粤Ｄ
 
您的位置: 汕头网－IT频道【it.0754.com】汕头人上汕头网！ > ｉｔ频道 >

东方通产品线：基础中间件(4)：安全认证平台

CNET中国·PChome.net   类型:原创   作者: 东方通   责编:江海明   时间:2006-10-06

概述

       安全认证平台TongSEC已纳入国家商用密码管理，国家密码管理委员会办公室批复文号：国密办字〔2004〕12号。

       安全认证平台TongSEC是以公钥基础设施（PKI）为核心，以数字证书和CA认证为基础，建立在一系列相关国际安全标准之上的一个开放式应用平台和开发平台。TongSEC向上为应用系统提供多种安全应用模式和不同封装层次的安全开发接口，向下提供统一的密码算法接口以及各种加密机、加密卡、智能卡等硬件密码设备的调用接口。

       基于安全认证平台TongSEC可以开发、构建各种应用安全产品或具有强安全机制的应用系统。具体如：互联网（B/S）安全应用系统、强双因子身份认证系统、数据库/文件加解密保护安全系统、CA认证系统、安全电子邮件系统、安全办公自动化（OA）系统、安全网关、动态口令系统、J2EE中的安全部分JAAS系统、虚拟专网（VPN）等。

体系结构


（图5）TongSEC的应用安全体系如图所示：
 
应用范畴 

企业内部应用环境

       企业内部的应用系统，无论是网络平台还是最终用户应用环境，都需要使用PKI的机制来加强安全性。包括用户证书的生成、分发和管理以及数据库/邮件/文件加解密保护等。


企业相互之间应用环境

       企业相互之间的应用系统, 需要保证的是相互PKI应用的互通。包括用户/应用程序的证书的生成、分发和管理以及数据加解密/完整性保护。


最终消费者应用环境

       最终消费者应用系统的实现方式多以Internet为主，使用的最广泛的是浏览器和电子邮件，同样包括证书的生成、分发和管理以及互联网上数据的加解密/完整性保护。


Internet电子支付

       对于需要在Internet上实现安全电子交易的用户，TongSEC提供对HTTPS安全协议的支持。通过建立WEB服务器和浏览器之间双向的HTTPS安全通道，提供对通信数据的加解密/完整性保护。


应用集成

       TongSEC可以很容易地与现有各类应用系统集成，如：财务软件、工作流软件、ERP系统、各种中间件软件（如MQ、TLQ、TE、TI等）、多种WEB服务器（如WebSphere、TongWeb、IIS、WebLogic、Apache、iPlanet等）。 
 
基于TongSEC的业务流程

       这里以证书请求和网络银行为例来说明基于TongSEC的应用模式和业务流程。

       CA模式如下图所示：一个根CA，带多个RA。所有需要申请数字证书的用户，必须首先到RA进行注册，并通过RA的资格审查。RA采用更安全的脱机方式，通过智能卡或软盘颁发用户数字证书。

       已颁发的数字证书属于公开信息，也可以通过TongSEC/LDAP服务器进行联机获取。


（图6）


证书请求

       用户先到RA填表，出示身份证和其它证据，验证合格；

       RA管理员使用RA程序，生成公钥密钥对，构造请求包，通过内部网向CA提出申请；

       CA验证请求包确实来自声明的RA，密钥对确实是该RA生成；

       CA使用公钥构造证书，签名，并存放在本地和共享的TongSEC/LDAP服务器上；

       CA将签名证书返回RA；

       RA将证书/加密的私钥写智能卡，或构造pkcs#12文件到软盘，交给用户；

       证书以后也可以从TongSEC/LDAP服务器上获取。

网络银行

       网络银行运行在WindowsNT/2000系列和其IIS Web服务器上，其流程如下。

用户初始化：

       用户到RA申请证书，获得含有用户私钥和证书的用户智能卡；

       通过TongSEC提供的安全代理操作用户智能卡，将用户私钥注册到IE浏览器中；

       通过TongSEC提供的安全代理操作用户智能卡，将CA证书注册到IE浏览器中；

IIS服务器初始化：

       网络银行管理员到RA申请证书，获得证书盘；

       将证书安装入IIS服务器；

       通过TongSEC/LDAP服务器获取CA证书，并安装入IIS服务器。

交易流程：

       用户启动Web浏览器，键入网络银行地址，如https://server/bank.htm。https意味着在Web浏览器和IIS之间使用SSL协议，包括身份认证和加密，是一种强安全服务；

       SSL验证成功后，协商加密密钥，网络银行页面加密后下载到用户Web浏览器上；

       浏览器上出现查询、转帐交易提示；

用户选择交易；

       浏览器提示插卡；

       用户插入用户智能卡；

       浏览器读卡信息，并上传加密的交易请求；

       IIS解密，执行请求；

       IIS将结果加密，返回用户Web浏览器；

       Web浏览器解密，显示结果。


详细介绍
 
产品特点

·遵循最新的国际标准：IETF PKIX、RSA PKCS、ITU X.509、IETF LDAP、SSL/TLS、SET等；

·自主开发，自主版权；

·使用1024bit以上的公钥算法和128bit的对称算法，是真正的强安全性产品；

·使用硬件密码设备（加密机、智能卡），保证算法和密钥的极高安全性；

·可颁发互联网应用流行的智能卡/USBKey证书，进行安全的电子交易；

·可提供ActiveX控件、C/C++库、Java包等二次开发软件包；

·服务程序全部采用高性能多线程方式，使用连接池、共享内存等中间件核心技术；

·有独立的日志服务器和完整的分级日志记录，以便审计最终结果；

·高度模块化，可根据安全需求灵活组态；

·支持主流的UNIX及Windows NT/2000系列操作系统；

·支持C和JAVA两种主流开发平台；

·能与TongLINK/Q、TongEASY、TongWeb、TongIntegrator等中间件结合，构造健壮、可伸缩的用户应用安全平台；

·CA/RA的体系结构，可扩展至多级CA和多级RA，部署灵活，安全可靠，适合我国国情。

产品组件

TongSEC是以PKI和CA认证为基础的安全产品系列，包括以下组件：

·TongSEC/PKI

·TongSEC/LDAP

·TongSEC/OCSP

·TongSEC/CARD

·TongSEC/TLS

·TongSEC/LOG

TongSEC/PKI

TongSEC/PKI以应用程序、C/C++/JAVA接口、ActiveX/COM控件的形式提供下列功能模块：

·CA（认证机构，Certificate Authority）：支持数字证书的颁发与管理，支持审计日志，支持增加/管理/删除下级CA和RA。

·RA（注册机构，Registration Authority）：作为CA的屏障直接面对用户，为CA把关，审核外界的证书请求，合格请求才交由CA处理并将CA处理的结果返回用户。

·ASN.1（抽象语法表示法）：使用统一的编码规范，支持异构系统之间的数据交换和处理。

TongSEC/LDAP
      
       LDAP即轻量级目录访问协议。TongSEC/LDAP服务器使用成熟的目录服务器技术、多线程机制、连接池机制，使用标准的目录服务器接口（RFC1777）进行访问。可以与标准的交易中间件结合，解决可能存在的大批量证书请求时的访问瓶颈问题。

TongSEC/OCSP
     
       OCSP即在线证书状态协议。TongSEC/OCSP使用本地和远程目录服务器两级查询/同步技术、多线程技术、连接池机制。有效解决因状证书态信息查询不及时所带来的安全隐患。

TongSEC/CARD

       智能卡便于携带、灵巧方便，是电子商务应用中的重要一员。基于智能卡的系统目前尚未发生过一例安全泄漏，可见其安全性之高。

       TongSEC/CARD屏蔽了不同操作系统平台（Windows/UNIX平台）、不同终端/读卡器品牌、不同智能卡品牌之间的差异，为应用提供简洁、统一的智能卡调用接口。目前，TongSEC/CARD支持国内常见的四种终端：国光、实达、新大陆、长城及其读卡器或金卡键盘，支持握奇智能卡和明华智能卡。

TongSEC/TLS

       支持SSL2.0/SSL3.0/TLS1.0标准安全协议，提供Internet上广泛使用的基于PKI和数字证书的强安全通道，提供基于标准安全协议的高安全性。

TongSEC/LOG

       日志服务器，对TongSEC各模块内日志的集中审计和管理。


基于TongSEC的安全应用

       对于应用系统来讲，TongSEC/PKI是透明的，用户不用了解其内部结构，只需要关注TongSEC跨平台和跨应用的安全服务（PKI-enabled application）。

TongSEC提供的安全服务包括:

·证书生成/发放/管理

·证书储存库

·证书撤销

·证书交叉认证

·支持防抵赖数据签名

·密钥及证书的更新??

·数据及文件加密/解密

·前端安全APIs（工具软件包）

·硬件密码设备调用（加密机、加密卡、智能卡

证书和身份认证

       为了确认使用者的真实身份，用户必须做事前身份登记和审核, 这种经审核后的登记是以数字化的格式存在，称之为数字证书（或公开密钥证书）。

       针对身份登记所进行的一系列操作与管理，就是证书机构（Certificate Authority，CA）的职责。范围包括了用户管理、过程管理和相关工具。在身份确认的过程中，CA扮演的是一个第三方安全资格代言人的角色。CA签发的证书包括以下内容:

·用户标识

·唯一标识名(Distinguished Name，DN)

·用户公开密钥

·证书有效期限

·密钥使用范围（数据加密，数字签名认证）

       CA签发的证书具有唯一性和完整性。唯一性是通过唯一标识名与其公开密钥的捆绑达成的。CA的证书签名如同传统信封上的红漆封印，对证书的任何改动都能被察觉，保证了完整性不被破坏。

       需要强调的是，CA签发的证书不仅仅是用于最终用户身份识别，更多的是与应用程序本身相结合，使用数字证书和签名验证等先进的安全技术，提供身份识别、数据完整性保护等安全服务。

支持防抵赖数据签名

       手写签名的单据是传统交易方式防抵赖的依据。在现代数字化的交易方式中，数字签名代替了纸上签名。其中, 专门用做数字签名的密钥由CA系统产生，且是唯一的，由使用者自我保管。签名密钥没有备份，如果丢失，用户需要重新向CA进行申请。

密钥及证书的更新

       为安全起见，用户密钥需要定期更换，以防止因密钥长期固定而带来的密钥泄漏风险。用户密钥更新后，其对应的数字证书也需要同步更新。

证书储存库与证书分发

       CA是一个安全代理实体，商家使用CA产生证书并将证书颁发给最终用户的应用系统。证书储存库实际上是一个专门用于证书分发的网络服务机制，满足证书储存和管理方面的相关国际标准。最终用户的应用实体通过证书储存库，以应需请求的方式得到证书。证书撤销信息也将由CA存放入证书储存库内，供应用实体及时查询。

证书撤销

       CA建立有证书撤销列表(Certificate Revocation Lists，CRL)，可以做证书状态的消息发布。与TongSEC/LDAP结合, 可对最终用户的应用实体的证书需求进行即时调整。

证书交叉认证

       支持两个CA认证中心彼此认证，其方式是两个CA分别为对方颁发数字证书。这样的交叉认证将原来两个CA的信任领域扩大，分别包括了对方的信任域用户。交叉认证适用于两个CA系统希望彼此认可对方颁发证书的情况；也适用于一个大企业，因区域关系分别有不同的子CA系统，但希望在整个企业范围内共同信任各子CA颁发的数字证书。

最终用户端安全套件

       TongSEC/PKI的价值不仅仅是CA，还包括对前端应用实体的安全支持。因此TongSEC将最终用户端安全套件（安全APIs）与应用集成到一起，例如安全电子邮件、安全浏览器/WEB服务器、安全数据库/文件加解密等。

TongSEC的最终用户端安全套件（安全APIs）支持下列安全服务：

·公开密钥证书

·支持防抵赖数据签名

·操作硬件密码设备

·证书储存库

·数据加密解密

关于本站 | 常见问题 | | 粤ICP备06121263号
  Copyright © 2007 0754.com All Rights Reserved.