【正文】 ............................................................................................. 28 數(shù)據(jù)解密接口 ........................................................................................................................................... 28 方案具體業(yè)務流程 ........................................................................................................................................ 28 P2P 在線和離線消息 .............................................................................................................................. 29 P2S 在線消息 ........................................................................................................................................... 30 S2P 在線和離線消息 ............................................................................................................................... 31 6 產(chǎn)品規(guī)格 ........................................................................................................................................................ 32 7 案例介紹 ........................................................................................................................................................ 34 黑龍江移動 .................................................................................................................................................... 34 首創(chuàng)集團 ........................................................................................................................................................ 35 北京人民廣播電臺 ........................................................................................................................................ 36 1 1 背景 應用背景近年來，隨著計算機網(wǎng)絡和信息技術的迅速發(fā)展，公司、大型企業(yè)及政府單位逐步上線了許多基于信息技術的應用系統(tǒng)，內(nèi)部辦公、信息傳遞、工作效率、企業(yè)管理、商務運營等涉及到企業(yè)發(fā)展的方方面面，都因信息化而得到了飛速發(fā)展。同時，移動互聯(lián)網(wǎng)的快速發(fā)展，越來越多的應用正通過智能手機、平板電腦等移動終端進行交易和數(shù)據(jù)交換，豐富了人們的生活。 PKI 理論 公鑰基礎設施 PKI 提供公鑰加密和數(shù)字簽名服務的綜合系統(tǒng)稱做一個公鑰基礎設施(簡稱 PKI)。通過 PKI 對密鑰和證書的管理，一個組織可以建立并維護可信賴的網(wǎng)絡環(huán)境。 對稱加密算法 對稱算法使用相同的密鑰進行加密和解密。 。收信方收到密文后，若想解讀原文，則需要使用加密用過的密鑰及相同算法的逆算法對密文進行解密，才能使其恢復成可讀明文。對稱加密算法的特點是算法公開、計算量小、加密速度快、加密效率高。常用的對稱加密算法包括：3DES、AES、國密 SMSM4 等。即使數(shù)據(jù)的一個 bit 變了，它的哈希碼會發(fā)生巨大的變化。換句話說如果我們有一個輸入文件，可以很容易地得到它的哈希碼，但反過來如果我們有一個哈希碼，要得到它原來的輸入文件非常困難。 公鑰加密體系 ? 公鑰加密體系加解密過程 非對稱加解密（即公鑰加密體系）使用兩把完全不同但又是相互匹配的密鑰——公鑰和私鑰。顯然采用不對稱加密算法，收發(fā)信雙方在通信之前，收信方必須將自己早已隨機生成的公鑰送給發(fā)信方，而自己保留私鑰。? 對稱加密與公鑰加密體系結(jié)合 —— 數(shù)字信封把對稱加密和公鑰加密體系結(jié)合起來，即數(shù)字信封加密。這樣就兼具有了對稱加密和公鑰加密二者的長處。 ? 哈希函數(shù)與公鑰加密體系結(jié)合 —— 數(shù)字簽名把哈希函數(shù)和公鑰加密算法結(jié)合起來，即數(shù)字簽名，能提供一個方法來保證數(shù)據(jù)的完整性和真實性。數(shù)字簽名的過程的第一步是產(chǎn)生一個我們想簽名的數(shù)據(jù)的哈希值。這個被加密的哈希結(jié)果被添加到數(shù)據(jù)后，能夠保護哈希結(jié)果的完整性。數(shù)據(jù)的接收者能夠有你的公鑰解密這段哈希值，同時能從接到的數(shù)據(jù)產(chǎn)生一段哈希值。同時接收者也知道，只有你才能發(fā)出這段數(shù)據(jù)，因為只有你才會有這個在哈希上簽名的私鑰。時代億信 ETCA 數(shù)字證書認證系統(tǒng)由 CA、RA、證書發(fā)布系統(tǒng)、證書 CRL查詢系統(tǒng)、LDAP 目錄服務幾個部分組成，可在服務器配備加密卡以及在客戶端配備智能密碼鑰匙。ETCA 同時為應用系統(tǒng)提供中間件，實現(xiàn)數(shù)據(jù)加密/解密、簽名/驗簽服務。ETCA 數(shù)字證書認證系統(tǒng)及中間件可集成于企事業(yè)單位的應用系統(tǒng)中，保 5 證? 傳輸數(shù)據(jù)的保密性? 傳輸數(shù)據(jù)的完整性? 交易者身份的真實性? 交易信息的不可否認性3 產(chǎn)品功能 產(chǎn)品功能架構(gòu)時代億信 ETCA 數(shù)字證書認證系統(tǒng)主要由密鑰管理中心（KMC ） 、CA、RA、證書存儲發(fā)布和狀態(tài)查詢系統(tǒng)等幾個部分組成，如下圖所示： 6 圖 31 ETCA 數(shù)字證書認證系統(tǒng)功能組成? 密鑰管理系統(tǒng)（KMC）可為多個 CA 系統(tǒng)產(chǎn)生用戶加密密鑰，滿足 CA系統(tǒng)簽發(fā)用戶加密證書的需要。? 證書簽發(fā)系統(tǒng)（CA）負責生成、簽發(fā)數(shù)字證書和證書撤銷列表。? 證書/CRL 存儲發(fā)布系統(tǒng)負責數(shù)字證書、證書撤銷列表的存儲和發(fā)布。ETCA 使用 LDAP 目錄服務方式，采用主、從目錄服務器的結(jié)構(gòu)以保證主目錄服務器的可靠性。主要負責密鑰的管理：包括密鑰的產(chǎn)生、分發(fā)、更新、備份/恢復、歸檔、銷毀等的管理。采用 SPKM 安全通信協(xié)議與證書簽發(fā)中心進行數(shù)據(jù)通信。同時，監(jiān)控備用庫中密鑰的數(shù)量，根據(jù)策略生成一定數(shù)量的密鑰進行補充，并且在密鑰生成、分發(fā)、更新、廢除等操作 7 時，負責對各種密鑰庫進行相應的維護。密鑰管理相關功能如下：1) 密鑰的生成批量生成高強度的用戶加密密鑰對，生成后的密鑰以密文保存在數(shù)據(jù)庫中。KMC 可以保證用戶密鑰從密鑰的生成到將證書的簽發(fā)，并與用戶私鑰一起存儲到用戶證書存儲介質(zhì)中整個過程的安全性。4) 密鑰更新密鑰的更新包括根密鑰的更新、各級證書簽發(fā)中心密鑰的更新、服務器密鑰的更新和用戶密鑰的更新等。 8 5) 密鑰歸檔密鑰更新時需將舊密鑰歸檔，形成用戶密鑰的歷史信息。歸檔的密鑰也可以進行恢復。7) 密鑰銷毀密鑰管理中心對已經(jīng)失去作用的密鑰提供銷毀功能，徹底將這些密鑰從密鑰庫中刪除，并保證被刪除密鑰的不可恢復，保證整個體系的安全。系統(tǒng)預先生成一批密鑰對并通過安全機制存放在密鑰數(shù)據(jù)庫系統(tǒng)中，當證書簽發(fā)中心申請密鑰時，系統(tǒng)從密鑰數(shù)據(jù)庫系統(tǒng)中獲取密鑰解密后交給證書簽發(fā)中心，以提高系統(tǒng)的服務效率。提供證書的簽發(fā)和管理功能，代表用戶向密鑰管理中心發(fā)出密鑰產(chǎn)生、恢復請求，為用戶簽發(fā)證書。1) 證書簽發(fā) 9 系統(tǒng)可簽發(fā)各種實體證書。包括由證書注冊審核中心系統(tǒng)發(fā)起的證書延期功能；由用戶發(fā)起的在線證書延期申請功能3) 證書更新能夠根據(jù)要求，實現(xiàn)證書的更新。4) 證書的凍結(jié)和解凍該功能主要由管理方（證書注冊審核中心系統(tǒng)操作員、證書簽發(fā)中心管理員等）發(fā)起，對證書進行凍結(jié)，使證書列入黑名單，暫時因為失效而無法使用；同時，管理方也可對被凍結(jié)的證書進行解凍操作，使該證書恢復正常的使用功能。由于以下原因，證書應該被作廢：? 密鑰泄密。為防止錯誤使用或被盜用，其對應的證書應該被作廢。? 從屬變更。? 密鑰已被取代。? 終止使用。 10 ? 暫時不使用。? 未說明的原因。? 當一個證書作廢時，必須有上述六個原因之一。注：實體證書包括個人用戶證書，設備證書，站點證書、代碼簽名證書等。8) 證書注銷列表發(fā)布CA 服務器可以根據(jù)發(fā)布策略定期簽發(fā)標準格式的證書注銷列表，發(fā)布方式可以為文件方式或者目錄服務方式，發(fā)布周期可以由管理員靈活定制。. 模板管理ETCA 自帶十幾種標準證書模板及標準證書擴展域，滿足大多數(shù)的證書簽發(fā)需求。 11 ? 證書模板管理證書模板用于定義證書的有效期、密鑰類型、密鑰長度、是否需要發(fā)布、發(fā)布的方式、擴展域及擴展域的值等信息。主要功能有：1) 瀏覽模板列出當前系統(tǒng)中定義的所有證書模板的詳細信息。3) 修改模板修改系統(tǒng)中已經(jīng)存在的一個證書模板。5) 注銷模板注銷已經(jīng)被使用過的一個證書模板，該證書模板以后將不能再使用。1) 瀏覽自定義擴展列出當前系統(tǒng)中定義的所有自定義擴展域，并可以查看詳細信息。 12 3) 修改自定義擴展修改已經(jīng)存在的一個自定義擴展域。5) 注銷自定義擴展注銷已經(jīng)被使用過的一個自定義擴展域，以后創(chuàng)建證書模板的時候?qū)⒉辉偈褂迷摂U展。? 用戶證書統(tǒng)計報表服務簽發(fā)中心可自動搜集關于證書的請求、狀態(tài)等信息，并加以必要的分析和統(tǒng)計，形成可視報表，以便響應用戶的服務請求。? 用戶服務功能的擴展簽發(fā)中心可根據(jù)用戶業(yè)務需求及個性化需求，方便的增加新的服務功能模塊。主要負責所有證書申請者的信息錄入、審核等工作，同時對發(fā)放的證書完成相對應的管理功能。注冊用戶時須提供必要的用戶信息。這一功能適用于將現(xiàn)有的用戶信息導入到系統(tǒng)中。? 更新用戶用戶可以在線地更新自己的注冊信息，注冊中心系統(tǒng)操作員也可以代用戶進行更新操作。? 審核用戶管理操作 14 根據(jù)應用場合的要