數(shù)據(jù)傳輸安全解決方案

數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)傳輸安全解決方案數(shù)據(jù)傳輸安全解決方案一.總體框架2二.安全需求42.1應(yīng)用集成和政務(wù)集成中的安全需求42.2OA產(chǎn)品的安全需求51．安全電子郵件52．電子簽章63．?dāng)?shù)字水印64．防拷屏75．安全加密文檔72.3方案中解決的安全問題和需求7三PKI方案93.1PKI簡(jiǎn)介9 (1)提供用戶身份合法性驗(yàn)證機(jī)制 9 (2)保證敏感數(shù)據(jù)通過公用網(wǎng)絡(luò)傳輸時(shí)的保密性 10 (3)保證數(shù)據(jù)完整性 10(4)提供不可否認(rèn)性支持103.2非對(duì)稱密鑰加密技術(shù)簡(jiǎn)介103.3PKI的組成部分11 3.3.1認(rèn)證和注冊(cè)審核機(jī)構(gòu) (CA/RA) 12 3.3.2密鑰管理中心 14 3.3.3安全中間件 14四.PMI部分頁腳內(nèi)容14.1什么是PMI4.2為什么需要PMI4.3PMI發(fā)展的幾個(gè)階段184.4PMI的安全體系模型19二十一世紀(jì)是信息化世紀(jì)，隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，特別是Internet的全球化，信息共享的程度進(jìn)一步提高。數(shù)字信息越來越深入的影響著社會(huì)生活的各個(gè)方面，各種基于互聯(lián)網(wǎng)技術(shù)的網(wǎng)上應(yīng)用，如電子政務(wù)、電子商務(wù)等也得到了迅猛發(fā)展。網(wǎng)絡(luò)正逐步成為人們工作、生活中不可分割的一部分。由于互聯(lián)網(wǎng)的開放性和通用性，網(wǎng)上的所有信息對(duì)所有人都是公開的，所以網(wǎng)絡(luò)上的信息安全問題也日益突出。目前政府部門、金融部門、企事業(yè)單位和個(gè)人都日益重視這一重要問題。如何保護(hù)信息安全和網(wǎng)絡(luò)安全，最大限度的減少或避免因信息泄密、破壞等安全問題所造成的經(jīng)濟(jì)損失及對(duì)企業(yè)形象的影響，是擺在我們面前亟需妥善解決的一項(xiàng)具有重大戰(zhàn)略意義的課題。網(wǎng)絡(luò)的飛速發(fā)展推動(dòng)社會(huì)的發(fā)展，大批用戶借助網(wǎng)絡(luò)極大地提高了工作效率，創(chuàng)造了一些全新的工作方式，尤其是因特網(wǎng)的出現(xiàn)更給用戶帶來了巨大的方便。但另一方面，網(wǎng)絡(luò)，特別是因特網(wǎng)存在著極大的安全隱患。近年來，因特網(wǎng)上的安全事故屢有發(fā)生。連入因特網(wǎng)的用戶面臨諸多的安全風(fēng)險(xiǎn)：拒絕服務(wù)、信息泄密、信息篡改、資源盜用、聲譽(yù)損害等等。類似的風(fēng)險(xiǎn)也存在于其它的互聯(lián)網(wǎng)絡(luò)中。這些安全風(fēng)險(xiǎn)的存在阻礙了計(jì)算機(jī)網(wǎng)絡(luò)的應(yīng)用與發(fā)展。在網(wǎng)絡(luò)化、信息化的進(jìn)程不可逆轉(zhuǎn)的形勢(shì)下，建立安全可靠的網(wǎng)絡(luò)信息系統(tǒng)是一種必然選擇。一.總體框架構(gòu)建平臺(tái)統(tǒng)一、系統(tǒng)安全、投資合理、運(yùn)行高效的系統(tǒng)平臺(tái)，提供服務(wù)于應(yīng)用集成、數(shù)據(jù)集成和表現(xiàn)集成的全線產(chǎn)品，為企事業(yè)單位信息化構(gòu)建動(dòng)態(tài)協(xié)同的基礎(chǔ)設(shè)施。頁腳內(nèi)容2圖1－1產(chǎn)品框圖辦公系統(tǒng)滿足企事業(yè)單位日常辦公的各種業(yè)務(wù)需要，是政府、企業(yè)信息化的基礎(chǔ)應(yīng)用系統(tǒng)；數(shù)據(jù)交換平臺(tái)提供各系統(tǒng)間的業(yè)務(wù)集成，是企事業(yè)單位實(shí)施全方位信息化和數(shù)據(jù)共享的基礎(chǔ)中間件平臺(tái)；一站式服務(wù)平臺(tái)實(shí)現(xiàn)政府跨部門的網(wǎng)上行政、網(wǎng)上辦公和網(wǎng)上審批，是實(shí)現(xiàn)陽光行政、高效行政、依法行政的關(guān)鍵平臺(tái)；統(tǒng)一信息門戶提供豐富的內(nèi)容表現(xiàn)方式、全方位的訪問接入方式和個(gè)性化服務(wù)，是企事業(yè)單位信息化的統(tǒng)一入口，是領(lǐng)導(dǎo)決策的信息來源，是政府、企業(yè)的形象的集中表現(xiàn)。安全中間件作為PKI的主要組成部分是連接CA與各應(yīng)用系統(tǒng)的橋梁，使得各應(yīng)用系統(tǒng)與CA之間實(shí)現(xiàn)松散連接。安全中間件是以公鑰基礎(chǔ)設(shè)施（PKI）為核心、建立在一系列相關(guān)國際安全標(biāo)準(zhǔn)之上的一個(gè)開放式應(yīng)用開發(fā)平臺(tái)，并對(duì)PKI基本功能如對(duì)稱加密與解密、非對(duì)稱加密與解密、信息摘要、單向散列、數(shù)字簽名、簽名驗(yàn)證、證書從證，以及密鑰生成、存儲(chǔ)、銷毀等進(jìn)一步擴(kuò)充，進(jìn)而形成系統(tǒng)安全服務(wù)器接口，和通信安全服務(wù)接口。安全中間件可以跨平臺(tái)操作，為不同操作系統(tǒng)上的應(yīng)用軟件集成提供方便，滿足用戶對(duì)系統(tǒng)伸縮性和可擴(kuò)展性的要求。在頻繁變化的企業(yè)計(jì)算機(jī)環(huán)境中，安全中間件能夠?qū)⒉煌膽?yīng)用程序無縫地融合在一起，使用戶業(yè)務(wù)不會(huì)因計(jì)算環(huán)境的改變?cè)馐軗p失。同時(shí)，安全中間件屏蔽了安全技術(shù)的復(fù)雜性，使設(shè)計(jì)開發(fā)人員無須具備專業(yè)的安全知識(shí)背景就能夠構(gòu)造高安全性的應(yīng)用。頁腳內(nèi)容3二.安全需求2.1應(yīng)用集成和政務(wù)集成中的安全需求隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，特別是Internet的全球化，各種基于互聯(lián)網(wǎng)技術(shù)的網(wǎng)上應(yīng)用，如電子政務(wù)、電子商務(wù)等得到了迅猛發(fā)展。應(yīng)用的需求越來越復(fù)雜，迫切需要各種獨(dú)立的異構(gòu)分布式應(yīng)用之間能夠進(jìn)行協(xié)同互操作，傳統(tǒng)的分布式構(gòu)件方案如DCOM和CORBA難以滿足應(yīng)用開發(fā)的需要，于是由于XML技術(shù)的逐漸成熟，出現(xiàn)了一種新的分布式、松耦合、自描述的分布式組件服務(wù)WebService。因?yàn)閃ebService具有跨平臺(tái)、易開發(fā)的優(yōu)良特性，因此在應(yīng)用系統(tǒng)集成領(lǐng)域和網(wǎng)絡(luò)服務(wù)領(lǐng)域成為了一個(gè)廣泛應(yīng)用的標(biāo)準(zhǔn)。DCI產(chǎn)品框架平臺(tái)就是這樣一個(gè)完全基于J2EE平臺(tái)和WebService的完整的企業(yè)應(yīng)用和電子政務(wù)應(yīng)用的集成平臺(tái)。但是因?yàn)閃ebService的開放性和通用性，為了能夠保護(hù)信息系統(tǒng)的安全，對(duì)WebService的安全性提出了很高的要求。WebService迫切需要一個(gè)完整的安全服務(wù)框架，來為上層應(yīng)用開發(fā)提供全面的安全服務(wù)。構(gòu)建WebService的安全框架的困難在于：webservice是非常分布式的，并且關(guān)鍵的安全實(shí)現(xiàn)和算法都是由不同提供商實(shí)現(xiàn)的。將各分散的業(yè)務(wù)部門和它們?cè)鹊漠悩?gòu)的安全系統(tǒng)和架構(gòu)統(tǒng)一集成到WebService安全和業(yè)務(wù)平臺(tái)上，并且能夠以一種信任關(guān)系在各部門應(yīng)用之間共享用戶信息、描述和權(quán)限是一個(gè)擺在面前的巨大挑戰(zhàn)。為什么需要安全的可信的WebServices與過去十年中客戶/服務(wù)器和基于Web的應(yīng)用一樣，XMLWebServices給應(yīng)用開發(fā)和信息系統(tǒng)的構(gòu)建帶來了革命性的影響。通過使用標(biāo)準(zhǔn)協(xié)議，如XML、SOAP 、WSDL 和UDDI ，應(yīng)用能夠更容易的相互通訊，并且更快、更便宜的進(jìn)行應(yīng)用集成，供應(yīng)鏈集成，實(shí)現(xiàn)分布式的服務(wù)模型。 XMLWebService接口是基于XML 和松耦合的。XML 和SOAP頁腳內(nèi)容4頁腳內(nèi)容證機(jī)制。 (2)保證敏感數(shù)據(jù)通過公用網(wǎng)絡(luò)傳輸時(shí)的保密性 保密性(Confidentiality)需求是指應(yīng)用系統(tǒng)需要能夠確保敏感數(shù)據(jù)只被特定的用戶查看。以前面的例子為例，用戶A需要保證所發(fā)出的文件的內(nèi)容只有用戶B才能查看。很多時(shí)候，用戶A通過公共網(wǎng)絡(luò)，比如以電子郵件的形式將文件發(fā)給用戶B，這時(shí)，保證文件的內(nèi)容不被第三者查看變得尤為重要。 (3)保證數(shù)據(jù)完整性 保證數(shù)據(jù)完整性(Integrity就是確認(rèn)我們所接收到的來自某一用戶的數(shù)據(jù)是完)整的和未被篡改的。以上面的例子為例，用戶B除了需要確認(rèn)該文件的確是由用戶A發(fā)出的以外，還需要確認(rèn)這封文件在傳輸過程中沒有被有意或無意的篡改，即用戶B接收到的文件和用戶A發(fā)出的文件是完全一致的。(4)提供不可否認(rèn)性支持安全的信息系統(tǒng)常常要求實(shí)現(xiàn)用戶在系統(tǒng)中的行為的不可否認(rèn)性(Non-Repudiation)。以前面的例子為例，當(dāng)用戶A發(fā)出該文件之后，用戶A將再不能否認(rèn)曾經(jīng)發(fā)出該文件這一事實(shí)。在需要用戶對(duì)自己在系統(tǒng)中的行為承擔(dān)責(zé)任的場(chǎng)合，不可否認(rèn)性顯得非常的重要。PKI為從技術(shù)上實(shí)現(xiàn)以上需求提供了原理上的保證，我們對(duì)此在下一小節(jié)中加以簡(jiǎn)單的介紹。3.2非對(duì)稱密鑰加密技術(shù)簡(jiǎn)介PKI基于非對(duì)稱密鑰加密技術(shù)來實(shí)現(xiàn)應(yīng)用系統(tǒng)對(duì)身份認(rèn)證、數(shù)據(jù)保密性和完整性、不可否認(rèn)性的支持。理解非對(duì)稱密鑰加密技術(shù)的基本原理是理解PKI為什么安全的基本前提，也只有在對(duì)PKI的原理有一定程度的了解之后，才能有效的部署和實(shí)施PKI。在傳統(tǒng)的加密算法中，接收密文的一方使用與加密密鑰相同的密鑰作為解密密頁腳內(nèi)容10數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類鑰，這種加密技術(shù)因此被稱為對(duì)稱密鑰加密技術(shù)。對(duì)稱密鑰加密算法本身是非常安全的，問題出在如何傳遞加密所使用的密鑰上。為了解決這一問題，提出了非對(duì)稱加密技術(shù)。非對(duì)稱加密在加密時(shí)和解密時(shí)使用不同的密鑰，設(shè)為密鑰p和q。使用密鑰p加密的數(shù)據(jù)必須使用密鑰q才能解密，而使用密鑰q加密的數(shù)據(jù)必須使用密鑰p才能解密。但是從密鑰p本身計(jì)算出密鑰q是不可行的。PKI使用了非對(duì)稱加密技術(shù)，其中的一個(gè)密鑰稱為私鑰，由證書的持有者妥善保管，必須嚴(yán)格保密，另一個(gè)密鑰稱為公鑰，通過CA公布，無須保密。當(dāng)用戶A需要將數(shù)據(jù)以加密的方式傳遞給用戶B時(shí)，用戶A使用用戶B的公鑰加密數(shù)據(jù)，加密后的數(shù)據(jù)必須使用用戶B的私鑰才能解密，因此可以保證數(shù)據(jù)傳輸過程的保密性。為了驗(yàn)證數(shù)據(jù)的真實(shí)性，用戶A使用自己的私鑰對(duì)數(shù)據(jù)的哈希值加密，用戶B使用用戶A的公鑰對(duì)哈希值解密，并與接收到的數(shù)據(jù)的哈希值進(jìn)行對(duì)比。由于私鑰不在公共網(wǎng)絡(luò)上傳播，所以PKI有很高的安全性。3.3PKI的組成部分PKI方案的基本結(jié)構(gòu)如圖3-2所示。頁腳內(nèi)容11圖3-2PKI的基本結(jié)構(gòu)CA和RA相互配合，負(fù)責(zé)PKI系統(tǒng)中的數(shù)字證書的申請(qǐng)、審核、簽發(fā)和管理。密鑰管理中心與IT系統(tǒng)中的用戶管理中心協(xié)同工作，負(fù)責(zé)PKI中的密鑰對(duì)的生成、備份和恢復(fù)。IT系統(tǒng)中的應(yīng)用系統(tǒng)通過安全中間件使用PKI系統(tǒng)提供的各種安全服務(wù)。PKI中的加密服務(wù)組件負(fù)責(zé)驅(qū)動(dòng)系統(tǒng)底層的加密軟件和硬件。安全中間件為應(yīng)用系統(tǒng)隔離了PKI系統(tǒng)中的復(fù)雜技術(shù)細(xì)節(jié)，而加密服務(wù)組件實(shí)現(xiàn)了PKI系統(tǒng)與來自第三方的加密軟件和硬件集成的能力。PKI系統(tǒng)中可以配置多套加密服務(wù)組件，以驅(qū)動(dòng)不同的加軟件和硬件。安全中間件與加密服務(wù)組件的組合方式通過安全策略管理中心配置，而不由應(yīng)用系統(tǒng)控制，因此保證了PKI方案的可擴(kuò)展能力和可定制能力。3.3.1認(rèn)證和注冊(cè)審核機(jī)構(gòu) (CA/RA) 認(rèn)證機(jī)構(gòu)CA是PKI的信任基礎(chǔ)，它管理公鑰的整個(gè)生命周期，其作用包括簽發(fā)證書、規(guī)定證書的有效期和通過發(fā)布證書廢除列表(CRL)來確保必要時(shí)可以廢除證書。頁腳內(nèi)容12注冊(cè)審核機(jī)構(gòu)RA提供用戶和CA之間的接口，主要完成收集用戶信息和確認(rèn)用戶身份的功能。這里指的用戶，是指將要向認(rèn)證機(jī)構(gòu)(即CA)申請(qǐng)數(shù)字證書的客戶，可以是個(gè)人，也可以是集團(tuán)或團(tuán)體、某政府機(jī)構(gòu)等。RA接受用戶的注冊(cè)申請(qǐng)，審查用戶的申請(qǐng)資格，并決定是否同意CA給其簽發(fā)數(shù)字證書。注冊(cè)機(jī)構(gòu)并不給用戶簽發(fā)證書，而只是對(duì)用戶進(jìn)行資格審查。因此，RA可以設(shè)置在直接面對(duì)用戶的業(yè)務(wù)部門。對(duì)于一個(gè)規(guī)模較小的PKI應(yīng)用系統(tǒng)來說，可把注冊(cè)管理的職能由認(rèn)證中心CA來完成，而不設(shè)立獨(dú)立運(yùn)行的RA。但這并不是取消了PKI的注冊(cè)功能，而只是將其作為CA的一項(xiàng)功能而已。PKI方案推薦由一個(gè)獨(dú)立的RA來完成注冊(cè)管理的任務(wù)，通過保證CA和IT系統(tǒng)其余部分的物理隔絕，可以增強(qiáng)應(yīng)用系統(tǒng)的安全。CA簽發(fā)的數(shù)字證書一般由RA通過LDAP服務(wù)器發(fā)布，供PKI系統(tǒng)中的用戶需要時(shí)進(jìn)行檢索和獲取。CA/RA服務(wù)器使用數(shù)據(jù)庫服務(wù)器保存相關(guān)的數(shù)據(jù)。圖3-3描述了CA、RA、數(shù)據(jù)庫和LDAP服務(wù)器之間的關(guān)系。 圖3-3證書機(jī)構(gòu)和注冊(cè)審核機(jī)構(gòu)(CA/RA) 頁腳內(nèi)容133.3.2密鑰管理中心 密鑰管理也是PKI(主要指CA)中的一個(gè)核心問題，主要是指密鑰對(duì)的安全管理，包括密鑰產(chǎn)生、密鑰備份和密鑰恢復(fù)等。密鑰對(duì)的產(chǎn)生是證書申請(qǐng)過程中重要的一步，其中產(chǎn)生的私鑰由用戶保留，公鑰和其他信息則通過RA交于CA中心進(jìn)行簽名，供生成數(shù)字證書使用。在一個(gè)PKI系統(tǒng)中，維護(hù)密鑰對(duì)的備份至關(guān)重要。如果沒有這種措施，當(dāng)密鑰丟失后，將意味著加密數(shù)據(jù)的完全丟失，對(duì)于一些重要數(shù)據(jù)，這將是災(zāi)難性的。使用PKI的企業(yè)和組織必須能夠得到確認(rèn)：即使密鑰丟失，受密鑰加密保護(hù)的重要信息也必須能夠恢復(fù)，并且不能讓一個(gè)獨(dú)立的個(gè)人完全控制最重要的主密鑰，否則將引起嚴(yán)重后果。在某些情況下用戶可能有多對(duì)密鑰，至少應(yīng)該有兩對(duì)密鑰：一對(duì)用于加密，一對(duì)用于簽名。簽名密鑰不需要備份，因?yàn)橛糜隍?yàn)證簽名的公鑰(或公鑰證書)廣泛發(fā)布，即使簽名私鑰丟失，任何用于相應(yīng)公鑰的人都可以對(duì)已簽名的文檔進(jìn)行驗(yàn)證。PKI系統(tǒng)需要備份用于加密的密鑰對(duì)，并允許用戶進(jìn)行恢復(fù)。因此，企業(yè)級(jí)的PKI產(chǎn)品至少應(yīng)該支持用于加密的安全密鑰的存儲(chǔ)、備份和恢復(fù)。密鑰的備份一般用口令進(jìn)行保護(hù)，而口令丟失則是管理員最常見的安全疏漏之一。即使口令丟失，使用密鑰管理中心提供的密鑰恢復(fù)功能，也能夠讓用戶在一定條件下恢復(fù)該密鑰，并設(shè)置新的口令。當(dāng)用戶的私鑰被泄漏時(shí)，用戶應(yīng)該更新私鑰。這時(shí)用戶可以廢除證書，產(chǎn)生新的密鑰對(duì)，申請(qǐng)新的證書。密鑰管理中心需要與PKI系統(tǒng)中的其它加密軟件系統(tǒng)和硬件設(shè)備協(xié)同工作。3.3.3安全中間件安全中間件是PKI方案的一個(gè)重要組成部分，是PKI系統(tǒng)與應(yīng)用系統(tǒng)的頁腳內(nèi)容14數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類頁腳內(nèi)容15橋梁。各個(gè)應(yīng)用系統(tǒng)通過安全中間件與底層的PKI服務(wù)組件相互作用，協(xié)同工作，從而保證整個(gè)IT系統(tǒng)的安全性。安全中間件實(shí)現(xiàn)以下功能：為應(yīng)用系統(tǒng)提供一致的安全應(yīng)用程序編程接口(API)通過加密服務(wù)組件驅(qū)動(dòng)不同的CA服務(wù)器產(chǎn)品、加密軟件和硬件安全中間件與相關(guān)組件之間的關(guān)系如圖3-4所示。安全中間件包括以下部分：安全應(yīng)用程序編程接口安全應(yīng)用程序編程接口屏蔽了PKI系統(tǒng)復(fù)雜的技術(shù)細(xì)節(jié)，將PKI系統(tǒng)與具體的應(yīng)用系統(tǒng)有機(jī)的集成在一起，從而構(gòu)成結(jié)構(gòu)良好的企業(yè)分布式安全應(yīng)用環(huán)境。當(dāng)PKI系統(tǒng)中具體的CA服務(wù)器、加密軟件和加密硬件發(fā)生改變時(shí)，基于安全中間件的應(yīng)用系統(tǒng)不需要進(jìn)行修改，只需要使用安全配置和管理組件對(duì)安全中間件的行為重新進(jìn)行配置即可。安全實(shí)體映射組件安全實(shí)體映射組件維護(hù)IT系統(tǒng)中用戶與PKI系統(tǒng)中的安全實(shí)體之間的映射關(guān)系。當(dāng)用戶采用不同的PKI技術(shù)方案時(shí)，PKI系統(tǒng)中的安全實(shí)體與IT系統(tǒng)中的用戶之間的映射關(guān)系可能會(huì)發(fā)生改變，這種情況在當(dāng)用戶采用專用的加密算法和非標(biāo)準(zhǔn)的證書系統(tǒng)時(shí)尤其明顯。由安全中間件集中維護(hù)IT系統(tǒng)中的用戶與PKI系統(tǒng)中的安全實(shí)體之間的映射關(guān)系能夠有效的簡(jiǎn)化應(yīng)用系統(tǒng)的開發(fā)和實(shí)施。加密服務(wù)組件在安全中間件中，加密服務(wù)組件負(fù)責(zé)驅(qū)動(dòng)PKI中的第三方軟件系統(tǒng)和硬件設(shè)備，向安全中間件提供用戶身份驗(yàn)證、數(shù)據(jù)加密和解密的底層實(shí)現(xiàn)。用戶通過安全應(yīng)用程序編程接口發(fā)出的數(shù)據(jù)加密和解密請(qǐng)求實(shí)際上由加密服務(wù)組件負(fù)責(zé)具體的實(shí)現(xiàn)。加密服務(wù)組件是PKI方案實(shí)現(xiàn)與來自第三方的CA服務(wù)器產(chǎn)品、加密軟件、加密硬件的集成的途徑。PKI方案具有集成來自不同廠商的CA服務(wù)器產(chǎn)品、數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類頁腳內(nèi)容16加密軟件和加密硬件的能力，這種能力是通過部署不同的加密服務(wù)組件來實(shí)現(xiàn)的。加密服務(wù)組件向安全中間件提供支持，在加密服務(wù)組件之上的安全中間件為應(yīng)用系統(tǒng)屏蔽了底層的復(fù)雜的PKI組件。安全配置和管理組件安全應(yīng)用程序編程接口提供了完成獨(dú)立于具體的PKI系統(tǒng)組件的選型的接口，然后，隨著用戶對(duì)CA服務(wù)器及相關(guān)軟件、加密軟件和硬件的選擇不同，應(yīng)用系統(tǒng)在使用PKI系統(tǒng)提供的安全服務(wù)也會(huì)有所不同。這也即是為什么目前的大多數(shù)安全中間件事實(shí)上無法實(shí)現(xiàn)底層平臺(tái)無關(guān)性的最主要原因。PKI方案通過提供獨(dú)立于安全應(yīng)用程序編程接口的安全配置和管理組件來解決這一問題。當(dāng)用戶選擇不同的CA服務(wù)器及相關(guān)軟件、加密軟件和硬件時(shí)，PKI系統(tǒng)仍然需要進(jìn)行新的配置，這是通過安全配置和管理組件實(shí)現(xiàn)的，應(yīng)用系統(tǒng)不需要進(jìn)行配置，安全中間件與安全配置和管理組件協(xié)同工作，真正的實(shí)現(xiàn)了PKI方案的可擴(kuò)展能力、可定制能力、可開發(fā)能力和可集成能力。安全中間件向應(yīng)用系統(tǒng)提供以下應(yīng)用程序編程接口：數(shù)據(jù)加密和解密信息摘要計(jì)算數(shù)字簽名及驗(yàn)證生成高質(zhì)量隨機(jī)數(shù)其它與安全有關(guān)的系統(tǒng)功能的實(shí)現(xiàn)四.PMI部分4.1什么是PMIPMI是PrivilegeManagementInfrastructures的英文縮寫，意為授權(quán)管理基礎(chǔ)設(shè)施。PMI建立在PKI基礎(chǔ)上，與PKI相結(jié)合，提供實(shí)體身份到應(yīng)用權(quán)限的映射，實(shí)現(xiàn)對(duì)系統(tǒng)資源訪問的統(tǒng)一管理。PKI證明實(shí)體身份的合法性；PMI 證明實(shí)體具有什么權(quán)限，能以何種方式訪問什么資源。典型的場(chǎng)景中，如下面圖4－1所示，如果某個(gè)用戶或應(yīng)用需要在某一個(gè)資源上行使某個(gè)操作。用戶將向?qū)嶋H保護(hù)該資源的系統(tǒng)（如一個(gè)文件系統(tǒng)或一個(gè)WebServer）發(fā)出請(qǐng)求，該提供保護(hù)的系統(tǒng)稱為策略實(shí)施點(diǎn)PEP(PolicyEnforcementPoint)。隨后PEP將基于請(qǐng)求者的屬性、所請(qǐng)求的資源和所要行使的操作以及其它信息，來形成一個(gè)請(qǐng)求并發(fā)送到一個(gè)策略決策點(diǎn)PDP(PolicyDecisionPoint)。在數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類PDP,將查看該請(qǐng)求，并計(jì)算將有哪些策略應(yīng)用到該請(qǐng)求，從而計(jì)算得出是否允許訪問。決策的結(jié)果將會(huì)返回給PEP,并由PEP來執(zhí)行對(duì)該訪問請(qǐng)求的許可或拒絕。需要注意的是PEP和PDP是邏輯上的概念，它們可以就包含在一個(gè)數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類圖4－1PMI邏輯結(jié)構(gòu)示意圖4.2為什么需要PMI 頁腳內(nèi)容17數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類數(shù)據(jù)中心災(zāi)備系統(tǒng)的分類頁腳內(nèi)容20重要信息的層次化存儲(chǔ)和查詢服務(wù)。LDAP目錄服務(wù)可以進(jìn)行分布式部署，并通過群集實(shí)現(xiàn)負(fù)載均衡