《（安全生产）安全中间件二次开发手册》由会员分享，可在线阅读，更多相关《（安全生产）安全中间件二次开发手册（48页珍藏版）》请在金锄头文库上搜索。
1、安全中间件二次开发手册安全中间件二次开发手册 Copyright 2003 Shanghai wellhope Information Technology Co Ltd All Rights Reserved 中国最大的资料库下载 目目 录录 1引言引言 4 1 1编写目的 4 1 2项目背景 4 1 3术语和缩写词 5 1 4遵循标准 5 2系统概述系统概述 7 2 1功能 8 2 2性能 9 精度 9 时间特性 9 灵活性 9 3运行环境运行环境 10 3 1硬件系统 10 3 2支撑软件 10 4开发说明开发说明 10 4 1客户端描述 11 4 1 1APP客户端控件接口说明 11
2、4 1 1 1AtvInit 11 4 1 1 2AtvEnd 11 4 1 1 3SetHardWare 12 4 1 1 4Login 12 4 1 1 5ChangeLoginPin 12 4 1 1 6Logout 13 4 1 1 7GetCert 13 4 1 1 8CheckCert 13 4 1 1 9GetCertInfo 14 4 1 1 10SealEnvelope 15 中国最大的资料库下载 4 1 1 11SealEnvelopeEx 16 4 1 1 12OpenEnvelope 17 4 1 1 13SignData 17 4 1 1 14SignDataEx 1
3、8 4 1 1 15VerifySign 18 4 1 1 16GenRandom 19 4 1 1 17HashData 19 4 1 1 18SymmEncrypt 20 4 1 1 19SymmDecrypt 20 4 1 1 20GetCertFromLDAP 21 4 1 1 21GetAndSaveCRL 21 4 1 1 22ReadFromFile 22 4 1 1 23WriteToFile 22 4 1 1 24GetStamp 22 4 1 1 25VerifyStamp 23 4 1 1 26GetAlgoFromPA 23 4 1 1 27Base64Encode 2
4、4 4 1 1 28Base64Decode 24 4 1 1 29GetParamValue 25 4 2服务端描述 25 4 2 1 APP应用服务器端JAVA接口 25 4 2 1 1 release 25 4 2 1 2GetCurStatus 25 4 2 1 3AdvBase64Encode 26 4 2 1 4 AdvBase64Decode 26 4 2 1 5AdvGetCert 26 4 2 1 6AdvCheckCert 26 4 2 1 7AdvGetCertInfo 27 4 2 1 8AdvSealEnvelope 28 4 2 1 9 AdvSealEnvelop
5、eEx 29 中国最大的资料库下载 4 2 1 10 AdvOpenEnvelope 30 4 2 1 11 AdvSignData 30 4 2 1 12 AdvSignDataEx 31 4 2 1 13 AdvVerifySign 31 4 2 1 14 AdvGenRandom 32 4 2 1 15 AdvHashData 32 4 2 1 16 AdvSymmEncrypt 33 4 2 1 17 AdvSymmDecrypt 33 4 2 1 18 AdvGetCertFromLDAP 34 4 2 1 19 AdvGetCRLFromLDAP 34 4 2 1 20 AdvUp
6、loadCRL 35 4 2 1 21 AdvReadFromFile 35 4 2 1 22 AdvWriteToFile 35 4 2 1 23 AdvGetStamp 36 4 2 1 24 AdvVerifyStamp 36 4 2 1 25 AdvGetAlgoFromPA 36 4 2 1 26 AdvGetAttrCertInfo 37 4 2 1 27 AdvGetPACertInfo 37 4 2 1 28 AdvGetAttrCertListFromLDAP 38 5应用开发实例应用开发实例 39 5 1身份认证参考模型 40 5 2加解密功能参考模型 43 5 3签名验签
7、功能参考模型 44 中国最大的资料库下载 1 引言引言 1 1编写目的编写目的 该文档主要规范了 PKI 安全中间件的功能接口定义 在整个 PKI 体系中 安全中间件的作用非常关键 它通过调用底层的 WHCSP 及 证书管理器等 封装了一系列 PKI 应用接口 满足上层 PKI 具体应用 的需要 本标准适用于 PKI 上层应用的需求 主要为 CA 系统 适用对象 为所有采用安全中间件的系统开发人员 1 2项目背景项目背景 高级密码服务 顾名思义 是为用户提供相对高级和抽象的密 码服务 而不是像底层的 CSP 和硬件加密算法那样 提供比较低级和 具体的密码服务 一般来说 高级的密码服务应该能够让
8、不懂加密 解密和签名 验签等概念的用户也能够透明的使用 也就是说把密码 学算法的细节给屏蔽掉了 中国最大的资料库下载 1 3术语和缩写词术语和缩写词 1 4遵循标准遵循标准 列出参考资料 如 RFC 2459 PKIX PKIX 证书和 CRL 概要 IETF PKIX 证书策略和证书实践框架 IETF RFC 2510 CMP 证书管理协议 RFC 2797 CMC CMS 上的证书管理消息 RFC 2511 CRMF 证书请求消息格式 X 208 抽象语法符号 1 描述 ASN 1 缩写 术缩写 术 语语 解解 释释 PKI公钥基础设施 Public Key Infrastructure
9、CSPCryptographic Service Provider 密码服务提供者 CRL 证书撤消列表 Certificate Revocation List 一个标记一系列不再被证书发布者所信任的证书的签名列表 通称黑名单 LDAP 目录查询协议 Lightweight Directory Access Protocol 本设计指轻型目录访问协议 LDAP 用户可使用 LDAP 协议 通过网络到目录服务器查询系统中的证书或证书撤消列表 OCSP 在线证书状态查询协议 Online Certificate Status Protocol 用户可使用 OCSP 协议 通过网络到 OCSP 服务
10、器实时查 询系统中证书的当前有效 无效状态 中国最大的资料库下载 X 209 抽象语法符号 1 基本编码规范说明 ASN 1 X 680 信息技术 抽象语法符号 1 ASN 1 基本符号规范 X 681 信息技术 抽象语法符号 1 ASN 1 信息目标规范 X 682 信息技术 抽象语法符号 1 ASN 1 强制规范 X 690 信息技术 ASN 1 编码规则 基本编码规则 BER 规 范编码规则 CER 和主要编码规则 DER X 509v4 信息技术 开放式系统互连 目录 公钥和属性证 书框架 X 500 开放式系统互连 目录 概念 模型和服务概述 LDAP 轻目录访问协议 由 ISO 于
11、 1997 年 12 月发布 PKCS 1 v1 5 RSA 密码算法 PKCS 5 v2 0 基于口令的密码标准 PKCS 6 v1 5 扩展的数字证书语法标准 PKCS 7 v1 5 密文消息语法标准 PKCS 8 v1 5 私钥信息语法标准 PKCS 9 v2 0 可选择的属性类型 PKCS 10 v1 5 数字证书申请语法标准 PKCS 11 硬件密码设备接口标准 PKCS 12 v1 0 个人信息交换语法 PKCS 15 v1 1 多个应用访问标准 中国最大的资料库下载 X 509 开放式系统互连 目录 公钥和授权证书框架 ITU T X 500 开放式系统互连 目录 概念 模型和服
12、务概述 CORBA 公共对象请求代理体系结构 v2 4 2 系统概述系统概述 安 全 中 间 件 ACTIVX CORBA 证书管理器 WHCSP 硬件证书接口 硬件密钥接口 CRL 服务 私钥和口令保护 硬件驱动程序 OCSP TSP 在 PKI 体系结构中 见上图 安全中间件总揽了证书管理器和 CSP 的所有功能 它在 PC 端和 PKI 服务器端都是直接面向最终用户 的调用接口 因此 它必须能够屏蔽掉 PC 端和 PKI 服务器端的不同 情况 安全中间件是为用户提供相对高级和抽象的密码服务 而不是像 底层的 CSP 和硬件加密算法那样 提供比较低级和具体的密码服务 一般来说 安全中间件服
13、务应该能够让不懂加密 解密和签名 验签 等概念的用户也能够透明的使用 也就是说把密码学算法的细节给屏 中国最大的资料库下载 蔽掉了 2 1功能功能 抽象的算法服务 1 对指定的明文进行加密的功能 包括口令加密 对称密钥 加密和公开密钥加密 2 对指定的密文进行解密的功能 包括对称密钥解密和公开 密钥解密 3 对指定的明文进行签名的功能 4 对指定的签名进行验签的功能 5 封装 PKCS7 数字信封 6 解开 PKCS7 数字信封 7 对明文进行散列 8 产生随机数 抽象的证书服务 1 根据标签得到证书 2 验证证书的有效性 3 生成 PKCS10 格式的证书请求文件 4 输入绑定的证书和私钥
14、私钥和口令保护服务 1 检查私钥口令 中国最大的资料库下载 2 更改私钥口令 3 检查 PIN 4 更改 PIN 编码服务 5 ASE64 的编码功能 6 BASE64 的解码功能 2 2性能性能 精度精度 TSP 响应时间 1s OCSP 响应时间 1s LDAP 服务单元响应速度 0 5s 时间特性时间特性 客户端RSA 签名 2 次 秒 验签 5 次 秒 服务器端RSA 签名 20 次 秒 验签 100 次 秒 灵活性灵活性 可以灵活支持多种硬件介质和硬件加密卡 可以提供 C C Java C 等应用接口 中国最大的资料库下载 一套软件结构可以同时为 CA 和应用提供服务 可以支持 33
15、 算法 RC4 算法 DES 3DES 算法 3 运行环境运行环境 3 1硬件系统硬件系统 适用于各种 PC 兼容机 服务器 小型机等等 3 2支撑软件支撑软件 WINDOWS 2000 WindowsXP LINUX RedHat9 0 及 Advanced Server2 1 4 开发说明开发说明 描述系统为二次开发工作提供的接口 约束等 安全中间件分为 客户端和服务端 2 部分 安全中间件客户端主要的功能是在客户端通 过对硬件存储介质的操作完成一些密码运算 服务端主要是通过调用 密码服务器为应用服务提供所需的密码服务 客户端和服务端产的数 据格式都采用国际同意标准 服务端可以运算客户端产
16、生的数据 客 户端也可以运算服务端产生的数据 主要用的功能为客户端进行签名 加密 服务端验签 解密或服务端签名 加密 客户端验签 解密 客 户端与服务端的数据传输可以由应用开发灵活处理 但要保证在传输 前后数据的格式不发生变化 通过安全中间件提供的抽象密码服务 为应用开发提供机密性 完整性 不可抵赖性方面的支持 完成身份认证 电子印章 责任认定 密文传输等应用服务 中国最大的资料库下载 4 1 客户端描述客户端描述 客户端主要设备是硬件存储介质 E Key E Key 做为数字证书的 存储设备主要存储用户的签名私钥 加密私钥 签名证书 加密证书 通过调用客户端控件可以使用 E Key 完成签名 加密等密码服务 4 1 1APP 客户端控件接口说明客户端控件接口说明 4 1 1 1AtvInit 功能简介控件初始化 读取客户端证书载体信息及其它初始化工作 调用一些主要功能接口前必须先调用本接口 接口名称int AtvInit 参数说明 入参说明无 出参说明无 返回值成功 则返回 0 失败 则返回错误号 错误号小于 0 4 1 1 2AtvEnd 功能简介进行开发包函数库调用完毕后内部存储
