中石化ca項目方案建議書-資料下載頁
2025-08-06 06:42本頁面
【正文】 IN 號。 智能卡驗證 PIN。如果輸入的 PIN 正確無誤，智能卡則使用LSA將身份驗證信息傳遞給 Kerberos 客戶端，該客戶端使用身份驗證信息向域控制器進行身份驗證。 如果用戶通過了身份驗證，便登錄到所屬的域中。如果域控制器不可用，或者如果域控制器沒有該智能卡的證書頒發(fā)機構的有效證書吊銷列表，則登錄嘗試將被拒絕。智能卡的漫游登陸智能卡身份驗證憑據(jù)可緩存到本地計算機上，以便用戶在以下情況下登錄：計算機已從網(wǎng)絡上移開（如筆記本計算機），在沒有域控制器的情況下登錄。因此，用戶在漫游時仍可使用智能卡進行身份驗證。圖4展示了上述幾種認證方式的應用場景： 圖4. CA認證方式場景。 4. 智能卡身份驗證系統(tǒng). 捷德公司智能卡解決方案. 金威融通公司智能卡解決方案 5. 實施計劃建議項目任務任務內容執(zhí)行人目標定義書制定項目的目標定義項目經(jīng)理需求分析確定系統(tǒng)的總體需求，確定實施范圍，實施內容及實施進度，包括需要納入本系統(tǒng)的應用等需求分析組現(xiàn)狀分析調查中石化已有的網(wǎng)絡環(huán)境和信息管理模式需求分析組設計項目的前期設計，提供運行環(huán)境和集成環(huán)境的說明文件設計組實施在項目的試點按照實施方案和部署手冊進行系統(tǒng)實施，提交驗收報告實施組測試建立專門的運行測試人員，設立專門的企業(yè)目錄管理員，進行一般性運行測試，負責編寫常見問題指南實施組總結總結在項目進行的各個階段出現(xiàn)的問題和解決方案，為項目的推廣做充分的準備項目經(jīng)理 6. 附件和說明. CA的安全性脫機根 CA。 根 CA 的安全級別應設為最高。根 CA 應以脫機狀態(tài)保存在安全的位置，并且用它只簽署少量證書?？赡艿脑挘瑧搶?CA 和密鑰保存在專門的保管庫中，并且至少同時有兩位操作員進入該保管庫，一位執(zhí)行規(guī)定的操作，另一位審核其操作。在 Windows 2003 網(wǎng)絡中，設計了獨立的 CA，以便它們脫機運行。脫機中級 CA。在一個根 CA 下面可以設立一個或多個從屬 CA管轄各部門。將中級從屬 CA 設為脫機的機器，可以提高該 CA 的安全性。 聯(lián)機頒發(fā) CA。 CA 鏈中最后一級的 CA 處于聯(lián)機狀態(tài)，因此可用于受理來自眾多客戶機的證書申請。根 CA 下面的聯(lián)機 CA 也可以經(jīng)常發(fā)布最新的吊銷狀態(tài)信息。管理員可以頻繁地更改這種 CA 的密鑰，因為頒發(fā)新證書的開銷（管理方面的開銷）是最低的。從屬 CA 并不完全是可任意使用的，但通過攻擊從屬 CA 并不能得到多少有價值的東西，而且高級 CA 通過吊銷證書即可輕而易舉地阻擋這種攻擊。 由于根 CA 證書的分發(fā)費用最高，因為如果改變了根證書，就必須重建整個 PKI。如果根證書改變了，就必須吊銷組織內所有客戶端的舊的根證書，并添加新的根證書。另外，必須重新頒發(fā)由根 CA 頒發(fā)的、再由從屬 CA 頒發(fā)給最終實體的所有證書。因此，在部署 CA 層次結構時，使用少量的長壽命根 CA 可提供最經(jīng)濟的解決方案。根 CA 非常重要，因為它們被無條件地信任，它們是證書鏈的頂點，因此，在分發(fā)證書時要有一個圈外的身份驗證。也就是說，由于根 CA 是自簽名的，所以必須有人來證明根證書是真品。 因為最終實體要比 CA 多得多，所以向最終實體頒發(fā)證書的 CA 使用私鑰在大量的數(shù)據(jù)上簽名。用來對數(shù)據(jù)簽名的密鑰使用得越頻繁，加密數(shù)據(jù)受到攻擊的可能性就越大。因此，為了保持安全，向最終實體頒發(fā)證書的聯(lián)機 CA 必須經(jīng)常更換其簽名密鑰。 CA 發(fā)布吊銷證書列表（CRL），其中列出了不應再使用的證書。被吊銷證書的有關條目將一直保留在 CRL 列表中，直至證書的有效期結束之后，CA 才可將該證書從列表中刪除。CRL 中的條目越多，CRL 就越大，其下載時間就越長。通常，只有使用較慢的網(wǎng)絡鏈路（如撥號連接）的用戶才會遇到下載時間問題。CA 還可以管理 CRL 列表的大小。一種方法是維護多個列表，稱為分區(qū) CRL。另一種方法是，縮短已頒發(fā)證書的有效期，從而加快 CA 從列表中刪除吊銷證書的速度。許多應用程序必須能夠查明證書最近的吊銷狀態(tài)信息。只有一個聯(lián)機 CA 能夠發(fā)布有關證書狀態(tài)的當前信息。由脫機 CA 公布的吊銷狀態(tài)，必須使用圈外的方法發(fā)布到聯(lián)機位置。 大多數(shù)容易受到攻擊的 CA 都是處于聯(lián)機狀態(tài)的、物理安全措施較差并簽署了大量證書的 CA。因此，在建立集團根 CA 和部門從屬 CA 時，應該平衡一下安全性和可用性。建議采用三級層次結構，即一個脫機的獨立根 CA、一個脫機的獨立從屬策略 CA 和一個聯(lián)機從屬頒發(fā)企業(yè) CA。. 中石化組織結構第25
環(huán)評公示相關推薦
鄂ICP備17016276號-1