企業(yè)ERP系統(tǒng)安全解決方案

1、重慶市衛(wèi)計(jì)委人口信息中心信息安全PKI/CA體系建設(shè)方案 企業(yè)ERP系統(tǒng)安全解決方案東方中訊數(shù)字證書認(rèn)證有限公司企業(yè)ERP信息系統(tǒng)安全解決方案 東方中訊數(shù)字證書認(rèn)證有限公司目 錄 TOC o 1-4 h z u HYPERLINK l _Toc404351017 第1章 方案介紹 PAGEREF _Toc404351017 h 5 HYPERLINK l _Toc404351018 1.1概述 PAGEREF _Toc404351018 h 5 HYPERLINK l _Toc404351019 1.2安全需求分析 PAGEREF _Toc404351019 h 6 HYPERLINK l _

2、Toc404351020 1.3方案建設(shè)目標(biāo) PAGEREF _Toc404351020 h 7 HYPERLINK l _Toc404351021 第2章 企業(yè)PKI/CA體系安全解決方案 PAGEREF _Toc404351021 h 8 HYPERLINK l _Toc404351022 2.1常用術(shù)語(yǔ) PAGEREF _Toc404351022 h 8 HYPERLINK l _Toc404351023 2.2設(shè)計(jì)依據(jù) PAGEREF _Toc404351023 h 9 HYPERLINK l _Toc404351024 2.3安全認(rèn)證體系建設(shè)方案 PAGEREF _Toc404351

3、024 h 11 HYPERLINK l _Toc404351025 2.3.1 CA安全認(rèn)證體系框架 PAGEREF _Toc404351025 h 11 HYPERLINK l _Toc404351026 2.3.2 網(wǎng)絡(luò)架構(gòu) PAGEREF _Toc404351026 h 12 HYPERLINK l _Toc404351027 2.4企業(yè)ERP系統(tǒng)安全保障體系 PAGEREF _Toc404351027 h 14 HYPERLINK l _Toc404351028 2.4.1可信身份認(rèn)證體系 PAGEREF _Toc404351028 h 14 HYPERLINK l _Toc4043

4、51029 2.4.2 安全傳輸通道 PAGEREF _Toc404351029 h 16 HYPERLINK l _Toc404351030 2.4.3 可信電子簽名體系 PAGEREF _Toc404351030 h 16 HYPERLINK l _Toc404351031 2.4.4 可信電子簽章體系 PAGEREF _Toc404351031 h 18 HYPERLINK l _Toc404351032 2.4.5 數(shù)據(jù)安全存儲(chǔ) PAGEREF _Toc404351032 h 19 HYPERLINK l _Toc404351033 2.4.6 可信時(shí)間戳簽名 PAGEREF _Toc

5、404351033 h 19 HYPERLINK l _Toc404351034 2.5企業(yè)ERP系統(tǒng)認(rèn)證體系應(yīng)用 PAGEREF _Toc404351034 h 20 HYPERLINK l _Toc404351035 2.5.1企業(yè)自建PKI/CA體系模式 PAGEREF _Toc404351035 h 20 HYPERLINK l _Toc404351036 2.5.2遠(yuǎn)程PKI/CA體系模式 PAGEREF _Toc404351036 h 21 HYPERLINK l _Toc404351037 2.5.3混合式PKI/CA模式 PAGEREF _Toc404351037 h 21 H

6、YPERLINK l _Toc404351038 第3章 電子認(rèn)證體系服務(wù)方案 PAGEREF _Toc404351038 h 22 HYPERLINK l _Toc404351040 3.1 數(shù)字證書服務(wù) PAGEREF _Toc404351040 h 22 HYPERLINK l _Toc404351041 3.1.1證書生命周期 PAGEREF _Toc404351041 h 23 HYPERLINK l _Toc404351042 3.1.2支持多種數(shù)字證書介質(zhì) PAGEREF _Toc404351042 h 30 HYPERLINK l _Toc404351043 3.1.3 證書發(fā)

7、放模式 PAGEREF _Toc404351043 h 30 HYPERLINK l _Toc404351044 3.2 培訓(xùn)服務(wù) PAGEREF _Toc404351044 h 33 HYPERLINK l _Toc404351045 3.2.1對(duì)系統(tǒng)相關(guān)人員培訓(xùn) PAGEREF _Toc404351045 h 33 HYPERLINK l _Toc404351046 3.2.2 用戶培訓(xùn) PAGEREF _Toc404351046 h 34 HYPERLINK l _Toc404351047 3.3 售后服務(wù) PAGEREF _Toc404351047 h 37 HYPERLINK l _

8、Toc404351048 第4章 東方中訊及主要產(chǎn)品介紹 PAGEREF _Toc404351048 h 44 HYPERLINK l _Toc404351049 4.1企業(yè)資質(zhì)和技術(shù)實(shí)力 PAGEREF _Toc404351049 h 44 HYPERLINK l _Toc404351050 4.1.1 企業(yè)規(guī)模 PAGEREF _Toc404351050 h 44 HYPERLINK l _Toc404351051 4.1.2 企業(yè)人才隊(duì)伍信息 PAGEREF _Toc404351051 h 44 HYPERLINK l _Toc404351052 4.1.3 企業(yè)文化建設(shè) PAGEREF

9、 _Toc404351052 h 45 HYPERLINK l _Toc404351053 4.1.4 技術(shù)團(tuán)隊(duì) PAGEREF _Toc404351053 h 46 HYPERLINK l _Toc404351058 4.1.5 資質(zhì)證明 PAGEREF _Toc404351058 h 46 HYPERLINK l _Toc404351059 4.2 PKI/CA體系主要產(chǎn)品 PAGEREF _Toc404351059 h 49 HYPERLINK l _Toc404351060 4.2.1 簽名取證系統(tǒng) PAGEREF _Toc404351060 h 49 HYPERLINK l _Toc

10、404351061 4.2.2數(shù)字證書應(yīng)用中間件 PAGEREF _Toc404351061 h 50 HYPERLINK l _Toc404351062 4.2.3簽名驗(yàn)證服務(wù)器 PAGEREF _Toc404351062 h 52 HYPERLINK l _Toc404351063 4.2.4電子簽章 PAGEREF _Toc404351063 h 53 HYPERLINK l _Toc404351064 4.2.5 時(shí)間戳服務(wù)器 PAGEREF _Toc404351064 h 56 HYPERLINK l _Toc404351065 4.2.6 安全存儲(chǔ)系統(tǒng) PAGEREF _Toc40

11、4351065 h 58 HYPERLINK l _Toc404351066 4.2.7加密機(jī) PAGEREF _Toc404351066 h 60 HYPERLINK l _Toc404351067 第6章 產(chǎn)品配置及報(bào)價(jià) PAGEREF _Toc404351067 h 63 HYPERLINK l _Toc404351071 6.1 本期建設(shè)方案產(chǎn)品報(bào)價(jià)方案 PAGEREF _Toc404351071 h 63 HYPERLINK l _Toc404351072 6.2 后期售后服務(wù)及產(chǎn)品報(bào)價(jià)方案 PAGEREF _Toc404351072 h 66第1章 方案介紹概述隨著信息技術(shù)的發(fā)展和

12、應(yīng)用的不斷深入，信息安全日益受到國(guó)家、企業(yè)和社會(huì)公眾的關(guān)注。中國(guó)政府已經(jīng)提出了構(gòu)建國(guó)家信息安全保障體系的設(shè)想，明確了政府、企業(yè)和公民各自應(yīng)承擔(dān)的責(zé)任與義務(wù)，同時(shí)國(guó)家也鼓勵(lì)信息安全技術(shù)的研究和創(chuàng)新，信息產(chǎn)業(yè)科技發(fā)展“十一五”規(guī)劃和2020年中長(zhǎng)期規(guī)劃綱要中明確把信息安全技術(shù)作為優(yōu)先發(fā)展的重點(diǎn)技術(shù)之一，主要包括密碼技術(shù)、電子認(rèn)證、應(yīng)急響應(yīng)、信息安全評(píng)測(cè)技術(shù)等。ERP（EnterpriseResourcePlanning）企業(yè)資源計(jì)劃系統(tǒng)，是指建立在信息技術(shù)基礎(chǔ)上，以系統(tǒng)化的管理思想，為企業(yè)決策層及員工提供決策運(yùn)行手段的管理平臺(tái)?？梢哉f，企業(yè)的ERP系統(tǒng)幾乎覆蓋了企業(yè)運(yùn)作的所有部分，包括生產(chǎn)、營(yíng)銷、

13、管理、客服、售后服務(wù)等等。因此，在某種程度上可以將ERP系統(tǒng)作為企業(yè)中樞系統(tǒng)，統(tǒng)領(lǐng)著一切其他子系統(tǒng)，子系統(tǒng)在總系統(tǒng)的分配調(diào)度下協(xié)調(diào) HYPERLINK t _blank 工作，共同為企業(yè)整體的運(yùn)轉(zhuǎn)提供保證。如果中樞系統(tǒng)出現(xiàn)問題，將導(dǎo)致整個(gè)企業(yè)運(yùn)轉(zhuǎn)出現(xiàn)問題，甚至導(dǎo)致整個(gè)企業(yè)的癱瘓，可以說， ERP系統(tǒng)的安全穩(wěn)定對(duì)于企業(yè)整體的安全有著重要作用。本方案以成熟的、安全的、認(rèn)可的PKI/CA技術(shù)為基礎(chǔ)，從安全技術(shù)角度提供企業(yè)ERP系統(tǒng)安全解決方案，如果實(shí)現(xiàn)ERP系統(tǒng)整體安全，企業(yè)還需考慮安全的管理措施。安全需求分析企業(yè)ERP系統(tǒng)的安全與穩(wěn)定關(guān)系到整個(gè)企業(yè)能否正常運(yùn)行，是企業(yè)需要特別注重的方面。為了保證系

14、統(tǒng)的安全，不僅僅要保證主系統(tǒng)不受外部干擾，還應(yīng)確保各個(gè)部門之間的聯(lián)系和資源共享得到安全保證，做到不越權(quán)進(jìn)行彼此互訪，防止內(nèi)部安全系統(tǒng)出現(xiàn)問題。ERP系統(tǒng)安全需求主要體現(xiàn)在以下幾個(gè)方面： 身份真實(shí)性認(rèn)證不同業(yè)務(wù)系統(tǒng)無法實(shí)現(xiàn)統(tǒng)一的安全認(rèn)證和授權(quán)，同時(shí)各個(gè)系統(tǒng)安全策略設(shè)置級(jí)別不一致，從而無法保障各個(gè)系統(tǒng)的身份認(rèn)證和訪問安全的可靠性。信息安全需求ERP的特點(diǎn)大而全，包含企業(yè)的組織架構(gòu)、銷售渠道、客戶資源等方方面面的信息。正因?yàn)槿绱?，ERP系統(tǒng)信息安全顯得尤為重要，包含ERP系統(tǒng)中的信息資產(chǎn)安全已經(jīng)破在眉睫。對(duì)關(guān)鍵操作的控制和審計(jì)關(guān)鍵操作即對(duì)數(shù)據(jù)交換過程，主要有ERP系統(tǒng)中關(guān)鍵文檔的提交和發(fā)布、報(bào)賬系統(tǒng)

15、中重要信息的傳輸、財(cái)務(wù)系統(tǒng)中的資金支付、電子單據(jù)確認(rèn)等。在這些關(guān)鍵操作中，都需要保證對(duì)操作行為進(jìn)行有效的控制，即有真實(shí)權(quán)限的人員才能進(jìn)行操作，操作后對(duì)操作行為要有有效的審計(jì)。數(shù)據(jù)信息的法律保障 ERP系統(tǒng)中存儲(chǔ)的都是企業(yè)的關(guān)鍵業(yè)務(wù)數(shù)據(jù)，對(duì)這些業(yè)務(wù)數(shù)據(jù)的管理和審計(jì)必須符合相關(guān)的法律法規(guī)要求。管理成本控制企業(yè)需要管理不同業(yè)務(wù)系統(tǒng)的用戶，導(dǎo)致了用戶管理的復(fù)雜度增加和效率降低，為此企業(yè)需要付出更多的 IT管理成本。業(yè)務(wù)系統(tǒng)繁多，用戶需要記憶多個(gè)帳戶和口令，無形中引導(dǎo)客戶使用弱密碼，不同系統(tǒng)登陸和使用極為不便，同時(shí)由于用戶口令遺忘而導(dǎo)致的支持費(fèi)用不斷上漲。方案建設(shè)目標(biāo)建設(shè)企業(yè)PKI/CA體系，為ERP系

16、統(tǒng)終端用戶提供數(shù)字證書發(fā)放與管理，為企業(yè)用戶提供優(yōu)質(zhì)的、規(guī)范的數(shù)字證書生命周期服務(wù)，滿足企業(yè)ERP系統(tǒng)數(shù)字證書應(yīng)用；建立財(cái)務(wù)管理系統(tǒng)、物流管理系統(tǒng)、生產(chǎn)管理系統(tǒng)等企業(yè)ERP系統(tǒng)統(tǒng)一的業(yè)務(wù)應(yīng)用安全支撐體系，實(shí)現(xiàn)電子認(rèn)證服務(wù)和相關(guān)技術(shù)與企業(yè)信息系統(tǒng)的有機(jī)集成結(jié)合，有效提升企業(yè)財(cái)務(wù)管理等系統(tǒng)的業(yè)務(wù)信息安全保障水平，構(gòu)建安全可信的企業(yè)ERP業(yè)務(wù)環(huán)境，保證用戶登錄的真實(shí)身份認(rèn)證、信息傳輸?shù)陌踩?、完整性、用戶操作行為的不可抵賴性；在企業(yè)部署安全存儲(chǔ)系統(tǒng)，對(duì)敏感數(shù)據(jù)進(jìn)行加密存儲(chǔ)，能發(fā)生糾紛時(shí)，能快速提取簽名數(shù)據(jù)、簽章數(shù)據(jù)作為有效的電子證據(jù)，防止抵賴行為。第2章 企業(yè)PKI/CA體系安全解決方案常用術(shù)語(yǔ)PK

17、I PKI技術(shù)是信息安全技術(shù)的核心，也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。PKI政務(wù)的基礎(chǔ)技術(shù)包括加密、數(shù)字簽名、數(shù)據(jù)完整性機(jī)制、數(shù)字信封、雙重?cái)?shù)字簽名等。數(shù)字證書數(shù)字證書（Digital Certificate），是由權(quán)威的電子認(rèn)證服務(wù)機(jī)構(gòu)進(jìn)行數(shù)字簽名的，包含擁有者信息、擁有者公開密鑰、簽發(fā)者信息、有效期以及一些擴(kuò)展信息的數(shù)字文件。CA系統(tǒng)證書認(rèn)證系統(tǒng)( Certificate Authentication System)，簡(jiǎn)稱CA系統(tǒng)，是對(duì)數(shù)字證書進(jìn)行證書生命周期全過程管理的安全系統(tǒng)。SSL協(xié)議SSL(Secure Sockets Layer 安全套接層),及其繼任者傳輸層安全（Transport

18、 Layer Security，TLS）是為網(wǎng)絡(luò)通信提供安全及數(shù)據(jù)完整性的一種安全協(xié)議。TLS與SSL在傳輸層對(duì)網(wǎng)絡(luò)連接進(jìn)行加密。電子簽名電子簽名是指數(shù)據(jù)電文中以電子形式所含、所附用于識(shí)別簽名人身份并表明簽名人認(rèn)可其中內(nèi)容的數(shù)據(jù)。通俗點(diǎn)說，電子簽名就是通過密碼技術(shù)對(duì)電子文檔的電子形式的簽名，并非是書面簽名的數(shù)字圖像化，它類似于手寫簽名或印章，也可以說它就是電子印章。電子簽章電子簽章是電子簽名的一種表現(xiàn)形式，利用圖像處理技術(shù)將電子簽名操作轉(zhuǎn)化為與紙質(zhì)文件蓋章操作相同的可視效果，同時(shí)利用電子簽名技術(shù)保障電子信息的真實(shí)性和完整性以及簽名人的不可否認(rèn)性。時(shí)間戳在電子商務(wù)交易文件中，時(shí)間是十分重要的信息

19、。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。數(shù)字時(shí)間戳服務(wù)（DTS：digital time stamp service）是網(wǎng)上電子商務(wù)安全服務(wù)項(xiàng)目之一，能提供電子文件的日期和時(shí)間信息的安全保護(hù)。設(shè)計(jì)依據(jù)我公司提供的CA安全認(rèn)證體系的建設(shè)方案遵循相關(guān)的國(guó)際標(biāo)準(zhǔn)、國(guó)家標(biāo)準(zhǔn)以及電子商務(wù)行業(yè)標(biāo)準(zhǔn)：國(guó)際標(biāo)準(zhǔn)PKCS #1: RSA Cryptography Standard；PKCS #3: Diffie-Hellman Key Agreement Standard；PKCS #5: Password-Based Cryptography Standard；

20、PKCS #6: Extended-Certificate Syntax Standard；PKCS #7: Cryptographic Message Syntax Standard；PKCS #8: Private-Key Information Syntax Standard；PKCS #9: Selected Attribute Types；PKCS #10: Certification Request Syntax Standard；PKCS #11: Cryptographic Token Interface Standard；PKCS#12: Personal Informati

21、on Exchange Syntax Standard；PKCS#15: Cryptographic Token Information Format Standard。國(guó)家標(biāo)準(zhǔn)SM2橢圓曲線公鑰密碼算法法律法規(guī)中華人民共和國(guó)電子簽名法電子簽名法第七條：“數(shù)據(jù)電文不得僅因?yàn)槠涫且噪娮?、光學(xué)、磁或者類似手段生成、發(fā)送、接收或者儲(chǔ)存的而被拒絕作為證據(jù)使用?！?電子簽名法第十三條：電子簽名同時(shí)符合下列條件的，視為可靠的電子簽名： 電子簽名制作數(shù)據(jù)用于電子簽名時(shí)，屬于電子簽名人專有； 簽署時(shí)電子簽名制作數(shù)據(jù)僅由電子簽名人控制； 簽署后對(duì)電子簽名的任何改動(dòng)能夠被發(fā)現(xiàn)； （四）簽署后對(duì)數(shù)據(jù)電文內(nèi)容和形式的

22、任何改動(dòng)能夠被發(fā)現(xiàn)。 當(dāng)事人也可以選擇使用符合其約定的可靠條件的電子簽名。 電子簽名法第十四條：“可靠的電子簽名與手寫簽名或者蓋章具有同等的法律效力”。公安部中華人民共和國(guó)公共安全行業(yè)標(biāo)準(zhǔn)電子數(shù)據(jù)法庭科學(xué)鑒定通用方法（GA/T976-2012 公安部）：“規(guī)定了法庭鑒定時(shí)電子證據(jù)數(shù)據(jù)的獲取、檢驗(yàn)分析和呈現(xiàn)的規(guī)范獲取的數(shù)據(jù)文件和原始的數(shù)據(jù)文件的哈希值，驗(yàn)證兩者的一致性，確保兩者是相同的。取證與鑒定文書電子簽名（ GA/T976-2012 公安部）：“明確電子簽名、數(shù)字證書、數(shù)字證書格式和數(shù)字 證書簽發(fā)機(jī)構(gòu)”“明確簽名過程和電子簽名驗(yàn)證過程”“明確電子簽名管理系統(tǒng)”其他規(guī)范電子認(rèn)證服務(wù)管理辦法電子

23、認(rèn)證業(yè)務(wù)規(guī)則規(guī)范(試行)信息安全等級(jí)保護(hù)管理辦法信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求安全認(rèn)證體系建設(shè)方案2.3.1 CA安全認(rèn)證體系框架 ERP的應(yīng)用系統(tǒng)中，置入東方中訊PKI/CA體系或企業(yè)自建PKI/CA體系，實(shí)現(xiàn)安全可信的企業(yè)信息系統(tǒng)。CA認(rèn)證體系框架如圖2-1所示：圖2-1 CA認(rèn)證體系2.3.2 網(wǎng)絡(luò)架構(gòu)企業(yè)安全體系由安全接入網(wǎng)關(guān)和CA認(rèn)證體系（包括簽名取證系統(tǒng)、證書應(yīng)用中間件、簽名驗(yàn)證服務(wù)器、電子簽章系統(tǒng)、時(shí)間戳服務(wù)器、時(shí)間源服務(wù)器、安全存儲(chǔ)系統(tǒng)、加密機(jī)）組成，為ERP系統(tǒng)提供身份認(rèn)證、訪問控制、數(shù)據(jù)傳輸加密、數(shù)字簽名、電子簽章、安全存儲(chǔ)等于一體的安全解決方案。企業(yè)體系網(wǎng)絡(luò)架構(gòu)如圖2-

24、2所示：圖2-2 企業(yè)安全體系網(wǎng)絡(luò)架構(gòu)圖網(wǎng)絡(luò)結(jié)構(gòu)圖說明：ERP系統(tǒng)端前置安全接入網(wǎng)關(guān)實(shí)現(xiàn)用戶安全接入： 基于數(shù)字證書的用戶真實(shí)身份鑒別和嚴(yán)格的訪問控制策略保證合法的用戶安全接入網(wǎng)絡(luò)，阻止非法用戶訪問；實(shí)現(xiàn)ERP系統(tǒng)單點(diǎn)登錄： 用戶在成功登陸網(wǎng)關(guān)后，用戶在訪問其他的應(yīng)用系統(tǒng)時(shí)，網(wǎng)關(guān)可以進(jìn)行模擬代填或?qū)⒂脩粜畔鬟f給后臺(tái)服務(wù)器實(shí)現(xiàn)自動(dòng)登錄功能，用戶只需要登錄一次就可以訪問所授權(quán)的應(yīng)用系統(tǒng)，降低企業(yè)管理成本?？蛻舳伺c安全接入網(wǎng)關(guān)通過SSL安全鏈路通信，保證信息傳輸過程中的機(jī)密性、完整性和可信性；CA認(rèn)證體系為ERP系統(tǒng)提供對(duì)敏感數(shù)據(jù)的加密和安全存儲(chǔ)，對(duì)關(guān)鍵審批環(huán)節(jié)的電子簽名和電子簽章的功能，在發(fā)生糾

25、紛時(shí)，能從簽名取證系統(tǒng)快速獲取簽名數(shù)據(jù)，提供有效的電子證據(jù)。企業(yè)ERP系統(tǒng)安全保障體系CA管理員通過數(shù)字證書簽發(fā)系統(tǒng)給企業(yè)用戶簽發(fā)數(shù)字證書，以及相應(yīng)的CA認(rèn)證產(chǎn)品（含簽名取證系統(tǒng)、證書應(yīng)用中間件、簽名驗(yàn)證服務(wù)器、電子簽章系統(tǒng)、時(shí)間戳服務(wù)器、時(shí)間源服務(wù)器、安全存儲(chǔ)系統(tǒng)、加密機(jī)）建立PKI/CA安全信任體系，實(shí)現(xiàn)用戶身份的真實(shí)性，信息傳輸?shù)陌踩煽啃?、操作的不可抵賴性。CA安全認(rèn)證體系由可信身份認(rèn)證、安全傳輸通道、可信電子簽名、可信電子簽章、數(shù)據(jù)安全存儲(chǔ)、可信時(shí)間戳簽名等子體系組成。各子體系詳細(xì)內(nèi)容如下：2.4.1可信身份認(rèn)證體系可信身份認(rèn)證體系是密碼設(shè)備、數(shù)字證書、安全接入網(wǎng)關(guān)、簽名取證系統(tǒng)、證

26、書應(yīng)用中間件、ERP系統(tǒng)共同構(gòu)建。用戶安全訪問ERP系統(tǒng)的流程如圖2-3所示：圖2-3 可信身份認(rèn)證體系流程圖用戶將帶數(shù)字證書的USB Key插入計(jì)算機(jī)，訪問客戶端程序（基于B/S的IE或者基于C/S的客戶端） 登錄統(tǒng)一門戶，系統(tǒng)要求用戶選擇用戶證書和輸入密碼設(shè)備密碼；需要先通過安全接入網(wǎng)關(guān)完成雙向身份認(rèn)證。認(rèn)證通過后，客戶端和安全接入網(wǎng)關(guān)之間建立SSL連接，客戶端和ERP服務(wù)器之間的數(shù)據(jù)傳輸通過SSL通道加密傳輸；ERP系統(tǒng)獲取客戶端提交的隨機(jī)數(shù)簽名數(shù)據(jù)，通過WEBSERVICE或socket方式提交數(shù)據(jù)到CA認(rèn)證平臺(tái)，它將對(duì)用戶證書的有效性，簽名數(shù)據(jù)的完整性、有效性進(jìn)行驗(yàn)證； 如果驗(yàn)證通過

27、，則安全進(jìn)入安全接入網(wǎng)關(guān)；如果驗(yàn)證和查詢失敗，用戶將無法進(jìn)行登錄?？尚派矸菡J(rèn)證體系具有以下特點(diǎn)：必須用證書介質(zhì)(USBKEY)+數(shù)字證書才可以登錄ERP系統(tǒng)；實(shí)現(xiàn)用戶角色和權(quán)限的管理和分配；登錄密碼存儲(chǔ)在證書介質(zhì)(USBKEY)內(nèi)，無法從其他渠道獲取；登錄過程應(yīng)用隨機(jī)數(shù)簽名，保證每次登錄不可以被模擬、復(fù)制；通過存儲(chǔ)在移動(dòng)介質(zhì)（USB Key）私鑰來生成數(shù)字證書，用戶只需要輸入PIN碼即可登錄系統(tǒng)（最佳實(shí)踐結(jié)合SSO），簡(jiǎn)單靈活；后臺(tái)記錄用戶登錄日志，快速檢測(cè)用戶訪問記錄。2.4.2 安全傳輸通道客戶端與ERP系統(tǒng)之間使用SSL協(xié)議（Security Socket Layer安全套接層協(xié)議）。S

28、SL協(xié)議用于建立用戶與服務(wù)器之間的加密通信，確保所傳遞信息的機(jī)密性和安全性。SSL安全機(jī)制是依靠數(shù)字證書來實(shí)現(xiàn)，基于公用密鑰和私人密鑰，用戶使用公用密鑰來加密數(shù)據(jù)，但解密數(shù)據(jù)必須使用相應(yīng)的私人密鑰。 使用SSL安全機(jī)制的通信過程如下：用戶與服務(wù)器建立連接后，服務(wù)器會(huì)把數(shù)字證書與公用密鑰發(fā)送給用戶，用戶端生成會(huì)話密鑰，并用公共密鑰對(duì)會(huì)話密鑰進(jìn)行加密，然后傳遞給服務(wù)器，服務(wù)器端用私人密鑰進(jìn)行解密，這樣，用戶端和服務(wù)器端就建立了一條安全通道，只有SSL允許的用戶才能與服務(wù)器進(jìn)行通信，從而解決了客戶端與ERP系統(tǒng)服務(wù)器之間信息加密傳輸?shù)膯栴}。2.4.3 可信電子簽名體系電子簽名法確立可靠的電子簽名與手

29、寫簽名或者蓋章具有同等的法律效力，是無紙化辦公的重要法律保障。企業(yè)用戶在業(yè)務(wù)操作過程中，對(duì)比較敏感和重要的電子單據(jù)進(jìn)行數(shù)字簽名，通過簽名驗(yàn)證服務(wù)器驗(yàn)證數(shù)據(jù)完整性，驗(yàn)證通過將簽名結(jié)果與被簽名信息存入簽名取證系統(tǒng)。電子簽名流程如圖2-4所示：圖2-4 可信電子簽名體系流程圖用戶登錄ERP系統(tǒng)后，用USBKEY對(duì)財(cái)務(wù)數(shù)據(jù)、重要數(shù)據(jù)等審批意見進(jìn)行數(shù)字簽名。流程說明如下：客戶端和安全接入網(wǎng)關(guān)平臺(tái)完成雙向身份認(rèn)證，建立SSL通道； 用戶利用數(shù)字證書對(duì)提交的電子單據(jù)進(jìn)行數(shù)字簽名； 已簽名的數(shù)據(jù)通過SSL通道加密傳輸?shù)紼RP系統(tǒng)； ERP系統(tǒng)獲取用戶的電子訂單信息及其數(shù)字簽名;ERP服務(wù)器調(diào)用簽名驗(yàn)證服務(wù)器的

30、驗(yàn)證函數(shù)接口，驗(yàn)證用戶身份、簽名數(shù)據(jù)的完整性和有效性； 驗(yàn)證通過后將電子簽名、簽名數(shù)據(jù)存儲(chǔ)于簽名取證系統(tǒng)； CA認(rèn)證平臺(tái)向ERP服務(wù)器返回簽名結(jié)果；ERP系統(tǒng)向客戶端返回結(jié)果。電子簽名體系具有以下特點(diǎn)：電子取證、驗(yàn)證流程快捷、方便；通用性好：客戶端只需通過調(diào)用接口調(diào)用證書服務(wù)，可以支持采用C/C+、Java、C#等主流開發(fā)語(yǔ)言開發(fā)的程序。支持標(biāo)準(zhǔn)的證書、數(shù)字簽名加解密算法；支持雙向簽名：客戶端和服務(wù)器端均具備簽名、驗(yàn)簽名功能，可以用來實(shí)現(xiàn)雙向、多次簽名的高安全級(jí)別方案；支持時(shí)間戳應(yīng)用：支持時(shí)間戳服務(wù)；支持安全存儲(chǔ)：支持對(duì)重要數(shù)據(jù)加密存儲(chǔ)于簽名取證系統(tǒng)中。2.4.4 可信電子簽章體系ERP系統(tǒng)業(yè)

31、務(wù)的審批流程中，使用電子簽章對(duì)流程的關(guān)鍵審批環(huán)節(jié)加蓋電子簽章，形象模擬現(xiàn)實(shí)紙質(zhì)審批流程，同時(shí)對(duì)簽章文件或數(shù)據(jù)進(jìn)行保護(hù)。電子簽章體系是由證書介質(zhì)、數(shù)字證書、簽章應(yīng)用中間件、電子簽章系統(tǒng)、ERP系統(tǒng)組成。電子簽章流程如圖2-5所示：圖2-5 可信電子簽章體系流程圖CA第三方使用電子簽章管理系統(tǒng)為用戶生成電子簽章，并將電子簽章灌入證書介質(zhì)并和數(shù)字證書進(jìn)行有效綁定，將包括數(shù)字證書和電子簽章圖片的證書介質(zhì)按照發(fā)放流程分配給企業(yè)用戶；客戶端集成的電子簽章軟件提供對(duì)審批文件的數(shù)字簽名和電子簽章。我公司電子印章服務(wù)平臺(tái)系統(tǒng)管理是構(gòu)建于web形式的管理系統(tǒng)，其中包括個(gè)人管理、系統(tǒng)管理、印章管理模塊，并設(shè)置機(jī)要員

32、、系統(tǒng)管理員、印章管理員、日志管理等權(quán)限。2.4.5 數(shù)據(jù)安全存儲(chǔ)ERP系統(tǒng)對(duì)涉密數(shù)據(jù)進(jìn)行加密存儲(chǔ)，保障信息的安全。數(shù)據(jù)安全存儲(chǔ)是加密機(jī)、安全存儲(chǔ)系統(tǒng)及密碼技術(shù)對(duì)涉密數(shù)據(jù)加密處理過程，流程如圖2-6所示:圖2-6 數(shù)據(jù)安全存儲(chǔ)程圖ERP系統(tǒng)將涉密數(shù)據(jù)提交到CA認(rèn)證特性的安全存儲(chǔ)系統(tǒng)加密接口；安全存儲(chǔ)系統(tǒng)調(diào)用加密機(jī)服務(wù)器證書的公鑰生成加密數(shù)據(jù)后存儲(chǔ)； ERP系統(tǒng)調(diào)用安全存儲(chǔ)系統(tǒng)機(jī)密接口獲取涉密數(shù)據(jù)原文。 2.4.6 可信時(shí)間戳簽名可信時(shí)間戳服務(wù)實(shí)現(xiàn)對(duì)數(shù)據(jù)、文件生成和上傳過程中加蓋可信的時(shí)間戳，確保數(shù)據(jù)、文件時(shí)間的可信性?？尚艜r(shí)間戳簽名體系主要由簽名取證系統(tǒng)、時(shí)間戳服務(wù)器、時(shí)間源服務(wù)器等產(chǎn)品組成，

33、加蓋時(shí)間戳簽名操作流程如圖2-7所示：圖2-7 加蓋時(shí)間戳簽名流程圖流程圖說明：ERP系統(tǒng)驗(yàn)證用戶提交的待申請(qǐng)時(shí)間戳數(shù)據(jù)的數(shù)字摘要值，向簽名取證系統(tǒng)發(fā)起時(shí)間戳簽名請(qǐng)求；簽名取證系統(tǒng)保存數(shù)據(jù)摘要值，通過webservice向時(shí)間戳服務(wù)器發(fā)起時(shí)間戳簽名請(qǐng)求； 時(shí)間戳服務(wù)器保存請(qǐng)求數(shù)據(jù)，獲取時(shí)間源服務(wù)器（與國(guó)家授時(shí)中心進(jìn)行時(shí)間同步）的標(biāo)準(zhǔn)時(shí)間信息， 進(jìn)行時(shí)間戳簽名；時(shí)間戳服務(wù)器向簽名取證系統(tǒng)返回時(shí)間戳簽名數(shù)據(jù)并存儲(chǔ)；簽名取證系統(tǒng)保存時(shí)間戳簽名數(shù)據(jù)，向ERP系統(tǒng)返回時(shí)間戳簽名結(jié)果。企業(yè)ERP系統(tǒng)數(shù)字證書應(yīng)用系統(tǒng)名稱PKI/CA安全保障體系身份認(rèn)證電子簽名或簽名驗(yàn)簽加密傳輸時(shí)間戳簽名安全存儲(chǔ)OA系統(tǒng)財(cái)務(wù)

34、系統(tǒng)SCM（供應(yīng)鏈管理）CRM（客戶關(guān)系管理）移動(dòng)終端數(shù)字證書安全解決方案2.6.1 需求分析移動(dòng)電子辦公如何有效的解決身份認(rèn)證、交易數(shù)據(jù)的完整、保證交易的安全性及不可否認(rèn)性，都是客戶以及電商企業(yè)最關(guān)心的問題。關(guān)于通信安全需求傳統(tǒng)的有線網(wǎng)絡(luò)是利用通信電纜作為傳播介質(zhì)， 這些介質(zhì)大部分處于地下等比較安全的場(chǎng)所，因此中間的傳輸區(qū)域相對(duì)是受控制的。而在無線通信網(wǎng)絡(luò)中，所有的通信內(nèi)容（如移動(dòng)用戶的通話信息、身份信息、位置信息等）都是通過無線信道傳送的，無線信道是一個(gè)開放性信道，其利用無線電波進(jìn)行傳播的特性，使得任何個(gè)人和組織不需要申請(qǐng)就可以進(jìn)行通信。 在無線網(wǎng)絡(luò)中的信號(hào)很容易受到攔截并被解碼，只要具有

35、適當(dāng)?shù)臒o線接收設(shè)備就可以很容易實(shí)現(xiàn)無線竊聽，而且很難被發(fā)現(xiàn)。這對(duì)于移動(dòng)電子商務(wù)的信息安全構(gòu)成了潛在威脅。關(guān)于審批權(quán)限的安全需求如何保障企業(yè)的審批安全， 避免權(quán)利被盜用風(fēng)險(xiǎn)， 是企業(yè)面臨的第二大主要問題，這也是無紙化辦公的重要原因之一。利用ERP系統(tǒng)進(jìn)行審批必然會(huì)涉及到網(wǎng)上審批，網(wǎng)上審批是目前企業(yè)辦公發(fā)展的一個(gè)重點(diǎn)。而在網(wǎng)上審批過程中存在著被黑客通過木馬等惡意程度進(jìn)行偽造、假冒和復(fù)制的風(fēng)險(xiǎn)，從而損害企業(yè)利益，同時(shí)也對(duì)企業(yè)信譽(yù)造成不良影響。2.3. 關(guān)于身份認(rèn)證的需求在無線通信網(wǎng)絡(luò)中， 移動(dòng)站與網(wǎng)絡(luò)控制中心以及其它移動(dòng)站之間不存在固定的物理連接，移動(dòng)站必須通過無線信道傳送用戶的身份信息。由于無線信

36、道信息傳送過程可能被竊聽，當(dāng)攻擊者截獲到一個(gè)合法用戶的身份信息時(shí)，他就可以利用這個(gè)信息來冒充該合法用戶的身份進(jìn)行網(wǎng)上審批， 這就是所謂的身份冒充攻擊?；赑KI/CA移動(dòng)終端安全解決方案基于數(shù)字證書和安全接入網(wǎng)關(guān)的身份認(rèn)證安全移動(dòng)辦公平臺(tái)屬于一種 C/S 或B/S的架構(gòu)系統(tǒng)， 不能直接集成證書應(yīng)用。 為此，可以提供證書應(yīng)用開發(fā)接口（API）幫助用戶進(jìn)行證書功能的集成，以下將從安全原理、安全構(gòu)架、證書應(yīng)用開發(fā)接口（API）和具體流程分別介紹應(yīng)用系統(tǒng)集成方案。雙向身份認(rèn)證實(shí)現(xiàn)雙向身份認(rèn)證的原理是通過雙向認(rèn)證的加密通道來實(shí)現(xiàn)。 在實(shí)現(xiàn)雙向身份認(rèn)證時(shí)， 專用客戶端需要對(duì)證書進(jìn)行處理，包括完成服務(wù)器證書

37、的驗(yàn)證，讓用戶選擇證書進(jìn)行提交等。實(shí)現(xiàn)雙向身份認(rèn)證的原理如下圖所示，需要增加下列模塊：信息抗抵賴數(shù)據(jù)傳輸?shù)目沟仲囆砸彩峭ㄟ^數(shù)字簽名技術(shù)來實(shí)現(xiàn)的，信息抗抵賴需要增加下列模塊：安全集成架構(gòu)根據(jù)上述安全原理，采用證書應(yīng)用開發(fā)接口（API） ，對(duì)移動(dòng)辦公系統(tǒng)進(jìn)行安全集成，系統(tǒng)安全架構(gòu)如下圖所示： 如上圖所示，系統(tǒng)安全集成涉及的證書應(yīng)用接口包括： 證書解析模塊（CPM ）證書解析模塊是一系列平臺(tái)下的動(dòng)態(tài)鏈接庫(kù)，用于解析 DER 或 PEM 編碼的 X.509 數(shù)字證書，將證書中的信息，包括用戶名、證書有效期、公鑰等信息分解為字符串。 證書驗(yàn)證模塊（CVM ）證書驗(yàn)證模塊以插件或動(dòng)態(tài)庫(kù)方式提供，實(shí)現(xiàn)對(duì)證書

38、的驗(yàn)證，證書驗(yàn)證可選使用 CRL 或 OCSP 驗(yàn)證有效性。通過證書驗(yàn)證，可以保證證書的真實(shí)性，保證使用該證書進(jìn)行的操作的有效性和不可抵賴性。數(shù)據(jù)簽名/ 驗(yàn)證模塊（SVM ）數(shù)據(jù)簽名及驗(yàn)證模塊是一系列平臺(tái)下的動(dòng)態(tài)鏈接庫(kù)或控件， 可以應(yīng)用于客戶端和服務(wù)器端，實(shí)現(xiàn)對(duì)傳輸數(shù)據(jù)的數(shù)字簽名，和對(duì)數(shù)字簽名及其證書進(jìn)行驗(yàn)證。證書的驗(yàn)證可使用 CRL 或 OCSP 來進(jìn)行有效性驗(yàn)證。證書處理模塊證書處理模塊以靜態(tài)庫(kù)、jar 包或者控件的方式提供，供專用客戶端軟件調(diào)用，實(shí)現(xiàn)的功能包括對(duì)證書的驗(yàn)證，對(duì)本地證書的檢索，顯示成列表，供用戶選擇提交?；跀?shù)字證書及簽名驗(yàn)證服務(wù)器的數(shù)據(jù)安全基于移動(dòng)互聯(lián)網(wǎng)的各種公文、訂單、

39、用戶身份敏感信息和交易敏感信息等都需要保證內(nèi)容被加密和不可被篡改。和身份認(rèn)證一樣，在移動(dòng)平臺(tái)，同樣需要開發(fā)相應(yīng)的中間件產(chǎn)品支持上層應(yīng)用和下層外設(shè)（如雙接口 Key 或 TF 卡等）以實(shí)現(xiàn)對(duì) iOS、Android 等系統(tǒng)的數(shù)字證書應(yīng)用支持。 之后才可以使用數(shù)字證書完成對(duì)以上信息實(shí)現(xiàn)數(shù)據(jù)加密和數(shù)字簽名以及驗(yàn)簽，以保障信息的完整性和保密性。目前提供支持 iOS 與 Android 系統(tǒng)的上層證書管理與應(yīng)用中間件，支持軟證書與硬件證書進(jìn)行 SSL 雙向身份認(rèn)證與數(shù)字簽名。可以使用戶通過使用自己的證書（私鑰）來對(duì)交易過程中所要提交的表單內(nèi)容進(jìn)行簽名，在客戶端能夠?qū)崿F(xiàn)對(duì)字符串、文件的簽名，并能夠驗(yàn)證來自

40、服務(wù)器端的簽名。第3章 數(shù)字證書服務(wù)方案我公司為企業(yè)單位建立的電子認(rèn)證服務(wù)體系，從服務(wù)內(nèi)容、服務(wù)模式、服務(wù)流程、服務(wù)保障等方面，建設(shè)符合企業(yè)單位特點(diǎn)的服務(wù)模式和流程，方便證書發(fā)放和管理，滿足企業(yè)單位實(shí)際業(yè)務(wù)需要。3.1 PKI/CA體系建設(shè)模式根據(jù)客戶的實(shí)際需求，東方中訊因地制宜提供三種服務(wù)模式：企業(yè)內(nèi)部自建PKI/CA體系、可信第三方的PKI/CA體系以及混合式PKI/CA模式，企業(yè)可以根據(jù)自己的實(shí)際需求靈活的選擇。3.1.1企業(yè)自建PKI/CA體系建設(shè)模式由我公司負(fù)責(zé)在客戶的本地建設(shè)全套的PKI/CA 體系，包括證書簽發(fā)系統(tǒng)（自建CA）證書注冊(cè)審批系統(tǒng)（自建RA），實(shí)現(xiàn)企業(yè)內(nèi)部證書自主簽發(fā)

41、、證書管理、證書查詢服務(wù)等功能，可以自由的使用數(shù)字證書。該體系適用于需要自己簽發(fā)數(shù)字證書的客戶、對(duì)證書法律性要求不強(qiáng)，使用數(shù)字證書作為安全解決方案的客戶，PKI/CA體系的運(yùn)行維護(hù)、安全、管理等工作全部由企業(yè)內(nèi)部負(fù)責(zé)。3.1.2第三方PKI/CA體系建設(shè)模式企業(yè)通過第三方的PKI/CA系統(tǒng)，委托第三方公司進(jìn)行數(shù)字證書的發(fā)放和管理。該模式不需要在企業(yè)內(nèi)部建設(shè)PKI/CA體系，PKI/CA體系完全建設(shè)在東方中訊，由東方中訊提供全面的、快捷的、專業(yè)的數(shù)字證書服務(wù)。企業(yè)只要擁有東方中訊RA系統(tǒng)管理員證書，就可以在任何一臺(tái)機(jī)器上通過Web方式登錄東方中訊CA認(rèn)證中心后臺(tái)實(shí)現(xiàn)對(duì)PKI/CA體系的全權(quán)管理，

42、并可以自主進(jìn)行證書的申請(qǐng)、下載和更新等工作。3.1.3混合PKI/CA建設(shè)模式混合式PKI/CA模式結(jié)合了企業(yè)自建PKI/CA和引用可信第三方PKI/CA兩種應(yīng)用模式。對(duì)證書的法律性要求不強(qiáng)的用戶，企業(yè)可以通過自建的PKI/CA體系自主頒發(fā)證書，實(shí)現(xiàn)企業(yè)內(nèi)部信息的安全保障；對(duì)證書法律效力要求高、要求證書能作為有效的電子證據(jù)的用戶，企業(yè)可以通過第三方電子認(rèn)證服務(wù)機(jī)構(gòu)CA系統(tǒng)，或委托第三方頒發(fā)具有法律效力的數(shù)字證書?；旌鲜絇KI/CA模式，企業(yè)可以根據(jù)實(shí)際需求靈活應(yīng)用，提高運(yùn)營(yíng)效率，降低運(yùn)營(yíng)成本。3.2 數(shù)字證書服務(wù)我公司結(jié)合企業(yè)單位ERP系統(tǒng)的實(shí)際需求和具體情況，提供相應(yīng)的證書業(yè)務(wù)服務(wù)，數(shù)字證書

43、服務(wù)管理符合以下要求：我公司有獨(dú)立的證書管理系統(tǒng)，實(shí)現(xiàn)證書全生命周期服務(wù)，包括證書申請(qǐng)、發(fā)放、更新、吊銷、介質(zhì)解鎖、密鑰恢復(fù)、丟失補(bǔ)辦、損壞重辦等服務(wù)內(nèi)容，方便企業(yè)單位用戶獲取證書服務(wù)；提供證書全在線服務(wù)模式，支持證書在線更新、在線解鎖等服務(wù)；提供證書快速應(yīng)急服務(wù)，滿足企業(yè)單位對(duì)業(yè)務(wù)連續(xù)性的要求；支持按照企業(yè)單位實(shí)際應(yīng)用需要，靈活定制服務(wù)交付的業(yè)務(wù)流程；支持多種證書存儲(chǔ)介質(zhì)包括智能USBKey、智能射頻卡、SDKey等，滿足企業(yè)單位今后發(fā)展對(duì)證書介質(zhì)的需求；支持證書管理權(quán)限分級(jí)，提供管理員、普通用戶、系統(tǒng)管理員等用戶和角色權(quán)限管理；提供對(duì)證書發(fā)放情況、證書狀態(tài)等情況進(jìn)行查詢、統(tǒng)計(jì)及報(bào)表輸出功能

44、，滿足企業(yè)單位日常管理需要。3.2.1證書生命周期證書申請(qǐng)申請(qǐng)數(shù)字證書的，視為同意遵守東方中訊數(shù)字證書認(rèn)證有限公司數(shù)字證書服務(wù)協(xié)議及其他有關(guān)規(guī)定，視為承認(rèn)該數(shù)字證書電子簽名的法律效力。為確保證書申請(qǐng)者身份的真實(shí)性和有效性，企業(yè)單位應(yīng)設(shè)立證書管理員崗位，負(fù)責(zé)提交本單位用戶證書申請(qǐng)。下圖為數(shù)字證書辦理申請(qǐng)界面：數(shù)字證書辦理申請(qǐng)界面證書申請(qǐng)流程：證書管理員收取用戶申請(qǐng)材料，核實(shí)用戶申請(qǐng)信息的真實(shí)性；證書管理員將證書申請(qǐng)信息報(bào)送相關(guān)領(lǐng)導(dǎo)審批確認(rèn)；證書管理員使用專用證書對(duì)審批確認(rèn)后的證書申請(qǐng)信息進(jìn)行電子簽名；證書管理員通過證書服務(wù)平臺(tái)向東方中訊數(shù)字證書認(rèn)證有限公司提交簽名后的申請(qǐng)信息進(jìn)行證書申請(qǐng)；證書管

45、理員將紙質(zhì)的證書申請(qǐng)資料原件提交給東方中訊數(shù)字證書認(rèn)證有限公司用以存檔備案。證書申請(qǐng)流程證書發(fā)放東方中訊數(shù)字證書認(rèn)證有限公司在接收證書申請(qǐng)及申請(qǐng)資料原件后，對(duì)申請(qǐng)信息進(jìn)行審核并在五個(gè)工作日內(nèi)完成證書產(chǎn)品交付。證書申請(qǐng)審核集中服務(wù)模式下的證書發(fā)放流程如下：東方中訊CA對(duì)所提交的資料進(jìn)行審核；資料是否齊全，是否填寫完整，填寫是否符合規(guī)范；資料是否加蓋單位公章；資料填寫信息是否真實(shí)；申請(qǐng)人是否符合證書發(fā)放要求：資料審核未通過，告知用戶單位證書管理員原因并返還申請(qǐng)資料；通過審核則錄入用戶相關(guān)信息并提交證書申請(qǐng)信息，制作數(shù)字證書；東方中訊CA對(duì)數(shù)字證書分類、整理，將數(shù)字證書頒發(fā)給用戶單位證書管理員，返還

46、用戶申請(qǐng)憑據(jù)；證書管理員對(duì)數(shù)字證書進(jìn)行核對(duì)，并分發(fā)到用戶手中。如果采取郵遞方式獲取證書，為保證數(shù)字證書安全性，我們?cè)谟脩羰盏阶C書介質(zhì)之后通過證書服務(wù)平臺(tái)以證書下載授權(quán)碼的方式為用戶頒發(fā)數(shù)字證書。集中服務(wù)模式下的證書發(fā)放流程多級(jí)服務(wù)模式下證書發(fā)放流程與集中服務(wù)模式下的證書發(fā)放流程基本相同，僅增加了用戶單位上級(jí)審核環(huán)節(jié)。多級(jí)服務(wù)模式下的證書發(fā)放流程證書更新用戶證書即將到期時(shí)，東方中訊數(shù)字證書認(rèn)證有限公司為用戶重新簽發(fā)新的證書。證書的更新流程參見證書申請(qǐng)流程圖：證書更新申請(qǐng)東方中訊數(shù)字證書認(rèn)證有限公司在收到更新申請(qǐng)后，承諾在二個(gè)工作日內(nèi)完成更新業(yè)務(wù)的確認(rèn)操作，并保證用戶可實(shí)時(shí)下載新證書。步驟如下：申

47、請(qǐng)更新：東方中訊數(shù)字證書認(rèn)證有限公司在證書到期前30天內(nèi)提醒用戶辦理證書更新業(yè)務(wù)；確認(rèn)更新：東方中訊數(shù)字證書認(rèn)證有限公司在確認(rèn)更新申請(qǐng)后，授權(quán)并通知用戶下載新的證書；下載新證書：證書用戶通過證書服務(wù)平臺(tái)下載新證書。證書補(bǔ)辦東方中訊數(shù)字證書變更申請(qǐng)，主要是針對(duì)數(shù)字證書主題名字變更，介質(zhì)損壞或丟失。企業(yè)單位指定的證書管理員進(jìn)入東方中訊證書簽發(fā)系統(tǒng)，進(jìn)行證書補(bǔ)辦，名字、用戶ID等信息變更。步驟如下：變更申請(qǐng)：用戶在介質(zhì)丟失或損壞后向企業(yè)單位信息科提交補(bǔ)辦申請(qǐng)確認(rèn)變更：企業(yè)單位相關(guān)審核人員在確認(rèn)變更申請(qǐng)后，在證書簽發(fā)系統(tǒng)中提交申請(qǐng)。 下載新證書：申請(qǐng)通過后，證書管理員通過證書簽發(fā)系統(tǒng)下載新證書。證書吊

48、銷證書吊銷申請(qǐng)當(dāng)密鑰遺失、介質(zhì)損壞、證書信息變更、證書用戶證件失效時(shí)。證書吊銷流程如下：申請(qǐng)吊銷：證書用戶填寫吊銷證書所需要提供的紙質(zhì)材料，向單位證書管理員或東方中訊提出吊銷申請(qǐng)；確認(rèn)更新：東方中訊數(shù)字證書認(rèn)證有限公司在確認(rèn)吊銷申請(qǐng)后，東方中訊數(shù)字證書認(rèn)證有限公司應(yīng)將證書及時(shí)吊銷并更新黑名單（CRL）；東方中訊數(shù)字證書認(rèn)證有限公司接到申請(qǐng)之日起，并審核通后，在一個(gè)工作日內(nèi)完成吊銷業(yè)務(wù)的辦理，并實(shí)時(shí)更新黑名單（CRL），按照發(fā)布策略將黑名單發(fā)布到指定的衛(wèi)生信息系統(tǒng)。證書解鎖用戶遺忘證書保護(hù)口令，或多次輸入錯(cuò)誤的保護(hù)口令導(dǎo)致證書介質(zhì)鎖死時(shí)，東方中訊數(shù)字證書認(rèn)證有限公司提供證書解鎖服務(wù)，為用戶重新設(shè)

49、置證書保護(hù)口令。證書解鎖流程如下：申請(qǐng)解鎖：證書用戶填寫解鎖證書所需要提供的紙質(zhì)材料，向單位證書管理員或東方中訊提出吊銷申請(qǐng)；審核：申請(qǐng)材料審核通過，東方中訊數(shù)字證書認(rèn)證有限公司應(yīng)將證書及時(shí)為用戶提供在線解鎖服務(wù)；東方中訊數(shù)字證書認(rèn)證有限公司接到申請(qǐng)之日起，在一個(gè)工作日內(nèi)完成解鎖服務(wù)。密鑰恢復(fù)東方中訊數(shù)字證書認(rèn)證有限公司提供加密密鑰的恢復(fù)服務(wù)。加密密鑰的恢復(fù)流程如下：申請(qǐng)密鑰恢復(fù)：證書用戶填寫加密密鑰的恢復(fù)所需要提供的紙質(zhì)材料，向單位證書管理員或東方中訊提出吊銷申請(qǐng)；確認(rèn)更新：東方中訊數(shù)字證書認(rèn)證有限公司接到申請(qǐng)之日起，并審核通后，在五個(gè)工作日內(nèi)完成密鑰恢復(fù)業(yè)務(wù)的辦理。司法取證需要進(jìn)行密鑰恢復(fù)

50、時(shí)，東方中訊數(shù)字證書認(rèn)證有限公司按照國(guó)家有關(guān)規(guī)定的程序處理。證書查詢 東方中訊數(shù)字證書認(rèn)證有限公司為用戶和信息系統(tǒng)提供證書和黑名單的查詢與下載服務(wù)。東方中訊數(shù)字證書認(rèn)證有限公司保障證書信息安全，查詢和下載權(quán)限經(jīng)用戶管理單位審定。3.2.2支持多種數(shù)字證書介質(zhì) 我公司支持多種數(shù)字證書介質(zhì)，包括智能USBKey、智能射頻卡、SDKey。如下圖：證書介質(zhì)3.2.3 證書發(fā)放模式證書批量發(fā)放初次批量證書申請(qǐng)，是指EZCA向首次提出申請(qǐng)證書的用戶提供的證書發(fā)放服務(wù)。 依托EZCA提供批量的證書申請(qǐng)、發(fā)放服務(wù)，企業(yè)單位證書受理點(diǎn)（信息中心）只負(fù)責(zé)證書用戶的信息收集和信息確認(rèn)，由EZCA后臺(tái)完成證書制作和發(fā)

51、放。 證書批量發(fā)放具體流程如下： (1) 證書受理點(diǎn)的證書管理員填寫證書申請(qǐng)列表，登錄數(shù)字證書服務(wù)管理系統(tǒng)后，上傳證書申請(qǐng)列表； (2) 審核人員確認(rèn)、審核證書申請(qǐng)列表信息（可選）； (3) EZCA集中制作證書，發(fā)送至企業(yè)單位； (4) 證書管理員將證書發(fā)放給證書用戶。日常零散發(fā)放日常零散發(fā)放具體流程如下： (1) 證書受理點(diǎn)的證書管理員登錄數(shù)字證書服務(wù)管理系統(tǒng)后，錄入證書用戶信息； (2) 審核人員審核證書申請(qǐng)信息（可選）； (3) EZCA后臺(tái)系統(tǒng)簽發(fā)數(shù)字證書； (4) 證書管理員使用空白USBKey在數(shù)字證書服務(wù)管理系統(tǒng)制作用戶數(shù)字證書；(5) 證書管理員將證書發(fā)放給證書用戶。3.3

52、培訓(xùn)服務(wù)東方中訊公司配備2名培訓(xùn)師，根據(jù)企業(yè)單位安排，對(duì)企業(yè)單位技術(shù)人員、系統(tǒng)運(yùn)維人員、全體ERP終端用戶不定期進(jìn)行培訓(xùn)，培訓(xùn)時(shí)間不少于2個(gè)工作周。3.3.1系統(tǒng)相關(guān)人員培訓(xùn)技術(shù)人員培訓(xùn)PKI基礎(chǔ)設(shè)施系統(tǒng)架構(gòu)培訓(xùn)：對(duì)PKI基礎(chǔ)設(shè)施包含的內(nèi)容，技術(shù)標(biāo)準(zhǔn)、規(guī)范，PKI體系架構(gòu)的整體介紹；PKI電子認(rèn)證應(yīng)用培訓(xùn)：對(duì)PKI基礎(chǔ)設(shè)施中涉及的所有實(shí)體，包括身份認(rèn)證、電子簽名、數(shù)據(jù)加密等應(yīng)用的培訓(xùn)；數(shù)字證書接口應(yīng)用培訓(xùn)：對(duì)不同開發(fā)語(yǔ)言、開發(fā)環(huán)境下的數(shù)字證書接口，包括在WINDOWS、LINUX、MAC等平臺(tái)下，基于C、JAVA、C#等開發(fā)語(yǔ)言的接口應(yīng)用提供培訓(xùn)；數(shù)字證書安全產(chǎn)品的應(yīng)用培訓(xùn)：對(duì)數(shù)字證書安全產(chǎn)品

53、的介紹和應(yīng)用提供培訓(xùn)，包括統(tǒng)一身份認(rèn)證服務(wù)器、PKI權(quán)限管理系統(tǒng)、電子簽名服務(wù)器等安全產(chǎn)品的應(yīng)用培訓(xùn)。運(yùn)維人員培訓(xùn)CA電子認(rèn)證系統(tǒng)的介紹培訓(xùn)：對(duì)的數(shù)字證書簽發(fā)系統(tǒng)的工作機(jī)制、安全管理、權(quán)限控制等方面提供培訓(xùn)；網(wǎng)絡(luò)架構(gòu)介紹培訓(xùn)：對(duì)的網(wǎng)絡(luò)部署、防火墻、入侵檢測(cè)、入侵防護(hù)系統(tǒng)、安全網(wǎng)關(guān)、防病毒系統(tǒng)等方面提供培訓(xùn)；運(yùn)維安全管理的介紹培訓(xùn)：對(duì)的運(yùn)維信息安全策略、安全管理規(guī)范、風(fēng)險(xiǎn)預(yù)警與應(yīng)急處理方案等方面提供培訓(xùn)；硬件產(chǎn)品應(yīng)用和維護(hù)培訓(xùn)：對(duì)加密機(jī)、時(shí)間戳服務(wù)器、統(tǒng)一身份認(rèn)證服務(wù)器等硬件設(shè)備的應(yīng)用和維護(hù)培訓(xùn)。3.3.2 用戶培訓(xùn) 將根據(jù)需要，在企業(yè)單位信息科的統(tǒng)籌下，為用戶提供培訓(xùn)。培訓(xùn)內(nèi)容數(shù)字證書簡(jiǎn)介培訓(xùn)

54、對(duì)數(shù)字證書的概念，使用數(shù)字證書能帶來什么優(yōu)勢(shì)，身份認(rèn)證、電子簽名、數(shù)據(jù)加密等功能的簡(jiǎn)介培訓(xùn)；數(shù)字證書使用培訓(xùn)對(duì)數(shù)字證書介質(zhì)驅(qū)動(dòng)程序的安裝，介質(zhì)管理工具各項(xiàng)功能的使用，數(shù)字證書在使用中的常見問題及解決方法等方面的培訓(xùn)；數(shù)字證書在企業(yè)單位信息系統(tǒng)中的應(yīng)用培訓(xùn)對(duì)數(shù)字證書如何在相關(guān)業(yè)務(wù)系統(tǒng)中使用，在使用過程中的常見問題及解決方法等方面的培訓(xùn)；電子認(rèn)證服務(wù)培訓(xùn)對(duì)提供的電子認(rèn)證服務(wù)，包括數(shù)字證書各項(xiàng)業(yè)務(wù)的簡(jiǎn)介、辦理流程、客戶服務(wù)體系等方面的培訓(xùn)。培訓(xùn)形式現(xiàn)場(chǎng)統(tǒng)一培訓(xùn)針對(duì)終端用戶的培訓(xùn)：在CA系統(tǒng)正式上線前，可由企業(yè)單位信息科通知并組織使用CA的終端用戶，到指定的培訓(xùn)場(chǎng)所（例如會(huì)議廳），東方中訊培訓(xùn)講師對(duì)終

55、端用戶進(jìn)行培訓(xùn)，內(nèi)容包括數(shù)字證書基礎(chǔ)知識(shí)，數(shù)字證書在信息系統(tǒng)的操作方法，證書介質(zhì)的維護(hù)保管，數(shù)字證書使用中常見問題的處理，數(shù)字證書的售后服務(wù)。培訓(xùn)時(shí)長(zhǎng)約1小時(shí)。針對(duì)企業(yè)單位信息科技術(shù)人員的培訓(xùn)：企業(yè)單位信息科技術(shù)人員在本院CA系統(tǒng)的使用中擔(dān)任著重要角色，需要對(duì)其進(jìn)行較全面的培訓(xùn)。現(xiàn)場(chǎng)培訓(xùn)時(shí)長(zhǎng)約2小時(shí)。對(duì)信息科技術(shù)人員培訓(xùn)的同時(shí)東方中訊提供日常CA維護(hù)指導(dǎo)文檔。網(wǎng)絡(luò)培訓(xùn)通過web網(wǎng)站形式，對(duì)證書使用中的常見問題進(jìn)行收錄整理并更新，方便用戶查看。常見問題學(xué)習(xí)用戶手冊(cè)用戶手冊(cè)3.4 售后服務(wù)完善的技術(shù)支持和服務(wù)是應(yīng)用系統(tǒng)得以長(zhǎng)期穩(wěn)定運(yùn)行的重要保障，也是獲得客戶最終認(rèn)同和信任的必要前提，東方中訊公司本

56、著用戶至上的原則，憑借雄厚的技術(shù)實(shí)力、完善的服務(wù)體系、強(qiáng)大的支持后盾、本地化的地域優(yōu)勢(shì)，能夠快速響應(yīng)客戶需求，并隨時(shí)根據(jù)客戶的實(shí)際需求提供全面的、個(gè)性化的技術(shù)支持服務(wù)。3.4.1服務(wù)理念我們秉承“誠(chéng)信立德，人文為本，效率優(yōu)先，發(fā)展為上”的企業(yè)精神，以技術(shù)開發(fā)為后盾，以最佳服務(wù)求發(fā)展?！耙钥蛻魹橹行摹笔俏覀兊姆?wù)理念，我們本著“用戶至上、質(zhì)量第一、服務(wù)優(yōu)質(zhì)、響應(yīng)及時(shí)”的服務(wù)原則，為用戶提供及時(shí)、高效、可靠的服務(wù)。3.4.2服務(wù)內(nèi)容積極解決用戶在使用數(shù)字證書過程中遇到的問題（如證書登陸系統(tǒng)、證書更新、證書注銷等問題）；提供數(shù)字證書相關(guān)應(yīng)用的咨詢服務(wù)；為系統(tǒng)的升級(jí)和拓展提供應(yīng)用集成支持；可根據(jù)客戶實(shí)

57、際需求進(jìn)行系統(tǒng)的二次開發(fā)；認(rèn)真履行各項(xiàng)服務(wù)條款和承諾。3.4.3售后服務(wù)組織東方中訊CA中心技術(shù)支持與售后服務(wù)組織方式如下圖所示：售后服務(wù)組織架構(gòu)服務(wù)總監(jiān)、客戶代表、客服人員、服務(wù)專員等專職人員，以及實(shí)施人員、開發(fā)工程師和技術(shù)支持部的安全技術(shù)專家組成了服務(wù)支持隊(duì)伍。各職位的職責(zé)及隸屬關(guān)系說明如下：服務(wù)總監(jiān)：CA中心主管，負(fù)責(zé)CA中心的全面管理，包括值班、外出服務(wù)、信息反饋等制度的制定、工作安排和監(jiān)督實(shí)施；客戶代表：由營(yíng)銷中心人員擔(dān)任，為用戶提供咨詢服務(wù)，了解用戶需求，聽取用戶意見和建議，將用戶的需求和建議進(jìn)行分類，并及時(shí)反饋給相應(yīng)的服務(wù)專員；客服人員：通過熱線電話和網(wǎng)絡(luò)的方式接收用戶的服務(wù)請(qǐng)求

58、，做好問題信息的記錄，及時(shí)為用戶解決問題；定期對(duì)客戶進(jìn)行回訪，加強(qiáng)對(duì)客戶的反饋；服務(wù)專員：安全服務(wù)實(shí)施負(fù)責(zé)人，帶領(lǐng)技術(shù)支持工程師，完成服務(wù)總監(jiān)部署的服務(wù)計(jì)劃；服務(wù)專員在接到服務(wù)請(qǐng)求后，安排技術(shù)支持工程師在規(guī)定的時(shí)間內(nèi)趕赴用戶現(xiàn)場(chǎng)或直接向用戶提供解決方案，保證其系統(tǒng)正常運(yùn)行；文檔工程師：收取外勤服務(wù)技術(shù)工程師的服務(wù)反饋表。負(fù)責(zé)將服務(wù)反饋表中的技術(shù)信息和所總結(jié)的經(jīng)驗(yàn)整理分類，并錄入到CA中心的支持信息數(shù)據(jù)庫(kù)中，定期編制知識(shí)信息快訊，向全體技術(shù)人員發(fā)布；技術(shù)支持工程師：是服務(wù)實(shí)施人員，負(fù)責(zé)CA中心的技術(shù)服務(wù)工作。技術(shù)支持工程師外出到用戶現(xiàn)場(chǎng)做技術(shù)支持服務(wù)，服務(wù)完成后填寫服務(wù)反饋表，將具體的服務(wù)情況與

59、提供的方案、該次服務(wù)中的經(jīng)驗(yàn)和技術(shù)心得寫在其中，簽字后送交文檔工程師進(jìn)行信息歸檔；技術(shù)后援人員：由研發(fā)中心的研究/開發(fā)工程師以及安全技術(shù)專家等共同組成，負(fù)責(zé)CA中心的各項(xiàng)技術(shù)服務(wù)工作。3.4.4售后服務(wù)流程?hào)|方中訊CA中心按照規(guī)范的服務(wù)流程為用戶提供服務(wù)，服務(wù)流程如下圖所示：售后服務(wù)流程3.4.5售后服務(wù)方式東方中訊CA中心通過熱線電話、網(wǎng)絡(luò)遠(yuǎn)程、現(xiàn)場(chǎng)等多種服務(wù)方式，為用戶提供數(shù)字證書使用幫助、應(yīng)用咨詢培訓(xùn)、應(yīng)急保障和應(yīng)用集成支持等一系列本地化服務(wù)。東方中訊服務(wù)平臺(tái)如下圖所示：東方中訊服務(wù)平臺(tái)呼叫中心服務(wù)東方中訊CA中心擁有以客戶為主導(dǎo)的綜合語(yǔ)音平臺(tái)呼叫中心系統(tǒng)(Call Center), 客

60、服專員可通過電話指導(dǎo)的方式解決用戶的問題。東方中訊服務(wù)熱線：4007353922后服務(wù)投訴熱線 :3704電話響應(yīng)時(shí)間：對(duì)一般性問題，客服中心在1個(gè)小時(shí)內(nèi)反饋建議，8小時(shí)內(nèi)解決問題；對(duì)復(fù)雜問題，CA中心在三個(gè)工作日內(nèi)提出解決方案并及時(shí)解決問題。如果問題無法通過電話解決，需要進(jìn)行遠(yuǎn)程維護(hù)的，技術(shù)支持人員可通過網(wǎng)絡(luò)遠(yuǎn)程服務(wù)的方式解決用戶的問題。網(wǎng)絡(luò)遠(yuǎn)程服務(wù)如果用戶在系統(tǒng)使用過程中遇到一些基本的系統(tǒng)問題，我公司的支持工程師可以通過遠(yuǎn)程撥號(hào)方式登錄到用戶設(shè)備上來查看問題的原因，并指導(dǎo)用戶排除故障。這種方式可以以更快、更及時(shí)的方式達(dá)到親臨現(xiàn)場(chǎng)解決問