自建CA與第三方CA對比

1、自建ca與第三方ca對比1. 自建ca與采購第三方ca證書的比較節(jié)省費(fèi)用使用第三方ca證書的費(fèi)用是企業(yè)證書每年每張證書200元，個人證書每年每張證書10元。自建ca的建設(shè)費(fèi)用包括全部軟硬件、工程費(fèi)用等不超過300萬元?？梢杂嬎?，當(dāng)企業(yè)證書數(shù)量達(dá)到2萬時，自建ca累計費(fèi)用低于使用第三方ca證書。關(guān)于登錄、交易速度在登陸系統(tǒng)和進(jìn)行交易的過程中，服務(wù)器都要查驗(yàn)證書的作廢凍結(jié)情況。自建ca所具有的一個比較優(yōu)勢是所有的服務(wù)器系統(tǒng)都在銀行內(nèi)部，相互之間的通信是局域網(wǎng)，因此驗(yàn)證crl等操作在內(nèi)部網(wǎng)上進(jìn)行，其速度可以得到保證，因此交易速度和可靠性都能得到保證。而使用第三方證書，則交易中需要和第三方ca證書系統(tǒng)

2、進(jìn)行廣域網(wǎng)上的遠(yuǎn)程通信，其網(wǎng)絡(luò)情況對系統(tǒng)運(yùn)行有極大影響，因此其登陸速度、交易速度和可靠性都會遠(yuǎn)遠(yuǎn)低于通過本地局域網(wǎng)通信的自建ca系統(tǒng)。作為基礎(chǔ)安全平臺，支持其他應(yīng)用銀行自建ca在為網(wǎng)上銀行等應(yīng)用服務(wù)的同時，可以成為銀行內(nèi)部的身份認(rèn)證機(jī)構(gòu)，為內(nèi)部信息傳輸?shù)陌踩用芎蜕矸菡J(rèn)證提供安全平臺。如果要實(shí)現(xiàn)同樣的內(nèi)部安全系統(tǒng)而使用第三方證書運(yùn)營機(jī)構(gòu)提供的證書，則可能出現(xiàn)以下方面的問題：1） 費(fèi)用過高，2） 系統(tǒng)不易集成，3） 證書安全策略缺乏靈活性。證書安全策略證書安全策略指的是認(rèn)證中心對證書的用途、使用方法等方面進(jìn)行的規(guī)定。比如，證書的一些屬性可以規(guī)定該證書是否可用于電子郵件，是否可用于轉(zhuǎn)帳支付，是否可

3、用于內(nèi)部管理等等。還包括證書的有效期的定義，比如證書的有效期是1年還是2年甚至5年。這些證書屬性的定義，一般都要和使用證書的具體業(yè)務(wù)聯(lián)系起來，才能更好的讓證書服務(wù)于應(yīng)用。自建ca的安全策略可自己定義，可以根據(jù)自己的要求進(jìn)行定義，這就給新開發(fā)業(yè)務(wù)系統(tǒng)帶來很大的方便，比如業(yè)務(wù)中的一些特性可以在證書中規(guī)定；另外還可以比較方便的擴(kuò)充證書的用途，比如很容易地將交易用證書和內(nèi)部管理證書區(qū)分。第三方證書是面向社會的，其證書安全策略不能隨便修改，因此很難為某個銀行提供個性化的證書安全策略。這在應(yīng)用系統(tǒng)和安全系統(tǒng)的結(jié)合方面可能會帶來一些不便。2. 自建ca建設(shè)及采購第三方證書費(fèi)用對比分析自建ca與采購第三方ca

4、建設(shè)成本比較 自建caxxca軟件系統(tǒng)軟件名稱軟件名稱其他說明數(shù)量單價總價ca serverinfosec netcert ca server 2.x 企業(yè)版xx軟件1ca server許可10000有效證書許可xx軟件1ca admininfosec netcert ca adminxx軟件1ra開發(fā)包radsxx軟件1ra系統(tǒng)ra系統(tǒng)定制開發(fā)xx軟件1實(shí)施費(fèi)合計約50萬第三方軟件系統(tǒng)軟件名稱軟件名稱其他說明數(shù)量單價總價數(shù)據(jù)庫oracle 9i 標(biāo)準(zhǔn)版 ，10個用戶第三方軟件122,00022,000rh linux操作系統(tǒng)red hatenterprise linux as4.0 for

5、x86，cluster suite第三方軟件，41550062,000目錄服務(wù)器sun ldap 6.0第三方軟件11,0002,000目錄服務(wù)器許可1000 sun ldap 許可第三方軟件110,00010,000java中間件ibmwebsphere6.0易捷版第三方軟件113,50013,500合計109,500ca硬件系統(tǒng)軟件名稱型號及配置其他說明數(shù)量價格總價pc serverdellpoweredge 6850，（intelxeon mp7120n 3.0ghz/2mb l2 quad core)，1066mhz fsb，2gb，2*73g sas，2*giga ethernet，

6、combo dvd，2*1470w，磁帶機(jī)，4u，可擴(kuò)展到4顆cpu，64g內(nèi)存第三方硬件，用于caserver、數(shù)據(jù)庫、目錄服務(wù)器、ra系統(tǒng)431000124,000內(nèi)置磁帶機(jī)dell powervault110t sdlt 內(nèi)置 36g用于備份系統(tǒng)及數(shù)據(jù)庫16,800pc1cpu,1g內(nèi)存，80g硬盤，combodvd，windows xp系統(tǒng)第三方硬件，用于caadmin15,000合計135,800 自建ca總價約80萬，該價格為估算價，其中ca系統(tǒng)含有1萬用戶的永久許可，另加密機(jī)根據(jù)對安全要求為可選項(xiàng)。 采購第三方ca證書系統(tǒng)建設(shè)總價：開發(fā)費(fèi)用和硬件費(fèi)用約28萬，包含了ra開發(fā)和部署

7、，不含證書使用費(fèi)。第三方ca證書出售企業(yè)證書一張價格200-160元/年，個人證書一張價格10-8元/年。建設(shè)周期比較： 自建2個月左右，包括ra系統(tǒng)開發(fā)、ca系統(tǒng)部署在內(nèi)的全部工作，可在2個月左右完成。 采購第三方ca證書建設(shè)周期：大約一個月左右。主要是ra的部署與調(diào)試。建設(shè)、維護(hù)期人力投入 自建ca時甲方在硬件和網(wǎng)絡(luò)環(huán)境準(zhǔn)備好的情況下，不再需要投入人力。乙方在布置系統(tǒng)時要2人2天的時間，ra開發(fā)大約需要3人兩個月，這要根據(jù)ra的復(fù)雜程度確定。 采購第三方證書時與自建ca相同。應(yīng)用部分在開發(fā)人力和軟、硬件的投入方面兩種方式是一樣的，這里沒辦法計算。如果使用到ssl加密通道需要安全代理服務(wù)器，

8、如果使用到簽名需要簽名服務(wù)器，這兩種安全應(yīng)用設(shè)備的配備，需要根據(jù)應(yīng)用的要求確定。維護(hù)期兩種方式都需要投人員做日常維護(hù)，一般在設(shè)備運(yùn)維部門有一人兼管即可。證書的管理操作則根據(jù)甲方的管理規(guī)范確定，一般各分支機(jī)構(gòu)要配備1-2名管理員，自建與采購?fù)耆嗤?。五年綜合成本比較一萬張證書比較比較項(xiàng)目第三方ca證書自建ca建設(shè)費(fèi)用28萬80萬階段成本5年5年維護(hù)費(fèi)用（以建設(shè)費(fèi)用的10%計算）14萬40萬單張有效證書費(fèi)用10元01萬張有效證書費(fèi)用50萬0每年費(fèi)用合計（維護(hù)費(fèi)用+1萬有效證書費(fèi)用）92萬元120萬元五萬張證書比較比較項(xiàng)目第三方ca證書自建ca建設(shè)費(fèi)用28萬80萬階段成本5年5年維護(hù)費(fèi)用（以建設(shè)費(fèi)用的10%計算）14萬40萬