电子工业出版社-数字证书应用技术指南bxet.docx

《电子工业出版社-数字证书应用技术指南bxet.docx》由会员分享，可在线阅读，更多相关《电子工业出版社-数字证书应用技术指南bxet.docx（80页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、数字证书书应用技技术指南南中国商商用密码码认证体体系结构构研究课课题组目 录1.前前言52.概概述62.1.目的62.2.范围62.3.文档结结构63.电电子事务务中的安安全需求求74.数数字证书书基本功功能原理理84.1.身份认认证94.2.数字签签名104.3.数字信信封125.数数字证书书应用145.1.信息安安全传输输145.2.可信电电子印迹迹145.3.安全电电子邮件件155.4.可信网网站服务务155.5.安全终终端保护护155.6.代码签签名保护护165.7.授权身身份管理理165.8.行为责责任认定定166.数数字证书书解决方方案176.1.国产化化的SSSL176.2.可信

2、网网站的数数字证书书解决方方案186.2.1.需求分分析186.2.2.方案思思路186.2.3.方案建建议196.2.4.建设方方案196.3.应用远远程访问问（B/S、C/SS）安全全防护解解决方案案206.3.1.需求分分析206.3.2.方案思思路216.3.3.方案建建议216.3.4.建设方方案216.4.网上业业务（办办公、交交易）安安全解决决方案236.4.1.需求分分析236.4.2.方案思思路246.4.3.方案建建议246.4.4.建设方方案256.5.数据保保护解决决方案276.5.1.需求分分析276.5.2.方案思思想276.5.3.建设方方案286.6.安全电电子

3、邮件件解决方方案316.6.1.需求分分析316.6.2.方案思思想316.6.3.建设方方案327.附附录一：典型案案例367.1.政务应应用案例例367.1.1.应用现现状367.1.2.安全性性分析367.1.3.公文传传输安全全需求377.1.4.总体系系统架构构387.2.网上银银行案例例397.2.1.网银应应用安全全系统建建设总体体目标397.2.2.网银应应用安全全系统设设计407.2.3.网银应应用安全全系统架架构407.2.4.不同安安全级别别用户使使用不同同身份认认证方式式438.附附录二：背景知知识458.1.密码学学基础知知识458.1.1.信息保保密与密密码学458

4、.1.2.加密体体制的分分类及基基本要求求458.1.3.分组密密码技术术及常见见算法468.1.4.公钥加加密技术术及常见见算法488.1.5.流密码码技术498.2.公钥基基础设施施基础知知识508.2.1.典型PKKI结构构508.2.2.X.5509证证书518.3.身份认认证基础础56图表目录录图表 11身份认认证9图表 22双向身身份认证证10图表 33数字签签名和签签名验证证11图表 44数字信信封13图表 55基于网网络的安安全存储储系统架架构29图表 66文件加加密保存存过程30图表 77使用文文件的过过程31图表 88安全电电子邮件件系统架架构图33图表 99邮件发发送过程

5、程序列图图34图表 110电子子邮件收收取序列列图35图表 111客户户应用与与网银的的互联44图表 112典型型PKII体系结结构50图表 113全国国信息安安全标准准化技术术委员会会维护的的OIDD54图表 114标准准扩展项项56图表 115基本本证书结结构561. 前言以公钥密密码技术术为基础础的数字字证书认认证体系系已成为为业界广广泛认同同的一种种构建网网络信任任体系的的重要方方式。如如何在国国家相关关规定指指导下，正正确有效效地应用用数字证证书技术术成为数数字证书书应用推推广的一一个急需需解决的的问题。本本指南通通过对数数字证书书基本功功能和应应用案例例的介绍绍，由浅浅入深地地讲解

6、了了电子事事务中的的应用安安全需求求、数字字证书可可覆盖的的应用点点、适合合各种应应用场景景的解决决方案，从从而指导导应用开开发厂商商、应用用单位正正确部署署、合理理应用数数字证书书认证系系统所签签发的数数字证书书，充分分发挥数数字证书书在保障障身份真真实性、数数据机密密性、信信息完整整性、行行为不可可抵赖性性中的作作用。本指南的的目标读读者是电电子政务务、电子子商务活活动中应应用数字字证书技技术的业业务管理理人员、应应用开发发人员、网网络与安安全体系系规划和和建设人人员、系系统运营营维护人人员。同同时也为为数字证证书基础础设施建建设厂商商、数字字证书应应用中间间件开发发商在进进行产品品设计、

7、实实施、应应用时提提供参考考。2. 概述2.1. 目的本指南为为电子商商务、电电子政务务以及其其它电子子事务中中应用数数字证书书技术提提供指导导、建议议和实例例。本指指南提供供的是对对数字证证书普遍遍需求的的指导，读读者在具具体应用用时，可可以根据据自身的的特殊需需求制定定符合自自身需求求的数字字证书应应用方案案。2.2. 范围本指南对对电子商商务、电电子政务务等电子子事务中中的安全全需求进进行简要要分析，列列举数字字证书的的基本功功能和应应用点，从从身份认认证、安安全传输输、数据据保护等等方面介介绍了数数字证书书技术的的应用解解决方案案。2.3. 文档结构构本指南从从逻辑上上有计划划地引导导

8、读者逐逐步了解解适用于于电子政政务、电电子商务务等电子子事务中中的数字字证书技技术，理理解各种种电子事事务中对对数字证证书的需需求，并并举例说说明数字字证书技技术的正正确使用用。本文以下下部分将将依次逐逐步介绍绍：第三章 电子事事务中的的安全需需求 简简要描述述各类业业务的安安全需求求。第四章 数字证证书基本本功能 说明数数字证书书技术能能提供的的基本安安全功能能。第五章 数字证证书应用用 说明明通过运运用数字字证书能能完成的的常用安安全服务务。第六章 数字证证书解决决方案 说明数数字证书书技术常常用的解解决方案案，描述述数字证证书各类类应用中中的具体体实践。第七章 典型案案例 以以两个典典型

9、案例例说明数数字证书书在电子子政务和和电子商商务两个个方面的的应用。第八章 背景知知识 简简要描述述与数字字证书相相关的部部分背景景知识。3. 电子事务务中的安安全需求求电子事务务是指利利用信息息技术来来处理事事务，主主要包括括电子政政务和电电子商务务两类。无论是电子政务还是电子商务行为，如何保障身份的真实性、数据的机密性和完整性以及行为不可抵赖性都是其基本的信息安全问题。下面针对这四个问题作简要介绍。本文的内容也是紧密围绕怎样用数字证书解决这四个问题展开。身份的真真实性为进行电电子事务务业务的的实体定定义唯一一的电子子身份标标识，并并通过该该标识进进行身份份认证，保保证身份份的真实实性。这这

10、里的身身份不仅仅是管理理员和用用户的身身份，还还包含各各种服务务器和其其它接入入信任体体系设备备的身份份。认证是最最重要的的安全服服务之一一，因为为所有其其它的安安全服务务都依赖赖于该服服务。认认证可以以用来对对抗假冒冒攻击和和确保身身份，它它是用来来获得对对谁或对对什么事事情信任任的一种种方法。数据的机机密性所谓数据据的机密密性是指指采用某某种手段段保护数数据，以以免其泄泄露给那那些未被被授权获获取这个个信息的的人或组组织。电子事务务中处理理的信息息往往是是个人、企企业或国国家的敏敏感信息息。传统统的纸面面贸易都都是通过过邮寄封封装的信信件或通通过可靠靠的通信信渠道发发送商业业报文来来达到保

11、保守机密密的目的的。电子子事务是建建立在一一个开放放或半开开放的网网络环境境（如IInteerneet、IIntrraneet）上上，维护护敏感信信息是电电子事务务全面推推广应用用的重要要保障。因因此，要要预防非非法的信信息存取取和信息息在传输输过程中中被非法法窃取。数据完整整性数据完整整性是指指采用某某种手段段以保证证数据没没有被未未授权的的改变、删删除、替替换。电子事务务简化了了传统的的业务处处理过程程，减少少了人为为的干预预，同时时也带来来维护各各方信息息的完整整性问题。由由于数据据输入时时的意外外差错或或欺诈行行为，可可能导致致参与电电子事务务各方信信息的差差异。此此外，数数据传输输过

12、程中中信息的的丢失、信信息重复复或信息息传送的的次序差差异也会会导致各各方信息息的不同同。各方方信息的的完整性性将影响响到各方方的交易易和经营营策略，保保持各方方信息的的完整性性是电子子事务应用用的基础础。因此此，要预预防对信信息的随随意生成成、修改改和删除除，同时时要防止止数据传传送过程程中信息息的丢失失和重复复，并保证证信息传传送次序序的统一一。不可抵赖赖性不可抵赖赖性是指指提供某某种手段段以保障障交易各各方不能能在交易易完成后后否认自自己的电电子行为为。电子事务务可能直直接关系系到参与与各方的的交易行行为，如如何确定定要进行行交易的的各方正正是进行行交易所所期望的的一方，该该问题则则是保

13、证证电子商商务顺利利进行的的关键。在在传统业业务中，交交易各方方通过在在交易合合同、契契约或单单据等书书面文件件上手写写签名或或加盖印印章来鉴鉴别交易易伙伴，确确定合同同、契约约、单据据的可靠靠性并预预防抵赖赖行为的的发生。这这也就是是人们常常说的“白纸黑黑字”。在无无纸化的的电子方方式下，通通过手写写签名和和加盖印印章进行行贸易方方的鉴别别已不可可能。因因此，需需要一种种机制保保障交易易各方在在完成交交易后不不能对自自己的行行为作否否认。4. 数字证书书基本功功能原理理数字证书书，是由由证书认认证机构构签名的的包含公公开密钥钥拥有者者信息、公公开密钥钥、签发发者信息息、有效效期以及及一些扩扩

14、展信息息的数字字文件。从证书的的用途来来看，数数字证书书可分为为签名证证书和加加密证书书。签名名证书主主要用于于对用户户信息进进行签名名，以保保证信息息完整性性和行为为的不可可抵赖；加密证证书主要要用于对对用户传传送信息息进行加加密，以以保证信信息的机机密性。以以下对数数字证书书的基本本功能进进行原理理性描述述。4.1. 身份认证证在各应用用系统中中，常常常需要完完成对使使用者的的身份认认证，以以确定谁谁在使用用系统，可可以赋予予使用者者何种操操作权限限。身份份认证技技术发展展至今已已经有了了一套成成熟的技技术体系系，其中中，利用用数字证证书完成成身份认认证是其其中最安安全有效效的一种种技术手

15、手段。利用数字字证书完完成身份份认证，被被认证方方（甲）必必须先到到相关数数字证书书运营机机构申请请数字证证书，然然后才能能向应用用系统认认证方（乙乙）提交交证书，完完成身份份认证。通常，使使用数字字证书的的身份认认证流程程如下图图所示：图表 1身份认认证被认证方方（甲），使使用自己己的签名名私钥，对对随机数数进行加加密；被认证方方（甲）将将自己的的签名证证书和密密文发送送给认证证方（乙乙）；乙验证甲甲所提供供的签名名证书的的有效期期、证书书链，并并完成黑黑名单检检查，失失败则放放弃；有效期、证证书链和和黑名单单验证通通过后，乙乙即使用用甲的签签名证书书对甲所所提供的的密文进进行解密密，成功功

16、则表明明可以接接受由甲甲提交的的签名证证书所申申明的身身份。在上述流流程中，步步骤3描描述的是是对证书书本身的的验证，依依次分别别验证有有效期、证证书链和和黑名单单，某个个步骤如如果验证证失败，则则验证流流程立即即终止，不不必再执执行下一一个验证证。同时时，有效效期、证证书链和和黑名单单的依次次验证顺顺序是最最合理的的顺序，能能够让验验证流程程达到最最佳性能能。通过步骤骤3的验验证后，甲甲所提交交的证书书可以得得到验证证，但这这与甲本本身是否否和该证证书所申申明的实实体相等等没有必必然联系系，甲必必须表明明其是这这个签名名证书对对应的唯唯一私钥钥的拥有有者。因因此，当当步骤44执行成成功后，即

17、即该签名名证书能能够解密密，则说说明甲拥拥有该私私钥，从从而完成成了对甲甲所申明明身份的的认证。上面具体体描述的的是单向向认证，即即只有乙乙认证甲甲的身份份，而甲甲没有认认证乙的的身份。单单向认证证不是完完善的安安全措施施，诚实实可信的的用户甲甲可能会会碰到类类似“钓鱼网网站”的欺骗骗。因此此在需要要高度安安全的应应用环境境中，还还需要实实现双向向认证。即即乙也需需要向甲甲提供其其签名证证书，由由甲来完完成上述述验证流流程，以以确认乙乙的身份份。如下下图。图表 2双向身身份认证证4.2. 数字签名名数字签名名是数字字证书的的重要应应用功能能之一，所所谓数字字签名是是指证书书用户（甲甲）用自自己

18、的签签名私钥钥对原始始数据的的杂凑变变换后所所得消息息摘要进进行加密密所得的的数据。信信息接收收者（乙乙）使用用信息发发送者的的签名证证书对附附在原始始信息后后的数字字签名进进行解密密后获得得消息摘摘要，并并对收到到的原始始数据采采用相同同的杂凑凑算法计计算其消消息摘要要，将二二者进行行对比，即即可校验验原始信信息是否否被篡改改。数字字签名可可以完成成对数据据完整性性的保护护，和传传送数据据行为不不可抵赖赖性的保保护。使用数字字证书完完成数字字签名功功能，需需要向相相关数字字证书运运营机构构申请具具备数字字签名功功能的数数字证书书，然后后才能在在业务过过程中使使用数字字证书的的签名功功能。通常

19、，使使用数字字证书的的签名和和验证数数字证书书签名的的流程如如图所示示：图表 3数字签签名和签签名验证证签名发送送方（甲甲）对需需要发送送的明文文使用杂杂凑算法法，计算算摘要；甲使用其其签名私私钥对摘摘要进行行加密，得得到密文文；甲将密文文、明文文和签名名证书发发送给签签名验证证方乙；乙一方面面将甲发发送的密密文通过过甲的签签名证书书解密得得到摘要要，另一一方面将将明文采采用相同同的杂凑凑算法计计算出摘摘要；乙对比两两个摘要要，如果果相同，则则可以确确认明文文在传输输过程中中没有被被更改，并并且信息息是由证证书所申申明身份份的实体体发送的的。如果需要要确认甲甲的身份份是否和和证书所所申明的的身

20、份一一致，则则需要执执行身份份认证过过程，如如前一节节所述。在上述流流程中，签签名私钥钥配合杂杂凑算法法的使用用，可以以完成数数字签名名功能。在在数字签签名过程程中可以以明确数数据完整整性在传传递过程程中是否否遭受破破坏和数数据发送送行为是是签名证证书所申申明的身身份的行行为，提提供数据据完整性性和行为为不可抵抵赖功能能。数字字证书和和甲的身身份的确确认，需需要通过过身份认认证过程程明确。4.3. 数字信封封数字信封封是数字字证书另另一个重重要应用用功能，其其功效类类似于普普通信封封。普通通信封在在法律的的约束下下保证只只有收信信人才能能阅读信信的内容容；数字字信封则则采用密密码技术术保证了了

21、只有规规定的接接收人才才能阅读读“信件”的内容容。数字信封封中采用用了对称称密码机机制和公公钥密码码机制。信信息发送送者（甲甲）首先先利用随随机产生生的对称称密钥对对信息进进行加密密，再利利用接收收方（乙乙）的公公钥加密密对称密密钥，被被公钥加加密后的的对称密密钥被称称之为数数字信封封。在传传递信息息时，信信息接收收方要解解密信息息时，必必须先用用自己的的私钥解解密数字字信封，得得到对称称密钥，才才能利用用对称密密钥解密密所得到到的信息息。通过过数字信信封可以以指定数数据接收收者，并并保证数数据传递递过程的的机密性性。使用数字字证书完完成数字字信封功功能，需需要向相相关数字字证书运运营机构构申

22、请具具备加密密功能的的数字证证书，然然后才能能在业务务过程中中使用数数字证书书的数字字信封功功能。通常，数数字信封封和数字字信封拆拆解的流流程如图图所示：信息发送送方（甲甲）生成成对称密密钥；甲使用对对称密钥钥对需要要发送的的信息执执行加密密，得到到密文；甲使用信信息接收收方（乙乙）的加加密证书书中的公公钥，加加密对称称密钥，得得到数字字信封；甲将密文文和数字字信封发发送给乙乙；乙使用自自己的加加密私钥钥拆解数数字信封封，得到到对称密密钥；乙使用对对称密钥钥解密密密文，得得到明文文。图表 4数字信信封在上述流流程中，信信息发送送方（甲甲）对用用于加密密明文信信息的对对称密钥钥使用接接收方（乙乙

23、）的加加密证书书进行加加密得到到数字信信封，利利用私钥钥的唯一一性保证证只有拥拥有私钥钥的乙才才能拆解解数字信信封，从从而阅读读明文信信息。据据此，甲甲可以确确认只有有乙才能能阅读信信息，乙乙可以确确认信息息在传递递过程中中保持机机密。5. 数字证书书应用在电子事事务中应应用数字字证书，需需要依据据业务安安全性的的需求，使使用以下下基本数数字证书书应用中中的一种种或多种种，来满满足业务务对身份份真实性性、数据据机密性性、信息息完整性性、行为为不可抵抵赖性的的需求。5.1. 信息安全全传输在各类应应用系统统中，无无论是哪哪类网络络，其网网络协议议均具有有标准、开开放、公公开的特特征，各各类信息息

24、在标准准协议下下均为明明文传输输，泄密密隐患很很严重。因因此，重重要敏感感数据、隐隐私数据据等信息息的远程程传输需需要采取取加密传传输，实实现可靠靠的通信信渠道，达达到保守守机密的的目的。同时，由由于各应应用信息息在网上上交互传传输过程程中，不不仅仅面面临数据据丢失、数数据重复复或数据据传送的的自身错错误，而而且会遭遭遇信息息攻击或或欺诈行行为，导导致最终终信息收收发的差差异性。因因此，在在信息传传输过程程中，还还需要确确保信息息内容发发送和接接收的一一致性，保保证信息息接收结结果的完完整性。应用数字字证书技技术保护护信息传传输的安安全性，通通常采用用数字信信封技术术完成。通通过数字字信封技技

25、术，信信息发送送者可以以指定信信息接收收者，并并且在信信息传输输的过程程保持机机密性和和完整性性。5.2. 可信电子子印迹“电子印印迹”是指电电子形式式的图章章印记和和手写笔笔迹。在政府机机关信息息化建设设中，电电子公文文受到广广泛使用用。通过过电子公公文来实实现单位位内部及及单位之之间流转转传达各各种文件件，实现现无纸化化的传递递、发布布，可以以有效提提高行政政办公效效率。在在电子商商务应用用中，电电子合同同等文书书同样受受到广泛泛使用。为为更好体体现这些些电子文文档作为为正式公公文的权权威性和和严肃性性，它们们常常需需要“加盖”电子形形式的图图章印记记或显现现电子形形式的手手写签名名笔迹，

26、从从形式上上符合传传统习惯惯。当接接受方对对电子文文件进行行阅读和和审批时时，就需需要确认认电子文文件以及及上面的的公章图图片的真真实性、可可靠性，防防止电子子印迹被被冒用，造造成严重重事故。应用数字字证书可可以提供供可信电电子印迹迹，通常常是采用用数字签签名技术术完成的的。通过过数字签签名，可可以将签签名人的的身份信信息不可可抵赖地地集成在在电子印印迹中，从从而保证证了电子子印迹的的权威性性和可靠靠性。5.3. 安全电子子邮件电子邮件件是网络络中最常常见的应应用之一一。普通通电子邮邮件基于于明文协协议，没没有认证证措施，因因此非常常容易伪伪造，并并被泄密密内容。对对于重要要电子邮邮件，应应具

27、有高高安全保保护措施施，因此此基于数数字证书书技术来来实现安安全邮件件在实际际中具有有巨大需需求。应用数字字证书技技术提供供电子邮邮件的安安全保护护，通常常采用数数字签名名和数字字信封技技术。数数字签名名保证邮邮件不会会被伪造造，具有有发信人人数字签签名的邮邮件是可可信的，并并且发信信人的行行为不可可抵赖；数字信信封技术术可以保保证只有有发信人人指定的的接收者者才能阅阅读邮件件信息，保保证邮件件的机密密性。5.4. 可信网站站服务网站服务务假冒是是互联网网上常见见的攻击击，恶意意假冒网网站服务务所带来来的威胁胁非常严严重，不不仅会造造成网络络欺诈，带带来纠纷纷，还会会导致虚虚假信息息发布，影影

28、响信誉誉，产生生恶劣的的后果。应用数字字证书技技术可以以提供可可信网站站服务，采采用数字字证书的的身份认认证功能能，网站站用户可可以通过过对网站站的数字字证书进进行验证证，从而而避免遭遭受假冒冒网站服服务的欺欺骗。5.5. 安全终端端保护随着计算算机在电电子政务务、电子子商务中中的广泛泛使用，保保护用户户终端及及其数据据越来越越重要。为为了保证证终端上上敏感的的信息免免遭泄露露、窃取取、更改改或破坏坏，一方方面可基基于数字字证书技技术来实实现系统统登录，另另一方面面为重要要信息进进行动态态加密，保保护计算算机系统统及重要要文件不不被非法法窃取、非非法浏览览。在电子政政务、电电子商务务中应用用数

29、字证证书技术术实现安安全登录录和信息息加密，采采用了数数字证书书的身份份认证功功能和数数字信封封功能。应应用系统统通过对对用户数数字证书书的验证证，可以以拒绝非非授权用用户的访访问，保保证授权权用户的的安全使使用。用用户通过过使用数数字信封封技术，对对存放在在业务终终端上的的敏感信信息加密密保存，保保证只有有具有指指定证书书的用户户才能访访问数据据，保证证信息的的机密性性和完整整性。5.6. 代码签名名保护网络因其其便利而而推广，也也因其便便利而带带来一些些不利的的影响。电电子政务务、电子子商务的的用户通通过使用用网络共共享软件件而方便便工作，网网站通过过控件等等技术手手段为用用户带来来便捷，

30、但但这些软软件、控控件等的的安全性性如何保保障？软软件的提提供商是是软件的的责任单单位，但但是网络络中可能能存在的的仿冒行行为为软软件的供供应带来来安全隐隐患。数字证书书的一项项重要应应用就是是代码签签名，通通过使用用数字签签名技术术，软件件的使用用者可以以验证供供应者的的身份，防防止了仿仿冒软件件带来的的安全风风险。5.7. 授权身份份管理授权管理理系统是是信息安安全系统统中重要要的基础础设施，它它向应用用系统提提供对实实体（用用户、程程序等）的的授权服服务管理理，提供供实体身身份到应应用权限限的映射射，提供供与实际际应用处处理模式式相应的的、与具具体应用用系统开开发和管管理无关关的授权权和

31、访问问控制机机制，简简化具体体应用系系统的开开发与维维护。授权管理理的基础础是身份份鉴别，只只有通过过数字证证书技术术，有效效地完成成对系统统用户的的身份鉴鉴别后才才能正确确授权，达达到安全全保护的的最终目目的。数数字证书书技术是是授权管管理系统统的基础础，授权权管理系系统的身身份管理理依赖于于数字证证书的身身份认证证技术。5.8. 行为责任任认定在各个业业务系统统中的行行为，需需要通过过身份确确认、行行为审计计等手段段，在发发生意外外事故、甚甚至是蓄蓄意破坏坏时能够够有效的的明确责责任所在在。通过使用用数字证证书的身身份认证证和数字字签名技技术，可可以在日日常操作作时正确确有效地地认证执执行

32、者的的身份，并并在业务务系统中中使用数数字签名名对行为为日志等等签名保保存，以以供取证证时使用用。通过过使用数数字证书书相关技技术，各各项业务务操作的的行为审审计和责责任认定定可以得得到有效效保障。6. 数字证书书解决方方案6.1. 国产化的的SSLLSSL(Seccuree Soockeet LLayeer)是是Nettscaape公公司设计计的用于于HTTTP协议议加密的的安全传传输协议议，SSSL工作作于一个个可靠连连接的通通讯协议议之上（一一般来说说都是TTCP协协议），采采用数字字证书进进行身份份认证和和密钥的的协商交交换，在在传输过过程中实实现数据据机密性性和完整整性的保保证。由由

33、于SSSL协议议的安全全性和方方便性，广广泛应用用于电子子政务、银银行、证证券、电电子商务务系统，SSSL已已经成为为保护链链路数据据安全和和用户的的身份认认证安全全标准协协议。SSSL协协议基于于数字证证书而设设计，同同时实现现了身份份认证和和传输加加密，因因此SSSL产品品成为利利用数字字证书解解决应用用安全问问题的重重要方式式之一。SSL协协议经过过长时间间发展，已已经相当当完善，主主流的WWeb服服务器以以及浏览览器中都都内置了了SSLL模块，但但标准的的SSLL产品并并不符合合国家密密码管理理局对于于安全产产品的相相关规定定，因此此必须对对SSLL进行国国产化。SSL的的国产化化必须

34、要要符合国国家密码码管理局局对安全全产品的的要求：1. 密钥的安安全。密密钥安全全的主要要目的是是保障系系统中所所使用的的密钥，在在其生成成、存储储、使用用、生命命周期中中的安全全性，SSSL产产品中涉涉及非对对称密钥钥和对称称密钥，主主要遵循循以下原原则：a) 采用经过过国家认认可的密密码硬件件。b) 非对称密密钥的生生成由专专用硬件件生成。c) 非对称密密钥的存存储由专专用硬件件存储，并并且无法法导出。d) 所以密钥钥的运算算都在专专用硬件件中完成成。e) 对称密钥钥临时产产生，一一次一密密。2. 算法安全全。国产产化SSSL包括括在协议议中增加加并使用用国家密密码管理理局认可可的加密密算

35、法。3. 协议的安安全使用用。双证证书机制制是当前前我国PPKI体体系建设设的主流流模式。使使用签名名证书进进行身份份认证，使使用加密密证书进进行密钥钥的交换换和保护护，既使使PKII技术在在应用中中发挥其其基于非非对称密密钥所带带来的优优势，又又满足了了国家对对PKII应用进进行审计计监管的的需要，是是国家密密码管理理机构对对PKII证书应应用的基基本要求求，因此此国产化化的SSSL包括括原有SSSL协协议中双双证书的的使用。国产化的的SSLL产品主主要包含含客户端端和服务务端两部部分，部部署在原原有应用用客户端端和服务务端之间间，保证证应用的的安全接接入及数数据的安安全传输输。整个个系统的

36、的逻辑组组成如下下图所示示：本文所述述SSLL无特殊殊说明均均指国产产化的SSSL。6.2. 可信网站站的数字字证书解解决方案案6.2.1. 需求分析析随着网络络的发展展，网站站成为对对外服务务和展示示形象的的窗口，然然而网站站服务假假冒也成成为一种种攻击手手段，将将用户连连接到假假冒网站站进行非非法操作作。恶意意假冒网网站服务务所带来来的威胁胁非常严严重，不不仅会造造成网络络欺诈，带带来纠纷纷，还会会导致虚虚假信息息发布，影影响信誉誉，产生生恶劣的的后果。因因此需要要一种方方式使得得用户能能够对访访问的网网站进行行验证。6.2.2. 方案思路路在使用浏浏览器通通过htttpss协议访访问网站

37、站时，浏浏览器会会对网站站的站点点证书进进行验证证，因此此，为了了实现用用户能够够验证网网站，网网站可以以到权威威的数字字证书中中心申请请站点证证书来表表明网站站的合法法性。6.2.3. 方案建议议目前网站站实现hhttpps访问问采用的的SSLL（本文文所述SSSL均均指国产产化的SSSL）模模块有两两种模式式：软件件模式和和独立的的硬件模模式。综综合比较较硬件模模式有以以下优点点：性能高，采采用硬件件加速效效率是软软件的几几十倍与应用系系统独立立，便于于维护，便便于扩展展将应用系系统与直直接用户户隔离，安安全性好好因此，对对于用户户数较多多的网站站应该采采用高性性能的硬硬件SSSL设备备。

38、6.2.4. 建设方案案原有系统统结构如如下：加入SSSL模块块的系统统结构如如下：网站向权权威的证证书中心心申请站站点证书书后便可可以采用用htttps方方式进行行访问，用用户在浏浏览器中中通过验验证站点点证书来来判别网网站的真真实性。6.3. 应用远程程访问（BB/S、CC/S）安安全防护护解决方方案6.3.1. 需求分析析网络应用用的发展展为用户户提供了了巨大的的便利，用用户可以以通过网网络远程程报税、查查看个人人信息、付付账单等等等，企企业员工工可以远远程访问问公司内内部应用用。但由由于网络络的连通通性，这这些网络络应用同同时也被被暴露在在开放的的互联网网络环境境中，随随时面临临各种攻

39、攻击的威威胁，这这些网络络应用大大致有以以下安全全需求：有效的身身份认证证机制。这这些网络络应用面面向的是是特定对对象，并并不是任任何人都都可以访访问的，需需要对使使用者使使用身份份认证机机制进行行区分，而而普通的的用户名名+口令令机制存存在容易易猜测、易易被窃取取等安全全漏洞，不不能满足足开放网网络环境境下认证证的需求求。传输信息息的保密密性。这这些应用用传输的的数据往往往是涉涉及个人人信息或或者公司司商业机机密信息息，不允允许信息息在网络络上明文文传输。6.3.2. 方案思路路针对以上上安全需需求，解解决方案案需要从从以下方方面考虑虑：采用基于于证书强强身份认认证机制制替代原原有的用用户名

40、+口令方方式，确确保用户户身份的的准确性性。采用加密密机制，对对客户端端与服务务端传输输数据进进行全程程加密。解决身份份认证及及加密问问题，SSSL技技术是目目前相对对完善、成成熟的方方案。基基本方式式是在原原有客户户端与服服务端之之间部署署SSLL产品，客客户端与与服务端端通讯时时首先通通过数字字证书认认证建立立安全连连接，然然后通过过安全连连接传输输业务数数据。6.3.3. 方案建议议在选用SSSL产产品进行行应用的的远程访访问防护护时还应应考虑以以下方面面：数字证书书的全面面支持采用数字字证书认认证不仅仅仅表现现在客户户端提交交证书，PPKI是是一个完完善的体体系，因因此，对对于数字字证

41、书的的支持是是对PKKI体系系的全面面支持，具具体表现现在证书书的单双双向认证证选择、多多站点证证书支持持、多条条证书链链支持、黑黑名单的的动态更更新等。用户的一一致性认认证通常的SSSL产产品只是是建立了了一个加加密连接接，与应应用完全全无关，用用户通过过认证建建立加密密连接后后必须经经过再次次认证（如如用户名名+口令令）登录录应用系系统，这这种两次次登录不不仅没有有加强安安全性，而而且在给给用户带带来不便便的同时时也带来来安全隐隐患，由由于加密密连接和和应用对对用户认认证的不不一致，用用户可以以使用自自己的证证书建立立连接，使使用别人人的用户户名登录录，这种种方式给给应用的的流程和和日后审

42、审计、取取证带来来了混乱乱。因此，一一个好的的SSLL产品不不仅能够够建立安安全连接接，更重重要的是是能够将将经过强强身份认认证的用用户信息息传递给给应用，保保证连接接和应用用对用户户认证的的一致性性。在客户端端与服务务端之间间进行加加密传输输，应该该采用经经过国家家密码管管理部门门鉴定通通过的产产品。6.3.4. 建设方案案当前应用用系统的的现有结结构如下下：对于B/S应用用系统，浏浏览器自自带SSSL模块块，因此此只需要要在服务务端部署署SSLL产品，而而对于CC/S应应用系统统，则必必须在客客户端与与服务端端同时部部署SSSL产品品，为了了使C/S应用用也能够够真正获获取用户户证书信信息

43、，客客户端还还需要部部署签名名模块，服服务端部部署签名名验证模模块。对对应用系系统进行行防护后后的系统统结构如如下：经过安全全防护的的B/SS应用访访问流程程如下：用户使用用浏览器器访问应应用系统统。安全认证证网关要要求用户户提交用用户数字字证书。用户登录录USBBKEYY提交个个人证书书。安全认证证网关验验证用户户证书，包包括证书书自身有有效性，信信任证书书链，黑黑名单。验证通过过后，安安全认证证网关将将请求发发送给真真正应用用服务器器，并将将用户证证书信息息添加到到HTTTP请求求中。应用服务务器从HHTTPP请求中中获取用用户的身身份，进进行访问问控制并并为用户户提供服服务。经过安全全防

44、护的的C/SS应用访访问流程程如下：客户端向向服务端端发起连连接请求求。安全认证证网关要要求用户户提交用用户数字字证书。用户登录录USBBKEYY提交个个人证书书。安全认证证网关验验证用户户证书，包包括证书书自身有有效性，信信任证书书链，黑黑名单。验证通过过后，安安全认证证网关将将请求发发送给真真正应用用服务器器。服务端返返回此会会话的特特征数据据。客户端调调用签名名控件，使使用用户户私钥对对此数据据进行签签名，并并将签名名后的数数据和证证书发送送给服务务端。服务端接接收后，将将特征数数据、用用户证书书以及用用户签名名后的特特征数据据一起传传送给签签名验证证模块请请求验证证。签名验证证模块验验

45、证签名名的有效效性，给给服务端端返回验验证结果果。服务端根根据验证证结果做做出判断断，若验验证出错错，则断断开连接接；若验验证通过过，则获获取证书书中的信信息作为为用户标标志，并并给用户户赋予相相应权限限进行操操作。6.4. 网上业务务（办公公、交易易）安全全解决方方案6.4.1. 需求分析析随着网络络应用的的快速发发展，越越来越多多的重要要业务也也利用网网络进行行，如电电子商务务、电子子政务、网网上银行行等，这这些网上上业务的的进行大大大提高高了效率率，同时时由于这这些业务务的重要要性，系系统也对对安全提提出了更更高的要要求：高强度身身份认证证：由于于互联网网上的虚虚拟性和和匿名性性，任何何

46、一方都都有被冒冒充的可可能，所所以系统统必须使使用高强强度的身身份机制制来确保保使用者者的身份份。数据传输输保密：无论是是交易信信息还是是办公信信息都是是需要严严格保密密的，但但是在网网络上，网网络监听听技术使使数据的的获取变变得十分分容易，因因此系统统不能允允许信息息在网络络上明文文传输。数据完整整性保障障：由于于网络的的公开特特性，使使得信息息提供者者以外的的人修改改信息成成为可能能。如何何防止他他人篡改改信息是是安全应应用系统统需要解解决的一一个重要要问题。不可抵赖赖性：在在交易系系统中，如如果一方方在交易易操作后后又抵赖赖，将对对应用系系统的使使用造成成很大的的损失，同同样在政政务系统统中，对对于公文文的发行行和操作作也必须须能够唯唯一确认认，具有有不可抵抵赖性。6.4.2. 方案思路路针对以上上安全需需求，解解决方案案需要从从以下方方面考虑虑：采用基于于证书强强身份认认证机制制替代原原有的用用户名+口令方方式，确确保用户户身份的的准确性性。采