用友NC安全解決方案

東方中訊數(shù)字證書(shū)認(rèn)證有限公司用友用友NC用友用友NC安全解決方案 目錄東方中訊數(shù)字證書(shū)認(rèn)證有限公司東方中訊數(shù)字證書(shū)認(rèn)證有限公司目錄TOC\o"1-5"\h\z前言 1應(yīng)用安全需求概述 1\o"CurrentDocument"用友NC實(shí)現(xiàn)功能 2\o"CurrentDocument"CA應(yīng)用需求 2\o"CurrentDocument"VPN安全應(yīng)用需求 4\o"CurrentDocument"法律需求一電子簽名法 5\o"CurrentDocument"241相關(guān)概念 5\o"CurrentDocument"相關(guān)規(guī)定 6\o"CurrentDocument"法律效益 7CA安全解決方案 7\o"CurrentDocument"總體架構(gòu) 7\o"CurrentDocument"托管服務(wù)模式 9\o"CurrentDocument"網(wǎng)絡(luò)架構(gòu) 10\o"CurrentDocument"CA系統(tǒng)工作流程設(shè)計(jì) 11\o"CurrentDocument"CA系統(tǒng)實(shí)施部署流程 14\o"CurrentDocument"托管模式意義 14CA技術(shù)與 VPN相結(jié)合 15\o"CurrentDocument"VPN總體架構(gòu) 15\o"CurrentDocument"VPN安全登錄實(shí)現(xiàn)原理 16\o"CurrentDocument"VPN證書(shū)應(yīng)用 17硬件RA東方中訊 RA-M 18\o"CurrentDocument"概述 18\o"CurrentDocument"產(chǎn)品特點(diǎn) 18\o"CurrentDocument"產(chǎn)品功能 19\o"CurrentDocument"3.5證書(shū)存儲(chǔ)介質(zhì) 19人員安全解決方案 20\o"CurrentDocument"信息部職責(zé) 20\o"CurrentDocument"各部門、分公司的職責(zé) 20\o"CurrentDocument"員工的權(quán)利與義務(wù) 20\o"CurrentDocument"證書(shū)申請(qǐng)流程和規(guī)范 21\o"CurrentDocument"數(shù)字證書(shū)發(fā)放模式 21\o"CurrentDocument"數(shù)字證書(shū)申請(qǐng)流程 22\o"CurrentDocument"鑒證審批管理規(guī)范 23\o"CurrentDocument"鑒證審批的基本原則 23\o"CurrentDocument"證書(shū)更新鑒證 24\o"CurrentDocument"證書(shū)吊銷鑒證 24\o"CurrentDocument"網(wǎng)絡(luò)管理員安全控制 25\o"CurrentDocument"網(wǎng)絡(luò)管理員職責(zé) 25\o"CurrentDocument"NC系統(tǒng)人員安全管控 26NC系統(tǒng)層次安全架構(gòu)介紹 31\o"CurrentDocument"客戶端接入 31\o"CurrentDocument"傳輸層加密 33\o"CurrentDocument"服務(wù)器安全 33\o"CurrentDocument"數(shù)據(jù)庫(kù)安全 34證書(shū)審批模式設(shè)計(jì) 35\o"CurrentDocument"手動(dòng)審批 36\o"CurrentDocument"自動(dòng)審批 37\o"CurrentDocument"通行碼審批 39\o"CurrentDocument"集中制證模式 40CA安全認(rèn)證系統(tǒng)工作原理 42\o"CurrentDocument"系統(tǒng)安全原理 42\o"CurrentDocument"系統(tǒng)環(huán)境要求 46證書(shū)存儲(chǔ)方式 46\o"CurrentDocument"USBKEY 介紹 46\o"CurrentDocument"USBKEY 優(yōu)點(diǎn) 47USBKEY 密碼 48用友NC系統(tǒng)證書(shū)應(yīng)用 4810技術(shù)支持與培訓(xùn) 52附件一關(guān)于東方中訊 53附件二東方中訊相關(guān)資質(zhì) 57用友用友NC用友用友NC安全解決方案 第頁(yè)共59頁(yè)東方中訊數(shù)字證書(shū)認(rèn)證有限公司東方中訊數(shù)字證書(shū)認(rèn)證有限公司、尸、—

刖言用友軟件是中國(guó)最大的管理軟件、 ERP軟件、財(cái)務(wù)軟件、集團(tuán)管理軟件供應(yīng)商之一。用友NC是用友公司面向集團(tuán)型企業(yè)和高成長(zhǎng)型企業(yè)推出的高端 ERP產(chǎn)品，涵蓋從集中財(cái)務(wù)管理、供應(yīng)鏈管理、集團(tuán)資金管理等全面應(yīng)用，全面支持企業(yè)各項(xiàng)經(jīng)營(yíng)，是集團(tuán)企業(yè)協(xié)同電子商務(wù)的有效手段。用友NC與東方中訊數(shù)字PKI/CA產(chǎn)品和服務(wù)的整合方案，是一次強(qiáng)強(qiáng)聯(lián)合。用友NC核心管理理念是“集中管理戰(zhàn)略協(xié)同”，其中“戰(zhàn)略協(xié)同”是致力于集團(tuán)企業(yè)各組織間以及企業(yè)員工之間、上下游供應(yīng)商、伙伴、客戶等在信息共享的基礎(chǔ)上的協(xié)同工作。而東方中訊作為專業(yè)的電子認(rèn)證服務(wù)運(yùn)營(yíng)商和 CA產(chǎn)品提供商，實(shí)現(xiàn)了用友 NC用戶多方安全協(xié)同工作，保障信息傳遞的機(jī)密性、保障電子化信息交互的層面上雙方（多方）行為的不可篡改和不可抵賴性、并且使電子化的數(shù)字簽名和手寫(xiě)簽名一樣具有法律的效力，得到《中華人民共和國(guó)電子簽名法》法律的保障。目前，用友NC系統(tǒng)已經(jīng)成功支持東方中訊 CA產(chǎn)品和服務(wù)，NC系統(tǒng)只需簡(jiǎn)單的部署和配置，就可以實(shí)現(xiàn)基于數(shù)字證書(shū)的各種安全功能，保障系統(tǒng)高效、成功地實(shí)施。迄今為止，東方中訊PKI/CA安全解決方案已在眾多大型集團(tuán)企業(yè)的資金管理系統(tǒng)中成功應(yīng)用。東方中訊以高可靠性的產(chǎn)品及優(yōu)質(zhì)的技術(shù)支持能力成為用友集團(tuán) CA認(rèn)證合作伙伴，為用友NC產(chǎn)品保駕護(hù)航，提供全面的安全解決方案。2應(yīng)用安全需求概述目前NC的默認(rèn)登錄方式是用戶名+口令的方式，安全性不高，容易被暴力破解,當(dāng)然在業(yè)務(wù)交流的時(shí)候也會(huì)因?yàn)槿藶榈氖韬龌蛘吆诳偷墓舳鴮?dǎo)致業(yè)務(wù)信息丟失，公開(kāi)或者篡改，使用戶的資金系統(tǒng)存在著安全隱患，導(dǎo)致不必要的損失。2.1用友NC實(shí)現(xiàn)功能1、 通過(guò)NC系統(tǒng)的應(yīng)付系統(tǒng)來(lái)完成支付業(yè)務(wù)的全過(guò)程管理。2、 由系統(tǒng)實(shí)現(xiàn)專項(xiàng)預(yù)算對(duì)支付的自動(dòng)控制，超出部分不允許支付。3、 可以通過(guò)配置不同付款單的審批流程來(lái)控制各子公司的支付走款，同時(shí)不允許修改由支付業(yè)務(wù)觸發(fā)生成的總賬憑證中的金額等要素。4、 子公司出納將審批通過(guò)的付款單進(jìn)行支付，如果開(kāi)通了銀企互聯(lián)的支付功能，則可以在系統(tǒng)平臺(tái)上直接對(duì)外支付。5、 子公司財(cái)務(wù)人員根據(jù)支付完成的付款單自動(dòng)觸發(fā)生成相關(guān)會(huì)計(jì)憑證。CA應(yīng)用需求由于在用戶內(nèi)部存在著許多支付和審批交易，不可避免的會(huì)遇到一些安全保障因素，對(duì)支付人、審批人的身份認(rèn)證，可信電子簽名，操作控制以及抗抵賴追等，都是集團(tuán)考慮的安全要素。就用戶的應(yīng)用安全需求，結(jié)合用友 NC系統(tǒng)，東方中訊提出下面幾點(diǎn)具體的 CA安全需求：基于用戶名/口令的認(rèn)證方式基于用戶名/口令的認(rèn)證方式是最常用的一種技術(shù)，也是現(xiàn)在用友 NC普遍使用的認(rèn)證方式，無(wú)論是數(shù)據(jù)網(wǎng)中的系統(tǒng)管理、業(yè)務(wù)管理、辦公自動(dòng)化系統(tǒng)還是遠(yuǎn)程登錄，都是基于用戶名和口令的方式認(rèn)證?；谟脩裘?口令的認(rèn)證方式存在嚴(yán)重的安全問(wèn)題，是攻擊者最容易攻擊的目標(biāo)：1）它是一種單因素的認(rèn)證，安全性僅依賴于口令，口令一旦泄露，用戶即可被冒充。2） 為記憶方便，是用戶往往選擇簡(jiǎn)單、容易被猜測(cè)的口令，如：與用戶名相同的口令、生日、單詞等。這往往成為安全系統(tǒng)最薄弱的突破口。3） 口令一般是經(jīng)過(guò)加密后存放在口令文件中，如果口令文件被竊取，那么就可以進(jìn)行離線的字典式攻擊。這也是黑客最常用的手段之一。關(guān)于網(wǎng)站安全的調(diào)查結(jié)果表明：超過(guò) 80%的安全入侵是由于用戶選用了拙劣的口令而導(dǎo)致的。由此可以推斷，大部分的入侵可以通過(guò)選擇好的口令來(lái)阻止。應(yīng)用系統(tǒng)對(duì)關(guān)鍵操作的控制關(guān)鍵操作即對(duì)數(shù)據(jù)交互的安全操作，比如在 ERP系統(tǒng)中關(guān)鍵文檔的提交和發(fā)布,報(bào)帳系統(tǒng)中重要信息的傳輸，資金系統(tǒng)中涉及資金的審批，供應(yīng)鏈中的單據(jù)確認(rèn)等等。主要涉及了三方面的安全風(fēng)險(xiǎn)：1） 信息的機(jī)密性：傳輸在客戶端與 Web服務(wù)器之間的敏感、機(jī)密信息和交易數(shù)據(jù)，如客戶的私隱信息等，這些數(shù)據(jù)都是保密的數(shù)據(jù)。而通過(guò)開(kāi)放的互聯(lián)網(wǎng)，有可能在傳輸過(guò)程中被截取，被非法用戶加以利用，給用戶和企業(yè)造成損失。2） 信息的完整性：在保證信息機(jī)密性的同時(shí)，還需要保證敏感數(shù)據(jù)的完整傳輸。通過(guò)開(kāi)放的互聯(lián)網(wǎng)，敏感數(shù)據(jù)在傳輸過(guò)程中很可能被惡意篡改，使得接收方不能得到完整的信息。3） 信息的不可抵賴性：是指發(fā)送信息的一方不能對(duì)自己的發(fā)送的信息進(jìn)行抵賴，不能否認(rèn)自己發(fā)送信息的行為。由于信息的傳輸是通過(guò)開(kāi)放的互聯(lián)網(wǎng)，經(jīng)常會(huì)由于對(duì)發(fā)送的信息進(jìn)行抵賴而引起不必要的糾紛和問(wèn)題，給交易的雙方帶來(lái)巨大的影響和損失。網(wǎng)上交互（交易）行為一旦被進(jìn)行交易的一方所否認(rèn)，另一方?jīng)]有已簽名的記錄來(lái)作為仲裁的依據(jù)（無(wú)論是司法取證還是內(nèi)部管理追溯或者審計(jì)）。身份及資產(chǎn)的管理無(wú)論內(nèi)部員工還是外部用戶，最大的風(fēng)險(xiǎn)就是信息環(huán)境中人與用戶的關(guān)聯(lián)性。當(dāng)前信息安全的發(fā)展不僅要求虛擬身份的標(biāo)識(shí)符合應(yīng)用系統(tǒng)要求，而且強(qiáng)調(diào)標(biāo)識(shí)方式符合真實(shí)的社會(huì)實(shí)體要求，即虛擬身份與真實(shí)身份唯一對(duì)應(yīng)。對(duì)設(shè)備等實(shí)物資產(chǎn)同樣，無(wú)法將真實(shí)身份按角色的分配給用戶會(huì)導(dǎo)致整個(gè)管理的混亂，信息孤島會(huì)導(dǎo)致 IT的目標(biāo)與企業(yè)戰(zhàn)略和股東利益的不一致。東方中訊為用友NC提供的解決方案，能夠完全解決財(cái)務(wù)、資金、供應(yīng)鏈、客戶關(guān)系管理、決策支撐、人力資源等豐富系統(tǒng)中的用戶認(rèn)證、數(shù)據(jù)加密、信息不可否認(rèn)性等方面存在的安全問(wèn)題。VPN安全應(yīng)用需求隨著信息化應(yīng)用需求的逐步深入，企事業(yè)單位的內(nèi)部應(yīng)用系統(tǒng)往往需要向外部人員開(kāi)放，方便本單位駐外地員工或者外單位人員進(jìn)行業(yè)務(wù)交流，在這種需求下，越來(lái)越多的企事業(yè)單位通過(guò)VPN系統(tǒng)處理外部用戶的業(yè)務(wù)請(qǐng)求，采用 VPN使外部用戶可以方便的登錄企業(yè)內(nèi)部辦公應(yīng)用系統(tǒng)。在這種模式下，用戶通過(guò) VPN能夠直接接入企業(yè)內(nèi)網(wǎng)，為了企業(yè)內(nèi)部網(wǎng)絡(luò)安全和傳輸信息安全，米用何種用戶認(rèn)證模式，就顯得尤為重要了。具體的需求如下：身份認(rèn)證和訪問(wèn)控制： 高強(qiáng)度的身份認(rèn)證是保障 VPN系統(tǒng)安全的前提，VPN系統(tǒng)對(duì)用戶的身份認(rèn)證往往采用的是“ 用戶名+密碼”的方式，這種口令式的用戶身份認(rèn)證方式降低了 VPN系統(tǒng)的整體安全性。機(jī)密性：在網(wǎng)絡(luò)上傳輸?shù)男畔⒉荒鼙桓`??；數(shù)據(jù)完整性：在網(wǎng)絡(luò)上傳輸?shù)男畔⒉荒鼙粣阂飧Z改；不可抵賴性：在網(wǎng)上提交的請(qǐng)求是不允許抵賴的，同時(shí)對(duì)涉及信息安全的事件，提供事后追蹤、審核及統(tǒng)計(jì)的手段。2.4法律需求一電子簽名法相關(guān)概念電子簽名：是指數(shù)據(jù)電文中以電子形式所含、所附用于識(shí)別簽名人身份并表明簽名人認(rèn)可其中內(nèi)容的數(shù)據(jù)。數(shù)據(jù)電文：是指以電子、光學(xué)、磁或者類似手段生成、發(fā)送、接收或者儲(chǔ)存的信息。電子簽名的表現(xiàn)形式：1、 附著于電子文件的手寫(xiě)簽名的數(shù)字化圖像，包括采用生物筆跡辨別法所形成的圖像。2、 向收件人發(fā)出證實(shí)發(fā)送人身份的密碼、計(jì)算機(jī)口令。3、 采用特定生物技術(shù)識(shí)別工具，如指紋或者虹膜透視辨別法。4、 使用非對(duì)稱密碼加密系統(tǒng)對(duì)電子記錄進(jìn)行加密、解密變換來(lái)實(shí)現(xiàn)的數(shù)字簽名。電子認(rèn)證服務(wù)：是指為電子簽名相關(guān)各方提供真實(shí)性、可靠性驗(yàn)證的公眾服務(wù)活動(dòng)。電子簽名人：是指持有電子簽名制作數(shù)據(jù)并以本人身份或者以其所代表的人的名義實(shí)施電子簽名的人。電子簽名依賴方：是指基于對(duì)電子簽名認(rèn)證證書(shū)或者電子簽名的信賴從事有關(guān)活動(dòng)的人。電子簽名制作數(shù)據(jù)：是指在電子簽名過(guò)程中使用的，將電子簽名與電子簽名人可靠地聯(lián)系起來(lái)的字符、編碼等數(shù)據(jù)。電子簽名驗(yàn)證數(shù)據(jù)：是指用于驗(yàn)證電子簽名的數(shù)據(jù)，包括代碼、口令、算法或者公鑰等。電子簽名認(rèn)證證書(shū)：是指可證實(shí)電子簽名人與電子簽名制作數(shù)據(jù)有聯(lián)系的數(shù)據(jù)電文或者其他電子記錄。相關(guān)規(guī)定數(shù)字證書(shū)內(nèi)容：《電子簽名法》第二十一條電子認(rèn)證服務(wù)提供者簽發(fā)的電子簽名認(rèn)證證書(shū)應(yīng)當(dāng)準(zhǔn)確無(wú)誤，并應(yīng)當(dāng)載明下列內(nèi)容：（一） 電子認(rèn)證服務(wù)提供者名稱；（二） 證書(shū)持有人名稱；（三） 證書(shū)序列號(hào)；（四） 證書(shū)有效期；（五） 證書(shū)持有人的電子簽名驗(yàn)證數(shù)據(jù)；（六） 電子認(rèn)證服務(wù)提供者的電子簽名；（七） 國(guó)務(wù)院信息產(chǎn)業(yè)主管部門規(guī)定的其他內(nèi)容。電子認(rèn)證服務(wù)機(jī)構(gòu)的條件：《電子認(rèn)證服務(wù)管理辦法》第五條 電子認(rèn)證服務(wù)機(jī)構(gòu)，應(yīng)當(dāng)具備下列條件：（一） 具有獨(dú)立的企業(yè)法人資格；（二） 從事電子認(rèn)證服務(wù)的專業(yè)技術(shù)人員、運(yùn)營(yíng)管理人員、安全管理人員和客戶服務(wù)人員不少于三十名；（三） 注冊(cè)資金不低于人民幣三千萬(wàn)元；（四） 具有固定的經(jīng)營(yíng)場(chǎng)所和滿足電子認(rèn)證服務(wù)要求的物理環(huán)境；（五） 具有符合國(guó)家有關(guān)安全標(biāo)準(zhǔn)的技術(shù)和設(shè)備；（六） 具有國(guó)家密碼管理機(jī)構(gòu)同意使用密碼的證明文件；（七） 法律、行政法規(guī)規(guī)定的其他條件。法律效益立法要解決的是規(guī)定安全可靠的電子簽名應(yīng)當(dāng)達(dá)到的標(biāo)準(zhǔn)并賦予其法律效力；而如何達(dá)到法定標(biāo)準(zhǔn)，則屬于技術(shù)問(wèn)題?！峨娮雍灻ā返谑臈l：“可靠的電子簽名與手寫(xiě)簽名或者蓋章具有同等法律效力。"《電子簽名法》第十三條電子簽名同時(shí)符合下列條件的，視為可靠的電子簽名：（一） 電子簽名制作數(shù)據(jù)用于電子簽名時(shí)，屬于電子簽名人專有；（二） 簽署時(shí)電子簽名制作數(shù)據(jù)僅由電子簽名人控制；（三） 簽署后對(duì)電子簽名的任何改動(dòng)能夠被發(fā)現(xiàn)；（四） 簽署后對(duì)數(shù)據(jù)電文內(nèi)容和形式的任何改動(dòng)能夠被發(fā)現(xiàn)。3CA安全解決方案3.1總體架構(gòu)在用友ERP的應(yīng)用平臺(tái)中，東方中訊 CA中心負(fù)責(zé)用戶身份系統(tǒng)的權(quán)威數(shù)字證書(shū)管理，作為系統(tǒng)的基礎(chǔ)支撐模塊來(lái)完成整個(gè)可信平臺(tái)的建設(shè)：PKUCA解決方案安全審批.結(jié)算支付可信交易可信電子合同屠電子票據(jù)安全審批.結(jié)算支付可信交易可信電子合同屠電子票據(jù)目前，用友NCERP已經(jīng)成功集成了東方中訊的數(shù)字證書(shū)接口 ，因此，在用友軟件ERP構(gòu)建的企業(yè)ERP系統(tǒng)、資金管理系統(tǒng)中就可以直接通過(guò)使用東方中訊提供的數(shù)字證書(shū)服務(wù)，系統(tǒng)不必作任何改動(dòng)就可以針對(duì)性的解決用友 ERP所遇到的安全問(wèn)題:PKI/CA^a2?在應(yīng)用系統(tǒng)中使系統(tǒng)用戶 用數(shù)字證451PKI/CA^a2?在應(yīng)用系統(tǒng)中使系統(tǒng)用戶 用數(shù)字證451?從CAik證中心申請(qǐng)數(shù)字證書(shū)用友NC應(yīng)用系統(tǒng)如圖所示，解決方案總體框架包含如下幾個(gè)基本思想:采用東方中訊提供的證書(shū)服務(wù)，為最終用戶頒發(fā)數(shù)字證書(shū)，提供安全認(rèn)證服務(wù)。基于東方中訊和用友NC的系統(tǒng)集成，通過(guò)數(shù)字證書(shū)實(shí)現(xiàn)身份認(rèn)證和訪問(wèn)控制，同時(shí)通過(guò)加密技術(shù)和數(shù)字簽名技術(shù)，實(shí)現(xiàn)信息傳輸?shù)臋C(jī)密性和抗抵賴性。三、 用戶證書(shū)保存在USB令牌中，USB令牌是一種安全的證書(shū)存儲(chǔ)介質(zhì)，可以保證保存在USB令牌上的證書(shū)私鑰不能夠被導(dǎo)出。同時(shí)，實(shí)現(xiàn)移動(dòng)辦公的需求。四、 技術(shù)和法律層面的雙重保障抗抵賴性在2005年中華人民共和國(guó)《電子簽名法》頒布以后，法律上規(guī)定：只有得到信息產(chǎn)業(yè)部頒發(fā)的《電子認(rèn)證服務(wù)許可證》的數(shù)字認(rèn)證機(jī)構(gòu)，其所頒發(fā)的數(shù)字證書(shū)在電子商務(wù)中的數(shù)字簽名才能夠得到法律的認(rèn)可和保護(hù)。東方中訊率先從信息產(chǎn)業(yè)部獲得該資質(zhì)，因此， 用友NCERP系統(tǒng)用戶使用東方中訊提供的數(shù)字證書(shū)實(shí)現(xiàn)的電子簽名是合乎法律要求的抗抵賴證據(jù)，從而使用友 NCERP的電子化簽名和手寫(xiě)簽名一樣得到法律的認(rèn)可，可以作為法律上有效的證據(jù)，結(jié)束了電子化信息系統(tǒng)重要數(shù)據(jù)的“無(wú)據(jù)可依”，“無(wú)法可依”的現(xiàn)狀。因此，通過(guò)此方式，用戶能夠?qū)崿F(xiàn)技術(shù)和法律層面的雙重保障。3.2托管服務(wù)模式第三方托管型模式的解決方案的適用的范圍是：傳遞的信息敏感，在技術(shù)層面上要實(shí)現(xiàn)敏感信息傳遞要防篡改、抗抵賴；信息傳遞雙方（多方）的行為需要有公正的第三方的證實(shí)，在法律層面上要能夠做到抗抵賴性。例如，資金管理系統(tǒng)中的分支機(jī)構(gòu)和企業(yè)總部之間、電子交易平臺(tái)中企業(yè)和經(jīng)銷商之間等。采用“ 第三方托管CA”模式企業(yè)可以節(jié)省，企業(yè)就可以專心做自己的業(yè)務(wù)，而不用購(gòu)買和維護(hù)復(fù)雜的、昂貴的PKI系統(tǒng)。更重要的是：客戶希望他們使用的數(shù)字證書(shū)得到《電子簽名法》的保護(hù)，對(duì)于這樣的用戶我們建議采用第三方托管服務(wù)模式：在東方中訊認(rèn)證中心內(nèi)部，為客戶建立一套托管 CA系統(tǒng)，企業(yè)在申請(qǐng)數(shù)字證書(shū)的時(shí)候只需要直接通過(guò)互聯(lián)網(wǎng)到東方中訊數(shù)字認(rèn)證中心在線申請(qǐng)代表集團(tuán)企業(yè)員工、企業(yè)供應(yīng)商、客戶、合作伙伴等身份的數(shù)字證書(shū)。

3.2.1網(wǎng)絡(luò)架構(gòu)DB服務(wù)器<4ifeikCA管理員3.2.1網(wǎng)絡(luò)架構(gòu)DB服務(wù)器<4ifeikCA管理員企業(yè)本地CA服務(wù)器 弋用戶如上圖所示：托管CA服務(wù)在企業(yè)本地不建設(shè)任何 CA模塊，通過(guò)企業(yè)委派的 CA管理員使用數(shù)字證書(shū)（以USBKEY為證書(shū)介質(zhì)）登錄到東方中訊認(rèn)證中心后臺(tái)為企業(yè)提供的RA控制中心來(lái)實(shí)現(xiàn)證書(shū)審批和管理功能。CA管理員通過(guò)登錄到用戶注冊(cè)服務(wù)器來(lái)完成用戶證書(shū)申請(qǐng)以及其他證書(shū)生命周期管理功能。發(fā)放數(shù)字證書(shū)后，用戶可以將數(shù)字證書(shū)存放在 USBKEY中，登入NC系統(tǒng)時(shí)米用用戶名+口令+CA認(rèn)證的方式。用戶登入到NC系統(tǒng)，在做了相應(yīng)的業(yè)務(wù)操作之后，需要用數(shù)字證書(shū)對(duì)數(shù)據(jù)進(jìn)行簽名保存，業(yè)務(wù)數(shù)據(jù)將被加密傳輸。審批人員可以對(duì)簽名的數(shù)據(jù)進(jìn)行簽名驗(yàn)證，查看業(yè)務(wù)數(shù)據(jù)是否被篡改。托管服務(wù)模式流程如下圖:

用戶托管CA管理員|可數(shù)字證書(shū)，::保存在用戶托管CA管理員|可數(shù)字證書(shū)，::保存在USBkey中:NC用戶川友NC資金用友ERP-NC客戶托管CA系統(tǒng)——托管在東方中訊認(rèn)證中心內(nèi)部用戶自己無(wú)需維護(hù)一套對(duì)技術(shù)和維護(hù)要求很高的 CA系統(tǒng)，用戶CA核心后臺(tái)托管到東方中訊安全數(shù)據(jù)認(rèn)證中心。用戶需要建設(shè)的內(nèi)容非常少，系統(tǒng)的建設(shè)速度也非?？?。更重要的是，此種建設(shè)方式能夠使用戶的應(yīng)用安全得到《中華人民共和國(guó)電子簽名法》的保護(hù)。用戶管理員可以遠(yuǎn)程管理其托管 CA，安全便捷的發(fā)放數(shù)字證書(shū)。電子簽名應(yīng)用服務(wù)器在用戶的系統(tǒng)中實(shí)現(xiàn)數(shù)字簽名、身份認(rèn)證、數(shù)據(jù)加解密的電子簽名集成系統(tǒng)（和NC系統(tǒng)配合）。322CA系統(tǒng)工作流程設(shè)計(jì)（1）證書(shū)發(fā)放流程

本方案設(shè)計(jì)的用友托管 CA認(rèn)證系統(tǒng)采用集中制證的發(fā)證模式，其工作流程如下圖所示:東方中訊CA認(rèn)證中心戢燙用尸管理員戢燙用尸管理員證書(shū)發(fā)放流程（1） 最終用戶使用瀏覽器，訪問(wèn)客戶 RA服務(wù)器，進(jìn)入證書(shū)申請(qǐng)頁(yè)面，填寫(xiě)證書(shū)申請(qǐng)信息，向客戶 RA認(rèn)證系統(tǒng)提交證書(shū)申請(qǐng)請(qǐng)求。在本地 USB令牌上產(chǎn)生證書(shū)的公私鑰對(duì)，并將公鑰和用戶信息一起作為證書(shū)申請(qǐng)請(qǐng)求，提交給RA服務(wù)器；（2） RA管理員使用瀏覽器，訪問(wèn) RA服務(wù)器管理頁(yè)面，查看用戶提交的證書(shū)申請(qǐng)請(qǐng)求，驗(yàn)證申請(qǐng)信息，批準(zhǔn)用戶的證書(shū)申請(qǐng)請(qǐng)求；（3） RA服務(wù)器根據(jù)管理的批準(zhǔn)，向托管在東方中訊的 CA服務(wù)器進(jìn)行申請(qǐng)，CA服務(wù)器根據(jù)RA的申請(qǐng)，簽發(fā)用戶證書(shū)，將用戶證書(shū)返回到 RA端。同時(shí)，給用戶發(fā)送一封電子郵件，指導(dǎo)用戶下載簽發(fā)的數(shù)字證書(shū)；（4） 最終用戶按照郵件的提示，訪問(wèn) RA服務(wù)器，下載簽發(fā)的證書(shū)，證書(shū)下載時(shí)自動(dòng)保存到用戶的 USB令牌中，證書(shū)申請(qǐng)結(jié)束。（2）證書(shū)吊銷流程在用戶證書(shū)的私鑰受到威脅、或者用戶私鑰丟失時(shí)，需要吊銷用戶的證書(shū)，根據(jù)用友的應(yīng)用情況，本方案設(shè)計(jì)證書(shū)吊銷由管理員進(jìn)行，其工作流程如下：（1） 管理員在發(fā)現(xiàn)用戶違反使用規(guī)定，或者用戶自己向管理員發(fā)送郵件，請(qǐng)求吊銷自己的證書(shū)時(shí)，管理員訪問(wèn) CA認(rèn)證系統(tǒng)管理員管理頁(yè)面，進(jìn)行用戶證書(shū)吊銷；（2） 管理員通過(guò)證書(shū)管理功能頁(yè)面，查詢到需要吊銷的用戶證書(shū)；（3） 管理員選擇吊銷操作，選擇吊銷用戶證書(shū)的原因，向 CA認(rèn)證系統(tǒng)發(fā)送證書(shū)吊銷請(qǐng)求；（4） CA認(rèn)證系統(tǒng)根據(jù)管理員的證書(shū)吊銷請(qǐng)求，自動(dòng)的吊銷用戶的證書(shū)，并將吊銷的用戶證書(shū)發(fā)布到證書(shū)吊銷列表中，同時(shí)對(duì)數(shù)據(jù)庫(kù)中保存的用戶證書(shū)的最新?tīng)顟B(tài)進(jìn)行更新；（5） CA認(rèn)證系統(tǒng)給管理員返回證書(shū)吊銷成功信息，同時(shí)給用戶發(fā)送電子郵件，告訴用戶證書(shū)已經(jīng)被吊銷，不能再使用自己的證書(shū)。（3）證書(shū)更新流程最終用戶在其證書(shū)即將過(guò)期之前，需要訪問(wèn) CA認(rèn)證系統(tǒng)，更新自己的證書(shū)，其流程為：（1） 最終用戶在證書(shū)即將過(guò)期前（一般為一個(gè)月），訪問(wèn)用戶 CA認(rèn)證系統(tǒng)，登錄用戶服務(wù)頁(yè)面，點(diǎn)擊“ 證書(shū)更新”選項(xiàng)；（2） 系統(tǒng)自動(dòng)識(shí)別用戶是否具有用戶 CA認(rèn)證系統(tǒng)頒發(fā)的數(shù)字證書(shū)，并且判斷是否過(guò)期，如果即將過(guò)期，便提示進(jìn)行更新；（3） 用戶選擇需要更新的證書(shū)，點(diǎn)擊提交，向 CA認(rèn)證系統(tǒng)提交證書(shū)更新請(qǐng)求。在提交證書(shū)更新請(qǐng)求時(shí)，在 USBKey中，重新產(chǎn)生更新證書(shū)的公私鑰對(duì)，將公鑰和即將過(guò)期的證書(shū)一起，作為證書(shū)更新請(qǐng)求，提交給 CA認(rèn)證系統(tǒng)；（4） 管理員使用瀏覽器，登錄CA認(rèn)證系統(tǒng)管理員管理頁(yè)面，查看用戶提交的證書(shū)更新請(qǐng)求，驗(yàn)證證書(shū)更新信息，批準(zhǔn)用戶的證書(shū)更新請(qǐng)求；（5） CA認(rèn)證系統(tǒng)根據(jù)管理員的批準(zhǔn)，自動(dòng)更新用戶的證書(shū)，將更新的用戶證書(shū)發(fā)布到目錄服務(wù)器，同時(shí)給用戶發(fā)送一封郵件，指導(dǎo)用戶下載已更新的證書(shū)；（6） 用戶按照郵件提示，訪問(wèn)CA認(rèn)證系統(tǒng)，進(jìn)入證書(shū)下載頁(yè)面，將已更新的證書(shū)下載到本地，自動(dòng)保存到 USBKey中323CA系統(tǒng)實(shí)施部署流程（1）可通過(guò)VPN設(shè)備來(lái)實(shí)現(xiàn)對(duì)數(shù)據(jù)傳輸過(guò)程中的安全保護(hù)；（2）為客戶設(shè)計(jì)數(shù)字證書(shū)申請(qǐng)流程和證書(shū)上顯示的個(gè)人信息； （在現(xiàn)場(chǎng)實(shí)施之前，東方中訊實(shí)施人員需要預(yù)先定制證書(shū)模板）；（3） 為客戶進(jìn)行NC系統(tǒng)對(duì)東方中訊數(shù)字證書(shū)支持的集成；即，由于東方中訊已與NC系統(tǒng)進(jìn)行了接口集成，故只需修改 NC系統(tǒng)的調(diào)用配置，支持東方中訊的證書(shū)即可；（NC系統(tǒng)當(dāng)中證書(shū)的具體應(yīng)用節(jié)點(diǎn)是由用友工程師協(xié)助完成）；（4） NC系統(tǒng)在接口和數(shù)字證書(shū)的使用上有明確的規(guī)范和標(biāo)準(zhǔn)，需要在使用數(shù)字證書(shū)前通過(guò)手工綁定的方式，將“ 用戶名”和數(shù)字證書(shū)捆綁在一起，東方中訊提供進(jìn)行綁定的工具；（5） 完成全部實(shí)施工作。托管模式意義（1）從技術(shù)層面上講： 東方中訊數(shù)字證書(shū)實(shí)現(xiàn)的數(shù)字簽名技術(shù)可以通過(guò)目前最安全的PKI技術(shù)上實(shí)現(xiàn)以下功能：數(shù)字簽名：對(duì)關(guān)鍵業(yè)務(wù)數(shù)據(jù)進(jìn)行簽名，保證機(jī)密性、完整性和不可抵賴性。安全訪問(wèn)：替換掉原有安全級(jí)別較低的“ 用戶名/口令”方式，防止非授權(quán)用戶的惡意攻擊，同時(shí)不能破壞 NC原有的權(quán)限管理機(jī)制。信息加密：通過(guò)高強(qiáng)度的加密算法形成安全的 SSL加密通道，防竊取。（2）從法律層面上講：東方中訊率先獲得了《電子認(rèn)證服務(wù)許可證》，其所頒發(fā)的數(shù)字證書(shū)得到中華人民共和國(guó)《電子簽名法》的認(rèn)可和保護(hù)。NC-ERP使用東方中訊數(shù)字證書(shū)服務(wù)，其電子化簽名即和手寫(xiě)簽名一樣可以作為法律上有效的證據(jù)。有效的滿足了NC-ERP資金、財(cái)務(wù)等敏感信息對(duì)法律方面的安全需求。3.3CA技術(shù)與VPN相結(jié)合對(duì)于采用標(biāo)準(zhǔn)協(xié)議實(shí)現(xiàn)的 VPN設(shè)備，由于VPN設(shè)備對(duì)數(shù)字證書(shū)的支持，根據(jù)東方中訊的經(jīng)驗(yàn)，我們采用的方案是把PKI/CA技術(shù)與VPN應(yīng)用系統(tǒng)相結(jié)合，解決VPN應(yīng)用中存在的安全問(wèn)題，確保VPN技術(shù)在互聯(lián)網(wǎng)上應(yīng)用的安全。我們可以通過(guò) CA認(rèn)證系統(tǒng)為VPN設(shè)備頒發(fā)數(shù)字證書(shū)，為客戶端頒發(fā)個(gè)人證書(shū)，利用東方中訊的 CA系統(tǒng)進(jìn)行相應(yīng)的數(shù)字證書(shū)發(fā)放和管理。證書(shū)的加密和驗(yàn)證數(shù)據(jù)在這些設(shè)備之間進(jìn)行傳送，產(chǎn)生了一個(gè)安全的虛擬專用網(wǎng)絡(luò)。VPN總體架構(gòu)東方中訊通過(guò)為VPN系統(tǒng)建立一套CA認(rèn)證系統(tǒng)，為VPN系統(tǒng)用戶發(fā)放數(shù)字證書(shū)，用戶使用數(shù)字證書(shū)登錄 VPN系統(tǒng)，實(shí)現(xiàn)基于數(shù)字證書(shū)的 VPN身份認(rèn)證。本方案將采用東方中訊的東方中訊 CA系統(tǒng)為VPN建設(shè)CA認(rèn)證系統(tǒng)。總體框架圖如下：CA認(rèn)證系統(tǒng)片I務(wù)器一、 采用東方中訊東方中訊CA系統(tǒng)，建設(shè)一個(gè)標(biāo)準(zhǔn)的 CA認(rèn)證系統(tǒng)，為VPN設(shè)備和用戶頒發(fā)數(shù)字證書(shū)，提供安全認(rèn)證服務(wù)。二、 利用VPN體系架構(gòu)，通過(guò)標(biāo)準(zhǔn)協(xié)議在 VPN應(yīng)用中集成數(shù)字證書(shū)。用戶在登錄到VPN系統(tǒng)時(shí)，必須提交CA認(rèn)證系統(tǒng)頒發(fā)的用戶證書(shū)，系統(tǒng)通過(guò)用戶證書(shū)來(lái)實(shí)現(xiàn)對(duì)VPN用戶的身份認(rèn)證和訪問(wèn)控制。用戶證書(shū)保存在最終用戶的 USB令牌中，USB令牌是一種安全的證書(shū)存儲(chǔ)介質(zhì)，可以保證保存在USB令牌上的證書(shū)私鑰不能夠被導(dǎo)出。另外，使用 USB令牌，員工可以在外地或網(wǎng)吧，隨時(shí)隨地的通過(guò) VPN客戶端訪問(wèn)企業(yè)內(nèi)部的業(yè)務(wù)系統(tǒng)，提交保存在USB令牌上的用戶證書(shū)，實(shí)現(xiàn) VPN的安全登錄。332VPN安全登錄實(shí)現(xiàn)原理目前，使用VPN可以采用兩種方式，即使用證書(shū)的方式和不使用證書(shū)的方式。對(duì)于不使用證書(shū)的方式建立的 VPN存在下列風(fēng)險(xiǎn)：（1）不使用證書(shū)的方式建立VPN時(shí)，是基于“用戶名和口令”的認(rèn)證，我們知

道“用戶名和口令”的認(rèn)證強(qiáng)度低，存在很多安全弱點(diǎn)，無(wú)法滿足較高的安全需求；（2）其次，不使用證書(shū)的方式存在 VPN密鑰分發(fā)的困難，VPN密鑰是一個(gè)對(duì)稱

密鑰，用來(lái)對(duì)VPN鏈路層數(shù)據(jù)的加密。而目前比較通常的做法是在配置VPN時(shí)，就在VPN客戶端和VPN服務(wù)端（VPN網(wǎng)關(guān)）之間配置一個(gè)共享的對(duì)稱密鑰。但是這種方式的對(duì)稱密鑰的安全性不高，很容易被泄漏。為了提高這種方式的安全性，需要管理員不定期的對(duì)共享的對(duì)稱密鑰進(jìn)行更換，但是，由于更換對(duì)稱密鑰的操作中的人為因素等原因，使得這種方式存在巨大的安全隱患。為此，VPN應(yīng)用引入了證書(shū)，來(lái)解決不使用證書(shū)方式存在的安全隱患：（1） VPN證書(shū)（包括VPN設(shè)備證書(shū)和VPN用戶證書(shū)）是VPN設(shè)備和用戶的護(hù)照，表明設(shè)備和用戶的身份，基于數(shù)字證書(shū)的身份認(rèn)證是一種強(qiáng)身份認(rèn)證，完全可以滿足應(yīng)用的身份認(rèn)證需求；（2） 使用VPN證書(shū)（包括VPN設(shè)備證書(shū)和VPN用戶證書(shū)）可以實(shí)現(xiàn)協(xié)商會(huì)話密鑰，在進(jìn)行數(shù)據(jù)通信時(shí)，發(fā)送方產(chǎn)生會(huì)話密鑰，對(duì)發(fā)送數(shù)據(jù)進(jìn)行加密，然后使用接收者的證書(shū)（公鑰）加密會(huì)話密鑰。接收者使用自己的證書(shū)私鑰解密會(huì)話密鑰，再用會(huì)話密鑰解密被加密的數(shù)據(jù)；VPN證書(shū)應(yīng)用根據(jù)以往的VPN證書(shū)應(yīng)用經(jīng)驗(yàn)，證書(shū)的應(yīng)用流程主要有：（1）登錄CA服務(wù)器，下載VPN根證書(shū)，將CA根證書(shū)上傳到設(shè)備系統(tǒng)中；（2）為VPN設(shè)備申請(qǐng)?jiān)O(shè)備證書(shū)，將設(shè)備證書(shū)上傳到 VPN設(shè)備中；配置VPN設(shè)備中使用證書(shū)的身份認(rèn)證方式和加密方式等的參數(shù)；（3）為用戶申請(qǐng)用戶證書(shū)，將證書(shū)保存在 USBKEY中；并配置客戶端程序，使VPN系統(tǒng)使用證書(shū)進(jìn)行登錄身份認(rèn)證；（4）用戶在登錄系統(tǒng)時(shí)，跟原來(lái)的流程一樣， VPN系統(tǒng)自動(dòng)通過(guò)證書(shū)驗(yàn)證用戶端額身份，根據(jù)用戶的權(quán)限建立相應(yīng)的連接；并通過(guò)證書(shū)來(lái)交換 VPN加密通道的會(huì)話密鑰;整個(gè)認(rèn)證過(guò)程采用證書(shū)進(jìn)行用戶身份認(rèn)證，并使用證書(shū)交換會(huì)話密鑰，增強(qiáng)了系統(tǒng)的安全性。3.4硬件RA-??-東方中訊RA-M東方中訊電子認(rèn)證注冊(cè)服務(wù)器東方中訊 RA-M銳風(fēng)。概述東方中訊東方中訊 RA-M是東方中訊根據(jù)市場(chǎng)需求自主研發(fā)的一款電子認(rèn)證注冊(cè)服務(wù)器。產(chǎn)品集成了用戶注冊(cè)服務(wù)、證書(shū)審批管理、吊銷列表管理、證書(shū)發(fā)布管理、RASDK開(kāi)發(fā)包、WEB服務(wù)、數(shù)據(jù)庫(kù)服務(wù)、日志審計(jì)服務(wù)等技術(shù)，提供了具有法律效力的證書(shū)申請(qǐng)、審核、核發(fā)、發(fā)布、更新、吊銷等證書(shū)生命周期管理功能，能夠和企業(yè)應(yīng)用系統(tǒng)無(wú)縫集成；東方中訊RA-M產(chǎn)品是高度硬件化集成，有效的解決了用戶在部署、維護(hù)上的問(wèn)題，購(gòu)買該硬件設(shè)備后，即可通過(guò)工程師快速安裝，安裝簡(jiǎn)單、方便；維護(hù)成本低，效率高。產(chǎn)品可廣泛應(yīng)用于通信、網(wǎng)絡(luò)、金融、電力、交通、軍事、工業(yè)自動(dòng)化等各領(lǐng)域。產(chǎn)品特點(diǎn)良好的兼容性：采用先進(jìn)的技術(shù)框架，純 Java語(yǔ)言開(kāi)發(fā)，具備極強(qiáng)的平臺(tái)兼容性。簡(jiǎn)單易用：安裝配置簡(jiǎn)單， WEB操作界面。擴(kuò)展性好：提供基于標(biāo)準(zhǔn)的 API接口，有良好的擴(kuò)展性。維護(hù)方便：通過(guò)遠(yuǎn)程維護(hù)功能可以及時(shí)協(xié)助用戶解決問(wèn)題。性能可靠：經(jīng)過(guò)嚴(yán)格測(cè)試，滿足百萬(wàn)級(jí)以上證書(shū)運(yùn)營(yíng)的支持能力。343產(chǎn)品功能1、 用戶證書(shū)服務(wù)功能；證書(shū)申請(qǐng)、證書(shū)查詢、證書(shū)下載、證書(shū)吊銷、證書(shū)更新。2、 管理員證書(shū)管理功能查看證書(shū)、吊銷證書(shū)、注冊(cè)證書(shū)、證書(shū)發(fā)行量查詢、批量制證、管理員審計(jì)功能。3、 系統(tǒng)配置管理網(wǎng)絡(luò)配置、證書(shū)配置、郵件配置、運(yùn)行狀態(tài)顯示、遠(yuǎn)程狀態(tài)監(jiān)控和維護(hù)。4、 審計(jì)及日志管理按照管理員日志審計(jì)、按照證書(shū)審計(jì)、按照用戶審計(jì)。3.5證書(shū)存儲(chǔ)介質(zhì)本方案推薦使用USBKEY來(lái)保存用戶的證書(shū)及私鑰。 USBKEY是以USB為接口的存儲(chǔ)設(shè)備，它便于攜帶和使用，可以實(shí)現(xiàn)在所有的機(jī)器（具有 USB接口）上的漫游，可以滿足用友移動(dòng)辦公的需求。 USBKEY可以設(shè)置用戶口令保護(hù)，增強(qiáng)了證書(shū)及私鑰的安全性。4人員安全解決方案4.1信息部職責(zé)信息部負(fù)責(zé)審核數(shù)字證書(shū)認(rèn)證服務(wù)提供者的認(rèn)證資格。負(fù)責(zé)組織公司相關(guān)部門對(duì)數(shù)字證書(shū)管理制度和規(guī)范的制定，管理用戶數(shù)字證書(shū)的簽發(fā)、撤銷、更新的技術(shù)性操作。負(fù)責(zé)證書(shū)審批平臺(tái)的管理工作，組織相關(guān)部門對(duì)所要頒發(fā)證書(shū)的用戶進(jìn)行身份鑒證的工作。負(fù)責(zé)做好數(shù)字證書(shū)應(yīng)用的技術(shù)支持工作。4.2各部門、分公司的職責(zé)審核本部門員工申請(qǐng)數(shù)字證書(shū)的權(quán)限，執(zhí)行公司有關(guān)的計(jì)算機(jī)網(wǎng)絡(luò)安全管理規(guī)定及數(shù)字證書(shū)管理規(guī)定。對(duì)持有數(shù)字證書(shū)的員工在解除、終止勞動(dòng)合同的 24小時(shí)內(nèi)，督促其填寫(xiě)《數(shù)字證書(shū)應(yīng)用撤銷表》并提交信息部。經(jīng)本部門申請(qǐng)、為非公司在冊(cè)員工開(kāi)通的數(shù)字證書(shū)應(yīng)用負(fù)監(jiān)管責(zé)任。4.3員工的權(quán)利與義務(wù)1、 因工作需要，按照本規(guī)定的要求，辦理數(shù)字證書(shū)應(yīng)用申請(qǐng)。2、 依照本規(guī)定，正確、安全應(yīng)用數(shù)字證書(shū)，不得泄露公司內(nèi)部相關(guān)的信息。3、 在使用過(guò)程中出現(xiàn)的任何故障，應(yīng)及時(shí)向公司信息部進(jìn)行反饋。4、 妥善保管好數(shù)字證書(shū)，不得以任何方式將數(shù)字證書(shū)提供給他人使用。5、數(shù)字證書(shū)遺失，需及時(shí)填寫(xiě)《數(shù)字證書(shū)撤銷表》并提交信息部，由于丟失所造成的損失由當(dāng)事人本人承擔(dān)。4.4證書(shū)申請(qǐng)流程和規(guī)范數(shù)字證書(shū)應(yīng)用主要是為用戶提供安全的認(rèn)證服務(wù)。證書(shū)申請(qǐng)流程和規(guī)范的制訂，是為了便于用戶理解，并按照申請(qǐng)流程和規(guī)范完成證書(shū)申請(qǐng)。數(shù)字證書(shū)發(fā)放模式發(fā)證模式是指采用何種方式將數(shù)字證書(shū)安全的發(fā)放給申請(qǐng)人。采用集中制證發(fā)證模式。集中制證定義為，申請(qǐng)人填寫(xiě)《數(shù)字證書(shū)應(yīng)用申請(qǐng)表》，經(jīng)申請(qǐng)部門經(jīng)理、信息部經(jīng)理同意，報(bào)公司主管領(lǐng)導(dǎo)批準(zhǔn)，證書(shū)審批簽發(fā)人員一一由信息部數(shù)字證書(shū)管理員和相關(guān)部門（如人力資源部工作人員或證書(shū)的申請(qǐng)部門工作人員）一同代替用戶申請(qǐng)、下載申請(qǐng)人證書(shū)，并將個(gè)人證書(shū)以安全的方式分發(fā)給最終用戶，數(shù)字證書(shū)的備份存儲(chǔ)到安全的介質(zhì)內(nèi)，授權(quán)開(kāi)通相應(yīng)的數(shù)字證書(shū)應(yīng)用。在集中制證模式下，證書(shū)審批簽發(fā)人員承擔(dān)的責(zé)任和義務(wù)：必須按照申請(qǐng)人提交的《數(shù)字證書(shū)應(yīng)用申請(qǐng)表》信息，集中生成申請(qǐng)人證書(shū)，制作個(gè)人USBKEY，并將用戶證書(shū)安全的分發(fā)到用戶手中；不得向其他人或機(jī)構(gòu)透露申請(qǐng)人的信息；在制作證書(shū)過(guò)程中，必須保證兩名以上工作人員且不為同一部門的工作人員同時(shí)在場(chǎng)；必須通過(guò)安全的方式確認(rèn)將保存有數(shù)字證書(shū)發(fā)放到申請(qǐng)人手中。（采用申領(lǐng)報(bào)的方式實(shí)現(xiàn)）在集中制證模式下，申請(qǐng)人承擔(dān)的責(zé)任和義務(wù)：申請(qǐng)人必須如實(shí)填寫(xiě)《數(shù)字證書(shū)應(yīng)用申請(qǐng)表》，提供給證書(shū)簽發(fā)審批人員；申請(qǐng)人得到申請(qǐng)好數(shù)字證書(shū)之后，自己負(fù)責(zé)妥善保管好數(shù)字證書(shū)。申請(qǐng)人在離職或工作崗位變動(dòng)時(shí)，須及時(shí)通知信息部，參照 4.3條款。申請(qǐng)人在丟失證書(shū)時(shí)，須及時(shí)通知信息部，填寫(xiě)《數(shù)字證書(shū)撤銷表》，并從新提交申請(qǐng)。數(shù)字證書(shū)申請(qǐng)流程1、申請(qǐng)人必須如實(shí)填寫(xiě)《數(shù)字證書(shū)應(yīng)用申請(qǐng)表》 ，經(jīng)申請(qǐng)部門經(jīng)理、信息部經(jīng)理同意，報(bào)公司主管領(lǐng)導(dǎo)批準(zhǔn)，提交信息部；2、 證書(shū)審批簽發(fā)人員根據(jù)審核通過(guò)的《數(shù)字證書(shū)應(yīng)用申請(qǐng)表》信息為申請(qǐng)人申請(qǐng)數(shù)字證書(shū)；3、 證書(shū)審批簽發(fā)人員將數(shù)字證書(shū)安全的發(fā)放到申請(qǐng)人手中；4、 數(shù)字證書(shū)僅限于本人使用，需妥善保管，任何人不得以任何理由轉(zhuǎn)借他人。4.5鑒證審批管理規(guī)范鑒證審批的基本原則信息部在進(jìn)行證書(shū)申請(qǐng)的鑒證審批時(shí)，必須遵循下列基本原則：鑒證審批工作必須在其他相關(guān)部門的監(jiān)督下進(jìn)行，信息部數(shù)字證書(shū)管理員部門不能擅自行使鑒證審批的職責(zé)；鑒證審批工作必須由信息部數(shù)字證書(shū)管理員進(jìn)行，其它人員不能擅自代替數(shù)字證書(shū)管理員行使鑒證審批的職責(zé)；數(shù)字證書(shū)管理員必須遵循公司有關(guān)安全管理制度，對(duì)申請(qǐng)人的信息和資料保密，不得將申請(qǐng)人的信息和資料帶出公司，并負(fù)責(zé)將申請(qǐng)人有關(guān)信息和資料進(jìn)行歸檔備份；數(shù)字證書(shū)管理員在進(jìn)行鑒證審批時(shí)，必須遵循，認(rèn)真的履行鑒證審批職責(zé)；證書(shū)申請(qǐng)只有在通過(guò)鑒證審批后，才能獲得批準(zhǔn)，并簽發(fā)申請(qǐng)人證書(shū)；數(shù)字證書(shū)管理員在完成用戶的鑒證審批后，對(duì)鑒證審批進(jìn)行記錄，包括記錄鑒證審批的結(jié)果，對(duì)證書(shū)申請(qǐng)的處理結(jié)果，包括是批準(zhǔn)、等待還是拒絕用戶證書(shū)申請(qǐng)，將記錄進(jìn)行歸檔。證書(shū)更新鑒證在證書(shū)即將過(guò)期時(shí)，用戶需要進(jìn)行證書(shū)更新，向信息部系統(tǒng)管理員提交證書(shū)更新請(qǐng)求，證書(shū)更新鑒證是指證書(shū)鑒證審批工作人員對(duì)證書(shū)更新請(qǐng)求進(jìn)行鑒證。用戶填寫(xiě)《數(shù)字證書(shū)更新申請(qǐng)》，提交信息部和相關(guān)部門，數(shù)字證書(shū)管理員應(yīng)該馬上組織相關(guān)部門人員一同登錄管理員站點(diǎn)，批準(zhǔn)用戶的證書(shū)更新請(qǐng)求，更新用戶的證書(shū)。證書(shū)吊銷鑒證公司內(nèi)持有數(shù)字證書(shū)的員工在如下情況：解除、終止勞動(dòng)合同；工作需要。需撤銷員工的數(shù)字證書(shū)應(yīng)用時(shí)，應(yīng)填寫(xiě)《數(shù)字證書(shū)應(yīng)用撤銷表》，提交給信息部。證書(shū)吊銷流程：填寫(xiě)《數(shù)字證書(shū)應(yīng)用撤銷表》，提交給信息部；信息部數(shù)字證書(shū)系統(tǒng)管理員在得到《數(shù)字證書(shū)應(yīng)用撤銷表》之后，立刻登錄管理員站點(diǎn)，查詢到請(qǐng)求吊銷的證書(shū)，認(rèn)真核對(duì)證書(shū)的確是請(qǐng)求吊銷的證書(shū)之后，選擇吊銷原因，吊銷用戶證書(shū)；信息部數(shù)字證書(shū)系統(tǒng)管理員將吊銷的用戶證書(shū)發(fā)布到證書(shū)吊銷列表（ CRL）中4.6網(wǎng)絡(luò)管理員安全控制網(wǎng)絡(luò)管理員職責(zé)網(wǎng)絡(luò)管理員的基本職責(zé)是負(fù)責(zé)網(wǎng)絡(luò)線路、設(shè)備及相關(guān)子系統(tǒng)的運(yùn)行、管理和維護(hù)工作，保證網(wǎng)絡(luò)正常運(yùn)轉(zhuǎn)及其安全，并對(duì)網(wǎng)絡(luò)建設(shè)規(guī)劃及改造現(xiàn)有網(wǎng)絡(luò)系統(tǒng)提供技術(shù)建議。1、 有清醒的政治頭腦和較強(qiáng)的信息處理能力，熟悉國(guó)家的網(wǎng)絡(luò)管理法規(guī)，能嚴(yán)格遵守并正確執(zhí)行相應(yīng)的法規(guī)。2、 負(fù)責(zé)組織落實(shí)本單位網(wǎng)絡(luò)的擴(kuò)建、改建及修建項(xiàng)目的實(shí)施工作，協(xié)助制訂各項(xiàng)規(guī)章制度的建立。3、負(fù)責(zé)對(duì)網(wǎng)絡(luò)設(shè)備、服務(wù)器、網(wǎng)絡(luò)資源（如 ip地址等）以及用戶等的配置管理工作，確保本單位網(wǎng)絡(luò)的連通性。4、 負(fù)責(zé)網(wǎng)絡(luò)故障排除工作，確保故障點(diǎn)在最短時(shí)間內(nèi)得到恢復(fù)。5、 負(fù)責(zé)網(wǎng)絡(luò)流量的統(tǒng)計(jì)和分析（即統(tǒng)計(jì)用哪些用戶使用網(wǎng)絡(luò)、傳輸多少數(shù)據(jù)、訪問(wèn)什么資源以及各類資源的利用情況）工作。6、 負(fù)責(zé)網(wǎng)絡(luò)性能監(jiān)測(cè)和控制工作，使之能在網(wǎng)絡(luò)資源一定的前提下，確保網(wǎng)絡(luò)提供可靠、連續(xù)的通信能力，并使網(wǎng)絡(luò)資源的使用達(dá)到最優(yōu)。7、 負(fù)責(zé)網(wǎng)絡(luò)安全管理工作。防止網(wǎng)絡(luò)資源被非法使用；防止網(wǎng)絡(luò)資源由于入侵攻擊而遭到破壞；防止病毒網(wǎng)絡(luò)入侵等。杜絕任何單位和個(gè)人，利用校園網(wǎng)絡(luò)從事與教學(xué)、科研和行政管理無(wú)關(guān)的活動(dòng)。8、 負(fù)責(zé)學(xué)校關(guān)鍵數(shù)據(jù)和信息的備份工作，并做好保密工作。9、 做好相應(yīng)的日志記錄工作。10、 堅(jiān)持計(jì)算機(jī)、行政管理的業(yè)務(wù)學(xué)習(xí)，不斷提高專業(yè)水平。特別是要掌握網(wǎng)絡(luò)新技術(shù)、新應(yīng)用，并能為其他部門用戶提供技術(shù)支持。11、完成領(lǐng)導(dǎo)交辦的其他工作NC系統(tǒng)人員安全管控1、 NC管理員主要負(fù)責(zé)對(duì)NC系統(tǒng)用戶管理，權(quán)限分配以及業(yè)務(wù)流程的設(shè)置2、 CA管理員主要負(fù)責(zé)證書(shū)的制作和用戶與 NC系統(tǒng)的綁定。（1）登陸界面如下圖：豊陸證書(shū)管理控制批量導(dǎo)入證書(shū)數(shù)據(jù)插入單條證書(shū)數(shù)據(jù)總動(dòng)擁IJ??r1[in

KEY插入之后，“證書(shū)”默認(rèn)為管理員的證書(shū)。，進(jìn)入:(2)綁定用戶證書(shū)到NC用戶：選擇上圖的“插入單條證書(shū)數(shù)據(jù)”，進(jìn)入:插入單條數(shù)據(jù)是否插入kwy:語(yǔ)輻入kwyf呆護(hù)喪碼：諸輸入KeyJD:密碼是否正確:客戶氓證書(shū)扁UIB:證書(shū)B(niǎo)ase64編碼B汕記4編碼:插入數(shù)據(jù)陣］|壓維護(hù)正確的key保護(hù)密碼后點(diǎn)擊“開(kāi)始”，運(yùn)行后如下圖所示:過(guò)程中可能會(huì)出現(xiàn)錯(cuò)誤提示，如：插入單條數(shù)據(jù)1開(kāi)貽是否插入k色y:諳輸入臥頑護(hù)密碼：iS4nAl￡ey_IIi:巒碼是否正確：客戶諦證書(shū)信息VID:證書(shū)編碼Base64編碼:null|插入數(shù)據(jù)庫(kù)遇到此類情況，可能把KEY拔出再插入試試，如下成功:是否插入k^y:諳輸入key!呆護(hù)應(yīng)碼：諸輸入Key_ID:密瑪是否正確：客戶端證書(shū)信JBUII:證書(shū)￡垃電64編陽(yáng)Bre餐64蝙円：MnEADCCA2mgAwIBAgIVAI0q4N7pX0yX8YsQET4M0Edo3gAAMA0插入數(shù)據(jù)庫(kù)KEY的物理編號(hào)，以方便統(tǒng)計(jì)備注：key-IDKEY的物理編號(hào)，以方便統(tǒng)計(jì)點(diǎn)擊“插入數(shù)據(jù)庫(kù)”，進(jìn)行綁定：

&.0.2.122:9080/itrus/clientInsertDo.jsp?TestApplet=con.itrus.nc.test*5BpanelO%2C(K??Ai2錄成功Adj返回即完成綁定。NC系統(tǒng)的安全，主要是由CA來(lái)完成NC系統(tǒng)的安全，主要是由CA來(lái)完成NC資金系統(tǒng)，系統(tǒng)驗(yàn)證客戶端 key信主要負(fù)責(zé)對(duì)網(wǎng)絡(luò)與計(jì)算機(jī)的管理，針對(duì)（1） 客戶端身份安全管理財(cái)務(wù)人員使用數(shù)字證書(shū)的方式登入到息；（2） NC系統(tǒng)業(yè)務(wù)操作安全管理在業(yè)務(wù)單據(jù)制作過(guò)程中，系統(tǒng)會(huì)要求財(cái)務(wù)人員提交客戶端證書(shū)信息，對(duì)所做的業(yè)務(wù)單據(jù)做電子簽名，一旦業(yè)務(wù)單據(jù)被黑客或者認(rèn)為非法篡改，系統(tǒng)會(huì)提示驗(yàn)證簽名失敗。例:a、黑客篡改業(yè)務(wù)數(shù)據(jù)電電力開(kāi)發(fā)公司粵電燃料公司電電力開(kāi)發(fā)公司粵電燃料公司b、付款單據(jù)被篡改保存，取涓y妥托付我書(shū)號(hào)00付卿■中右付粒內(nèi)?*p盤(pán)靈次寫(xiě))收芟序目?jī)?nèi)粥收tr■佼收葫草蠱地坡芟時(shí)像行占稱KC4\—■■? F?總麻入嶷日廝緒if方貳星苦刖:立林C、系統(tǒng)發(fā)現(xiàn)業(yè)務(wù)單據(jù)被篡改劇新SiB廚菽撻交卑啟固蕊PiaO闍鍬也竟祚應(yīng)切離打印iStWT6P幣轉(zhuǎn)財(cái)務(wù)公司審核子公司提交的付款申無(wú)NC后臺(tái)會(huì)調(diào)用天威誠(chéng)信簽名驗(yàn)證模塊對(duì)提交的數(shù)據(jù)進(jìn)行完整性驗(yàn)證“即可發(fā)現(xiàn)數(shù)據(jù)被篡改?。?3)網(wǎng)管安全控制委托村歎節(jié)車核f^ratt■我片播能肆鸞以下單狷號(hào)的勞托村片荊:、*S9T9?￡若益證失數(shù)弘系統(tǒng)驗(yàn)止簽名時(shí)發(fā)現(xiàn)數(shù)抓被慕改f 1Z 、廠 下發(fā)及填報(bào)匯總審批迄仝十古杠彳+till比謀□□rrOilTLIx'lt.x資金計(jì)劃表樣1 . 資給計(jì)劃 J資金計(jì)劃資金調(diào)度計(jì)劃應(yīng)收昔理、應(yīng)付管理、報(bào)賬中心（外部和內(nèi)部結(jié)算單據(jù)｝結(jié)算單位

資金結(jié)算業(yè)務(wù)/m\i￡B / 1業(yè)務(wù)結(jié)業(yè)務(wù)植 投資業(yè)融資業(yè)IT| |銀J理賬戶算首理核螢理 務(wù)管理務(wù)管理1行*—> 前<—*—適*1機(jī)器機(jī)資金

粽算業(yè)務(wù)忘資金結(jié)盲業(yè)務(wù)妊證數(shù)抵安全JI人11."安至數(shù)據(jù)安全與認(rèn)證安全財(cái)務(wù)財(cái)務(wù)資金

雜算財(cái)筆反資金

分析報(bào)告層資全計(jì)劃與實(shí)際對(duì)比分析報(bào)告析報(bào)告結(jié)算中心忌賬噸證資金流量和存■監(jiān)控分析報(bào)告內(nèi)外部融分祈報(bào)臺(tái)在NC系統(tǒng)信息傳輸過(guò)程中，網(wǎng)銀適配器到銀行的安全是由各家銀行來(lái)提供。而網(wǎng)銀適配器是接收到業(yè)務(wù)系統(tǒng)（ NC）發(fā)送的加密簽名后的指令數(shù)據(jù)后，首先調(diào)用東方中訊提供的COM版解密模塊使用網(wǎng)銀適配器證書(shū)私鑰對(duì)密文進(jìn)行解密（詳細(xì)方案參考4.2節(jié)）。網(wǎng)管無(wú)法對(duì)業(yè)務(wù)單據(jù)進(jìn)行支付操作NC系統(tǒng)層次安全架構(gòu)介紹5.1客戶端接入客戶端接入：強(qiáng)大的訪問(wèn)控制與授權(quán)功能。NC采用“插件”式安全模型，用戶能夠部署自己定制的身份驗(yàn)證、授權(quán)和角色關(guān)系，也可以采用OS內(nèi)部的安全機(jī)制、數(shù)字證書(shū)認(rèn)證或者其它方法，并能很容易的與其它安全認(rèn)證系統(tǒng)集成，比如指紋認(rèn)證系統(tǒng)、數(shù)字證書(shū)認(rèn)證系統(tǒng)、加密卡 /機(jī)等等安全認(rèn)證網(wǎng)關(guān)應(yīng)用：是一種架構(gòu)在公用通信基礎(chǔ)設(shè)施上的專用數(shù)據(jù)通信網(wǎng)絡(luò)，利用網(wǎng)絡(luò)層安全協(xié)議和建立在 PKI上的加密與簽名技術(shù)來(lái)獲得私有性。同租用線路等方法相比，安全認(rèn)證網(wǎng)關(guān)既節(jié)省開(kāi)銷又易于安裝和使用，已經(jīng)成為企業(yè)架構(gòu) Intranet和Extranet的首選。圖：使用安全認(rèn)證網(wǎng)關(guān)建立的企業(yè)網(wǎng)的結(jié)構(gòu)企業(yè)內(nèi)部資源享用者通過(guò) PSTN網(wǎng)連入本地ISP的POP（PointofPresenee，指服務(wù)商通常在很大的地理范圍放置多個(gè)網(wǎng)絡(luò)設(shè)備）服務(wù)器，即可相互通信，而利用傳統(tǒng)的WAN組建技術(shù)，彼此之間要有專線相連才可以達(dá)到同樣的目的。由于安全認(rèn)證網(wǎng)關(guān)需要共享公共的、存在著安全隱患的網(wǎng)絡(luò)，如 Internet，因此安全性是一個(gè)非常重要的問(wèn)題。安全認(rèn)證網(wǎng)關(guān)解決方案的安全性由 3個(gè)基本要素組成：安全認(rèn)證、授權(quán)和監(jiān)聽(tīng)。安全認(rèn)證服務(wù)決定誰(shuí)可以使用網(wǎng)絡(luò)，授權(quán)服務(wù)負(fù)責(zé)分配不同資源的訪問(wèn)權(quán)限，而監(jiān)聽(tīng)則確保資源的使用方式與網(wǎng)絡(luò)的策略相符合。通過(guò)使用安全性服務(wù)，安全認(rèn)證網(wǎng)關(guān)可以保證數(shù)據(jù)在傳送過(guò)程中的保密性和不被篡改，并將數(shù)據(jù)正確地分配給相應(yīng)的用戶。

5.2傳輸層加密傳輸層加密：真正安全的數(shù)據(jù)傳輸功能。因?yàn)镹C運(yùn)行在基于自主知識(shí)產(chǎn)權(quán)的中間件上， NC的所有數(shù)據(jù)都需從中間件層過(guò)濾，可以通過(guò)在中間件層對(duì)數(shù)據(jù)進(jìn)行安全處理，來(lái)做到真正意義上的數(shù)據(jù)安全，從而再也不用擔(dān)心底層操作系統(tǒng)、硬件本身具有的系統(tǒng)漏洞或所留的后門對(duì)數(shù)據(jù)安全帶來(lái)的威脅。在NC中間件層中，已經(jīng)對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行了加密。算法除了一些經(jīng)典的如DES之外，還可根據(jù)用戶的需求采取具有自主知識(shí)產(chǎn)權(quán)的更高級(jí)別的加密算法:祇I「禍TRMI/IIOP(DE阱Press]HTTP/HTTPS局域啊互聯(lián)朝

(Intranet)(Hemet)RMEAIOPD.HIVIHI:祇I「禍TRMI/IIOP(DE阱Press]HTTP/HTTPS局域啊互聯(lián)朝

(Intranet)(Hemet)RMEAIOPD.HIVIHIII4III)——窗愴「頤:<1■EJBPress舄域網(wǎng)[(Intranet)5.3服務(wù)器安全服務(wù)器安全：自主研發(fā)的安全中間件。用友NC作為企業(yè)級(jí)ERP系統(tǒng)，除了能很容易的集成進(jìn)用戶自己的安全網(wǎng)絡(luò)環(huán)境中外，自身已具有了強(qiáng)壯的訪問(wèn)控制功能與數(shù)據(jù)安全傳輸功能。

作為應(yīng)用系統(tǒng)本身， NC的各應(yīng)用模塊完全運(yùn)行在用友具有自主知識(shí)產(chǎn)權(quán)的中間件NC本身應(yīng)用的高度安全NC本身應(yīng)用的高度安全如圖，NC是完全基于J2EE三層分布式結(jié)構(gòu)的應(yīng)用系統(tǒng)。HTMLHTML外部系統(tǒng)LHTTP/HTrP^ApacheWebServer,IISRMV1IOPXML數(shù)據(jù)交換

平臺(tái)（外掛）基于J2EE安全模型，dLLHJSP

EngineomorQAoodUOO①uuooContainerServlet

ContainernIEJNApp.ServerNC允許配置一個(gè)Web或enterprisebean組件，使系統(tǒng)資HTMLHTML外部系統(tǒng)LHTTP/HTrP^ApacheWebServer,IISRMV1IOPXML數(shù)據(jù)交換

平臺(tái)（外掛）基于J2EE安全模型，dLLHJSP

EngineomorQAoodUOO①uuooContainerServlet

ContainernIEJNApp.ServerNC允許配置一個(gè)Web或enterprisebean組件，使系統(tǒng)資源只能由授權(quán)的用戶訪問(wèn)；在中間件層，可實(shí)現(xiàn)數(shù)據(jù)的加密、壓縮功能，保證數(shù)據(jù)傳輸?shù)陌踩缘取?.4數(shù)據(jù)庫(kù)安全數(shù)據(jù)庫(kù)安全：安全的數(shù)據(jù)存儲(chǔ)。NC對(duì)關(guān)鍵的數(shù)據(jù)文件可實(shí)現(xiàn)加密存儲(chǔ)，因此不用擔(dān)心泄密或非法訪問(wèn)。對(duì)于數(shù)據(jù)庫(kù)中的數(shù)據(jù)，除了用戶自己的安全控制之外， NC可與數(shù)據(jù)庫(kù)加密系統(tǒng)集成，做到只有數(shù)據(jù)庫(kù)表的使用者才能讀到該表的安全功能。如果客戶已不僅僅滿足一般的數(shù)據(jù)文件加密存儲(chǔ)，而是對(duì)數(shù)據(jù)庫(kù)的安全有更高的需求，要求只有表的擁有者或合法使用者才能查閱到該表的內(nèi)容，其他用戶、甚至是據(jù)庫(kù)系統(tǒng)管理員也無(wú)法讀到表中正確的內(nèi)容。在這種情況下，可以通過(guò)在 DBMS外層外掛數(shù)據(jù)庫(kù)加密系統(tǒng)來(lái)實(shí)現(xiàn)。加密定義工具數(shù)據(jù)庫(kù)應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)加密系統(tǒng)能夠滿足客戶對(duì)字段加密、密鑰動(dòng)態(tài)管理、合理處理數(shù)據(jù)等需求，并且不影響合法用戶的使用。采用這種加密方式時(shí)，加 /解密運(yùn)算可以放在客戶端進(jìn)行，其優(yōu)點(diǎn)是不會(huì)加重?cái)?shù)據(jù)庫(kù)服務(wù)器的負(fù)載并可實(shí)現(xiàn)網(wǎng)上傳輸加密，缺點(diǎn)是加密功能會(huì)受一些限制。上圖中，“加密定義工具”模塊的主要功能是定義如何對(duì)每個(gè)數(shù)據(jù)庫(kù)表數(shù)據(jù)進(jìn)行加密，在創(chuàng)建了一個(gè)數(shù)據(jù)庫(kù)表后，通過(guò)這一工具對(duì)該表進(jìn)行定義；“ 數(shù)據(jù)庫(kù)應(yīng)用系統(tǒng)”的功能是完成數(shù)據(jù)庫(kù)定義和操作。數(shù)據(jù)庫(kù)加密系統(tǒng)將根據(jù)加密要求自動(dòng)完成對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)的加/解密6證書(shū)審批模式設(shè)計(jì)如下表所示，東方中訊托管型 CA服務(wù)支持多種審批模式，用友完全可以根據(jù)自身實(shí)際需求選擇一種或組合選擇其中多種來(lái)滿足企業(yè)自身的發(fā)證需求：審批模式種類審批模式模式說(shuō)明適合場(chǎng)景備注

手動(dòng)審批標(biāo)準(zhǔn)證書(shū)申請(qǐng)模式標(biāo)準(zhǔn)運(yùn)營(yíng)場(chǎng)合自動(dòng)審批與數(shù)據(jù)庫(kù)/LDAP/文件集成來(lái)完成用戶身份驗(yàn)證，從而實(shí)現(xiàn)自動(dòng)審批為企業(yè)內(nèi)部用戶頒發(fā)證書(shū)，更適合大用戶量場(chǎng)合；通行碼審批管理員預(yù)生成通行碼，用戶使用通行碼來(lái)申請(qǐng)并下載證書(shū)為企業(yè)內(nèi)部用戶頒發(fā)證書(shū)，通行碼容易安全分發(fā)給用戶；集中模式管理員集中進(jìn)行用戶申請(qǐng)，批量制證，然后分發(fā)給用戶為企業(yè)內(nèi)部用戶頒發(fā)證書(shū)，但用戶量不大；往往與自動(dòng)審批組合使用6.1手動(dòng)審批手動(dòng)審批指用戶登錄證書(shū)申請(qǐng)界面填寫(xiě)注冊(cè)信息， RA管理員鑒證用戶身份后，登錄證書(shū)管理頁(yè)面，手動(dòng)批準(zhǔn)用戶證書(shū)請(qǐng)求，用戶然后登錄證書(shū)注冊(cè)頁(yè)面下載證書(shū)。手動(dòng)批準(zhǔn)方式可以根據(jù)配置設(shè)定是多人批準(zhǔn)或一個(gè)管理員批準(zhǔn)；其流程如下圖所示：1 , 企業(yè)本地■用戶具體工作流程如下:用戶訪問(wèn)證書(shū)注冊(cè)RA服務(wù)器Web頁(yè)面，根據(jù)系統(tǒng)的要求，填寫(xiě)自己的姓

名、部門、電子郵箱等必需的注冊(cè)信息，并在本地生成一對(duì)密鑰對(duì)，私鑰保存在本地，公密鑰連同注冊(cè)信息一起提交給 RA系統(tǒng)；RA系統(tǒng)在收到用戶的注冊(cè)信息后，有關(guān)鑒證人員會(huì)對(duì)用戶的證書(shū)申請(qǐng)資格及真實(shí)身份作鑒證，鑒證通過(guò)后，將鑒證結(jié)果反饋給 RA管理員；RA管理員根據(jù)鑒證結(jié)果，為鑒證通過(guò)的用戶批準(zhǔn)頒發(fā)數(shù)字證書(shū)， CA系統(tǒng)自動(dòng)為用戶簽發(fā)數(shù)字證書(shū)，并將簽發(fā)的結(jié)果以郵件的形式返回給用戶；用戶根據(jù)郵件中提示的網(wǎng)址鏈接，下載并安裝數(shù)字證書(shū)；6.2自動(dòng)審批自動(dòng)審批模式通過(guò)部署AA模塊和AA簽名模塊來(lái)實(shí)現(xiàn)用戶證書(shū)審批的自動(dòng)化管理。在自動(dòng)審批模式下，企業(yè)可以定制自己的證書(shū)申請(qǐng)審批規(guī)則，由自動(dòng)管理服務(wù)器自動(dòng)完成企業(yè)個(gè)人用戶證書(shū)的審批，而無(wú)需管理員的手工干預(yù)，從而大大方便了企業(yè)對(duì)證書(shū)的管理。系統(tǒng)提供了各種用于自動(dòng)管理的 API，企業(yè)可根據(jù)自己的需求建立用戶驗(yàn)證過(guò)程。用戶驗(yàn)證的數(shù)據(jù)可以放在人力資源數(shù)據(jù)庫(kù)中，或 LDAP目錄中。用戶驗(yàn)證的數(shù)據(jù)內(nèi)容可以是用戶在數(shù)據(jù)庫(kù)業(yè)務(wù)系統(tǒng)中的名稱和密碼，也可以是 LDAP服務(wù)器上的訪問(wèn)權(quán)限。東方中訊提供AA開(kāi)發(fā)接口，企業(yè)可以定制開(kāi)發(fā)自己的驗(yàn)證方式。WtRAAA自動(dòng)養(yǎng)AA簽名具體工作流程如下：⑴用戶訪問(wèn)證書(shū)注冊(cè)RA服務(wù)器Web頁(yè)面，根據(jù)系統(tǒng)的要求，填寫(xiě)自己的用戶名、口令等必需的注冊(cè)信息，并在本地生成一對(duì)密鑰對(duì)，私鑰保存在本地，公密鑰連同注冊(cè)信息一起提交給 RA系統(tǒng)；RA系統(tǒng)收到用戶的證書(shū)申請(qǐng)信息后，將信息轉(zhuǎn)交給 AA自動(dòng)管理服務(wù)器；AA自動(dòng)管理服務(wù)器請(qǐng)求帳號(hào)管理數(shù)據(jù)庫(kù)，根據(jù)用戶提交的用戶名、口令驗(yàn)證用戶的身份，驗(yàn)證通過(guò)后，將帳號(hào)管理數(shù)據(jù)庫(kù)中的用戶信息讀取出來(lái)；AA簽名服務(wù)器對(duì)以上信息進(jìn)行簽名確認(rèn)；信息簽名確認(rèn)后，將用戶通過(guò)的證書(shū)申請(qǐng)請(qǐng)求連同用戶信息一起發(fā)送給 CA服務(wù)器；CA服務(wù)器自動(dòng)為用戶簽發(fā)數(shù)字證書(shū)，將簽發(fā)數(shù)字證書(shū)的結(jié)果以郵件形式反饋給用戶；用戶根據(jù)郵件中提示的網(wǎng)址鏈接，下載并安裝數(shù)字證書(shū)；'自動(dòng)審批的安全設(shè)計(jì)：配置AA端的簽名模塊時(shí)需要為本地 RA帳戶申請(qǐng)帳戶證書(shū)，帳戶證書(shū)保存在簽名服務(wù)器，當(dāng) AA服務(wù)器自動(dòng)簽發(fā)證書(shū)時(shí)需要用帳戶證書(shū)簽名，并用CA中心的AA證書(shū)對(duì)數(shù)據(jù)加密，保證數(shù)據(jù)的安全——性。同時(shí)從CA中心返回至AA服務(wù)器的數(shù)據(jù)，也要求使用 CA中6.3通行碼審批通行碼方式是根據(jù)用戶在證書(shū)注冊(cè)網(wǎng)頁(yè)上填寫(xiě)的通行碼來(lái)鑒別用戶的身份，從而實(shí)現(xiàn)自動(dòng)頒發(fā)數(shù)字證書(shū)的方式。通行碼是一串隨機(jī)數(shù)，里面包含通行碼序號(hào)和密碼信息，它是管理員通過(guò)秘密的方式發(fā)送給用戶的，用戶使用通行碼登陸證書(shū)注冊(cè)網(wǎng)站，填寫(xiě)注冊(cè)信息和通行碼，提交請(qǐng)求，證書(shū)被自動(dòng)批準(zhǔn)的方式。其流程如下圖所示:具體工作流程如下：CA管理員通過(guò)CA系統(tǒng)，產(chǎn)生證書(shū)申請(qǐng)通行碼，并將通行碼以安全的方式發(fā)放到用戶手中;用戶訪問(wèn)證書(shū)注冊(cè)RA服務(wù)器Web頁(yè)面，輸入通行碼，并根據(jù)系統(tǒng)的要求，填寫(xiě)必需的注冊(cè)信息，同時(shí)在本地生成一對(duì)密鑰對(duì)，私鑰保存在本地，公密鑰連同通行碼、注冊(cè)信息一起提交給 RA系統(tǒng)；RA系統(tǒng)將用戶的通行碼提交給 CA服務(wù)器器，由CA服務(wù)器驗(yàn)證用戶的通行碼的真?zhèn)?，?yàn)證通過(guò)后，自動(dòng)為用戶簽發(fā)數(shù)字證書(shū)；CA服務(wù)器將簽發(fā)結(jié)果返回給用戶，用戶根據(jù)提示的網(wǎng)址鏈接，下載并安裝證書(shū)；適用環(huán)境：大量用戶申請(qǐng)數(shù)字證書(shū)，管理員手工批準(zhǔn)工作繁重。在這種方式下要求通行碼必須是通過(guò)安全可靠的方式發(fā)送給用戶。如果沒(méi)有一個(gè)安全可靠的通行碼發(fā)送方式，對(duì)于安全級(jí)別要求比較高的數(shù)字證書(shū)，比如服務(wù)器證書(shū)，企業(yè)證書(shū)，不推薦采用該方式。丄完全托管模式、本地RA模式、本地RA+AA自動(dòng)管理模式都支持通行碼方式申請(qǐng)數(shù)字證書(shū) 。6.4集中制證模式集中制證是指由管理員集中為用戶錄入注冊(cè)信息，審核用戶信息的真實(shí)性，將證書(shū)寫(xiě)入證書(shū)存儲(chǔ)介質(zhì)(通常為 USBKEY)，最后將制作好的證書(shū)分發(fā)給最終用戶使用。為了減輕管理員的工作壓力，其流程如下圖所示：具體工作流程如下:管理員訪問(wèn)證書(shū)注冊(cè) RA服務(wù)器Web頁(yè)面，插入U(xiǎn)SBKEY，填寫(xiě)需要申請(qǐng)證書(shū)的用戶名等基本信息，同時(shí)在USBKEY中生成一對(duì)密鑰對(duì)，私鑰保存在本地，公密鑰連注冊(cè)信息一起提交給 RA服務(wù)器；RA服務(wù)器連接后臺(tái)CA服務(wù)器申請(qǐng)簽發(fā)數(shù)字證書(shū)；管理員確認(rèn)用戶的詳細(xì)信息，然后向 CA服務(wù)器提交用戶申請(qǐng)請(qǐng)求；CA服務(wù)器自動(dòng)為用戶簽發(fā)數(shù)字證書(shū)，并將簽發(fā)的證書(shū)返回給 CA管理員，證書(shū)自動(dòng)存儲(chǔ)到USBKEY中；管理員將USBKEY發(fā)放給用戶；適用環(huán)境：證書(shū)用戶為企業(yè)內(nèi)部用戶或相關(guān)分銷商、供應(yīng)商等外部用戶制證，通過(guò)管理員集中為用戶制證，避免了最終用戶證書(shū)申請(qǐng)過(guò)程中的誤操作；通過(guò)自動(dòng)管理模塊的集成，極大減輕了管理員的信息錄入工作負(fù)擔(dān)。

CA安全認(rèn)證系統(tǒng)工作原理7.1系統(tǒng)安全原理（1）身份認(rèn)證和訪問(wèn)控制實(shí)現(xiàn)原理利用Web服務(wù)器對(duì)SSL（SecureSocketLayer，安全套接字協(xié)議）技術(shù)的支持，可以實(shí)現(xiàn)系統(tǒng)的身份認(rèn)證和訪問(wèn)控制安全需求。目前，SSL技術(shù)已被大部份的WebServer及Browser廣泛支持和使用。采用SSL技術(shù)，在用戶使用瀏覽器訪問(wèn) Web服務(wù)器時(shí)，會(huì)在客戶端和服務(wù)器之間建立安全的SSL通道。在SSL會(huì)話產(chǎn)生時(shí)：首先，服務(wù)器會(huì)傳送它的服務(wù)器證書(shū)，客戶端會(huì)自動(dòng)的分析服務(wù)器證書(shū)，來(lái)驗(yàn)證服務(wù)器的身份。其次，服務(wù)器會(huì)要求用戶出示客戶端證書(shū)（即用戶證書(shū)），服務(wù)器完成客戶端證書(shū)的驗(yàn)證，來(lái)對(duì)用戶進(jìn)行身份認(rèn)證。對(duì)客戶端證書(shū)的驗(yàn)證包括驗(yàn)證客戶端證書(shū)是否由服務(wù)器信任的證書(shū)頒發(fā)機(jī)構(gòu)頒發(fā)、客戶端證書(shū)是否在有效期內(nèi)、客戶端證書(shū)是否有效（即是否被竄改等）和客戶端證書(shū)是否被吊銷等。驗(yàn)證通過(guò)后，服務(wù)器會(huì)解析客戶端證書(shū)，獲取用戶信息，并根據(jù)用戶信息查詢?cè)L問(wèn)控制列表來(lái)決定是否授權(quán)訪問(wèn)。所有的過(guò)程都會(huì)在幾秒鐘內(nèi)自動(dòng)完成，對(duì)用戶是透明的。如下圖所示，除了系統(tǒng)中已有的客戶端瀏覽器、Web如下圖所示，除了系統(tǒng)中已有的客戶端瀏覽器、Web服務(wù)器外，要實(shí)現(xiàn)基于SSL的身份認(rèn)證和訪問(wèn)控制安全原理，還需要增加下列模塊:客戶端 冊(cè)逼務(wù)器身份認(rèn)證和訪問(wèn)控制原理圖客戶端 冊(cè)逼務(wù)器身份認(rèn)證和訪問(wèn)控制原理圖Web服務(wù)器證書(shū)要利用SSL技術(shù)，在Web服務(wù)器上必需安裝一個(gè) Web服務(wù)器證書(shū)，用來(lái)表明服務(wù)器的身份，并對(duì) Web服務(wù)器的安全性進(jìn)行設(shè)置，使能 SSL功能。服務(wù)器證書(shū)由CA認(rèn)證中心頒發(fā)，在服務(wù)器證書(shū)內(nèi)表示了服務(wù)器的域名等證明服務(wù)器身份的信息、Web服務(wù)器端的公鑰以及 CA對(duì)證書(shū)相關(guān)域內(nèi)容的數(shù)字簽名。服務(wù)器證書(shū)都有一個(gè)有效期， Web服務(wù)器需要使能SSL功能的前提是必須擁有服務(wù)器證書(shū)，利用服務(wù)器證書(shū)來(lái)協(xié)商、建立安全 SSL安全通道。這樣，在用戶使用瀏覽器訪問(wèn) Web服務(wù)器，發(fā)出SSL握手時(shí)，Web服務(wù)器將配置的服務(wù)器證書(shū)返回給客戶端，通過(guò)驗(yàn)證服務(wù)器證書(shū)來(lái)驗(yàn)證他所訪問(wèn)的網(wǎng)站是否真實(shí)可靠。用戶證書(shū)用戶證書(shū)由CA認(rèn)證中心頒發(fā)給企業(yè)