1、*身份认证系统技术方案目 录1. 概述 .31.1 前言 .31.2 身份认证系统用户认证需求描述 .31.3 身份认证系统认证解决之道 .51.3.1 身份认证系统的模式 .51.3.2 建立身份认证系统 .61.3.3 证书在身份认证系统上的安全应用 .62. 详细设计方案 .82.1 身份认证系统 .82.2 产品设计原则 .82.2.1认证系统的设计原则 .82.2.2 网络环境设计原则 .92.3 功能模块架构 .102.4 身份认证系统功能简介 .122.5 身份认证系统安全性分析 .132.5.1本系统安全性保护的必要性 .142.5.2安全性要求 .142.5.3安全性设计原则
2、 .152.5.4安全性设计方案 .152.6 身份认证系统应用开发接口 .172.6.1身份认证系统接口函数 .172.6.2 API与身份认证系统结合开发应用系统 .172.7 身份认证系统使用案例 .183. 系统配置 .213.1 设备配置 .211. 概述1.1 前言随着网络技术的高速发展，个人和企业将越来越多地把业务活动放到网络上，因此网络的安全问题就更加关键和重要。据统计，在全球范围内，由于信息系统的脆弱性而导致的经济损失，每年达数十亿美元，并且呈逐年上升的趋势。利用数字证书、PKI、对称加密算法、数字签名、数字信封等加密技术，可以建立起安全程度极高的身份认证系统，确保网上信息有
3、效、安全地进行，从而使信息除发送方和接收方外，不被其他方知悉（保密性） ；保证传输过程中不被篡改（完整性和一致性） ；发送方确信接收方不是假冒的（身份的真实性和不可伪装性） ；发送方不能否认自己的发送行为（不可抵赖性） 。本方案根据*的业务流程、管理模式的实施方案，充分运用现代网络信息技术及 CA认证体系，建立*身份认证系统，并可作为公务网 CA的配套系统。1.2 身份认证系统用户认证需求描述在*业务发展过程中，为了更好的实现数据资源共享，充分发挥信息化对*系统发展的促进作用，*将综合开发一套身份认证系统对目前的用户身份进行管理，为社会、相关职能部门以及各级机构提供服务。在此系统的开发应用过程
4、中，一个重要的任务是解决如何对应用系统用户进行身份认证从而确保数据的安全。下面将针对在此系统的开发应用中对用户身份认证所做的需求加以说明。整个系统的逻辑结构如图 1所示：应 用 服 务 器应 用 服 务 器 1应 用 服 务 器 2应 用 服 务 器 3客 户 端 客 户 端客 户 端数 据 库 服 务 器（ ） 用 户 权 限 信 息 身 份 认 证 服 务 器图 1：系统逻辑结构示意图如图 1示，整个系统涉及了应用服务器、证书服务器以及相应的客户端。系统运作流程简述如下： 客户端访问应用服务器，应用服务器向认证服务器发出认证请求； 认证服务器完成对用户身份的认证并将与该用户相对应的认证信息
5、返回相应的应用服务器； 用户在通过认证之后获得在应用服务器获得相应的授权，从而可以对应用系统进行相应的访问。所提交的认证系统在满足上述流程之外需要提供应用开发接口，满足与应用服务器之间的交互。这是将认证系统集成到整个身份认证系统的基础条件，使得后续的开发工作能够利用认证信息做进一步的数据处理。考虑到平台的兼容性，应用系统开发方可以开发一个统一的接口程序与认证系统进行交互。另外还有如下几点要求需注意： 认证服务器的用户信息需要依据数据库服务器中的用户信息为基础； 对于客户端的身份认证最好采用硬件方式； 客户端通过广域网连接到认证服务器，要求认证服务器是能够面向广域网用户的； 客户端数量可以按 2
6、50用户计算； 提供认证系统的安全模式说明，详细介绍如何确保系统的安全； 系统对认证系统的操作系统平台无特殊要求。1.3 身份认证系统认证解决之道根据身份认证系统的设计原则，系统安全需要解决如下几个方面的问题： 数据的保密性。包括数据静态存储的保密性和数据传输过程中的保密性； 有效的身份认证和权限控制。系统中的各个授权人员具有其特定级别的权限，可以进行该权限的操作，无法越权操作；操作者事后无法否认其进行的操作；未授权人员无法进入系统。我们建议利用业界行之有效的高强度的加解密技术和身份认证技术保证身份认证系统的安全，上海 CA中心的数字身份认证系统可以为用户提供解决办法。身份认证系统主要负责证书
7、管理，保证系统安全不间断地提供证书的申请和作废，提供用户信息和证书的备份和归档，保证系统数据的完整性。如何解决身份认证系统的安全性是我们关心的最大问题，结合身份认证系统，我们设计如下的应用模式：1.3.1 身份认证系统的模式首先我们来看一下身份认证系统的模式： 中心向操作员发放数字证书； 用户使用数字证书登陆，经身份验证后，进入身份认证系统，填写或修改表单并提交； 系统对表单进行处理，然后提交、登记身份认证系统。1.3.2 建立身份认证系统身份认证系统以及与其发生业务的部门通过网络和数字证书建立安全可靠的身份认证系统。身份认证系统以及客户和部门申请数字证书，其申请数字证书的方式详见以下章节的多
8、种可选方案。身份认证系统以及客户和部门申请到了标识其身份的数字证书文件和对应的私钥文件。在此将证书信息文件称为 UserCert.der，私钥信息文件称为UserKey.key。证书的存储介质是带有算法的 USBKEY。在我们的身份认证系统提供支持多种平台的证书应用接口API（Application Programming Interface） ，WINDOWS 平台以 DLL的形式提供，各种 UNIX平台以“.a”库的形式提供。利用该 API，应用系统可以很方便的将数字证书应用嵌入到业务系统之中。上海 CA中心同时在客户端提供 ActiveX控件和 JavaApplet开发接口应用服务器端同
9、时提供动态连接库，COM 组件和 JavaBean开发接口。1.3.3 证书在身份认证系统上的安全应用以下假设向身份认证系统发订单，利用数字证书的一次数据流程。身份认证系统的服务器和操作员计算机各自申请一张标识其身份的数字证书，即具有其对应的证书文件，私钥文件。这样，通过自己计算机上的 IE浏览器可以安全的访问身份认证系统。根据以上数据传输过程，可以完全保证数据传输的保密性、完整性、身份认证和不可抵赖性。同理诸多运行在身份认证系统上的信息流都可以通过加密技术、数字签名技术以身份认证形式、安全电子邮件形式或文档形式进行安全。操 作 员 操 作 员 UserCert.der 操 作 员 serKe
10、y.key 应 用 系 统 平 台 UserCert.der 应 用 系 统 平 台 应 用 系 统 平 台 UserCert.der 应 用 系 统 平 台 serKey.key 操 作 员 UserCert.der 2. 详细设计方案2.1 身份认证系统身份认证系统是在实际运作过程中，根据用户需求开发的一套内网数字身份认证解决方案套件。该系统可以作为公务网身份认证系统的配套产品适用于接入公务网的各委、办、局、区县的内网应用系统中。该系统将主要针对内网的应用系统，同时结合公务网身份认证系统的特点和需求，向办公内网提供本地证书库、本地证书管理、本地证书目录、本地证书管理、CRL 查询等服务。
11、该套系统的 API提供了与身份认证系统配合使用的 WEB安全套件，为 WEB应用提供全方位的身份认证服务。包括 UniTrust登录、UniTrust 退出、对表单进行签名、对表单进行验证、对数据进行加密、解密、对信息进行时间标记和时间验证、以及身份信息控制。可以满足 5 分钟内 500个并发用户的验证要求。2.2 产品设计原则2.2.1 认证系统的设计原则身份认证系统在设计时，从系统建设的近期和长远目标来综合考虑在设计中遵循了规范性、安全可靠性、实用性、扩展性、经济性、易用性和业务独立性等原则。并在以上原则中着重考虑了：安全性安全性是认证系统最为关注的问题，也是认证系统设计及建设中的关键，它
12、包括 Browser与 Server间信息传递的安全控制，访问系统的安全控制，系统数据的可追溯性。认证系统有完整的安全策略控制体系以实现安全控制。其关键技术包括网页签名技术，身份认证及信息加密技术，可保证系统间信息传递的安全，访问系统的安全控制。规范性标准和规范是认证系统设计中的重要内容，这里所说的规范性，是指认证系统设计及建立过程的规范性。目前有关认证系统的实际应用有着多种相关的规范，如 X.509，PKCS10，PKCS7，PKCS12 等。不同的用户及系统在使用认证系统及证书时往往都按照相关的规范调用。同时良好的规范也保证了身份认证系统协调工作时的方便性和准确性。可扩展性认证系统方案设计
13、中，每个层次的设计采用模块化设计，可根据用户的不同需要发展进行灵活扩展。如，在数字证书中加入自定义扩展项，从而使政府用户可在证书中加入相应的工作证号等信息。特别是证书系统采用了 B/S中的多层设计思想，使得系统可实现对于不同用户的定制服务，可以方便地实行对应用的控制与更新。易管理性系统的易管理性是证书认证系统的一个重要特点，系统对应提供多套管理系统，可对系统各个层次进行管理。并可对一些经常性的统计工作提供基于Web的管理。2.2.2 网络环境设计原则我们在作产品系统实施方案时充分考虑了网络的高性能、可靠性，可扩充性，以便支持以后网络分阶段升级的需要，保护原有投资。为此，遵循了以下原则： 先进性
14、和实用性 尽可能采用国际上先进的技术和设备，使产品系统具有良好的性能，不仅能满足当前认证系统的需要，还要满足未来 3至 5年的需要。对一些目前不重要的部分，则以经济实用为主，但要为以后的扩充打下基础。 高可靠性 采用成熟的先进技术，关键部件和线路有足够备份，有必要的冗余容错能力，如出了故障，要能及时指出故障点及故障原因。 较强的扩充性能 产品提供了很多于应用相连结的标准函数借口，能与将来的先进技术相结合，保护现有投资，保证系统能随时加入新的功能模块，保证有关软件能顺利升级和扩充。 良好的安全保密措施 由于此产品是一套独立的身份认证系统，为了确保系统的安全保密措施和系统的大范围适用性，我们提供了
15、软硬件一体机，通过访问控制、及为用户设置权限等措施，防止非法侵入。 2.3 功能模块架构身份认证系统特性身份认证系统支持平台身份认证系统充分发挥硬件的特性，便于管理和维护。减少人为干预。兼容的应用软件和操作系统身份认证系统可与以下软件协同工作客户端应用程序：Netscape NavigatorHardWare编码 加解密 数据库证书编码 OCSP/CRL等编码签发证书/黑名单/OCSP 等用户信息管理证书信息管理身份认证系统系统初始化/系统管理 /用户管理/ 证书管理/用户自服务/ 系统服务Safeengine SafeEngine 证书管理器应用系统Netscape Communicatio
16、nMicrosoft Internet ExploerUniTrust SafeEngine, UniTrust 证书管理器各种 WEB服务器：MicroSoft IIS WebServerNetscape EnterpriseApacheJava WebServerDomino统一的管理界面身份认证系统的操作管理都基于 WEB页面，有效降低维护的成本。支持各种介质身份认证系统支持用户证书存放在软盘、IC 卡、USB 棒以及服务器。严格的权限控制身份认证系统分为系统管理员、系统操作员、系统用户和匿名用户四个级别用户。系统管理员对系统的运行负责，但不能接触任何用户数据，同时必须超过半数的系统管理员到场时才能进入系统管理模式。操作员仅能对用户进行操作，不能影响系统的运行。用户仅能对自己的数据进行操作，不能修改他人数据。匿名用户提供公用的服务，如下载他人证书、根证书、下载黑名单等。所有的认证方式均采用数字认证方式进行，确保系统安全。私钥保护身份认证系统对私钥进行严格的保护，对所有存放在身份认证系统上的私钥，采用多重加密方式，同时身份认证系统采用硬件机，无人可以直接获得身份认证系统上的数据。日志身份认证系统提供详尽的日志功能。包括系统日志和用户日志。系统日志主要提供所有系统管理员、系统操作员、用户对系统信息、或证书信息的操作。系统管理员可以通过日志查询获得系统的状态。
