甘肅工商網(wǎng)上辦事系統(tǒng)數(shù)字證書認證解決方案

1、甘肅工商網(wǎng)上辦事系統(tǒng)數(shù)字證書認證解決方案甘肅工商網(wǎng)上辦事系統(tǒng)數(shù)字證書認證解決方案北京數(shù)字證書認證中心有限公司中國電信甘肅萬維公司2011年8月20目錄1前言12需求分析13方案綜述23.1建設(shè)目標23.2建設(shè)思路23.2.1年檢系統(tǒng)23.2.2名稱登記系統(tǒng)23.2.3股權(quán)出質(zhì)系統(tǒng)23.2.4許可證管理系統(tǒng)（食品流通）33.2.5個體戶驗照、登記、監(jiān)管系統(tǒng)33.2.6企業(yè)登記系統(tǒng)33.3總體架構(gòu)34方案詳細設(shè)計44.1電子認證服務(wù)體系建設(shè)64.1.1工商業(yè)務(wù)系統(tǒng)對接64.1.2企業(yè)用戶業(yè)務(wù)權(quán)限劃分原則64.1.3受理點系統(tǒng)74.1.4數(shù)字證書產(chǎn)品84.1.5證書使用流程84.2數(shù)字簽名驗證服務(wù)器

2、8電子簽章系統(tǒng)105預(yù)期應(yīng)用效果126軟硬件產(chǎn)品清單136.1軟硬件產(chǎn)品清單見下表：136.2需改造的工商業(yè)務(wù)系統(tǒng)141 前言甘肅工商網(wǎng)上辦事系統(tǒng)目前已經(jīng)面向社會企業(yè)/個體工商戶開通了網(wǎng)上登記、網(wǎng)上驗照、股權(quán)出質(zhì)、名稱變更、企業(yè)年檢等業(yè)務(wù)，所有業(yè)務(wù)均可通過網(wǎng)絡(luò)進行預(yù)審，審核通過后再到大廳進行正式受理，極大的縮短了企業(yè)/個體戶大廳排隊等候的時間，減輕了大廳工作人員現(xiàn)場工作壓力的同時也大大了方便了辦事企業(yè)/個體戶，受到了一致的歡迎。由于目前網(wǎng)上辦事系統(tǒng)沒有采取任何安全手段對辦事企業(yè)的信息進行保護，同時也沒有技術(shù)保障對出現(xiàn)的網(wǎng)上辦事責任進行鑒定，因而所有業(yè)務(wù)的最終環(huán)節(jié)都要到大廳進行人工審核，造成企業(yè)

3、在網(wǎng)上進行提交以后還要到大廳“跑一趟”的現(xiàn)象，網(wǎng)上辦事系統(tǒng)應(yīng)有的效能未能充分發(fā)揮出來。2 需求分析針對甘肅工商網(wǎng)上辦事系統(tǒng)的應(yīng)用現(xiàn)狀，業(yè)務(wù)安全需求分析如下：1) 企業(yè)網(wǎng)絡(luò)身份真實可靠驗證需求目前企業(yè)通過計算機編碼/口令的方式登錄系統(tǒng)，存在計算機編碼/口令容易被盜的風險，納稅人網(wǎng)絡(luò)身份真實性難以保證。因此采取可靠的技術(shù)手段保障納稅人網(wǎng)絡(luò)身份的真實可靠。2) 企業(yè)身份信息、網(wǎng)上辦事業(yè)務(wù)數(shù)據(jù)安全保密需求目前企業(yè)身份信息以及網(wǎng)上辦事業(yè)務(wù)數(shù)據(jù)均以明文方式在網(wǎng)絡(luò)中傳輸，容易導致企業(yè)信息以及業(yè)務(wù)數(shù)據(jù)泄露，此外網(wǎng)絡(luò)傳輸數(shù)據(jù)的完整性也無法保證。因此需要采取技術(shù)手段保證網(wǎng)絡(luò)數(shù)據(jù)的保密以及完整性。3) 網(wǎng)上辦事業(yè)務(wù)

4、中有效認定各方責任需求目前網(wǎng)上辦事系統(tǒng)只進行相關(guān)業(yè)務(wù)的預(yù)審，最終企業(yè)還是要到大廳現(xiàn)場辦理手續(xù)，其原因在于目前網(wǎng)上處理的數(shù)據(jù)沒有法律效力，無法鑒別各方的責任。因此需要采取可靠的措施確保能夠有效鑒別參與各方的責任，實現(xiàn)無法抵賴。3 方案綜述3.1 建設(shè)目標為甘肅工商建設(shè)一套完整的數(shù)字證書認證體系，實現(xiàn)各實體身份在網(wǎng)絡(luò)上的真實映射，滿足全省范圍內(nèi)工商工作人員、社會公眾、企事業(yè)單位等實體的數(shù)字證書發(fā)放、更新、注銷服務(wù)需要。同時，提供相應(yīng)的證書應(yīng)用接口及應(yīng)用解決方案，配合完成甘肅工商現(xiàn)有網(wǎng)上辦事系統(tǒng)的改造工作，滿足各系統(tǒng)中身份認證、信息保密性、完整性和抗抵賴性等安全性要求。3.2 建設(shè)思路l 依據(jù)電子簽

5、名法要求，依托已經(jīng)取得電子認證服務(wù)資質(zhì)的電子認證服務(wù)機構(gòu)（BJCA），為工商用戶提供電子認證服務(wù)；l 為甘肅工商建立基于數(shù)字證書的應(yīng)用支撐體系，確保數(shù)字證書能夠方便得到應(yīng)用和推廣。其中證書應(yīng)用支撐系統(tǒng)包括：3.2.1 年檢系統(tǒng)對企業(yè)年檢進行網(wǎng)上全業(yè)務(wù)流轉(zhuǎn)審核，企業(yè)在接受由甘肅省CA（北京CA認證中心甘肅省代理RA節(jié)點）證書受理結(jié)構(gòu)頒布的數(shù)字證書之后，可進行企業(yè)年檢業(yè)務(wù)的網(wǎng)上資料申報、審核。在證書的安全體系保障下，不在進行重復(fù)的營業(yè)廳手續(xù)審核辦理，通過政務(wù)專網(wǎng)的體系進行企業(yè)年檢系統(tǒng)的相關(guān)組織的審核。3.2.2 名稱登記系統(tǒng)對企業(yè)事業(yè)單位的名稱網(wǎng)上登記、變更、調(diào)整、受理、作廢，名稱補錄、商標維護等

6、進行統(tǒng)一的CA鑒權(quán)認證后，進行相關(guān)業(yè)務(wù)的網(wǎng)上安全辦理、減輕營業(yè)廳柜臺現(xiàn)場辦理壓力。3.2.3 股權(quán)出質(zhì)系統(tǒng)通過認證中心改造對接CA認證中心進行股權(quán)出質(zhì)設(shè)立登記、 股權(quán)出質(zhì)變更登記、 股權(quán)出質(zhì)注銷登記、 股權(quán)出質(zhì)撤銷登記等網(wǎng)絡(luò)辦理業(yè)務(wù)。3.2.4 許可證管理系統(tǒng)（食品流通）進行CA認證模塊的統(tǒng)一認證后進行許可證設(shè)立、許可證變更、 許可證延續(xù)、 許可證注銷、許可證撤銷、 許可證撤回申請等網(wǎng)上辦理業(yè)務(wù)。3.2.5 個體戶驗照、登記、監(jiān)管系統(tǒng)個體戶通過外網(wǎng)遞交認證資料，進行CA認證的合法鑒權(quán)、遞交相關(guān)驗照資料，進行驗照申請，相關(guān)手續(xù)通過政務(wù)專網(wǎng)流轉(zhuǎn)至審核業(yè)務(wù)環(huán)節(jié)，進行相關(guān)網(wǎng)上受理辦理的合法驗照。個體戶

7、通過認證合法鑒權(quán)后進行個體戶設(shè)立登記、個體戶變更登記、個體戶注銷登記、個體戶撤銷登記、個體戶撤銷、個體戶增補照申請、個體戶吊銷登記、個體戶換照登記、個體戶換號等相關(guān)業(yè)務(wù)的網(wǎng)上辦理。3.2.6 企業(yè)登記系統(tǒng)企業(yè)通過統(tǒng)一發(fā)放的CA認證密鑰進行網(wǎng)上的設(shè)立登記、變更登記、 注銷登記、吊銷登記、遷出登記、遷入登記、換照登記、增補登記、撤銷登記、檔案查詢、業(yè)務(wù)查詢、收費（網(wǎng)上）、換號等相關(guān)企業(yè)登記所有業(yè)務(wù)的網(wǎng)上資料審核、辦理、查詢、支付費用等3.3 總體架構(gòu)根據(jù)上述建設(shè)目標和建設(shè)思路，甘肅工商數(shù)字證書認證體系建設(shè)具體內(nèi)容如下：圖表 1 甘肅工商數(shù)字證書認證體系總體框架設(shè)計Ø 數(shù)字證書受理點數(shù)字證

8、書受理點系統(tǒng)作為面向最終用戶提供證書發(fā)放、更新、吊銷的服務(wù)窗口。證書受理點可設(shè)在工商辦事大廳或者省內(nèi)指定證書辦理地點。Ø 證書應(yīng)用支撐數(shù)字證書在網(wǎng)上辦事系統(tǒng)中的應(yīng)用依托BJCA自主知識產(chǎn)權(quán)產(chǎn)品數(shù)字簽名驗證服務(wù)器和電子簽章系統(tǒng)實現(xiàn)。通過數(shù)字簽名驗證服務(wù)器，基于數(shù)字證書對用戶身份進行可靠認證；基于數(shù)字信封技術(shù)對通過網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)進行加密，有效防止數(shù)據(jù)在傳輸過程中被泄露。通過電子簽章系統(tǒng)，實現(xiàn)對重要業(yè)務(wù)流程的簽字蓋章，更好的滿足傳統(tǒng)應(yīng)用習慣并滿足電子化業(yè)務(wù)處理模式下數(shù)據(jù)的法律效力問題。Ø 證書最終用戶證書最終用戶既是應(yīng)用系統(tǒng)的使用方，也是數(shù)字證書的使用者。證書最終用戶應(yīng)按照要求提

9、交證明材料，通過受理點人員的現(xiàn)實身份鑒證后，獲得數(shù)字證書，并使用證書登錄網(wǎng)上辦事系統(tǒng)，在業(yè)務(wù)中進行系統(tǒng)安全登錄、電子簽章等操作。4 方案詳細設(shè)計CA認證應(yīng)用改造網(wǎng)絡(luò)圖應(yīng)用系統(tǒng)交互用例圖4.1 電子認證服務(wù)體系建設(shè)為建立良好的用戶權(quán)益保障機制，需要建設(shè)甘肅工商電子認證服務(wù)體系，面向工商內(nèi)部以及企業(yè)用戶提供數(shù)字證書申請、更新、注銷等電子認證服務(wù)，滿足網(wǎng)上辦事系統(tǒng)的安全應(yīng)用需求。此模式下，由依托于甘肅萬維RA建設(shè)電子認證服務(wù)體系，通過建設(shè)甘肅工商受理點系統(tǒng)，實現(xiàn)面向最終用戶的證書發(fā)放及管理功能。4.1.1 工商業(yè)務(wù)系統(tǒng)對接通過全面改造現(xiàn)有甘肅省工商各項對外辦理業(yè)務(wù)系統(tǒng)的登錄模塊以及相關(guān)的業(yè)務(wù)權(quán)限設(shè)置

10、模塊，統(tǒng)一集中進行網(wǎng)上安全辦理業(yè)務(wù)。數(shù)字證書進行統(tǒng)一審核辦理，各業(yè)務(wù)辦理權(quán)限將根據(jù)企業(yè)實際需要進行相關(guān)的在線辦理業(yè)務(wù)的授權(quán)，并進行相關(guān)資費的收取，為企業(yè)進行辦理工作量的減少，同時減少工商營業(yè)廳辦理業(yè)務(wù)的壓力。4.1.2 企業(yè)用戶業(yè)務(wù)權(quán)限劃分原則 企業(yè)用戶在RA節(jié)點獲得工商業(yè)務(wù)辦理的相關(guān)證書審核發(fā)放后，并進行相關(guān)業(yè)務(wù)辦理權(quán)限的設(shè)置，企業(yè)可根據(jù)組織的性質(zhì)和特點進行相應(yīng)網(wǎng)上安全辦理業(yè)務(wù)權(quán)限模塊的開放，并根據(jù)業(yè)務(wù)權(quán)限使用的多少進行資費繳納。業(yè)務(wù)使用的權(quán)限將根據(jù)業(yè)務(wù)辦理的種類，開通相關(guān)辦理權(quán)限的原則進行相關(guān)模塊權(quán)限的申請和開啟。4.1.3 試點原則選擇業(yè)務(wù)涉及環(huán)節(jié)完整、用戶規(guī)模大的單一系統(tǒng)進行試點，風險

11、小、施工快，業(yè)務(wù)宣傳效果容易突出的例如企業(yè)登記系統(tǒng)。4.1.4 受理點系統(tǒng)受理點同步企業(yè)登記資料開戶流程示意：證書受理點系統(tǒng)是面向最終用戶的證書辦理終端，證書受理點系統(tǒng)的主要功能包括：錄入用戶申請信息證書管理員錄入用戶基本信息，申請數(shù)字證書。審核用戶申請信息證書申請錄入系統(tǒng)后，管理員需要登錄系統(tǒng)進行審核。下載并制作數(shù)字證書受理點管理員通過受理點系統(tǒng)進行，下載后的證書會自動保存到USB KEY設(shè)備中。證書吊銷當用戶證書丟失或因其他原因證書不能再使用時，證書管理員為用戶申請吊銷證書。吊銷成功后，該證書將會簽發(fā)到證書黑名單CRL中。證書更新數(shù)字證書的有效期一般為1年，數(shù)字證書到期之前，必須對數(shù)字證書

12、進行更新，否則會影響數(shù)字證書的正常使用。證書業(yè)務(wù)狀態(tài)查詢受理點證書管理員可以登錄系統(tǒng)察看某條證書業(yè)務(wù)的詳細處理情況。證書業(yè)務(wù)統(tǒng)計根據(jù)輸入的業(yè)務(wù)類型、生成時間以及操作人員信息對系統(tǒng)證書業(yè)務(wù)進行查詢。4.1.5 數(shù)字證書產(chǎn)品1、證書類別BJCA簽發(fā)的數(shù)字證書實物為完整的數(shù)字證書產(chǎn)品，包括：USBKey、數(shù)字證書密碼卡、安裝光盤、質(zhì)?？癠SBKey掛繩。USBKey：存放數(shù)字證書的物理介質(zhì)，外觀類似U盤。安裝光盤：存放證書管理工具或其它程序的光盤，確保用戶正常使用數(shù)字證書。數(shù)字證書密碼卡：印有數(shù)字證書密碼卡序號和密碼的卡片，其密碼為USBKey的初始密碼。USBKey掛繩：方便隨身攜帶USBKey

13、。質(zhì)?？ǎ篣SBKey質(zhì)保憑證。2、證書格式的靈活定制數(shù)字證書的格式嚴格符合X.509格式規(guī)范，同時在內(nèi)容上還可以根據(jù)應(yīng)用需求，提供靈活的模板定制功能，如設(shè)置證書各種基本屬性、定制證書有效期，擴展項的隨需修改等等。3、證書存儲介質(zhì)為確保證書自身的安全性及使用的便利性，數(shù)字證書采用智能USBkey作為證書載體：采用USBkey作為載體，其特點如下：（1） 對證書密鑰保護程度高，不僅密鑰存儲可靠，而且私鑰運算完全在專用芯片中進行，杜絕了密鑰泄密；（2） 形狀小巧，攜帶方便，操作簡單。4.1.6 證書使用流程4.2 數(shù)字簽名驗證服務(wù)器數(shù)字簽名驗證服務(wù)器是由客戶端軟件（證書應(yīng)用中間件）、應(yīng)用系統(tǒng)API

14、接口和提供獨立簽名運算的硬件設(shè)備組成，數(shù)字簽名驗證服務(wù)系統(tǒng)是BJCA面向應(yīng)用系統(tǒng)所面臨的認證、簽名和加密需求，而提出基于權(quán)威數(shù)字證書的具有完全自主知識產(chǎn)權(quán)的安全系統(tǒng)。該系統(tǒng)在P11、CSP等標準的底層證書調(diào)用接口基礎(chǔ)上，通過SOAP協(xié)議對多個應(yīng)用服務(wù)提供密碼運算，實現(xiàn)基于證書的身份認證、數(shù)字簽名、數(shù)據(jù)加密等功能。具體功能描述如下：(1)提供與業(yè)務(wù)系統(tǒng)模式、運行平臺無關(guān)的服務(wù)方式，獨立運行；(2)方便地實現(xiàn)與業(yè)務(wù)系統(tǒng)結(jié)合，具有良好的可用性和可維護性；(3)可提供雙向的加密、簽名功能，保證業(yè)務(wù)系統(tǒng)的安全交互；(4)提供業(yè)務(wù)系統(tǒng)的數(shù)字證書和私鑰在數(shù)字簽名驗證服務(wù)系統(tǒng)上統(tǒng)一管理；(5)提供根證書在數(shù)字

15、簽名驗證服務(wù)器上統(tǒng)一的安全存儲區(qū)，實現(xiàn)對根證書的管理和控制；(6)數(shù)字簽名驗證服務(wù)器支持性能擴展，可通過增加硬件加密引擎或并行負載方式擴展；(7)支持多種形式的證書介質(zhì)，數(shù)據(jù)格式支持pkcs#1、pkcs#7、XMLSign；(8)提供對管理維護以及運行錯誤產(chǎn)生的日志進行詳細的記錄，以方便審計；(9)支持最多100個證書應(yīng)用，可以同時為他們提供證書和密碼服務(wù)，并集中進行管理?；跀?shù)字證書的安全登錄流程用戶身份認證的具體流程如下：l 用戶使用證書安裝程序（證書發(fā)放時連同證書一起獲?。?shù)字證書安裝在所使用的計算機上；l 用戶使用證書進行注冊，瀏覽器端ActiveX控件讀取用戶證書內(nèi)的信息并顯示在

16、相應(yīng)的注冊項中，比如名稱、號碼等，同時用戶填寫證書中所不包含的其它信息，瀏覽器端ActiveX控件對這些注冊信息進行簽名和加密處理，并將生成的加密包上傳到服務(wù)器端，由服務(wù)器端安全網(wǎng)關(guān)進行解密和驗證簽名。如果簽名驗證通過，則由后臺業(yè)務(wù)系統(tǒng)將注冊信息錄入用戶數(shù)據(jù)庫中，完成新用戶的線上注冊；l 用戶使用證書進行系統(tǒng)登錄；l 瀏覽器端ActiveX控件對數(shù)字證書的唯一標記項進行簽名和加密處理，并將生成的保密身份數(shù)據(jù)包上傳到服務(wù)器端；在此過程中，也可以加入對隨機數(shù)的簽名，提高抗重放攻擊能力；l 服務(wù)器端安全網(wǎng)關(guān)接收到保密身份數(shù)據(jù)包之后，進行拆包、解密和驗證簽名處理。如果以上環(huán)節(jié)均成功，則由后臺業(yè)務(wù)系統(tǒng)根

17、據(jù)證書唯一標記項在用戶數(shù)據(jù)庫中查找，判斷該用戶是否為合法用戶，如果是合法用戶，則通過身份認證，允許用戶登錄并進行業(yè)務(wù)處理；否則，拒絕該用戶登錄。電子簽章系統(tǒng)甘肅工商網(wǎng)上辦事系統(tǒng)為典型的基于網(wǎng)頁的B/S應(yīng)用，推薦系統(tǒng)中采用網(wǎng)頁電子簽章。網(wǎng)頁電子簽章軟件以COM控件方式與網(wǎng)頁結(jié)合，可以在網(wǎng)頁上加蓋可視印章或人名章，也可以僅對簽名對象進行電子簽名保護而不顯示印章。網(wǎng)頁電子簽章軟件在客戶端可對Web頁面表單中的一個或多個域的信息內(nèi)容進行電子簽章，電子簽章成功后的電子簽名數(shù)據(jù)需要由OA系統(tǒng)進行保存。在客戶端也可以對Web頁面上的簽章進行自動和手動驗證，通過相關(guān)的驗證接口，可以對指定輸入信息內(nèi)容進行驗證。

18、通過驗證簽署者的數(shù)字證書是否由權(quán)威第三方認證機構(gòu)所頒發(fā)，來證明簽署者身份的真實可靠性，并可以查看簽署者身份證書，從而確認簽署者；能對所簽內(nèi)容進行完整性認證，確定其是否被篡改。如果簽署后的內(nèi)容發(fā)生了變更，驗證時則會提示文檔驗證不通過（即文檔驗證失?。?。即通過數(shù)字簽名的唯一性及可驗證性，從而確保簽署者對所簽文檔的不可抵賴。圖表 2網(wǎng)頁電子簽章示例效果網(wǎng)頁電子簽章主要功能如下:功能名稱功能描述網(wǎng)頁簽章對Web網(wǎng)頁表單中的一個或多個域進行電子簽名，加蓋在網(wǎng)頁上的電子簽章完全透明。簽名人需要持有具有電子簽章功能的數(shù)字證書智能Key進行操作；移動樣章根據(jù)用戶的需要，調(diào)整樣章的位置。撤銷簽章對Web網(wǎng)頁表單

19、內(nèi)容進行電子簽名，在樣章位置加蓋并顯示簽名人的電子簽章。簽章驗證通過查看網(wǎng)頁上的電子簽章，驗證網(wǎng)頁中指定的表單域內(nèi)容是否發(fā)生篡改，并顯示驗證結(jié)果。 證書信息通過查看Web網(wǎng)頁上的電子簽章，顯示簽名人的證書信息。刪除簽章選定簽章，撤消對表單的電子簽名，電子簽章需要經(jīng)過身份驗證后才能刪除。多印章支持在同一Web網(wǎng)頁上加蓋多個電子簽章。文檔重簽蓋完章后可選擇重新對網(wǎng)頁文檔進行電子簽章操作。5 預(yù)期應(yīng)用效果按照本方案設(shè)計，甘肅工商網(wǎng)上辦事系統(tǒng)數(shù)字證書認證項目建設(shè)完成后，將大大提高網(wǎng)上辦事系統(tǒng)的安全級別以及用戶體驗效果，網(wǎng)上業(yè)務(wù)受理有望替代傳統(tǒng)的業(yè)務(wù)受理，有效減輕辦事大廳業(yè)務(wù)受理壓力，減輕辦事企業(yè)負擔。

20、應(yīng)用效果分別進行描述：5.1 登錄認證過程效果用戶登錄網(wǎng)上辦事系統(tǒng)前，只要將數(shù)字證書介質(zhì)UEBKEY接到計算機USB接口，BJCA數(shù)字證書特有的即插即用功能組件將證書用戶名稱顯示在用戶名位置，用戶只要輸入證書保護口令即可實現(xiàn)系統(tǒng)的登錄過程，頁面效果如下圖所示：5.2 業(yè)務(wù)申請電子簽章效果企業(yè)在業(yè)務(wù)申請、工商部門在業(yè)務(wù)審批過程中填寫信息后，利用BJCA電子簽章系統(tǒng)實現(xiàn)對審批意見進行電子簽章，提交后進入其他審批環(huán)節(jié)，電子簽章有效保證了用戶的印章使用習慣，并具有法律效力。以名稱變更申請為例，電子簽章效果如下圖所示：其他用戶訪問該頁面時，通過網(wǎng)頁電子簽章檢驗申請以及審批內(nèi)容是否有效。Ukey認證5.3 名稱登記流程改版效果無需現(xiàn)場遞交資料，Ukey認證，在線電子資料為合法資料Ukey認證Ukey認證Ukey認證Ukey認證Ukey認證Ukey認證5.4 名稱變更改版效果電子審查，備案直接打印歸檔無需現(xiàn)場遞交資料，Ukey認證，在線電子資料加蓋電子印章為合法認證資料5.5 年鑒辦理改版效果5.6 企業(yè)檔案查詢改版效果輸入認證密碼：XXXX彈出Ukey認證框，輸入密碼，遞交查詢申請（可選），查看相關(guān)資料?？缙髽I(yè)查詢有查看記錄日志記載其他企業(yè)黑名單信息查詢申請，Ukey認證，進行日志記載投資人檔案可查詢是否有關(guān)聯(lián)交