【文章內(nèi)容簡介】 用服務器資源即可，無需調整網(wǎng)絡架構，實現(xiàn)模塊化部署，極大的簡化了應用系統(tǒng)投產(chǎn)的時間與復雜度。. 方案投入產(chǎn)品名稱功能數(shù)量說明NetSign3300簽名/驗簽3（2生產(chǎn)，1開發(fā)）NetOpti2200LT鏈路負載2NSAE2500NBSSL+服務器負載3（2生產(chǎn)，1開發(fā)）NetOpti2200NL服務器負載2NetSign3300簽名服務器3（2生產(chǎn)，1開發(fā)）PC客戶端簽名控件Chrom客戶端簽名標準版僅支持IEPC客戶端簽名控件FireFox客戶端簽名標準版僅支持IE說明1：上述報價并不包含國聯(lián)人壽所需的國際第三方證書（如Versign）價格，需國聯(lián)人壽自行提供第三方的SSL服務器站點證書。說明2：本方案中均按照每一個系統(tǒng)所使用的產(chǎn)品，實際上，信安世紀產(chǎn)品均支持多服務，即一套產(chǎn)品均可以為多個系統(tǒng)使用(在網(wǎng)絡以及安全策略允許的前提下)。如簽名服務器，一套簽名服務器即可為電子保單使用，也可為網(wǎng)上商城所使用。 OA系統(tǒng) 說明：對于內(nèi)網(wǎng)的應用而言，可以通過NetCertCA系統(tǒng)所頒發(fā)的數(shù)字證書與微軟的AD域控進行集成，在用戶登錄AD域控時，通過數(shù)字證書進行驗證，從而實現(xiàn)身份認證。也可以與單點登陸系統(tǒng)進行對接，用戶在登陸單點登陸系統(tǒng)時，需要出示數(shù)字證書，通過驗證后才可登陸單點登陸系統(tǒng)?；蛘邌为毰cOA系統(tǒng)進行對接，完成身份認證，數(shù)據(jù)加密，數(shù)據(jù)完整性校驗等。無論與AD、單點登陸、還是單獨與OA系統(tǒng)進行集成，其實現(xiàn)原理基本相同，本文僅描述與OA系統(tǒng)對接過程。.. 典型需求. CA系統(tǒng)n 同步OA系統(tǒng)人員的相關的信息。n 提供數(shù)字證書的申請、作廢、更新和查詢等相關操作。n 證書申請和證書更新實現(xiàn)一步操作，成功后將數(shù)字證書發(fā)送到人員郵箱中，由用戶自行下載安裝數(shù)字證書。n 證書作廢實現(xiàn)一步操作，成功后刪除該員工信息。n 提供數(shù)字證書查詢功能，查詢RA數(shù)據(jù)庫中已有的員工相關信息。n 提供日志查詢功能，對操作RA的操作員所做的功能操作都要有日志記錄；同時提供日志查詢界面n 需要將RA應用系統(tǒng)集成在國聯(lián)金融OA系統(tǒng)中，并且由國聯(lián)金融OA系統(tǒng)的管理員來操作數(shù)字證書管理的相關操作；同時，保證其訪問RA應用系統(tǒng)的安全性。n 提供OA系統(tǒng)用戶自主更新和賬戶關閉接口，完成用戶自主更新和賬戶關閉操作。. 其他n 通過技術手段實現(xiàn)數(shù)據(jù)傳輸時的機密性；n 通過技術手段時間數(shù)據(jù)傳輸過程中的完整性；n 通過技術手段時間操作者對所做操作的抗抵賴性；. 系統(tǒng)概述國聯(lián)金融自建CA， RA應用系統(tǒng)集成于國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)的管理員來管理和操作數(shù)字證書的申請、更新和作廢，以及證書和日志查詢操作；同時，RA應用系統(tǒng)提供OA系統(tǒng)用戶自主更新證書和關閉賬戶的接口，以完成用戶證書的更新和賬戶關閉的操作。同時，依托于PKI技術，實現(xiàn)數(shù)據(jù)傳輸時的機密性以及完整性和抗抵賴性。. 系統(tǒng)架構. 整體架構圖n 通過NSAENB設備，一方面構建基于SSL的安全通道，確保使用者使用OA時的機密性；同時，通過NSAENB的負載均衡功能，可以完成對OA系統(tǒng)的高可靠性保障；n 通過NetCertCA系統(tǒng)為用戶頒發(fā)數(shù)字證書；n 通過數(shù)字簽名系統(tǒng)完成數(shù)字簽名，實現(xiàn)完整性以及抗抵賴性。由于本方案中，NetCertCA與OA系統(tǒng)集成要求較為緊密，下文主要描述NetCertCA系統(tǒng)：. NetCert CA系統(tǒng)架構如下圖所示：證書管理系統(tǒng)由信安世紀公司負責開發(fā)和實施，通過自建CA頒發(fā)行內(nèi)員工數(shù)字證書，數(shù)字證書用于行內(nèi)OA系統(tǒng)的登陸憑證。系統(tǒng)管理員通過證書管理系統(tǒng)為行內(nèi)每位員工申請證書，證書會自動發(fā)送到員工行內(nèi)郵箱，員工安裝所申請的證書即可完成OA系統(tǒng)登陸。員工還可通過證書管理系統(tǒng)來進行證書的作廢、更新等證書管理操作。. 流程介紹. 數(shù)字管理流程n 證書申請流程：在國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)管理員登陸RA系統(tǒng)，選擇證書申請操作，輸入員工編號、員工姓名以及選擇部門等查詢條件，通過OA系統(tǒng)提供的視圖查詢得到員工的信息（員工編號、員工姓名、部門編號、部門名稱和郵件地址）；確認員工信息后，進行證書申請操作，證書申請成功，則將數(shù)字證書發(fā)送到員工的郵箱中；如果證書申請失敗，系統(tǒng)能夠給出錯誤提示和要求信息。提供 對OA系統(tǒng)新增加未申請證書人員查詢功能，以及非正常操作導致的信息已確認但沒有申請證書的查詢功能。n 證書更新流程：在國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)管理員登陸RA系統(tǒng)，選擇證書更新操作，輸入員工編號、員工姓名、證書的起止日期以及選擇部門等查詢條件，查詢得到員工證書的信息（員工編號、員工姓名、部門名稱和郵件地址）；確認員工信息后，進行證書更新操作，證書更新成功，則將數(shù)字證書發(fā)送到員工的郵箱中；如果證書更新失敗，系統(tǒng)能夠給出錯誤提示和要求提示信息。 提供人員證書30即將到期提醒和查詢以及以日期（天）查詢即將到期的人員證書。n 證書作廢流程：在國聯(lián)金融OA系統(tǒng)中，由OA系統(tǒng)管理員登陸RA系統(tǒng)，選擇證書作廢操作，輸入員工編號、員工姓名以及選擇部門（OA系統(tǒng)提供部門信息的下拉列表框）等查詢條件，查詢得到員工證書的信息（員工編號、員工姓名、部門名稱和郵件地址）；確認員工信息后，進行證書作廢操作，證書作廢成功，返回成功信息；如果證書作廢失敗，系統(tǒng)能夠給出錯誤提示和要求提示信息。. 應用系統(tǒng)使用流程1) 客戶根據(jù)需求使用瀏覽器訪問OA系統(tǒng)；2) 用戶完成請求后，訪問至信安世紀NSAENB設備，實現(xiàn)SSL卸載，由于在內(nèi)網(wǎng)使用，使用環(huán)境較為安全，建議采用單向SSL即可。3) NSAENB設備為AllinOne設備，在本項目中同時提供SSL與負載均衡功能，SSL加速設備通過對SSL的數(shù)據(jù)分析之后，將訪問流量發(fā)送給負載均衡模塊，負載均衡模塊按照不同的應用類型(服務端口)或者訪問路徑(URL)等信息，并且根據(jù)不同的算法，將流量智能的分配到不同的后臺OA服務器上。4) 在一些涉及到領導審批等重要操作環(huán)節(jié)，客戶需要通過ActiveX控件將交易的信息進行數(shù)字簽名，并將這些簽名信息通過SSL加密隧道一層一層的傳輸?shù)綉梅掌魃?，應用服務器通過API的調用和簽名服務器進行交互，由簽名服務器進行驗簽操作，完成后交給應用存檔，以實操作者對簽名操作的抗抵賴性。. 方案優(yōu)勢n 完善的數(shù)字證書管理功能：提供數(shù)字證書的申請、下載、更新、凍結、解凍、作廢等功能，為數(shù)字證書提供完善的生命周期管理支持。n 豐富的數(shù)字證書應用類型：產(chǎn)品自帶簽名證書、加密證書、SSL 站點證書等多種數(shù)字證書模板，用戶還可以通過證書模板管理功能靈活配置各種算法、用途和格式的數(shù)字證書。n 與管理方式高度融合的特性：基于RADS 開發(fā)組件定制開發(fā)的RA 系統(tǒng)可實現(xiàn)與證書管理和用戶管理的高度融合。n 安全的軟件設計：系統(tǒng)采用安全的結構設計，各模塊之間通訊使用獨立的安全傳輸通道。在權限管理方面采取分權制衡的設計思路。n 大規(guī)模應用實踐檢驗：目前世界上發(fā)證數(shù)量最大的兩大CA 系統(tǒng)，中國工商銀行和中國農(nóng)業(yè)銀行CA 系統(tǒng)均采用的NetCert 產(chǎn)品系列，實踐經(jīng)驗的積累使得NetCert 的穩(wěn)定性和兼容性非常優(yōu)秀。. 方案投入產(chǎn)品名稱功能數(shù)量說明NetCert(含CA、RA、LDAP、NetCertEnroll)數(shù)字證書生成系統(tǒng)1NSAE2500NBSSL+服務器負載3（2生產(chǎn)，1開發(fā)）NetSign3300簽名服務器3（2生產(chǎn)，1開發(fā)）NetCertRA開發(fā)費用（如用戶同步、證書自助更新等等）說明：本方案中報價均按照每一個系統(tǒng)所使用的產(chǎn)品進行報價，實際上，信安世紀產(chǎn)品均支持多服務，即一套產(chǎn)品均可以為多個系統(tǒng)使用(在網(wǎng)絡以及安