證書(shū)認(rèn)證系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著信息安全技術(shù)和公鑰基礎(chǔ)設(shè)施的飛速發(fā)展，以及各級(jí)證書(shū)認(rèn)證系統(tǒng)的建設(shè)和推廣，亟需發(fā)展可靠的、滿(mǎn)足多種應(yīng)用的證書(shū)認(rèn)證系統(tǒng)方案。CA系統(tǒng)不能滿(mǎn)足各種安全應(yīng)用的局限性也越來(lái)越受到人們的重視。 國(guó)內(nèi)CA發(fā)展現(xiàn)狀和中國(guó)電子認(rèn)證服務(wù)業(yè)的法律法規(guī)，也對(duì)證書(shū)認(rèn)證系統(tǒng)提出了更高要求。CA市場(chǎng)的規(guī)范化、淘汰制、重組機(jī)制也迫切要求建立一個(gè)功能完善、技術(shù)先進(jìn)、安全可靠、服務(wù)領(lǐng)先的證書(shū)認(rèn)證系統(tǒng)。 本論文的證書(shū)認(rèn)證系統(tǒng)體系結(jié)構(gòu)包含四個(gè)重要的實(shí)體：密

2、鑰管理中心子系統(tǒng)、CA中心子系統(tǒng)、RA中心子系統(tǒng)、OCSP/LDAP證書(shū)發(fā)布子系統(tǒng)。該證書(shū)認(rèn)證系統(tǒng)提供對(duì)數(shù)字證書(shū)全生命周期的過(guò)程管理，包括用戶(hù)注冊(cè)管理、證書(shū)/證書(shū)注銷(xiāo)列表的生成與簽發(fā)、證書(shū)/證書(shū)注銷(xiāo)列表的存儲(chǔ)與發(fā)布、證書(shū)狀態(tài)的查詢(xún)、密鑰的生成與管理、過(guò)程安全審計(jì)等。 本論文在證書(shū)認(rèn)證系統(tǒng)的設(shè)計(jì)上，采用自上而下的方法進(jìn)行描述。先從網(wǎng)絡(luò)拓?fù)浜瓦壿嫾軜?gòu)兩方面設(shè)計(jì)系統(tǒng)總體架構(gòu)；然后分析了KMC子系統(tǒng)、CA子系統(tǒng)、RA子系統(tǒng)、OCSP/L

3、DAP子系統(tǒng)的程序組成和模塊組成；最后討論和設(shè)計(jì)了證書(shū)模板機(jī)制。 本論文在證書(shū)認(rèn)證系統(tǒng)的實(shí)現(xiàn)上，采用抓主要矛盾的方法進(jìn)行描述。先從總體業(yè)務(wù)流程和證書(shū)申請(qǐng)流程兩方面介紹業(yè)務(wù)流程實(shí)現(xiàn)；然后詳細(xì)描述系統(tǒng)業(yè)務(wù)關(guān)鍵點(diǎn)實(shí)現(xiàn)，包括證書(shū)認(rèn)證系統(tǒng)報(bào)文、RA/CA業(yè)務(wù)報(bào)文元素分析、證書(shū)管理類(lèi)報(bào)文實(shí)現(xiàn)、證書(shū)申請(qǐng)類(lèi)報(bào)文實(shí)現(xiàn)等；最后對(duì)證書(shū)模板機(jī)制、統(tǒng)一接口、系統(tǒng)安全性設(shè)計(jì)進(jìn)行實(shí)現(xiàn)性描述。 與傳統(tǒng)的證書(shū)認(rèn)證系統(tǒng)相比，具有以下創(chuàng)新性：（1）建立一個(gè)功

4、能完善、技術(shù)先進(jìn)、安全可靠、服務(wù)領(lǐng)先的PKI架構(gòu)，支持RCA—CA—SCA—RA—LRA層次結(jié)構(gòu)。（2）建設(shè)完整的雙證書(shū)（加密證書(shū)和簽名證書(shū)）模式，兼容單證書(shū)模式。（3）可靈活裁減的層次化結(jié)構(gòu)，可根據(jù)應(yīng)用系統(tǒng)的需求靈活組合各個(gè)子系統(tǒng)，從而構(gòu)建滿(mǎn)足不同應(yīng)用的證書(shū)認(rèn)證系統(tǒng)。（4）支持強(qiáng)大的證書(shū)模板申請(qǐng)機(jī)制、更好面對(duì)復(fù)雜的證書(shū)應(yīng)用。（5）系統(tǒng)具有開(kāi)放性，能二次開(kāi)發(fā)，能夠適應(yīng)內(nèi)外部環(huán)境的變化。 證書(shū)認(rèn)證系統(tǒng)為各行各業(yè)提供基礎(chǔ)性服務(wù)，已在

5、電子政務(wù)領(lǐng)域、電子商務(wù)領(lǐng)域廣泛使用。目前證書(shū)認(rèn)證系統(tǒng)同授權(quán)管理系統(tǒng)（PMI）、單點(diǎn)登錄系統(tǒng)、統(tǒng)一用戶(hù)管理系統(tǒng)的集成應(yīng)用成為行業(yè)熱點(diǎn)；證書(shū)認(rèn)證系統(tǒng)對(duì)國(guó)家標(biāo)準(zhǔn)的ECC密碼算法的應(yīng)用支持也將成為行業(yè)的另一看點(diǎn)，也對(duì)證書(shū)認(rèn)證系統(tǒng)提出更高的要求。 本文的意義在于，針對(duì)證書(shū)認(rèn)證系統(tǒng)，提出了一套完整的實(shí)現(xiàn)方法，有較強(qiáng)的實(shí)用價(jià)值，可為各級(jí)證書(shū)認(rèn)證系統(tǒng)的實(shí)際建設(shè)提供一種方案。本文的模板機(jī)制也可用在授權(quán)管理系統(tǒng)的屬性證書(shū)的簽發(fā)；本文的設(shè)計(jì)方法和分析