【精编】认证服务防篡改系统介绍

《【精编】认证服务防篡改系统介绍》由会员分享，可在线阅读，更多相关《【精编】认证服务防篡改系统介绍（54页珍藏版）》请在金锄头文库上搜索。

1、电子商务交易防篡改系统介绍 防篡改系统组成 一 认证服务子系统BTA ETSEC 简称CA 二 传输验证应用服务子系统BTA TLSEC三 电子商务防篡改客户端软DigitalCoffere四 应用场景和示例 PKI CA基础知识 PKI PublicKeyInfrastructure 是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范 PKI的核心组成部分CA CertificationAuthority 即认证中心 它是数字证书的签发机构 数字证书 有时被称为电子证书 数字身份证 是一个符合一定格式的电子文件 用来识别证书持有者的真实身份 在电子商务的交易完成

2、后 如何保证交易的任何一方无法否认已发生的交易 这些安全问题将在很大程度上限制电子商务的进一步发展 因此如何保证Internet网上信息传输的安全 已成为发展电子商务的重要环节 PKI CA基础知识 PKI CA基础知识 为解决这些Internet的安全问题 世界各国对其进行了多年的研究 初步形成了一套完整的Internet安全解决方案 即目前被广泛采用的PKI技术 PublicKeyInfrastructure 公钥基础设施 PKI技术采用证书管理公钥 通过第三方的可信任机构 认证中心CA CertificateAuthority 把用户的公钥和用户的其他标识信息 如名称 e mail 身份

3、证号等 捆绑在一起 在Internet网上验证用户的身份 目前 通用的办法是采用基于PKI结构结合数字证书 通过把要传输的数字信息进行加密 保证信息传输的保密性 完整性 签名保证用户身份的真实性和抗抵赖 安全加密基础知识 现代加密算法可以分为三大类 对称加密算法 只有一个密钥 比如用123456加密的数据还需要用123456解密 常见算法有DES 3DES RC4 AES IDEA 国内 等 非对称加密算法 公钥加密算法 有一对 两个密钥 假设分别为A和B 用A加密的数据必须用B解密 用B加密的数据必须用A解密 常见算法有RSA 椭圆曲线 数字摘要算法 严格上说不是加密算法 主要是对数据完整性

4、进行验证的算法 任何被摘要的数据对象不同 产生的摘要结果必然不同 常见算法有MD5 SHA1等 安全加密基础知识 CA所颁发的数字证书中除了包含用户的身份信息外 还有一对非对称加密算法的密钥信息 这对密钥其中一个可以向任何人公开 通常被称作公钥 Pu 另外一个则需要严格保密 只有使用者自己知道 通常被称作私钥 Pr 对称加密算法通常速度更快 但需要解决在数据发送方和接收方安全传输密钥的问题 非对称加密算法加密强度极高 理论上现有技术水平不可破解 但是加密速度慢 不适合加密大量数据 在实际应用中 通常结合以上两种算法 如最常见的SSL加密通信协议 公共数据传输是如何加密的 使用数字证书 其最大的

5、好处是支持公共数据加密传输 数据接收方只需要发布自己的公开密钥 任何人都可以向其加密传送数据 只有接受者才可解密数据 而不必担心数据传输过程中被窃取的问题 公共数据传输是如何加密的 一 发送方使用对称加密算法对传输的数据 Oi 加密 对称加密算法的密钥 Rp 是随机生成的 发送方无需关心 加密后得到加密的密文 Ei 实际应用只所以采用对称加密算法加密数据 是因为对称加密算法速度高 比非对称加密算法要高出上千倍 所以很少有直接采用非对称加密算法直接加密原始数据的情况 公共数据传输是如何加密的 二 发送方使用接收方的公钥 Pu 对对称加密算法使用的密钥再次加密 得到加密密钥 PuRp 然后将该加密

6、密钥和加密数据 Ei 一起封装为数字信封方式一起传输给接收方 三 接收方解密数据时 首先使用自己的私钥 Pu 解密对称加密算法的加密密钥 PuRp 后得到原始的随机密钥 Rp 再使用该随机密钥解密密文 Ei 得到原始数据 Oi 公共数据传输是如何加密的 电子签名和验证是如何进行的 电子签名也是利用数字证书的公开算法特性 做到只有签名者可以签名 签名结果容易被多方所验证的目的 数字签名提供数据完整性保护和不可否认服务 假设电子合同内容为Ec 签名和验证过程如下 电子签名过程是 对被签名的合同计算唯一的数字摘要 签名者使用私钥对该摘要进行加密 加密的结果即为数字签名 验证签名的过程是 首先验证者使

7、用签名者的公钥对数字签名进行解密 如果解密成功 则意味着验证签名者的身份成功 其次验证者再次对被签名的合同计算数字摘要 并将该摘要与第一步验证签名时解密得到的摘要进行比对 如果一致 则说明该签名是针对此合同的 电子签名和验证是如何进行的 自建CA与公共CA的区别 PKI常用缩写词 PKI PublicKeyInfrastructure 公钥基础设施CA CertificationAuthority 认证机构或认证中心RA RegisterationAuthority 注册机构或证书注册审核中心KMC KeyManageCenter 密钥管理中心LDAP LightweightDirectory

8、AccessProtocol 轻型目录访问协议OCSP OnlineCertificateStatusProtocol 在线证书状态协议CRL CertificateRevocationList 证书撤销列表 CA系统结构 CA证书注册系统CA证书签发系统CA密钥管理系统CA证书发布系统CA管理审计系统 CA证书注册系统 又叫RA系统 负责相关辖区证书用户的身份审核 用户基本信息维护 证书管理服务 是信任服务体系的重要节点 由证书管理中心授权运作 CA对用户的管理通过RA具体实现 RA中心由注册服务器 密码服务系统 安全防护系统 安全审计系统等组成 RA中心下设多个注册代理点 注册代理点由录入

9、 审核和制证终端组成 CA证书注册系统 CA证书注册系统 RA系统结构图 图2 1证书注册系统总工作流程 系统功能RA系统采用B S结构 RA管理终端界面使用浏览器 具备严格的权限管理功能 注册代理点录入 审核和制证业务分别由不同权限的操作员担任 操作员通过IE浏览器登录RA系统 登录时需要经过基于证书的身份认证 CA证书注册系统 主要功能提供用户身份审核服务 对证书申请者进行身份审核 可采用在线审核或离线审核两种方式 支持自动 手动两种证书审核模式 提供证书申请服务 包括证书签发 证书更新 证书作废 证书冻结 证书解冻 提供证书下载服务 包括证书管理中心对证书申请等操作响应的处理 对用户的反

10、馈 或直接将结果下载到用户证书载体 CA证书注册系统 主要功能保存和维护本地用户资料库 并与CA中心 或上级RA 通讯 完成所需的各种业务功能证书注册服务器申请并维护证书模板RA可下设多个注册代理点 每个代理点管理一个区域 每个区域设置相应的管理员与操作员 区域和区域之间默认相互独立 定制管理角色 管理权限 系统的审计业务和其他业务实现严格的分权管理 CA证书注册系统 CA证书签发系统 签发系统 CSS 选用国家密码管理局批准的证书认证系统的技术进行建设 证书签发系统是证书认证系统的核心 不仅为整个证书认证系统提供签发证书 证书注销列表的服务 还承担整个证书认证系统中主要的安全管理工作 CA签

11、发系统结构模型 CA证书签发系统 CA签发系统结果模块图 CA证书签发系统 证书签发子系统证书签发子系统的主体为证书签名服务器 是CA签发系统的核心 用于为整个CA认证系统用户签发证书 并归档管理全部已签发的证书 证书签名服务器保存CA签发系统公私钥对 并在初始化时生成自签名CA证书 证书签名服务器处于核心层 设置多层安全防护技术 保障服务器不会受到来自外部网络的攻击 签名私钥存放在加密机内 所有加密运算均在加密机内完成 私钥不在加密机外运算 保护私钥的安全 证书签发子系统又分为证书离线签发子系统和证书在线签发子系统 证书离线签发子系统接收管理系统指令完成初始化等任务并发放系统管理员证书 主要

12、功能 CA系统初始化CA密钥生成 备份与恢复RA管理 对RA进行登记和管理 为RA分配相应的证书模板 支持多个RA超级管理员证书制作 更新 注销支持设备 机构 人员证书的签发 更新 注销 CA证书签发系统 证书在线签发子系统接收证书管理子系统请求 根据RA注册系统和密钥管理系统提供的数据 为用户签发签名和加密证书 在线签发系统的主要功能 接收证书管理子系统制作证书请求 签发用于数字签名的公钥证书 简称签名证书 和数据加密的公钥证书 简称加密证书 接收证书管理子系统请求 为用户提供证书更新 补办 重签 冻结 解冻 作废等服务 接收证书管理子系统指令维护系统内部数据 保存操作日志 CA证书签发系统

13、 证书撤销列表签发子系统证书撤销列表是在证书有效期之内 证书管理系统签发的终止使用证书的信息 在证书的使用过程中 应用系统通过检查CRL 获取有关证书的状态 证书撤销列表签发系统生成与维护证书撤销列表CRL 定时向主LDAP服务器传送 实现CRL下载与更新 提供证书撤销列表的操作策略及管理策略 可通过管理界面自行设置证书撤销列表更新频率和有效期 支持分布式发布证书撤销列表方式检查证书有效期 清理进入CRL的数据整理维护CRL历史记录 CA证书签发系统 证书管理子系统证书管理子系统接收各地证书注册系统发来的证书服务申请 进行相应的处理 回送处理结果 是在线签发系统的前置系统 其主要功能 对进入证

14、书管理系统内层的用户进行身份认证对数据进行验证或签名接收注册系统证书业务请求 传送给签名服务器做相应处理 并回送处理结果通知签名服务器签发证书CRL定时通知在线签发系统完成系统内部数据维护整理工作 CA证书签发系统 日志审计子系统为了对各系统进行安全审计 各系统将运行中的重要操作记入日志文件 包括操作人员的签名信息 时间信息 对重要数据库的操作信息 系统运行成功或失败的信息等 日志审计子系统主要功能 对各个子系统进行审计 针对各系统特点 定义相应的审计策略生成并记录CA操作日志对指定事件 设备 人员进行审计生成审计报告 CA证书签发系统 管理监控子系统 签发系统设置完备的终端管理与监控系统 通

15、过可视化的管理界面 实现对 签发系统的各个部分进行管理和监控 主要功能为 系统启动与关闭签发管理员和操作员证书对管理员和操作员授权签发服务器和设备证书检测与监测服务器运行状态对安全事件分析与跟踪处理 CA证书签发系统 密钥管理系统 KMS 位于整个CA系统的最核心位置 在系统的模型图中它只同CSS服务器和KMS管理终端有直接连接 与其他服务器和管理终端均不相连 KMS系统结构模型如下 CA密钥管理系统 密钥管理系统结构模块图 密钥管理系统负责密钥管理策略的制订与维护 系统根密钥的管理与维护 密钥管理业务的规范化 其主要功能为 对进入本系统的管理员进行身份认证 提供用户加密密钥的生成 分发 备份

16、 更新 恢复 归档 查询 销毁等 提供密钥托管服务 用户的加密密钥对经加密后保存在密钥数据库中并进行管理 接收并审查关于恢复密钥的申请 支持预产生密钥对功能 可通过设定策略定时产生 也可支持手动产生 对各功能模块的运行事件进行检查 有关资料分析和密钥申请统计等服务 包括运行事件记录 服务器状态记录 系统重要策略设置 密钥操作记录等 CA密钥管理系统 密钥生成KMS服务器使用专用加密机生成系统使用的密钥对 并将生成的密钥对加密存放于预备密钥库中 密钥生成包括定时预生成密钥和即时生成密钥 其中定时预生成密钥由系统自动完成 CA密钥管理系统 CA密钥管理系统 密钥请求接受CSS的密钥对请求 从密钥预备库中取得密钥对 返回给CSS 用于加密证书的制作 并将密钥对放入密钥在用库 密钥对无论在预备库 在用库还是归档库 均用对称算法加密存放 CA密钥管理系统 密钥撤销接受CSS的密钥对撤销请求 检查KMS服务器的密钥在用库 如果存在待撤销密钥对 则将密钥对放入KMS服务器的密钥归档库 并从密钥在用库中将其删除 CA证书发布系统由在线证书状态查询系统 OCSP 和证书 证书撤销列表目录服务系统 LDA