【正文】 目錄服務器可以采用分布式的方式進行設置，以提高系統(tǒng)的效率。 證書狀態(tài)查詢系統(tǒng) 證書狀態(tài)查詢系統(tǒng)應為用戶和應用系統(tǒng)提供證書狀態(tài)查詢服務，包括： —— CRL 查詢：用戶或應用系統(tǒng)利用數(shù)字證書中標識的 CRL 地址，下載 CRL，并檢驗證書有效性。 在實際應用中，可以根據(jù)具體情況采用上述兩種查詢方式之一或全部。 安全管理系統(tǒng) 安全管理系統(tǒng)主要 包括安全審計系統(tǒng)和安全防護系統(tǒng)。 安全防護系統(tǒng)提供訪問控制、入侵檢測、漏洞掃描、病毒防治等網(wǎng)絡安全功能。 總體設計原則 證書認證系統(tǒng)遵循標準化、模塊化設計原則。 各模塊之間的通信采用基于身份驗證機制的安全通信協(xié)議。 各模塊產(chǎn)生的審計日志文件采用同一的格式傳遞和存儲。 系統(tǒng)必須具備訪問控制功能。 用戶注冊管理系統(tǒng)設計 用戶注冊管理系統(tǒng)功能 用戶注冊管理系統(tǒng)負責用戶證書 /證書注銷列表的申請、審核以及證書的制作，其主要功能如下： —— 用戶信息的錄入：錄入用戶的申請信息 ，用戶申請信息包括簽發(fā)證書所需要的信息，還包括用于驗證用戶身份的信息，這些信息存放在用戶注冊管理系統(tǒng)的數(shù)據(jù)庫中。 —— 用戶信息的審核：提取用戶的申請信息，審核用戶的真實身份，當審核通過后，將證書簽發(fā)所需要的信息提交給簽發(fā)系統(tǒng)。 —— 安全審計：負責對用戶注冊管理系統(tǒng) 的管理人員、操作人員的操作日志進行查詢、統(tǒng)計以及報表打印等。 —— 多級審核：用戶注冊管理系統(tǒng)可根據(jù)需要采用分級部署的模式，對不同種類和等級的證書，可由不同級別的用戶注冊管理系統(tǒng)進行審核。 用戶注冊管理系統(tǒng)應具有并行處理的能力。其結構如圖 2 所示： 安 全 管 理 安 全 審 計數(shù) 據(jù) 庫遠 程 注 冊 管 理 本 地 注 冊 管 理信 息 錄 入 身 份 審 核 證 書 制 作圖 2 用 戶 注 冊 管 理 系 統(tǒng) 邏 輯 結 構 證書 /證書注銷列表生成與簽發(fā)系統(tǒng)設計 證書 /證書注銷列表生成與簽發(fā)系統(tǒng)功能 證書 /證書注銷列表生成與簽發(fā)系統(tǒng)是證書認證系統(tǒng)的核心，不僅為整個證書認證系統(tǒng)提供簽發(fā)證書 /證書注銷列表的服務，還承擔整個證書認證系統(tǒng)中主要的安全管理工作。根據(jù)系統(tǒng)的配置和管理策略，不同種類或用途的證書可以采用不同的簽名密鑰。 —— 證書注銷列表生成與簽發(fā)：接收注銷信息，驗證注銷信息中的簽名，然后簽發(fā)證書注銷列表，將簽發(fā)后的注銷列表發(fā)布到數(shù)據(jù)庫或目錄服務器中。 —— 安全審計：負責對證書 /證書注銷列表生成與簽發(fā)系統(tǒng)的管理人員、操作人員的操作日志進行查詢、統(tǒng)計以及報表打印等。 證書 /證書注銷列表生成與簽發(fā)系統(tǒng)應具有并行處理的能力。 證書 /證書注銷列表生成與簽發(fā) 主要功能包括證書的生成與簽發(fā)和 CRL/ARL 的生成與簽發(fā)。在此過程中，必須保證私鑰傳遞的安全。 密碼設備 密碼設備完成簽名以及驗證工作，并負責與其它系統(tǒng)通信過程中的密碼運算， CA 的簽名密鑰保存在密碼設備中。 安全管理 主要包括： （ 1） 證書模板配置： （ 2） CRL 發(fā)布策略配置： （ 3） 進行 CA 密鑰的更新； （ 4） 進行證書的備份和歸檔； （ 5） 進行服務器安全配置，包括服務器可接受的主機訪問列表； （ 6） 為其它子系統(tǒng)定義管理員以及為這些管理員簽發(fā)數(shù)字證書； （ 7） 數(shù)據(jù)庫系統(tǒng)的配置：數(shù)據(jù)源的選擇，數(shù)據(jù)庫連接的用戶名和口令設置； 安全審計 查詢證書 /證書注銷列表生成與簽發(fā)系統(tǒng)中的安全審計日志，并進行統(tǒng)計與打印。 證書 /證書注銷列表存儲發(fā)布系統(tǒng)功能 證書 /證書注銷列表 存儲發(fā)布系統(tǒng)是證書認證系統(tǒng)的基礎組成部分，證書的存儲和發(fā)布必須采用數(shù)據(jù)庫、目錄服務器或其中之一。 —— 安全管理：對證書 /證書注銷列表存儲發(fā)布辭退的登錄進行訪問控制，并定期對數(shù)據(jù)庫和目錄服務器進行管理和備份。 證書 /證書注銷列表存儲發(fā)布系統(tǒng)結構 證書 /證書注銷列表存儲與發(fā)布系統(tǒng)由數(shù)據(jù)庫或主 /從目錄服務器、安全管理模塊、安全審計模塊組成。 目錄服務器 證書 /證書注銷列表存儲發(fā)布系統(tǒng)采用主從結構的目錄服務器，簽發(fā)完成的數(shù)據(jù)直接寫入主目錄服務器中，然后由目錄服務器的主從映射功能自動映射到從目錄服務器中。用戶只能訪問從目錄服務器。 （ 2） 對數(shù)據(jù)庫和目錄服務器中的數(shù)據(jù)進行一致性檢查，發(fā)現(xiàn)不一致時， 應進行數(shù)據(jù)恢復。 證書狀態(tài)查詢系統(tǒng)設計 證書狀態(tài)查詢系統(tǒng)為用戶及應用系統(tǒng)提供證書狀態(tài)查詢服務。 —— 在線證書狀態(tài)查詢：用戶或應用系統(tǒng)利用 OCSP 協(xié)議，在線實時查詢證書的狀態(tài)，查詢結果經(jīng)過簽名后返回給請求者，進行證書狀態(tài)的檢驗。 證書狀態(tài)數(shù)據(jù)庫 /OCSP 服務器 接受用戶及應用系統(tǒng)的證書狀態(tài)查詢請求，根據(jù)請求信息中的證書序列號，從證書狀態(tài)數(shù)據(jù)庫中查詢證書的狀態(tài)，查詢結果返回給請求者。 安全管理 主要包括： （ 1） OCSP 服務器的配置，定義可接受的訪問控制信息以及查詢的證書狀態(tài)數(shù)據(jù)庫的地址。 安全審計 查詢證書狀態(tài)查詢系統(tǒng)中的安全審計日志，并 進行統(tǒng)計與打印等。證書管理系統(tǒng)是一個邏輯上獨立的系統(tǒng)，在進行系統(tǒng)設計過程中，可根據(jù)證書認證系統(tǒng)提供的服務，由不同的處理模塊組成，這些模塊可以采用分布式的結構，以增強系統(tǒng)的處理能力，提高系統(tǒng)的效率。 安全審計系統(tǒng) 提供事件級審計功能，對涉及系統(tǒng)安全的行為、人員、時間的積累進行跟蹤、統(tǒng)計和分析。 日志記錄的主要內(nèi)容包括： a） 操作員姓名； b） 操作項目 c） 操作起始時間； d） 操作終止時間； e） 證書序列號； f） 操作結果。 安全防護系 統(tǒng) 提供訪問控制、入侵檢測、漏洞掃描、病毒防治等網(wǎng)絡安全功能。 其中，證書結構中的頒發(fā)者名稱和主體名稱的 DN 順序應符合下列規(guī)則： （ 1） 如果有 C項，則放在最后，且 C=CN； （ 2） 如果有 CN項，則放在 DN 的最前面； （ 3） 如果同時存在 OU 和 O 項，則 OU 在 O前面；如果同時存在 S和 L 項，則 L在 S前面。 證書注銷列表 本項目 的證書注銷列表結構和格式 必須 遵照國家相關標準。 5 密碼算法、密碼設備及接口 證書認證系統(tǒng)使用對稱密碼算法、非對稱密碼算法和數(shù)據(jù)摘要算法等三類算法實現(xiàn)有關密碼服務各項功能，其中，對稱密鑰密碼算法實現(xiàn)數(shù)據(jù)加 /解密以及消息認證；非對稱密鑰密碼算法實現(xiàn)簽名 /驗證以及密鑰交換；數(shù)據(jù)摘要算法實現(xiàn)待簽名消息的摘要運算。 —— 非對稱密鑰密碼算法：采用國家密碼主管部門批準使用的非對稱密鑰密碼算法。數(shù)據(jù)摘要算法在實現(xiàn)待簽名消息的摘要運算過程忠，至少對部分數(shù)據(jù)要采取密碼保護。 —— 通信類密碼設備：用于 KMC 與 CA之間、 CA 與 RA 間的傳輸加密。 . 密碼設備的功能 密碼設備必須具備如下基本功能： a） 隨機數(shù)生成； b） 非對稱密鑰的產(chǎn)生； c） 對稱密鑰的產(chǎn)生； d） 非對稱密鑰密碼算法的加解密運算； e） 對稱密鑰密碼算法的加解密運算； f） 數(shù)據(jù)摘要運算； g） 密鑰的存儲； h） 密鑰的安全備份和安全導入導出； i） 多密碼設備并行工作時，密鑰的安全同步； . 密碼設備的安全要求 密碼設備應滿足下列要求： a） 接口安全，不執(zhí)行規(guī)定命令以外的任何命令和操作； b） 協(xié)議安全，所有命令的任意組合，不能得到密鑰的明文； c） 密鑰安全，密鑰不以明的形式出現(xiàn)在密碼設備之外； d） 物理安全，密碼設備應具有物理防護措施，任何情況下的 拆卸均應立即銷毀設備內(nèi)保存的密鑰。 本需求書 僅定義基本接口函數(shù)，包括：密鑰對生成、非對稱加解密函數(shù)、對稱加解密函數(shù)、數(shù)據(jù)摘要函數(shù)等，有關函數(shù)定義以及功能說明可參見《 認證系統(tǒng)密碼及其相關安全技術規(guī)范 》。 申請信息的格式可參見 《 認證系統(tǒng)密碼及其相關安全技術規(guī)范 》。 a） 身份確認：身份確認可以采用面對面的方式，即要求用戶或其代理者攜帶證明資料到 RA 進行驗證；也可以通過查詢其它的安全應用系統(tǒng)的用戶資料，進行自動驗證。 b） 擁有簽名私鑰的驗證：對申請信息進行數(shù)據(jù)摘要運算，然后用申請信息中的公鑰， 對申請信息中的簽名進行解密，得到申請者計算的數(shù)據(jù)摘要，然后進行比較。該過程也可以在證書簽發(fā)時進行。 a） 根證書和 CA 證書的簽發(fā)：根證書是一張自簽名證書，使用證書中的公鑰即可驗證證書的簽名。下級CA 的數(shù)字證書由上級 CA簽發(fā)。 b） 用戶證 書的簽發(fā)：認證系統(tǒng)簽發(fā)用戶證書時，首先根據(jù)用戶的申請信息、以及審核信息確認是否為該用戶簽發(fā)證書，當確 認可以簽發(fā)后，向密鑰管理中心申請一對加密密鑰，再根據(jù)申請信息為用戶簽發(fā)兩張數(shù)字證書并將兩張數(shù)字證書發(fā)布到目錄服務器上，然后將數(shù)字證書以及加密證書的私鑰回傳給用戶。 b） 用戶證書的下載：用戶或其代理者進行證書的下載時，首先向 RA提供確認信息。 證書的下載的消息格式可參見 《 認證系統(tǒng)密碼及其相關安全技術規(guī)范 》 。 b） 用戶申請注銷：當用戶因某種原因不再或不能使用證書時，可以通過 RA申請注銷證書。 證書注銷列表的發(fā)布 a） 發(fā)布的時間策略：可以采取實時發(fā)布和定時發(fā)布兩種策略。 b） 發(fā) 布的形式：可以采用完全的注銷列表、增量證書注銷列表以及證書分布點技術發(fā)布證書注銷列表。 證書密鑰更新時，證書認證系統(tǒng)需要簽發(fā)三個新證書： 1） 新私鑰簽名的包含新公鑰的證書；