數(shù)字證書認證系統(tǒng)產(chǎn)品

• 1、產(chǎn)品概述
• 2、相關(guān)標(biāo)準(zhǔn)規(guī)范
• • （1）基礎(chǔ)設(shè)施類標(biāo)準(zhǔn)
  • （2）應(yīng)用支撐類標(biāo)準(zhǔn)
  • （3）密碼檢測類標(biāo)準(zhǔn)
• 3、標(biāo)準(zhǔn)和產(chǎn)品應(yīng)用要點
• • 1）證書認證系統(tǒng)的檢測類別有產(chǎn)品和項目之分，不同的類別對應(yīng)的檢測內(nèi)容也不同
  • 2）采用雙證書機制，并建設(shè)雙中心
  • 3）應(yīng)使用商用密碼算法進行密碼運算
  • 4）應(yīng)遵循相關(guān)標(biāo)準(zhǔn)以滿足密碼服務(wù)接口的要求
  • 5）應(yīng)對CA和KM的管理員進行分權(quán)管理
  • 6）應(yīng)為證書認證系統(tǒng)進行物理區(qū)域劃分，并進一步對KM物理區(qū)域進行劃分
  • 7）應(yīng)配置安全策略保障網(wǎng)絡(luò)安全
  • 8）應(yīng)采取多種安全措施對CA中所使用密鑰的整個生命周期進行防護
  • 9）應(yīng)有數(shù)據(jù)備份和恢復(fù)策略，能夠?qū)崿F(xiàn)對系統(tǒng)的數(shù)據(jù)備份與恢復(fù)
  • 10）應(yīng)保障系統(tǒng)各組件間的通信安全

1、產(chǎn)品概述

數(shù)字證書認證系統(tǒng)（也簡稱為證書認證系統(tǒng)）是對生命周期內(nèi)的數(shù)字證書進行安全過程管理的安全系統(tǒng)。數(shù)字證書認證系統(tǒng)必須采用雙證書（用于數(shù)字簽名的證書和用于數(shù)據(jù)加密的證書）機制，并按照要求建設(shè)雙中心（證書認證中心和密鑰管理中心）。數(shù)字證書認證系統(tǒng)在邏輯上可分為核心層、管理層和服務(wù)層，其中核心層由密鑰管理中心、證書/CRL生成和簽發(fā)系統(tǒng)、證書/CRL存儲發(fā)布系統(tǒng)構(gòu)成；管理層由證書管理系統(tǒng)和安全管理系統(tǒng)構(gòu)成；服務(wù)層由證書注冊管理系統(tǒng)（包括遠程用戶注冊管理系統(tǒng)）和證書查詢系統(tǒng)構(gòu)成。一般的數(shù)字證書認證系統(tǒng)的邏輯結(jié)構(gòu)如下圖所示。

在數(shù)字證書認證系統(tǒng)中，CA提供的服務(wù)功能主要包括：提供數(shù)字證書在其生命周期中的管理服務(wù)；提供RA的多種建設(shè)方式，RA可以全部托管在CA，也可以部分托管在CA，部分建設(shè)在遠端；提供人工審核或自動審核兩種審核模式；支持多級CA認證；提供證書簽發(fā)、證書查詢、證書狀態(tài)查詢、證書撤銷列表下載、目錄服務(wù)等功能。
RA負責(zé)用戶的證書申請、身份審核和證書下載，可分為本地注冊管理系統(tǒng)和遠程注冊管理系統(tǒng)。證書申請和下載均采用在線和離線兩種方式。RA主要功能包括用戶信息的錄入、審核、用戶證書下載、安全審計、安全管理及多級審核。
KM為系統(tǒng)內(nèi)其他實體提的功能包括：生成非對稱密鑰對、對稱密鑰、用于簽名過程的隨機數(shù)；接收、審核CA的密鑰申請；調(diào)用備用密鑰庫中的密鑰對；向CA發(fā)送密鑰對；對調(diào)用的備用密鑰庫中的密鑰進行處理，并將其轉(zhuǎn)移到在用密鑰庫；對歷史密鑰庫中的密鑰進行處理，將超過規(guī)定保留期的密鑰轉(zhuǎn)移到規(guī)定載體；接收與審查關(guān)于恢復(fù)密鑰的申請，依據(jù)安全策略進行處理；對進入本系統(tǒng)的有關(guān)操作進行人員的身份和權(quán)限認證。
在雙證書（簽名證書和加密證書）體系下，用戶持有兩對不同的公私鑰對。KM提供了對生命周期內(nèi)的加密證書密鑰對進行全過程管理的功能，包括密鑰生成、密鑰存儲、密鑰分發(fā)、密鑰備份、密鑰更細膩、密鑰撤銷、密鑰歸檔和密鑰恢復(fù)等，具體如下。
①密鑰生成：根據(jù)CA的請求為用戶生成非對稱密鑰對，該密鑰對由密鑰管理中心的硬件密碼設(shè)備生成。
②密鑰存儲：密鑰管理中心生成的非對稱密鑰對，經(jīng)硬件密碼設(shè)備加密后存儲在數(shù)據(jù)庫中。
③密鑰分發(fā)：密鑰管理中心生成的非對稱密鑰對，通過證書認證系統(tǒng)分發(fā)到用戶證書載體中。
④密鑰備份：密鑰管理中心采用熱備份、冷備份和異地備份等措施實現(xiàn)密鑰備份。
⑤密鑰更新：當(dāng)證書到期或用戶需要時，密鑰管理中心根據(jù)CA請求為用戶生成新的非對稱密鑰對。
⑥密鑰撤銷：當(dāng)證書到期、用戶需要或管理機構(gòu)依據(jù)合同規(guī)定認為必要時，密鑰管理中心根據(jù)CA請求撤銷用戶當(dāng)前使用的密鑰。
⑦密鑰歸檔：密鑰管理中心為到期的或撤銷的密鑰提供安全長期的存儲。
⑧密鑰恢復(fù)：密鑰管理中心可為用戶提供密鑰恢復(fù)服務(wù)，可為司法取證提供特定密鑰恢復(fù)。密鑰恢復(fù)需依據(jù)相關(guān)法規(guī)并按管理策略進行審批，一般用戶只限于恢復(fù)自身密鑰。
作為一種普適性的安全基礎(chǔ)設(shè)施，數(shù)字證書認證系統(tǒng)應(yīng)用非常廣泛，能夠在保密性、數(shù)據(jù)完整性、數(shù)據(jù)起源鑒別、身份鑒別和不可否認服務(wù)等方面為各種不同的應(yīng)用系統(tǒng)提供安全服務(wù)。數(shù)字證書認證系統(tǒng)簽發(fā)的證書可以用于標(biāo)明設(shè)備、用戶、機構(gòu)身份。
電子商務(wù)是數(shù)字證書認證系統(tǒng)的典型應(yīng)用場景之一，如下圖所示。電子商務(wù)應(yīng)用中主要有五個交易參與方：買家、商戶、銀行、第三方支付機構(gòu)和認證機構(gòu)（建設(shè)用數(shù)字證書認證系統(tǒng)）。交易各方通過認證機構(gòu)獲取各自的數(shù)字證書。交易產(chǎn)生之前要對交易各方進行身份鑒別，通過認證機構(gòu)頒發(fā)的數(shù)字證書（加密證書和簽名證書）以及數(shù)字簽名技術(shù)完成網(wǎng)上交易雙方的身份鑒別，并實現(xiàn)交易過程中對傳輸數(shù)據(jù)的保密性、完整性和行為的不可否認性。

商用密碼產(chǎn)品認證中遇到問題可站內(nèi)聯(lián)系或15011462285.

2、相關(guān)標(biāo)準(zhǔn)規(guī)范

我國制定了一系列標(biāo)準(zhǔn)，以規(guī)范數(shù)字證書認證系統(tǒng)管理和證書使用，具體內(nèi)容包括以下標(biāo)準(zhǔn)：

（1）基礎(chǔ)設(shè)施類標(biāo)準(zhǔn)

GM/T 0014-2012《數(shù)字證書認證系統(tǒng)密碼協(xié)議規(guī)范》，該標(biāo)準(zhǔn)描述了證書認證和數(shù)字簽名中通用的安全協(xié)議流程、數(shù)據(jù)格式和密碼函數(shù)接口等內(nèi)容。
GM/T 0015-2012《基于SM2密碼算法的數(shù)字證書格式規(guī)范》，該標(biāo)準(zhǔn)規(guī)定了數(shù)字證書和證書撤銷列表的基本機構(gòu)，對數(shù)字證書和證書撤銷列表中的各項數(shù)據(jù)內(nèi)容進行描述。
GM/T 0034-2014《基于SM2密碼算法的證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》改標(biāo)準(zhǔn)規(guī)定了為公眾服務(wù)的數(shù)字證書認證系統(tǒng)的設(shè)計、建設(shè)、檢測、運行和管理規(guī)范。

（2）應(yīng)用支撐類標(biāo)準(zhǔn)

GM/T 0020-2012《證書應(yīng)用綜合服務(wù)接口規(guī)范》，該標(biāo)準(zhǔn)主要為上層的證書應(yīng)用系統(tǒng)提供簡介、易用的調(diào)用接口。

（3）密碼檢測類標(biāo)準(zhǔn)

GM/T 0037-2014《證書認證系統(tǒng)檢測規(guī)范》，該標(biāo)準(zhǔn)規(guī)定了證書認證密鑰管理系統(tǒng)的檢測內(nèi)容與檢測方法。
GM/T 0038-2014《證書認證密鑰管理系統(tǒng)檢測規(guī)范》改標(biāo)準(zhǔn)規(guī)定了證書認證密鑰管理系統(tǒng)的檢測內(nèi)容和檢測方法。
GM/T 0043-2015《數(shù)字證書互操作檢測規(guī)范》，改標(biāo)準(zhǔn)對數(shù)字證書格式和互操作檢測進行規(guī)范。

3、標(biāo)準(zhǔn)和產(chǎn)品應(yīng)用要點

第三方電子認證服務(wù)機構(gòu)的數(shù)字證書認證系統(tǒng)的建設(shè)、檢測和使用應(yīng)滿足GM/T 0034-2014《基于SM2密碼算法的證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》、GM/T 0037-2014《證書認證系統(tǒng)檢測規(guī)范》、GM/T 0038-2014《證書認證密鑰管理系統(tǒng)檢測規(guī)范》標(biāo)準(zhǔn)的相關(guān)要求，非第三方電子認證服務(wù)機構(gòu)（如自建CA）的數(shù)字證書認證系統(tǒng)的建設(shè)、檢測、運行和管理，可參照以上標(biāo)準(zhǔn)。下面將根據(jù)上述標(biāo)準(zhǔn)給出應(yīng)用要點。

1）證書認證系統(tǒng)的檢測類別有產(chǎn)品和項目之分，不同的類別對應(yīng)的檢測內(nèi)容也不同

GM/T 0037-2014《證書認證系統(tǒng)檢測規(guī)范》標(biāo)準(zhǔn)中將檢測對象分為產(chǎn)品和項目兩類。產(chǎn)品指由CA服務(wù)器、RA服務(wù)器、OCSP服務(wù)器、LDAP服務(wù)器、密碼機、證書與私鑰存儲介質(zhì)及相關(guān)軟件等組成的證書認證系統(tǒng)。項目指采用證書認證系統(tǒng)產(chǎn)品，按照GM/T 0034-2014《基于SM2密碼算法的證書認證系統(tǒng)及其相關(guān)安全技術(shù)規(guī)范》要求建設(shè)的證書認證服務(wù)運營系統(tǒng)。其中，物理區(qū)域、安全管理、多層結(jié)構(gòu)支持、數(shù)據(jù)備份和恢復(fù)、第三方安全產(chǎn)品等項測試內(nèi)容只適用于項目檢測，不適用于產(chǎn)品檢測；系統(tǒng)初始化、CA證書更新等測試內(nèi)容只適用于產(chǎn)品檢測，不適用于項目檢測。
類似地，GM/T 0038標(biāo)準(zhǔn)也將檢測對象分為產(chǎn)品和項目兩類。產(chǎn)品主要由密鑰管理服務(wù)器、密鑰管理數(shù)據(jù)庫服務(wù)器、密碼機、KM管理終端、KM審計終端以及相關(guān)軟件等組成。項目指采用證書認證密鑰管理產(chǎn)品，按照GM/T 0034中第9章要求建設(shè)的證書認證密鑰管理系統(tǒng)。其中物理區(qū)域、安全管理、數(shù)據(jù)備份和恢復(fù)、第三方安全產(chǎn)品等項測試內(nèi)容只適用與項目檢測，不適用于產(chǎn)品檢測；系統(tǒng)初始化、支持多個CA等測試內(nèi)容只適用于產(chǎn)品檢測，不適用于項目檢測。

2）采用雙證書機制，并建設(shè)雙中心

系統(tǒng)采用雙證書機制，每個用戶擁有兩張數(shù)字證書，一張用于數(shù)字簽名，另一張用于數(shù)據(jù)加密。用于數(shù)字簽名的密鑰對可以由用戶利用具有密碼運算功能的證書載體產(chǎn)生；用于數(shù)據(jù)加密的密鑰對由密鑰管理中心產(chǎn)生，并負責(zé)安全管理。簽名證書和加密證書一起保存在用戶的證書載體中，用戶可通過查看證書中Key Usage擴展字段的內(nèi)容（用于加密或用于簽名），區(qū)分簽名證書和加密證書。而且，系統(tǒng)應(yīng)建設(shè)雙中心，即同時具有證書認證中心和密鑰管理中心。

3）應(yīng)使用商用密碼算法進行密碼運算

數(shù)字證書認證系統(tǒng)使用對稱密碼算法、公鑰密碼算法和密碼雜湊算法三類算法，實現(xiàn)有關(guān)密碼服務(wù)的各項功能。其中，對稱密碼算法用于實現(xiàn)數(shù)據(jù)加解密及消息認證，公鑰密碼算法用于實現(xiàn)簽名/驗簽以及密鑰交換，密碼雜湊算法用于實現(xiàn)待簽名消息摘要運算。公鑰密碼算法使用SM2，對稱密碼算法使用SM4，密碼雜湊算法使用SM3。

4）應(yīng)遵循相關(guān)標(biāo)準(zhǔn)以滿足密碼服務(wù)接口的要求

密碼設(shè)備應(yīng)遵循GM/T 0018，智能密碼鑰匙應(yīng)遵循GM/T 0016，密碼協(xié)議應(yīng)遵循GM/T 0014、密碼服務(wù)的接口應(yīng)遵循GM/T 0019和0020。

5）應(yīng)對CA和KM的管理員進行分權(quán)管理

CA和KM均應(yīng)設(shè)置超級管理員、審計管理員、審計員、業(yè)務(wù)員管理員、和業(yè)務(wù)操作員。
各類人員使用證書進行登錄，其中超級管理員和審計管理員的證書應(yīng)在CA和KM進行初始化時同時產(chǎn)生。KM工作人員的證書應(yīng)由KM自建的獨立內(nèi)部CA簽發(fā)，自建的獨立CA的根證書必須由國家級認證機構(gòu)的根CA簽發(fā)。

6）應(yīng)為證書認證系統(tǒng)進行物理區(qū)域劃分，并進一步對KM物理區(qū)域進行劃分

證書認證系統(tǒng)的物理區(qū)域應(yīng)劃分為公共區(qū)、服務(wù)區(qū)、管理區(qū)、核心區(qū)。
KM的物理區(qū)域應(yīng)劃分為密鑰服務(wù)區(qū)和密鑰管理區(qū)。

7）應(yīng)配置安全策略保障網(wǎng)絡(luò)安全

如果KM與CA處于同一局域網(wǎng)內(nèi)，應(yīng)通過防火墻與CA連接。如果它們不處于同一局域網(wǎng)內(nèi)，應(yīng)通過網(wǎng)絡(luò)密碼機與CA連接。網(wǎng)絡(luò)密碼機應(yīng)是經(jīng)過國家密碼部門審批或具備資格的機構(gòu)檢測認證合格的產(chǎn)品。
系統(tǒng)內(nèi)各相鄰網(wǎng)段之間采用不同的防火墻進行隔離，防火墻工作模式設(shè)置為路由模式，應(yīng)關(guān)閉所有系統(tǒng)不需要的端口，對防火墻發(fā)現(xiàn)的安全事件應(yīng)有相應(yīng)的響應(yīng)策略。
應(yīng)在服務(wù)區(qū)交換機上部署入侵檢測探測設(shè)備，保證對外來所有信息包的檢測。入侵檢測管理控制臺與入侵檢測探測設(shè)備采取直連方式，保證其獨立的管理及檢測。入侵檢測對信息包的檢測與分析設(shè)置為高警戒級別。對入侵檢測設(shè)備發(fā)現(xiàn)的安全事件應(yīng)用相應(yīng)的響應(yīng)策略。最后，入侵檢測的特征庫應(yīng)及時更新。
應(yīng)定期對關(guān)鍵的服務(wù)器設(shè)備、網(wǎng)絡(luò)設(shè)備及網(wǎng)絡(luò)安全設(shè)備進行漏洞掃描，對掃描發(fā)現(xiàn)的發(fā)現(xiàn)的漏洞應(yīng)有相應(yīng)的響應(yīng)策略，并及時更新漏洞庫。關(guān)鍵的服務(wù)器及操作、管理終端應(yīng)部署防病毒產(chǎn)品，對防病毒產(chǎn)品發(fā)現(xiàn)的安全事件應(yīng)有相應(yīng)的響應(yīng)策略，應(yīng)及時更新病毒庫。

8）應(yīng)采取多種安全措施對CA中所使用密鑰的整個生命周期進行防護

密鑰安全的基本操作是，密鑰的生成和使用必須在硬件密碼設(shè)備中完成，且必須由安全可靠的管理機制；存在于硬件密碼設(shè)備之外的所有密鑰必須加密；密鑰必須有安全可靠的備份恢復(fù)機制；對密碼設(shè)備操作必須由多個操作員實施。

9）應(yīng)有數(shù)據(jù)備份和恢復(fù)策略，能夠?qū)崿F(xiàn)對系統(tǒng)的數(shù)據(jù)備份與恢復(fù)

系統(tǒng)應(yīng)選擇適當(dāng)?shù)拇鎯浞菹到y(tǒng)對重要數(shù)據(jù)進行備份。不同的應(yīng)用環(huán)境可以有不同的備份方案，但應(yīng)滿足以下基本要求：備份要在不中斷數(shù)據(jù)庫使用的前提下實施，備份方案應(yīng)符合國家有關(guān)信息數(shù)據(jù)備份的標(biāo)準(zhǔn)要求，應(yīng)提供人工和自動備份功能，實時和定期備份功能，還應(yīng)增加備份功能、日志記錄功能、歸檔檢索與恢復(fù)功能。

10）應(yīng)保障系統(tǒng)各組件間的通信安全

應(yīng)采取通信加密、安全通信協(xié)議等安全措施保障CA各子系統(tǒng)之間、CA與KM之間、CA與RA之間的安全通信。

總結(jié)

以上是生活随笔為你收集整理的商用密码产品认证-数字证书认证系统的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。