认证服务防篡改系统介绍.pptx

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,电子商务交易防篡改系统介绍,第1页,防篡改系统组成,一、认证服务子系统BTA-ETSEC (简称CA),二、传输验证应用服务子系统 BTA-TLSEC,三、电子商务防篡改客户端软DigitalCoffere,四、应用场景和示例,第2页,PKI/CA,基础知识,PKI(Public Key Infrastructure,）是一个遵照标准利用公钥加密技术为电子商务开展提供一套安全基础平台技术和规范。,PKI,关键组成部分,CA(Certification Authority,），即认证中心，它是数字证书签发机构。数字证书，有时被称为电子证书，数字身份证，是一个符合一定格式电子文件，用来识别证书持有者真实身份。,第3页,在电子商务交易完成后，怎样确保交易任何一方无法否定已发生交易。这些安全问题将在很大程度上限制电子商务深入发展，所以怎样确保,Internet,网上信息传输安全，已成为发展电子商务主要步骤。,PKI/CA,基础知识,第4页,PKI/CA,基础知识,为处理这些,Internet,安全问题，世界各国对其进行了多年研究，初步形成了一套完 整,Internet,安全处理方案，即当前被广泛采取,PKI,技术（,Public Key Infrastructure-,公钥基 础设施），,PKI,技术采取证书管理公钥，经过,第三方可信任机构,-,认证中 心,CA(Certificate Authority,），把用户公钥和用户其它标识信息（如名称、,e-mail,、身份 证号等）捆绑在一起，在,Internet,网上验证用户身份。当前，通用方法是采取基于,PKI,结构结合数字证书，经过把要传输数字信息进行加密，确保信息传输保密性、完整性，署名确保用户身份真实性和抗抵赖。,第5页,安全加密基础知识,当代加密算法能够分为三大类：,对称加密算法：只有一个密钥，比如用,123456,加密数据还需要用,123456,解密。常见算法有,DES,、,3DES,、,RC4,、,AES,、,IDEA,（国内）等；,非对称加密算法（公钥加密算法）：有一对（两个密钥），假设分别为,A,和,B,，用,A,加密数据必须用,B,解密、用,B,加密数据必须用,A,解密。常见算法有,RSA,、椭圆曲线。,数字摘要算法：严格上说不是加密算法，主要是对数据完整性进行验证算法。任何被摘要数据对象不一样，产生摘要结果必定不一样。常见算法有,MD5,、,SHA1,等,。,第6页,安全加密基础知识,CA,所颁发数字证书中除了包含用户身份信息外，还有一对非对称加密算法密钥信息。这对密钥其中一个能够向任何人公开，通常被称作公钥（,Pu,）；另外一个则需要严格保密，只有使用者自己知道，通常被称作私钥（,Pr,）。,对称加密算法通常速度更加快，但需要处理在数据发送方和接收方安全传输密钥问题；非对称加密算法加密强度极高，理论上现有技术水平不可破解，不过加密速度慢，不适合加密大量数据。在实际应用中，通常结合以上两种算法，如最常见,SSL,加密通信协议。,第7页,公共数据传输是怎样加密？,使用数字证书，其最大好处是支持公共数据加密传输，数据接收方只需要公布自己公开密钥，任何人都能够向其加密传送数据，只有接收者才可解密数据，而无须担心数据传输过程中被窃取问题。,第8页,公共数据传输是怎样加密？,一、,发送方使用对称加密算法对传输数据（,Oi,）加密，对称加密算法密钥（,Rp,）是随机生成，发送方无需关心，加密后得到加密密文（,Ei,）。实际应用只所以采取对称加密算法加密数据，是因为对称加密算法速度高，比非对称加密算法要高出上千倍，所以极少有直接采取非对称加密算法直接加密原始数据情况；,第9页,公共数据传输是怎样加密？,二、,发送方使用接收方公钥（,Pu,）对对称加密算法使用密钥再次加密，得到加密密钥（,PuRp,），然后将该加密密钥和加密数据（,Ei,）一起封装为数字信封方式一起传输给接收方；,三、,接收方解密数据时，首先使用自己私钥（,Pu,）解密对称加密算法加密密钥（,PuRp,）后得到原始随机密钥（,Rp,），再使用该随机密钥解密密文（,Ei,）得到原始数据（,Oi,）。,第10页,公共数据传输是怎样加密？,第11页,电子署名和验证是怎样进行？,电子署名也是利用数字证书公开算法特征，做到只有署名者能够署名，署名结果轻易被多方所验证目标。数字署名提供数据完整性保护和不可否定服务。假设电子协议内容为,Ec,，署名和验证过程以下：,电子署名过程是：对被署名协议计算唯一数字摘要，署名者使用私钥对该摘要进行加密，加密结果即为数字署名；,验证署名过程是：首先验证者使用署名者公钥对数字署名进行解密，假如解密成功，则意味着验证署名者身份成功；其次验证者再次对被署名协议计算数字摘要，并将该摘要与第一步验证署名时解密得到摘要进行比对，假如一致，则说明该署名是针对此协议。,第12页,电子署名和验证是怎样进行？,第13页,自建,CA,与公共,CA,区分,比较项目,自建,CA,公共,CA,信任域,在自己证书使用者对象之间相互信任。形象能够了解为学校颁发学生证、企业颁发工作证,在国家法律、相关管理机构指定运行范围内相互信任。如金融行业CFCA、北京政府使用BJCA等。形象能够了解为公安部门颁发身份证,建设内容,按自己需要建设相关软硬件系统，安全级别自己决定,需要对系统建设、物理场地建设、通信与网络建设和系统安全建设等各个方面进行综合考虑，且符合国密办、工信部等相关国家部门强制性要求,取得相关资质,不需要,需要,建设周期,1-3,个月,普通最少6个月以上时间,系统运维,2,人,按相关法律要求，最少30人以上,运行支持,可为本身软件系统提供支持,能够为第三方软件系统提供支持,第14页,PKI惯用缩写词,PKI,：,（,Public Key Infrastructure,）公钥基础设施,CA,：,（,Certification Authority,）认证机构或认证中心,RA,：,（,Registeration Authority,）注册机构或证书注 册审核中心,KMC:,（,Key Manage Center,）密钥管理中心,LDAP,：,（,Lightweight Directory Access Protocol,）轻型目录访问协议,OCSP:(,Online Certificate Status Protocol,),在线证书状态协议,CRL,：,（,Certificate Revocation List,）证书撤消列表,第15页,CA,系统结构,CA,证书注册系统,CA,证书签发系统,CA,密钥管理系统,CA,证书公布系统,CA,管理审计系统,第16页,第17页,CA,证书注册系统，又叫,RA,系统，负责相关辖区证书用户身份审核、用户基本信息维护、证书管理服务，是信任服务体系主要节点，由证书管理中心授权运作，,CA,对用户管理经过,RA,详细实现。,RA,中心由注册服务器、密码服务系统、安全防护系统、安全审计系统等组成。,RA,中心下设多个注册代理点，注册代理点由录入、审核和制证终端组成。,CA,证书注册系统,第18页,CA,证书注册系统,RA系统结构图,第19页,图,2-1,证书注册系统总工作流程,第20页,系统功效,RA,系统采取,B/S,结构，,RA,管理终端界面使用浏览器，具备严格权限管理功效。注册代理点录入、审核和制证业务分别由不一样权限操作员担任，操作员经过,IE,浏览器登录,RA,系统，登录时需要经过基于证书身份认证。,CA证书注册系统,第21页,主要功效,提供用户身份审核服务：对证书申请者进行身份审核，可采取在线审核或离线审核两种方式，支持自动、手动两种证书审核模式。,提供证书申请服务：包含证书签发、证书更新、证书作废、证书冻结、证书解冻。,提供证书下载服务：包含证书管理中心对证书申请等操作响应处理，对用户反馈，或直接将结果下载到用户证书载体。,CA证书注册系统,第22页,主要功效,保留和维护当地用户资料库，并与,CA,中心（或上级,RA,）通讯，完成所需各种业务功效,证书注册服务器申请并维护证书模板,RA,可下设多个注册代理点，每个代理点管理一个区域，每个区域设置对应管理员与操作员，区域和区域之间默认相互独立。,定制管理角色、管理权限，系统审计业务和其它业务实现严格分权管理。,CA,证书注册系统,第23页,CA,证书签发系统,签发系统,(CSS),选取国家密码管理局同意证书认证系统技术进行建设。证书签发系统是证书认证系统关键，不但为整个证书认证系统提供签发证书,/,证书注销列表服务，还负担整个证书认证系统中主要安全管理工作。,第24页,CA,签发系统结构模型,第25页,CA,证书签发系统,CA,签发系统结果模块图,第26页,CA证书签发系统,证书签发子系统,证书签发子系统主体为证书署名服务器，是,CA,签发系统关键，用于为整个,CA,认证系统用户签发证书，并归档管理全部已签发证书。证书署名服务器保留,CA,签发系统公私钥对，并在初始化时生成自署名,CA,证书。证书署名服务器处于关键层，设置多层安全防护技术，保障服务器不会受到来自外部网络攻击。署名私钥存放在加密机内，全部加密运算均在加密机内完成，私钥不在加密机外运算，保护私钥安全。,证书签发子系统又分为证书离线签发子系统和证书在线签发子系统。,第27页,证书离线签发子系统,接收管理系统指令完成初始化等任务并发放系统管理员证书。主要功效,：,CA,系统初始化,CA,密钥生成、备份与恢复,RA,管理，对,RA,进行登记和管理，为,RA,分配对应证书模板，支持多个,RA,超级管理员证书制作、更新、注销,支持设备,/,机构,/,人员证书签发、更新、注销,CA证书签发系统,第28页,证书在线签发子系统,接收证书管理子系统请求，依据,RA,注册系统和密钥管理系统提供数据，为用户签发署名和加密证书。在线签发系统主要功效：,接收证书管理子系统制作证书请求，签发用于数字署名公钥证书（简称署名证书）和数据加密公钥证书（简称加密证书）。,接收证书管理子系统请求，为用户提供证书更新，补办，重签，冻结，解冻，作废等服务。,接收证书管理子系统指令维护系统内部数据。,保留操作日志。,CA证书签发系统,第29页,证书撤消列表签发子系统,证书撤消列表是在证书使用期之内，证书管理系统签发终止使用证书信息。在证书使用过程中，应用系统经过检验,CRL,，获取相关证书状态。证书撤消列表签发系统生成与维护证书撤消列表,CRL,，定时向主,LDAP,服务器传送，实现,CRL,下载与更新。,提供证书撤消列表操作策略及管理策略，可经过管理界面自行设置证书撤消列表更新频率和使用期，支持分布式公布证书撤消列表方式,检验证书使用期，清理进入,CRL,数据,整理维护,CRL,历史统计,CA证书签发系统,第30页,证书管理子系统,证书管理子系统接收各地证书注册系统发来证书服务申请，进行对应处理，回送处理结果，是在线签发系统前置系统。其主要功效：,对进入证书管理系统内层用户进行身份认证,对数据进行验证或署名,接收注册系统证书业务请求，传送给署名服务器做对应处理，并回送处理结果,通知署名服务器签发证书,CRL,定时通知在线签发系统完成系统内部数据维护整理工作,CA证书签发系统,第31页,日志审计子系统,为了对各系统进行安全审计，各系统将运行中主要操作记入日志文件，包含操作人员署名信息、时间信息、对主要数据库操作信息、系统运行成功或失败信息等。日志审计子系统主要功效：,对各个子系统进行审计，针对各系统特点，定义对应审计策略,生成并统计,CA,操作日志,对指定事件、设备、人员进行审计,生成审计汇报,CA证书签发系统,第32页,管理监控子系统,签发系统设置完备终端管理与监控系统，经过可视化管理界面，实现对签发系统各个部分进行管理和监控。主要功效为：,系统开启与关闭,签发管理员和操作员证书,对管理员和操作员授权,签发服务器和设备证书,检测与监测服务器运行状态,对安全事件分析与跟踪处理,CA,证书签发系统,第33页,密钥管理系统,(KMS),位于整个,CA,系统最关键位置，在系统模型图中它只同,CSS,服务器和,KMS,管理终端有直接连接，与其它服务器和管理终端均不相连。,KMS,系统结构模型以下,CA密钥管理系统,第34页,密钥管理系统结构模块图,第35页,密钥管理系统负责密钥管理策略制订与维护、系统根密钥管理与维护、密钥管理业务规范化。其主要功效为：,对进入本系统管理员进行身份认证。,提供用户加密密钥生成、分发、备份、更新、恢复、归档、查询、销毁等。,提供密钥托管服务，用户加密密钥对经加密后保留在密钥数据库中并进行管理，接收并审查关于恢复密钥申请。,支持预产生密钥对功效，可经过设定策略定时产生，也可支持手动产生。,对各功效模块运行事件进行检验、相关资料分析和密钥申请统计等服务，包含运行事件统计、服务器状态统计、系统主要策略设置、密钥操作统计等。,CA密钥管理系统,第36页,密钥生成,KMS,服务器使用专用加密机生成系统使用密钥对，并将生成密钥对加密存放于预备密钥库中。,密钥生成包含定时预生成密钥和即时生成密钥，其中定时预生成密钥由系统自动完成。,CA,密钥管理系统,第37页,CA密钥管理系统,密钥请求,接收,CSS,密钥对请求，从密钥预备库中取得密钥对，返回给,CSS,，用于加密证书制作，并将密钥对放入密钥在用库。密钥对不论在预备库、在用库还是归档库，均用对称算法加密存放。,第38页,CA密钥管理系统,密钥撤消,接收,C,SS,密钥对撤消请求，检验,KMS,服务器密钥在用库，假如存在待撤消密钥对，则将密钥对放入,KMS,服务器密钥归档库，并从密钥在用库中将其删除。,第39页,CA,证书公布系统由在线证书状态查询系统,（,OCSP,）和证书,/,证书撤消列表目录服务系统,（,LDAP,）组成。,OCSP,和,LDAP,采取主从结构方式，证书状态、证书和证书撤消列表数据先注入主公布服务器，然后经过主从映射功效，自动映射到从公布服务器中。主公布服务器配置在关键层，从公布服务器配置在服务层。用户只能访问从公布服务器。,CA证书公布系统,第40页,CA证书公布系统,证书,/,证书撤消表查询与公布系统（,LDAP,）,功效,用于公布,CA,证书,用于公布用户证书,用于公布证书,CRL,支持查询和下载,CA,证书和用户证书,支持下载,CRL,特点,含有主从结构,能够分布式布署,证书及,CRL,公布滞后性,第41页,LDAP,结构模型,第42页,CA证书公布系统,证书状态实时查询服务（,OCSP,）,OCSP,服务单元基于,OCSP,协议，提供证书状态实时在线查询，并支持,SOCSP,协议。,功效,接收与管理证书署名服务器证书状态数据，建立证书状态库。,接收与响应用户对证书状态查询请求。,特点,能够分布式布署,证书状态在线实时,第43页,OCSP,结构模型,第44页,CA管理与审计系统,CA,系统总结构图,第45页,CA管理与审计系统,CA,管理服务模块,CA,管理服务主要功效为：,对管理员、操作员进行身份认证与系统开启。,对,CA,管理员、操作员进行权限管理：授权，删权与更改权限。,管理离线发放服务器证书和管理员、操作员证书。,CA,服务器相关服务开启与关闭。,CA,管理员经过该终端对,CA,进行控制与管理。,第46页,CA管理与审计系统,审计服务,审计服务主要功效为：,接收各服务器操作统计和事件统计,生成,CA,操作日志。,依据,CA,策略，完成例行审计汇报。,依据,CA,策略，进行,CA,事件审计。,依据,CA,策略，进行,CA,指定事项审计。,依据,CA,策略，进行,CA,指定服务器审计。,第47页,证书申请工作流程图,第48页,序号,设备名称,型号,数量,1,CA,服务器,ThinkServer RD640,1,2,服务器密码机,SJJ1012,1,3,署名认证服务器,SRJ1104,1,4,PC,管理终端,联想一体机,1,系统设备配置,第49页,日常运维,数字证书认证系统各服务已配置为开机自动开启。,开启次序以下：,开启密码机,开启,CA,服务器,开启认证服务器,为确保系统服务开启正常，各服务器加电开机时间间隔,3,分钟以上。,更详细运维参见电子文档。,第50页,证书注册使用介绍,操作员登录是使用,RA,终端第一步，只有登录成功后，操作员才能进行对应操作项目,不一样操作员使用对应不一样权限,USBKey,进行登录，登录后可操作页面不一样。,共四种权限：录入、审核、制证、系统管理。,首先确定是否安装完成,RA,系统客户端程序，以及对应,USBKey,驱动程序。在浏览器中输入,IP,地址如：,192.168.206.11:8080/ra/index.html,，此处,IP,地址为注册服务器地址，插入操作员,USBKey,，输入操作员口令，点击“登录”，进入系统操作页面，即可进行对应操作。,第51页,应用开发介绍,安全应用服务端接口规范（,JAVA,）,署名及认证服务器,JAVA,类是与平台无关,JAVA,接口，,包含,JAVA,类,isc.authclt.IscJcrypt,，,适合用于全部操作系统。,本接口由一组,JAVA,函数组成，接口主要实现身份认证、数字署名、数字信封和其它相关功效。,JAVA,接口程序清单：,isc.jarJAVA,接口函数包,存放在应用程序所在目录,authclt.ini,配置文件，与,isc.jar,放在同一目录,isc.properties,配置文件，与,isc.jar,放在同一目录,第52页,应用开发介绍,安全客户端接口规范,(ActiveX),Cryp_Ctl.ocx,是一个客户端,ActiveX,接口控件，可供,IE,浏览器和,VB,语言调用，用于读写用户端密码设备,(,如,USBKEY),信息、身份认证、数字署名和对署名进行验证。,这个接口均适合用于,Windows,操作系统。,第53页,谢谢！,第54页,