【正文】 定制等；（2） 不需要建設(shè)整套CA系統(tǒng)，只需要在本地完成簡(jiǎn)單的系統(tǒng)配置，建設(shè)、運(yùn)營和維護(hù)對(duì)整個(gè)CA進(jìn)行全權(quán)管理的CA管理（模塊）以及面向最終用戶證書申請(qǐng)的RA中心，而復(fù)雜、專業(yè)的PKI核心——CA中心的建設(shè)、服務(wù)和維護(hù)工作將交與天威誠信完成，系統(tǒng)建設(shè)周期很短，最多一個(gè)月時(shí)間就能夠?qū)ν馓峁┓?wù)；（3） 不需要考慮CA中心的安全建設(shè)，天威誠信通過嚴(yán)格的物理安全、信息安全、系統(tǒng)安全、通信安全和人員管理政策等，來保證CA中心的安全；（4） 不需要資深的PKI專家、法律專家，只須對(duì)內(nèi)部相關(guān)人員進(jìn)行簡(jiǎn)單的培訓(xùn)就可以對(duì)外提供安全服務(wù)；（5） 不需要維護(hù)一個(gè)完整的CA所需的CA系統(tǒng)運(yùn)營人員，只需要很少的人員配置，就能夠?qū)ν馓峁┓€(wěn)定的、可靠的安全服務(wù)；（6） 不需要單獨(dú)承擔(dān)全部的投資與風(fēng)險(xiǎn)，特別是系統(tǒng)運(yùn)營的投入和風(fēng)險(xiǎn)。 認(rèn)證體系設(shè)計(jì)認(rèn)證體系是指證書認(rèn)證的邏輯層次結(jié)構(gòu)，也叫證書認(rèn)證體系。認(rèn)證體系理論上可以無限延伸，但從技術(shù)實(shí)現(xiàn)與系統(tǒng)管理上，認(rèn)證層次并非越多越好。證書認(rèn)證的速度也會(huì)變慢。根據(jù)電子設(shè)備信息網(wǎng)的應(yīng)用需求，設(shè)計(jì)如下圖所示的認(rèn)證體系：圖42 CA認(rèn)證體系圖如圖所示，CA認(rèn)證體系采用三層結(jié)構(gòu)：（1） 根CA根CA是自簽名的根CA，根CA負(fù)責(zé)簽發(fā)下級(jí)子CA，它保存在天威誠信安全數(shù)據(jù)中心，處于離線狀態(tài)，天威誠信通過嚴(yán)格的物理安全、信息安全和網(wǎng)絡(luò)安全，以及人員政策，來保障根CA的安全，將它放在安全級(jí)別最高的離線第七層，海虹藥通不用擔(dān)心根CA的安全問題。它是在線的簽名CA，必須在線的安裝在托管建設(shè)于天威誠信安全數(shù)據(jù)中心的CA中心，天威誠信通過嚴(yán)格的物理安全、信息安全和網(wǎng)絡(luò)安全，以及人員政策，來保障CA的各子CA的安全，將它放在安全級(jí)別很高的在線第五層，海虹藥通不用擔(dān)心這些子CA的安全問題。從用戶證書信任鏈可以看到上圖所示的整個(gè)CA認(rèn)證體系，簽發(fā)用戶證書的CA是子CA，而最終的根則同是根CA。這種模式建設(shè)的海虹藥通CA系統(tǒng)邏輯結(jié)構(gòu)如下圖所示：圖43 海虹藥通CA系統(tǒng)邏輯結(jié)構(gòu)圖如上圖，整個(gè)海虹藥通CA系統(tǒng)由最終用戶、CA管理（位于海虹藥通本地）、證書注冊(cè)中心（位于海虹藥通本地）、認(rèn)證中心（位于天威誠信）構(gòu)成。除了證書管理，最終用戶還是證書的使用者，相關(guān)的應(yīng)用使用最終用戶客戶端密碼模塊存放的證書和私鑰，來完成簽名或加密等處理。管理員是由海虹藥通指定的、對(duì)海虹藥通CA系統(tǒng)進(jìn)行管理的可信人員，管理員通過CA管理前臺(tái)，訪問天威誠信提供的管理員Web站點(diǎn)，使用管理員證書登錄到為海虹藥通分配的CA管理帳戶中，來管理整個(gè)CA。l 注冊(cè)中心即RA中心，是CA系統(tǒng)的前臺(tái)，是提供給最終用戶注冊(cè)證書的地方，它建設(shè)在海虹藥通本地，如上圖所示。海虹藥通最終用戶通過訪問該服務(wù)器站點(diǎn)，來注冊(cè)數(shù)字證書。n 證書自動(dòng)管理服務(wù)器 它是對(duì)最終用戶提交的申請(qǐng)進(jìn)行自動(dòng)批準(zhǔn)的服務(wù)器，它鏈接到海虹藥通的用戶服務(wù)器或數(shù)據(jù)庫，判斷用戶提交的申請(qǐng)與服務(wù)器或數(shù)據(jù)庫中保存的信息是否一致，來驗(yàn)證是否為該用戶頒發(fā)數(shù)字證書，通過自動(dòng)管理服務(wù)器的處理，CA系統(tǒng)可以自動(dòng)的為用戶頒發(fā)數(shù)字證書，不需要管理員進(jìn)行干預(yù)。它根據(jù)證書管理員或自動(dòng)管理服務(wù)器對(duì)最終用戶證書請(qǐng)求的批準(zhǔn)，來簽發(fā)該用戶的數(shù)字證書。 系統(tǒng)功能CA系統(tǒng)所實(shí)現(xiàn)的主要功能是數(shù)字證書的頒發(fā)和管理。可以對(duì)CA策略、證書簽發(fā)策略和證書生命周期進(jìn)行配置和管理，可以完成請(qǐng)求處理、證書管理、查詢相關(guān)信息、吊銷證書，以及生成統(tǒng)計(jì)和審計(jì)報(bào)告等CA/RA的管理功能。天威誠信設(shè)計(jì)和建設(shè)的CA系統(tǒng)支持人工審批、自動(dòng)審批和通行碼審批等三種審批用戶證書請(qǐng)求的方式，支持集中制證和在線申請(qǐng)等兩種證書簽發(fā)模式，海虹藥通可以根據(jù)需要，進(jìn)行選擇和配置。（3） 證書發(fā)布CA系統(tǒng)在簽發(fā)用戶證書后會(huì)將用戶證書發(fā)布到公開網(wǎng)絡(luò)的目錄中供查詢用。（4） 證書查詢用戶在使用他人的數(shù)字證書發(fā)送加密文檔的時(shí)候，需要下載他人的數(shù)字證書，這時(shí)候他可以到公開目錄去查詢、下載他人證書；用戶也可以到網(wǎng)上查詢自己的證書狀態(tài)。（6） 證書更新所有證書都有一個(gè)有限使用期，即使用周期。為了繼續(xù)使用請(qǐng)求證書的申請(qǐng)，用戶對(duì)證書進(jìn)行更新。CRL的發(fā)布是周期性更新，可以被定義為每夜、甚至每小時(shí)對(duì)CRL進(jìn)行更新。 工作流程設(shè)計(jì) 最終用戶的證書申請(qǐng)流程在CA系統(tǒng)中，最重要的工作是最終用戶的證書申請(qǐng)流程。（1） 自動(dòng)審批自動(dòng)批準(zhǔn)是一種集成海虹藥通應(yīng)用系統(tǒng)用戶數(shù)據(jù)庫到注冊(cè)過程的證書申請(qǐng)請(qǐng)求自動(dòng)管理的模式。自動(dòng)審批模塊正是利用了用戶數(shù)據(jù)庫內(nèi)的認(rèn)證信息來進(jìn)行自動(dòng)審批處理，其工作流程如下圖所示：圖44 證書申請(qǐng)自動(dòng)審批流程圖1) 最終用戶使用瀏覽器，訪問海虹藥通注冊(cè)中心（RA）的證書注冊(cè)Web服務(wù)器，在相關(guān)頁面上填寫申請(qǐng)信息，點(diǎn)擊“提交”，系統(tǒng)便在最終用戶本地存儲(chǔ)設(shè)備（如硬盤、USB Token、IC卡等）中產(chǎn)生密鑰對(duì)，將公鑰與申請(qǐng)信息一起提交給注冊(cè)中心；2) 證書注冊(cè)服務(wù)器接收用戶申請(qǐng)信息，驗(yàn)證輸入數(shù)據(jù)格式的正確性后，將相關(guān)信息提交給證書自動(dòng)管理服務(wù)器；3) 證書自動(dòng)管理服務(wù)器查詢本地用戶資料數(shù)據(jù)庫，鑒證申請(qǐng)者的身份，確定其有證書申請(qǐng)權(quán)限；4) 通過申請(qǐng)者身份鑒證之后，自動(dòng)管理服務(wù)器會(huì)批準(zhǔn)最終用戶的證書申請(qǐng)請(qǐng)求，并使用自動(dòng)管理模塊配置的證書對(duì)批準(zhǔn)信息進(jìn)行簽名處理；5) 認(rèn)證中心（CA）根據(jù)證書自動(dòng)管理服務(wù)器的批準(zhǔn)，自動(dòng)為最終用戶頒發(fā)證書，并將頒發(fā)的數(shù)字證書通過注冊(cè)中心，返回給最終用戶，自動(dòng)保存到用戶選擇的證書存儲(chǔ)設(shè)備中（如硬盤、USB Token、IC卡等等）。（3） 通行碼審批通行碼審批是指由管理員產(chǎn)生需要申請(qǐng)用戶證書的客戶名單和每用戶對(duì)應(yīng)的用戶名和口令，并上傳到CA中心。最終用戶申請(qǐng)證書的時(shí)候需要輸入用戶名和口令，只要用戶名和口令正確則自動(dòng)通過用戶的身份鑒證，自動(dòng)批準(zhǔn)用戶的證書申請(qǐng)請(qǐng)求。 證書更新流程（1） 用戶一般在證書即將過期（一般在過期前一個(gè)月內(nèi)）前需要使用瀏覽器，訪問海虹藥通注冊(cè)中心的證書注冊(cè)Web服務(wù)器，進(jìn)入證書更新相關(guān)頁面；（2） 系統(tǒng)會(huì)自動(dòng)識(shí)別用戶系統(tǒng)的證書，如果系統(tǒng)沒有找到相應(yīng)的數(shù)字證書，系統(tǒng)提示沒有本應(yīng)用的數(shù)字證書，返回上一頁面；（3） 如果系統(tǒng)找到本CA系統(tǒng)簽發(fā)的用戶證書，并判斷是否已經(jīng)即將過期（過期前1月內(nèi)），如果找到，則自動(dòng)更新用戶證書。 證書存儲(chǔ)介質(zhì)在證書安全管理環(huán)節(jié)中，用戶證書對(duì)應(yīng)的私鑰保護(hù)是非常重要的，用戶私鑰代表了用戶的真實(shí)身份，一旦私鑰泄密，既會(huì)危及自身的數(shù)據(jù)安全，也可能造成其它用戶損失（私鑰獲得者可能假冒這個(gè)用戶的身份），甚至?xí)＜皣倚畔踩?。根?jù)海虹藥通的應(yīng)用需求，建議將用戶證書及其私鑰保存到USB令牌中。 CA管理終端奔騰 4 1G或更快，128MB 以上內(nèi)存，1GB 以上可用磁盤空間； Windows 操作系統(tǒng)；Internet Explorer 或NS 以上瀏覽器，128位加密強(qiáng)度；能夠連接互聯(lián)網(wǎng)；USB Token（證書存儲(chǔ)介質(zhì)），CA管理員證書。 證書注冊(cè)Web服務(wù)器PC Server，奔騰4 1G 或更快，5GB的可用磁盤空間216。5 網(wǎng)上招投標(biāo)系統(tǒng)安全設(shè)計(jì) 系統(tǒng)組成海虹藥通網(wǎng)上招投標(biāo)系統(tǒng)如下圖，由系統(tǒng)終端用戶（包括招標(biāo)會(huì)員、投標(biāo)會(huì)員、評(píng)標(biāo)用戶、系統(tǒng)管理員），前臺(tái)Web服務(wù)器，應(yīng)用服務(wù)器，數(shù)據(jù)庫等幾部分構(gòu)成。會(huì)員費(fèi)收入、廣告等收入由財(cái)務(wù)主管審批（激活）。（2） 審批領(lǐng)導(dǎo)審批領(lǐng)導(dǎo)負(fù)責(zé)對(duì)招標(biāo)立項(xiàng)的審批，審批領(lǐng)導(dǎo)登錄網(wǎng)上招投標(biāo)系統(tǒng)時(shí)，必須使用個(gè)人證書登錄網(wǎng)站，通過身份認(rèn)證后行使審批權(quán)限，對(duì)招標(biāo)立項(xiàng)進(jìn)行審批，審批結(jié)果需要進(jìn)行數(shù)字簽名，防止抵賴。招標(biāo)會(huì)員登錄網(wǎng)上招投標(biāo)系統(tǒng)時(shí)，需通過瀏覽器，向服務(wù)器出示他們的數(shù)字證書，經(jīng)過服務(wù)器端確認(rèn)后，便可發(fā)布招標(biāo)信息，并將招標(biāo)書通過安全通道上傳的服務(wù)器端，并且對(duì)提交的文件進(jìn)行數(shù)字簽名。主要權(quán)限除了上面用戶的權(quán)限外，還有要求澄清、查閱公示、下載標(biāo)書、提交標(biāo)書、修改公司信息、下載加密工具、開標(biāo)過程的瀏覽和視頻交流、中標(biāo)公示、免費(fèi)郵件、短信收發(fā)（收費(fèi)）等。當(dāng)投標(biāo)會(huì)員完成投標(biāo)文件，將文件加密簽名提交到系統(tǒng)，等待約定時(shí)間招標(biāo)會(huì)員和各投標(biāo)會(huì)員一同打開招標(biāo)文件。（6） 前臺(tái)Web服務(wù)器前臺(tái)Web服務(wù)器提供所有應(yīng)用服務(wù)的交互