電子商務(wù)安全導(dǎo)論11

2023/2/1第11章國內(nèi)CA認證中心及CFCA金融認證服務(wù)相關(guān)業(yè)務(wù)規(guī)則2023/2/111.1中國金融認證中心（CFCA）111.1.1CFCA簡介中國金融認證中心（ChinaFinancialCertificationAuthority，CFCA）是由中國人民銀行牽頭，聯(lián)合中國工商銀行、中國農(nóng)業(yè)銀行、中國銀行、中國建設(shè)銀行、交通銀行、中信實業(yè)銀行、光大銀行、招商銀行、華夏銀行、廣東發(fā)展銀行、深圳發(fā)展銀行、民生銀行、福建興業(yè)銀行、上海浦東發(fā)展銀行等14家全國性商業(yè)銀行共同建立的國家級權(quán)威金融認證機構(gòu)，是國內(nèi)惟一一家能夠全面支持電子商務(wù)安全支付業(yè)務(wù)的第三方網(wǎng)上信任服務(wù)機構(gòu)。中國金融認證中心專門負責(zé)為電子商務(wù)的各種認證需求提供數(shù)字證書服務(wù)，采用基于PKI（公鑰基礎(chǔ)設(shè)施）技術(shù)的雙密鑰機制。中國金融認證中心的建立是我國電子商務(wù)走向成熟的重要里程碑，尤其是對我國網(wǎng)上銀行、電子商務(wù)的深入發(fā)展起著巨大的推動作用。11.1中國金融認證中心（CFCA）211.1.2CFCA體系結(jié)構(gòu)CFCA認證系統(tǒng)采用國際領(lǐng)先的PKI技術(shù)，總體為三層CA結(jié)構(gòu)，第一層為根CA；第二層為政策CA，可向不同行業(yè)、領(lǐng)域擴展信用范圍；第三層為運營CA，根據(jù)證書運作規(guī)范（CPS）發(fā)放證書。運營CA由CA系統(tǒng)和證書注冊審批機構(gòu)（BA）兩大部分組成。CA系統(tǒng)：承擔(dān)證書簽發(fā)、審批、廢止、查詢、數(shù)學(xué)簽名、證書/黑名單發(fā)布、密鑰恢復(fù)與管理、證書認定和政策制定。CA系統(tǒng)設(shè)在CFCA本部，不直接面對用戶。RA系統(tǒng)：直接面向用戶，負責(zé)用戶身份申請審核，并向CA申請為用戶轉(zhuǎn)發(fā)證書。RA系統(tǒng)一般設(shè)置在商業(yè)銀行的總行、證券公司、保險公司總部及其它應(yīng)用證書的機構(gòu)總部，受理點（LRA）設(shè)置在商業(yè)銀行的分/支行、證券、保險營業(yè)部及其他應(yīng)用證書機構(gòu)的分支機構(gòu)。RA系統(tǒng)可方便集成到其業(yè)務(wù)應(yīng)用系統(tǒng)。CFCA認證系統(tǒng)在滿足高安全性、開放性、實用性、高擴展性、交叉認證等需求的同時，從物理安全、環(huán)境安全、網(wǎng)絡(luò)安全、CA產(chǎn)品安全以及密鑰管理和操作運營管理等方面均按國際標準制定了相應(yīng)的安全策略；專業(yè)化的技術(shù)隊伍和完善運營服務(wù)體系，確保系統(tǒng)7*24小時安全高效、穩(wěn)定運行。11.1.3CFCA數(shù)字證書服務(wù)1，CFCA數(shù)字證書：是CFCA用其私鑰進行了數(shù)字簽名的包含用戶身份、公開密鑰、有效期等許多相關(guān)信息的權(quán)威性的電子文件，是各實體在網(wǎng)上的電子身份證。它遵循ITUX.509V3國際標準規(guī)范，采用雙密鑰和高強度雙向認證機制，具有證書自動更新、密鑰備份、黑名單在線自動查詢等功能。2，CFCA證書種類：企業(yè)高級證書、個人高級證書、企業(yè)普通證書、個人普通證書、服務(wù)器證書、手機證書、安全E-MAIL證書、VPN設(shè)備證書、代碼簽名證書。3，PKI服務(wù)：PKI是基于公鑰算法和技術(shù)，為網(wǎng)上通信提供安全服務(wù)的基礎(chǔ)設(shè)施。是創(chuàng)建、頒發(fā)、管理、注銷公鑰證書所涉及到的所有軟件、硬件的集合體。其核心元素是數(shù)字證書，核對執(zhí)行者是CA認證機構(gòu)。實體鑒別、數(shù)據(jù)的保密性、數(shù)據(jù)的真實性和完整性、不可否認證、證書審批發(fā)放、密鑰歷史記錄、時間戳、密鑰備份與恢復(fù)、密鑰自動更新、黑名單實時查詢、支持交叉認證。4，企業(yè)、個人如何獲得CFCA證書用戶可以到所有CFCA授權(quán)的證書審批機構(gòu)（RA）申請證書，申請者一般需提供有關(guān)開戶賬號、身份證/組織機構(gòu)代碼，郵件地址等有效信息，RA審核通過后給用戶參考號、授權(quán)碼作為獲得證書的憑據(jù)。用戶在得到參考號授權(quán)碼后，可以自行登錄CFCA網(wǎng)站獲得證書，也可以使用RA提供的其他更為簡便的方式獲得證書。證書的存儲介質(zhì)可以是軟盤、硬盤，但更為安全的方式是使用智能卡或USB-KEY存放。2023/2/111.1中國金融認證中心（CFCA）311.1.4主要應(yīng)用項目目前CFCA已在國內(nèi)十余家核心商業(yè)銀行、近20家券商建成覆蓋全國的認證服務(wù)體系，業(yè)務(wù)領(lǐng)域已延伸至銀行、證券、稅務(wù)、保險、企業(yè)集團、政府機構(gòu)、電子商務(wù)平臺等金融和非金融行業(yè)。11.1.5發(fā)展歷程11.1.6CFCA證書注冊審批機構(gòu)（RA)銀行系統(tǒng)：中國工商銀行、中國農(nóng)業(yè)銀行、中國建設(shè)銀行、交通銀行、中信實業(yè)銀行、中國光大銀行、華夏銀行、廣東發(fā)展銀行、深圳發(fā)展銀行、中國民生銀行、興業(yè)銀行、上海浦發(fā)銀行、華一銀行（合資銀行）、中國人民銀行上海分行、武漢市商業(yè)銀行、寧波市商業(yè)銀行、溫州市商業(yè)銀行、柳州市商業(yè)銀行。證券系統(tǒng)：山西證券公司、黃河證券公司、福建省閩發(fā)證券公司、江門證券有限公司、蔚深證券公司、海南港海岸國際信托投資有限公司、湘財證券有限責(zé)任公司、華鑫證券有限責(zé)任公司、中富證券有限責(zé)任公司、國都證券有限責(zé)任公司、金信證券有限責(zé)任公司、興業(yè)證券股份有限公司、中信證券公司、新華證券有限責(zé)任公司、新時代證券有限責(zé)任公司、興安證券有限公司。其他：深圳金融電子結(jié)算中心、中國銀聯(lián)股份有限公司大連分公司、中國銀聯(lián)股份有限公司夏門分公司。11.1.7典型應(yīng)用1，網(wǎng)上銀行2，網(wǎng)上證券3，網(wǎng)上申報與繳稅4，網(wǎng)上企業(yè)購銷5，安全移動商務(wù)（WAP/短信息）6，企業(yè)級VPN部署7，基于數(shù)字簽名的安全E-MAIL、安全文檔管理系統(tǒng)8，基于數(shù)字簽名的TruePass系統(tǒng)9，CFCA時間戳服務(wù)2023/2/111.2中國電信CA安全認證系統(tǒng)（CTCA）111.2.1CTCA概況中國電信CA安全認證系統(tǒng)（簡稱CTCA）于2000年5月12日正式向社會發(fā)放CA證書，并向社會免費公布CTCA安全認證系統(tǒng)的接口標準。系統(tǒng)可以為應(yīng)用系統(tǒng)提供兩種黑名單查詢方式，即OCSP方式和CRL方式，其中OCSP方式為用戶提供實時的證書狀態(tài)查詢服務(wù)，而CRL方式定期為用戶提供證書黑名單列表。中國電信CFCA系統(tǒng)有一套完善的證書發(fā)放體系和管理制度。體系采用三級管理結(jié)構(gòu)：全國CA安全認證中心（包括全國CTCA中主、CTCA湖南備份中心）、省級RA中心，以及地市業(yè)務(wù)受理點。11.2.2CTCA的組成及功能組成：全國CA中心、省RA中心系統(tǒng)、地市級業(yè)務(wù)受理點。CA中心的功能是：（1）簽發(fā)自簽名的根證書；（2）審核和簽發(fā)其他CA系統(tǒng)的交叉認證證書；（3）向其他CA系統(tǒng)申請交叉認證證書；（4）受理和審核各RA機構(gòu)的申請；（5）為RA機構(gòu)簽發(fā)證書；（6）潤滑處理各RA服務(wù)器的證書業(yè)務(wù)請求；（7）簽發(fā)業(yè)務(wù)證書和證書作廢表；（8）管理全系統(tǒng)的用戶和證書資料；（9）維護全系統(tǒng)的OCSP查詢數(shù)據(jù)。2023/2/111.2中國電信CA安全認證系統(tǒng)（CTCA）211.2.2CTCA的組成及功能2RA中心的功能是：（1）受理用戶證書業(yè)務(wù)；（2）審核用戶身份；（3）為審核通過的用戶生成密鑰對；（4）向CA中心申請簽發(fā)證書；（5）將證書和私鑰灌入IC卡后分發(fā)給受理中心、受理點或用戶；（6）管理本地OCSP服務(wù)器，并提供證書狀態(tài)的實時查詢；（7）管理本地用戶資料。受理點的功能是：（１）管理所轄受理點用戶資料；（２）受理用戶證書業(yè)務(wù)；（３）審核用戶身份；（４）向受理中心或ＲＡ中心申請簽發(fā)證書；（５）將ＲＡ中心或受理中心制作的證書介質(zhì)分發(fā)給用戶。11.2.3CTCA數(shù)字證書業(yè)務(wù)簡介1，安全電子郵件證書：是指個人用戶收發(fā)電子郵件時采用證書機制保證安全所必須具備的證書。它的申請不需要通過業(yè)務(wù)受理點，由用戶直接通過自己的瀏覽器完成。用戶的密鑰對由瀏覽器產(chǎn)生和管理，密鑰長512位。2，個人數(shù)字證書：是指個人使用電子商務(wù)應(yīng)用系統(tǒng)應(yīng)具備的證書。一般個人證書通過業(yè)務(wù)受理點申請，用戶的密鑰對由RA中心產(chǎn)生，長1024位。3，企業(yè)數(shù)字證書：是指單位、團體、企業(yè)作為被服務(wù)者，參與電子商務(wù)應(yīng)用系統(tǒng)時應(yīng)具備的證書。一般企業(yè)證書通過業(yè)務(wù)受理點申請，經(jīng)業(yè)務(wù)受理點的審核操作員一次審核完成申請，密鑰對由RA中心產(chǎn)生，長1024位。4，服務(wù)器證書：通過業(yè)務(wù)申請。密鑰對由RA中心產(chǎn)生，長1024位。5，SSL服務(wù)器證書：是WebServer與瀏覽器用戶建立安全連接時所必須具備的證書。申請不需要通過業(yè)務(wù)受理點，用戶的密鑰對由相應(yīng)的WebServer自己產(chǎn)生和管理，長512位。2023/2/111.3上海市電子商務(wù)安全證書管理中心（SHECA）11.3.1SHECA簡介上海市電子商務(wù)安全證書管理中心有限公司（簡稱SHECA），是信任服務(wù)和安全認證服務(wù)的專業(yè)提供商，通過提供在線的信任服務(wù)，為電子商務(wù)和網(wǎng)上作業(yè)保駕護航。SHECA是國內(nèi)較早建立的CA認證中心，創(chuàng)建于1998年。SHECA提供了兩種證書系統(tǒng)：1，SET證書系統(tǒng)。該系統(tǒng)符合SET協(xié)議，其特點是交易和信用卡綁定。2，通用證書系統(tǒng)。該系統(tǒng)是結(jié)合國情自行設(shè)計開發(fā)的，其特點是人或?qū)嶓w綁定，不僅可用于支付型的電子商務(wù)，也可用于政府辦公網(wǎng)上作業(yè)。11.3.2SHECA證書簡介1SHECA的安全電子商務(wù)解決方案既擁有與國際接軌的、符合SET協(xié)議的SET證書系統(tǒng)，又擁有結(jié)合國內(nèi)特點自行設(shè)計開發(fā)的通用證書系統(tǒng)。SHECA提供的數(shù)字證書按業(yè)務(wù)類型可分為SET證書（符合SET協(xié)議）和Universal證書（符合X.509標準，如SSL,S/MIME等）證書及特殊證書。數(shù)證書根據(jù)應(yīng)用對象可將其分為：個人用戶證書、企業(yè)用戶證書、服務(wù)器證書和代碼證書。2023/2/111.3上海市電子商務(wù)安全證書管理中心（SHECA）211.3.2SHECA證書簡介21,證書結(jié)構(gòu)和內(nèi)容證書的結(jié)構(gòu)編碼嚴格遵從X.509標準，它包含以下內(nèi)容：（1）版本號（2）序列號（3）簽名算法（4）簽發(fā)機構(gòu)（CA）信息。（5）證書有效期信息（起用和失效日期）（6）證書中公鑰信息（7）證書持有人信息（8）擴展項。E-MAIL地址、密鑰用途等。2，SHECA證書的ASN.1定義3，證書存放的介質(zhì)：硬盤、軟盤、IC卡或加密卡加密機。4，證書兼容性檢測通過的軟件（1）WebServer（2）S/MIME5，證書相關(guān)技術(shù)標準對稱加密算法：128位非對稱加密算法1024位2023/2/111.3上海市電子商務(wù)安全證書管理中心（SHECA）311.3.3SHECA證書管理器的功能SHECA證書管理器是幫助用戶管理和使用數(shù)字證書的一個重要工具。它可以管理包括數(shù)字證書的申請、使用、存儲、讀寫等功能，同時還包括了基本的加密算法，以便供程序開發(fā)者使用。主要有如下功能：（1）支持用戶自己證書的申請、下載、查詢、更新、廢除，同時能對他人證書進行查詢及下載。支持其他中級證書的加入和根證書的更新及加入。（2）提供對所有數(shù)據(jù)或單個數(shù)據(jù)的導(dǎo)入或?qū)С?。?）用戶自己證書的導(dǎo)入導(dǎo)出支持PKICS12，能和IE和Netscape交換證書密鑰。（4）支持證書驗證包括黑名單驗證、OCSP驗證，以及證書鏈的驗證。（5）支持一些緩存功能，減少網(wǎng)絡(luò)的操作，如黑名單緩存、證書鏈緩存等。（6）提供給應(yīng)用程序的接口有良好的說明，并且能確實訪問到每一個證書。確保私鑰不被非法使用（必須要口令，不出接口）。2，證書管理器的特點：（1）方便管理用戶個人及他人證書，存儲介質(zhì)多樣化。（2）同時SET證書和通用證書。（3）支持多種加密技術(shù)（如對稱加密、數(shù)字簽名等）（4）支持版本的自動升級（或提醒）。（5）具有良好的使用及安裝界面。3，證書管理器使用簡介證書管理將證書分為個人證書、他人證書和根證書，主要有如下操作：（1）個人證書睥操作：申請證書、添加個人證書、導(dǎo)出證書、導(dǎo)入證書、刪除證書、驗證證書、修改證書私鑰密碼、查看詳細信息、設(shè)置驗證方式等。（2）對他人證書的操作：添加他人證書、導(dǎo)出證書、導(dǎo)入證書、刪除證書、驗證證書、查看詳細信息、設(shè)置驗證方式、查找他人證書。（3）對根證書的操作：查看詳細信息、驗證證書、查找根證書。2023/2/111.4中國金融認證中心（CFCA）金融認證服務(wù)相關(guān)業(yè)務(wù)規(guī)則CFCA金融認證服務(wù)相關(guān)業(yè)務(wù)規(guī)則按電子商務(wù)中的角色不同可劃分為：網(wǎng)關(guān)（銀行）業(yè)務(wù)規(guī)則、商務(wù)（企業(yè)）業(yè)務(wù)規(guī)則、持卡人（個人）業(yè)務(wù)規(guī)則和中介機構(gòu)業(yè)務(wù)規(guī)則。11.4.1網(wǎng)關(guān)（銀行）業(yè)務(wù)規(guī)則網(wǎng)關(guān)（銀行）業(yè)務(wù)規(guī)則根據(jù)其使用的證書以及在網(wǎng)上交易是否遵循SETCo標準分為SET標準支付網(wǎng)關(guān)業(yè)務(wù)規(guī)則和Non-SET標準銀行業(yè)務(wù)規(guī)則。11.4.2商戶（企業(yè)）業(yè)務(wù)規(guī)則商戶（企業(yè)）業(yè)務(wù)規(guī)則根據(jù)其使用的證