【正文】 。 證書吊銷流程（1） 最終用戶使用瀏覽器，訪問海虹藥通注冊中心（RA）的證書注冊Web服務器，進入證書吊銷相關頁面；（2） 用戶通過輸入查詢條件，查詢到自己的證書，選擇進行吊銷；（3） 在吊銷時，需要用戶輸入辨識碼（在證書申請時需要用戶輸入），來確定用戶的身份；（4） 用戶選擇吊銷原因；（5） 點擊“提交”，系統(tǒng)便自動的吊銷用戶的證書。 證書查詢流程（1） 最終用戶使用瀏覽器，訪問海虹藥通注冊中心（RA）的Web服務器，進入證書查詢相關頁面；（2） 填寫證書查詢的條件，例如按電子郵件查詢、或者按用戶姓名查詢等；（3） 選擇需要查詢證書的狀態(tài)，例如有效、已過期、所有、已吊銷、待處理、已批準；（4） 提交請求，便可以查詢到符合條件的證書。然后將其中的用戶名和口令分發(fā)給最終用戶，同時通知用戶訪問RA中心提交證書申請請求。（2） 人工審批人工審批是指最終用戶的身份鑒證是由管理員通過傳統(tǒng)的方式進行，如企業(yè)內部管理手段，然后管理員定期地使用CA管理，進入CA中心的管理員Web站點，檢查和批準最終用戶的證書請求。一般需要用戶成為海虹藥通的會員，需要將包括用戶名、登錄口令在內的會員信息存儲在用戶數(shù)據(jù)庫內。本方案為建設的CA系統(tǒng)為提供人工審批、通行碼審批和自動審批等三種審批用戶證書請求的方式。同時，系統(tǒng)還支持海虹藥通本地CRL分發(fā)點，即在海虹藥通本地建設CRL分發(fā)點，直接到本地查詢和下載CRL。（7） CRL發(fā)布CRL（Certificate Revoked List，證書吊銷列表），又稱證書黑名單，該列表由CA進行簽署，以便讓用戶下載，在每次下載過程中，必須確保其內容的完整性和可靠性。使用周期過了，用戶就不應再使用那一證書了。（5） 證書吊銷為了保證證書的高安全可靠，用戶在密鑰發(fā)生丟失、偷竊、修改、非法泄露，或用戶私鑰的其它泄密現(xiàn)象時必須向CA中心提出證書吊銷請求，此外，根據(jù)網(wǎng)上使用規(guī)定或內部管理條例，在用戶違反規(guī)定或人員離職等情況下管理員也可以單方面向CA中心請求來吊銷用戶證書。同時，也提供證書發(fā)布到海虹藥通本地目錄的功能和接口。同時，CA系統(tǒng)可以簽發(fā)多種證書，包括個人電子郵件證書和身份認證證書、以及企業(yè)證書。（2） 證書簽發(fā)證書簽發(fā)是每個CA系統(tǒng)最為基本的功能，用戶提交證書申請后，通過注冊中心系統(tǒng)的身份審核后，由注冊中心將證書申請指令提交到后臺CA中心，CA中心接到注冊中心的簽發(fā)指令后，將簽發(fā)用戶證書。具體包括CA管理、用戶鑒別與確認、證書批準、證書更新和證書吊銷： （1） CA管理海虹藥通指定的管理員可以對海虹藥通CA系統(tǒng)進行全權管理，包括CA和RA的管理。另外，認證中心還提供其它的服務，如證書查詢，吊銷列表查詢等等。l 認證中心即CA中心，是整個CA系統(tǒng)的核心后臺，是負責具體簽發(fā)最終用戶證書的地方，它托管建設在可信的、公正的第三方——天威誠信認證中心。同時，它提供海虹藥通最終用戶證書管理的功能，包括查詢證書、更新證書和吊銷證書等操作。證書注冊中心包括兩個部分：n 證書注冊服務器 它是海虹藥通最終用戶申請證書的服務器。管理員可以對最終用戶提交的請求進行驗證和審批等，可以吊銷最終用戶的數(shù)字證書，可以對海虹藥通CA系統(tǒng)的CA策略、證書簽發(fā)策略和證書生命周期等進行配置和管理，產生CA運行報告和操作審計，等等。l CA管理CA管理是提供給海虹藥通對整個CA系統(tǒng)進行全權管理的前臺（模塊），包括對CA中心和RA中心的管理，由管理員來進行。l 最終用戶最終用戶是海虹藥通CA系統(tǒng)的最終服務對象，通過訪問CA系統(tǒng)，最終用戶申請獲得數(shù)字證書，并進行各種各樣的證書管理工作。 系統(tǒng)架構與組成根據(jù)系統(tǒng)建設思路，采用基于托管自建的模式，利用天威誠信安證通（OnSite）產品來建設海虹藥通CA系統(tǒng)，CA系統(tǒng)的后臺核心——CA中心部分托管建設在天威誠信安全數(shù)據(jù)中心，而面向海虹藥通最終用戶的證書申請和管理的前臺——RA中心（證書注冊中心）建設在海虹藥通本地，由它們共同來為海虹藥通的應用提供安全認證服務；同時通過CA管理前臺，實現(xiàn)對整個CA系統(tǒng)的全權管理。（3） 用戶證書用戶證書是發(fā)放給參與網(wǎng)上招投標業(yè)務的用戶的證書，它由子CA簽發(fā)。（2） 子CA子CA是由根CA簽發(fā)的在線子CA，負責簽發(fā)用戶證書。一般的，國際上最大型的認證體系層次都不超過4層，并且瀏覽器等軟件也不支持超過4層的認證體系。層次越多，技術實現(xiàn)越復雜，管理的難度也增大。證書的信任關系是一個樹狀結構，由自簽名的根CA為起始，由它簽發(fā)二級子CA，二級子CA又簽發(fā)它的下級CA，以此遞推，最后某一級子CA簽發(fā)最終用戶的證書。只需要進行很小的投入，就能夠享受安全服務。這樣，建設的CA系統(tǒng)的總體架構如下圖所示：圖 41 海虹藥通CA系統(tǒng)架構圖如圖所示，采用基于托管自建的模式建設CA系統(tǒng)，直接利用天威誠信認證中心提供的安全數(shù)據(jù)中心，將CA系統(tǒng)的核心后臺——CA中心托管建設在天威誠信安全數(shù)據(jù)中心，而在本地建設對整個CA系統(tǒng)進行全權管理的前臺——CA管理（模塊），并將面向最終用戶的服務前臺——RA中心建設在本地，由它們共同為最終用戶提供安全認證服務。這樣，建設迅速，共享投資、分擔風險，是一個成功的選擇，也是未來PKI的發(fā)展趨勢。4 CA系統(tǒng)設計 系統(tǒng)設計思路對于海虹藥通來說，如果自己要獨立建設一套完整的CA系統(tǒng)，存在一定的復雜性和風險，需要對CA系統(tǒng)的建設、運營和維護負全責，不僅需要投入大量的人力，還需要提供充足的資金，需要充分考慮整個CA系統(tǒng)的系統(tǒng)建設、安全建設、應用規(guī)劃和人員培訓等各個方面。對于網(wǎng)上招投標系統(tǒng)應用來說，本安全解決方案的基本思想是：（1） 利用PKI為海虹藥通網(wǎng)上招投標應用建設一個CA系統(tǒng)，為參與海虹藥通網(wǎng)上招投標的用戶頒發(fā)數(shù)字證書；（2） 海虹藥通網(wǎng)上招投標系統(tǒng)集成數(shù)字證書的應用，利用SSL（安全套接字協(xié)議）技術、加密技術和數(shù)字簽名技術，實現(xiàn)應用系統(tǒng)的安全功能；（3） 用戶在海虹藥通網(wǎng)上招投標業(yè)務活動中，必須使用頒發(fā)的數(shù)字證書，才能訪問海虹藥通網(wǎng)上招投標系統(tǒng)，應用系統(tǒng)通過用戶的數(shù)字證書來實現(xiàn)對用戶的身份認證和訪問控制；（4） 在進行相關業(yè)務操作時，如發(fā)布標書、下載標書、上傳標書、開標和評標等，使用頒發(fā)的數(shù)字證書，對于傳輸?shù)臄?shù)據(jù)進行加密、簽名，來保證應用系統(tǒng)的信息機密性、完整性和不可抵賴性需求。PKI/CA使用成熟的公開密鑰機制，綜合了密碼技術、數(shù)字摘要技術、數(shù)字簽名等多項安全技術以及一套成熟的安全管理機制來提供有效的信息安全服務，該技術已被廣泛地應用于全球的電子商務中，被證明是目前基于互聯(lián)網(wǎng)電子商務安全的最佳解決方案。在開標時，需要同時開標。在開標過程中，必須保證招標會員、投標會員、網(wǎng)上招投標管理機構三方都是公平、公正和公開，避免任何一方造成不必要的損失。（4） 開標開標是指招標會員在標書規(guī)定的某一時間對投標會員上傳的標書進行開標儀式。有些招投標網(wǎng)站還規(guī)定一旦招標書上傳后就不可以任意修改。（3） 上傳招標書上傳投標書是指投標會員在下載招標書后，根據(jù)招標書的要求進行撰寫投標書，在招標書規(guī)定的時間段內上傳投標書。（2） 下載招標書下載投標書是指投標會員需要取得授權，獲取參與網(wǎng)上招投標活動的資格并獲取登錄憑證后，登錄到招投標網(wǎng)站檢索招投標信息，并且對感興趣的項目進行投標，在投標前，根據(jù)約定下載招標書。（1） 發(fā)布招標書在發(fā)布標書過程中，首先發(fā)標會員需要取得授權，獲取參與網(wǎng)上招投標活動的資格并獲取能夠證實用戶真是身份的登錄憑證，才能登錄標書發(fā)布管理頁面上傳標書。一旦有任何一方進行抵賴都會嚴重影響了網(wǎng)上招投標業(yè)務的公平性，會損害了他方的利益，也從而嚴重損害了招投標網(wǎng)的形象。在網(wǎng)上招投標應用中，必須保證信息傳輸過程中的完整性。l 信息機密性海虹藥通網(wǎng)上招投標活動中在網(wǎng)絡上傳遞的招投標文件可能只向會員單位發(fā)標，而不能夠被外單位所獲知，各應標會員上傳的應標書則是各企業(yè)的高級商業(yè)機密，在應標書中可能附帶了應標單位的價格底線、服務承諾等商業(yè)機密，是不能外瀉的，更不能被競爭對手所截獲，互聯(lián)網(wǎng)是一個開放網(wǎng)絡，許多網(wǎng)絡攻擊軟件很容易就可以監(jiān)聽到這些機密文件，因此，信息機密性在網(wǎng)上招投標應用中是不可忽視