身份认证系统

身份认证系统 身份认证系统 技术 目 录1. 概述 ...........................................................3 1.1 前言 .....................................................3 1.2 身份认证系统用户认证需求描述 .............................3 1.3 身份认证系统认证解决之道 .................................5 1.3.1 身份认证系统的模式....................................5 1.3.2 建立身份认证系 统......................................5 1.3.3 证书在身份认证系统上的安全应用........................62. 详细设计方案 ...................................................7 2.1 身份认证系 统 ...............................................7 2.2 产品设计原则 .............................................7 2.2.1 认证系统的设计原则 .....................................7 2.2.2 网络环境设计原则.......................................8 2.3 功能模块架构 .............................................9 2.4 身份认证系统功能简介 ....................................11 2.5 身份认证系统安全性分析 ..................................12 2.5.1 本系统安全性保护的必要性 ..............................13 2.5.2 安全性要求 ............................................13 2.5.3 安全性设计原 则 ........................................14 2.5.4 安全性设计方案 ........................................14 2.6 身份认证系统应用开发接口 ................................16 2.6.1 身份认证系统接口函数 ..................................16 2.6.2 API 与身份认证系统结合开发应用系统 ....................16 2.7 身份认证系统使用案例 ....................................173. 系统配置 .......................................................20 3.1 设备配 置 ...................................................20 21. 概述 1.1 前言 随着网络技术的高速发展，个人和企业将越来越多地把业务活动放到网络上，因此网络的安全问就更加关键和重要。据统计，在全球范围内，由于信息系统的脆弱性而导致的经济损失，每年达数十亿美元，并且呈逐年上升的趋势。 利用数字证书、PKI、对称加密算法、数字签名、数字信封等加密技术，可以建立起安全程度极高的身份认证系统，确保网上信息有效、安全地进行，从而使信息除发送方和接收方外，不被其他方知悉(保密性);保证传输过程中不被 ;发送方确信接收方不是假冒的(身份的真实性和不可篡改(完整性和一致性)伪装性);发送方不能否认自己的发送行为(不可抵赖性)。 本方案根据的业务流程、管理模式的实施方案，充分运用现代网络信息技术及 CA 认证体系，建立身份认证系统，并可作为公务网 CA 的配套系统。 1.2 身份认证系统用户认证需求描述 在业务发展过程中，为了更好的实现数据资源共享，充分发挥信息化对系统发展的促进作用，将综合开发一套身份认证系统对目前的用户身份进行管理，为社会、相关职能部门以及各级机构提供服务。 在此系统的开发应用过程中，一个重要的任务是解决如何对应用系统用户进行身份认证从而确保数据的安全。下面将针对在此系统的开发应用中对用户身份认证所做的需求加以说明。 整个系统的逻辑结构如图 1 所示: 3 数据库服务器 ( 用户权限信息) 应用服务器 身份认证服务器 应用服务器1 应用服务器2 应用服务器3 客户端 客户端 客户端 图 1:系统逻辑结构示意图 如图 1 示，整个系统涉及了应用服务器、证书服务器以及相应的客户端。系统运作流程简述如下: 客户端访问应用服务器，应用服务器向认证服务器发出认证请求; 认证服务器完成对用户身份的认证并将与该用户相对应的认证信息 返回相应的应用服务器; 用户在通过认证之后获得在应用服务器获得相应的授权，从而可以 对应用系统进行相应的访问。 所提交的认证系统在满足上述流程之外需要提供应用开发接口，满足与应用服务器之间的交互。这是将认证系统集成到整个身份认证系统的基础条件，使得后续的开发工作能够利用认证信 息做进一步的数据处理。考虑到平台的兼容性，应用系统开发方可以开发一个统一的接口程序与认证系统进行交互。另外还有如下几点要求需注意: 认证服务器的用户信息需要依据数据库服务器中的用户信息为基 础; 对于客户端的身份认证最好采用硬件方式; 客户端通过广域网连接到认证服务器，要求认证服务器是能够面向 4 广域网用户的; 客户端数量可以按 250 用户计算; 提供认证系统的安全模式说明，详细介绍如何确保系统的安全; 系统对认证系统的操作系统平台无特殊要求。 1.3 身份认证系统认证解决之道 根据身份认证系统的设计原则，系统安全需要解决如下几个方面的问题: 数据的保密性。包括数据静态存储的保密性和数据传输过程中的保 密性; 有效的身份认证和权限控制。系统中的各个授权人员具有其特定级 别的权限，可以进行该权限的操作，无法越权操作;操作者事后无 法否认其进行的操作;未授权人员无法进入系统。 我们建议利用业界行之有效的高强度的加解密技术和身份认证技术保证身份认证系统的安全，上海 CA 中心的数字身份认证系统可以为用户提供解决办法。身份认证系统主要负责证书管理，保证系统安全不间断地提供证书的申请和作废，提供用户信息和证书的备份和归档，保证系统数据的完整性。 如何解决身份认证系统的安全性是我们关心的最大问题，结合身份认证系统，我们设计如下的应用模式:1.3.1 身份认证系统的模式 首先我们来看一下身份认证系统的模式: 中心向操作员发放数字证书; 用户使用数字证书登陆，经身份验证后，进入身份认证系统，填写 或修改表单并提交; 系统对表单进行处理，然后提交、登记身份认证系统。1.3.2 建立身份认证系统 身份认证系统以及与其发生业务的部门通过网络和数字证书建立安全可靠 5的身份认证系统。 身份认证系统以及客户和部门申请数字证书，其申请数字证书的方式详见以下章节的多种可选方案。 身份认证系统以及客户和部门申请到了标识其身份的数字证书文件和对应的私钥文件。在此将证书信息文件称为 UserCert.der，私钥信息文件称为UserKey.key。证书的存储介质是带有算法的 USBKEY。 在 我 们 的 身 份 认 证 系 统 提 供 支 持 多 种 平 台 的 证 书 应 用 接 口 API ，WINDOWS 平台以 DLL 的形式提供，各(Application Programming Interface)种 UNIX 平台以“.a”库的形式提供。利用该 API，应用系统可以很方便的将数字证书应用嵌入到业务系统之中。 上海 CA 中心同时在客户端提供 ActiveX 控件和 JavaApplet 开发接口应用服务器端同时提供动态连接库，COM 组件和 JavaBean 开发接口。1.3.3 证书在身份认证系统上的安全应用 以下假设向身份认证系统发订单，利用数字证书的一次数据流程。身份认 操作员 操 作 员 U serC ert.der 操 作 员 U serKey.key 应 用 系 统 平 台 U serC ert.der 应用系统平台 应 用 系 统 平 台 U serC ert.der 应 用 系 统 平 台 U serKey.key 操 作 员 U serC ert.der证系统的服务器和操作员计算机各自申请一张标识其身份的数字证书，即具有其对应的证书文件，私钥文件。这样，通过自己计算机上的 IE 浏览器可以安全的访问身份认证系统。 根据以上数据传输过程，可以完全保证数据传输的保密性、完整性、身份认证和不可抵赖性。同理诸多运行在身份认证系统上的信息流都可以通过加密技术、数字签名技术以身份认证形式、安全电子邮件形式或文档形式进行安全。 62. 详细设计方案 2.1 身份认证系统 身份认证系统是在实际运作过程中，根据用户需求开发的一套内网数字身份认证解决方案套件。该系统可以作为公务网身份认证系统的配套产品适用于接入公务网的各委、办、局、区县的内网应用系统中。该系统将主要针对内网的应用系统，同时结合公 务网身份认证系统的特点和需求，向办公内网提供本地证书库、本地证书管理、本地证书目录、本地证书管理、CRL 查询等服务。 该套系统的 API 提供了与身份认证系统配合使用的 WEB 安全套件，为 WEB应用提供全方位的身份认证服务。包括 UniTrust 登录、UniTrust 退出、对表单进行签名、对表单进行验证、对数据进行加密、解密、对信息进行时间标记和时间验证、以及身份信息控制。可以满足 5 分钟内 500 个并发用户的验证要求。 2.2 产品设计原则2.2.1 认证系统的设计原则 身份认证系统在设计时，从系统建设的近期和长远目标来综合考虑在设计中遵循了性、安全可靠性、实用性、扩展性、经济性、易用性和业务独立性等原则。并在以上原则中着重考虑了: 安全性 安全性是认证系统最为关注的问题，也是认证系统设计及建设中的关键，它包括 Browser 与 Server 间信息传递的安全控制，访问系统的安全控制，系统数据的可追溯性。认证系统有完整的安全策略控制体系以实现安全控制。其关键技术包括网页签名技术，身份认证及信息加密技术，可保证系统间信息传递的安全，访问系统的安全控制。 规范性 和规范是认证系统设 系统设计及建立过程的规范性。计中的重要内容，这里所说的规范性，是指认证 7 目前有关认证系统的实际应用有着多种相关的规范，如 X.509，PKCS10，PKCS7，PKCS12 等。不同的用户及系统在使用认证系统及证书时往往都按照相关的规范调用。同时良好的规范也保证了身份认证系统协调工作时的方便性和准确性。 可扩展性 认证系统方案设计中，每个层次的设计采用模块化设计，可根据用户的不同需要发展进行灵活扩展。如，在数字证书中加入自定义扩展项，从而使政府用户可在证书中加入相应的工作证号等信息。 特别是证书系统采用了 B/S 中的多层设计思想，使得系统可实现对于不同用户的定制服务，可以方便地实行对应用的控制与更新。 易管理性 系统的易管理性是证书认证系统的一个重要特点，系统对应提供多套管理系统，可对系统各个层次进行管理。并可对一些经常性的统计工作提供基于 Web的管理。2.2.2 网络环境设计原则 我们在作产品系统实施方案时充分考虑了网络的高性能、可靠性，可扩充性，以便支持以后网络分阶段升级的需要，保护原有投资。为此，遵循了以下原则: 先进性和实用性 尽可能采用国际上先进的技术和设备，使产品系统具有良好的性能，不仅能满足当前认证系统的需要，还要满足未来 3 至 5 年的需要。对一些目前不重要的部分，则以经济实用为主，但要为以后的扩充打下基础。 高可靠性 采用成熟的先进技术，关键部件和线路有足够备份，有必要的冗余容错能力，如出了故障，要能及时指出故障点及故障原因。 较强的扩充性能 产品提供了很多于应用相连结的标准函数借口，能与将来的先进技术相结合，保护现有投资，保证系统能随时加入新的功能模块，保证有关软件能顺利升级和扩充。 8 良好的安全保密措施 由于此产品是一套独立的身份认证系统，为了确保系统的安全保密措施和系统的大范围适用性，我们提供了软硬件一体机，通过访问控制、及为用户设置权限等措施，防止非法侵入。 2.3 功能模块架构 应用系统 Safeengine SafeEngine 证书管理器 身份认证系统 系统初始化/系统管理/用户管理/证书管理/用户自服务/系统服务 证书编码 OCSP/CRL 签发证书/黑 用户信 证书信 等编码 名单/OCSP 等 息管理 息管理 编码 加解密 数据库 HardWare身份认证系统特性 身份认证系统支持平台 身份认证系统充分发挥硬件的特性，便于管理和维护。减少人为干预。 兼容的应用软件和操作系统 身份认证系统可与以下软件协同工作 客户端应用程序: Netscape Navigator Netscape Communication Microsoft Internet Exploer 9 UniTrust SafeEngine UniTrust 证书管理器 各种 WEB 服务器: MicroSoft IIS WebServer Netscape Enterprise Apache Java WebServer Domino 统一的管理界面 身份认证系统的操作管理都基于 WEB 页面，有效降低维护的成本。 支持各种介质 身份认证系统支持用户证书存放在软盘、IC 卡、USB 棒以及服务器。 严格的权限控制 身份认证系统分为系统管理员、系统操作员、系统用户和匿名用户四个级别用户。系统管理员对系统的运行负责，但不能接触任何用户数据，同时必须超过半数的系统管理员到场时才能进入系统管理模式。操作员仅能对用户进行操作，不能影响系统的运行。用户仅能对自己的数据进行操作，不能修改他人数据。匿名用户提供公用的服务，如下载他人证书、根证书、下载黑名单等。所有的认证方式均采用数字认证方式进行，确保系统安全。 私钥保护 身份认证系统对私钥进行严格的保护，对所有存放在身份认证系统上的私钥，采用多重加密方式，同时身份认证系统采用硬件机，无人可以直接获得身份认证系统上的数据。 日志 身份认证系统提供详尽的日志功能。包括系统日志和用户日志。系统日志主要提供所有系统管理员、系统操作员、用户对系统信息、或证书信息的操作。系统管理员可以通过日志查询获得系统的状态。 历史信息查询 身份认证系统提供国内首创(专利号)的技术，用户历史信息查询。历史信 10息包括用户的证书申请历史和证书使用信息。证书申请信息包括用户申请证书的申请时间、批准或驳回、更新时间、作废时间、上一张证书、下一张证书等。用户证书使用信息查询包括证书被验证记录，提供验证者信息和时间。供用户本人查证自己证书使用纪录，是否有他人试图使用自己的证书。下一版本中，将提供用户告警机制，用户可以设定自己的检查条件，系统核查满足条件后，就发送告警信息给用户。以尽快解决安全隐患。 政策编辑 身份认证系统提供自行编辑证书政策的功能，可以让运行商自行修改证书策略。 数据备份 身份认证系统提供根证书的导入导出功能，也支持所有的数据备份和恢复功能。为数据安全提供保障。 产品升级 对不断提高的技术和新的需求，身份认证系统努力提升产品性能和功能。身份认证系统只需要系统管理员将系统进入维护模式，运行与该系统配套提供的软件升级包，就可以对产品进行升级。 2.4 身份认证系统功能简介 系统初始化 执行系统初始化功能，包括删除所有数据，缺省系统管理员、系统操作员的生成。根证书的生成或指定。系统 IP 地址更改。 系统管理 执行系统管理功能，包括系统管理员管理、操作员管理、根证书管理、系统服务管理、系统日志管理、License 管理、系统密钥管理。 用户信息管理 主要执行用户信息管理的工作，包括用户信息的增加、修改、删除。 证书申请信息管理 主要执行证书申请信息的管理工作，包括证书申请信息的添加、修改和删除。 证书的管理 11 如作废、签发、暂停、恢复等等。以及统计报表的制作打印等等。 用户、证书自服务:用户证书自管理的工作，如用户信息的录入，修改，用户证书申请请求，用户证书的下载，用户证书的废除。以及查询、下载他人证书、CRL。下载根证书。 接收注册请求，签发公钥证书 支持离线或在线签发证书两种方式。前者密钥对由身份认证系统生成;后者密钥对在客户端由浏览器或其他 PKI 软件生成。 证书查询 用户可以输入一定的条目如 Email 或姓名等，通过模糊查询，获得用户证书列表，选择一张证书下载到浏览器中，或保存。 发布证书吊销名单(CRL) 定期发布最新证书吊销名单。CRL 遵从 X.509V3 格式。 提供在线证书状态查询(OCSP) 身份认证系统提供证书状态查询，有效提高可靠性。 提供日志管理 日志是每次操作的 记录，其主要作用有二。一是用于事后故障清查的系统维护方面;其二是事故处理，为系统安全审计提供现场记录数据，是安全审计与追踪的基础。 身份认证系统访问控制 访问身份认证系统需要强身份验证，只有通过超过半数以上的系统管理员的PIN 卡验证后，才允许系统管理员访问身份认证系统，执行安全操作。 用户证书介质制作 用户证书介质即用户身份标识介质，介质中存有用户证书、该证书的签发者证书、和被加密的该用户的私钥。用户证书介质可以是软盘，也可以是安全性更高的 IC 卡或 USB 棒。用户证书介质的选择，需视用户对安全性的要求而定。 2.5 身份认证系统安全性分析 我们提供的该套身份认证系统在安全设计过程中主要考虑四个主要措施:身份鉴别措施、数据的传递过程的机密性与完整性措施、权限分割与互相制约措施、 12自主和可控性措施的四项措施。2.5.1 本系统安全性保护的必要性 数字化信息社会虽然给人们的工作带来了方便，但是由于它是基于网络的信息传递也给人们的工作带来了很多不便之处，在工作中缺少了物理界面的出现，从而带来了信息安全保密问题的出现。通过长时期的了解和观察，我们发现我国信息安全保密还存在以下问题: 信息安全保密意识淡薄，缺少紧迫感和正确的认识。 信息网络防御能力脆弱，信息保密技术研究和技术防范手段滞后， 泄密隐患突出。 信息安全基础设施薄弱，缺少必要的物质条件，一些重要的信息系 统使用进口的安全设备，无法保证其安全性和有效监管。 信息安全保密管理力度不够，管理体系不够完善，内部管理漏洞隐 患大，网.