中石化ca項(xiàng)目方案建議書-資料下載頁
2025-08-06 06:42本頁面
【正文】 IN 號(hào)。 智能卡驗(yàn)證 PIN。如果輸入的 PIN 正確無誤，智能卡則使用LSA將身份驗(yàn)證信息傳遞給 Kerberos 客戶端，該客戶端使用身份驗(yàn)證信息向域控制器進(jìn)行身份驗(yàn)證。 如果用戶通過了身份驗(yàn)證，便登錄到所屬的域中。如果域控制器不可用，或者如果域控制器沒有該智能卡的證書頒發(fā)機(jī)構(gòu)的有效證書吊銷列表，則登錄嘗試將被拒絕。智能卡的漫游登陸智能卡身份驗(yàn)證憑據(jù)可緩存到本地計(jì)算機(jī)上，以便用戶在以下情況下登錄：計(jì)算機(jī)已從網(wǎng)絡(luò)上移開（如筆記本計(jì)算機(jī)），在沒有域控制器的情況下登錄。因此，用戶在漫游時(shí)仍可使用智能卡進(jìn)行身份驗(yàn)證。圖4展示了上述幾種認(rèn)證方式的應(yīng)用場(chǎng)景： 圖4. CA認(rèn)證方式場(chǎng)景。 4. 智能卡身份驗(yàn)證系統(tǒng). 捷德公司智能卡解決方案. 金威融通公司智能卡解決方案 5. 實(shí)施計(jì)劃建議項(xiàng)目任務(wù)任務(wù)內(nèi)容執(zhí)行人目標(biāo)定義書制定項(xiàng)目的目標(biāo)定義項(xiàng)目經(jīng)理需求分析確定系統(tǒng)的總體需求，確定實(shí)施范圍，實(shí)施內(nèi)容及實(shí)施進(jìn)度，包括需要納入本系統(tǒng)的應(yīng)用等需求分析組現(xiàn)狀分析調(diào)查中石化已有的網(wǎng)絡(luò)環(huán)境和信息管理模式需求分析組設(shè)計(jì)項(xiàng)目的前期設(shè)計(jì)，提供運(yùn)行環(huán)境和集成環(huán)境的說明文件設(shè)計(jì)組實(shí)施在項(xiàng)目的試點(diǎn)按照實(shí)施方案和部署手冊(cè)進(jìn)行系統(tǒng)實(shí)施，提交驗(yàn)收?qǐng)?bào)告實(shí)施組測(cè)試建立專門的運(yùn)行測(cè)試人員，設(shè)立專門的企業(yè)目錄管理員，進(jìn)行一般性運(yùn)行測(cè)試，負(fù)責(zé)編寫常見問題指南實(shí)施組總結(jié)總結(jié)在項(xiàng)目進(jìn)行的各個(gè)階段出現(xiàn)的問題和解決方案，為項(xiàng)目的推廣做充分的準(zhǔn)備項(xiàng)目經(jīng)理 6. 附件和說明. CA的安全性脫機(jī)根 CA。 根 CA 的安全級(jí)別應(yīng)設(shè)為最高。根 CA 應(yīng)以脫機(jī)狀態(tài)保存在安全的位置，并且用它只簽署少量證書。可能的話，應(yīng)該將 CA 和密鑰保存在專門的保管庫中，并且至少同時(shí)有兩位操作員進(jìn)入該保管庫，一位執(zhí)行規(guī)定的操作，另一位審核其操作。在 Windows 2003 網(wǎng)絡(luò)中，設(shè)計(jì)了獨(dú)立的 CA，以便它們脫機(jī)運(yùn)行。脫機(jī)中級(jí) CA。在一個(gè)根 CA 下面可以設(shè)立一個(gè)或多個(gè)從屬 CA管轄各部門。將中級(jí)從屬 CA 設(shè)為脫機(jī)的機(jī)器，可以提高該 CA 的安全性。 聯(lián)機(jī)頒發(fā) CA。 CA 鏈中最后一級(jí)的 CA 處于聯(lián)機(jī)狀態(tài)，因此可用于受理來自眾多客戶機(jī)的證書申請(qǐng)。根 CA 下面的聯(lián)機(jī) CA 也可以經(jīng)常發(fā)布最新的吊銷狀態(tài)信息。管理員可以頻繁地更改這種 CA 的密鑰，因?yàn)轭C發(fā)新證書的開銷（管理方面的開銷）是最低的。從屬 CA 并不完全是可任意使用的，但通過攻擊從屬 CA 并不能得到多少有價(jià)值的東西，而且高級(jí) CA 通過吊銷證書即可輕而易舉地阻擋這種攻擊。 由于根 CA 證書的分發(fā)費(fèi)用最高，因?yàn)槿绻淖兞烁C書，就必須重建整個(gè) PKI。如果根證書改變了，就必須吊銷組織內(nèi)所有客戶端的舊的根證書，并添加新的根證書。另外，必須重新頒發(fā)由根 CA 頒發(fā)的、再由從屬 CA 頒發(fā)給最終實(shí)體的所有證書。因此，在部署 CA 層次結(jié)構(gòu)時(shí)，使用少量的長(zhǎng)壽命根 CA 可提供最經(jīng)濟(jì)的解決方案。根 CA 非常重要，因?yàn)樗鼈儽粺o條件地信任，它們是證書鏈的頂點(diǎn)，因此，在分發(fā)證書時(shí)要有一個(gè)圈外的身份驗(yàn)證。也就是說，由于根 CA 是自簽名的，所以必須有人來證明根證書是真品。 因?yàn)樽罱K實(shí)體要比 CA 多得多，所以向最終實(shí)體頒發(fā)證書的 CA 使用私鑰在大量的數(shù)據(jù)上簽名。用來對(duì)數(shù)據(jù)簽名的密鑰使用得越頻繁，加密數(shù)據(jù)受到攻擊的可能性就越大。因此，為了保持安全，向最終實(shí)體頒發(fā)證書的聯(lián)機(jī) CA 必須經(jīng)常更換其簽名密鑰。 CA 發(fā)布吊銷證書列表（CRL），其中列出了不應(yīng)再使用的證書。被吊銷證書的有關(guān)條目將一直保留在 CRL 列表中，直至證書的有效期結(jié)束之后，CA 才可將該證書從列表中刪除。CRL 中的條目越多，CRL 就越大，其下載時(shí)間就越長(zhǎng)。通常，只有使用較慢的網(wǎng)絡(luò)鏈路（如撥號(hào)連接）的用戶才會(huì)遇到下載時(shí)間問題。CA 還可以管理 CRL 列表的大小。一種方法是維護(hù)多個(gè)列表，稱為分區(qū) CRL。另一種方法是，縮短已頒發(fā)證書的有效期，從而加快 CA 從列表中刪除吊銷證書的速度。許多應(yīng)用程序必須能夠查明證書最近的吊銷狀態(tài)信息。只有一個(gè)聯(lián)機(jī) CA 能夠發(fā)布有關(guān)證書狀態(tài)的當(dāng)前信息。由脫機(jī) CA 公布的吊銷狀態(tài)，必須使用圈外的方法發(fā)布到聯(lián)機(jī)位置。 大多數(shù)容易受到攻擊的 CA 都是處于聯(lián)機(jī)狀態(tài)的、物理安全措施較差并簽署了大量證書的 CA。因此，在建立集團(tuán)根 CA 和部門從屬 CA 時(shí)，應(yīng)該平衡一下安全性和可用性。建議采用三級(jí)層次結(jié)構(gòu)，即一個(gè)脫機(jī)的獨(dú)立根 CA、一個(gè)脫機(jī)的獨(dú)立從屬策略 CA 和一個(gè)聯(lián)機(jī)從屬頒發(fā)企業(yè) CA。. 中石化組織結(jié)構(gòu)第25
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1