用友nc安全解決方案-資料下載頁
2025-06-07 03:03本頁面
【正文】 存到USB Key中 CA系統(tǒng)實施部署流程（1） 可通過VPN設(shè)備來實現(xiàn)對數(shù)據(jù)傳輸過程中的安全保護(hù)； （2）為客戶設(shè)計數(shù)字證書申請流程和證書上顯示的個人信息；（在現(xiàn)場實施之前，天威誠信實施人員需要預(yù)先定制證書模板）；（3）為客戶進(jìn)行NC系統(tǒng)對天威誠信數(shù)字證書支持的集成；即，由于天威誠信已與NC系統(tǒng)進(jìn)行了接口集成，故只需修改NC系統(tǒng)的調(diào)用配置，支持天威誠信的證書即可；（NC系統(tǒng)當(dāng)中證書的具體應(yīng)用節(jié)點(diǎn)是由用友工程師協(xié)助完成）；（4）NC系統(tǒng)在接口和數(shù)字證書的使用上有明確的規(guī)范和標(biāo)準(zhǔn)，需要在使用數(shù)字證書前通過手工綁定的方式，將“用戶名”和數(shù)字證書捆綁在一起，天威誠信提供進(jìn)行綁定的工具；（5）完成全部實施工作。 托管模式意義（1）從技術(shù)層面上講：天威誠信數(shù)字證書實現(xiàn)的數(shù)字簽名技術(shù)可以通過目前最安全的PKI技術(shù)上實現(xiàn)以下功能：數(shù)字簽名：對關(guān)鍵業(yè)務(wù)數(shù)據(jù)進(jìn)行簽名，保證機(jī)密性、完整性和不可抵賴性。安全訪問：替換掉原有安全級別較低的“用戶名/口令”方式，防止非授權(quán)用戶的惡意攻擊，同時不能破壞 NC 原有的權(quán)限管理機(jī)制。信息加密：通過高強(qiáng)度的加密算法形成安全的SSL加密通道，防竊取。（2）從法律層面上講：天威誠信率先獲得了《電子認(rèn)證服務(wù)許可證》，其所頒發(fā)的數(shù)字證書得到中華人民共和國《電子簽名法》的認(rèn)可和保護(hù)。NCERP使用天威誠信數(shù)字證書服務(wù)，其電子化簽名即和手寫簽名一樣可以作為法律上有效的證據(jù)。有效的滿足了NCERP資金、財務(wù)等敏感信息對法律方面的安全需求。 CA技術(shù)與VPN相結(jié)合對于采用標(biāo)準(zhǔn)協(xié)議實現(xiàn)的VPN設(shè)備，由于VPN設(shè)備對數(shù)字證書的支持，根據(jù)天威誠信的經(jīng)驗，我們采用的方案是把PKI/CA技術(shù)與VPN應(yīng)用系統(tǒng)相結(jié)合，解決VPN應(yīng)用中存在的安全問題，確保VPN技術(shù)在互聯(lián)網(wǎng)上應(yīng)用的安全。我們可以通過CA認(rèn)證系統(tǒng)為VPN設(shè)備頒發(fā)數(shù)字證書，為客戶端頒發(fā)個人證書，利用天威誠信的CA系統(tǒng)進(jìn)行相應(yīng)的數(shù)字證書發(fā)放和管理。證書的加密和驗證數(shù)據(jù)在這些設(shè)備之間進(jìn)行傳送，產(chǎn)生了一個安全的虛擬專用網(wǎng)絡(luò)。 VPN總體架構(gòu)天威誠信通過為VPN系統(tǒng)建立一套CA認(rèn)證系統(tǒng)，為VPN系統(tǒng)用戶發(fā)放數(shù)字證書，用戶使用數(shù)字證書登錄VPN系統(tǒng)，實現(xiàn)基于數(shù)字證書的VPN身份認(rèn)證。本方案將采用天威誠信的iTrusCA系統(tǒng)為VPN建設(shè)CA認(rèn)證系統(tǒng)?？傮w框架圖如下：一、 采用天威誠信iTrusCA系統(tǒng)，建設(shè)一個標(biāo)準(zhǔn)的CA認(rèn)證系統(tǒng)，為VPN設(shè)備和用戶頒發(fā)數(shù)字證書，提供安全認(rèn)證服務(wù)。二、 利用VPN體系架構(gòu)，通過標(biāo)準(zhǔn)協(xié)議在VPN應(yīng)用中集成數(shù)字證書。用戶在登錄到VPN系統(tǒng)時，必須提交CA認(rèn)證系統(tǒng)頒發(fā)的用戶證書，系統(tǒng)通過用戶證書來實現(xiàn)對VPN用戶的身份認(rèn)證和訪問控制。用戶證書保存在最終用戶的USB令牌中，USB令牌是一種安全的證書存儲介質(zhì)，可以保證保存在USB令牌上的證書私鑰不能夠被導(dǎo)出。另外，使用USB令牌，員工可以在外地或網(wǎng)吧，隨時隨地的通過VPN客戶端訪問企業(yè)內(nèi)部的業(yè)務(wù)系統(tǒng)，提交保存在USB令牌上的用戶證書，實現(xiàn)VPN的安全登錄。 VPN安全登錄實現(xiàn)原理目前，使用VPN可以采用兩種方式，即使用證書的方式和不使用證書的方式。對于不使用證書的方式建立的VPN存在下列風(fēng)險：（1） 不使用證書的方式建立VPN時，是基于“用戶名和口令”的認(rèn)證，我們知道“用戶名和口令”的認(rèn)證強(qiáng)度低，存在很多安全弱點(diǎn)，無法滿足較高的安全需求；（2） 其次，不使用證書的方式存在VPN密鑰分發(fā)的困難，VPN密鑰是一個對稱密鑰，用來對VPN鏈路層數(shù)據(jù)的加密。而目前比較通常的做法是在配置VPN時，就在VPN客戶端和VPN服務(wù)端（VPN網(wǎng)關(guān)）之間配置一個共享的對稱密鑰。但是這種方式的對稱密鑰的安全性不高，很容易被泄漏。為了提高這種方式的安全性，需要管理員不定期的對共享的對稱密鑰進(jìn)行更換，但是，由于更換對稱密鑰的操作中的人為因素等原因，使得這種方式存在巨大的安全隱患。為此，VPN應(yīng)用引入了證書，來解決不使用證書方式存在的安全隱患：（1） VPN證書（包括VPN設(shè)備證書和VPN用戶證書）是VPN設(shè)備和用戶的護(hù)照，表明設(shè)備和用戶的身份，基于數(shù)字證書的身份認(rèn)證是一種強(qiáng)身份認(rèn)證，完全可以滿足應(yīng)用的身份認(rèn)證需求；（2） 使用VPN證書（包括VPN設(shè)備證書和VPN用戶證書）可以實現(xiàn)協(xié)商會話密鑰，在進(jìn)行數(shù)據(jù)通信時，發(fā)送方產(chǎn)生會話密鑰，對發(fā)送數(shù)據(jù)進(jìn)行加密，然后使用接收者的證書（公鑰）加密會話密鑰。接收者使用自己的證書私鑰解密會話密鑰，再用會話密鑰解密被加密的數(shù)據(jù)； VPN證書應(yīng)用根據(jù)以往的VPN證書應(yīng)用經(jīng)驗，證書的應(yīng)用流程主要有：（1） 登錄CA服務(wù)器，下載VPN根證書，將CA根證書上傳到設(shè)備系統(tǒng)中；（2） 為VPN設(shè)備申請設(shè)備證書，將設(shè)備證書上傳到VPN設(shè)
公司管理相關(guān)推薦
鄂ICP備17016276號-1