身份认证方案.doc

**部 身份认证规划方案 目 录 第一章 背景 4 1.1.信息系统现状 4 1.1.1网络结构体系及网络带宽情况 4 1.1.2. 应用系统 4 1.1.3. 目前现状 4 1.2.**部安全需求 4 1.3.要求 5 1.3.1. 功能要求 5 1.3.2. 性能要求 5 第二章 **部身份认证 7 2.1设计原则 7 2.2选用的身份认证产品特点和产品遵循的标准 7 2.3设计依据 8 第三章 **部身份认证 10 3.1 整体身份认证认证体系系统建设方案 10 3.1.1**部级RA注册中心部署方案 11 3.1.2 **部证书类型和申请方式设计 14 3.1.3 证书申请流程 16 3.1.4 证书查询系统/认证服务器并发处理能力、证书验证和查询CRL的时间 18 第四章 产品功能介绍和性能指标 19 4.1认证注册系统设计产品功能要求 19 4.1.1 密钥管理中心技术说明 19 4.1.2 OCSP系统功能设计 22 4.1.3 时间戳服务功能设计 24 4.1.4 与其他CA认证中心的相互认证 25 4.1.5系统自身防护设计说明 26 第五章 身份认证 30 6.1与应用系统结合 30 6.1.1B/S应用系统强认证改造原理 30 6.1.2C/S应用系统强身份认证改造原理 31 第一章 背景 1.1.信息系统现状 1.1.1网络结构体系及网络带宽情况 **部内网是一个与其他网络物理隔离的专用网络，目前采用的是星型拓扑结构，由主干网和接入网组成。**部工作内网包括机关局域网和连接各省市自治区**部的网络。 1.1.2. 应用系统 **部根据其业务情况规划和建立了各种业务系统等，目前规划中的应用有九种，需要实现的为两种。 1.1.3. 目前现状 目前**部内部及其下属机构还没有相关身份认证系统建设。 1.2.**部安全需求 根据**部建设的规划，建立全网统一的身份认证平台，提供相应的接口，为下一步开发安全的应用系统提供基础安全平台。**部身份认证与访问控制平台需符合中央办公厅要求，并能与中央办公厅的CA互相认证。规划在**部内部建立一套完整的身份认证体系，**部建立RA中心，作为制证中心，系统的设计应符合以下原则： 符合国际上的相关标准和国家的有关规定； 实用、高效、可扩展，可以与其他CA进行交叉认证； 自身的整体安全； 需求、风险与成本的平衡； 全网统一规划； 简单易行； 技术与管理相结合。 1.3.要求 1.3.1. 功能要求 身份认证 能够为每个**系统的用户及主要信息服务设备提供全网统一的身份认证机制。通过对每一个进入内网用户的合法性进行检验，防止非法用户对局内网信息资源的访问，保证在**部内部横向和纵向的应用系统中都能实现对用户身份的认证。 认证授权 实现应用系统和网络资源的访问控制 自身有完备的安全防护措施 身份认证系统应具备自我防护功能，提供高可用性和灾难恢复机制，确保身份认证系统的安全和高可用性。 信息必威体育官网网址性、完整性和抗抵赖性 为各种应用系统提供安全服务，使重要内部信息不泄露给未授权的个人、实体或进程，确保信息的必威体育官网网址性、完整性和防抵赖性。 密钥管理 生成密钥、分发密钥、备份与恢复密钥、更新密钥、销毁密钥以及密钥在使用中的查询等。 分级管理 在**部设立的RA中心实现签发用户证书、管理证书和CRL、提供密钥管理服务、提供证书状态查询服务等功能，同时也能提供证书状态查询服务。 提供时间戳的服务 提供对应用系统的接口 1.3.2. 性能要求 产生密钥对的时间、签发证书的时间要快； 批量发证的能力要强； 对证书状态的查询响应时间要短； 在现有网络带宽的情况下，提供安全性的同时，不影响现有应用系统的正常使用； 系统运行稳定可靠。 第二章 **部身份认证设计原则、设计依据和产品特点 2.1设计原则 系化设计原则 **部 身份认证系统是一个复杂的系统工程，是任何一种单元技术都无法独立解决的。必须从一个完整的安全体系结构出发，综合考虑各种实体和各个环节，综合使用各种安全手段，为信息网络应用和业务系统提供全方位服务。 全局性、综合性、均衡性设计原则 从全局的角度出发、综合考虑，包容现存的和将要实施的应用系统，并考虑全国系统的兼容，实现均衡设计。 可行性、可靠性、安全性 在建立身份认证系统之后，不会对原有的网络和应用系统有大的影响。在保证网络和应用系统正常运转的前提下，能够大幅度提高系统的安全性。 适应性、可扩展性原则 此系统安全设计必须能适应系统的变化和技术的发展，要有一定的灵活性，同时具有良好的可扩展性。 需求、风险、成本折衷原则 任何信息系统都不能做到绝对的安全。鉴于这种情况，在进行安全设计时，要在安全需求、安全风险和安全成本之间进行平衡和折中