身份认证系统技术方案文档格式.docx

1、下面将针对在此系统的开发应用中对用户身份认证所做的需求加以说明。整个系统的逻辑结构如图1所示:图1:系统逻辑结构示意图如图1示,整个系统涉及了应用服务器、证书服务器以及相应的客户端。系统运作流程简述如下: 客户端访问应用服务器,应用服务器向认证服务器发出认证请求; 认证服务器完成对用户身份的认证并将与该用户相对应的认证信息返回相应的应用服务器; 用户在经过认证之后获得在应用服务器获得相应的授权,从而能够对应用系统进行相应的访问。所提交的认证系统在满足上述流程之外需要提供应用开发接口,满足与应用服务器之间的交互。这是将认证系统集成到整个身份认证系统的基础条件,使得后续的开发工作能够利用认证信息做

2、进一步的数据处理。考虑到平台的兼容性,应用系统开发方能够开发一个统一的接口程序与认证系统进行交互。另外还有如下几点要求需注意: 认证服务器的用户信息需要依据数据库服务器中的用户信息为基础; 对于客户端的身份认证最好采用硬件方式; 客户端经过广域网连接到认证服务器,要求认证服务器是能够面向广域网用户的; 客户端数量能够按250用户计算; 提供认证系统的安全模式说明,详细介绍如何确保系统的安全; 系统对认证系统的操作系统平台无特殊要求。1.3 身份认证系统认证解决之道根据身份认证系统的设计原则,系统安全需要解决如下几个方面的问题: 数据的保密性。包括数据静态存储的保密性和数据传输过程中的保密性;

3、有效的身份认证和权限控制。系统中的各个授权人员具有其特定级别的权限,能够进行该权限的操作,无法越权操作;操作者事后无法否认其进行的操作;未授权人员无法进入系统。我们建议利用业界行之有效的高强度的加解密技术和身份认证技术保证身份认证系统的安全,上海CA中心的数字身份认证系统能够为用户提供解决办法。身份认证系统主要负责证书管理,保证系统安全不间断地提供证书的申请和作废,提供用户信息和证书的备份和归档,保证系统数据的完整性。如何解决身份认证系统的安全性是我们关心的最大问题,结合身份认证系统,我们设计如下的应用模式:1.3.1 身份认证系统的模式首先我们来看一下身份认证系统的模式: 中心向操作员发放数

4、字证书; 用户使用数字证书登陆,经身份验证后,进入身份认证系统,填写或修改表单并提交; 系统对表单进行处理,然后提交、登记身份认证系统。1.3.2 建立身份认证系统身份认证系统以及与其发生业务的部门经过网络和数字证书建立安全可靠的身份认证系统。身份认证系统以及客户和部门申请数字证书,其申请数字证书的方式详见以下章节的多种可选方案。身份认证系统以及客户和部门申请到了标识其身份的数字证书文件和对应的私钥文件。在此将证书信息文件称为UserCert.der,私钥信息文件称为UserKey.key。证书的存储介质是带有算法的USBKEY。在我们的身份认证系统提供支持多种平台的证书应用接口API（App

5、lication Programming Interface）,WINDOWS平台以DLL的形式提供,各种UNIX平台以”.a”库的形式提供。利用该API,应用系统能够很方便的将数字证书应用嵌入到业务系统之中。上海CA中心同时在客户端提供ActiveX控件和JavaApplet开发接口应用服务器端同时提供动态连接库,COM组件和JavaBean开发接口。1.3.3 证书在身份认证系统上的安全应用以下假设向身份认证系统发订单,利用数字证书的一次数据流程。身份认证系统的服务器和操作员计算机各自申请一张标识其身份的数字证书,即具有其对应的证书文件,私钥文件。这样,经过自己计算机上的IE浏览器能够安全

6、的访问身份认证系统。根据以上数据传输过程,能够完全保证数据传输的保密性、完整性、身份认证和不可抵赖性。同理诸多运行在身份认证系统上的信息流都能够经过加密技术、数字签名技术以身份认证形式、安全电子邮件形式或文档形式进行安全。2. 详细设计方案2.1身份认证系统身份认证系统是在实际运作过程中,根据用户需求开发的一套内网数字身份认证解决方案套件。该系统能够作为公务网身份认证系统的配套产品适用于接入公务网的各委、办、局、区县的内网应用系统中。该系统将主要针对内网的应用系统,同时结合公务网身份认证系统的特点和需求,向办公内网提供本地证书库、本地证书管理、本地证书目录、本地证书管理、CRL查询等服务。 该

7、套系统的API提供了与身份认证系统配合使用的WEB安全套件,为WEB应用提供全方位的身份认证服务。包括UniTrust登录、UniTrust退出、对表单进行签名、对表单进行验证、对数据进行加密、解密、对信息进行时间标记和时间验证、以及身份信息控制。能够满足5 分钟内500个并发用户的验证要求。2.2 产品设计原则2.2.1认证系统的设计原则身份认证系统在设计时,从系统建设的近期和长远目标来综合考虑在设计中遵循了规范性、安全可靠性、实用性、扩展性、经济性、易用性和业务独立性等原则。并在以上原则中着重考虑了:安全性安全性是认证系统最为关注的问题,也是认证系统设计及建设中的关键,它包括Browser

8、与Server间信息传递的安全控制,访问系统的安全控制,系统数据的可追溯性。认证系统有完整的安全策略控制体系以实现安全控制。其关键技术包括网页签名技术,身份认证及信息加密技术,可保证系统间信息传递的安全,访问系统的安全控制。规范性 标准和规范是认证系统设计中的重要内容,这里所说的规范性,是指认证系统设计及建立过程的规范性。当前有关认证系统的实际应用有着多种相关的规范,如X.509,PKCS10,PKCS7,PKCS12等。不同的用户及系统在使用认证系统及证书时往往都按照相关的规范调用。同时良好的规范也保证了身份认证系统协调工作时的方便性和准确性。可扩展性认证系统方案设计中,每个层次的设计采用模

9、块化设计,可根据用户的不同需要发展进行灵活扩展。如,在数字证书中加入自定义扩展项,从而使政府用户可在证书中加入相应的工作证号等信息。特别是证书系统采用了B/S中的多层设计思想,使得系统可实现对于不同用户的定制服务,能够方便地实行对应用的控制与更新。易管理性系统的易管理性是证书认证系统的一个重要特点,系统对应提供多套管理系统,可对系统各个层次进行管理。并可对一些经常性的统计工作提供基于Web的管理。2.2.2 网络环境设计原则我们在作产品系统实施方案时充分考虑了网络的高性能、可靠性,可扩充性,以便支持以后网络分阶段升级的需要,保护原有投资。为此,遵循了以下原则:先进性和实用性 尽可能采用国际上先

10、进的技术和设备,使产品系统具有良好的性能,不但能满足当前认证系统的需要,还要满足未来3至5年的需要。对一些当前不重要的部分,则以经济实用为主,但要为以后的扩充打下基础。高可靠性 采用成熟的先进技术,关键部件和线路有足够备份,有必要的冗余容错能力,如出了故障,要能及时指出故障点及故障原因。较强的扩充性能 产品提供了很多于应用相连结的标准函数借口,能与将来的先进技术相结合,保护现有投资,保证系统能随时加入新的功能模块,保证有关软件能顺利升级和扩充。良好的安全保密措施 由于此产品是一套独立的身份认证系统,为了确保系统的安全保密措施和系统的大范围适用性,我们提供了软硬件一体机,经过访问控制、及为用户设

11、置权限等措施,防止非法侵入。2.3 功能模块架构应用系统身份认证系统系统初始化/系统管理/用户管理/证书管理/用户自服务/系统服务SafeengineSafeEngine证书管理器HardWare身份认证系统特性身份认证系统支持平台身份认证系统充分发挥硬件的特性,便于管理和维护。减少人为干预。兼容的应用软件和操作系统身份认证系统可与以下软件协同工作客户端应用程序:Netscape NavigatorNetscape CommunicationMicrosoft Internet ExploerUniTrust SafeEngine, UniTrust 证书管理器各种WEB服务器:MicroSo

12、ft IIS WebServerNetscape EnterpriseApacheJava WebServerDomino统一的管理界面身份认证系统的操作管理都基于WEB页面,有效降低维护的成本。支持各种介质身份认证系统支持用户证书存放在软盘、IC卡、USB棒以及服务器。严格的权限控制身份认证系统分为系统管理员、系统操作员、系统用户和匿名用户四个级别用户。系统管理员对系统的运行负责,但不能接触任何用户数据,同时必须超过半数的系统管理员到场时才能进入系统管理模式。操作员仅能对用户进行操作,不能影响系统的运行。用户仅能对自己的数据进行操作,不能修改她人数据。匿名用户提供公用的服务,如下载她人证书、

13、根证书、下载黑名单等。所有的认证方式均采用数字认证方式进行,确保系统安全。私钥保护身份认证系统对私钥进行严格的保护,对所有存放在身份认证系统上的私钥,采用多重加密方式,同时身份认证系统采用硬件机,无人能够直接获得身份认证系统上的数据。日志身份认证系统提供详尽的日志功能。包括系统日志和用户日志。系统日志主要提供所有系统管理员、系统操作员、用户对系统信息、或证书信息的操作。系统管理员能够经过日志查询获得系统的状态。历史信息查询身份认证系统提供国内首创（专利号）的技术,用户历史信息查询。历史信息包括用户的证书申请历史和证书使用信息。证书申请信息包括用户申请证书的记录申请时间、批准或驳回、更新时间、作废时间、上一张证书、下一张证书等。用户证书使用信息查询包括证书被验证记录,提供验证者信息和时间。供用户本人查证自己证书使用纪录,是否有她人试图使用自己的证书。下一版本中,将提供用户告警机制,用户能够设定自己的检查条件,系统核查满足条件后,就发送告警信息给用户。以尽快解决安全隐患。政策编辑身份认证系统提供自行编辑证书政策的功能,能够让运行商自行修改证书策略。数据备份身份认证系统提供根证书的导入导出功能,也支持所有的数据备份和恢复功能。为数据安全提供保障。产品升级对不断提高的