身份认证方案

《身份认证方案》由会员分享，可在线阅读，更多相关《身份认证方案（33页珍藏版）》请在金锄头文库上搜索。

1、*身份认证规划方案目录第一章 背景41.1. 信息系统现状41.1.1网络结构体系及网络带宽情况41.1.2. 应用系统41.1.3. 目前现状41.2. *部安全需求41.3. 要求51.3.1. 功能要求51.3.2. 性能要求5第二章 *部身份认证设计原则、设计依据和产品特点72.1设计原则72.2选用的身份认证产品特点和产品遵循的标准72.3设计依据8第三章*部身份认证系统的整体规划和部署103.1 整体身份认证认证体系系统建设方案103.1.1*部级 RA 注册中心部署方案 113.1.2 *部证书类型和申请方式设计143.1.3 证书申请流程163.1.4证书查询系统/认证服务器并

2、发处理能力、证书验证和查询CRL 的时间18第四章产品功能介绍和性能指标194.1认证注册系统设计产品功能要求194.1.1 密钥管理中心技术说明194.1.2 OCSP系统功能设计224.1.3 时间戳服务功能设计244.1.4与其他CA认证中心的相互认证254.1.5系统自身防护设计说明26第五章身份认证与应用系统的结合306.1 与应用系统结合 306.1.1B/S 应用系统强认证改造原理 306.1.2C/S 应用系统强身份认证改造原理 31第一章 背景1.1. 信息系统现状1.1.1 网络结构体系及网络带宽情况*部内网是一个与其他网络物理隔离的专用网络，目前采用的是星型拓扑 结构，由

3、主干网和接入网组成。*部工作内网包括机关局域网和连接各省市自 治区*部的网络。1.1.2. 应用系统*部根据其业务情况规划和建立了各种业务系统等，目前规划中的应用有 九种，需要实现的为两种。1.1.3. 目前现状目前*部内部及其下属机构还没有相关身份认证系统建设。1.2. *部安全需求根据*部建设的规划，建立全网统一的身份认证平台，提供相应的接口， 为下一步开发安全的应用系统提供基础安全平台。*部身份认证与访问控制平 台需符合中央办公厅要求，并能与中央办公厅的 CA 互相认证。规划在*部内部 建立一套完整的身份认证体系，*部建立 RA 中心，作为制证中心，系统的设计 应符合以下原则：符合国际上

4、的相关标准和国家的有关规定；实用、高效、可扩展，可以与其他CA进行交叉认证； 自身的整体安全； 需求、风险与成本的平衡； 全网统一规划； 简单易行； 技术与管理相结合。1.3. 要求1.3.1. 功能要求（1）身份认证能够为每个*系统的用户及主要信息服务设备提供全网统一的身份认证机 制。通过对每一个进入内网用户的合法性进行检验，防止非法用户对局内网信 息资源的访问，保证在*部内部横向和纵向的应用系统中都能实现对用户身份 的认证。（2）认证授权实现应用系统和网络资源的访问控制（3）自身有完备的安全防护措施身份认证系统应具备自我防护功能，提供高可用性和灾难恢复机制，确保 身份认证系统的安全和高可用

5、性。（4）信息保密性、完整性和抗抵赖性 为各种应用系统提供安全服务，使重要内部信息不泄露给未授权的个人、 实体或进程，确保信息的保密性、完整性和防抵赖性。（5）密钥管理生成密钥、分发密钥、备份与恢复密钥、更新密钥、销毁密钥以及密钥在 使用中的查询等。（6）分级管理在*部设立的RA中心实现签发用户证书、管理证书和CRL、提供密钥管理 服务、提供证书状态查询服务等功能，同时也能提供证书状态查询服务。（7）提供时间戳的服务（8）提供对应用系统的接口1.3.2. 性能要求产生密钥对的时间、签发证书的时间要快；批量发证的能力要强； 对证书状态的查询响应时间要短；在现有网络带宽的情况下，提供安全性的同时，

6、不影响现有应用系统的正常使用； 系统运行稳定可靠。第二章 *部身份认证设计原则、设计依据和产品特点2.1 设计原则（1）系化设计原则*部 身份认证系统是一个复杂的系统工程，是任何一种单元技术都无法独 立解决的。必须从一个完整的安全体系结构出发，综合考虑各种实体和各个环 节，综合使用各种安全手段，为信息网络应用和业务系统提供全方位服务。（2）全局性、综合性、均衡性设计原则 从全局的角度出发、综合考虑，包容现存的和将要实施的应用系统，并考 虑全国系统的兼容，实现均衡设计。（3）可行性、可靠性、安全性 在建立身份认证系统之后，不会对原有的网络和应用系统有大的影响。在 保证网络和应用系统正常运转的前提

7、下，能够大幅度提高系统的安全性。（4）适应性、可扩展性原则 此系统安全设计必须能适应系统的变化和技术的发展，要有一定的灵活 性，同时具有良好的可扩展性。（5）需求、风险、成本折衷原则 任何信息系统都不能做到绝对的安全。鉴于这种情况，在进行安全设计 时，要在安全需求、安全风险和安全成本之间进行平衡和折中，既必须遵守三 项要求折中的原则。2.2 选用的身份认证产品特点和产品遵循的标准标准性严格遵守ITU-T X.509标准，其中应用的全部协议都是被国际上广泛采用 的标准协议。应用这些协议，使目前的SSL和将来基于SET的标准都能正常被 应用。数字证书亦可兼容其他CA系统的数字证书。 完整性 数字证

8、书具有公钥/私钥的生成、用户申请、申请审核、证书签发、证书吊 销、证书验证、证书查找、证书修改、密钥管理、证书包装等各项功能。安全性加密公开密钥和私人密钥的长度可以是 512、1024 和 2048 位，公钥/私钥 对的生成和互运算采用可靠性极高的 RSA 算法。利用公钥/私钥对的加密/解密 运算亦采用 RSA 算法。数字签件和签名技术采用 MD5 算法，它是目前可靠性最 好和应用最为广泛的算法。 模块化七个软件模块分别是证书申请、证书审核、证书签发、证书查询、证书回 收、系统安全和备份系统。 易用性系统的 WEB 界面，易用性极好。 特性化强大的密钥管理功能，能实现用户密钥的恢复和更新。2.

9、3 设计依据本设计方案的主要依据是国家保密局文件 “涉及国家秘密的计算机信息系 统安全保密方案设计指南”(BMZ2-2001)，同时，还参考了以下标准和法规、文件： 国家标准GB2887-2000电子计算机场地通用规范 国家标准GB9254-1998信息技术设备的无线电骚扰限值和测量方法 国家标准GB9361-1998计算站场地安全要求 国家标准GB17859-1999计算机信息系统安全保护等级划分准则 国家标准GB50174-1993电子计算机机房设计规范 国家军用标准GJB3433-1998军用计算机网络安全体系结构 国家公共安全和保密标准GGBB1-1999信息设备电磁泄漏发射限值 国家

10、保密标准BMB2-1998使用现场的信息设备电磁泄漏发射检查测 试方法和安全判据 国家保密标准BMB3-1999处理涉密信息的电磁屏蔽室的技术要求和 测试方法 国家保密标准BMB4-2000电磁干扰器技术要求和测试方法 国家保密标准BMB5-2000涉密信息设备使用现场的电磁泄漏发射防 护要求 国家保密指南BMZ1-2000涉及国家秘密的计算机信息系统保密技术 要求 国家保密指南BMZ2-2001涉及国家秘密的计算机信息系统安全保密 方案设计指南 国家保密指南BM23-2000涉及国家秘密的计算机信息系统安全保密 测评指南A CISPR22信息技术设备一无线电干扰特征一极限值和测量方法 CIS

11、PR24信息技术设备一免疫性特征一极限值和测量方法A 国务院令147号中华人民共和国计算机信息系统安全保护条例A 国务院令195号中华人民共和国计算机信息网络国际联网管理暂行 规定A 中华人民共和国公安部令32号计算机信息系统安全专用产品检测和 销售许可证管理办法A 国家保密局文件计算机信息系统保密管理暂行规定（国保发 19981号）A 中央保密委员会办公室、国家保密局文件涉及国家秘密的通信、办公自动化和计算机信息系统审批暂行办法（中保办发19986号）A 中共中央办公厅国务院办公厅关于转发中共中央保密委员会办公室、国家保密局关于国家秘密载体保密管理的规定的通知（厅字 200058号）第三章

12、*部身份认证系统的整体规划和部署1）基于身份认证技术，采用数字证书方式管理用户，使每个用户只需要拥 有一个数字证书，就可以在*部信息网中具有一个惟一的身份，以此建 立集中的用户管理体系；2）在 LDAP 目录服务技术的基础上，采用资源目录管理技术，集中管理各 个应用系统的资源，并在用户管理和资源管理的基础上实现用户的授权 管理；3）建立集中的认证授权中心，在用户访问应用系统资源时，能够集中对用 户的身份进行认证，并集中控制用户的访问行为；4）采用USB KEY作为用户身份证明的存储介质和惟一的身份认证接口，为 用户提供一种安全、可靠的认证方式，并实现单点登录，减少用户的认 证操作。*部身份认证

13、解决方案包含两个部分：RA中心的建立；应用系统安全解 决方案。两个部分的解决措施构成了*部安全平台身份认证的完整体系。我们 首先介绍身份认证系统的建设方案：3.1 整体身份认证认证体系系统建设方案*部身份认证体系整体规划思路*部基于证书的整体身份认证体系从宏观设计上主要包含建立RA注册中心以及附属的相关中心。*部整体身份认证体系主要建设内容包括：1.在*部建成部级证书服务系统，包括：建立一个RA中心、KMC密钥管理中心，建立健全的证书发布体系，包含存储证书的数据库和证书发布目录 服务器， 基于以上身份认证设施，为相关应用单位提供相关接口与服务 （加密、解密、签名、验证签名）。3.1.1*部级

14、RA 注册中心部署方案3.1.1.1 密钥管理中心密钥管理中心是整个身份认证体系密钥管理的托管机构，负责加密密钥的 产生、存贮、管理、备份以及恢复等，负责相关工作密钥的集中管理和集中分 发等，负责密钥系统管理策略的制定和检查，负责保证密钥系统安全、可靠的 运行。密钥管理中心的建设如下图所示，包括身份认证/加密卡、密钥管理服务器身份认证加密卡：负责完成有关密钥的产生、加密、认证等操作，主要用于产生密钥对作为 用户的加密密钥（签名密钥由用户在客户端自己产生，采用 RSA 算法/或者符合 国家保密规定的算法，不托管）。 密钥管理服务器（KMC服务器）KMC 服务器负责处理密钥管理命令，产生、存贮密钥

15、，密钥政策、规定和 制度，密钥的分配方案等，检测分析密钥系统工作状态，发布密钥更换和销毁的命令。密钥服务器可以设多个，根据需要设置三种类型的密钥数据库：备份 密钥库、当前运行密钥库和历史密钥库。 密钥管理终端（kmc管理终端）KMC管理终端，负责各种密钥的产生、检测、选取和制作。密钥的制作是 按照一定格式和规定，将密钥写入载体。密钥管理中心是整个一级身份认证CA的核心，因此必须充分保证其安 全。如上图所示，我们把密钥管理中心划分为一个相对独立的区域，只允许证 书签发服务器（CA服务器）与KMC服务器直接连接，并只允许CA服务器通过 安全方式（SSL）认证身份后才能访问KMC服务器的数据，其它服务器、管理终 端对KMC服务器的访问必