電子政務(wù)基礎(chǔ)設(shè)施篇課件

1第二講基礎(chǔ)設(shè)施篇北京大學(xué)信息科學(xué)技術(shù)學(xué)院張寧nzhang@20131第二講基礎(chǔ)設(shè)施篇北京大學(xué)信息科學(xué)技術(shù)學(xué)院2主要內(nèi)容第五章網(wǎng)絡(luò)基礎(chǔ)設(shè)施電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)電子政務(wù)的網(wǎng)絡(luò)接口設(shè)計(jì)原則第六章網(wǎng)絡(luò)信任域基礎(chǔ)設(shè)施網(wǎng)絡(luò)信任域技術(shù)電子政務(wù)網(wǎng)絡(luò)信任域的構(gòu)建2主要內(nèi)容第五章網(wǎng)絡(luò)基礎(chǔ)設(shè)施3主要內(nèi)容第七章公鑰基礎(chǔ)設(shè)施公鑰密碼技術(shù)公鑰基礎(chǔ)設(shè)施PKI技術(shù)數(shù)字證書認(rèn)證中心CA的系統(tǒng)設(shè)計(jì)密鑰管理中心KM的系統(tǒng)設(shè)計(jì)數(shù)字證書審核注冊中心RA的系統(tǒng)設(shè)計(jì)密鑰和證書管理第八章授權(quán)管理基礎(chǔ)設(shè)施授權(quán)管理基礎(chǔ)設(shè)施PMI技術(shù)授權(quán)管理服務(wù)系統(tǒng)授權(quán)管理中心AA的系統(tǒng)設(shè)計(jì)通用業(yè)務(wù)流程3主要內(nèi)容第七章公鑰基礎(chǔ)設(shè)施4第五章網(wǎng)絡(luò)基礎(chǔ)設(shè)施本章主要內(nèi)容電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)電子政務(wù)的網(wǎng)絡(luò)接口設(shè)計(jì)原則4第五章網(wǎng)絡(luò)基礎(chǔ)設(shè)施本章主要內(nèi)容55.1電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)包括外網(wǎng)Internet內(nèi)網(wǎng)公眾服務(wù)業(yè)務(wù)網(wǎng)負(fù)責(zé)提供與統(tǒng)一的安全電子政務(wù)平臺中的電子政務(wù)服務(wù)業(yè)務(wù)系統(tǒng)相對應(yīng)的數(shù)據(jù)服務(wù)支持功能非涉密政府辦公網(wǎng)負(fù)責(zé)提供對部分業(yè)務(wù)數(shù)據(jù)的審批等處理涉密政府辦公網(wǎng)（專網(wǎng)）負(fù)責(zé)提供政府內(nèi)部辦公業(yè)務(wù)數(shù)據(jù)的流轉(zhuǎn)55.1電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)包括6電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)統(tǒng)一的安全電子政務(wù)平臺負(fù)責(zé)承載各類具體的電子政務(wù)業(yè)務(wù)系統(tǒng)并圍繞一站式電子政務(wù)服務(wù)框架將電子政務(wù)業(yè)務(wù)系統(tǒng)連接成一個有機(jī)的整體其上提供統(tǒng)一的接入平臺統(tǒng)一的Web門戶平臺統(tǒng)一的Web服務(wù)平臺統(tǒng)一的信息交換平臺6電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)統(tǒng)一的安全電子政務(wù)平臺7電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)建設(shè)內(nèi)容統(tǒng)一的安全電子政務(wù)平臺自身建設(shè)與外部的Internet、電信公網(wǎng)（PSTN）、短信服務(wù)網(wǎng)絡(luò)、以及無線接入網(wǎng)絡(luò)的互聯(lián)政務(wù)內(nèi)網(wǎng)對每個政府部門分別進(jìn)行公眾服務(wù)業(yè)務(wù)網(wǎng)絡(luò)、非涉密政府辦公網(wǎng)絡(luò)、涉密政府辦公網(wǎng)絡(luò)系統(tǒng)政務(wù)專網(wǎng)在政務(wù)內(nèi)網(wǎng)中的非涉密政府辦公網(wǎng)絡(luò)之間建立互聯(lián)的非涉密政務(wù)專網(wǎng)，而在內(nèi)部涉密政府辦公網(wǎng)絡(luò)之間則建立互聯(lián)的涉密政務(wù)專網(wǎng)7電子政務(wù)網(wǎng)絡(luò)的體系結(jié)構(gòu)建設(shè)內(nèi)容網(wǎng)絡(luò)信任域網(wǎng)絡(luò)信任域網(wǎng)絡(luò)信任域網(wǎng)絡(luò)信任域電信公網(wǎng)Internet金融機(jī)構(gòu)金融機(jī)構(gòu)金融機(jī)構(gòu)金融機(jī)構(gòu)統(tǒng)一接入平臺統(tǒng)一接入平臺統(tǒng)一接入平臺統(tǒng)一接入平臺GSMGSMGSMGSMGSMGSM涉密交換平臺涉密交換平臺涉密交換平臺涉密交換平臺電子政務(wù)網(wǎng)絡(luò)系統(tǒng)基礎(chǔ)設(shè)施總體結(jié)構(gòu)網(wǎng)絡(luò)信任域網(wǎng)絡(luò)信任域網(wǎng)絡(luò)信任域網(wǎng)絡(luò)信任域電信公網(wǎng)Intern9金融服務(wù)系統(tǒng)統(tǒng)一的安全電子政務(wù)平臺統(tǒng)一的信息交換平臺可信的政務(wù)一站式服務(wù)統(tǒng)一的Web門戶平臺統(tǒng)一的接入平臺金融機(jī)構(gòu)公共服務(wù)網(wǎng)內(nèi)部辦公網(wǎng)社保公共服務(wù)網(wǎng)內(nèi)部辦公網(wǎng)工商公共服務(wù)網(wǎng)內(nèi)部辦公網(wǎng)稅務(wù)...涉密系統(tǒng)涉密系統(tǒng)涉密系統(tǒng)PKI/PMI國務(wù)院辦公廳涉密網(wǎng)涉密交換平臺VPN安全島網(wǎng)絡(luò)信任域電子政務(wù)網(wǎng)絡(luò)系統(tǒng)基礎(chǔ)設(shè)施總體結(jié)構(gòu)中的網(wǎng)絡(luò)信任域結(jié)構(gòu)電信公網(wǎng)Internet9金融服務(wù)系統(tǒng)統(tǒng)一的安全電子政務(wù)平臺統(tǒng)一的信息交換平臺可信的10統(tǒng)一的接入平臺統(tǒng)一的Web門戶平臺統(tǒng)一的Web服務(wù)平臺統(tǒng)一的數(shù)據(jù)交換平臺PKI/PMI可信SOAP可信SOAP業(yè)務(wù)處理其他系統(tǒng)辦公處理其他系統(tǒng)公眾服務(wù)業(yè)務(wù)系統(tǒng)非涉密辦公網(wǎng)Data可信SOAP業(yè)務(wù)處理其他系統(tǒng)辦公處理其他系統(tǒng)公眾服務(wù)業(yè)務(wù)系統(tǒng)非涉密辦公網(wǎng)Data可信SOAP業(yè)務(wù)處理其他系統(tǒng)辦公處理其他系統(tǒng)公眾服務(wù)業(yè)務(wù)系統(tǒng)非涉密辦公網(wǎng)Data邏輯隔離邏輯隔離邏輯隔離工商系統(tǒng)稅務(wù)系統(tǒng)社保系統(tǒng)非涉密政務(wù)專網(wǎng)政務(wù)內(nèi)網(wǎng)的總體結(jié)構(gòu)涉密辦公網(wǎng)涉密辦公網(wǎng)涉密辦公網(wǎng)涉密政務(wù)專網(wǎng)10統(tǒng)一的接入平臺統(tǒng)一的Web門戶平臺統(tǒng)一的Web服務(wù)平臺統(tǒng)115.2電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)統(tǒng)一的安全電子政務(wù)平臺是整個電子政務(wù)建設(shè)的基礎(chǔ)（樞紐）工程統(tǒng)一接入平臺、統(tǒng)一的Web門戶平臺、統(tǒng)一的Web服務(wù)平臺、統(tǒng)一的信息交換平臺之間通過具有第三層交換功能的（全雙工的冗余鏈路互聯(lián)的）交換機(jī)設(shè)備進(jìn)行互聯(lián)，形成單點(diǎn)無破損的結(jié)構(gòu)提供對多種接入終端的支持對Internet和電信公網(wǎng)采用兩種接入方式直接接入：負(fù)責(zé)普通用戶訪問電子政務(wù)服務(wù)虛擬專用網(wǎng)（VPN）接入：負(fù)責(zé)移動辦公和有待安全需求的用戶的安全接入115.2電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)統(tǒng)一的安全電子政務(wù)平臺12電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)公眾服務(wù)業(yè)務(wù)網(wǎng)絡(luò)提供各類具體的公眾政務(wù)服務(wù)資源可以通過可信SOAP負(fù)責(zé)與統(tǒng)一的信息交換平臺相連接，作為統(tǒng)一的信息交換平臺的數(shù)據(jù)源而工作非涉密政府辦公網(wǎng)絡(luò)運(yùn)行政府部門內(nèi)部非涉密的辦公系統(tǒng)，完成日常的辦公業(yè)務(wù)處理對從統(tǒng)一的安全電子政務(wù)平臺上運(yùn)行的公眾政務(wù)服務(wù)業(yè)務(wù)系統(tǒng)中所獲得的業(yè)務(wù)服務(wù)請求進(jìn)行處理對可能涉及到的敏感信息部分，可以采用與公眾服務(wù)業(yè)務(wù)網(wǎng)絡(luò)物理隔離措施（網(wǎng)閘等）12電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)公眾服務(wù)業(yè)務(wù)網(wǎng)絡(luò)13電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)涉密政務(wù)辦公網(wǎng)絡(luò)（即政務(wù)內(nèi)網(wǎng)）根據(jù)國家保密局的要求必須將其與非涉密網(wǎng)絡(luò)進(jìn)行物理隔離（完全的物理隔離，不可采用網(wǎng)閘等時斷時開措施）網(wǎng)絡(luò)安全結(jié)構(gòu)設(shè)計(jì)對整個系統(tǒng)內(nèi)部的安全區(qū)域清晰地劃分，即與接入平臺以及Web服務(wù)門戶系統(tǒng)直接相連的網(wǎng)絡(luò)系統(tǒng)為非安全的網(wǎng)絡(luò)，除此之外，其余的內(nèi)部網(wǎng)絡(luò)系統(tǒng)均可以視為安全的網(wǎng)絡(luò)系統(tǒng)13電子政務(wù)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)計(jì)涉密政務(wù)辦公網(wǎng)絡(luò)（即政務(wù)內(nèi)網(wǎng)）145.3電子政務(wù)的網(wǎng)絡(luò)接口設(shè)計(jì)原則四類接口統(tǒng)一的安全電子政務(wù)平臺的對外服務(wù)接口面向社會提供對電子政務(wù)業(yè)務(wù)服務(wù)的訪問接入功能提供對GSM、Internet、電信公網(wǎng)、CDMA四種典型的接入方式公眾服務(wù)業(yè)務(wù)網(wǎng)絡(luò)與非涉密政府辦公網(wǎng)絡(luò)的接口非涉密政府辦公網(wǎng)絡(luò)不可直接與公眾服務(wù)業(yè)務(wù)網(wǎng)直接連接，需要采用網(wǎng)絡(luò)邏輯隔離措施提供網(wǎng)絡(luò)接入控制和配套的安全保護(hù)措施非涉密政府辦公網(wǎng)絡(luò)與涉密政府辦公網(wǎng)絡(luò)的接口兩網(wǎng)之間必須采用物理隔離（國密辦要求）145.3電子政務(wù)的網(wǎng)絡(luò)接口設(shè)計(jì)原則四類接口15電子政務(wù)的網(wǎng)絡(luò)接口設(shè)計(jì)原則四類接口統(tǒng)一的安全電子政務(wù)平臺與公眾服務(wù)業(yè)務(wù)網(wǎng)絡(luò)的接口是對整個電子政務(wù)平臺所承載的具體電子政務(wù)應(yīng)用系統(tǒng)提供安全性保障的業(yè)務(wù)數(shù)據(jù)交換接口對應(yīng)用層的數(shù)據(jù)交換提供兩個層次的安全功能網(wǎng)絡(luò)層的安全功能通過PKI網(wǎng)關(guān)提供信息傳輸?shù)陌踩Ｗo(hù)，確保傳輸過程中的機(jī)密性、完整性應(yīng)用層的安全功能通過可信SOAP服務(wù)器完成，重點(diǎn)在應(yīng)用層結(jié)合安全SOAP的訪問控制技術(shù)和cegXML所提供的元素級安全功能提供對交換數(shù)據(jù)的安全保護(hù)15電子政務(wù)的網(wǎng)絡(luò)接口設(shè)計(jì)原則四類接口16第六章網(wǎng)絡(luò)信任域基礎(chǔ)設(shè)施本章主要內(nèi)容網(wǎng)絡(luò)信任域的體系結(jié)構(gòu)網(wǎng)絡(luò)信任域技術(shù)電子政務(wù)網(wǎng)絡(luò)信任域的構(gòu)建16第六章網(wǎng)絡(luò)信任域基礎(chǔ)設(shè)施本章主要內(nèi)容176.1網(wǎng)絡(luò)信任域及其體系結(jié)構(gòu)網(wǎng)絡(luò)信任域是構(gòu)建電子政務(wù)網(wǎng)絡(luò)基礎(chǔ)設(shè)施的關(guān)鍵技術(shù)之一區(qū)別傳統(tǒng)的Internet對等的、無中心的、無管理的網(wǎng)絡(luò)信任域可管理的、有中心的通過下面三個層面的安全措施確保數(shù)據(jù)的機(jī)密性、完整性、身份認(rèn)證、不可抵賴性、授權(quán)服務(wù)終端設(shè)備的安全可信接入采用接入認(rèn)證交換機(jī)網(wǎng)絡(luò)設(shè)備的安全可信管理采用PKI網(wǎng)關(guān)（此為構(gòu)建網(wǎng)絡(luò)信任域的關(guān)鍵機(jī)制）數(shù)據(jù)信息的安全可信傳輸采用信任域管理服務(wù)平臺176.1網(wǎng)絡(luò)信任域及其體系結(jié)構(gòu)網(wǎng)絡(luò)信任域是構(gòu)建電子政務(wù)網(wǎng)PKI網(wǎng)關(guān)網(wǎng)絡(luò)信任域管理服務(wù)平臺網(wǎng)絡(luò)信任域1安全可信接入接入認(rèn)證交換機(jī)終端設(shè)備終端設(shè)備終端設(shè)備終端設(shè)備網(wǎng)絡(luò)信任域管理服務(wù)平臺網(wǎng)絡(luò)信任域2安全可信接入接入認(rèn)證交換機(jī)終端設(shè)備終端設(shè)備終端設(shè)備終端設(shè)備PKI網(wǎng)關(guān)…………安全可信通信更高一級的網(wǎng)絡(luò)信任域網(wǎng)絡(luò)信任域管理服務(wù)平臺網(wǎng)絡(luò)信任域的組織示意圖PKI網(wǎng)關(guān)網(wǎng)絡(luò)信任域管理服務(wù)平臺網(wǎng)絡(luò)信任域1安全可信接入接入196.2構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)1.基于PKI（PublicKeyInfrastructure）的身份認(rèn)證為網(wǎng)絡(luò)信任域中的所有用戶和設(shè)備頒發(fā)PKC（PublicKeyCertificate）網(wǎng)絡(luò)信任域可以采用基于PKI的雙密鑰對機(jī)制，采用符合ITU-TX.509V4規(guī)范的證書格式結(jié)合IPSec協(xié)議，以加密密文的形式進(jìn)行信息傳輸“一人一證，一機(jī)一證”解決網(wǎng)絡(luò)中“你是誰”的問題196.2構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)1.基于PKI（Pub20構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)2.基于PMI（PrivilegeManagementInfrastructure）的授權(quán)服務(wù)向用戶和應(yīng)用程序提供授權(quán)管理服務(wù)提供用戶身份到應(yīng)用授權(quán)的映射功能可以采用基于PMI的屬性證書機(jī)制，對用戶、設(shè)備的身份及其權(quán)限和許可信息進(jìn)行綁定解決網(wǎng)絡(luò)中“你能做什么”的問題20構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)2.基于PMI（Privile21構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)3.基于硬件形式的證書存儲將用戶、設(shè)備的數(shù)字證書存儲在客戶端的實(shí)體鑒別密碼器中，因此提高了系統(tǒng)的安全級別此外還提供密鑰的生成和管理、實(shí)體鑒別、數(shù)字簽名的生成和驗(yàn)證、以及證書管理和密碼運(yùn)算等功能4.基于PKI和IEEE802.1X標(biāo)準(zhǔn)的可信接入實(shí)現(xiàn)“基于端口的網(wǎng)絡(luò)接入控制”，對以端對端方式連接到網(wǎng)絡(luò)端口的設(shè)備進(jìn)行認(rèn)證和核準(zhǔn)，以阻止非法用戶接入該端口21構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)3.基于硬件形式的證書存儲22構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)5.基于PKI的可信傳輸網(wǎng)絡(luò)信任域提供了構(gòu)建VPN的設(shè)備（PKI網(wǎng)關(guān)），其認(rèn)證和加密都基于PKI技術(shù) 系統(tǒng)通過采用PKI身份證書來實(shí)現(xiàn)對PKI網(wǎng)關(guān)的運(yùn)行、管理、配置以及VPN虛擬專網(wǎng)的動態(tài)構(gòu)建通過PKI身份證書的認(rèn)證機(jī)制來實(shí)現(xiàn)對終端用戶的身份鑒別，基于PKI的VPN也能夠提供對用戶數(shù)據(jù)的保護(hù)功能因此，基于PKI技術(shù)就可以在兩個PKI網(wǎng)關(guān)之間構(gòu)建一個端對端的加密安全通道22構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)5.基于PKI的可信傳輸23構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)6.基于PKI的信任域綜合管理系統(tǒng)是網(wǎng)絡(luò)信任域的管理操作平臺，負(fù)責(zé)對網(wǎng)絡(luò)信任域內(nèi)的用戶和網(wǎng)元進(jìn)行設(shè)置和信息提取，并負(fù)責(zé)對整個網(wǎng)絡(luò)信任域環(huán)境的安全運(yùn)行進(jìn)行檢測和管理，使網(wǎng)絡(luò)信任域得以實(shí)現(xiàn)的支撐管理系統(tǒng)采用基于SNMP（SimpleNetworkManagementProtocol，簡單網(wǎng)絡(luò)管理協(xié)議）協(xié)議的操作接口，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)信任域中的設(shè)備管理配置，以及監(jiān)控數(shù)據(jù)和業(yè)務(wù)數(shù)據(jù)的采集采用基于PKI技術(shù)實(shí)現(xiàn)信任域管理功能對環(huán)境內(nèi)的所有設(shè)備進(jìn)行基于PKI身份證書的驗(yàn)證和管理，確保網(wǎng)絡(luò)元素的可信接入通過PKI技術(shù)，為環(huán)境中的所有信息提供安全通道23構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)6.基于PKI的信任域綜合管理24構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)6.基于PKI的信任域綜合管理系統(tǒng)(續(xù))網(wǎng)絡(luò)信任域管理的核心思想基于統(tǒng)一的PKI機(jī)制，建立分布式的、逐級可信的信任域管理。采用策略一致的PKI證書發(fā)布及認(rèn)證機(jī)制，協(xié)調(diào)管理員可以根據(jù)網(wǎng)絡(luò)的規(guī)模的網(wǎng)絡(luò)的分布狀況，為整個系統(tǒng)建立多級信任域管理的分層模型，并為每個信任域架構(gòu)服務(wù)于本信任域的信任域綜合管理系統(tǒng)位于系統(tǒng)上層的信任域可以接收下層信任域采集的業(yè)務(wù)數(shù)據(jù)，負(fù)責(zé)對下層的信任域提供系統(tǒng)管理和信任服務(wù)，通過分層管理可以構(gòu)建范圍更廣的網(wǎng)絡(luò)信任域24構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)6.基于PKI的信任域綜合管理25接入認(rèn)證交換機(jī)為了實(shí)現(xiàn)網(wǎng)絡(luò)信任域的可信接入，首先應(yīng)對接入認(rèn)證交換機(jī)和認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證。接入認(rèn)證交換機(jī)和認(rèn)證服務(wù)器采用內(nèi)置PKI證書方式進(jìn)行唯一的身份標(biāo)識，在接入認(rèn)證交換機(jī)后端的認(rèn)證服務(wù)器進(jìn)行信息交互時必須進(jìn)行交互身份認(rèn)證，從而確保雙方身份的真實(shí)性。為接入認(rèn)證交換機(jī)對接入設(shè)備的認(rèn)證通過了可信的基礎(chǔ)，同時通過交互式身份驗(yàn)證，為交換機(jī)與認(rèn)證服務(wù)器之間的信息及交互提供了加密的通道（采用UDP協(xié)議），確保了認(rèn)證信息的安全傳輸25接入認(rèn)證交換機(jī)為了實(shí)現(xiàn)網(wǎng)絡(luò)信任域的可信接入，首先應(yīng)對接入26接入終端設(shè)備網(wǎng)絡(luò)信任域的可信接入是終端設(shè)備/用戶的可信接入?；?02.1x標(biāo)準(zhǔn)，接入交換機(jī)的每個端口為接入設(shè)備提供了一個物理網(wǎng)絡(luò)端口上的兩個邏輯端口：帶接入控制開關(guān)的受控端口，該端口與后端的業(yè)務(wù)資源系統(tǒng)相連不帶控制開關(guān)的非受控端口，該端口與交換機(jī)內(nèi)部負(fù)責(zé)執(zhí)行802.1x協(xié)議的認(rèn)證端口接入模塊（PortAccessEntity,PAE）相連。非受控端口接入單元將作為接入設(shè)備的認(rèn)證代理，負(fù)責(zé)與后端的認(rèn)證服務(wù)器進(jìn)行交互，共同完成對接入設(shè)備的認(rèn)證過程，并根據(jù)認(rèn)證的結(jié)果控制受控端口的接入控制開關(guān)，確保只有合法的設(shè)備和用戶才可以接入網(wǎng)絡(luò)的業(yè)務(wù)資源，而非法用戶或未通過認(rèn)證的用戶將從鏈路層上與網(wǎng)絡(luò)隔離，從而極大地保證了網(wǎng)絡(luò)環(huán)境的安全型和可控制性26接入終端設(shè)備網(wǎng)絡(luò)信任域的可信接入是終端設(shè)備/用戶的可信接基于端口的網(wǎng)絡(luò)接入控制的實(shí)現(xiàn)機(jī)制結(jié)構(gòu)框圖硬件證書接入終端客戶端PAE受控端口非受控端口認(rèn)證方PAE端口接入控制開關(guān)認(rèn)證控制認(rèn)證服務(wù)器網(wǎng)絡(luò)業(yè)務(wù)資源核心交換平臺認(rèn)證服務(wù)系統(tǒng)內(nèi)含身份證書的接入認(rèn)證交換機(jī)端口訪問實(shí)體：（PAE，PortAccessingEntity）

網(wǎng)絡(luò)訪問技術(shù)的核心部分是PAE（端口訪問實(shí)體）。在訪問控制流程中，端口訪問實(shí)體包含3部分：認(rèn)證者--對接入的用戶/設(shè)備進(jìn)行認(rèn)證的端口；請求者--被認(rèn)證的用戶/設(shè)備；認(rèn)證服務(wù)器--根據(jù)認(rèn)證者的信息，對請求訪問網(wǎng)絡(luò)資源的用戶/設(shè)備進(jìn)行實(shí)際認(rèn)證功能的設(shè)備?；诙丝诘木W(wǎng)絡(luò)接入控制的實(shí)現(xiàn)機(jī)制結(jié)構(gòu)框圖硬件證書接入終端客戶28網(wǎng)絡(luò)信任域小結(jié)基于先進(jìn)的PKI及PMI技術(shù)以PKI身份認(rèn)證為基礎(chǔ)，以基于網(wǎng)元的設(shè)備認(rèn)證為手段，以“可信接入、可信傳輸”為具體實(shí)現(xiàn)，以網(wǎng)絡(luò)信任域綜合管理系統(tǒng)為核心，構(gòu)建全網(wǎng)一致可信的網(wǎng)絡(luò)信任環(huán)境，為網(wǎng)絡(luò)提供“可管理、可控制”的安全網(wǎng)絡(luò)環(huán)境支撐28網(wǎng)絡(luò)信任域小結(jié)基于先進(jìn)的PKI及PMI技術(shù)以PKI身份認(rèn)296.3電子政務(wù)網(wǎng)絡(luò)信任域的構(gòu)建構(gòu)建網(wǎng)絡(luò)信任域的關(guān)鍵設(shè)備網(wǎng)絡(luò)接入認(rèn)證交換機(jī)PKI網(wǎng)關(guān)網(wǎng)絡(luò)信任域管理平臺多證書實(shí)體鑒別密碼器296.3電子政務(wù)網(wǎng)絡(luò)信任域的構(gòu)建構(gòu)建網(wǎng)絡(luò)信任域的關(guān)鍵設(shè)備30電子政務(wù)網(wǎng)絡(luò)信任域的構(gòu)建主要解決電子政務(wù)專網(wǎng)和電子政務(wù)內(nèi)網(wǎng)在終端設(shè)備的安全可信接入、設(shè)備的安全可信管理和數(shù)據(jù)信息的安全可信傳輸?shù)确矫娴膯栴}。具體而言內(nèi)網(wǎng)通過網(wǎng)絡(luò)接入認(rèn)證交換機(jī)在網(wǎng)絡(luò)層提供系統(tǒng)合法的受控接入功能，對接入系統(tǒng)的設(shè)備進(jìn)行有效的管理可控制，進(jìn)一步防止內(nèi)部的惡意破壞和攻擊專網(wǎng)通過PKI網(wǎng)關(guān)在網(wǎng)絡(luò)層提供數(shù)據(jù)加密通信環(huán)境，防止信息被非法竊取和篡改管理平臺對信任域內(nèi)的接入設(shè)備進(jìn)行管理，確保信任域內(nèi)的所有設(shè)備都是安全可信的30電子政務(wù)網(wǎng)絡(luò)信任域的構(gòu)建主要解決電子政務(wù)專網(wǎng)和電子政務(wù)內(nèi)一級網(wǎng)絡(luò)信任域管理平臺終端設(shè)備終端設(shè)備PKI網(wǎng)關(guān)接入認(rèn)證交換機(jī)政府內(nèi)網(wǎng)1…..一級網(wǎng)絡(luò)信任域管理平臺PKI網(wǎng)關(guān)接入認(rèn)證交換機(jī)政府內(nèi)網(wǎng)N…..終端設(shè)備終端設(shè)備…PKI網(wǎng)關(guān)PKI網(wǎng)關(guān)政府專網(wǎng)二級網(wǎng)絡(luò)信任域管理平臺電子政務(wù)網(wǎng)絡(luò)信任域的結(jié)構(gòu)示意圖一級網(wǎng)絡(luò)信任域管理平臺終端設(shè)備終端設(shè)備PKI網(wǎng)關(guān)接入認(rèn)證交換32安全可信的逐級分布式網(wǎng)絡(luò)信任域管理平臺分布式網(wǎng)絡(luò)信任域管理平臺采用統(tǒng)一發(fā)證、分布式逐級管理的模式來組織統(tǒng)一發(fā)證建立統(tǒng)一的電子政務(wù)設(shè)備證書認(rèn)證管理中心，負(fù)責(zé)簽發(fā)電子政務(wù)系統(tǒng)中設(shè)備的數(shù)字證書（PKC），即構(gòu)建設(shè)備信任服務(wù)系統(tǒng)分布式逐級管理網(wǎng)絡(luò)信任域按照實(shí)際的責(zé)任和管理范圍來劃分，每個政務(wù)內(nèi)網(wǎng)為一個基本信任域，每個基本信任域都有自己的網(wǎng)絡(luò)信任域管理平臺，負(fù)責(zé)本信任域的管理，而基本信任域平臺則由上一級電子政務(wù)網(wǎng)絡(luò)信任域管理平臺負(fù)責(zé)管理，從而構(gòu)成一個責(zé)任明確、管理方便、覆蓋全系統(tǒng)的安全可信的網(wǎng)絡(luò)信任域管理體系32安全可信的逐級分布式網(wǎng)絡(luò)信任域管理平臺分布式網(wǎng)絡(luò)信任域管業(yè)務(wù)管理新業(yè)務(wù)開發(fā)管理知識管理客戶管理資源管理系統(tǒng)維護(hù)管理系統(tǒng)安全管理監(jiān)控管理策略配置管理審計(jì)管理計(jì)費(fèi)管理業(yè)務(wù)管理系統(tǒng)資源管理網(wǎng)絡(luò)信任域監(jiān)控管理計(jì)費(fèi)帳務(wù)證書申請BOS監(jiān)控BOS調(diào)度BOS證書數(shù)據(jù)設(shè)備數(shù)據(jù)系統(tǒng)數(shù)據(jù)TrustManager網(wǎng)絡(luò)信任域綜合業(yè)務(wù)管理層應(yīng)用子層業(yè)務(wù)處理子層數(shù)據(jù)子層接入認(rèn)證交換機(jī)用戶接入認(rèn)證層用戶層中間件信任與授權(quán)服務(wù)層AA系統(tǒng)CA系統(tǒng)網(wǎng)絡(luò)信任域管理平臺的體系結(jié)構(gòu)示意圖業(yè)務(wù)管理新業(yè)務(wù)知識管理客戶管理資源管理系統(tǒng)維護(hù)系統(tǒng)安全管理監(jiān)34本章思考題什么是網(wǎng)絡(luò)信任域概念？構(gòu)建網(wǎng)絡(luò)信任域的核心技術(shù)有哪些？34本章思考題什么是網(wǎng)絡(luò)信任域概念？35第七章公鑰基礎(chǔ)設(shè)施（PKI）本章主要內(nèi)容公鑰基礎(chǔ)設(shè)施PKI技術(shù)信任服務(wù)體系數(shù)字證書認(rèn)證中心CA的系統(tǒng)設(shè)計(jì)密鑰管理中心KM的系統(tǒng)設(shè)計(jì)數(shù)字證書審核注冊中心RA的系統(tǒng)設(shè)計(jì)密鑰和證書管理35第七章公鑰基礎(chǔ)設(shè)施（PKI）本章主要內(nèi)容367.1公鑰基礎(chǔ)設(shè)施PKI技術(shù)PKI是以公開密鑰技術(shù)為基礎(chǔ)，以數(shù)據(jù)的機(jī)密性、完整性、不可抵賴性為安全目的而構(gòu)建的認(rèn)證、授權(quán)、加密等硬件、軟件的綜合設(shè)施PKI安全平臺能夠提供智能化的信任與有效授權(quán)服務(wù)。其中信任服務(wù)：要解決在茫茫網(wǎng)海中如何確定“你是你，我是我，他是他”的問題授權(quán)服務(wù)：要解決網(wǎng)絡(luò)中“每個實(shí)體能干什么”的問題367.1公鑰基礎(chǔ)設(shè)施PKI技術(shù)PKI是以公開密鑰技術(shù)為基37PKI技術(shù)概述美國國家標(biāo)準(zhǔn)技術(shù)局NIST認(rèn)為，在網(wǎng)絡(luò)通信和網(wǎng)絡(luò)交易中，特別是在電子政務(wù)和電子商務(wù)業(yè)務(wù)中，最需要的安全保證包括四個方面：身份標(biāo)識和認(rèn)證保密或隱私數(shù)據(jù)完整性不可否認(rèn)性PKI可以提供上面四個方面的保障可以將一個無政府的網(wǎng)絡(luò)社會改造成一個有政府的、有管理的、可以追究責(zé)任的社會，從而杜絕黑客在網(wǎng)絡(luò)上肆無忌憚的攻擊目前，許多網(wǎng)站、電子政務(wù)、安全E-mail系統(tǒng)等均采用PKI技術(shù)37PKI技術(shù)概述美國國家標(biāo)準(zhǔn)技術(shù)局NIST認(rèn)為，在網(wǎng)絡(luò)通信38PKI技術(shù)概述PKI提供的服務(wù)1.認(rèn)證傳統(tǒng)的認(rèn)證方式：兩人事前進(jìn)行協(xié)商，確定一個秘密，然后再依此秘密進(jìn)行相互認(rèn)證網(wǎng)絡(luò)上的認(rèn)證方式：事前的兩兩協(xié)商幾乎不可能，密鑰管理中心甚至可能成為網(wǎng)絡(luò)通信的瓶頸PKI通過證書進(jìn)行認(rèn)證認(rèn)證時對方知道“你就是你”，但卻無法知道“你為什么是你”通過證書提供一個可信的第三方證明，以防對方假冒38PKI技術(shù)概述PKI提供的服務(wù)39PKI技術(shù)概述PKI提供的服務(wù)2.密鑰管理通過加密證書，通信雙方可以協(xié)商一個秘密，該秘密可以作為通信加密的密鑰PKI具有良好的密鑰恢復(fù)能力，提供可信的、可管理的密鑰恢復(fù)機(jī)制，以保證網(wǎng)絡(luò)上活動的健康有序發(fā)展39PKI技術(shù)概述PKI提供的服務(wù)40PKI技術(shù)概述PKI提供的服務(wù)3.完整性與不可否認(rèn)性（是PKI提供的最基本的服務(wù)）在通過雙方協(xié)商一個秘密來解決的完整性情況下，如果一方有意抵賴時，則無法接受第三方的仲裁PKI提供的完整性是可以通過第三方仲裁的例如：張三發(fā)送一個合約給李四，李四可以要求張三進(jìn)行數(shù)字簽名，簽名后的合約不僅李四可以驗(yàn)證其完整性，其他人也可以驗(yàn)證該合約的確是張三發(fā)簽發(fā)的。而所有人，包括李四，都沒有模仿張三簽署該合約的能力不可否認(rèn)即通過這樣的PKI簽名機(jī)制來提供服務(wù)的當(dāng)法律允許時，該“不可否認(rèn)性”可以作為法律依據(jù)（依照《數(shù)字簽名法》）40PKI技術(shù)概述PKI提供的服務(wù)41PKI技術(shù)的意義1.通過PKI可以建立一個可管、可控、安全的互聯(lián)網(wǎng)絡(luò)傳統(tǒng)的互聯(lián)網(wǎng)是盡力而為（“Best-effort”）的網(wǎng)絡(luò)，口令已經(jīng)不能滿足安全需要國際電信聯(lián)盟（ITU）、國際標(biāo)準(zhǔn)化組織（ISO）、國際電工委員會（IEC）、互聯(lián)網(wǎng)任務(wù)工作組（IETF）等已經(jīng)制定了一系列有關(guān)PKI的技術(shù)標(biāo)準(zhǔn)通過認(rèn)證機(jī)制，建立證書服務(wù)系統(tǒng)通過證書綁定每個網(wǎng)絡(luò)實(shí)體的公鑰，使網(wǎng)絡(luò)的每個實(shí)體均可識別，從而解決網(wǎng)絡(luò)上“你是誰”的問題將互聯(lián)網(wǎng)在一定的安全域內(nèi)變成一個可控、可管、安全的網(wǎng)絡(luò)41PKI技術(shù)的意義1.通過PKI可以建立一個可管、可控、42PKI技術(shù)的意義2.通過PKI可以在Internet中構(gòu)建一個完整的授權(quán)服務(wù)體系PKI通過對數(shù)字證書進(jìn)行擴(kuò)展，在公鑰證書的基礎(chǔ)上，給特定的網(wǎng)絡(luò)實(shí)體簽發(fā)屬性證書，用以表征實(shí)體的角色和屬性的權(quán)利，從而解決在大規(guī)模的網(wǎng)絡(luò)應(yīng)用中“你能干什么”的授權(quán)問題注意Administrator與PKI授權(quán)的區(qū)別通過私鑰的唯一性保證有權(quán)限的人才能做某事通過公鑰的公開性去驗(yàn)證某信息出自何手42PKI技術(shù)的意義2.通過PKI可以在Internet中43PKI技術(shù)的意義3.通過PKI可以建設(shè)一個普適性好、安全性高的統(tǒng)一平臺遵循一套完整的國際技術(shù)標(biāo)準(zhǔn)，可以對物理層、網(wǎng)絡(luò)層和應(yīng)用層進(jìn)行系統(tǒng)的安全結(jié)構(gòu)設(shè)計(jì)，構(gòu)建統(tǒng)一的安全域采用基于擴(kuò)展XML標(biāo)準(zhǔn)的元素級細(xì)粒度安全機(jī)制，即可以在元素級實(shí)現(xiàn)簽名和加密等功能（這有別于“門衛(wèi)式”安全系統(tǒng)）底層的中間件屏蔽了具體的實(shí)現(xiàn)細(xì)節(jié)，以防止非法惡意攻擊采用Java技術(shù)解決了應(yīng)用系統(tǒng)代碼的跨平臺和移植問題通過采用XML技術(shù)解決業(yè)務(wù)數(shù)據(jù)的跨平臺和移植問題43PKI技術(shù)的意義3.通過PKI可以建設(shè)一個普適性好、安447.2信任服務(wù)體系概述是為網(wǎng)絡(luò)信息空間提供一個信任的基準(zhǔn)，即在虛擬實(shí)體和虛擬網(wǎng)絡(luò)空間中的用戶角色之間建立一種映射關(guān)系，以便能夠?qū)F(xiàn)實(shí)物理世界中的信任關(guān)系移植到虛擬網(wǎng)絡(luò)空間中去目前關(guān)鍵技術(shù)主要是PKI技術(shù)通過公鑰密碼體制中用戶私鑰的機(jī)密性來提供用戶身份的唯一性驗(yàn)證通過公鑰數(shù)字證書為每個合法用戶的公鑰提供一個合法性的證明，從而建立了從用戶公鑰到證書ID號之間的唯一映射關(guān)系在身份驗(yàn)證的過程中必須通過公鑰與私鑰之間的唯一映射關(guān)系（由公鑰加密體制自身提供保證）來間接建立用戶私鑰（用戶身份）和證書ID號之間的映射關(guān)系在統(tǒng)一的PKI信息安全平臺實(shí)現(xiàn)中，用戶的私鑰是存放在實(shí)體鑒別密碼器中的，因此，私鑰與用戶身份之間的映射關(guān)系又多了實(shí)體鑒別密碼器這一物理實(shí)體層的機(jī)制447.2信任服務(wù)體系概述是為網(wǎng)絡(luò)信息空間提供一個信任的45信任服務(wù)體系概述在多信任域的系統(tǒng)結(jié)構(gòu)下，同一信任域內(nèi)頒發(fā)的數(shù)字證書將遵循相同的證書策略，而不同的信任域之間可能存在策略上的差異45信任服務(wù)體系概述在多信任域的系統(tǒng)結(jié)構(gòu)下，同一信任域內(nèi)頒發(fā)46電子政務(wù)信任服務(wù)體系的需求分析業(yè)務(wù)流程的多重審核支持電子政務(wù)信任體系中的用戶角色是直接和用戶的權(quán)限相關(guān)的，因此，在用戶角色的分配過程中，一般需要進(jìn)行多重的審核程序。對應(yīng)到電子政務(wù)信任服務(wù)體系，則要求其證書申請流程應(yīng)提供對多重審核機(jī)制的支持，而且需要將審核與注冊的過程相分離。主要包括以下兩點(diǎn)：46電子政務(wù)信任服務(wù)體系的需求分析業(yè)務(wù)流程的多重審核支持47電子政務(wù)信任服務(wù)體系的需求分析業(yè)務(wù)流程的多重審核支持1。電子政務(wù)信任服務(wù)系統(tǒng)的業(yè)務(wù)流程（包括證書申請、證書更新、證書撤銷等基本的操作操作流程）都必須支持分布式的操作審核功能，允許不同的業(yè)務(wù)主管部門根據(jù)其職責(zé)分工，分別對服務(wù)請求進(jìn)行審核，待各步驟地審核全部通過之后，常規(guī)的信任服務(wù)業(yè)務(wù)流程才能繼續(xù)2。必須對多重審核過程的所有操作提供痕跡保留和驗(yàn)證支持，以便將審核管理職能同相應(yīng)的管理職責(zé)相聯(lián)系起來，提供對責(zé)任的追查能力47電子政務(wù)信任服務(wù)體系的需求分析業(yè)務(wù)流程的多重審核支持48電子政務(wù)信任服務(wù)體系的需求分析信任域的結(jié)構(gòu)問題電子政務(wù)信任服務(wù)系統(tǒng)與一般的商務(wù)信任服務(wù)系統(tǒng)不同主要體現(xiàn)在信任服務(wù)系統(tǒng)與授權(quán)服務(wù)系統(tǒng)之間的關(guān)聯(lián)性上：商務(wù)信任服務(wù)系統(tǒng)：聯(lián)系較弱、單一化，各信任服務(wù)提供商根據(jù)自己的信任服務(wù)策略提供通用的信任服務(wù)48電子政務(wù)信任服務(wù)體系的需求分析信任域的結(jié)構(gòu)問題49電子政務(wù)信任服務(wù)體系的需求分析信任域的結(jié)構(gòu)問題(續(xù))電子政務(wù)的信任服務(wù)系統(tǒng)：較復(fù)雜，與授權(quán)服務(wù)系統(tǒng)結(jié)合相對較緊密，而每個具體的信任域又和特定的管理職能和管理權(quán)限分配機(jī)制相對應(yīng)。因此整個信任服務(wù)系統(tǒng)將呈現(xiàn)與具體的管理職能劃分相對應(yīng)的多信任域結(jié)構(gòu)。自然人、法人等信任服務(wù)體系是信任服務(wù)的基準(zhǔn)，而其余的信任服務(wù)則通過與授權(quán)服務(wù)系統(tǒng)的有機(jī)結(jié)合來實(shí)現(xiàn)，這樣便徹底將信任服務(wù)與授權(quán)服務(wù)相剝離這種結(jié)構(gòu)的電子政務(wù)信任域能夠有效地降低整個電子政務(wù)信任服務(wù)體系的復(fù)雜度，并可在基準(zhǔn)信任服務(wù)級別上實(shí)現(xiàn)與商用信任服務(wù)體系的業(yè)務(wù)關(guān)聯(lián)49電子政務(wù)信任服務(wù)體系的需求分析信任域的結(jié)構(gòu)問題(續(xù))50雙證書機(jī)制電子政務(wù)信任域服務(wù)系統(tǒng)采用雙證書機(jī)制，即將用戶的簽名密鑰對與加密密鑰對相分離出于密鑰管理和國家安全的需要，強(qiáng)制要求對加密密鑰進(jìn)行托管，以便授權(quán)的政府部門在緊急情況下對加密的信息進(jìn)行恢復(fù)，而密鑰一旦被托管就增加了被竊取的可能性，因此，傳統(tǒng)的對加密和簽名使用同一密鑰對的證書機(jī)制無法提供對用戶隱私（簽名權(quán)）的保護(hù)。雙證書機(jī)制將加密密鑰對進(jìn)行托管，而對簽名密鑰則不予托管為方便使用，雙證書機(jī)制將兩個證書封裝在一起，但在邏輯上仍可解析為兩個獨(dú)立的用戶證書50雙證書機(jī)制電子政務(wù)信任域服務(wù)系統(tǒng)采用雙證書機(jī)制，即將用戶51PKI的體系結(jié)構(gòu)信任服務(wù)體系的信任鏈結(jié)構(gòu)對于整個國家的信任服務(wù)體系而言，信任服務(wù)的基準(zhǔn)體系將包括自然人證書認(rèn)證體系、機(jī)構(gòu)證書認(rèn)證體系和設(shè)備證書認(rèn)證體系，需要由國家有關(guān)部門統(tǒng)一規(guī)劃和建設(shè)，相互間需要通過國家電子政務(wù)認(rèn)證和管理中心來建立信任鏈的互聯(lián)，以滿足國家電子政務(wù)所涉及到的不同職能部門之間的縱向業(yè)務(wù)體系的信任關(guān)系和橫向行政管理體系中的信任關(guān)系。每個具體的基準(zhǔn)信任服務(wù)體系為一個樹狀信任鏈結(jié)構(gòu)：根CA：是提供本基準(zhǔn)服務(wù)體系的信任源點(diǎn)業(yè)務(wù)CA：提供本基準(zhǔn)信任服務(wù)體系的信任服務(wù)數(shù)字證書審核注冊機(jī)構(gòu)：提供本基準(zhǔn)信任服務(wù)體系內(nèi)的證書受理審核和注冊服務(wù)，是業(yè)務(wù)CA的擴(kuò)展服務(wù)機(jī)構(gòu)證書受理核發(fā)點(diǎn)：是本基準(zhǔn)信任服務(wù)體系的最終面向用戶的服務(wù)受理和證書載體的合法工作點(diǎn)51PKI的體系結(jié)構(gòu)信任服務(wù)體系的信任鏈結(jié)構(gòu)52PKI的體系結(jié)構(gòu)全網(wǎng)一致的策略管理通過國家電子政務(wù)認(rèn)證和管理中心來實(shí)現(xiàn)，由該中心負(fù)責(zé)設(shè)計(jì)整個國家的電子政務(wù)信任服務(wù)體系結(jié)構(gòu)，制定數(shù)字身份證書策略的框架，并指導(dǎo)各級業(yè)務(wù)CA的工作。對下屬各基準(zhǔn)信任服務(wù)體系的CA中心，其策略的制定將按照國家電子政務(wù)認(rèn)證和管理中心所制定的證書策略來制定本信任子系統(tǒng)內(nèi)部適用的證書策略，從而保證整個信任服務(wù)體系所采用的信任策略的一致性52PKI的體系結(jié)構(gòu)全網(wǎng)一致的策略管理53PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)依照信任服務(wù)體系的信任鏈的4級進(jìn)行組織1.國家電子政務(wù)認(rèn)證和管理中心是整個信任服務(wù)體系的源點(diǎn)，是信任服務(wù)體系的信任基準(zhǔn)點(diǎn)，也是整個信任服務(wù)體系的最終信任源和最高管理機(jī)構(gòu)職責(zé)：證書策略的管理、CA根證書的發(fā)放與管理、下級CA的設(shè)立審核及管理、信任服務(wù)體系業(yè)務(wù)的規(guī)范化管理等53PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)54PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)依照信任服務(wù)體系的信任鏈的4級進(jìn)行組織2.CA中心是信任服務(wù)體系中的核心業(yè)務(wù)點(diǎn)職責(zé)：數(shù)字證書的申請注冊、證書簽發(fā)和管理、證書撤銷列表管理、下級RA的設(shè)立審核及管理等是PKI的核心執(zhí)行機(jī)構(gòu)54PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)55PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)依照信任服務(wù)體系的信任鏈的4級進(jìn)行組織3.RA中心是信任服務(wù)體系中的核心業(yè)務(wù)節(jié)點(diǎn)的附屬服務(wù)節(jié)點(diǎn)，是與具體的電子政務(wù)應(yīng)用系統(tǒng)結(jié)構(gòu)和業(yè)務(wù)邏輯密切相關(guān)的服務(wù)節(jié)點(diǎn)職責(zé)：證書申請的受理、證書申請的初級審核、業(yè)務(wù)受理點(diǎn)的設(shè)立審核及管理等55PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)56PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)依照信任服務(wù)體系的信任鏈的4級進(jìn)行組織4.CA業(yè)務(wù)受理核發(fā)點(diǎn)是信任服務(wù)體系的用戶代理節(jié)點(diǎn)，是與最終電子政務(wù)應(yīng)用用戶的接口職責(zé)：證書請求的接收、用戶資料的初級審核與提交、用戶證書的物理介質(zhì)制作等56PKI的體系結(jié)構(gòu)信任服務(wù)子體系結(jié)構(gòu)數(shù)字證書認(rèn)證和管理中心自然人證書認(rèn)證CA中心機(jī)構(gòu)證書認(rèn)證CA中心設(shè)備證書認(rèn)證CA中心證書審核注冊RA中心證書審核注冊RA中心業(yè)務(wù)受理點(diǎn)業(yè)務(wù)受理點(diǎn)業(yè)務(wù)受理點(diǎn)業(yè)務(wù)受理點(diǎn)信任策略服務(wù)LDAP服務(wù)時間戳服務(wù)證書管理層證書服務(wù)層證書應(yīng)用層網(wǎng)絡(luò)服務(wù)體系總體結(jié)構(gòu)示意圖數(shù)字證書認(rèn)證和管理中心自然人證書認(rèn)證CA中心機(jī)構(gòu)證書認(rèn)證CA58密鑰管理技術(shù)國家電子政務(wù)應(yīng)建立一個統(tǒng)一的密鑰管理體系，針對不同的證書認(rèn)證系統(tǒng)建設(shè)不同的密鑰管理中心，如國家級根CA密鑰管理中心自然人CA密鑰管理中心設(shè)備CA密鑰管理中心機(jī)構(gòu)CA密鑰管理中心。。。密鑰管理體系要素密鑰的生成：采用密鑰池預(yù)生成技術(shù)密鑰的備份與恢復(fù)密鑰的更新密鑰歷史檔案58密鑰管理技術(shù)國家電子政務(wù)應(yīng)建立一個統(tǒng)一的密鑰管理體系，針國家級根CA密鑰管理中心自然人CA密鑰管理中心設(shè)備CA密鑰管理中心機(jī)構(gòu)CA密鑰管理中心國家級根CA自然人CA設(shè)備CA機(jī)構(gòu)CA密鑰管理體系密鑰管理中心系統(tǒng)體系結(jié)構(gòu)示意圖國家級根CA密鑰管理中心自然人CA密鑰管理中心設(shè)備CA密鑰管607.3數(shù)字證書認(rèn)證中心CA的系統(tǒng)設(shè)計(jì)數(shù)字認(rèn)證中心CA（CertificateAuthority,證書認(rèn)證機(jī)構(gòu)）是信任服務(wù)體系的核心業(yè)務(wù)節(jié)點(diǎn)和基本單元，其典型的系統(tǒng)結(jié)構(gòu)如圖所示。其組成要素Web服務(wù)模塊目錄服務(wù)模塊證書業(yè)務(wù)處理模塊證書簽發(fā)服務(wù)模塊網(wǎng)絡(luò)安全支撐系統(tǒng)。。。607.3數(shù)字證書認(rèn)證中心CA的系統(tǒng)設(shè)計(jì)數(shù)字認(rèn)證中心CAPKI網(wǎng)關(guān)PKI網(wǎng)關(guān)Web服務(wù)單元*n監(jiān)控服務(wù)單元*n可信日志服務(wù)單元簽名服務(wù)單元*n信任服務(wù)基礎(chǔ)平臺目錄服務(wù)單元*n智能查詢證書狀態(tài)服務(wù)單元*n監(jiān)控服務(wù)單元可信日志服務(wù)單元簽名服務(wù)單元*n信任服務(wù)基礎(chǔ)平臺接入平臺目錄服務(wù)系統(tǒng)入侵檢測漏洞掃描安全審計(jì)病毒防治目錄服務(wù)單元*n智能查詢證書狀態(tài)服務(wù)單元*n監(jiān)控服務(wù)單元可信日志服務(wù)單元簽名服務(wù)單元*n信任服務(wù)基礎(chǔ)平臺數(shù)字證書認(rèn)證中心證書簽發(fā)服務(wù)系統(tǒng)數(shù)據(jù)庫服務(wù)單元*n證書管理服務(wù)單元*n監(jiān)控服務(wù)單元可信日志服務(wù)單元簽名服務(wù)單元*n密碼服務(wù)單元(S型)*n證書業(yè)務(wù)管理及處理系統(tǒng)管理座席核心交換平臺PKI網(wǎng)關(guān)PKI網(wǎng)關(guān)PKI網(wǎng)關(guān)PKI網(wǎng)關(guān)時間服務(wù)器100MB100MB100MB1000MB1000MB1000MB防火墻防火墻1000MBCA業(yè)務(wù)服務(wù)單元*n策略服務(wù)單元Web服務(wù)單元*n信任服務(wù)基礎(chǔ)平臺區(qū)域數(shù)字證書審核注冊中心區(qū)域數(shù)字證書審核注冊中心國家授時中心數(shù)字證書認(rèn)證和管理中心密鑰管理中心Internet防火墻防火墻PKI網(wǎng)關(guān)PKI網(wǎng)關(guān)Web服務(wù)單元*n監(jiān)控服務(wù)單元*n可信日62CA的系統(tǒng)設(shè)計(jì)1.服務(wù)結(jié)構(gòu)設(shè)計(jì)主導(dǎo)思想：主要根據(jù)CA中心的具體業(yè)務(wù)流程和業(yè)務(wù)量水平來確定核心服務(wù)設(shè)備的服務(wù)能力等級，并相應(yīng)地確定對應(yīng)的服務(wù)能力的冗余設(shè)備和性能可擴(kuò)展方案，確保整個CA中心的服務(wù)能力具有較好的業(yè)務(wù)量適應(yīng)能力和平滑擴(kuò)展性結(jié)構(gòu)設(shè)計(jì)：將根據(jù)各CA中心的具體功能和服務(wù)對象而定，典型的結(jié)構(gòu)主要包括證書簽發(fā)服務(wù)、證書撤銷列表CRL（CertificateRevocationList）發(fā)布服務(wù)證書狀態(tài)查詢服務(wù)、證書存儲服務(wù)、控制臺及受理審核服務(wù)等62CA的系統(tǒng)設(shè)計(jì)1.服務(wù)結(jié)構(gòu)設(shè)計(jì)63CA的系統(tǒng)設(shè)計(jì)2.安全結(jié)構(gòu)設(shè)計(jì)主導(dǎo)思想CA中心的內(nèi)部網(wǎng)絡(luò)系統(tǒng)與外部的電子政務(wù)網(wǎng)絡(luò)之間需要通過跨邊界網(wǎng)絡(luò)實(shí)現(xiàn)安全互聯(lián)網(wǎng)絡(luò)邊界的基本功能有與外部電子政務(wù)網(wǎng)絡(luò)的安全連接在連接時提供信任服務(wù)核心設(shè)備的安全保護(hù)，并提供對來自外部電子政務(wù)網(wǎng)絡(luò)的常見網(wǎng)絡(luò)攻擊的防護(hù)功能在內(nèi)部網(wǎng)絡(luò)采用獨(dú)立網(wǎng)絡(luò)編址時，邊界網(wǎng)絡(luò)還需要提供與外部電子政務(wù)網(wǎng)絡(luò)系統(tǒng)地址空間的雙向轉(zhuǎn)換信任服務(wù)的安全接入對CA中心的核心服務(wù)設(shè)備提供訪問時的安全接入功能，確保服務(wù)過程及服務(wù)數(shù)據(jù)流的安全性63CA的系統(tǒng)設(shè)計(jì)2.安全結(jié)構(gòu)設(shè)計(jì)64CA的系統(tǒng)設(shè)計(jì)2.安全結(jié)構(gòu)設(shè)計(jì)(續(xù))CA中心系統(tǒng)內(nèi)部的安全機(jī)制主要包括：安全域劃分應(yīng)根據(jù)其業(yè)務(wù)流程和業(yè)務(wù)量的需要進(jìn)行安全域的劃分，并對各安全域制定相應(yīng)的安全策略，以確保核心服務(wù)設(shè)備的安全運(yùn)行環(huán)境信任服務(wù)的安全審計(jì)對CA中心內(nèi)部核心服務(wù)設(shè)備的運(yùn)行進(jìn)行全程的安全審計(jì)，并根據(jù)審計(jì)結(jié)果的反饋情況對安全域的安全策略進(jìn)行相應(yīng)的調(diào)整物理安全設(shè)計(jì)對CA中心的機(jī)房，將根據(jù)有關(guān)的國際標(biāo)準(zhǔn)和國家標(biāo)準(zhǔn)進(jìn)行建設(shè)，從而確保CA中心物理運(yùn)行環(huán)境的安全性，對信任服務(wù)提供可信度保證64CA的系統(tǒng)設(shè)計(jì)2.安全結(jié)構(gòu)設(shè)計(jì)(續(xù))65CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)1)證書簽發(fā)服務(wù)器是CA中心提供信任服務(wù)的核心服務(wù)設(shè)備，只接收CA業(yè)務(wù)管理服務(wù)器的業(yè)務(wù)請求主要功能所有自用和用戶證書的簽發(fā)代表用戶向KM（KeyManager）發(fā)出密鑰產(chǎn)生、恢復(fù)請求CA簽名根私鑰和根證書的管理，其中根私鑰保存在PKI信任服務(wù)基礎(chǔ)平臺中，為以后所簽發(fā)的用戶證書進(jìn)行數(shù)字簽名注意：CA與KM之間的通信必須用通信證書來保證其安全性（通信證書是認(rèn)證機(jī)構(gòu)與密鑰管理中心之間、上下級認(rèn)證機(jī)構(gòu)之間進(jìn)行通信時使用的設(shè)備證書）65CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)66CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)(續(xù))2)CA業(yè)務(wù)管理服務(wù)器是CA中心提供用戶管理、操作員管理、證書管理等CA業(yè)務(wù)管理范圍的核心服務(wù)設(shè)備它只接收Web服務(wù)器的業(yè)務(wù)請求，同時向證書服務(wù)器提出業(yè)務(wù)請求主要功能：用戶信息管理內(nèi)部證書管理用戶證書管理證據(jù)管理實(shí)現(xiàn)交叉認(rèn)證操作員管理日志管理66CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)(續(xù))67CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)(續(xù))3)數(shù)據(jù)庫服務(wù)器負(fù)責(zé)存儲用戶信息、用戶證書信息、操作員信息操作策略、操作日志等關(guān)鍵數(shù)據(jù)。要考慮備份需要是CA中心證書庫的數(shù)據(jù)源（源LDAP）4)Web服務(wù)器是認(rèn)證機(jī)構(gòu)與CA中心和RA中心之間進(jìn)行數(shù)據(jù)交換的唯一途徑RA中心通過Web服務(wù)器將用戶的注冊信息上報給CA中心，用戶通過Web服務(wù)器向CA中心申請使用各種證書服務(wù)（如證書申請、撤銷、密鑰恢復(fù)等）Web服務(wù)器與CA中心業(yè)務(wù)務(wù)管理服務(wù)器之間采用專用的消息格式和協(xié)議以及專用的可信通道進(jìn)行通信主要功能信息加解密、信息完整性驗(yàn)證、身份鑒別、訪問控制等安全信息服務(wù)，發(fā)布CA中心的有關(guān)信息67CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)(續(xù))68CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)(續(xù))5)LDAP（Light-weightDirectoryAccessProtocol，輕量級目錄訪問協(xié)議）服務(wù)器是認(rèn)證機(jī)構(gòu)發(fā)布其證書庫和證書撤銷列表CRL的服務(wù)器它只接收CA服務(wù)器所發(fā)布的證書和CRL數(shù)據(jù)，同時接受所有證書使用者的查詢是CA數(shù)據(jù)庫服務(wù)器中相關(guān)數(shù)據(jù)的映射6)OCSP（OnlineCertificateStatusProtocol，在線證書狀態(tài)協(xié)議）服務(wù)器是面向PKI體系提供證書發(fā)布信息的在線查詢服務(wù)器主要功能提供遵循OSCP協(xié)議的證書狀態(tài)的在線查詢提供對查詢服務(wù)處理模塊管理與任務(wù)調(diào)度功能68CA的系統(tǒng)設(shè)計(jì)3.服務(wù)器設(shè)計(jì)(續(xù))697.4密鑰管理中心KM的系統(tǒng)設(shè)計(jì)密鑰管理中心(KM,KeyManager)的系統(tǒng)結(jié)構(gòu)KM的作用負(fù)責(zé)提供密鑰的產(chǎn)生、登記、認(rèn)證、注銷、分發(fā)、歸檔、撤銷、銷毀等服務(wù)KM的構(gòu)成要素密鑰生成服務(wù)器密鑰數(shù)據(jù)庫服務(wù)器密鑰管理服務(wù)器。。。697.4密鑰管理中心KM的系統(tǒng)設(shè)計(jì)密鑰管理中心(KM,PKI網(wǎng)關(guān)PKI網(wǎng)關(guān)防火墻入侵檢測漏洞掃描安全審計(jì)病毒防治Web服務(wù)單元*n信任服務(wù)基礎(chǔ)平臺Web對外服務(wù)系統(tǒng)數(shù)據(jù)庫服務(wù)單元*n證書管理服務(wù)單元*n監(jiān)控服務(wù)單元可信日志服務(wù)單元簽名服務(wù)單元*n密碼服務(wù)單元(S型)*n信任服務(wù)基礎(chǔ)平臺密鑰管理系統(tǒng)數(shù)據(jù)庫服務(wù)單元*n證書管理服務(wù)單元*n監(jiān)控服務(wù)單元可信日志服務(wù)單元簽名服務(wù)單元*n密碼服務(wù)單元(S型)*nCA業(yè)務(wù)服務(wù)單元*n策略服務(wù)單元信任服務(wù)基礎(chǔ)平臺密鑰管理系統(tǒng)核心交換平臺CA中心密鑰管理中心KM密鑰管理中心系統(tǒng)體系結(jié)構(gòu)示意圖PKI網(wǎng)關(guān)PKI網(wǎng)關(guān)防火墻入侵檢測漏洞掃描安全審計(jì)病毒防治W71KM的構(gòu)成要素1.密鑰生成服務(wù)器生成密鑰對，供CA中心認(rèn)證系統(tǒng)使用構(gòu)成要素隨機(jī)數(shù)發(fā)生器、密碼設(shè)備等密鑰生成后，存放在密鑰池內(nèi)71KM的構(gòu)成要素1.密鑰生成服務(wù)器72KM的構(gòu)成要素2.密鑰數(shù)據(jù)庫服務(wù)器由一個服務(wù)器群組成，主要有三個庫后備庫即密鑰池：將預(yù)先由密鑰生成服務(wù)器生成的密鑰對保存在密鑰池內(nèi)，多個密鑰池組成密鑰后備庫當(dāng)前庫記錄正在使用的數(shù)據(jù)，包括已經(jīng)分配的密鑰池和密鑰對數(shù)據(jù)、用戶的應(yīng)急恢復(fù)密鑰等所有托管密鑰均必須以分割和加密的方式保存在密鑰數(shù)據(jù)庫服務(wù)器中歷史庫保存用戶過期和注銷的加密密鑰，便于對加密保存的信息進(jìn)行解密72KM的構(gòu)成要素2.密鑰數(shù)據(jù)庫服務(wù)器73KM的構(gòu)成要素3.密鑰管理服務(wù)器是密鑰管理機(jī)構(gòu)的核心服務(wù)器負(fù)責(zé)運(yùn)行管理程序、接受相應(yīng)的操作請求、進(jìn)行處理后結(jié)果的輸出它只接收與密鑰管理機(jī)構(gòu)相關(guān)聯(lián)的認(rèn)證機(jī)構(gòu)的數(shù)字證書服務(wù)器的密鑰請求73KM的構(gòu)成要素3.密鑰管理服務(wù)器74KM服務(wù)結(jié)構(gòu)設(shè)計(jì)主要根據(jù)各種密鑰管理模塊的具體業(yè)務(wù)流程和業(yè)務(wù)量水平來確定核心服務(wù)設(shè)備的服務(wù)能力等級，并相應(yīng)地確定對應(yīng)的服務(wù)能力的冗余設(shè)備和性能可擴(kuò)展方案，確保整個KM的服務(wù)能力具有較好的業(yè)務(wù)量適應(yīng)能力和平滑擴(kuò)展性其服務(wù)機(jī)構(gòu)將根據(jù)具體的功能和服務(wù)對象而定，典型的服務(wù)結(jié)構(gòu)主要包括 密鑰生成、密鑰存儲、密鑰恢復(fù)、密鑰歷史記錄管理、控制臺及受理審核功能等74KM服務(wù)結(jié)構(gòu)設(shè)計(jì)主要根據(jù)各種密鑰管理模塊的具體業(yè)務(wù)流程和75KM安全結(jié)構(gòu)設(shè)計(jì)主導(dǎo)思想KM內(nèi)部網(wǎng)絡(luò)系統(tǒng)與外部的電子政務(wù)網(wǎng)絡(luò)之間需要通過邊界網(wǎng)絡(luò)實(shí)現(xiàn)安全互聯(lián)網(wǎng)絡(luò)邊界的基本功能有與外部電子政務(wù)網(wǎng)絡(luò)的安全連接在連接時為密鑰核心服務(wù)設(shè)備提供安全的訪問接入功能，確保服務(wù)過程及服務(wù)數(shù)據(jù)流的安全在內(nèi)部網(wǎng)絡(luò)采用獨(dú)立網(wǎng)絡(luò)編址時，邊界網(wǎng)絡(luò)還需要提供與外部電子政務(wù)網(wǎng)絡(luò)系統(tǒng)地址空間的雙向轉(zhuǎn)換密鑰服務(wù)管理的安全接入對KM中心的核心服務(wù)設(shè)備提供訪問時的安全接入功能，確保服務(wù)過程及服務(wù)數(shù)據(jù)流的安全性75KM安全結(jié)構(gòu)設(shè)計(jì)主導(dǎo)思想76KM安全結(jié)構(gòu)設(shè)計(jì)KM心系統(tǒng)內(nèi)部的安全機(jī)制主要包括：安全域劃分應(yīng)根據(jù)其業(yè)務(wù)流程和業(yè)務(wù)量的需要進(jìn)行安全域的劃分，并對各安全域制定相應(yīng)的安全策略，以確保核心服務(wù)設(shè)備的安全運(yùn)行環(huán)境密鑰服務(wù)管理的安全審計(jì)對KM中心內(nèi)部核心服務(wù)設(shè)備的運(yùn)行進(jìn)行全程的安全審計(jì)，并根據(jù)審計(jì)結(jié)果的反饋情況對安全域的安全策略進(jìn)行相應(yīng)的調(diào)整物理安全設(shè)計(jì)對KM中心的機(jī)房，將根據(jù)有關(guān)的國際標(biāo)準(zhǔn)和國家標(biāo)準(zhǔn)進(jìn)行建設(shè)，從而確保KM中心物理運(yùn)行環(huán)境的安全性，對密鑰服務(wù)提供安全保證76KM安全結(jié)構(gòu)設(shè)計(jì)KM心系統(tǒng)內(nèi)部的安全機(jī)制主要包括：777.5數(shù)字證書審核注冊中心RA系統(tǒng)設(shè)計(jì)RA(注冊審核中心，RegistrationAuthority)RA是信任服務(wù)體系的重要節(jié)點(diǎn)是國家電子政務(wù)信任服務(wù)體系的用戶注冊審核機(jī)構(gòu)，由CA中心授權(quán)運(yùn)作RA是證書認(rèn)證系統(tǒng)的用戶注冊審核機(jī)構(gòu)管理用戶資料，接受用戶受理，提供相關(guān)的用戶服務(wù)RA的基本組成如圖所示，RA中心由RA業(yè)務(wù)管理服務(wù)器、LDAP服務(wù)器、OCSP服務(wù)器、Web服務(wù)器和數(shù)據(jù)庫服務(wù)器等功能模塊組成RA的設(shè)計(jì)方法與CA中心類似777.5數(shù)字證書審核注冊中心RA系統(tǒng)設(shè)計(jì)RA(注冊審Web服務(wù)單元*n監(jiān)控服務(wù)服務(wù)單元目錄服務(wù)單元*n證書狀態(tài)智能查詢服務(wù)單元*n可信日志服務(wù)單元簽名服務(wù)單元*n信任服務(wù)基礎(chǔ)平臺Web對內(nèi)服務(wù)服務(wù)單元*n業(yè)務(wù)處理服務(wù)單元*n數(shù)據(jù)庫服務(wù)單元*n監(jiān)控服務(wù)單元可信日志服務(wù)單元簽名服務(wù)單元*n信任服務(wù)基礎(chǔ)平臺業(yè)務(wù)處理系統(tǒng)數(shù)字證書審核注冊中心RA核心交換平臺入侵檢測漏洞掃描安全審計(jì)病毒防治操作座席互聯(lián)網(wǎng)自然人數(shù)字證書認(rèn)證中心機(jī)構(gòu)數(shù)字證書認(rèn)證中心設(shè)備數(shù)字證書認(rèn)證中心數(shù)字證書核發(fā)受理點(diǎn)……..PKI網(wǎng)關(guān)接入平臺數(shù)字證書審核注冊中心RA的系統(tǒng)結(jié)構(gòu)示意圖RAWeb服務(wù)單元*n監(jiān)控服務(wù)服務(wù)單元目錄服務(wù)單元*n證書狀態(tài)智79RA的設(shè)計(jì)方法1.RA業(yè)務(wù)管理服務(wù)器是審核注冊機(jī)構(gòu)提供服務(wù)、操作員管理等RA業(yè)務(wù)管理范圍的核心服務(wù)請求它只接收安全Web服務(wù)器的業(yè)務(wù)請求主要功能用戶信息管理內(nèi)部證書管理用戶證書管理證據(jù)管理操作員管理日志管理79RA的設(shè)計(jì)方法1.RA業(yè)務(wù)管理服務(wù)器80RA的設(shè)計(jì)方法2.RA數(shù)據(jù)庫服務(wù)器是提供用戶信息、用戶證書信息、操作員信息、操作策略和操作日志等關(guān)鍵數(shù)據(jù)的服務(wù)器要考慮備份需要3.Web服務(wù)器是注冊機(jī)構(gòu)與認(rèn)證機(jī)構(gòu)之間進(jìn)行數(shù)據(jù)交換的唯一途徑注冊機(jī)構(gòu)通過Web服務(wù)器將用戶的注冊信息上報給認(rèn)證機(jī)構(gòu)，用戶通過Web服務(wù)器相認(rèn)證機(jī)構(gòu)申請使用各種證書服務(wù)Web服務(wù)器與RA業(yè)務(wù)服務(wù)器之間采用專用的消息格式和協(xié)議以及專用的可信的通道進(jìn)行通信，以保證RA服務(wù)器的安全Web服務(wù)器具有信息加解密、信息完整性驗(yàn)證、身份鑒別和訪問控制等功能，此外，還為用戶提供一些信息安全服務(wù)及公布一些服務(wù)信息80RA的設(shè)計(jì)方法2.RA數(shù)據(jù)庫服務(wù)器81RA的設(shè)計(jì)方法4.LDAP服務(wù)器是認(rèn)證機(jī)構(gòu)發(fā)布其證書庫和證書撤銷列表CRL的服務(wù)器LDAP目錄服務(wù)器同步CA中心LDAP目錄服務(wù)器中所發(fā)布的證書和CRL數(shù)據(jù)，同時接受證書使用者的查詢LDAP服務(wù)器上的所有證書和CRL數(shù)據(jù)只是CA中心LDAP目錄服務(wù)器中相關(guān)數(shù)據(jù)的映射，以保證數(shù)據(jù)恢復(fù)能力5.OSCP服務(wù)器與LDAP目錄服務(wù)器相配合，同步CA中心LDAP目錄服務(wù)器中所發(fā)布的證書和CRL數(shù)據(jù)，提供證書狀態(tài)在線查詢及證書狀態(tài)只能查詢服務(wù)的管理功能81RA的設(shè)計(jì)方法4.LDAP服務(wù)器827.6密鑰和證書管理密鑰的生成和托管在國家信息安全基礎(chǔ)設(shè)施NISI中，公鑰基礎(chǔ)設(shè)施PKI采用雙證書體系，公鑰算法支持RSA和ECC（EllipticCurvesCryptography，橢圓曲線密碼編碼學(xué)）兩種算法，對稱密碼算法支持國密辦指定的加密算法密鑰對分為加密密鑰對和簽名密鑰對加密密鑰對在密鑰管理中心KM生成和托管，并由KM經(jīng)CA中心發(fā)給用戶，并自動導(dǎo)入PKI實(shí)體鑒別密碼器中簽名密鑰對在用戶端的PKI實(shí)體鑒別密碼器中生成，密鑰不離開PKI實(shí)體鑒別密碼器827.6密鑰和證書管理密鑰的生成和托管產(chǎn)生簽名密鑰對驗(yàn)證申請人身份退出驗(yàn)證通過產(chǎn)生加密密鑰對密鑰歸檔、托管密鑰信息加密簽名簽發(fā)證書解密私鑰和證書寫入實(shí)體鑒別密碼器申請成功YN12345雙證書的密鑰生成及托管的具體流程示意圖返回錯誤信息證書請求密鑰請求KMCA用戶端產(chǎn)生簽名密鑰對驗(yàn)證申請人身份退出驗(yàn)證通過產(chǎn)生加密密鑰對密鑰歸84密鑰的生成和托管流程步驟1.用戶終端在PKI實(shí)體鑒別密碼器中生成簽名密鑰對，并向CA中心發(fā)出證書請求，該請求含有驗(yàn)證簽名的公鑰，并且使用CA中心的公鑰進(jìn)行加密2.CA中心通過實(shí)體鑒別密碼器的ID驗(yàn)證用戶的身份，如果用戶的身份合法，則CA中心西那個KM中心發(fā)出用戶加密密鑰對請求，該請求由CA只能關(guān)心簽名，其中含有用戶驗(yàn)證簽名的公鑰3.KM中心接收到CA中心發(fā)來的用戶加密密鑰對生成后，根據(jù)請求中的簽名信息驗(yàn)證CA中心身份。如果CA中心的身份驗(yàn)證通過，則KM中心在密鑰生成服務(wù)器為用戶生成加密密鑰對，或從備份密鑰庫中為用戶取出一個新的加密密鑰對。然后用用戶的驗(yàn)證簽名的公鑰對加密密鑰對進(jìn)行加密，并用KM中心資深的私鑰簽名，再把經(jīng)加密簽名的信息傳給CA中心4.CA中心驗(yàn)證該信息的有效性后再傳給用戶5.用戶端收到CA中心傳來的信息并驗(yàn)證解密后，把解密私鑰寫入PKI實(shí)體鑒別密碼器中84密鑰的生成和托管流程步驟1.用戶終端在PKI實(shí)體鑒別密碼CA中心KM中心（1）密鑰恢復(fù)請求，NROT（2）密鑰信息（3）NRDT密鑰的恢復(fù)過程示意圖步驟1.用戶向CA中心提出密鑰恢復(fù)申請，后者接收到該申請后，將此申請轉(zhuǎn)發(fā)給KM2.KM根據(jù)接收到的該請求，從其所存入的密鑰庫中恢復(fù)其所需要的應(yīng)急恢復(fù)密鑰記錄，并用用戶實(shí)體的簽名公鑰加密后返回CA中心，由CA中心再將其返還用戶實(shí)體3.CA中心收到KM的響應(yīng)后返回給KM一個確認(rèn)CAKM（1）密鑰恢復(fù)請求，NROT（2）密鑰信息（3）NR用戶密鑰管理中心KM（2）（1）（3）密鑰查詢的具體過程示意圖步驟1.用戶向KM發(fā)出密鑰查詢索取請求，包括：有效的證件和證明，所要查詢用戶密鑰對應(yīng)的序列號以及證書屬主的有關(guān)信息）2.KM驗(yàn)證用戶身份，然后由兩名以上的操作員功能共同進(jìn)行密鑰查詢和導(dǎo)出操作3.KM安全地向用戶返回查詢結(jié)果用戶密鑰管理（1）（3）密鑰查詢的具體過程示意圖步驟87密鑰的銷毀指不再需要的密鑰安全地銷毀刪除該密鑰管理信息客體的所有記錄銷毀所有已經(jīng)備份的文檔銷毀之后將不再有任何信息可以用來恢復(fù)87密鑰的銷毀指不再需要的密鑰安全地銷毀88證書服務(wù)PKI數(shù)字證書采用標(biāo)準(zhǔn)的X.509V4格式，證書服務(wù)主要包括證書申請證書簽發(fā)證書更新。。。88證書服務(wù)PKI數(shù)字證書采用標(biāo)準(zhǔn)的X.509V4格式，證證書/CRL存儲/發(fā)布管理系統(tǒng)證書簽發(fā)系統(tǒng)證書管理系統(tǒng)本地注冊系統(tǒng)遠(yuǎn)程注冊系統(tǒng)密鑰管理系統(tǒng)安全管理系統(tǒng)發(fā)布/查詢系統(tǒng)終端實(shí)體終端實(shí)體網(wǎng)絡(luò)證書服務(wù)系統(tǒng)的邏輯結(jié)構(gòu)圖證書/CRL存儲/發(fā)布管理系統(tǒng)證書簽發(fā)系統(tǒng)證書管理系統(tǒng)本地注90證書的申請和簽發(fā)實(shí)體鑒別密碼器生成簽名密鑰對本地保存簽名私鑰對CA中心對用戶信息及簽名和加密公鑰簽名，生成證書KM中心取出加密密鑰對加密私鑰用簽名公鑰加密托管加密私鑰LDAP實(shí)體鑒別密碼器下載證書和經(jīng)過簽名公鑰加密的加密私鑰將用戶信息及簽名公鑰提交CA中心將用戶信息及簽名公鑰提交KM中心經(jīng)加密的加密私鑰和加密公鑰下發(fā)給CA發(fā)布證書12345690證書的申請和簽發(fā)實(shí)體鑒別密碼器CA中心KM中心LDAP實(shí)91證書的申請與簽發(fā)流程步驟1.用戶申請雙證書時，首先在PKI實(shí)體鑒別密碼器中生成簽名密鑰對，在本地保存簽名私鑰，將簽名公鑰及用戶信息提交CA中心2.CA中心收到用戶的證書申請后，向KM中心發(fā)出密鑰請求，并將用戶的簽名公鑰一同交給KM中心3.KM中心從備份庫中取出一對加密密鑰對，并將加密私鑰用用戶的簽名公鑰進(jìn)行加密后某一同交給CA中心4.CA中心對用戶信息及簽名和加密公鑰一起簽名后，即得到所需要的證書注意：用戶可通過不同途徑從CA中心獲得證書和經(jīng)簽名公鑰加密過的加密私鑰91證書的申請與簽發(fā)流程步驟1.用戶申請雙證書時，首先在PK92證書的發(fā)布數(shù)字證書一經(jīng)產(chǎn)生，其證書直接由CA中心發(fā)布在LDAP目錄服務(wù)器上，便于用戶和訪問同時可以通過OCSP服務(wù)，保證用戶能夠?qū)崟r在線查詢證書的狀態(tài)92證書的發(fā)布數(shù)字證書一經(jīng)產(chǎn)生，其證書直接由CA中心發(fā)布在L93證書的更新證書的生命周期由CA中心定義一個有效期，并小于CA中心根證書的有效期證書持有者的證書過期時，可通過RA或以在線方式更新期證書通過RA申請的證書仍通過RA中心更新，通過在線方式申請的證書可通過在線方式更新CA中心進(jìn)行必要的審核后向證書的持有者發(fā)放新的證書證書的更換流程與證書的申請流程基本一致93證書的更新證書的生命周期由CA中心定義一個有效期，并小于94證書的撤銷CA中心可以在證書到期之前撤銷證書。其原因可以是實(shí)體私有密鑰的損壞或泄露實(shí)體請求撤銷實(shí)體隸屬關(guān)系的改變實(shí)體終止CA中心根私密鑰的損壞CA中心的終止等CA中心通過其所要提供的證書撤銷列表CRL來安全地實(shí)現(xiàn)撤銷證書CRL中包括一個帶有時間標(biāo)記的順序表或數(shù)字證書標(biāo)示符表，以表示由CA中心撤銷的數(shù)字證書兩種時間標(biāo)記CA中心頒布撤銷的日期和時間已知或懷疑泄露的日期和時間CRL應(yīng)該由CA中心注明日期和簽名，從而保證實(shí)體能夠確認(rèn)該表的完整性，并確定分發(fā)日期，并且由CA中心定期發(fā)布94證書的撤銷CA中心可以在證書到期之前撤銷證書。其原因可以95本章思考題建立信任服務(wù)體系的關(guān)鍵技術(shù)是什么？什么是雙證書機(jī)制？95本章思考題建立信任服務(wù)體系的關(guān)鍵技術(shù)是什么？96第八章授權(quán)管理基礎(chǔ)設(shè)施本章主要內(nèi)容授權(quán)管理基礎(chǔ)設(shè)施PMI技術(shù)授權(quán)管理服務(wù)系統(tǒng)授權(quán)管理中心AA的系統(tǒng)設(shè)計(jì)通用業(yè)務(wù)流程96第八章授權(quán)管理基礎(chǔ)設(shè)施本章主要內(nèi)容97PMI概述授權(quán)管理基礎(chǔ)設(shè)施PMI是國家信息安全基礎(chǔ)設(shè)施的一個重要組成部分，其目標(biāo)是向用戶和應(yīng)用程序提供授權(quán)管理服務(wù)提供用戶身份到應(yīng)用授權(quán)的映射功能提供與實(shí)際應(yīng)用處理模式相應(yīng)的、與具體應(yīng)用系統(tǒng)開發(fā)和管理無關(guān)的授權(quán)和訪問控制機(jī)制，簡化具體應(yīng)用系統(tǒng)的開發(fā)與維護(hù)97PMI概述授權(quán)管理基礎(chǔ)設(shè)施PMI是國家信息安全基礎(chǔ)設(shè)施的988.1授權(quán)管理基礎(chǔ)設(shè)施PMI技術(shù)以資源管理為中心，將對資源的訪問控制權(quán)統(tǒng)一交給授權(quán)機(jī)構(gòu)進(jìn)行管理與PKI的區(qū)別PKI證明用戶是誰，并由各類應(yīng)用共同信任的有關(guān)機(jī)構(gòu)提供統(tǒng)一的管理PMI證明這個用戶有何權(quán)限，能干什么，并且各類應(yīng)用各自提供相對獨(dú)立的授權(quán)管理，相互之間的權(quán)限資源獨(dú)立PMI需要PKI為其提供身份認(rèn)證服務(wù)988.1授權(quán)管理基礎(chǔ)設(shè)施PMI技術(shù)以資源管理為中心，將99電子政務(wù)授權(quán)服務(wù)的需求分析多授權(quán)模型的支持授權(quán)模型是對一般授權(quán)管理機(jī)制的抽象授權(quán)模型與具體的電子政務(wù)應(yīng)用相關(guān)，不同的業(yè)務(wù)處理流程的差異性決定了授權(quán)模型的多樣化在授權(quán)時，首先要在確定所采用的授權(quán)模型之間達(dá)成一致99電子政務(wù)授權(quán)服務(wù)的需求分析多授權(quán)模型的支持100電子政務(wù)授權(quán)服務(wù)的需求分析多級安全控制機(jī)制的支持電子政務(wù)的數(shù)據(jù)資源是通過多級安全控制模型加以控制的對不同的安全需求，要求采用不同級別的安全機(jī)制，不同安全機(jī)制又需要采用相應(yīng)的安全模型在不同安全級別的業(yè)務(wù)或數(shù)據(jù)交換中，需要進(jìn)行安全機(jī)制的協(xié)商以及必要的安全參數(shù)轉(zhuǎn)換100電子政務(wù)授權(quán)服務(wù)的需求分析多級安全控制機(jī)制的支持101基于PMI技術(shù)的授權(quán)管理新模式授權(quán)服務(wù)體系要與信任服務(wù)體系協(xié)同工作，才能完成從特定用戶的現(xiàn)實(shí)空間身份到特定應(yīng)用系統(tǒng)中的具體操作授權(quán)之間的轉(zhuǎn)換作為授權(quán)服務(wù)體系的關(guān)鍵技術(shù)，PMI通過數(shù)字證書機(jī)制來管理用戶的授權(quán)信息，并將授權(quán)管理功能從傳統(tǒng)的應(yīng)用系統(tǒng)中分離出來，以獨(dú)立服務(wù)的方式向應(yīng)用系統(tǒng)提供授權(quán)管理服務(wù)基于PMI的授權(quán)管理模式的優(yōu)點(diǎn)授權(quán)管理的靈活性授權(quán)操作與業(yè)務(wù)操作相分離多授權(quán)模型的靈活支持101基于PMI技術(shù)的授權(quán)管理新模式授權(quán)服務(wù)體系要與信任服務(wù)102有關(guān)屬性證書方面的幾點(diǎn)說明在授權(quán)服務(wù)體系中，利用屬性證書作為存放用戶授權(quán)信息的載體，并以公開的方式對外發(fā)布因?yàn)閷傩宰C書不提供用戶身份的鑒別功能，因此屬性證書中不包含用戶的公鑰信息，但考慮到PKI和PMI兩個體系之間的密切聯(lián)系，屬性證書中應(yīng)包含與之相關(guān)聯(lián)的用戶公鑰證書的ID號，以便將特定的用戶角色綁定到對應(yīng)的用戶上屬性證書可以采用X.509證書格式屬性證書不采用雙證機(jī)制102有關(guān)屬性證書方面的幾點(diǎn)說明在授權(quán)服務(wù)體系中，利用屬性證103電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)信任源點(diǎn)SOA資源管理中心RM資源管理中心RM授權(quán)服務(wù)中心AA授權(quán)服務(wù)中心AA授權(quán)服務(wù)中心AA業(yè)務(wù)受理點(diǎn)業(yè)務(wù)受理點(diǎn)業(yè)務(wù)受理點(diǎn)安全策略服務(wù)LDAP服務(wù)操作授權(quán)服務(wù)證書應(yīng)用層證書服務(wù)層證書管理層授權(quán)范圍體系的總體架構(gòu)示意圖103電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)信任源點(diǎn)SOA資源管理中心R104電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)1.信任源點(diǎn)SOA是整個授權(quán)管理體系的中心業(yè)務(wù)節(jié)點(diǎn)，也是整個PMI的最終信任源和最高管理機(jī)構(gòu)主要職責(zé)授權(quán)管理策略的管理應(yīng)用授權(quán)管理AA（AttributeAuthority，屬性權(quán)威機(jī)構(gòu)）中心的設(shè)立審核及管理授權(quán)體系業(yè)務(wù)的規(guī)范化104電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)1.信任源點(diǎn)SOA105電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)2.屬性服務(wù)中心AA（AttributeAuthority）是PMI的核心服務(wù)節(jié)點(diǎn)，是對于具體應(yīng)用系統(tǒng)的授權(quán)管理分系統(tǒng)，由具有設(shè)立AA中心業(yè)務(wù)需求的各應(yīng)用單位負(fù)責(zé)建設(shè)，并與SOA中心通過業(yè)務(wù)協(xié)議達(dá)成相互的信任關(guān)系主要職責(zé)應(yīng)用授權(quán)受理屬性證書的發(fā)放和管理AA代理點(diǎn)的設(shè)立審核和管理105電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)2.屬性服務(wù)中心AA（At106電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)3.授權(quán)服務(wù)代理點(diǎn)是PMI的用戶代理節(jié)點(diǎn)，即資源管理中心，是與具體應(yīng)用用戶的接口，是對應(yīng)AA中心的附屬機(jī)構(gòu)，接受AA中心的直接管理，由各AA中心負(fù)責(zé)建設(shè)，經(jīng)報主管的SOA中心同意并簽發(fā)相應(yīng)的證書主要職責(zé)應(yīng)用授權(quán)服務(wù)代理應(yīng)用授權(quán)審核代理負(fù)責(zé)對具體的用戶應(yīng)用資源進(jìn)行授權(quán)審核，并將屬性證書的操作全球提交到授權(quán)服務(wù)中心進(jìn)行處理106電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)3.授權(quán)服務(wù)代理點(diǎn)107電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)4.訪問控制執(zhí)行者指用戶應(yīng)用系統(tǒng)中具體對授權(quán)驗(yàn)證服務(wù)的調(diào)用模塊主要職責(zé)將最終用戶針對特定的操作所提交的授權(quán)信息（屬性證書）連同對應(yīng)的身份驗(yàn)證信息（公鑰證書）一起提交到授權(quán)服務(wù)代理點(diǎn)，并根據(jù)授權(quán)服務(wù)中心返回的授權(quán)結(jié)果，進(jìn)行具體的應(yīng)用授權(quán)處理107電子政務(wù)授權(quán)服務(wù)系統(tǒng)的架構(gòu)4.訪問控制執(zhí)行者1088.2授權(quán)管理服務(wù)系統(tǒng)為應(yīng)用提供資源的授權(quán)管理及訪問控制服務(wù)。根據(jù)資源的具體特點(diǎn)和應(yīng)用的實(shí)際需求，提供兩種工作模式集中式授權(quán)管理服務(wù)系統(tǒng)分布式授權(quán)管理服務(wù)系統(tǒng)1088.2授權(quán)管理服務(wù)系統(tǒng)為應(yīng)用提供資源的授權(quán)管理及訪問1098.2授權(quán)管理服務(wù)系統(tǒng)1.集中式授權(quán)管理服務(wù)系統(tǒng)通過在數(shù)字證書的擴(kuò)展項(xiàng)增加用戶的屬性或權(quán)限信息，在服務(wù)器端構(gòu)建授權(quán)管理服務(wù)系統(tǒng)來提供授權(quán)管理資源管理模塊授權(quán)管理模塊策略引擎密碼服務(wù)系統(tǒng)授權(quán)信息目錄服務(wù)器日志集中式授權(quán)管理服務(wù)體系結(jié)構(gòu)圖1098.2授權(quán)管理服務(wù)系統(tǒng)1.集中式授權(quán)管理服務(wù)系統(tǒng)資110授權(quán)管理服務(wù)系統(tǒng)1.集中式授權(quán)管理服務(wù)系統(tǒng)集中式授權(quán)管理服務(wù)系統(tǒng)主要功能模塊授權(quán)管理模塊完成對資源訪問的授權(quán)、授權(quán)的撤銷授權(quán)的委托等授權(quán)信息目錄服務(wù)器負(fù)責(zé)發(fā)布授權(quán)信息資源管理模塊負(fù)責(zé)接收用戶請求，驗(yàn)證用戶的數(shù)字證書，向策略引擎發(fā)出訪問控制判斷請求，將訪問控制列表提交給策略引擎策略引擎根據(jù)資源管理模塊的請求，訪問授權(quán)信息目錄服務(wù)器，取得用戶的授權(quán)。根據(jù)資源的訪問控制列表和用戶的授權(quán)，做出訪問控制判斷密碼服務(wù)系統(tǒng)負(fù)責(zé)提供最基礎(chǔ)的安全服務(wù)，主要包括加解密、簽名及驗(yàn)簽、數(shù)字信封服務(wù)等110授權(quán)管理服務(wù)系統(tǒng)1.集中式授權(quán)管理服務(wù)系統(tǒng)111授權(quán)管理服務(wù)系統(tǒng)2.分布式授權(quán)管理服務(wù)系統(tǒng)通過在客戶端根據(jù)用戶的具體情況進(jìn)行個性化定制，靈活地設(shè)置有效授權(quán)信息，由資源所有者自己分配資源的訪問權(quán)，并加以數(shù)字簽名，具有不可抵賴性電子政務(wù)客戶端授權(quán)模塊應(yīng)用資源服務(wù)器授權(quán)管理服務(wù)器密碼服務(wù)系統(tǒng)分布式授權(quán)管理服務(wù)體系結(jié)構(gòu)圖111授權(quán)管理服務(wù)系統(tǒng)2.分布式授權(quán)管理服務(wù)系統(tǒng)電子政務(wù)客112授權(quán)管理服務(wù)系統(tǒng)2.分布式授權(quán)管理服務(wù)系統(tǒng)分布式授權(quán)管理服務(wù)系統(tǒng)主要功能模塊電子政務(wù)客戶端通過授權(quán)模塊，完成用戶對資源的個性化授權(quán)并簽名應(yīng)用資源服務(wù)器 接受訪問請求，并向授權(quán)管理服務(wù)器發(fā)出訪問授權(quán)請求授權(quán)管理服務(wù)器存儲資源的授權(quán)信息，接受應(yīng)用資源服務(wù)器的請求，根據(jù)資源的訪問授權(quán)，計(jì)算出訪問權(quán)限值，返回給應(yīng)用資源服務(wù)器，同時提供相應(yīng)的資源管理功能密碼服務(wù)系統(tǒng)提供最基礎(chǔ)的安全服務(wù)，包括加解密、簽名、驗(yàn)簽和數(shù)字信封等服務(wù)112授權(quán)管理服務(wù)系統(tǒng)2.分布式授權(quán)管理服務(wù)系統(tǒng)113功能需求集中式授權(quán)管理系統(tǒng)用戶管理審核管理資源管理角色管理操作員管理日志管理分布式授權(quán)管理系統(tǒng)資源訪問授權(quán)授權(quán)更改授權(quán)刪除操作員管理日志管理113功能需求集中式授權(quán)管理系統(tǒng)分布式授權(quán)管理系統(tǒng)114其他需求性能要求滿足實(shí)際的授權(quán)服務(wù)，可根據(jù)業(yè)務(wù)量的發(fā)展動態(tài)地、平滑地擴(kuò)展接口要求授權(quán)管理中心于資源管理中心采用基于XML通信協(xié)議同步制定的角色信息遵循標(biāo)準(zhǔn)X.509V4：公鑰和屬性證書框架PKCS#6：擴(kuò)展的數(shù)字證書語法標(biāo)準(zhǔn)114其他需求性能要求1158.3授權(quán)管理中心AA的系統(tǒng)設(shè)計(jì)AA的能力設(shè)計(jì)主要是根據(jù)業(yè)務(wù)處理流程和業(yè)務(wù)量水平來確定核心服務(wù)設(shè)備的服務(wù)能力等級，并相應(yīng)地確定對應(yīng)的服務(wù)能力冗余備份和性能可擴(kuò)展性方案，以確保整個授權(quán)管理中心的服務(wù)能力具有延續(xù)性和良好的業(yè)務(wù)量適應(yīng)能力典型的服務(wù)結(jié)構(gòu)包括授權(quán)管理核心服務(wù)屬性證書撤銷列表ACRL發(fā)布證書存儲控制臺受理審核功能。。。1158.3授權(quán)管理中心AA的系統(tǒng)設(shè)計(jì)AA的能力設(shè)計(jì)主要LDAP服務(wù)單元LDAP服務(wù)單元日志服務(wù)單元信息安全服務(wù)引擎系統(tǒng)狀態(tài)管理單元簽名服務(wù)單元LDAP服務(wù)單元Web服務(wù)單元Web服務(wù)單元AA業(yè)務(wù)服務(wù)單元LDAP數(shù)據(jù)庫LDAP數(shù)據(jù)庫日志服務(wù)單元信息安全服務(wù)引擎系統(tǒng)狀態(tài)管理單元AA業(yè)務(wù)服務(wù)單元AA業(yè)務(wù)服務(wù)單元證書策略服務(wù)單元簽名服務(wù)單元入侵檢測漏洞掃描安全審計(jì)病毒防治AA管理座席PKI網(wǎng)關(guān)InternetAA（屬性權(quán)威機(jī)構(gòu),AttributeAuthority）中心授權(quán)管理中心AA的系統(tǒng)結(jié)構(gòu)圖LDAP服務(wù)單元LDAP服務(wù)單元日志服務(wù)單元信息安全服務(wù)引擎117AA的系統(tǒng)中的安全結(jié)構(gòu)設(shè)計(jì)與外部連接時的安全機(jī)制授權(quán)管理中心的內(nèi)部網(wǎng)絡(luò)系統(tǒng)與外部的電子政務(wù)網(wǎng)絡(luò)之間需要功過邊界網(wǎng)絡(luò)實(shí)現(xiàn)安全互聯(lián)與外部電子政務(wù)網(wǎng)絡(luò)系統(tǒng)的安全隔離授權(quán)服務(wù)管理的安全接入內(nèi)部安全機(jī)制安全域劃分授權(quán)服務(wù)管理的安全審計(jì)117AA的系統(tǒng)中的安全結(jié)構(gòu)設(shè)計(jì)與外部連接時的安全機(jī)制118服務(wù)器設(shè)計(jì)1.AA(屬性權(quán)威機(jī)構(gòu))服務(wù)器提供基于授權(quán)證書的權(quán)限委托和授權(quán)證書的申請、審核、發(fā)放、注銷和恢復(fù)等業(yè)務(wù)功能支持屬性授權(quán)證書發(fā)放的“推”和“拉”模型“推”：授權(quán)證書由資源的擁有者向AA中心申請（即AA中心將已經(jīng)生成的授權(quán)證書“推”給授權(quán)證書的擁有者）“拉”：授權(quán)證書由其擁有者向AA中心申請（即授權(quán)證書的擁有者叢AA處將自己所需要的授權(quán)證書“拉”回來)支持對角色的管理支持對不同角色對象的權(quán)限設(shè)置和組的劃分支持對資源管理中心PM(PrivilegeManagement)服務(wù)器的管理支持對用戶信息的管理對用戶信息的注冊、存儲、備份和更新支持多種訪問控制模型118服務(wù)器設(shè)計(jì)1.AA(屬性權(quán)威機(jī)構(gòu))服務(wù)器119服務(wù)器設(shè)計(jì)2.RM(資源管理中心,ResourceManager)服務(wù)器主要進(jìn)行資源管理服務(wù)，包括資源注冊、資源分配、資源刪除等只有經(jīng)過注冊的資源才能夠由RM服務(wù)器進(jìn)行統(tǒng)一的管理RM服務(wù)器基于訪問控制策略，為應(yīng)用提供對某一資源的訪問控制判斷對不同的訪問控制模型其訪問控制策略的制定也不同通過提供對多種授權(quán)訪問控制模型的支持，以滿足各種授權(quán)服務(wù)應(yīng)用的需求119服務(wù)器設(shè)計(jì)2.RM(資源管理中心,Resource1208.4通用業(yè)務(wù)流程1.屬性證書的申請與發(fā)布參看下一頁的圖示1208.4通用業(yè)務(wù)流程1.屬性證書的申請與發(fā)布驗(yàn)證通過AA驗(yàn)證用戶提交的PKC證書用戶提交的PKC證書返回出錯信息判斷該用戶是否是已經(jīng)注冊用戶是否注冊將提交信息寫入數(shù)據(jù)庫證書申請將用戶提交的角色信息寫入數(shù)據(jù)庫生成證書返回用戶注冊界面返回用戶信息界面用戶信息注冊結(jié)束返回角色選擇界面返回用戶信息界面通過審核核實(shí)用戶信息以及用戶和其申請的角色是否相符信息提交（加密）信息提交（加密）后臺管理AA客戶端否是否是是否屬性證書的申請與發(fā)布流程示意圖是否驗(yàn)證通過AA驗(yàn)證用戶提交的PKC證書用戶提交的PKC證書返回122通用業(yè)務(wù)流程2.屬性證書的分發(fā)兩種模式“推”當(dāng)用戶在要求訪問資源時，由用戶自己直接提供其屬性證書，即用戶將自己的屬性證書“推”給資源服務(wù)管理器優(yōu)點(diǎn)不需要再客戶和服務(wù)器之間建立新的連接不會帶來查找證書的負(fù)擔(dān)，從而提高了服務(wù)器的性能“拉”授權(quán)機(jī)構(gòu)發(fā)布屬性證書到目錄服務(wù)系統(tǒng)，當(dāng)用戶需要屬性證書時，由服務(wù)器從屬性證書發(fā)放者（AA中心）或存儲證書的目錄服務(wù)系統(tǒng)“拉”回屬性證書優(yōu)點(diǎn) 不需要對客戶端以及客戶/服務(wù)器協(xié)議做任何改動122通用業(yè)務(wù)流程2.屬性證書的分發(fā)123通用業(yè)務(wù)流程3.屬性證書的注銷與公鑰證書的注銷相同，即通過屬性證書注銷列表ACRL來公布已經(jīng)被注銷的屬性證書123通用業(yè)務(wù)流程3.屬性證書的注銷驗(yàn)證通過PKC，簽名信息驗(yàn)證通過向LDAP取證書列出證書選擇證書提交請求對請求信息簽名或者加密執(zhí)行注銷發(fā)布到CRL目錄服務(wù)返回注銷信息注銷成功或者失敗AA用戶端LDAP退出是是否PKC_IDPKC_ID返回結(jié)果返回證書、委托證書返回錯誤屬性證書的注銷流程示意圖驗(yàn)證通過PKC，簽名信息驗(yàn)證通過向LDAP取證書列出證書選擇125通用業(yè)務(wù)流程4.基于屬性證書的訪問控制用戶發(fā)出對某一資源的使用請求，并將自己的公鑰證書發(fā)給該資源服務(wù)器資源服務(wù)器驗(yàn)證用戶的公鑰證書后，向策略引擎發(fā)出訪問控制判斷