【文章內(nèi)容簡介】 用服務(wù)器資源即可，無需調(diào)整網(wǎng)絡(luò)架構(gòu)，實(shí)現(xiàn)模塊化部署，極大的簡化了應(yīng)用系統(tǒng)投產(chǎn)的時(shí)間與復(fù)雜度。. 方案投入產(chǎn)品名稱功能數(shù)量說明NetSign3300簽名/驗(yàn)簽3（2生產(chǎn)，1開發(fā)）NetOpti2200LT鏈路負(fù)載2NSAE2500NBSSL+服務(wù)器負(fù)載3（2生產(chǎn)，1開發(fā)）NetOpti2200NL服務(wù)器負(fù)載2NetSign3300簽名服務(wù)器3（2生產(chǎn)，1開發(fā)）PC客戶端簽名控件Chrom客戶端簽名標(biāo)準(zhǔn)版僅支持IEPC客戶端簽名控件FireFox客戶端簽名標(biāo)準(zhǔn)版僅支持IE說明1：上述報(bào)價(jià)并不包含國聯(lián)人壽所需的國際第三方證書（如Versign）價(jià)格，需國聯(lián)人壽自行提供第三方的SSL服務(wù)器站點(diǎn)證書。說明2：本方案中均按照每一個(gè)系統(tǒng)所使用的產(chǎn)品，實(shí)際上，信安世紀(jì)產(chǎn)品均支持多服務(wù)，即一套產(chǎn)品均可以為多個(gè)系統(tǒng)使用(在網(wǎng)絡(luò)以及安全策略允許的前提下)。如簽名服務(wù)器，一套簽名服務(wù)器即可為電子保單使用，也可為網(wǎng)上商城所使用。 OA系統(tǒng) 說明：對于內(nèi)網(wǎng)的應(yīng)用而言，可以通過NetCertCA系統(tǒng)所頒發(fā)的數(shù)字證書與微軟的AD域控進(jìn)行集成，在用戶登錄AD域控時(shí)，通過數(shù)字證書進(jìn)行驗(yàn)證，從而實(shí)現(xiàn)身份認(rèn)證。也可以與單點(diǎn)登陸系統(tǒng)進(jìn)行對接，用戶在登陸單點(diǎn)登陸系統(tǒng)時(shí)，需要出示數(shù)字證書，通過驗(yàn)證后才可登陸單點(diǎn)登陸系統(tǒng)?；蛘邌为?dú)與OA系統(tǒng)進(jìn)行對接，完成身份認(rèn)證，數(shù)據(jù)加密，數(shù)據(jù)完整性校驗(yàn)等。無論與AD、單點(diǎn)登陸、還是單獨(dú)與OA系統(tǒng)進(jìn)行集成，其實(shí)現(xiàn)原理基本相同，本文僅描述與OA系統(tǒng)對接過程。.. 典型需求. CA系統(tǒng)n 同步OA系統(tǒng)人員的相關(guān)的信息。n 提供數(shù)字證書的申請、作廢、更新和查詢等相關(guān)操作。n 證書申請和證書更新實(shí)現(xiàn)一步操作，成功后將數(shù)字證書發(fā)送到人員郵箱中，由用戶自行下載安裝數(shù)字證書。n 證書作廢實(shí)現(xiàn)一步操作，成功后刪除該員工信息。n 提供數(shù)字證書查詢功能，查詢RA數(shù)據(jù)庫中已有的員工相關(guān)信息。n 提供日志查詢功能，對操作RA的操作員所做的功能操作都要有日志記錄；同時(shí)提供日志查詢界面n 需要將RA應(yīng)用系統(tǒng)集成在國聯(lián)金融OA系統(tǒng)中，并且由國聯(lián)金融OA系統(tǒng)的管理員來操作數(shù)字證書管理的相關(guān)操作；同時(shí)，保證其訪問RA應(yīng)用系統(tǒng)的安全性。n 提供OA系統(tǒng)用戶自主更新和賬戶關(guān)閉接口，完成用戶自主更新和賬戶關(guān)閉操作。. 其他n 通過技術(shù)手段實(shí)現(xiàn)數(shù)據(jù)傳輸時(shí)的機(jī)密性；n 通過技術(shù)手段時(shí)間數(shù)據(jù)傳輸過程中的完整性；n 通過技術(shù)手段時(shí)間操作者對所做操作的抗抵賴性；. 系統(tǒng)概述國聯(lián)金融自建CA， RA應(yīng)用系統(tǒng)集成于國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)的管理員來管理和操作數(shù)字證書的申請、更新和作廢，以及證書和日志查詢操作；同時(shí)，RA應(yīng)用系統(tǒng)提供OA系統(tǒng)用戶自主更新證書和關(guān)閉賬戶的接口，以完成用戶證書的更新和賬戶關(guān)閉的操作。同時(shí)，依托于PKI技術(shù)，實(shí)現(xiàn)數(shù)據(jù)傳輸時(shí)的機(jī)密性以及完整性和抗抵賴性。. 系統(tǒng)架構(gòu). 整體架構(gòu)圖n 通過NSAENB設(shè)備，一方面構(gòu)建基于SSL的安全通道，確保使用者使用OA時(shí)的機(jī)密性；同時(shí)，通過NSAENB的負(fù)載均衡功能，可以完成對OA系統(tǒng)的高可靠性保障；n 通過NetCertCA系統(tǒng)為用戶頒發(fā)數(shù)字證書；n 通過數(shù)字簽名系統(tǒng)完成數(shù)字簽名，實(shí)現(xiàn)完整性以及抗抵賴性。由于本方案中，NetCertCA與OA系統(tǒng)集成要求較為緊密，下文主要描述NetCertCA系統(tǒng)：. NetCert CA系統(tǒng)架構(gòu)如下圖所示：證書管理系統(tǒng)由信安世紀(jì)公司負(fù)責(zé)開發(fā)和實(shí)施，通過自建CA頒發(fā)行內(nèi)員工數(shù)字證書，數(shù)字證書用于行內(nèi)OA系統(tǒng)的登陸憑證。系統(tǒng)管理員通過證書管理系統(tǒng)為行內(nèi)每位員工申請證書，證書會(huì)自動(dòng)發(fā)送到員工行內(nèi)郵箱，員工安裝所申請的證書即可完成OA系統(tǒng)登陸。員工還可通過證書管理系統(tǒng)來進(jìn)行證書的作廢、更新等證書管理操作。. 流程介紹. 數(shù)字管理流程n 證書申請流程：在國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)管理員登陸RA系統(tǒng)，選擇證書申請操作，輸入員工編號(hào)、員工姓名以及選擇部門等查詢條件，通過OA系統(tǒng)提供的視圖查詢得到員工的信息（員工編號(hào)、員工姓名、部門編號(hào)、部門名稱和郵件地址）；確認(rèn)員工信息后，進(jìn)行證書申請操作，證書申請成功，則將數(shù)字證書發(fā)送到員工的郵箱中；如果證書申請失敗，系統(tǒng)能夠給出錯(cuò)誤提示和要求信息。提供 對OA系統(tǒng)新增加未申請證書人員查詢功能，以及非正常操作導(dǎo)致的信息已確認(rèn)但沒有申請證書的查詢功能。n 證書更新流程：在國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)管理員登陸RA系統(tǒng)，選擇證書更新操作，輸入員工編號(hào)、員工姓名、證書的起止日期以及選擇部門等查詢條件，查詢得到員工證書的信息（員工編號(hào)、員工姓名、部門名稱和郵件地址）；確認(rèn)員工信息后，進(jìn)行證書更新操作，證書更新成功，則將數(shù)字證書發(fā)送到員工的郵箱中；如果證書更新失敗，系統(tǒng)能夠給出錯(cuò)誤提示和要求提示信息。 提供人員證書30即將到期提醒和查詢以及以日期（天）查詢即將到期的人員證書。n 證書作廢流程：在國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)管理員登陸RA系統(tǒng)，選擇證書作廢操作，輸入員工編號(hào)、員工姓名以及選擇部門（OA系統(tǒng)提供部門信息的下拉列表框）等查詢條件，查詢得到員工證書的信息（員工編號(hào)、員工姓名、部門名稱和郵件地址）；確認(rèn)員工信息后，進(jìn)行證書作廢操作，證書作廢成功，返回成功信息；如果證書作廢失敗，系統(tǒng)能夠給出錯(cuò)誤提示和要求提示信息。. 應(yīng)用系統(tǒng)使用流程1) 客戶根據(jù)需求使用瀏覽器訪問OA系統(tǒng)；2) 用戶完成請求后，訪問至信安世紀(jì)NSAENB設(shè)備，實(shí)現(xiàn)SSL卸載，由于在內(nèi)網(wǎng)使用，使用環(huán)境較為安全，建議采用單向SSL即可。3) NSAENB設(shè)備為AllinOne設(shè)備，在本項(xiàng)目中同時(shí)提供SSL與負(fù)載均衡功能，SSL加速設(shè)備通過對SSL的數(shù)據(jù)分析之后，將訪問流量發(fā)送給負(fù)載均衡模塊，負(fù)載均衡模塊按照不同的應(yīng)用類型(服務(wù)端口)或者訪問路徑(URL)等信息，并且根據(jù)不同的算法，將流量智能的分配到不同的后臺(tái)OA服務(wù)器上。4) 在一些涉及到領(lǐng)導(dǎo)審批等重要操作環(huán)節(jié)，客戶需要通過ActiveX控件將交易的信息進(jìn)行數(shù)字簽名，并將這些簽名信息通過SSL加密隧道一層一層的傳輸?shù)綉?yīng)用服務(wù)器上，應(yīng)用服務(wù)器通過API的調(diào)用和簽名服務(wù)器進(jìn)行交互，由簽名服務(wù)器進(jìn)行驗(yàn)簽操作，完成后交給應(yīng)用存檔，以實(shí)操作者對簽名操作的抗抵賴性。. 方案優(yōu)勢n 完善的數(shù)字證書管理功能：提供數(shù)字證書的申請、下載、更新、凍結(jié)、解凍、作廢等功能，為數(shù)字證書提供完善的生命周期管理支持。n 豐富的數(shù)字證書應(yīng)用類型：產(chǎn)品自帶簽名證書、加密證書、SSL 站點(diǎn)證書等多種數(shù)字證書模板，用戶還可以通過證書模板管理功能靈活配置各種算法、用途和格式的數(shù)字證書。n 與管理方式高度融合的特性：基于RADS 開發(fā)組件定制開發(fā)的RA 系統(tǒng)可實(shí)現(xiàn)與證書管理和用戶管理的高度融合。n 安全的軟件設(shè)計(jì)：系統(tǒng)采用安全的結(jié)構(gòu)設(shè)計(jì)，各模塊之間通訊使用獨(dú)立的安全傳輸通道。在權(quán)限管理方面采取分權(quán)制衡的設(shè)計(jì)思路。n 大規(guī)模應(yīng)用實(shí)踐檢驗(yàn)：目前世界上發(fā)證數(shù)量最大的兩大CA 系統(tǒng)，中國工商銀行和中國農(nóng)業(yè)銀行CA 系統(tǒng)均采用的NetCert 產(chǎn)品系列，實(shí)踐經(jīng)驗(yàn)的積累使得NetCert 的穩(wěn)定性和兼容性非常優(yōu)秀。. 方案投入產(chǎn)品名稱功能數(shù)量說明NetCert(含CA、RA、LDAP、NetCertEnroll)數(shù)字證書生成系統(tǒng)1NSAE2500NBSSL+服務(wù)器負(fù)載3（2生產(chǎn)，1開發(fā)）NetSign3300簽名服務(wù)器3（2生產(chǎn)，1開發(fā)）NetCertRA開發(fā)費(fèi)用（如用戶同步、證書自助更新等等）說明：本方案中報(bào)價(jià)均按照每一個(gè)系統(tǒng)所使用的產(chǎn)品進(jìn)行報(bào)價(jià)，實(shí)際上，信安世紀(jì)產(chǎn)品均支持多服務(wù)，即一套產(chǎn)品均可以為多個(gè)系統(tǒng)使用(在網(wǎng)絡(luò)以及安