【正文】 第 16頁(yè) 共 29頁(yè) 器、或是最終用戶與遠(yuǎn)程路由器之間，以便建立安全的通信。 VPN 證書(shū)可識(shí)別使用 IPSec（ IP 安全）協(xié)議進(jìn)行安全通信的設(shè)備。 VPN 證書(shū)用于 VPN 設(shè)備的身份鑒別、建立安全通道。接收者使用自己的證書(shū)私鑰解密會(huì)話密鑰，再用會(huì)話密鑰解密被加密的數(shù)據(jù)； VPN 證書(shū)介紹 VPN 證書(shū)也是 人們常說(shuō)的 IPSec 證書(shū)，包括兩種證書(shū)： ? 一是 VPN 客戶端證書(shū)，就是通常的用戶證書(shū)，可以存放在 IPSec 客戶端軟件中管理，也可以存放在 IE 瀏覽器或者 USB KEY 等其他存儲(chǔ)介質(zhì)內(nèi)。為了提高這種方式的安全性，需要管理員不定期的對(duì)共享的對(duì)稱密鑰進(jìn)行更換，但是， 由于更換對(duì)稱密鑰的操作中的人為因素等原因， 使得這種方式存在巨大的安全隱患。而目前比較通常的做法是在配置 VPN時(shí)，就在 VPN 客戶端和 VPN 服務(wù)端（ VPN 網(wǎng)關(guān)）之間配置一個(gè)共享的對(duì)稱密鑰。以下將進(jìn)行詳細(xì)闡述： VPN 安全登錄 實(shí)現(xiàn)原理 目前，使用 VPN 可以采用兩種方式，即使用證書(shū)的方式和不使用證書(shū)的方式。 VPN 安全應(yīng)用 對(duì)于采用標(biāo)準(zhǔn)協(xié)議實(shí)現(xiàn)的 VPN 設(shè)備 ，由于 VPN 設(shè)備對(duì)數(shù)字證書(shū)的支持，我們可以通過(guò) CA 認(rèn)證系統(tǒng)為 VPN 設(shè)備頒發(fā)數(shù)字證書(shū)，為客戶端頒發(fā)個(gè)人證書(shū)，利用 CA 系統(tǒng)進(jìn)行相應(yīng)的數(shù)字證書(shū)發(fā)放和管理。 CA系統(tǒng)應(yīng)用安全解決 方案 第 14頁(yè) 共 29頁(yè) 圖 6 發(fā)送和接收安全電子郵件示意圖 上圖所示是在 Outlook郵件客戶端使用的情況，其它郵件客戶端類似。 郵件系統(tǒng)安全 應(yīng)用 郵件用戶從管理員處獲得保存有證書(shū)的 USB 令牌之后，在所在單位的郵件管理員的指導(dǎo)下，安裝 USB 令牌的驅(qū)動(dòng)，將 USB 令牌插入到計(jì)算機(jī)，對(duì)郵件客戶端進(jìn)行安全配置，如下圖所示為對(duì) Outlook郵件客戶端進(jìn)行安全配置的示例： 圖 5 Outlook安全配置示意圖 在完成郵件客戶端的安全配置之后，用戶就可以使用郵件客戶端發(fā)送加密和或簽名的安全電子郵件，可以實(shí)現(xiàn) ： ? 對(duì)電子郵件的內(nèi)容和附件進(jìn)行加密，確保在傳輸?shù)倪^(guò)程中不被他人閱讀、截取和篡改。 （ 7） 易于部署與使用 系統(tǒng)所有用戶、管理員界面都是 B/S 模式， CA/RA 策略配置和定制以及用戶證書(shū)管理等都是通過(guò)瀏覽器進(jìn)行，并具有詳細(xì)的操作說(shuō)明。 （ 5） 高安全性和可靠性 使用高強(qiáng)度密碼保護(hù)密鑰，支持加密機(jī)、智能卡、 USB KEY 等硬件設(shè)備，用戶關(guān)鍵信息散列保存，以防遺失。 （ 3） 靈活的認(rèn)證體系配置 系統(tǒng) 采用“認(rèn)證體系設(shè)計(jì)”一節(jié)設(shè)計(jì)的 CA 認(rèn)證體系，采用樹(shù)狀結(jié)構(gòu)， 支持多級(jí)CA，支持交叉認(rèn)證。 （ 2） 證書(shū)類型多樣性及靈活配置 系統(tǒng)能夠提供各種證書(shū)的簽發(fā)功能， 本方案設(shè)計(jì)的 CA 認(rèn)證系統(tǒng)能夠簽發(fā)個(gè)人身份證書(shū)。 系統(tǒng)性能和特點(diǎn)分析 采用 iTrusCA 系統(tǒng)建設(shè)的 用戶 CA 認(rèn)證系統(tǒng)擁有下列性能和特點(diǎn)： （ 1） 符合國(guó)際和行業(yè)標(biāo)準(zhǔn) 系統(tǒng)在設(shè)計(jì)中遵循了相應(yīng)的國(guó)際和工業(yè)標(biāo)準(zhǔn)，包括 標(biāo)準(zhǔn)、 PKCS 系列標(biāo)準(zhǔn)、IETF 的 PKIX 工作組制定的 PKI 相關(guān) RFC 標(biāo)準(zhǔn)，以及 HTTP、 SSL、 LDAP 等互聯(lián)網(wǎng)通訊協(xié)議等。 （ 3） 證書(shū)更新 流程 最終用戶在其證書(shū)即將過(guò)期之前，需要訪問(wèn) CA 認(rèn)證系統(tǒng)，更新自己的證書(shū)，其流程為： (a) 最終用戶 在證書(shū)即將過(guò)期前（一般為一個(gè)月）， 訪問(wèn) 用戶 CA 認(rèn)證系統(tǒng) ，登錄用戶服務(wù)頁(yè)面， 點(diǎn)擊 “ 證書(shū)更新 ”選項(xiàng) ； (b) 系統(tǒng) 自動(dòng)識(shí)別用戶是否具有 用戶 CA 認(rèn)證系統(tǒng) 頒發(fā)的數(shù)字證書(shū)，并且判斷是否過(guò)期，如果即將過(guò)期，便提示進(jìn)行更新； (c) 用戶選擇需要更新的證書(shū)，點(diǎn)擊提交，向 CA 認(rèn)證系統(tǒng)提交證書(shū)更新請(qǐng)求。同時(shí)， 將用戶證書(shū)返回到管理員端，保存到 USB KEY 中 ； (c) 管理員將申請(qǐng)好 證書(shū)的 USB KEY 發(fā)放給最終用戶。 其工作流程如下圖所示： 圖 4 證書(shū)發(fā)放 流程圖 (a) 管理員 使 用瀏覽器，訪問(wèn) 用戶 CA 認(rèn)證系統(tǒng) ，進(jìn)入證書(shū)申請(qǐng)頁(yè)面， 替最終用戶 填寫(xiě)證書(shū)申請(qǐng)信息，向 用戶 CA 認(rèn)證系統(tǒng) 提交證書(shū)申請(qǐng)請(qǐng)求。證書(shū)的驗(yàn)證可使用 CRL或 OCSP 來(lái)進(jìn)行有效性驗(yàn)證。 ? 證書(shū)解析模塊（ CPM） 證書(shū)解析模塊是一系列平臺(tái)下的動(dòng)態(tài)鏈接庫(kù)，用于解析 DER 或 PEM 編碼的 數(shù)字證書(shū) ，將證書(shū)中的信息，包括用戶信息、證書(shū)有效期、證書(shū)公鑰等信息分解為字符串。 證書(shū)應(yīng)用開(kāi)發(fā)接口（ API） 為了實(shí)現(xiàn)基于數(shù)字證書(shū)的安全應(yīng)用集成，提供了完整的證書(shū)應(yīng)用開(kāi)發(fā)接口（ API），提供 C、 JAVA 和 COM等多種接口，包括： ? 個(gè)人信任代理（ PTA） 個(gè)人信任代理（ PTA）是客戶端的軟件包，既括安裝在客戶端的文件加密 /解密程序，也包括用于數(shù)字簽名和簽名驗(yàn)證的 ActiveX 控件。 （ 6）日志與審計(jì)功能 系統(tǒng)具有完善的日志與審計(jì)功能，可以查看和統(tǒng)計(jì)各種日志，包括： ? 統(tǒng)計(jì)各 CA、 RA 賬號(hào)證書(shū)頒發(fā)情況； ? 記錄所有 RA 與 CA 的操作日志； ? 對(duì)所有操作人員的操作行為進(jìn)行審計(jì)。 ? 賬號(hào)管理 ? 個(gè)人賬號(hào)管理，包括注冊(cè)信息，證書(shū)信息等管理； ? RA 賬號(hào)管理，包括 RA 賬號(hào)申請(qǐng)、批準(zhǔn)、吊銷、額外管理員證書(shū)申請(qǐng)等。證書(shū)服務(wù)的功能提供給用戶進(jìn)行證書(shū)查詢的功能，用戶可以通過(guò)電子郵件（ Email）、用戶名稱（ Common Name）、單位名稱（ Organization）和部門名稱（ OU）等字段查找 CA認(rèn)證系統(tǒng)簽發(fā)的用戶證書(shū)。 CA 認(rèn)證系統(tǒng)定時(shí)產(chǎn)生 CRL 列表，并將產(chǎn)生的 CRL 發(fā)布至 Web 層 CRL服務(wù)模塊，可以通過(guò)手工下載該 CRL。用戶吊銷證書(shū)時(shí)，可CA系統(tǒng)應(yīng)用安全解決 方案 第 8頁(yè) 共 29頁(yè) 以直接訪問(wèn) CA 認(rèn)證系統(tǒng)，在線的向 CA 提交證書(shū)吊銷請(qǐng)求， CA 認(rèn)證系統(tǒng)根據(jù)用戶的選擇，自動(dòng)吊銷用戶的證書(shū)，并將吊銷的證書(shū)添加到證書(shū)吊銷列表（ CRL）中，按照證書(shū)吊銷列表的發(fā)布周期進(jìn)行發(fā)布； ? 證書(shū)更新 在用戶證書(shū)到期前，用戶需要更新證書(shū)，用戶訪問(wèn) CA 認(rèn)證系統(tǒng)，查詢用戶的證書(shū)狀態(tài)，對(duì)即將過(guò)期的用戶證書(shū)進(jìn)行更新。用戶 CA 認(rèn)證系統(tǒng)，獲取簽發(fā)的證書(shū)。 CA 系統(tǒng) 功能 iTrusCA 系統(tǒng)具有完善的功能，采用 iTrusCA 系統(tǒng)設(shè)計(jì)的 用戶 CA 認(rèn)證系統(tǒng) 也具有完善的功能，包括： （ 1）證書(shū)簽發(fā) 通過(guò) CA 認(rèn)證系統(tǒng)，能夠申請(qǐng)、產(chǎn)生和分發(fā)數(shù)字證書(shū)，具有證書(shū)簽發(fā)功能。 USB KEY 可以設(shè)置用戶口令保護(hù)，增強(qiáng)了證書(shū)及私鑰的安全性。 CA系統(tǒng)應(yīng)用安全解決 方案 第 7頁(yè) 共 29頁(yè) 證書(shū)存儲(chǔ)介質(zhì) 本方案推薦使用 USB KEY 來(lái)保存用戶的證書(shū)及私鑰。最終用戶使用瀏覽器，訪問(wèn) CA 服務(wù)器，進(jìn)行證書(shū)申請(qǐng)和管理。 系統(tǒng)網(wǎng)絡(luò)架構(gòu) 采用 iTrusCA 系統(tǒng)將為 用戶 建設(shè)一個(gè) CA 中心和一個(gè) RA 中心， iTrusCA 系統(tǒng)的所有模塊可以安裝在同一臺(tái)服務(wù)器上，也可以采用多臺(tái)服務(wù)器分別安裝各模塊。而采用三層結(jié)構(gòu)是目前業(yè)界比較通用的、 標(biāo)準(zhǔn)的做法。 （ 3） 具有很好的可操作性 采用三層體系結(jié)構(gòu)，相對(duì)比較簡(jiǎn)單，在 CA 的創(chuàng)建和管理上也相當(dāng)比較容易。 采用這種認(rèn)證體系 具有下列特點(diǎn)： （ 1） 體現(xiàn) 用戶 的權(quán)威性 從認(rèn)證體系上看， 用戶 CA 具有自己的統(tǒng)一的根 CA，由 用戶 進(jìn)行統(tǒng)一管理，負(fù)責(zé)整個(gè) 用戶 的認(rèn)證體系、 CA 策略和證 書(shū)策略的定制與管理，這樣充分體現(xiàn)了 用戶 的權(quán)威性。 ? 第二層是由 用戶 根 CA 簽發(fā)的 用戶 子 CA，處于在線狀態(tài)，它是簽發(fā)系統(tǒng)用戶證書(shū)的子 CA。一般的，國(guó)際上最大型的認(rèn)證體系層次都不超過(guò) 4 層，并且瀏覽器等軟件也不支持超過(guò) 4 層的認(rèn)證體系。層次越多，技術(shù)實(shí)現(xiàn)越復(fù)雜，管理的難度也增大。證書(shū)的信任關(guān)系是一個(gè)樹(shù)狀結(jié)構(gòu)，由自簽名的根 CA 為起始，由它簽發(fā)二級(jí)子 CA，二級(jí)子 CA 又簽發(fā)它的下級(jí) CA，以此遞推，最后某一級(jí)子 CA 簽發(fā)最終用戶的證書(shū)。支持各種加密機(jī)、多種數(shù)據(jù)庫(kù)和支持多種證書(shū)存儲(chǔ)介質(zhì)。系統(tǒng)所有用戶、管理員界面都是 B/S 模式， CA/RA 策略配置和定制以及用戶證書(shū)管理等都是通過(guò)瀏覽器進(jìn)行，并具有詳細(xì)的操作說(shuō)明。根據(jù)客戶需要，對(duì)系統(tǒng)進(jìn)行配置和擴(kuò)展，能夠發(fā)放各種類型的證書(shū)；系統(tǒng)支持多級(jí) CA，支持交叉 CA；系統(tǒng)支持多級(jí) RA。系統(tǒng)支持樹(shù)狀的客戶私有的 認(rèn)證體系，支持多級(jí) CA，支持交叉認(rèn)證； D. 高安全性和可靠性。 iTrusCA 系統(tǒng)具有下列特點(diǎn) ： A. 符合國(guó)際和行標(biāo)準(zhǔn)； B. 證書(shū)類型多樣性及靈活配置。 iTrusCA 系統(tǒng)采用模塊化結(jié)構(gòu)設(shè)計(jì) ，由最終用戶、 RA 管理員、 CA 管理員、注冊(cè)中心（ RA）、認(rèn)證中心（ CA）等構(gòu)成，其中注冊(cè)中心（ RA）和認(rèn)證中心（ CA）又包含相應(yīng)的模塊，系統(tǒng)架構(gòu)如下圖： CA系統(tǒng)應(yīng)用安全解決 方案 第 4頁(yè) 共 29頁(yè) 圖 1 iTrusCA 系統(tǒng)模塊架構(gòu)圖 iTrusCA 系統(tǒng)能提供完善的功能， 包括：證書(shū)簽發(fā)、證書(shū)生命周期管理、證書(shū)吊銷列表（ CRL） 查詢服務(wù) 、目錄查詢服務(wù)、 CA 管理、密鑰管理和日志審計(jì)等全面的功能。 iTrusCA 系統(tǒng) 簡(jiǎn)介 iTrusCA 系統(tǒng) 是參照國(guó)際領(lǐng)先的 CA 系統(tǒng)的設(shè)計(jì)思想，繼承了國(guó)際領(lǐng)先 CA 系統(tǒng)的成熟性、先進(jìn)性、安全可靠及可擴(kuò)展性，自主開(kāi)發(fā)的、享有完全自主知識(shí)產(chǎn)權(quán)的數(shù)字證書(shū)服務(wù)系統(tǒng)。 以下， 將分別對(duì)方案總體框架描述中 CA 認(rèn)證系統(tǒng) 、 應(yīng)用 系統(tǒng) 安全集成方案 等幾部分 分別 進(jìn)行描述。 CA系統(tǒng)應(yīng)用安全解決 方案 第 3頁(yè) 共 29頁(yè) 二、 用戶 應(yīng)用 系統(tǒng) 集成數(shù)字證書(shū)的應(yīng)用， 用戶 登錄 系統(tǒng) 時(shí)，必須提交 CA 認(rèn)證系統(tǒng)頒發(fā)的用戶證書(shū)，系 統(tǒng)通過(guò)用戶證書(shū)來(lái)實(shí)現(xiàn)身份認(rèn)證和訪問(wèn)控制，同時(shí)通過(guò)加密技術(shù)和數(shù)字簽名技術(shù)，實(shí)現(xiàn)信息傳輸?shù)臋C(jī)密性和抗抵賴性 等安全需求 。 為此， 根據(jù) 用戶 的信息系統(tǒng)安全現(xiàn)狀 ，采用 PKI（ Public Key Infrastructure，公鑰基礎(chǔ)設(shè)施）技術(shù)， 為 用戶 設(shè)計(jì) 了 基于數(shù)字證書(shū)的應(yīng)用安全解決方案。另外，對(duì)于通過(guò)應(yīng)用 系統(tǒng)進(jìn)行網(wǎng)上申報(bào)與審批時(shí)，如果沒(méi)有抗抵賴性，申報(bào)者將可以否認(rèn)自己的申報(bào)數(shù)據(jù)和行為，審批者也可以否認(rèn)自己的審批意見(jiàn)和行為，甚至出現(xiàn)假冒他人進(jìn)行申報(bào)或?qū)徟男袨?。而如果沒(méi)有有效的手段保證電子數(shù)據(jù)共享和傳輸?shù)目沟仲嚕?財(cái)務(wù)部 可以否認(rèn)自己共享和傳輸過(guò)的電子數(shù)據(jù)。比如 財(cái)務(wù)部進(jìn)行財(cái)務(wù)匯報(bào)時(shí) ，如果采用紙質(zhì)的方式，可以在 財(cái)務(wù)報(bào)表 上簽字蓋章。 （ 4）信息抗抵賴 信息抗抵賴是指信息的發(fā)送者不能對(duì)自己發(fā)送的信息進(jìn)行抵賴。 （ 3）信息機(jī)密性和完整性 通過(guò) 應(yīng)用系統(tǒng) 傳輸很多敏感資料，如通過(guò) 應(yīng)用系統(tǒng) ，需要通過(guò)開(kāi)放的互聯(lián)網(wǎng)，非法用戶很容易監(jiān)聽(tīng)網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)甚至篡改相關(guān)數(shù)據(jù)，或者入侵到 應(yīng)用系統(tǒng) ，竊取有關(guān)資料。因此， 應(yīng)用系統(tǒng) 在身份認(rèn)證的基礎(chǔ)上，需要給不同的身份授予不同的訪問(wèn)權(quán)限，使他們能夠進(jìn)行 相應(yīng)授權(quán)的操作。因此，需要采用安全的手段，解決 應(yīng)用系統(tǒng) 身份認(rèn)證需求。采用“用戶名＋密碼”的方式登錄應(yīng)用系統(tǒng)時(shí)，用戶輸入的用戶名和密碼都是通過(guò)明文的方式，傳輸給系統(tǒng)服務(wù)器，系統(tǒng)服務(wù)器根據(jù)用戶提交的用戶名和密碼，查詢數(shù)據(jù)庫(kù)，來(lái)判斷用戶的身份是否真實(shí)。此外，在實(shí)現(xiàn)資源和數(shù)據(jù)共享的同時(shí)，也面臨巨大的威脅和風(fēng)險(xiǎn)，我們必須對(duì) 這些資料進(jìn)行嚴(yán)格控制，保證只有被授權(quán)的人員才能夠訪問(wèn)合法的資源，并且對(duì)于每個(gè)人產(chǎn)生的信息，需要保留相應(yīng)的記錄。 2 應(yīng)用安全 需求概述 隨著 用戶 信息 系統(tǒng) 的建設(shè) ， 大量的辦公業(yè)務(wù)數(shù)據(jù)文件通過(guò)網(wǎng)絡(luò)相互傳遞，同時(shí)大量的數(shù)據(jù)文件也保存于文件服務(wù)器之上。 由于業(yè)務(wù)發(fā)展的需要， 用