身份認(rèn)證與訪問控制系統(tǒng)總體設(shè)計(jì)方案

1、精選優(yōu)質(zhì)文檔-傾情為你奉上身份認(rèn)證及訪問控制總體設(shè)計(jì)方案衛(wèi)士通信息產(chǎn)業(yè)股份有限公司應(yīng)用安全產(chǎn)品事業(yè)部2003年5月專心-專注-專業(yè)目 錄1. 設(shè)計(jì)目標(biāo)使用證書認(rèn)證方式實(shí)現(xiàn)網(wǎng)絡(luò)用戶與服務(wù)器之間的雙向身份認(rèn)證，對(duì)通信的數(shù)據(jù)進(jìn)行加密性、完整性和不可否認(rèn)性保護(hù)，將訪問控制技術(shù)溶入到網(wǎng)絡(luò)代理中，對(duì)訪問網(wǎng)絡(luò)的用戶實(shí)施訪問控制。同時(shí)，因?yàn)橄到y(tǒng)代理了應(yīng)用系統(tǒng)的網(wǎng)絡(luò)協(xié)議，并代理用戶訪問系統(tǒng)的提供的服務(wù)，因而，可對(duì)網(wǎng)絡(luò)用戶的行為進(jìn)行全面的審計(jì)，大大的提高了系統(tǒng)的安全性。主要目標(biāo)如下：1 實(shí)現(xiàn)安全設(shè)備統(tǒng)一接口，支持系列化配置的認(rèn)證設(shè)備（USB-Key電子鑰匙、智能IC卡等硬件）；2 基于PKI和Kerberos思想

2、的認(rèn)證方式，支持可配置的單，雙向身份認(rèn)證。3 支持?jǐn)?shù)據(jù)通信的加密保護(hù)，支持標(biāo)準(zhǔn)、商密和普密算法。4 支持常用的網(wǎng)絡(luò)協(xié)議。（HTTP等）5 對(duì)網(wǎng)絡(luò)資源（如文件、目錄）實(shí)現(xiàn)基于角色的訪問控制。6 提供完善的審計(jì)功能，提供數(shù)據(jù)的備份與恢復(fù)。7 系統(tǒng)的負(fù)載均載和集群技術(shù)。8 SOCKS協(xié)議支持。9 SSL算法擴(kuò)充與標(biāo)準(zhǔn)化。10 認(rèn)證服務(wù)器的二次開發(fā)接口。11 實(shí)現(xiàn)系統(tǒng)內(nèi)證書及設(shè)備的管理，支持自帶CA 。2. 系統(tǒng)設(shè)計(jì)在原有網(wǎng)絡(luò)應(yīng)用軟件的環(huán)境中，給客戶和服務(wù)器加上安全代理模塊和訪問控制模塊，為應(yīng)用系統(tǒng)提供身份認(rèn)證、數(shù)據(jù)安全和訪問控制等方面的安全保障。系統(tǒng)由管理系統(tǒng)、代理服務(wù)器、訪問控制服務(wù)器、認(rèn)證服務(wù)器

3、、后臺(tái)應(yīng)用服務(wù)器、安全客戶端組成。3. 系統(tǒng)組成1）客戶端 硬件認(rèn)證令牌系統(tǒng)設(shè)備（可選擇的計(jì)算機(jī)安全模塊系列和第三方安全設(shè)備等） 客戶端安全認(rèn)證軟件2）服務(wù)器端 認(rèn)證服務(wù)器 代理服務(wù)器 服務(wù)器密碼機(jī) RBAC服務(wù)器 系統(tǒng)管理中心 證書及密鑰管理系統(tǒng) 數(shù)據(jù)庫服務(wù)器l 管理系統(tǒng) 系統(tǒng)管理軟件完成安全系統(tǒng)代理服務(wù)的配置、系統(tǒng)服務(wù)器的網(wǎng)絡(luò)配置、系統(tǒng)審計(jì)與監(jiān)控等。 證書及密鑰管理系統(tǒng)具有CA的基本功能，為系統(tǒng)中的用戶簽發(fā)證書及密鑰，并將這些信息存放在安全訪問設(shè)備中。 RBAC管理軟件為應(yīng)用系統(tǒng)創(chuàng)建相關(guān)的角色，將定義的角色與證書及密鑰管理系系統(tǒng)中的所產(chǎn)生的用戶進(jìn)行關(guān)聯(lián)，賦予角色對(duì)應(yīng)用系統(tǒng)的資源的訪問權(quán)限。

4、l 代理服務(wù)器 與認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證和密鑰協(xié)商，驗(yàn)證用戶的訪問令牌，代理后臺(tái)服務(wù)器的協(xié)議，完成發(fā)送/接收數(shù)據(jù)的加/解密，并對(duì)用戶的訪問請(qǐng)求進(jìn)行權(quán)限裁決。l 客戶端代理軟件 使用指定認(rèn)證設(shè)備，完成客戶與認(rèn)證服務(wù)器之間的身份認(rèn)證，并接收認(rèn)證服務(wù)器返回的訪問令牌。客戶端代理軟件因訪問令牌超時(shí)而被代理服務(wù)器拒絕訪問時(shí)，將與認(rèn)證服務(wù)器重新進(jìn)行認(rèn)證，獲取新的訪問令牌。l 認(rèn)證服務(wù)器 采用PKI體系與Kerberos思想相結(jié)合的認(rèn)證方式，對(duì)系統(tǒng)中的用戶及設(shè)備進(jìn)行身份認(rèn)證及密鑰頒發(fā)。通過認(rèn)證的用戶將獲取一個(gè)指定代理服務(wù)服務(wù)器的訪問令牌，訪問令牌含有超時(shí)時(shí)限等信息。用戶將使用該令牌訪問代理服務(wù)器。l 訪問控

5、制服務(wù)器 從數(shù)據(jù)庫取得最新的數(shù)據(jù)信息，接收代理服務(wù)器的訪問裁決請(qǐng)求，從訪問控制信息中決定用戶是否有權(quán)進(jìn)行操作，將判定結(jié)果返回給代理服務(wù)器。3.1. 工作原理證書及密鑰管理系統(tǒng)為系統(tǒng)中的用戶簽發(fā)安全訪問設(shè)備，并負(fù)責(zé)系統(tǒng)中的用戶管理。設(shè)備中有包含用戶信息的證書及密鑰等信息，并將生成的用戶信息記錄到數(shù)據(jù)庫服務(wù)器。RBAC管理軟件為應(yīng)用系統(tǒng)創(chuàng)建相關(guān)的角色，根據(jù)用戶系統(tǒng)的實(shí)際組織結(jié)構(gòu)，指定角色之間的繼承、互斥等關(guān)系，并為角色賦予對(duì)應(yīng)用系統(tǒng)的資源的訪問權(quán)限。同時(shí)，從數(shù)據(jù)庫服務(wù)器取得用戶信息，為用戶分配與之對(duì)應(yīng)的角色。系統(tǒng)管理負(fù)責(zé)系統(tǒng)的參數(shù)配置、信息查詢等。如：為整個(gè)系統(tǒng)的網(wǎng)絡(luò)地址配置；安全認(rèn)證服務(wù)器配置對(duì)

6、外提供的網(wǎng)絡(luò)服務(wù)；審計(jì)信息的查詢等。認(rèn)證服務(wù)器采用分布式身份認(rèn)證方式，使用X509證書完成與用戶、代理服務(wù)器之間的身份認(rèn)證，為系統(tǒng)中的用戶和代理服務(wù)器提供認(rèn)證和密鑰頒發(fā)功能。代理服務(wù)器在啟動(dòng)后，需與身份認(rèn)證服務(wù)器進(jìn)行認(rèn)證，注冊(cè)其提供的服務(wù)。并協(xié)商出代理服務(wù)器的保護(hù)密鑰，該密鑰用于保護(hù)頒發(fā)給用戶的代理服務(wù)器訪問令牌。用戶在訪問協(xié)議代理服務(wù)器時(shí)，需先與身份認(rèn)證服務(wù)器進(jìn)行認(rèn)證，協(xié)商出與認(rèn)證服務(wù)器之間的通信密鑰，該密鑰用于保護(hù)與認(rèn)證服務(wù)器通信的后續(xù)數(shù)據(jù)。然后，獲取欲訪問代理服務(wù)器的訪問令牌、提供的網(wǎng)絡(luò)服務(wù)和保護(hù)密鑰。令牌中也含有代理服務(wù)器的保護(hù)密鑰，用于解密用戶發(fā)送的數(shù)據(jù)?？蛻舳舜砝冒踩O(shè)備完成與

7、認(rèn)證服務(wù)器的身份認(rèn)證。安全設(shè)備完成對(duì)數(shù)據(jù)的簽名、加密?？蛻舳舜碓诒镜剡M(jìn)行網(wǎng)絡(luò)偵聽，當(dāng)接收到應(yīng)用系統(tǒng)的發(fā)來的連接后，便檢查該網(wǎng)絡(luò)連接屬于哪個(gè)代理服務(wù)器，然后檢查是否已經(jīng)取得了該代理服務(wù)器的訪問令牌，以及該令牌是否還有效。如果尚未取得令牌，則與認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證，并申請(qǐng)欲訪問代理服務(wù)器的訪問令牌；如令牌已經(jīng)失效，則無須重新認(rèn)證，僅需重新申請(qǐng)?jiān)L問令牌。獲取令牌后，客戶端代理軟件將生成一通信密鑰，用代理服務(wù)器的保護(hù)密鑰對(duì)其保護(hù)后，與訪問令牌一起發(fā)送給代理服務(wù)器。代理服務(wù)器對(duì)訪問令牌進(jìn)行驗(yàn)證，通過后使用保護(hù)密鑰解開用戶發(fā)來的通信密鑰。以后用戶與代理服務(wù)器之間的通信均使用該通信密鑰進(jìn)行保護(hù)。代理服務(wù)

8、器實(shí)現(xiàn)應(yīng)用協(xié)議的代理和訪問控制，協(xié)議代理是為了實(shí)現(xiàn)更細(xì)粒度的訪問控制。代理服務(wù)器接受到用戶的訪問請(qǐng)求后，從其訪問令處牌中取出用戶的身份信息，如用戶ID。通過用戶ID確定用戶的角色，再將用戶角色信息、用戶訪問的網(wǎng)絡(luò)資源及其對(duì)網(wǎng)絡(luò)資源的操作，這三個(gè)要素進(jìn)行RBAC的訪問裁決。通過裁決，系統(tǒng)將代理用戶訪問網(wǎng)絡(luò)資源。反之，拒絕用戶的訪問請(qǐng)求。同時(shí)，代理服務(wù)器將用戶的連接狀態(tài)、每一請(qǐng)求和操作，均記錄在數(shù)據(jù)庫中，為實(shí)現(xiàn)審計(jì)和監(jiān)控提供詳盡的數(shù)據(jù)依據(jù)。代理服務(wù)器可根據(jù)服務(wù)器的要求對(duì)網(wǎng)絡(luò)中傳送的數(shù)據(jù)信息進(jìn)行數(shù)據(jù)機(jī)密性和完整性保護(hù)。RBAC服務(wù)器裁決用戶訪問請(qǐng)求，由信息下載和訪問裁決兩部份組成。信息下載周期性的從

9、數(shù)據(jù)庫服務(wù)器下載最新的角色授權(quán)信息，為裁決模塊提供有效的信息。裁決模塊接收外部的裁決請(qǐng)求，根據(jù)用戶名從授權(quán)信息中確定用戶的角色，從訪問控制信息中決定用戶是否有權(quán)進(jìn)行操作。3.2. 網(wǎng)絡(luò)拓樸3.3. 系統(tǒng)結(jié)構(gòu)3.4. 運(yùn)行環(huán)境客戶端認(rèn)證代理：Windows98/2000。認(rèn)證服務(wù)器：TCP/IP網(wǎng)絡(luò)安全服務(wù)器：TCP/IP網(wǎng)絡(luò)RBAC服務(wù)器：TCP/IP網(wǎng)絡(luò)服務(wù)器密碼機(jī)：TCP/IP網(wǎng)絡(luò)證書及密鑰管理系統(tǒng)：Windows 98/2000。系統(tǒng)管理中心：Windows 2000。4. 安全性設(shè)計(jì)4.1. 密鑰管理綜合運(yùn)用對(duì)稱、非對(duì)稱密碼體制，實(shí)現(xiàn)身份認(rèn)證、密碼頒發(fā)、數(shù)據(jù)機(jī)密等安全功能。系統(tǒng)中所有數(shù)

10、據(jù)的加、解密功能均通過安全設(shè)備實(shí)現(xiàn)，加密密鑰存放在安全設(shè)備中，不以明文方式出現(xiàn)在安全設(shè)備以外。用戶的私鑰和主密鑰均存放在客戶端安全設(shè)備中，只有通過安全設(shè)備的口令認(rèn)證，才能夠使用，且不能讀出。協(xié)商的通信密鑰均用對(duì)方的公鑰和主密鑰進(jìn)行保護(hù)后，發(fā)送給對(duì)方。4.2. 系統(tǒng)自身安全系統(tǒng)各模塊均需通過認(rèn)證方可使用，對(duì)存放在數(shù)據(jù)庫以外的系統(tǒng)數(shù)據(jù)均做機(jī)密性和完整性保護(hù)。提供數(shù)據(jù)的備份與恢復(fù)，使系統(tǒng)更加安全可靠。5. 關(guān)鍵技術(shù) RBAC（基于角色的訪問控制）技術(shù)。 網(wǎng)絡(luò)應(yīng)用協(xié)議的分析與代理模。 身份認(rèn)證機(jī)制的研究與實(shí)現(xiàn)； SSL算法擴(kuò)展。 系統(tǒng)服務(wù)器之間的負(fù)載均衡。5.1. 訪問控制5.1.1. 系統(tǒng)結(jié)構(gòu)系統(tǒng)采

11、用RBAC技術(shù)實(shí)現(xiàn)對(duì)應(yīng)用系統(tǒng)對(duì)象的訪問控制。其思想為將一類用戶歸結(jié)為一個(gè)角色，角色之間可以繼承和互斥，通過對(duì)角色進(jìn)行權(quán)限控制，達(dá)到對(duì)用戶權(quán)限的管理。其結(jié)構(gòu)如下：互斥用戶11角色類型3角色類型2角色類型1用戶31用戶2n用戶1n用戶21角色類型4用戶41角色類型5上圖表現(xiàn)了角色的繼承的關(guān)系系統(tǒng)，角色類型3繼承角色類型2的權(quán)限，角色類型2繼承角色類型1的權(quán)限。由于角色類型3與角色類型5不存在互斥關(guān)系，用戶31同時(shí)擁有角色類型3和角色類型5的權(quán)限。由于角色類型3與角色類型4存在互斥關(guān)系，用戶41只能選擇擁有角色類型4或角色類型3的權(quán)限，不能同時(shí)擁有角色類型4或角色類型3的權(quán)限。5.1.2. 權(quán)限的設(shè)

12、置與裁決為應(yīng)用系統(tǒng)的每一個(gè)訪問對(duì)象設(shè)置相關(guān)的訪問控制權(quán)限，并將其與某個(gè)角色相關(guān)。訪問裁決的思想是通過用戶ID確定用戶所屬的角色，從用戶的訪問請(qǐng)求中取得欲訪問的資源和操作。通過訪問控制列表，檢查用戶角色有無此權(quán)限，實(shí)現(xiàn)對(duì)用戶的訪問行為的訪問控制。本系統(tǒng)中用戶的ID從用戶證書中取得。其流程如下：用戶ID，訪問的資源，操作根據(jù)用戶ID取得用戶所屬的角色檢查用戶ID的合法性取得訪問資源的訪問控制列表該角色類型和操作在在訪問控制列表中檢索，并返回結(jié)果5.2. 身份認(rèn)證為了提高系統(tǒng)身份認(rèn)證的效率，在認(rèn)證中采用了兩種認(rèn)證方式：分布式認(rèn)證和基于證書的認(rèn)證。分布式認(rèn)證運(yùn)用于客戶端與代理服務(wù)器之間。證書認(rèn)證用于與

13、認(rèn)證服務(wù)器相關(guān)的認(rèn)證，如客戶與認(rèn)證服務(wù)器和代理服務(wù)器與認(rèn)證服務(wù)器。5.2.1. 客戶端認(rèn)證流程客戶端(用戶端、代理服務(wù)器) 服務(wù)器(身份認(rèn)證服務(wù)器)1. 客戶端連接服務(wù)器。2. 服務(wù)器發(fā)送R1（隨機(jī)數(shù)）。 R14. 服務(wù)器驗(yàn)證客戶證書及其簽名，如果通過認(rèn)證，則從證書中取出用戶信息。否則，斷開連接。如果客戶端不需要認(rèn)證服務(wù)器，則發(fā)送服務(wù)器加密證書，并轉(zhuǎn)至7。否則執(zhí)行5。加密證書-5. 服務(wù)器發(fā)送簽名證書+私鑰簽名(R2) +加密證書。 簽名證書+私鑰簽名(R2) +加密證書8. 服務(wù)器驗(yàn)證客戶端私鑰簽名的(RSAKus(key)，如果驗(yàn)證通過，將key導(dǎo)入加密設(shè)備，并置返回結(jié)果為成功，否則，置返

14、回結(jié)果為失敗。 返回結(jié)果(成功或失敗)3. 服務(wù)器根據(jù)IDC檢查該用戶是否是公共用戶，如果是，則為用戶頒發(fā)公共服務(wù)的令牌。如果不是公共用戶，則驗(yàn)證該用戶是否已認(rèn)證，如果該用戶未認(rèn)證，則將返回結(jié)構(gòu)置為客戶未認(rèn)證。否則，服務(wù)器為客戶端頒發(fā)訪問所有服務(wù)的令牌，將返回結(jié)果置為獲取令牌成功。 返回信息(認(rèn)證未成功或(所有代理服務(wù)器信息與代理服務(wù)器對(duì)應(yīng)的令牌所有后臺(tái)服務(wù)的信息)-4. 客戶端檢查服務(wù)器發(fā)送的信息，如果發(fā)現(xiàn)未認(rèn)證，執(zhí)行認(rèn)證操作。否則，將令牌保存起來。5. 斷開連接。5.2.3. 代理服務(wù)器認(rèn)證代理服務(wù)器 身份認(rèn)證服務(wù)器1. 代理服務(wù)器連接身份認(rèn)證服務(wù)器。2. 身份認(rèn)證服務(wù)器發(fā)送R1（隨機(jī)數(shù)）

15、。 R14. 身份認(rèn)證服務(wù)器驗(yàn)證代理服務(wù)器證書及其簽名，如果通過認(rèn)證，則從證書中取出代理服務(wù)器信息。否則，斷開連接。如果代理服務(wù)器不需要認(rèn)證服務(wù)器，則發(fā)送身份認(rèn)證服務(wù)器加密證書，并轉(zhuǎn)至7。否則執(zhí)行5。加密證書-5. 身份認(rèn)證服務(wù)器發(fā)送簽名證書+私鑰簽名(R2) +加密證書。簽名證書+私鑰簽名(R2) +加密證書8. 身份認(rèn)證服務(wù)器驗(yàn)證代理服務(wù)器私鑰簽名的(RSAKus(key)，如果驗(yàn)證通過，將key導(dǎo)入加密設(shè)備，并發(fā)送身份認(rèn)證服務(wù)器的時(shí)鐘。否則，斷開連接。Ekey(TIMEAS)11. 身份認(rèn)證服務(wù)器更新代理服務(wù)器的服務(wù)信息。并返回認(rèn)證是否成功的信息給代理服務(wù)器。認(rèn)證是否成功的信息2. 代理

16、服務(wù)器檢查用戶的類型，如果是匿名用戶，則發(fā)送是否允許匿名用戶訪問的結(jié)果；否則，發(fā)送驗(yàn)證客戶的隨機(jī)數(shù)R1結(jié)果 | R14. 服務(wù)器驗(yàn)證用戶發(fā)送的訪問令牌，然后從令牌中取出密鑰，對(duì)R1作HMAC，并發(fā)送 驗(yàn)證結(jié)果+是否加解密(1字節(jié))+HMAC（R2）-5. 如果驗(yàn)證通過，客戶端與服務(wù)器進(jìn)行數(shù)據(jù)交換，否則，斷開連接。5.3. 負(fù)載均衡5.3.1. 集群技術(shù)負(fù)載均衡集群，目的是提供和節(jié)點(diǎn)個(gè)數(shù)成正比的負(fù)載能力，這種集群很適合提供大訪問量的Web服務(wù)。在集群中有一個(gè)主控節(jié)點(diǎn)，稱為高級(jí)流量管理器（ATM）。用戶對(duì)于代理服務(wù)器的請(qǐng)求全部發(fā)送到ATM上，因?yàn)锳TM上綁定了這項(xiàng)服務(wù)對(duì)外的IP地址。ATM把接受到

17、的請(qǐng)求再平均發(fā)送到各服務(wù)節(jié)點(diǎn)上，服務(wù)節(jié)點(diǎn)接收到請(qǐng)求之后，直接把相應(yīng)的結(jié)果發(fā)送給用戶。這樣一來，假如在1秒內(nèi)有1000個(gè)請(qǐng)求，而集群中有10個(gè)服務(wù)節(jié)點(diǎn)，則每個(gè)節(jié)點(diǎn)將處理100個(gè)請(qǐng)求。5.4. 代理技術(shù)5.4.1. 應(yīng)用協(xié)議代理應(yīng)用協(xié)議進(jìn)行代理，并對(duì)其進(jìn)行解析，使面向應(yīng)用的訪問控制成為可能。同時(shí)使安全系統(tǒng)可無縫的嵌入到應(yīng)用系統(tǒng)中，無需對(duì)應(yīng)用系統(tǒng)進(jìn)行改造。對(duì)HTTP協(xié)議的代理可實(shí)現(xiàn)對(duì)WEB服務(wù)器上的文件進(jìn)行訪問控制；對(duì)TELNET協(xié)議的代理可實(shí)現(xiàn)對(duì)系統(tǒng)操作的訪問控制。5.4.2. SOCKS代理SOCKS代理技術(shù)可實(shí)現(xiàn)同一端口對(duì)多個(gè)應(yīng)用系統(tǒng)的代理，其優(yōu)點(diǎn)是大大降低安全系統(tǒng)客戶端的開發(fā)工作，更好與應(yīng)用

18、系統(tǒng)協(xié)同工作。當(dāng)用戶系統(tǒng)有增加應(yīng)用系統(tǒng)時(shí)，僅需進(jìn)行簡(jiǎn)單的配置，無需對(duì)代理軟件進(jìn)行擴(kuò)展開發(fā)，便可將新的應(yīng)用系統(tǒng)納入安全系統(tǒng)的保護(hù)中。5.5. 統(tǒng)一接口系統(tǒng)模塊間的統(tǒng)一接口，使各模塊的開發(fā)更容易，系統(tǒng)適應(yīng)力更高。安全設(shè)備的統(tǒng)一接口，使設(shè)備的替換、升級(jí)更簡(jiǎn)單，可實(shí)現(xiàn)安全設(shè)備的系列化?？刹捎肅SP、PKCS#11等技術(shù)。6. 系統(tǒng)特點(diǎn) 數(shù)據(jù)加密支持多種專用算法，這些專用算法均通過國(guó)密辦鑒定。由于采用了模塊組件的設(shè)計(jì)思想，算法的更換更加容易。 身份認(rèn)證將PKI的證書認(rèn)證與傳統(tǒng)的Kerberos思想相結(jié)合，大大提高了身份認(rèn)證的安全性、可靠性和靈活性。 RBAC（基于角色的訪問控制）技術(shù)的引入是系統(tǒng)的核心，

19、該技術(shù)常用于操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)。將其應(yīng)用于信息安全領(lǐng)域，是項(xiàng)目的最大創(chuàng)新。 系統(tǒng)負(fù)載均衡和集群技術(shù)的使用，使安全系統(tǒng)不再成為應(yīng)用系統(tǒng)的瓶頸，提高了系統(tǒng)的吞吐能力，更好的服務(wù)與應(yīng)用系統(tǒng)。 系統(tǒng)將數(shù)據(jù)加密、身份認(rèn)證、訪問控制和協(xié)議代理等多種信息安全技術(shù)有機(jī)的結(jié)合在一起，尤其是將PKI、RBAC等先進(jìn)的信息技術(shù)的引入，更使系統(tǒng)與眾不同、出類拔萃，建立了信息安全的一個(gè)全新的概念。7. 性能指標(biāo)1. 協(xié)議代理服務(wù)器：并發(fā)支持1000個(gè)訪問請(qǐng)求。8. 系統(tǒng)功能8.1. 證書及密鑰管理系統(tǒng)1 證書管理證書、私鑰的生成、注銷和掛失。2 設(shè)備管理客戶安全認(rèn)證設(shè)備和認(rèn)證服務(wù)器管理卡的簽發(fā)與廢止。3 用戶管理用戶

20、信息錄入、修改、刪除和查詢。4 備份與恢復(fù)8.2. 客戶安全代理1 支持系列化的安全設(shè)備，包括計(jì)算機(jī)安全模塊系列和第三方廠商的設(shè)備；2 系統(tǒng)參數(shù)的可視化配置；包括安全設(shè)備的選擇、認(rèn)證服務(wù)器IP地址、本機(jī)偵聽等）3 雙向身份認(rèn)證方式；4 SOCKS服務(wù)端接口；5 應(yīng)用協(xié)議的代理；6 通信數(shù)據(jù)的機(jī)密性和完整性保護(hù)；7 超時(shí)自動(dòng)重新認(rèn)證。8.3. 認(rèn)證服務(wù)器1 基于證書的身份認(rèn)證；2 為認(rèn)證對(duì)象分發(fā)代理服務(wù)器的訪問令牌和密鑰；3 接收代理服務(wù)器所提供的服務(wù)注冊(cè)；4 提供二次開發(fā)接口。8.4. 代理服務(wù)器1 訪問令牌的驗(yàn)證；2 網(wǎng)絡(luò)服務(wù)的注冊(cè)3 代理系統(tǒng)對(duì)外開放的相關(guān)的網(wǎng)絡(luò)服務(wù)（如HTTP等）。4 連接RABC服務(wù)器對(duì)用戶請(qǐng)求進(jìn)行訪問決定。5 用戶訪問的審計(jì)記錄。6 通信數(shù)據(jù)的加密8.5. 訪問控制服務(wù)器1 定時(shí)獲取角色信息；2 實(shí)現(xiàn)訪問請(qǐng)求的裁決。8.6. 管理系統(tǒng)1 證書及密鑰管理系統(tǒng)a) 系統(tǒng)用戶信息的管理，包括用戶信息的創(chuàng)建、刪除、修改和查詢。b) 統(tǒng)一安全設(shè)備接口，支持多種安全設(shè)備的無縫接入。c) 支持第三方CA的無縫接入。d) 系統(tǒng)信息的備份與恢復(fù)