某身份认证系统技术方案

1、 可修改 欢送下载 精品 Word 可修改 欢送下载 精品 Word 可修改 欢送下载 精品 Word*身份认证(rnzhng)系统技术(jsh)方案目 录 TOC o 1-4 h z HYPERLINK l _Toc27555671 1. 概述(i sh) PAGEREF _Toc27555671 h 3 HYPERLINK l _Toc27555672 1.1前言(qin yn) PAGEREF _Toc27555672 h 3 HYPERLINK l _Toc27555673 1.2身份认证系统(xtng)用户认证需求描述 PAGEREF _Toc27555673 h 3 HYPERLI

2、NK l _Toc27555674 1.3身份认证(rnzhng)系统认证解决之道 PAGEREF _Toc27555674 h 5 HYPERLINK l _Toc27555675 1.3.1身份认证(rnzhng)系统的模式 PAGEREF _Toc27555675 h 5 HYPERLINK l _Toc27555676 1.3.2建立身份认证系统 PAGEREF _Toc27555676 h 6 HYPERLINK l _Toc27555677 1.3.3证书在身份认证系统上的平安应用 PAGEREF _Toc27555677 h 6 HYPERLINK l _Toc27555678

3、2. 详细设计方案 PAGEREF _Toc27555678 h 8 HYPERLINK l _Toc27555679 2.1身份认证系统 PAGEREF _Toc27555679 h 8 HYPERLINK l _Toc27555680 2.2产品设计原那么 PAGEREF _Toc27555680 h 8 HYPERLINK l _Toc27555681 2.2.1认证系统的设计原那么 PAGEREF _Toc27555681 h 8 HYPERLINK l _Toc27555682 2.2.2 网络环境设计原那么 PAGEREF _Toc27555682 h 9 HYPERLINK l

4、_Toc27555683 2.3功能模块架构 PAGEREF _Toc27555683 h 10 HYPERLINK l _Toc27555684 2.4 身份认证系统功能简介 PAGEREF _Toc27555684 h 12 HYPERLINK l _Toc27555685 2.5身份认证系统平安性分析 PAGEREF _Toc27555685 h 13 HYPERLINK l _Toc27555686 2.5.1本系统平安性保护的必要性 PAGEREF _Toc27555686 h 14 HYPERLINK l _Toc27555687 2.5.2平安性要求 PAGEREF _Toc27

5、555687 h 14 HYPERLINK l _Toc27555688 2.5.3平安性设计原那么 PAGEREF _Toc27555688 h 15 HYPERLINK l _Toc27555689 2.5.4平安性设计方案 PAGEREF _Toc27555689 h 15 HYPERLINK l _Toc27555690 2.6身份认证系统应用开发接口 PAGEREF _Toc27555690 h 17 HYPERLINK l _Toc27555691 2.6.1身份认证系统接口函数 PAGEREF _Toc27555691 h 17 HYPERLINK l _Toc27555692

6、2.6.2 API与身份认证系统结合开发应用系统 PAGEREF _Toc27555692 h 17 HYPERLINK l _Toc27555693 2.7身份认证系统使用案例 PAGEREF _Toc27555693 h 18 HYPERLINK l _Toc27555694 3.系统配置 PAGEREF _Toc27555694 h 21 HYPERLINK l _Toc27555695 3.1 设备配置 PAGEREF _Toc27555695 h 211.概述1.1前言(qin yn)随着网络技术(jsh)的高速开展(kizhn)，个人和企业将越来越多地把业务活动放到网络(wnglu

7、)上，因此网络的平安(png n)问题就更加关键和重要。据统计，在全球范围内，由于信息系统的脆弱性而导致的经济损失，每年达数十亿美元，并且呈逐年上升的趋势。利用数字证书、PKI、对称加密算法、数字签名、数字信封等加密技术，可以建立起平安程度极高的身份认证系统，确保网上信息有效、平安地进行，从而使信息除发送方和接收方外，不被其他方知悉保密性；保证传输过程中不被篡改完整性和一致性；发送方确信接收方不是假冒的身份的真实性和不可伪装性；发送方不能否认自己的发送行为不可抵赖性。本方案根据*的业务流程、管理模式的实施方案，充分运用现代网络信息技术及CA认证体系，建立*身份认证系统，并可作为公务网CA的配套

8、系统。1.2身份认证系统用户认证需求描述在*业务开展过程中，为了更好的实现数据资源共享，充分发挥信息化对*系统开展的促进作用，*将综合开发一套身份认证系统对目前的用户身份进行管理，为社会、相关职能部门以及各级机构提供效劳。在此系统的开发应用过程中，一个重要的任务是解决如何对应用系统用户进行身份认证从而确保数据的平安。下面将针对在此系统的开发应用中对用户身份认证所做的需求加以说明。整个系统的逻辑结构如图1所示：图1：系统(xtng)逻辑结构示意图如图1示，整个系统涉及(shj)了应用效劳(xio lo)器、证书(zhngsh)效劳(xio lo)器以及相应的客户端。系统运作流程简述如下：客户端访

9、问应用效劳器，应用效劳器向认证效劳器发出认证请求；认证效劳器完成对用户身份的认证并将与该用户相对应的认证信息返回相应的应用效劳器；用户在通过认证之后获得在应用效劳器获得相应的授权，从而可以对应用系统进行相应的访问。所提交的认证系统在满足上述流程之外需要提供给用开发接口，满足与应用效劳器之间的交互。这是将认证系统集成到整个身份认证系统的根底条件，使得后续的开发工作能够利用认证信息做进一步的数据处理。考虑到平台的兼容性，应用系统开发方可以开发一个统一的接口程序与认证系统进行交互。另外还有如下几点要求需注意：认证效劳器的用户信息需要依据数据库效劳器中的用户信息为根底；对于客户端的身份认证最好采用硬件

10、方式；客户端通过广域网连接到认证效劳器，要求认证效劳器是能够面向广域网用户的；客户端数量(shling)可以按250用户(yngh)计算；提供(tgng)认证系统的平安(png n)模式(msh)说明，详细介绍如何确保系统的平安；系统对认证系统的操作系统平台无特殊要求。1.3身份认证系统认证解决之道根据身份认证系统的设计原那么，系统平安需要解决如下几个方面的问题：数据的保密性。包括数据静态存储的保密性和数据传输过程中的保密性；有效的身份认证和权限控制。系统中的各个授权人员具有其特定级别的权限，可以进行该权限的操作，无法越权操作；操作者事后无法否认其进行的操作；未授权人员无法进入系统。我们建议利

11、用业界行之有效的高强度的加解密技术和身份认证技术保证身份认证系统的平安，上海CA中心的数字身份认证系统可以为用户提供解决方法。身份认证系统主要负责证书管理，保证系统平安不间断地提供证书的申请和作废，提供用户信息和证书的备份和归档，保证系统数据的完整性。如何解决身份认证系统的平安性是我们关心的最大问题，结合身份认证系统，我们设计如下的应用模式：1.3.1身份认证系统的模式首先我们来看一下身份认证系统的模式：中心向操作员发放数字证书；用户使用数字证书登陆，经身份验证后，进入身份认证系统，填写或修改表单并提交；系统对表单进行处理，然后提交、登记身份认证系统。1.3.2建立身份认证(rnzhng)系统

12、身份(shn fen)认证系统以及与其发生业务的部门通过网络和数字证书建立平安(png n)可靠的身份(shn fen)认证系统。身份认证系统以及客户和部门(bmn)申请数字证书，其申请数字证书的方式详见以下章节的多种可选方案。身份认证系统以及客户和部门申请到了标识其身份的数字证书文件和对应的私钥文件。在此将证书信息文件称为UserCert.der，私钥信息文件称为UserKey.key。证书的存储介质是带有算法的USBKEY。在我们的身份认证系统提供支持多种平台的证书应用接口APIApplication Programming Interface，WINDOWS平台以DLL的形式提供，各种U

13、NIX平台以“.a库的形式提供。利用该API，应用系统可以很方便的将数字证书应用嵌入到业务系统之中。上海CA中心同时在客户端提供ActiveX控件和JavaApplet开发接口应用效劳器端同时提供动态连接库，COM组件和JavaBean开发接口。1.3.3证书在身份认证系统上的平安应用以下假设向身份认证系统发订单，利用数字证书的一次数据流程。身份认证系统的效劳器和操作员计算机各自申请一张标识其身份的数字证书，即具有其对应的证书文件，私钥文件。这样，通过自己计算机上的IE浏览器可以平安的访问身份认证系统。根据以上数据传输过程，可以完全保证数据传输的保密性、完整性、身份认证(rnzhng)和不可抵

14、赖性。同理诸多运行在身份认证系统上的信息流都可以通过加密技术、数字签名技术以身份认证形式、平安(png n)电子邮件(din z yu jin)形式或文档形式进行平安(png n)。2.详细(xingx)设计方案2.1身份(shn fen)认证系统身份认证(rnzhng)系统是在实际运作过程中，根据用户(yngh)需求开发的一套内网数字身份认证解决方案套件。该系统可以作为公务网身份认证系统的配套产品适用于接入公务网的各委、办、局、区县的内网应用系统中。该系统将主要针对内网的应用系统，同时结合公务网身份认证系统的特点和需求，向办公内网提供本地证书库、本地证书管理、本地证书目录、本地证书管理、CR

15、L查询等效劳(xio lo)。 该套系统的API提供了与身份认证系统配合使用的WEB平安套件，为WEB应用提供全方位的身份认证效劳。包括UniTrust登录、UniTrust退出、对表单进行签名、对表单进行验证、对数据进行加密、解密、对信息进行时间标记和时间验证、以及身份信息控制。可以满足5 分钟内500个并发用户的验证要求。2.2产品设计原那么2.2.1认证系统的设计原那么身份认证系统在设计时，从系统建设的近期和长远目标来综合考虑在设计中遵循了标准性、平安可靠性、实用性、扩展性、经济性、易用性和业务独立性等原那么。并在以上原那么中着重考虑了：平安性平安性是认证系统最为关注的问题，也是认证系统

16、设计及建设中的关键，它包括Browser与Server间信息传递的平安控制，访问系统的平安控制，系统数据的可追溯性。认证系统有完整的平安策略控制体系以实现平安控制。其关键技术包括网页签名技术，身份认证及信息加密技术，可保证系统间信息传递的平安，访问系统的平安控制。标准性 标准(biozhn)和标准(biozhn)是认证(rnzhng)系统设计中的重要(zhngyo)内容，这里所说的标准(biozhn)性，是指认证系统设计及建立过程的标准性。目前有关认证系统的实际应用有着多种相关的标准，如X.509，PKCS10，PKCS7，PKCS12等。不同的用户及系统在使用认证系统及证书时往往都按照相关的

17、标准调用。同时良好的标准也保证了身份认证系统协调工作时的方便性和准确性。可扩展性认证系统方案设计中，每个层次的设计采用模块化设计，可根据用户的不同需要开展进行灵活扩展。如，在数字证书中参加自定义扩展项，从而使政府用户可在证书中参加相应的工作证号等信息。特别是证书系统采用了B/S中的多层设计思想，使得系统可实现对于不同用户的定制效劳，可以方便地实行对应用的控制与更新。易管理性系统的易管理性是证书认证系统的一个重要特点，系统对应提供多套管理系统，可对系统各个层次进行管理。并可对一些经常性的统计工作提供基于Web的管理。2.2.2 网络环境设计原那么我们在作产品系统实施方案时充分考虑了网络的高性能、

18、可靠性，可扩充性，以便支持以后网络分阶段升级的需要，保护原有投资。为此，遵循了以下原那么： 先进性和实用性 尽可能采用国际上先进的技术和设备，使产品系统具有良好的性能，不仅能满足当前认证系统的需要，还要满足未来3至5年的需要。对一些目前不重要的局部，那么以经济实用为主，但要为以后的扩充打下根底。 高可靠性 采用成熟的先进技术，关键部件和线路有足够备份，有必要的冗余容错能力，如出了故障，要能及时指出故障点及故障原因。 较强的扩充性能 产品提供了很多于应用相连(xin lin)结的标准函数借口，能与将来(jingli)的先进技术相结合，保护现有投资，保证系统能随时参加(cnji)新的功能模块，保证

19、(bozhng)有关软件能顺利升级和扩充。 良好(lingho)的平安保密措施 由于此产品是一套独立的身份认证系统，为了确保系统的平安保密措施和系统的大范围适用性，我们提供了软硬件一体机，通过访问控制、及为用户设置权限等措施，防止非法侵入。 2.3功能模块架构应用系统证书管理器SafeEngineSafeengine身份认证系统系统初始化/系统管理/用户管理/证书管理/用户自效劳/系统效劳证书信息管理用户信息管理签发证书/黑名单/OCSP等证书编码OCSP/CRL等编码数据库加解密编码HardWare身份认证系统特性身份认证系统支持平台身份认证系统充分发挥硬件的特性，便于管理和维护。减少人为干

20、预。兼容的应用软件和操作系统身份认证系统可与以下软件协同工作客户端应用程序：Netscape NavigatorNetscape CommunicationMicrosoft Internet ExploerUniTrust SafeEngine, UniTrust 证书(zhngsh)管理器各种( zhn)WEB效劳(xio lo)器：MicroSoft IIS WebServerNetscape EnterpriseApacheJava WebServerDomino统一的管理(gunl)界面身份认证(rnzhng)系统的操作管理都基于WEB页面，有效降低维护的本钱。支持各种介质身份认证系

21、统支持用户证书存放在软盘、IC卡、USB棒以及效劳器。严格的权限控制身份认证系统分为系统管理员、系统操作员、系统用户和匿名用户四个级别用户。系统管理员对系统的运行负责，但不能接触任何用户数据，同时必须超过半数的系统管理员到场时才能进入系统管理模式。操作员仅能对用户进行操作，不能影响系统的运行。用户仅能对自己的数据进行操作，不能修改他人数据。匿名用户提供公用的效劳，如下载他人证书、根证书、下载黑名单等。所有的认证方式均采用数字认证方式进行，确保系统平安。私钥保护身份认证系统对私钥进行严格的保护，对所有存放在身份认证系统上的私钥，采用多重加密方式，同时身份认证系统采用硬件机，无人可以直接获得身份认

22、证系统上的数据。日志身份认证(rnzhng)系统提供(tgng)详尽的日志功能。包括系统日志和用户日志。系统日志主要提供所有系统管理员、系统操作员、用户对系统信息、或证书信息的操作。系统管理员可以通过日志查询(chxn)获得系统的状态。历史信息(xnx)查询身份认证(rnzhng)系统提供国内首创专利号的技术，用户历史信息查询。历史信息包括用户的证书申请历史和证书使用信息。证书申请信息包括用户申请证书的记录申请时间、批准或驳回、更新时间、作废时间、上一张证书、下一张证书等。用户证书使用信息查询包括证书被验证记录，提供验证者信息和时间。供用户本人查证自己证书使用纪录，是否有他人试图使用自己的证书

23、。下一版本中，将提供用户告警机制，用户可以设定自己的检查条件，系统核查满足条件后，就发送告警信息给用户。以尽快解决平安隐患。政策编辑身份认证系统提供自行编辑证书政策的功能，可以让运行商自行修改证书策略。数据备份身份认证系统提供根证书的导入导出功能，也支持所有的数据备份和恢复功能。为数据平安提供保障。产品升级对不断提高的技术和新的需求，身份认证系统努力提升产品性能和功能。身份认证系统只需要系统管理员将系统进入维护模式，运行与该系统配套提供的软件升级包，就可以对产品进行升级。2.4 身份认证系统功能简介系统初始化执行系统初始化功能，包括删除所有数据，缺省系统管理员、系统操作员的生成。根证书的生成或

24、指定。系统IP地址更改。系统管理执行系统管理功能，包括系统管理员管理、操作员管理、根证书管理、系统效劳管理、系统日志管理、License管理、系统密钥管理。用户(yngh)信息管理主要执行用户信息(xnx)管理的工作，包括用户信息的增加、修改、删除。证书(zhngsh)申请信息管理主要执行证书申请信息的管理工作，包括证书申请信息的添加、修改(xigi)和删除。证书(zhngsh)的管理如作废、签发、暂停、恢复等等。以及统计报表的制作打印等等。用户、证书自效劳：用户证书自管理的工作，如用户信息的录入，修改，用户证书申请请求，用户证书的下载，用户证书的废除。以及查询、下载他人证书、CRL。下载根证

25、书。接收注册请求，签发公钥证书支持离线或在线签发证书两种方式。前者密钥对由身份认证系统生成；后者密钥对在客户端由浏览器或其他PKI软件生成。证书查询 用户可以输入一定的条目如Email或姓名等，通过模糊查询，获得用户证书列表，选择一张证书下载到浏览器中，或保存。发布证书撤消名单CRL定期发布证书撤消名单。CRL遵从X.509V3格式。提供在线证书状态查询OCSP身份认证系统提供证书状态查询，有效提高可靠性。提供日志管理日志是每次操作的记录，其主要作用有二。一是用于事后故障清查的系统维护方面；其二是事故处理，为系统平安审计提供现场记录数据，是平安审计与追踪的根底。身份认证系统访问控制访问身份认证

26、系统需要强身份验证，只有通过超过半数以上的系统管理员的PIN卡验证后，才允许系统管理员访问身份认证系统，执行平安操作。用户证书介质制作用户(yngh)证书介质即用户身份标识介质，介质中存有用户证书、该证书的签发者证书、和被加密的该用户的私钥。用户证书介质可以是软盘，也可以是平安(png n)性更高的IC卡或USB棒。用户(yngh)证书介质的选择，需视用户对平安(png n)性的要求(yoqi)而定。2.5身份认证系统平安性分析我们提供的该套身份认证系统在平安设计过程中主要考虑四个主要措施：身份鉴别措施、数据的传递过程的机密性与完整性措施、权限分割与互相制约措施、自主和可控性措施的四项措施。2

27、.5.1本系统平安性保护的必要性数字化信息社会虽然给人们的工作带来了方便，但是由于它是基于网络的信息传递也给人们的工作带来了很多不便之处，在工作中缺少了物理界面的出现，从而带来了信息平安保密问题的出现。通过长时期的了解和观察，我们发现我国信息平安保密还存在以下问题：信息平安保密意识淡薄，缺少紧迫感和正确的认识。信息网络防御能力脆弱，信息保密技术研究和技术防范手段滞后，泄密隐患突出。信息平安根底设施薄弱，缺少必要的物质条件，一些重要的信息系统使用进口的平安设备，无法保证其平安性和有效监管。信息平安保密管理力度不够，管理体系不够完善，内部管理漏洞隐患大，网络缺少对用户认证与权限的管理，也缺少对信息

28、内容的保密级别的划分与设定。总之，本系统平安性保护不仅是必要的，也是相当重要的。2.5.2平安性要求随着各个单位内网办公应用系统需求的迫切提升，信息平安已成为焦点问题之一，尤其是CA认证越来越成为整个电子商务中的平安重要环节，所以数字身份认证系统本身的平安也越来越重要。概括起来，认证系统对平安的最根本要求如下：身份(shn fen)鉴别Authentication 在操作员或管理员进行认证系统(xtng)的操作钱要能确认对方的身份，并要求在操作过程中操作员或管理员的身份不能被假冒或伪装。数据(shj)的机密Confidentiality对敏感(mngn)信息进行加密，及时别人截获数据也无法得到

29、其内容。数据(shj)的完整性Integrity要求接受方能够验证受到的信息是否完整，是否被人篡改，保证操作过程中的信息平安。不可抵赖性Non-Repudiation操作一旦完成，发送方不能否认他发送的信息，接收方那么不能否认他所收到的信息。2.5.3平安性设计原那么在设计证书系统的平安时，我们主要遵守了以下原那么：网络信息系统平安与保密的“木桶原那么：对信息均衡、全面地进行平安保护；网络信息平安系统的“整体性原那么：平安防护、检测和应急恢复；数字身份认证系统平安性的“有效性与实用性原那么：不能影响系统的正常运行和合法用户的操作活动；信息平安系统的“等级性原那么：平安层次和平安级别；信息平安系

30、统的“动态化原那么：整个系统内尽可能引入更多的可变因素，并具有良好的扩展性；平安与保密系统的设计应与网络设计相结合的原那么；自主和可控性原那么；权限分割、互相制约、最小化原那么；有的放矢、各取所需原那么。2.5.4平安(png n)性设计方案身份(shn fen)鉴别措施身份(shn fen)鉴别措施是指在操作员或管理员进行登陆系统进行操作之前必须进行身份的鉴别。流程图如下：登录者用自己的私钥对这段随机文字进行签名，并上送自己的证书序列号效劳器随机生成一段文字，下传到客户端效劳器根据上送的证书序列号从数据库中取出登录者的证书校验签名成功登录拒绝登录成功拒绝每个管理员、操作员、证书用户(yngh

31、)在进入系统之前，都必须在系统的数据库中先录入各自的证书，这一过程也称开户。在管理员或操作员进行(jnxng)登录前，效劳(xio lo)器会生成一个随机字符串，并要求登录者对这个字符串进行签名，由于这个字符串是随机的，并含有时间(shjin)信息，所以这种方法可防治重放攻击。登录者将随机(su j)字符串签名后，会将签名发送到效劳(xio lo)器端。效劳器可从库中取出签名者的证书进行校验。如果检验通过，那么证明登录者身份真实。在操作过程中操作员或管理员无论进行合作操作，都要对通信信息进行签名，保证了其身份不能被假冒或伪装。同时参加签名也保证了操作一旦完成，发送方不能否认他发送的信息，接收方

32、那么不能否认他所收到的信息。2.6身份认证系统应用开发接口2.6.1身份认证系统接口函数身份认证系统接口函数是为所有基于该套系统证书应用程序开发者提供编程接口。应用开发者不需要深入了解证书的结构、获取、验证等一切与证书相关的操作，只需要关心应用的开发即可。接口函数支持1024/128位强度的加密算法，证书验证、黑名单查询、数字信封，数字签名，验证签名，摘要，对称加解密，PEM编解码，从介质中读取证书，私钥，证书验证包括CRL，OCSP验证，证书解码等。接口函数包括2种类型：API和证书管理器。API有标准c版和java 版，支持包括Aix、hp、Solaris、Windows 在内的各种主流操

33、作系统；证书管理器API支持Windows系列。API提供的功能主要包括签名、从证书提取证书细节等各项功能；证书管理器API不但包括了API的大局部功能，另外还提供了证书的管理功能，包括证书的添加、删除、导入导出等功能，这些功能可以方便客户端对证书的管理，结合API的强大功能，可以开发出一套功能强大的身份认证应用系统。我们保证密切配合应用系统开发商对*身份认证信息系统的开发，以确保整个系统的完整和及时的开发完成。为客户端同时提供ActiveX控件和JavaApplet开发接口。应用效劳器端同时提供动态连接库，COM组件和JavaBean开发接口。 2.6.2 API与身份认证(rnzhng)系

34、统结合开发应用系统在*的系统(xtng)中，需要参加(cnji)身份认证和数字信封等功能，保护网络(wnglu)上数据的平安(png n)性、保密性、完整性、身份可识别以及各项操作的不可否认性等平安功能，在分析了*的具体需求只有，我们认为，结合我们现有的产品身份认证系统和接口函数，可以开发出一套适合需求的产品。在开发过程中，我们建议按以下流程设计应用程序：1、*通过身份认证系统为用户发放数字证书；2、在用户第一次登录系统时，要求用户使用数字证书等陆，应用系统发出随机串要求客户端对随机串进行签名，并返回签过名的随机串，由应用系统验证用户身份；建议客户端使用证书管理器 API开发，效劳器端使用AP

35、I3、确认用户身份后，可以根据*系统的授权，进行各项操作。因为身份认证系统是软、硬件一体机，用户只要通过Web就可以轻松的发放证书，无需额外的管理和复杂的操作，并且结合接口函数功能，可以完成各项对于证书的操作以及证书的管理。同时身份认证系统的功能主要是管理证书和发放证书，在应用系统中，只与应用系统关联，对网络没有额外的要求，所以不会影响到外网的用户。通过身份认证系统数据导出接口，可以把证书效劳器和认证效劳器中的用户数据与主应用系统的数据库效劳器Oracle 9i中的系统用户数据保持实时的一致，确保整个系统用户管理功能的统一。2.7身份认证系统使用案例身份认证系统已经成功应用在上海市信息办、上海市证券交易所、上海药品监督局、上海市统战部、上海市青浦区政府、上海市小企业管理办公室、浙江移动通信等政府部门和企业。如下以身份认证系统在政务网系统中应用为例，说明信息加密和身份控制的应用。政府上网工程中必须保证以下几个因素：在线身份认证身份认证在整