CA认证安全解决技术方案(认证解决方案网关 签名服务器).doc

CA认证安全解决方案 某某信息技术股份有限公司 DATE \@ yyyy年MM月 2021年05月 CA认证安全解决方案 PAGE1 / NUMPAGES15 目 录 TOC \o 1-4 \h \z \u 25238 1 方案背景 2 3397 2 需求分析 3 18597 3 系统框架设计 4 3182 4 系统逻辑设计 5 9923 5 产品介绍 6 4199 5.1 身份认证网关 6 11392 5.1.1 系统架构 6 1111 5.1.2 系统功能 7 4823 5.1.3 系统流程 9 5627 5.2 数字签名服务器 9 28310 5.2.1 系统架构 9 13535 5.2.2 系统功能 10 20266 5.2.2.1 数字签名服务器 10 24709 5.2.2.2 数字签名客户端 12 21676 5.2.3 系统流程 13 25791 5.2.3.1 数字签名流程 13 32603 5.2.3.2 签名验证流程 13 23997 6 网络拓扑设计 14 方案背景 随着信息化建设的推进，信息化的水平也有了长足的提高，信息化已经成为政府、企业提高工作效率，降低运营成本、提升客户体验、增加客户粘度，提升自身形象的重要手段。 信息化是架构在网络环境世界来展开，网络固有的虚拟性、开放性给业务的开展带来巨大潜在风险，如何解决虚拟身份的真实有效，敏感信息在网络传输的安全必威体育官网网址且不被攻击者非法篡改，如何防止网络操作日后不被抵赖？同时，随着信息系统的不断增加，信任危机、信息孤岛、用户体验、应用统一整合越发成为信息化发展的瓶颈。因此，安全和可信、融合和统一逐渐成为目前信息化建设的大势所趋，上述问题逐渐给信息化建设管理者提出了新的挑战。 此外，国家安全管理部门发布了《信息安全等级保护管理办法》，提出了“计算机信息系统实行安全等级保护”的要求，等级保护技术标准规范中也明确对信息系统的身份鉴别、数据机密性、数据完整性以及抗抵赖提出明确的安全要求。 鉴于上述政府、企业自身的安全建设需要以及政府安全管理部门的要求，本方案提出一套基于数字证书的安全应用支撑解决方案，全面解决上述信息安全问题。 需求分析 目前，“用户名+口令”的认证方式普遍存在各个信息系统，基于用户名口令的认证方式是一种弱认证方式，由于其具有容易被猜测、字典攻击、非法拦截、责任认定无法到人等系列弱点，已经无法满足信息系统的安全需要，因此，需要提供一套基于数字证书的安全应用支撑平台，通过PKI密码技术实现强身份认证、信息必威体育官网网址性、信息完整性以及敏感操作的抗抵赖性等各项安全功能，同时，作为安全应用支撑平台，还应该面向众多的信息系统提供统一身份认证功能，实现SSO单点登录功能，满足应用级的授权管理需要。 具体来说，安全需求如下： 强身份认证：满足基于数字证书的安全登录需要，提供黑名单查询功能，只有持有合法证书的用户才能登录到信息系统。 机密性、完整性：对信息进行加密、完整性处理，保证信息传输过程的机密性和完整性。 抗抵赖：采用数字签名技术，对关键操作、关键业务数据产生数字签名满足业务抗抵赖需求。 单点登录，多点漫游：用户只需使用数字证书完成一次统一认证，后续登录不需要再次认证则可进入其他信息系统。 系统框架设计 根据上述安全需求分析，方案总体框架如下图所示： 在整体应用框架下身份认证网关和数字签名服务器组成应用支撑体系。身份认证网关为业务系统提供基于数字证书的强身份认证功能、面向多个应用提供统一的身份认证和应用级的授权控制功能。数字签名服务器满足关键业务操作和重要数据交互的身份可信、内容完整以及抗抵赖功能。 系统逻辑设计 系统逻辑设计如下图所示： 用户登录业务系统，业务系统通过安装在系统上的FILTER过滤器来判断用户是否已经认证过，如果没有，则重定向用户登录网关登录页面； 用户按照网关页面插入USB KEY，并输入PIN保护密码，然后提交认证请求到身份认证网关； 身份认证网关判断证书的真实有效，并从目录服务中查询CRL证书黑名单，判断证书是否已经被吊销； 如果证书验证全部通过，身份认证网关检查用户权限，然后显示用户可登录系统列表，根据授权策略为用户签发单点登录TOKEN，用户凭借TOKEN单点登录到各业务系统中。 用户提交敏感操作/敏感数据，客户端签名软件将调用USB KEY接口对敏感操作/敏感数据产生数字签名； 数字签名传入电子证照系统，电子证照系统调用签名中间件接口，将签名信息传入签名服务器完成数字签名验证，签名服务器返回验证结果； 电子证照系统根据验证结果完成后续业务逻辑操作