài)的查詢和密鑰的生成與管理以及安全管理等。ETCA 數(shù)字證書(shū)認(rèn)證系統(tǒng)及中間件可集成于企事業(yè)單位的應(yīng)用系統(tǒng)中，保 5 證? 傳輸數(shù)據(jù)的保密性? 傳輸數(shù)據(jù)的完整性? 交易者身份的真實(shí)性? 交易信息的不可否認(rèn)性3 產(chǎn)品功能 產(chǎn)品功能架構(gòu)時(shí)代億信 ETCA 數(shù)字證書(shū)認(rèn)證系統(tǒng)主要由密鑰管理中心（KMC ） 、CA、RA、證書(shū)存儲(chǔ)發(fā)布和狀態(tài)查詢系統(tǒng)等幾個(gè)部分組成，如下圖所示： 6 圖 31 ETCA 數(shù)字證書(shū)認(rèn)證系統(tǒng)功能組成? 密鑰管理系統(tǒng)（KMC）可為多個(gè) CA 系統(tǒng)產(chǎn)生用戶加密密鑰，滿足 CA系統(tǒng)簽發(fā)用戶加密證書(shū)的需要。通過(guò)在線的方式滿足 CA 系統(tǒng)對(duì)密鑰的需求，實(shí)時(shí)響應(yīng)各 CA 系統(tǒng)提取密鑰對(duì)的請(qǐng)求。? 證書(shū)簽發(fā)系統(tǒng)（CA）負(fù)責(zé)生成、簽發(fā)數(shù)字證書(shū)和證書(shū)撤銷列表。? 證書(shū)管理系統(tǒng)（RA）是證書(shū)認(rèn)證系統(tǒng)中實(shí)現(xiàn)證書(shū)的申請(qǐng)、審核、生成、簽發(fā)、存儲(chǔ)、發(fā)布、注銷、歸檔等功能的管理控制系統(tǒng)。? 證書(shū)/CRL 存儲(chǔ)發(fā)布系統(tǒng)負(fù)責(zé)數(shù)字證書(shū)、證書(shū)撤銷列表的存儲(chǔ)和發(fā)布。根據(jù)應(yīng)用環(huán)境的不同，證書(shū)/CRL 存儲(chǔ)發(fā)布系統(tǒng)采用數(shù)據(jù)庫(kù)或目錄服務(wù)方式，實(shí)現(xiàn)數(shù)字證書(shū)/證書(shū)撤銷列表的存儲(chǔ)、備份和恢復(fù)等功能，并提供查詢服務(wù)。ETCA 使用 LDAP 目錄服務(wù)方式，采用主、從目錄服務(wù)器的結(jié)構(gòu)以保證主目錄服務(wù)器的可靠性。 產(chǎn)品功能組件 密鑰管理中心（ KMC）密鑰管理中心，簡(jiǎn)稱 KMC，是 ETCA 數(shù)字證書(shū)認(rèn)證系統(tǒng)的基礎(chǔ)組成部分。主要負(fù)責(zé)密鑰的管理：包括密鑰的產(chǎn)生、分發(fā)、更新、備份/恢復(fù)、歸檔、銷毀等的管理。ETCA 采用國(guó)家密碼管理局規(guī)定的主機(jī)加密服務(wù)器實(shí)現(xiàn)密鑰對(duì)的生成。采用 SPKM 安全通信協(xié)議與證書(shū)簽發(fā)中心進(jìn)行數(shù)據(jù)通信。密鑰管理主要負(fù)責(zé)接收、審核來(lái)自證書(shū)簽發(fā)中心的密鑰申請(qǐng)，調(diào)用備用密鑰庫(kù)中的密鑰發(fā)送給證書(shū)簽發(fā)中心。同時(shí)，監(jiān)控備用庫(kù)中密鑰的數(shù)量，根據(jù)策略生成一定數(shù)量的密鑰進(jìn)行補(bǔ)充，并且在密鑰生成、分發(fā)、更新、廢除等操作 7 時(shí)，負(fù)責(zé)對(duì)各種密鑰庫(kù)進(jìn)行相應(yīng)的維護(hù)。密鑰管理類型包括密鑰管理中心主密鑰管理、證書(shū)簽發(fā)中心密鑰管理和用戶密鑰管理。密鑰管理相關(guān)功能如下：1) 密鑰的生成批量生成高強(qiáng)度的用戶加密密鑰對(duì)，生成后的密鑰以密文保存在數(shù)據(jù)庫(kù)中。2) 密鑰的分發(fā)證書(shū)是密鑰分發(fā)的一種有效方式，用戶密鑰生成后發(fā)送給證書(shū)簽發(fā)中心，由證書(shū)簽發(fā)中心完成對(duì)包含密鑰的證書(shū)的簽發(fā)和管理。KMC 可以保證用戶密鑰從密鑰的生成到將證書(shū)的簽發(fā)，并與用戶私鑰一起存儲(chǔ)到用戶證書(shū)存儲(chǔ)介質(zhì)中整個(gè)過(guò)程的安全性。3) 密鑰備份與恢復(fù)KMC 提供對(duì)各系統(tǒng)管理員密鑰和用戶加密密鑰的安全備份和恢復(fù)功能，可以將各種密鑰通過(guò)加密手段安全保存到密鑰備份庫(kù)，當(dāng)需要時(shí)可以從備份庫(kù)中將所需密鑰恢復(fù)出來(lái)，防止由于密鑰丟失或損壞等原因造成損失。4) 密鑰更新密鑰的更新包括根密鑰的更新、各級(jí)證書(shū)簽發(fā)中心密鑰的更新、服務(wù)器密鑰的更新和用戶密鑰的更新等。在根密鑰和各級(jí)證書(shū)簽發(fā)中心密鑰的更新設(shè)計(jì)中需要考慮到舊密鑰到新密鑰的過(guò)渡中對(duì)已簽發(fā)證書(shū)的影響，保證在密鑰更新過(guò)程中，舊密鑰簽發(fā)的、未到期用戶密鑰的有效性。 8 5) 密鑰歸檔密鑰更新時(shí)需將舊密鑰歸檔，形成用戶密鑰的歷史信息。發(fā)生糾紛時(shí)，可以根據(jù)系統(tǒng)提供的信息進(jìn)行處理。歸檔的密鑰也可以進(jìn)行恢復(fù)。6) 密鑰查詢?cè)O(shè)置好相關(guān)查詢條件，查詢符合條件的在用密鑰相關(guān)信息。7) 密鑰銷毀密鑰管理中心對(duì)已經(jīng)失去作用的密鑰提供銷毀功能，徹底將這些密鑰從密鑰庫(kù)中刪除，并保證被刪除密鑰的不可恢復(fù)，保證整個(gè)體系的安全。8) 密鑰池密鑰管理系統(tǒng)具備密鑰池服務(wù)功能。系統(tǒng)預(yù)先生成一批密鑰對(duì)并通過(guò)安全機(jī)制存放在密鑰數(shù)據(jù)庫(kù)系統(tǒng)中，當(dāng)證書(shū)簽發(fā)中心申請(qǐng)密鑰時(shí)，系統(tǒng)從密鑰數(shù)據(jù)庫(kù)系統(tǒng)中獲取密鑰解密后交給證書(shū)簽發(fā)中心，以提高系統(tǒng)的服務(wù)效率。 簽發(fā)中心（ CA）證書(shū)簽發(fā)中心，簡(jiǎn)稱 CA，是 PKI/CA 體系的核心。提供證書(shū)的簽發(fā)和管理功能，代表用戶向密鑰管理中心發(fā)出密鑰產(chǎn)生、恢復(fù)請(qǐng)求，為用戶簽發(fā)證書(shū)。. 證書(shū)管理證書(shū)管理主要包括證書(shū)的簽發(fā)、延期、更新、凍結(jié)、解凍、證書(shū)廢除、證書(shū)恢復(fù)、證書(shū)查詢、證書(shū)實(shí)體查詢及證書(shū)撤銷列表的發(fā)布等操作。1) 證書(shū)簽發(fā) 9 系統(tǒng)可簽發(fā)各種實(shí)體證書(shū)。2) 證書(shū)延期能夠根據(jù)要求延期證書(shū)。包括由證書(shū)注冊(cè)審核中心系統(tǒng)發(fā)起的證書(shū)延期功能；由用戶發(fā)起的在線證書(shū)延期申請(qǐng)功能3) 證書(shū)更新能夠根據(jù)要求，實(shí)現(xiàn)證書(shū)的更新。包括證書(shū)用戶信息更新，用戶的密鑰的更新等。4) 證書(shū)的凍結(jié)和解凍該功能主要由管理方（證書(shū)注冊(cè)審核中心系統(tǒng)操作員、證書(shū)簽發(fā)中心管理員等）發(fā)起，對(duì)證書(shū)進(jìn)行凍結(jié)，使證書(shū)列入黑名單，暫時(shí)因?yàn)槭Ф鵁o(wú)法使用；同時(shí)，管理方也可對(duì)被凍結(jié)的證書(shū)進(jìn)行解凍操作，使該證書(shū)恢復(fù)正常的使用功能。5) 證書(shū)廢除吊銷實(shí)體證書(shū)，分為證書(shū)簽發(fā)中心強(qiáng)制廢除和用戶申請(qǐng)廢除。由于以下原因，證書(shū)應(yīng)該被作廢：? 密鑰泄密。證書(shū)的私鑰泄密，或者懷疑泄密。為防止錯(cuò)誤使用或被盜用，其對(duì)應(yīng)的證書(shū)應(yīng)該被作廢。系統(tǒng)簽發(fā)的 CRL 將指出證書(shū)未泄密的最后日期。? 從屬變更。某些關(guān)于證書(shū)的信息變更，但不懷疑泄密。? 密鑰已被取代。舊密鑰對(duì)已被新密鑰對(duì)取代，但不懷疑泄密。? 終止使用。該密鑰對(duì)已不再用于原來(lái)的用途，但不懷疑泄密。 10 ? 暫時(shí)不使用。證書(shū)持有者由于某種原因短期內(nèi)無(wú)法使用證書(shū)。? 未說(shuō)明的原因。因?yàn)椴煌谏鲜龇诸愔械娜魏卧颍撁荑€對(duì)不再需要。? 當(dāng)一個(gè)證書(shū)作廢時(shí)，必須有上述六個(gè)原因之一。6) 證書(shū)恢復(fù)證書(shū)簽發(fā)中心根據(jù)系統(tǒng)策略，由證書(shū)注冊(cè)審核中心系統(tǒng)管理員將廢除原因?yàn)椤皶簳r(shí)不使用”的已廢除的用戶證書(shū)進(jìn)行恢復(fù)操作。注：實(shí)體證書(shū)包括個(gè)人用戶證書(shū)，設(shè)備證書(shū)，站點(diǎn)證書(shū)、代碼簽名證書(shū)等。7) 證書(shū)實(shí)體查詢系統(tǒng)支持證書(shū)實(shí)體查詢功能，用戶可以通過(guò)查詢條件可以查詢出符合條件的證書(shū)，并可將證書(shū)(公鑰證書(shū)) 保存到本地。8) 證書(shū)注銷列表發(fā)布CA 服務(wù)器可以根據(jù)發(fā)布策略定期簽發(fā)標(biāo)準(zhǔn)格式的證書(shū)注銷列表，發(fā)布方式可以為文件方式或者目錄服務(wù)方式，發(fā)布周期可以由管理員靈活定制。證書(shū)注銷列表的發(fā)布采用分布點(diǎn)策略，保證證書(shū)注銷列表的大小在指定的范圍內(nèi)，方便用戶查詢和下載。. 模板管理ETCA 自帶十幾種標(biāo)準(zhǔn)證書(shū)模板及標(biāo)準(zhǔn)證書(shū)擴(kuò)展域，滿足大多數(shù)的證書(shū)簽發(fā)需求。同時(shí)系統(tǒng)支持自定義證書(shū)模板和自定義擴(kuò)展域，用戶可以靈活定制各種證書(shū)模板，從而簽發(fā)出滿足不同需求的數(shù)字證書(shū)。 11 ? 證書(shū)模板管理證書(shū)模板用于定義證書(shū)的有效期、密鑰類型、密鑰長(zhǎng)度、是否需要發(fā)布、發(fā)布的方式、擴(kuò)展域及擴(kuò)展域的值等信息。用戶可以根據(jù)實(shí)際情況自由組合證書(shū)相關(guān)內(nèi)容，自定義各種類型的證書(shū)模板，并對(duì)其加以管理。主要功能有：1) 瀏覽模板列出當(dāng)前系統(tǒng)中定義的所有證書(shū)模板的詳細(xì)信息。2) 添加模板為系統(tǒng)增加一個(gè)證書(shū)模板的定義。3) 修改模板修改系統(tǒng)中已經(jīng)存在的一個(gè)證書(shū)模板。4) 刪除模板刪除一個(gè)已經(jīng)定義好的但是還沒(méi)有被使用的證書(shū)模板。5) 注銷模板注銷已經(jīng)被使用過(guò)的一個(gè)證書(shū)模板，該證書(shū)模板以后將不能再使用。? 自定義擴(kuò)展域管理用戶可以根據(jù)自己的實(shí)際需要自定義證書(shū)擴(kuò)展域，并應(yīng)用于證書(shū)模板之中。1) 瀏覽自定義擴(kuò)展列出當(dāng)前系統(tǒng)中定義的所有自定義擴(kuò)展域，并可以查看詳細(xì)信息。2) 添加自定義擴(kuò)展為系統(tǒng)增加一個(gè)自定義擴(kuò)展域的定義。 12 3) 修改自定義擴(kuò)展修改已經(jīng)存在的一個(gè)自定義擴(kuò)展域。4) 刪除自定義擴(kuò)展刪除一個(gè)已經(jīng)定義好的但是還沒(méi)有被某個(gè)證書(shū)模板使用的自定義擴(kuò)展域。5) 注銷自定義擴(kuò)展注銷已經(jīng)被使用過(guò)的一個(gè)自定義擴(kuò)展域，以后創(chuàng)建證書(shū)模板的時(shí)候?qū)⒉辉偈褂迷摂U(kuò)展。. 用戶服務(wù)? 個(gè)人證書(shū)管理服務(wù)簽發(fā)中心可面向用戶提供用于個(gè)人證書(shū)管理的客戶端軟件，能幫助用戶管理和維護(hù)自己的數(shù)字證書(shū)，同時(shí)能提供個(gè)人證書(shū)定制服務(wù)；軟件的管理界面友好、操作簡(jiǎn)單，方便用戶使用。? 用戶證書(shū)統(tǒng)計(jì)報(bào)表服務(wù)簽發(fā)中心可自動(dòng)搜集關(guān)于證書(shū)的請(qǐng)求、狀態(tài)等信息，并加以必要的分析和統(tǒng)計(jì)，形成可視報(bào)表，以便響應(yīng)用戶的服務(wù)請(qǐng)求。? 用戶證書(shū)查詢服務(wù)可對(duì)用戶證書(shū)基本信息、附加信息、自定義擴(kuò)展項(xiàng)信息等進(jìn)行查詢，查詢支持海量數(shù)據(jù)分頁(yè)處理。? 用戶服務(wù)功能的擴(kuò)展簽發(fā)中心可根據(jù)用戶業(yè)務(wù)需求及個(gè)性化需求，方便的增加新的服務(wù)功能模塊。 13 注冊(cè)中心（RA）證書(shū)注冊(cè)審核中心，簡(jiǎn)稱 RA，負(fù)責(zé)證書(shū)申請(qǐng)、審核、注銷、更新、下載等服務(wù)，是簽發(fā)系統(tǒng)的對(duì)外服務(wù)窗口，是簽發(fā)中心的證書(shū)發(fā)放、管理等業(yè)務(wù)的延伸。主要負(fù)責(zé)所有證書(shū)申請(qǐng)者的信息錄入、審核等工作，同時(shí)對(duì)發(fā)放的證書(shū)完成相對(duì)應(yīng)的管理功能。. 用戶管理? 注冊(cè)用戶用戶可以在線地進(jìn)行注冊(cè)，注冊(cè)中心系統(tǒng)操作員也可以代用戶進(jìn)行注冊(cè)操作。注冊(cè)用戶時(shí)須提供必要的用戶信息。? 批量注冊(cè)用戶注冊(cè)中心系統(tǒng)操作員可以將準(zhǔn)備好的一批用戶信息注冊(cè)到系統(tǒng)中去。這一功能適用于將現(xiàn)有的用戶信息導(dǎo)入到系統(tǒng)中。? 注銷用戶用戶可以在線地將自己從系統(tǒng)中注銷，注冊(cè)中心系統(tǒng)操作員也可以代普通用戶進(jìn)行注銷操作。? 更新用戶用戶可以在線地更新自己的注冊(cè)信息，注冊(cè)中心系統(tǒng)操作員也可以代用戶進(jìn)行更新操作。? 用戶歸檔系統(tǒng)可對(duì)用戶信息進(jìn)行歸檔處理。? 審核用戶管理操作 14 根據(jù)應(yīng)用場(chǎng)合的要求，需要對(duì)注冊(cè)用戶、批量注冊(cè)用戶、注銷用戶、更新用戶操作進(jìn)行審核，以判斷所提供的用戶信息及操作本身的正確性和合法性。審核工作由證書(shū)注冊(cè)審核中心系統(tǒng)審核員完成。. 證書(shū)管理? 證書(shū)申請(qǐng)RA 提供基于 WEB 的申請(qǐng)方式，簡(jiǎn)單易用，幫助用戶方便、安全、快捷的進(jìn)行證書(shū)申請(qǐng)。用戶可以根據(jù)自己的需要選擇相應(yīng)的證書(shū)模板進(jìn)行證書(shū)申請(qǐng)操作，如果申請(qǐng)通過(guò)審核，系統(tǒng)將返回下載證書(shū)所需的憑證（參考號(hào)和授權(quán)碼） 。RA 提供在線和離線兩種證書(shū)申請(qǐng)方式。在線方式允許申請(qǐng)者通過(guò)網(wǎng)絡(luò)登錄到注冊(cè)系統(tǒng)申請(qǐng)證書(shū)；離線方式要求申請(qǐng)者到指定的注冊(cè)機(jī)構(gòu)申請(qǐng)證書(shū)。申請(qǐng)者注冊(cè)成功后可以在線地向系統(tǒng)提出證書(shū)申請(qǐng)，以請(qǐng)求注冊(cè)審核中心系統(tǒng)為其簽發(fā)證書(shū)。證書(shū)注冊(cè)審核中心系統(tǒng)操作員也可以代用戶發(fā)出