系统安全性、稳定性说明Word文档下载推荐.doc
《系统安全性、稳定性说明Word文档下载推荐.doc》由会员分享，可在线阅读，更多相关《系统安全性、稳定性说明Word文档下载推荐.doc（20页珍藏版）》请在冰豆网上搜索。
对于系统的所有服务器都以SSL来加强对客户连接的安全性保护。
2.3信息安全
天威诚信制定和执行严格的信息安全策略，主要包括：
系统/服务器充分考虑信息安全，采用动态口令方式包含系统的口令，并采用单独系统监控/防止病毒入侵；
系统/服务器充分考虑了稳定性设计，采用了多路数据专线，防止断线，数据专线连接采用多个供应商，防止供应商断线；
充分考虑了数据库系统的安全，采用多硬盘实时备份（Mirroring），采用多处理器，采用可热换的硬盘，并严格进行系统/服务器的备份，每晚对数据进行备份，定期将备份数据存放到安全的第三方；
充分考虑了电源稳定性设计，数据中心具有独立的后备电源，并配备了发电机。
2.4人员安全
天威诚信制定和执行严格的人员安全策略，主要包括：
天威诚信具有详细的、规范的可信雇员政策，对员工进行审查，并详细规定员工的职责；
天威诚信员工对系统的操作严格按照天威诚信制定的规范的操作流程进行，并定期对操作记录进行安全与审计；
天威诚信制定了严格的物理和系统访问权限控制，对于非授权人员禁止操作。
2.5密钥安全
密钥安全包括根CA和子CA密钥的安全，以及用户证书密钥的安全。
2.5.1CA密钥的安全
CA密钥是对根CA和子CA密钥的统称，需要从两个方面进行分析：
lCA密钥的产生——CA密钥在天威诚信的安全数据中心离线的物理环境中产生，使用经过国家相关部门认证通过的国产加密机来产生。
为了保障CA密钥产生的公正性和权威性，天威诚信会进行规范的密钥生成仪式，整个过程将会有录像记录。
举行密钥生成仪式至少需要七名相关的人员参加。
lCA密钥的安全存储——所有密钥都是保存在天威诚信最安全的物理层，根密钥离线的保存在安全级别最高的层次，并通过密钥分割的方式由多人负责管理。
对于在线CA的密钥，安装在安全数据中心的在线最高物理层，对于在线CA密钥的上载，至少需要七名相关人员才能进行。
3系统性能分析
3.1系统处理能力
天威诚信PKI/CA系统设计初期处理能力为“千万”级证书容量，可以根据业务的扩展需求进行动态的扩展。
目前已经对外签发了十几万张证书，系统没有任何问题和压力。
以下提供各模块的处理能力的测试数据，包含CA中心服务器的处理能力、RA中心服务器的处理能力、用户证书的发证能力、及目录服务器的查询能力等。
3.1.1CA中心服务器处理能力
一个用户请求需要通过CA中心服务器和签名服务器的逻辑处理，如果是证书签发请求则会经过逻辑处理后再交给签名服务器和加密机处理。
CA服务器的处理能力指标主要是并发处理能力。
环境
硬件配置
SunSparcUltra2
操作系统
Solaris2.6
加密卡
SJY17-B
性能设计
序号
性能参数
处理能力
1
并发性能
165个用户请求/秒
2
平均连续处理
601000次/小时
图表CA处理能力表
3.1.2CA中心加密机处理能力
CA中心签名服务器将使用加密机，完成用户证书签发、非对称密钥加解密等的功能。
因此，在上述服务器的性能设计中，主要提供了关于加密机的处理性能。
加密机
RedHatLinux6.0
加密机/卡
RSA1024位签名运算速度
250次/秒
RSA1024位验证运算速度
1000次/秒
3
对称算法加、解密速度
12.5Mb/秒。
4
生成一对RSA密钥的平均时间
3秒
图表Error!
Notextofspecifiedstyleindocument. 1加密机处理能力表
3.1.3目录服务器处理能力
用户证书查询以及证书黑名单查询可以通过LDAP协议来查询，目录服务器处理能力的主要指标是单个查询的响应时间以及目录服务能够承受的最大并发查询数。
单个查询响应平均时间
0.0843秒/次
最大并发量
300
图表目录服务器处理能力表
3.2先进性和开放性
天威诚信PKI/CA系统采用Verisign的技术平台，VeriSign已经与超过100家独立软件厂商建立了合作伙伴关系，其中包括Microsoft，Netscape，Lotus，Oracle，Cisco等等。
采用VeriSign技术平台的建设的天威诚信PKI/CA系统也延续了这种开放性。
在此开放性的平台上，有系列产品能够有效支持这些厂家的应用软件产品，这些产品包括：
安全Web应用、安全Email应用、安全MSExchange应用、安全LotusNotes应用、安全ERP应用和安全VPN应用等。
与此同时，天威诚信PKI/CA系统严格采用国际标准或工业标准的技术，如PKIX标准，保证系统最大的兼容性。
其中：
（1）与国内外其他CA认证体系交叉认证：
用户应用采用天威诚信CTN认证体系，可以与国内外其他符合国际工业标准的CA认证体系进行交叉认证，很容易实现与国际认证体系的接轨，实现将信任域扩充到全球。
（2）与各种电子商务平台体系相兼容：
天威诚信PKI/CA系统采用的技术路线是完全符合全球工业标准的技术路线，该体系已经广泛应用到全球的电子商务平台中，本产品已经与超过100家独立软件厂商建立了合作伙伴关系，其中包括Microsoft，Netscape，Lotus，Oracle，Cisco等。
（3）密码模块的兼容性：
密码模块的兼容性主要指用户密钥生成模块的兼容性，天威诚信PKI/CA系统具有良好的兼容性。
RA中心提供了预留接口，支持提供PKCS#11以及CSP证书接口的所有设备，可根据用户的需要，使用自己的算法，来生成用户证书的密钥对，提高保密性能。
（4）密码算法的兼容性：
天威诚信PKI/CA系统支持与国内外多种算法相兼容：
-公开密钥密码算法：
RSA、DSA等；
-对称密钥密码算法：
DES、Tri-DES、RC4、AES等；
-散列算法：
MD5、SHA1等。
（5）协议的兼容：
-证书申请、下载、存储支持PKCS#9/10/11/12系列以及微软开发的CSP系列；
-目录服务、黑名单CRL发布都支持LDAP协议，以及通用的目录服务器，如：
OPENLDAP软件、SUN的iPlanetDirectoryServer；
-证书在线查询支持OCSP协议；
-时间戳服务完全符合最新发布的RFC3161标准；
-用户端安全应用支持S/MIME安全电子邮件协议，SSL安全传输加密协议；
-证书格式的兼容：
能够兼容各种符合X.509V3标准的多种证书格式。
3.3安全可靠性
对于一个提供信任和安全保障服务的PKI/CA系统来说，其自身对安全性的要求是不言而喻的，根据上述描述，天威诚信PKI/CA系统具有很好的安全性。
3.4易操作性
天威诚信PKI/CA系统为用户提供的证书服务都使用浏览器（如IE和Netscape）进行操作，完全基于B/S模式的操作方法，一方面无须专门的客户端，使用快捷简单；
另一方面用户上手快，大大节省了培训成本。
同时具有交互界面，具有详细的、中文的用户使用帮助和专门的帮助库。
3.5可扩展性
天威诚信PKI/CA系统具有良好的可扩展性，包含多个方面的可扩展性：
证书的可扩展性、认证体系信任域的可扩展性、加密算法的可扩展性、及对应用支持的可扩展性等：
（1）证书的可扩展性：
天威诚信PKI/CA系统签发的证书本身带有很多可扩展的字段，可以根据用户的应用需求来利用这些扩展字段，还可以根据用户的需求对证书上显示的字段进行定制；
（2）认证体系的可扩展性：
对外信任域来说，可以通过交叉认证的方式实现与国内外其他的CA信任域互联互通。
另外，系统为用户应用设计的三层认证体系结构可以扩展成四层、五层，乃至无限，子CA可以签发下级子CA，由下级子CA来签发用户证书；
（3）密码算法的可扩展性：
支持多种对称算法、非对称算法以及数字摘要算法，如：
RSA、ECC、QC-1、QC-4、DES、RC4、RC2、IDEA、MD5、SHA1等。
（4）对应用支持的可扩展性：
天威诚信提供完整的证书应用API，包括C、JAVA和COM接口，提供用户使用手册和用户使用技术支持，可以充分的保证用户应用系统的需求，以及将来其它应用的扩展。
4系统稳定性
天威诚信CA中心系统对CA系统安全、信息系统安全进行严格设计，以实现其所提供证书服务的稳定性。
天威诚信在系统安全技术、稳定技术上进行不断改进，以确保为用户提供优质的服务。
4.1CA系统安全
4.1.1CA系统总体安全构架
CA中心系统通过多层防火墙将系统划分为多个区域，对不同的区域应用不同的安全策略。
CA系统安全根据逻辑进行分类，包括密码安全、密钥安全、操作系统安全、通信安全和信息系统安全等。
图1总体系统拓扑图
4.1.2操作系统与数据库安全
CA中心系统采用UNIX操作系统，并且对于操作系统进行优化加固，包括：
l系统安全补丁。
专人负责定期检查安全补丁信息，并及时为系统打补丁。
l优化系统参数配置。
优化操作系统对于进程管理、网络通信和文件系统相关参数，防止基于栈溢出、网络、文件权限等攻击。
l用户管理。
禁止系统不需要的用户，控制用户的登录终端，强制用户定期修改密码，并通过UMASK确保用户创建文件的权限正确。
l服务。
禁用系统不需要的服务。
l网络接口调整和安全优化。
关闭不需要的网络服务，并禁止路由功能。
l审计。
增强操作系统系统的审计功能，同时，将审计记录发送到系统的审计中心，进行保存和分析。
l修改banner。
去掉操作系统及其版本信息，使系统信息不暴露于外界。
对于数据库采用下述加固措施：
l用户组的安全性。
数据库软件安装在专有的用户和用户组
升级会员 