（产业经济学专业论文）商业银行自建RA系统开发.pdf

对外经济贸易大学硕士学位论文 摘要 随着网上银行业务的开展，网上银行的安全性也成为急需解决的问题。目前，加 强网上银行用户的身份管理，防止用户身份的泄露，是公认的预防网上银行安全隐患 的最有效措施。多数网上银行的专业版都采用数字证书作为客户身份证明，一是确保 交易的真实性，更重要的是能有效防止用户身份的泄嚣。因为即使黑客盗取了客户密 码，但没有证明身份的数字证书，同样无法操作，无法盗取资金。 目前国内银行主要通过采用c a 认证( 身份认证) 的方式来预防用户身份的泄露， 保障电子商务交易的安全。本文所研究开发的r a 系统是联系c a 和最终用户的中间环 节，它直接面对用户，能否满足用户的需求、能否与用户的应用系统结合的更紧密、 以及用户操作使用和管理维护r a 系统的方便性都将直接影响着c f c a 证书的发放和 广泛应用，所以r a 是整个c a 系统中非常关键的一个环节。 2 0 0 5 年5 月，国产的8 6 3 c a 系统正式通过国家科技部8 6 3 项目验收，国产c a 要 大规模应用，就需要开发与之相配套的r a 系统，同时需要解决r a 系统的兼容性问题， 即新开发的r a 系统要同时支持8 6 3c a 和原有的e n t r u s tc a 产品。 正是在上述背景下，c f c a 接到某商业银行的要求，为加强网上银行的安全性， 此银行需要上马一套r a 系统，要求同时支持8 6 3c a 和e n t r u s tc a 。这个系统对于商 业银行网上银行业务的拓展将发挥重要作用，同时，网上银行用户网络交易的安全性 也有了更好的保障。 本文的工作涵盖了r a 系统开发的全过程，从需求分析，到设计实施及最后的实 旌效果追踪。重点在设计，实施两个部分。其中包括，系统总体要求，系统体系结构 设计，系统数据流程，系统数据结构，系统的安全设计。希望通过本r a 系统的实施， 能够给今后的p k i 建设提供一个可以借鉴的方式，即只需在银行等需要实施第三方认 证的机构部署r a 系统，就可以方便迅速的应用p k i 设旖的安全服务。 本文的工作主要体现在以下几个方面：l 、结合用户的要求，对商业银行r a 系统 的需求进行系统的调研、分析，给出了详细的需求分析文档，并针对需求，进行系统 的总体设计、详细设计：2 、根据r a 系统需求分析、系统设计，开发出一套能同时支 持8 6 3c a 和e n t r u s tc a ，性能稳健，部署灵活，使用方便的r a 系统：3 、通过系统实 施，将此r a 系统部署到某商业银行，通过银行的具体应用来检验系统的性能，使系 统在实践中不断完善，更好的满足用户的需要。 关键词：公钥基础设施认证中心注册中心 对外经济贸易大学硕上学位论史 a b s t r a c t t h es e c u r i t yo fi n t e m e tb a n ki sap r o b l e mm u s tb es o l v e dw i t hi n t e r n e tb a n k 。sr a p i d d e v e l o p m e n ti nr e c e n ty e a r s a tp r e s e n ta l la c c e p t e dm e a s u r et oa v o i dd a n g e r so fi n t e r n e t b a n ki st os t r e n g t h e nt h em a n a g e m e n to f i n t e r n e tb a n k su s e r s m a n yi n t e r a c tb a n k so f c h i n a k e e pi t su s e r s i d e n t i f i c a t i o ns e c r e tt oe n s u r et h es a f e t yo fe l e c t r o n i ct r a n s a c t i o nb ym e a q so f c a ( c e r t i f i c a t i o na u t h o r i t y ) t h i st h e s i si sm a i n l yo nt h ed e v e l o p m e n to fr a ( r e g i s t r a t i o n a u t h o r i t y ) s y s t e m r as y s t e mi sd i r e c t l yu s e db yt h ee n d b s c r so fi n t e r n e tb a n k ，s oi t s p e r f o r m a n c ei sv e r yi m p o r t a n tb e c a u s ei tw i l la f f e c tt h ei s s u a n c ea n db r o a da p p l i c a t i o no f t h e c f c ac e r t i f i c a t e m a y2 0 0 5 ，8 6 3c as y s t e mo f f i c i a l l yr e c e i v e dt h ea c c e p t a n c eo fm i n i s t r yo fs c i e n c ea n d t e c h n o l o g yo fp r c t h e8 6 3c as y s t e mn e e dam a t c h a b l er as y s t e mf o ri t sm a s s a p p l i c a t i o n s ，a n dt h i sn e wr as y s t e mf o r8 6 3c a s h o u l da l s os u p p o r tt h eo r i g i n a le n t r u s t c a i ti si nt h i sc o n t e x tt h a tc f c ar e c e i v e dab u s i n e s s t oe n h a n c et h es e c u r i t yo fi t si n t e r n e t b a n k ac o m m e r c i a lb a n kn e e d sar as y s t e mw h i c hs h o u l ds u p p o r tb o t h8 6 3c aa n de n t r u s t c a w eh o p et h ei m p l e m e n t a t i o no ft h i sr as y s t e mw i l lp l a ya l li m p o r t a n tr o l ei nt h e e x p a n s i o no ft h eb a n k ，a n dt h ei n t e r a c tb a n k i n gt r a n s a c t i o na n dt h ee n d u s e rw i l lg e tb e t t e r p r o t e c t i o n t h ew o r kc o v e r st h ew h o l ep r o c e s so fr as y s t e md e v e l o p m e n t ，s u c ha sr e q u i r e m e n t a n a l y s i s ，s y s t e md e s i g n ，s y s t e mi m p l e m e n t a t i o n ，a n dt r a c k i n go f t h ei m p l e m e n t a t i o n r e s u t to f t h i sr as y s t e m c f c ah o p e st h a tt h r o u g ht h ei m p l e m e n t a t i o no ft h er as y s t e m ，t ob ea b l e t of m dar a p i dw a yo fb u i l d i n gp k ii nt h ef u t u r e ：w eo n l yd e p l o yr as y s t e mi nt h e o r g a n i z a t i o nw h i c hn e e d st oi m p l e m e n tt h i r d - p a r t yc e r t i f i c a t i o n ，s ow ec a nu s es e c u r i t y s e r v i c eo f p k i t h i sw o r ki sm a i n l ym a n i f e s t e di nt h ea s p e c t sa sf o l l o w s ：f i r s t l y , w i mt h es y s t e m a t i c r e s e & r c h ，a n a l y s i so fn s e r sr e q u i r e m e n t sf o rc o m m e r c i a lb a n k sr as y s t e m ，w ep r o v i d ea d e t a i l e dr e q u i r e m e n t sa n a l y s i sf i l e s ，a n dt h es y s t e md e s i g nd o c u m e n t s ；s e c o n d l y , b a s e do i l t h er as y s t e mr e q u i r e m e n t sa n a l y s i s ，s y s t e md e s i g n ，w ed e v e l o p e dar as y s t e mc a l la l s o s u p p o r t8 6 3c aa n de n t r u s tc a ，i ti s ar o b u s tp e r f o r m a n c e , d e p l o y m e n to ff l e x i b l e ， u s e r - f r i e n d l ys y s t e m ；t h i r d l y , t h r o u g hi m p l e m e n t a t i o no ft h er as y s t e m ，p r a c t i c ei nt h e b a n kw i l lt e s tt h ep e r f o r m a n c eo ft h es y s t e m ，s ot h a ti np r a c t i c et h er as y s t e mw i l lb e c o n s t a n t l yi m p r o v e d ，t om e e tu s e rn e e d sb e t t e r k e y w o r d s ：p k i ( p u b l i ck e yi n f r a s t r u c t u r e ) ，c a ( c e r t i f i c a t i o na u t h o r i t y ) ，r a ( r e g i s t r a t i o n a u t h o r i t y ) 一2 对外经济贸易大学硕士学位论史 第一章绪论 1 1 论文背景及意义 今天，互联网已经渗透到了我们生活的方方面面。网上娱乐、网上购物、网上银 行等新的生活方式正在逐渐影响着我们的生活。尤其是近几年网上银行的快速发展， 在为我们生活提供便利的同时，也改变了我们的生活方式和习惯。 从1 9 9 8 年中国银行首次将传统银行业务延伸到互联网上。，到目前国内几乎所有 大的商业银行都推出自己的网上银行或在互联网上建立了自己的主页和网站，我国银 行纷纷把业务搬上互联网，积极抢滩网上银行市场。与传统银行相比，网上银行在降 低经营成本、完善服务质量、拓宽业务领域等诸多方面具有显著的优势。这些优势无 疑是网上银行应用得以迅速发展的基础。 然而，在带来诸多方便的同时，网上银行的安全性也成为急需解决的问题。目前， 加强网上银行用户的身份管理，防止用户身份的泄露，是公认的预防网上银行安全隐 患的最有效措施。多数网上银行的专业版都采用数字证书作为客户身份证明，一是确 保交易的真实性，更重要的是能有效防止用户身份的泄露。因为即使黑客盗取了客户 密码，但没有证明身份的数字证书，同样无法操作，无法盗取资金。因此，目前国内 银行主要通过采用c a 认证( 身份认证) 的方式来预防用户身份的泄露。 在c a 认证机构的选择上，我国银行以采用第三方认证机构为主，这也是行业系 统化、规范化发展方向及诚信的基础。最近，我国金融业统一的第三方安全认证机构 中国金融认证中心数据显示，c f c a 已累计发放证书超过6 8 万张( 2 0 0 5 年8 月) 。包 括工商银行、农业银行、建设银行、交通银行、中信实业银行、上海浦发银行、民生 银行在内的众多银行都已经建立了c f c a 证书审批机构，并且有超过9 家银行将这一 认证在全国范围内推广。华夏、民生等银行还实现了c f c a 证书的跨行认证。 由于第三方c a 独立于当事人的任何一方，比非第三方c a 具有更强的权威性、公 正性和可信赖性，能够更好的确保网上交易的有效性，技术上也有更好的保障。在互 联网这种开放、不设防、复杂的环境中，第三方c a 通过发放证书来保障信息的传输 安全，对交易双方起到了规避风险的作用。 2 0 0 5 年4 月1 日起圆，我国正式实施电子签名法。电子签名法的颁布实施， 将对我国电子商务和电子政务的发展起到重要推动作用。这部“中国首部真正意义上 的信息化法律”无疑将使国内网上银行业务迎来发展的“春天”。 电子签名法首次赋予电子签名与文本签名具有同等法律效力。电子签名法 的颁布，为数字证书的使用提供了可靠的法律依据，必将使更多银行加大采用数字证 田世宏我国网上银行的发展与监管对策， h t t p 赫c n b r o w s e s h o w d o c a s p x ? c 0 d f 3 1 8 & i d = 2 0 0 6 0 4 0 6 1 0 3 6 4 8 9 5 7 3 2 电子签名法正式出台，h 却：w w we i l e t t o m ，c n a r t i c l e 2 0 0 4 0 9 0 3 a 2 0 0 4 0 9 0 3 3 4 0 1 3 32 s h h n l l 一 对外经济贸易大学硕士学位论文 书的广度和深度，网上银行的发展从此将立足于法律保障的基石上快速前行；有了电 子签名法，银行就可以制定网上电子支付规则，制作电子支票，实现网上快速资金结 算。即便不在网上支付，支票也可以数字化，银行可以减少假图章的欺诈，降低交易 风险，节省大量的纸张印刷，减少费用，提高效益，从而将在成本控制上对银行产生 激励作用。；此外，电子签名法的颁布，更大程度免除了用户的后顾之忧，将鼓励 更多的用户放弃传统银行柜台式结算，选择更加便利、高效的网上银行结算方式，从 用户端推动我国网上银行的发展。 这是第三方认证机构发展的良好机遇，而c f c a 确实正在抓住这个机遇，不断推 动数字证书在各个行业的应用，扩大市场份额。 数字证书注册r a ( r e 垂s 缸瓶0 n a u t l l o r i t y ) 系统对用户( r a 管理员、u 认操作员 和最终用户) 的证书申请进行管理和审核，并向c a 发出证书颁发申请。r a 系统是整 个c a 系统的关键之一，因为r a 是c a 功能的延伸，它直接面对用户，能否满足用户 的需求、能否与用户的应用系统结合的更紧密、以及用户操作使用和管理维护r a 系 统的方便性都将直接影响着c f c a 证书的发放和广泛应用，所以r a 是接个c a 中心 系统中非常关键的一个环节。 另一个意义在于，随着我国国产c a 系统研制的成功，并付诸应用，我们现在开 发的r a 系统主要是为新建设的国产化c a 提供配套使用的本地r a 产品，同时也考虑 支持目前c f c a 现有的c a 系统，即：e n t r u s t c a 产品，这对于我国自主知识产权8 6 3 c a 的推广应用和不断完善也有很重要的作用。 1 2p k i 理论基础 国际上，电子支付的安全机制正在走向成熟，并逐渐形成了一些国际规范，比较 有代表性的是s s l 、s e t 和p k 严。 p k i ( p u b l i ck e yi n f r a s t r u c t u r e ，公共密钥基础设施) 产生于二十世纪八十年代，它 是在公开密钥理论和技术基础上发展起来的一种综合安全平台，能够为所有网络应用 透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理，从而达到保证 网上传递信息的安全、真实、完整和不可抵赖的目的。利用p k i 可以方便地建立和维 护一个可信的网络计算环境，从而使得入们在这个无法直接相互面对的环境里，能够 确认彼此的身份和所交换的信息，能够安全地从事商务活动。 p k i 的关键组成部分是c a ( 认证中心) 。c a 可以被看做是p k i 中韵独立第三方机 构。c a 负责生成、分发和撤消数字证书，通过所谓的认证过程将一个公共密钥值与一 个人、一台计算机或一个实体联系起来。c a 具有分层的组织结构。其中每个父c a 为 下属c a 的公共密钥签署证书提供担保。认证过程由用户证书开始，并沿着证书的路 透视国内网上银行应用现状，h t t p ：e c h i n a b y t e c o m 3 4 3 2 0 1 9 3 4 3 s h t m l 电子商务支付系统安全保障研究，h t t p ：u s s t e c , c o n l p a g e s e s s a y y a n j i u b r o w e s 0 4 0 7 1 3 一1 h t m 一2 一 对外经济贸易大学硕士学位论文 径向上进行，直到证书可以为一个更高层次的c a 所确认。 1 2 1 加密技术 加密技术是电子商务采取的基本安全措施，贸易方可根据需要在信息交换的阶段 使用。加密技术分为两类，即对称加密和非对称加密。 在对称加密方法中，采用相同的加密算法并只交换共享的专用密钥( 加密和解密 都使用相同的密钥) 。如果进行通信的贸易方能够确保专用密钥在密钥交换阶段未曾泄 露，那么机密性和报文完整性就可以通过这种加密方法加密机密信息和通过随报文一 起发送报文摘要或报文散列值来实现。因此，对称加密技术存在着在通信的贸易方之 间确保密钥安全交换的问题。此外，对称加密方式无法鉴别贸易发起方或贸易最终方。 数据加密标准( d e s ) 由美国国家标准局提出，是目前广泛采用的对称加密算法，主 要应用于银行业中的e f t 领域。d e s 的密钥长度为5 6 位 。 在非对称加密体系中，密钥被分解为一对，即公开密钥或专用密钥。公开密钥( 加 密密钥) 通过非保密方式向他人公开，而专用密钥( 解密密钥) 加以保存。公开密钥 用于对机密性的加密，专用密钥则用于对加密信息的解密。专用密钥只能由生成密钥 对的贸易方掌握，公开密钥可广泛发布，但它只对应于生成该密钥的贸易方。贸易甲 方生成一对密钥，公布公开密钥；贸易方乙得到该公开密钥，使用该密钥对机密信息 进行加密，然后发送给贸易甲方：贸易甲方再用自己保存的专用密钥对加密后的信息 进行解密。贸易方只能用其专用密钥解密由其公开密钥加密后的任何信息。r s a 算法 是非对称加密领域内最为著名的算法。 1 2 2 数字证书 数字证书是基于菲对称加密技术的，存在两个明显的问题：第一，如何保证公开 密钥的持有者是真实的；第二，大规模网络环境下公开密钥的产生、分发和管理。由 此，证书签发机构( c a 。c e r t i f i c a t ea u t h o r i t y ) 应运而生，它是提供身份验证的第三方 机构，由一个或多个用户信任的组织实体构成。c a 核实某个用户的真实身份以后，签 发一份报文给该用户，以此作为网上证明身份的依据。这个报文称为电子证书，包括： 唯一标识证书所有者( 即贸易方) 的名称、唯一标识证书签发者的名称、证书所有者 的公开密钥、证书签发者的数字签名、证书的有效期及证书的序列号等。 现在广泛使用的数字证书标准是x 5 0 9v 3 。x 5 0 9 由r r u t x 5 0 9 或l s o i e c 9 5 9 年8 定义，首次于1 9 8 8 年作为x 5 0 0 d i r e c t o r yr e c o m m e n d a t i o n s 的一部分出版，其格式为 v l 版本。在v l 版本中，证书有一些基本的内容包括：证书版本，证书序列号，签名算 法，发布者，有效期，主体，主体公钥，密钥用途，c a 签名等。 当x 5 0 0 于1 9 9 3 年修改时x 5 0 9 标准也作了修改，在证书中增加了两个新的域， 由此产生了v 2 版本，用于支持目录的访问控制。在实旌p k i 系统时，i s o i e c 和a n s i x 9 电子商务安全技术，h t t p ：w w w w e b p r o m o t e c o r n c n a r t i e l e 2 0 0 0 0 4 2 7 2 0 0 0 0 4 2 7 1 8h t m 一3 对外经济贸易九学硕士学位论文 对v 2 版本进行了扩展，开发了v 3 版本。这些扩展域包括用户标识信息，密钥属性信 息，策略信息，证书通路约束等”。 x 5 0 9 数字证书是p k i 技术的重要组成部分。p k i 技术己经被人们广泛的接受了， x 5 0 9 证书也就逐渐被人们所熟悉，并被广泛使用。 x 5 0 9 证书的特性： i s o r r u 、a n s i 、i e t f 等组织制定的标准x 5 0 9 ，对电子证书进行了定义，对x 5 0 9 证书和c r l 做了标准化工作，不同组织定义的证书格式并不完全相同。x 5 0 9 证书适 用于大规模网络环境，它的灵活性和扩展性能够满足各种应用系统不同类型的安全要 求。x 5 0 9 证书具有如下五个方面的特性。 ( 1 ) 支持多种算法。x 5 0 9 证书独立于算法，c a 根据需要选择证书的签名和摘要算 法，以及端实体所拥有密钥对的类型。摘要算法有m d 2 、m d 5 和s h a 一1 ，证书签名 算法有r s a 和d s a ，密钥对类型有r s a 密钥、d s a 签名密钥、d h 密钥交换密钥、 l ( e a 密钥和b c d s a 密钥。 ( 2 1 支持多种命名机制。x 5 0 9 证书除了使用x 5 0 0 名字机制标识持证者和验证者， 还支持e m a i l 地址、讲地址、d n s 名和u r 。 ( 3 ) 限制证书( 公开密钥) 的用途。c a 能够规定证书的使用范围，如：签名、不可 否认、密钥加密、数据加密、密钥协商、证书签发和c r l 签发等。 ( 4 1 定义证书遵循的策略。每个c a 都定义了一定的安全策略，规范证书的操作过 程。这些策略包括：c a 的命名空间、身份验证、撤销机制、法律责任和收费等。 ( 5 ) 控制信任关系的传递。建立c a 体系，跨域认证，使得每个c a 除负责本域的 证书管理任务外，还要维护与其他c a 间的信任关系。x 5 0 9 证书定义若干字段用于控 制信任关系的传递，c a 能够将自己管理域的安全策略体现在信任关系中。 1 2 3p k l 基本构成 p k i 框架有三类实体：管理实体、端实体和证书库。管理实体是p k i 的核心，是 p k i 服务的提供者；端实体是p k i 的用户，是p k i 服务的使用者：证书库是一个分布 式数据库，用于证书c r l 存放和检索。 证书签发机构( c a ) 和注册机构( r a ) 是两种管理实体。c a 是p k i 框架中唯一 能够发布撤销证书的实体，维护证书的生命周期；r a 负责处理用户请求，在验证了 请求的有效性后，代替用户向c a 提交。r a 可以单独实现，也可以合并在c a 中实现。 作为管理实体，c a r a 以证书方式向端实体提供公开密钥的分发服务。 持有者和验证者是两种端实体。持有者是证书的拥有翥，是证书所声明事实的主 p 技术及应用开发指南，h t t p ：l w w w y o m i c r d c o r a p u t e r a 2 0 0 5 0 7 2 0 0 5 - 0 7 - 2 4 1 6 6 7 0 1 ，h u n l 电子商务安全技术，h t t p ：w v c w w e b p r o m o t e c o m c i a l a r t i c l e 2 0 0 0 0 4 2 7 1 2 0 0 0 0 4 2 7 1 8h t m 电子商务安全技术，h t t p ：w w w w e b p r o m o t e g o i i i ，c n a r t i e l e 2 0 0 0 0 4 2 7 2 0 0 0 0 4 2 7 1 8 h u n - - 4 - - 翌! ! 丝堕堡墨查兰壁主兰丝堡兰一 体。持有者向管理实体申请并获得证书，也可以在需要时请求撤销或更新证书。持有 者使用证书鉴别自己的身份，从而获得相应的权力。验证者通常是授权方，确认持有 者所提供的证书的有效性和对方是否为该证书的真正拥有者，只有在成功鉴别之后才 可授权对方。 证书库可有w e b 、f t p 或x 5 0 0 目录来实现。由于证书库中存取对象是证书和 c r l 其完整性由数字签名保证，因此对证书库的操作可在无特殊安全保护的信道上 传输 。 不同的实体间通过p k i 操作完成证书的请求、确认、发布、撤销、更新和获取等 过程。p k i 操作分成存取操作和管理操作两类。前者涉及管理实体端实体与证书库之 间的交互，操作的目的是向从证书库存放读取证书和c r l ，后者涉及管理实体与端实 体之间或管理实体内部的交互，操作的目的是完成证书的各项管理任务和建立证书链。 电子商务安全技术，h t t p ：w w w w e b p r o m o t e c o l l l o n a r t i c l e 2 0 0 0 0 4 2 7 2 0 0 0 0 4 2 7 1 8 h t m 一5 对外经济贸易大学硕士学位论文 1 3 国内外p k i 应用发展概况 1 3 1 国外p k i 应用现状 p k i 是建立公钥加密技术基础之上的，p k i 随着加密技术的发展而前进。1 9 7 6 年， 美国的密码学专家d i f f i e 和h e l l m a n 提出了著名的d h 密钥分发体制，第一次解决了 不依赖秘密信道的密钥分发问题，允许在不安全的媒体上双方交换信息，安全地获取 相同的用于对称加密的密钥，公钥则在电话簿中公布。1 9 7 8 年k o h n f e | d e r 提出了 c e r t i f i c a t e a g e n c y ( c a 认证机构) 的概念，在c a 集中式管理的模式下，公钥以c a 证书 形式公布于目录库，私钥仍以秘密( 物理) 信道分发。1 9 9 1 年相继出现了p g p 、p e m ， 第一次提出密钥由个人生成的分散式体制，以不传递私钥的方式避开了秘密信道。1 9 9 6 年出现s p k i 解决方案。p k i 设立了c a 认证中心，以第三方证明的方式将公钥和标识 绑定，并创立了层次化c a 架构。 美国作为最早提出p k i 概念的国家，于1 9 9 6 年成立了美国联邦p k i 筹委会，其 p k i 技术在世界上处于领先地位，与p k i 相关的绝大部分标准都由美国制定。2 0 0 0 年 6 月3 0 日，美国总统克林顿正式签署美国全球及全国商业电子签名法，给予电子签 名、数字证书以法律上的保护，这一决定使电子认证问题迅速成为各国政府关注的热 点。美国联邦政府的p k i 体系建设形成了以下信任层次和信任域： 策略批准机构( p a a ) ：这是联邦p k i 的根节点，负责批准二级节点的安全策略； 策略产生机构( p c a ) 也叫策略认证机构，是联邦p k i 的二级节点，定义下级产 生公钥证书节点的安全策略； 认证机构( c a ) ：是联邦p k i 的三级节点，依据p c a 定义的安全策略，为下级用 户r 可能是下级c a ) 签发和维护数字证书、c r i 结构等； 用户：数字证书及相应私有密钥的持有者，用户利用数字证书和私有密钥进行 数据保护、身份鉴别等安全行为。 除上述层次外，联邦p k i 体系还包含一个目录系统，用于存放有效证书和已经作 废的证书。美国联邦政府在研究各联邦政府已建成的p k i 体系的基础之上，为解决各 种不同认证系统之间的交叉认证问题，于1 9 9 8 年提出了桥接c a 的概念，旨在解决了 不同信任域之间的信息传递问题，避免形成信任孤岛。 加拿大在1 9 9 3 就已经开始了政府p k l 体系雏形的研究工作，到2 0 0 0 年己在p k l 体系方面获得重要的进展，已建成的政府p k i 体系为联邦政府与公众机构、商业机构 等进行电子数据交换时提供信息安全的保障，推动了政府内部管理电子化的进程。加 张丽锋，p 发展篇一一p 现状与未来( a m t 研究院) h t t p ：w w w a m t e a m o r g d o c s b d d o c u m e n t a s p ? a c t i o n = v i e w & l d = 2 8 5 9 c f e 7 5 b b 5 - 4 d 1 2 9 3 a a - 2 6 0 c 9 7 c 9 2 2 5 5 一6 一 对讣经济贸易大学硕士学位论义 拿大与美国代表了发达国家p k i 发展的主流。 欧洲在p k l 基础建设方面也成绩显著。已颁布了9 3 1 9 9 9 e c 法规，强调技术中 立、隐私权保护、国内与国外相互认证以及无歧视等原r a 0 。为了解决各国p k i 之间的 协同工作问题，它采取了一系列措施：积极资助相关研究所、大学和企业研究p k i 相 关技术：资助p k i 互操作性相关技术研究，并建立c a 网络及其顶级c a 。并于2 0 0 0 年1 0 月成立了欧洲桥c a 指导委员会，于2 0 0 1 年3 月2 3 日成立了欧洲桥c a 。 在亚洲，韩国是最早开发p k i 体系的国家。韩国的认证架构主要分三个等级：最 上一层是信息通讯部，中间是由信息通讯部设立的国家c a 中心，最下一级是由信息 通讯部指定的下级授权认证机构( l c a ) 。日本的p k i 应用体系按公众和私人两大类领域 来划分，而且在公众领域的市场还要进一步细分，主要分为商业、政府以及公众管理 内务、电信、邮政三大块。p k i 技术在整个亚洲虽然有了一定的发展，但处于一个相 对落后的水平，还存在着许多亟需解决的问题。 此外，许多国外的企业开展了p k i 的研究。较有影响力的企是有b a l t i m o r e 和 e n t r u s t ，其产品如e n t r u s t p k i5 0 ，已经能较好地满足商业企业的实际需求。v e r i s i g n 公司也已经开始提供p k i 服务，互联网上很多软件的签名认证都来自v e r i s i g n 公司。 1 3 2 国内p k i 应用现状 我国的p k i 技术从1 9 9 8 年开始起步，由于政府和各有关部门近年来对p k i 产业的 发展给予了高度重视，2 0 0 1 年p k i 技术被列为“十五”8 6 3 计划信息安全主题重大项 目，并于同年1 0 月成立了国家8 6 3 计划信息安全基础设施研究中心。国家计委也在制 定新的计划来支持p k i 产业的发展，在国家电子政务工程中明确提出了要构建p k i 体 系。目前，我国已全面推动p k i 技术研究与应用。2 0 0 4 年8 月2 8 日，十届全国人大 常委会第十一次会议2 8 日表决通过了电子签名法，规定电子签名与手写签名或者盖章 具有同等的法律效力 。这部法律的诞生将极大的推动我国的p k i 建设。 自从1 9 9 8 年国内第一家以实体形式运营的上海c a 中g ( s h e c a ) 成立以来，p k i 技术在我国的商业银行、政府采购以及网上购物中得到广泛应用。目前，国内的c a 机构分为区域型、行业型、商业型和企业型四类；截至2 0 0 2 年底，前三种c a 机构已 有6 0 余家，5 8 的省市建立了区域c a ，部分部委建立了行业c a 。其中全国性的行 业c a 中心有中国金融认证中心c f c a ( 英文简称c f c a ) 、中国电信认证中心c t c a 等。区域型c a 有上海c a 中心、广东电子商务认证中心等。 张丽锋，p l ( 1 发展篇一一p 现状与未来( a m t 研究院) h t t p ：w w w a m t e a m o r g d o c s b d d o c u m e n t a s p ? a c t i o n = v i e w & m = 2 8 5 9 c f e 7 5 b b 5 - 4 d 1 2 - 9 3 a a - 2 6 0 c 9 7 c 9 2 2 5 5 张成虎，邱天， 对我国网上银行的影响及对策，中国金融电脑2 0 0 4 年第1 2 期 张丽锋，( ( p k i 发展篇一一p 现状与未来( a m t 研究院) 1 对外经济贸易大学硕士学位论文 1 4 论文内容 这篇论文通过某银行的自建r a 系统实施，详细c f c a 的r a 系统解决方案，从 需求分析，总体构架设计，系统安全设计，数据库的逻辑模型到系统的物理实现过程， 包括安全管理、各子系统和子模块的功能及逻辑关系，重点在于系统的设计与实施。 由c f c a 自主开发的r a 系统，目标是要具备证书管理所需的全部功能，并且可 以按照用户要求进行定制。c f c a 将可以保证对c f c ar a 产品提供持久的全面服务。 其核心功能模块有四个：用户访问控制模块，r a 业务处理模块，用户信息管理模块， c a 系统访问模块。论文将全面系统的分析、讲述c f c a 的r a 系统，为互联网的用户 和其他c a 机构提供参考，借鉴。 本论文的研究主要集中在p k i 体系中r a 部分的具体设计和实现，建立一种可以 迅速推广应用的模式，使现有的c f c a 的r a 业务可以迅速扩展，为更多的用户服务， 从而满足网上银行迅速发展的需要。这一段时期以来，不少银行都提到这个问题：随 着网上银行业务的逐步开展，银行客户享受网上银行服务的逐渐增多，业务量稳步增 长。与此同时，业务部门需要随时掌握网上银行各类证书的发放及使用情况，以便对 证书的使用进行有效的管理。为此，某银行特提出现阶段证书管理系统的业务需求。 因此，针对某银行的具体要求，为其开发出自建r a 系统并部署，将项目落实的 具体的应用中去，真正体现出本项目的价值。 以此项目为契机，c f c a 希望本系统可以广泛推广使用，该r a 系统要求安全可靠， 使用方便，可以迅速部署，与c f c a 结合提供数字证书认证服务。 本论文的内容主要体现在以下两方面： 1 、针对性强，针对数字证书在网上银行中的应用，进行r a 系统的需求分析、系 统设计、开发，要求系统需要同时支持国产8 6 3c a 和e n t r u s tc a ，同时推广使用具有 中国自主知识产权的8 6 3c a 系统。我将全程参与并主要负责此项目，从系统需求分析， 设计，程序编写，测试，到最后的实施。 2 、给出系统的开发实施系统及文档，开发出一套r a 系统并部署到某银行实施， 用实践来检验这套系统的性能。 对外经济贸易夫学硕士学位论叟 第二章c f c a 的r a 系统建设现状 2 1c f c a 简介 中国金融认证中心( c h i n af i n a n c i a lc e r t i f i c a t i o na u t h o r i t y ，英文简称c f c a ) 于 2 0 0 0 年6 月2 9 日正式挂牌成立，是经中国人民银行和国家信息安全管理机构批准成立 的国家级权威的安全认证机构，是重要的国家金融信息安全基础设施之一，也是中 华人民共和国电子签名法颁布后，国内首批获得电子认证服务许可的c a 之一。8 中国金融认证中心( c f c a ) 是应社会各界对网上电子交易安全认证的要求，由中 国金融晃成立的一个全国性的金融认证中心。它是由中国人民银行牵头，组织中国工 商银行、中国农业银行、中国银行、中国建设银行、交通银行、中信实业银行、中国 光大银行、华夏银行、深圳发展银行、招商银行、广东发展银行、中国民生银行、福 建兴业银行等1 3 家商业银行联合共建，是中国第一家金融认证中心。c f c a 工程在1 9 9 9 年3 月2 9 号开始招标，由十大厂商开始投标，其中包括毋m ，惠普、s u n 等公司。 c f c a 项目从招标发布会开始，前后经过阅标、评标、谈判及选型过程，1 9 9 9 年8 月 3 0 日c f c a 工程正式签约。s e t 系统中标商为i b m 公司，n o n s e t 系统中标商为德 达s u n e n t r u s t 集团。这个工程历经一年多时间，于2 0 0 0 年6 月2 9 日竣工，正式颁发 证书。 c f c a 作为一个权威的、可信赖的、公正的第三方信任机构，专门负责为电子商 务的各种认证需求提供证书服务，为参与网上交易的各方提供安全的基础，建立彼此 信任的机制。并且在中国电子商务发展中，组织并参与有关网上交易规则的制定，以 及确立相应的技术标准，提供网上支付，特别是跨行网上支付的相互认证等。c f c a 为了满足金融业在电子商务方面的多种需求，提供多种证书来支持各成员行及各应用 单位对电子商务的开发以及应用。c f c a 全面支持电子商务的两种主要业务模式饵t ob 和b t o c 、。 c f c a 作为权威、公正的第三方安全认证机构，通过发放数字证书为网上银行、 电子商务、电子政务提供安全认证服务：确保网上信息传递双方身份的真实性、信息 的保密性和完整性、以及网上交易的不可否认性。 r 1 自中国金融认证中心介绍，h t t p ：w m c f c a c o r nc n z h i s h i z i z h i h u n o 一 对外经济贸易大学硕十学位论叟 2 2c f c a 现有的p k i 设施及应用情况 c f c a 采用国际主流的p k i 技术，提供适用于企业、个人、w e b 站点、v p n 、安 全e m a i l 、手机应用等在内的十多种证书和各种信息安全服务，确保网上银行、网上 证券、网上保险、网上税务、电子商务、电子政务、企业集团等的信息安全。为确保 业务的可持续性，满足国家法律法规、国际认证要求，c f c a 建立了高水准的异地灾 难备份系统。 c f c a 的认证中心分为两部分：s e tc a 和n o n - s e tc a ，它们分别能提供s e t 和 非s e t 两种不同的认证方式。由于s e t 方式交易的复杂性，现在大部分的应用都使用 n o n s e t 架构。在本文中以后的章节所有c f c a 的c a 系统均指n o n s e tc a ，c f c a 的c a 系统采用加拿大e n t r u s t 公司提供的产品，具有三层式结构。第一层c a 即根c a ， 设在中国人民银行总行。它负责制定和审批总体政策，确定每层c a 的功能和职责， 给自己签发证书，并签发和管理第二层c a 的证书及与其它根c a 的交叉认证。第二层 c a 可称为“品牌c a ”或“政策c a ”。它根据根以的政策制定具体的管理制度和运作 规范，签发和管理第三层c a 的证书和证书撤销列表( c r l ) 等。第三层c a 可称为用户 c a 或操作c a 。它根据根c a 制定的政策和第二层c a 的具体规定，直接给最终用户r 持 卡人、商户、企业、支付网关等) 发放各种应用的数字证书，并管理其所发证书和证书 撤销列表( c r l ) 。 其国产化p k i c a 系统始建于2 0 0 3 年，被列入国家8 6 3 计划，得到了中国人民银 行、国家科技部、国家密码管理局和中国银联的高度重视和支持。2 0 0 5 年5 月，该系 统正式通过国家科技部8 6 3 项目验收。，并开始大规模应用。专家评价，c f c a 国产化 p k i c a 系统是我国银行业信息安全基础设施的一项重大技术成果，完全可以满足未来 我国金融行业大容量用户和快速发展的业务需求，对于提升我国金融信息安全保障能 力具有重要意义。 c f c a 目前为最终用户提供以下几种证书：个人普通证书，个人高级证书，企业 普通证书。企业高级证书，w e b 服务器证书，d i r e c t s e r v e r 证书，手机证书，安全e - m a i l 证书，v p n 设备证书，代码签名证书。对于c f c a 用户的注册过程都是由用户亲自