（工商管理专业论文）我国PKI系统的互联模式研究及其应用.pdf

论文独创性声明 本论文是我个人在导师指导下进行的研究工作及取得的研究成果。论文中除 了特别加以标注和致谢的地方外，不包含其他人或其它机构已经发表或撰写过的 研究成果。其他同志对本研究的扁发和所做的贡献均已在论文中作了明确的声明 并表示了谢意。 作者签名：童垄 日期： 论文使用授权声明 硒：! 璺习 本人完全r 解复旦大学有关保留、使用学位论文的规定，印：学校有权保留 送交论文的复砸件，允许论文被套阅和借阅；学校可以公布论文的全部或部分内 容，可以采琦 影印、缩印或其它复制手段保存论文。保密的论文在解密后遵守此 规定。 作者签名：丝导师签名：塑够日期：垒鲻洌 0 5 2 0 2 5 2 7 5 厅忠 我p k l 系统n 联模，c 研究发腑月】1 ；范 摘要 随着l 乜| ：商务逐渐成为2 11 址纪经济生活f f j 新领域，联嘲i 的安全问题已 绐f 1 益突h ；，建芷完善的电f 认证体系成为j u 于商务l u 于政务发展的关键。1 9 9 8 年底，团内第一家以实体形j 运佑的上海c a1 1 1 心( s h e c a ) 成立，此后，仝 m 先后建成了几1 一家不同类型的c a 认证机构，c a 认证的概念也逐步从电子商 务渗透至l 乜予政务、金融、科教等各个领域。 群雄并起、诸侯割据、自成体系，这是我们i i 得不面对的国内c a 建设现状， 这种局面直接导致了c a 认证的权威性、互通性、可靠性等达不到要求。解决已 建p k i 信任体系中的互联互通问题成为我国当前p k i 信任体系建设的当务之急。 西方发达国家早已经丌始了p k i 互联互通技术体系研究工作，并实现了 多个c a 系统的互联互通；国内由上海c a 牵头，联合天津c a 、北京c a 、山东 c a 进行过互联互通的探索1 作，但由于缺乏足够的技术储备和组织协调，探索 工作并没有成功。 本文分析了国内p k i 系统互联互通的实际需求，回顾了国际和国内p k l 系 统互联互通的探索和实践，着重分析了互联互通的几种模式：层次结构、网状结 构、信任列表结构，并提出适合国内p k i 系统互联的混合模式( 桥证书模式) ， 对于p k i 系统互联的技术难点，即信任扩展的限制与证书路径的构造阀题傲了深 入研究，提出了合适的解决方案。 本文共分五章：第一章绪论；第二章为p k i 相关技术基础；第 三章研究p k i 系统互联互通的模式，提出了适合中国p k i 互联的混合 模式，并对p k i 系统瓦联的技术难点做了研究并提出了合适的解决方 案；第四章对研究成果的实际应用一p k i 互联互通示范工程的建设做 了详细介绍：第五章提出结论和展望。 关键词：p k i ，c a ，互联互通，信任扩展，路径构造，桥c a 0 5 2 0 2 5 2 7 5 疗占 我1 日i j k i 系统组联模i = 研究歧城j 日求范 a b s t r a c t l nt h e2 ls tc e n t u e c o m m e r c ei sb e c o m i n gn e wa r e ao f e c o n o m i cl i r e ，t l l e s e c u r i t yi s s u e so nt h ei n t e m e th a sb e c o m ei n c r e a s i n g l yp r o m i n e n t t h ee s t a b l i s h m e n t o fe l e c t m n i ca u t h e n t i c a t i o ns y s t e mi sb f 圮o m j n gak e yp o i n to fe _ c o m m e r c ea n d e g o v e r n m e n td e v e l o p m e n t j t h ef i r s ld o m e s t i cc e n i f i c a t ea u t 1 0 r i t y s h a n g h a i e l e c t m n i cc e r t i f i c a t ea u t h o t y ( s h e c a ) w a ss e t u pa tt h ee n do f1 9 9 8 ，a f t c rw h i c h d o z e n so fd i 仃e r e n tt y p e so fc aw e r ef o m e di nc h i n a t h ec o n c e p to fc ah 髂b e i n g i n f i l l m t i n gf 如me c o m m e r c et oe g o v e m m e n t f i n a n c i a l ，s c i e n t i n c ，e d u c a t i o n a la n d o t h e rf i e l d s w eh a v et of a c et h j ss i t u a t i o n ：e a c bd o m e s t i cc ai si s 0 1 a t e df b mo t h e rc a s ，a n d t h i sl e dd i r e c t l yt ot l ei n t e m p e r a b i l i t yb e t w e e nt h e mi sn o t 瓣t i s 黟i n g r e s o l v i n gt h i s p r o b l e mi sb e c o m i n go n eo f t h ek e yi s s u e so f c h i n e 辩i n f o 加a t i o ns e c i l r i 够 w e s t e md “e l o p e dc o u n t r i e sh a v es t a r t e dp k li n t e m p e 朔b i l i t yr e s e a r c hw o r k e a r ly ，a n dh a v em a d ean u m b e ro fc as y s t e m si n t e r c o n n e c t e dt o g e t h 盯；s o m e d o m e s t i cc a s ，i n c l u d i n gs h a n g h a ic a ，而a n j i nc a ，b e 面i n gc a ，s h 柚d o n gc al l a v e c o n d u c t e de x p l o r a t i o nw o r ko fc ai n t e r o p e r a t i o n ，b u td 眦t 0i a c k0 fs u 矫c i e n t t e c h n i c a lp r e p a r a t i o n 扑de 衔c i e n to r g a n i z a t i o n a 】c o o r d i n a t i o n ，e x p l o r ew o r kw 邵n o t s u c c e s s 如1 n i sp a l ) e r 彻a l y z 鹤 t h e t h ef e a id e m 觚do fd o m e s t i cp k is y s t e m s i n t e r c o n n e c t i o 啦r e v i e w e dt h ei n t e m a t i o n a ip k is y s t e mi n t e r c o n n e c t i o np r 觚t i c e s ， f o c u so ns e v e m lm o d e so fi n t e r o p e r a b i j “y ：b i e r a r c h i c a is 臼u c t u r e ，t h eg r i ds t n l c t u r e ， t r u s ti i s ts t r u c t u r e ，a n dp r o p o s em i x e dm o d e ( b r i d g ec e n 访c a t em o d e ) f o rc h i n e s e p k is y s t e mi n t e r c o n n e c t i o n t h i sp a p e ra l s od oi n d e p t hs t i l d i e s i nt e c h n i c a l d i f f i c u l t i e s ：l i m i 诅t i o n so ft n l s te x p di s s u e 柚dc e n i f i c a t e sp a l hc o n g t m c t i o ni s s u e ， a 1 1 dp r o v i d e 印p r o p i a t es o l u t i o n st ot h o 辩t 、v od i 币c u l t i e s 1 b i sp a p e ri sd i v i d e di n t of i v ec h a p t e r s ：c h a p t e r1i n t r o d u c t i o n ；c h a p t e rl if o r t h ep k lt e c h n o l o g yb a s e ；c h a p t e ri i is t u d yp k is y s t e mi n t e f c o n n e c t i o nm o d e l ， p r o p o 辩m i x e dm o d ef o rt h ec h i n e p k li n t e r c o n n e c t i o n ，d on d e p t hs t u d i e si n t e c h n i c a ld i 俑c u i t i e sa n dg i v ea p p r o p r i a t es o l u t i o n s ；c h 印t e ri vt h ea p p l i c a t i o no f t h e s t u d y c h i n ap k ii n t e r o p e m b i l i t yd e m o n s t m t i o np r o j e c t ：c h a p t e rv c o n c l u s i o n sa n d f b r e c a s t s 4 ! ! ! ! 望! 堑塑：苎 垫! ! 丛! 墨丝皇壁丝生业垄丝坐旦尘丝 k e yw o r d s ：p k i ，c a ， p k i i n t e r o p e r a b i 】it y ， t r u s t e x p a n d ， c e r t i f i c a t ep a t hc o n s t r u c t i o n ，b r i d g ec a 5 0 5 2 【) 2 5 2 7 5 办占我i ql j kj 系统l 联模研究成心用_ ：范 第一章绪论 1 1 选题的目的与意义 作为2 01 i 纪木泰要的技术革命，信息技术对：界范i i 内的经济，政治、科 教及社会发展都产牛了十分霞大的影f 们，并进一少深刻地改变人们的生活方式、 牛产方式与管理办式。一办i i ，信息投术与政i i ：f = 镑理、会融、公共服务，教育、 医疗和传统商务的结合带束了l j 人的市场，对推进罔家现代化、推进社会文明的 发展，发挥着h 益重大的作j 】：另一方面，i l l 于信息技术的特殊性，信息化本身 又带束了巨火的信息安全风险。信息化与信息安全的发展战略问题引起了世界各 国政府和企业界的广泛重视。 为解决在信息化、网络化环境下的安全问题，世界各国经过多年的研究，初 步形成了一套完整的解决方案，即公钥基础设施( p u b l i ck e yl n 觚t r u c t u r e ，p k i ) ”月“。p k i 是基于公丌密钥理 和技术建立起来的安全体系，是提供信息安全服 务的具有普适性的安全基础设施。该体系通过标准的接口为电子商务和电子政务 提供必须的认证、保密和不町否认服务。作为一种技术体系，p k i 为网络应用提 供可靠的安全保障。p k i 的核心是要解决信息网络空间中的信任问题确定信息 网络空日j 中各种经济、军事和管理行为主体( 包括组织和个人) 身份的唯一性、 真实性和合法性，保护信息网络空间中各种主体的安全利益。 1 9 9 8 年，国内第一家以实体形式运营的上海c a 中心( s h e c a ) 成立，此 后，全国先后建成了几十家不同类型的c a i 3 l 认证机构，c a 认证的概念也逐步从 电_ 向务渗透垒电子政务、会融，科教等各个领域，c a 中心电子认证产业，l ：始 呈现蓬勃发展趋势。但是，日丽国内c a 中心都在独立的信任域内丌展服务，形 成了一个个信任孤岛。这种发展格局有利于形成竞争环境。但某些情况下对证书 用户来说，增加了负担。从固家宏观的角度，需要建设统的网络信任体系，引 导我国的电子认证服务产业走向健康发展的轨道。从最终证书用户的角度，他 们也希望c a 能够互联t 工认，不希望每个应用系统中都使用不同的数字证书，他 们希望“一证在手，走遍天f ”。因此，解决已建p k l 信任体系互联互通问题 成为我国当前p k l 信任体系建设的首要任务。 互联通体系研究及其实现能够促进网络信任乎台的构建，从而实现安全性 一致的、信誉有保障的网络信任体系，有利于消除长期以水对于网络信任环境的 担忧增强公众对f 电子商务、电予政务应用系统的信心，促进网络消费、网络 事务办理，节约交通、流通等环节成本，带来更人的社会效益。 8 ( ) 5 2 0 2 5 2 7 5 方，盘 找阳p k l 乐统l 联_ | ；! j c 州究硬j 通用1 ：范 1 2 国内外研究现状 美阅联邦政府在研究并政腑机构已建成n 勺1 ) k 】体系的揍础 = ，为解决二：经建 设好的符种1 ；同认证系统之n u 的j i 联1 i 通问题，j ：1 9 州年提出桥c a 这概念。 联郧桥c a ( f b c a ) i j 联j = i j 策i 盼份理机构( f p m a ) 拄：i ；! l ，它的f 的足在联邦 p k l l ，1 ：的呵信域之f l j 提供i 叮f 青路径。 欧洲在p k l 基础建设，j 1 j i i 也岛度重视符级证1 5 机构之问的互联互通问题。 近年来，以德闭德意志银行和德闰 乜信集闭发起，建盘了欧洲桥c a 。弧太地隧 各陶，尽管p k i 的发展还不、r 衡，但也一卜分重视p k j 体系之问的互联互通问题。 2 0 0 1 年6 月“亚洲p k i 论坛”宣告成立。洲p k t 论坛的h 的是确保p k i 的瓦 操作性以及促进在砭洲地区利j 】p k l 进行的i 乜予商务业务。实现不同c a 之h 】的 互联互通是亚洲p k j 论坛的j ：作重点之。闩本政府讵在建设三个桥c a ，其一 是联接中央政府1 2 个部门c a 的桥c a ，其二是联结地方政府4 7 个c a 的桥c a ， 其三是联结各商业c a 的桥c a ，最终目标是建立连接上述三个桥c a 的国家桥 c a 。与此同时，同本p k l 论坛还联合韩国、新加坡进行了互联互通实验，我国 台湾省也建立了“中国桥c a ”。 国内c a 机构也进行过互联】i 通的探索，从2 0 0 2 年丌始，上海c a 中心联合 北京、天津、山东、安徽、昆明、无锡等地的c a 认证机构，成立了全国性互通 的c a 认证体系中国协卡认证体系( u n j t e d c e n 湎c a t e a u t h o r i t y ，简称u c a ， 采用层次结构，根c a 由上海c a 维护) ，从而实现了跨地区、跨行业的认证，使 协卡体系成为全国范围内的互联网安全信任服务提供商。但到目i j 为止，中国协 卡认证体系已经名存实亡。 1 3 本文的研究内容 本论文从国家信息安全实际需求出发，分析了p k l 相关技术，研究了实现 p k i 互联的几种模式：包括层次模式、网状模式、信任列表模式，分析这些模式 的优点和缺点，归纳出这些模式都不适合中围l 目情。在这几利t 模式的基础上，提 出了适合国内p k i 互联互通的混合模式( 桥c a 模式) ，并着重研究了桥c a 模 式下实现7 互联互通灼两个关键问题：信任扩展限制f u j 题和证书路径构造问题，对 信任扩展问题给出了详细的解决方案，对证书路径问题设计出了证书路径构造算 法。 2 0 0 4 年底，国家信息i j 心发和! i 联瓦通示范 ：程招标书，在国内p k i 领域 承建过多个区域c a 和行业c a 的长春吉大l i i 元信息技术有限公司最终中标。本 人有幸作为c a 互联互通示范1 ：程项目专家组成员参与了项目前期的调研、互联 0 5 2 0 2 5 2 7 5 方忠 我1 日l j k l 系统n 联横j 弋研究及心用小范 旺通模式的选择和分析、1 i 联，c 通技术方案制订、系统实施和棚关标准文档制订 的伞部过程。在c a 互联u 通示范1 ：羁，本论文的研究成粜得到了实际应j 1 】， 尤其足对旺联! i 通中信任扩腱限制l u 】题和证书路径构造问题的解决，对历；范1 ：程 的成助起了很关键的作用。 0 5 2 ( ) 2 5 2 7 5 方，占 我p kj 系统且联模，圳，e 发盹用1 ：范 第二章p k i 相关技术基础 本章对p k i 相关技术培础进行了分析，包括p k l 、c a 、数字证书、数字签 名。然后，结合了目内几家j i 要的p k l c a 软件，r 发商，分析了p k j 系统结构， 包括c a 系统的典型逻辑结构、c a 系统典型的物理结构、数字b e 书发放流程、 p k i 技术体系组成逻辑等。 2 1 p k i 相关技术 2 1 1p k i p k i 是“p u b l i ck e yi n f r a s t r u c t u r e ”的缩写，意为“公钥基础设施”。 是信 息安全基础设施的一个重要组成部分，是一种普遍适用的网络安全基础设旌。 p k i 是以公钥理论和技术为基础，以身份认证、数掘的机密性、完整性和 不可抵赖性为安全目标和安全需求而构筑的公共信息安全基础平台，解决网络信 息安全问题。通过自动管理密钥和数字证书，为用户提供一个真币安全的网络运 行环境。 公钥体制是目前应用最广泛的一种加密体制，在这一体制中，加密密钥与解 密密钥各不相同，发送信息的人利用接收者的公钥发送加密信息，接收者再利用 自己专有的私钥进行解密。这种方式既保证了信息的机密性，又能保证信息具有 不可抵赖性。目前。公钥体制广泛地用于c a 认证、数字签名和密钥交换等领域。 p k i 可以解决绝大多数网络安全问题，并初步形成了套完整的解决方案， 它是基于公丌密钥理论和技术建立起来的安全体系，是提供信息安全服务的具有 普适性的安全基础设施。该体系在统一的安全认证标准和规范基础上提供在线身 份认证，是c a 认证、数字证书、数字签名以及相关安全应用组件模块的集合。 作为种技术体系，p l ( i 可以作为支持认证、完整性、机密性和不可否认性的技 术基础，从技术上解决网上身份认证、信息完整性和抗抵赖等安全问题，为网络 应用提供可靠的安全保障。 p k i 绝不仅仅涉及到技术层畈的问题，还涉及到电子政务、电予商务以及国 家信息化的整体发展战略等多层面问题。p k i 作为幽家信息化的基础设施，是相 关技术、应用、组织、规范和法律法规的总和，是一个宏观体系，其本身就体现 了强大的国家实力。p k l 的核心是要解决信息网络空m 中的信任问题，确定信息 网络空i b j 巾各种经济、军事和管理行为主体( 包括组织和个人) 身份的惟一性、 9 0 5 2 ( ) 2 5 2 7 5 斤忠我阳j j kj 乐统且联模代州究殷j - f 用叫；范 真实性和合法性，保护信息m 络窄n u 巾符种j 二体的安个利益。 2 1 2c a p k i 公钥体系采阚数。弘证书的方式管理公钏，通过第二三方可信任机构一c a l 3 l ( c e n m c a t ea u t h o r i t y ) 认证机构柬管理证书，c a 认证机构的作用类似于娴家的 护照签发中心。护照是权威l i 心( 护照签发t 卜0 ) 颁发的种安全文件，它是 护照持有者的一种纸质身份证明，任何信任该嘲护照签发中心的其他园家也会信 任该囡护照签发中心所签发的护照。数字证书是山权威 ，心( c a 认证机构) 签发 的一种电子安全文件，它足数字证书持有者的种电子版身份证明，任何信仟陔 c a 中心的所有用户也会信任该c a 中心所签发的数字证书，进而确定证书持有 者在网络虚拟空问中的身份。 根掘研究，归纳起来，c a 认证机构的职责如f ： 验证并标识证书申请者的身份 确保c a 用于签发证书的非对称密钥的质量 确保整个签证过程的安全性，确保签名私钥的安全性 证书资料的管理( 包括公钥证书序列号、c a 标识等) 的管理 确定并验证证书的有效期限 确保证书主体标识的唯一性 发面i 并维护证书注销列表( c e n i f i c a er e v o c a t i o nl i s t ，c r l ) 1 3 】 对整个证书签发过程作同志纪录 向申请人发出通知 为用户签发数字证书 2 1 3 数字证书 数字证书是标识网络用厂】身份信息的一系列数据，用柬在网络通讯中识别通 讯各方的身份，即要在虚拟的网络空l 日j 巾解决“我是谁”的问题，就如同现实中 我们每一个人都要拥有一张证明个人身份的身份证或驾 5 f ! 执照一样，以表明我们 的身份或某种资格。数字证书通常包含有唯一标识证书所有者的名称、唯一标识 证书发布者的名称、证书所有者的公丌密钥、证书发布者的数字签名、证书的有 效期及证书的序列号等。 数字证书是山权威公正的第三方机构即c a 认证机构签发，以加密技术对网 络上传输的信息进行加密和解密、数字签名和签名验证，确f 5 l 网上传递信息的机 密性、完褴性，以及操作实体身份的真实性，签名信息的不可否认性从而保障 网络应用的安全住。数字证1 5 呵片】于：发送安全电子邮件、访问安全站点、网上 证券、网j 二招标采购、网上签约、网i ：办公、网卜缴赞、网上税务等网上安全电 1 0 0 5 2 ( j 2 5 2 7 5 方g我i qp k l 系统- f j 联模j 研究授j 避用1 j 范 f 事务处理雨l 安伞也了交易活动。 数字证书的格式需要遵循罔际电话j i 乜报裕询委员会( c c j t t ) 制定的 x 5 0 9 弘j 标准，在这个标准巾，规定了数字证1 s 必须包含的一些信息：如版本号、 序列号、签名算法、有效期限以及耵1 关的扩眨域信息等。 在x 5 0 9 标准q ，数字证转采j i j a s n 1 1 4 h 吾j 表达，编码方式主要采用d e 刚5 i 编码方式： 卜闭2 1 所示的足在w l n d o w s2 0 0 0s e r v e r 掾作系统j 二，通过叔击一个数 字证书文件，查看到的数字证书的详细信息。 2 1 4 数字签名 图2 1 数字证书 数字签名类似与我们闩产生活中的手写签名操作，2 0 0 5 年4 月1r 国家电 子签名法6 1 正式实施，已经几j j 确电予签名f 8 | l 3 4 川9 1 1 2 0 】同手写签名一样，具有法 律效力： 利用发信者的私钥和呵靠的密码算法对待发信息或其电子摘要进行加密处 我瑚p k i 乐统且联模j 弋研究成心用_ 范 理，这个过程和结粜就是数。 签名。收信存以j 订发信者的公钐j 对收到f j 信息进 行解密从而辨别真伪。经过数字签名后的信息j 订真实化神j 刁i 可否认( 抵赖) 性。 2 2 p k i 系统结构 2 2 1c a 系统典型逻辑结构 根掘调套研究，国内提供c a 系统建设的 ：要厂家闷前有四家，分别是长春 吉大萨元信息技术股份有限公司、上海格尔信息技术有限公司、北京信安世纪信 息安全技术有限公司、北京天减诚信信息技术有限公司，其中长春吉大正元信息 技术有限公司占有国内c a 市场7 0 以上的份额，具有绝对垄断地位。 经过多年的市场竞争和客户使用，各家c a 软件的体系结构基本相同，本人 选取长春吉大讵元信息技术有限公司的s r q 0 5 系统作为研究对象，研究p k l 系 统的系统结构。 s r q 0 5c a 认证系统的逻辑结构如下，图2 2 ： 图2 2s r q 0 5c a 认证系统逻擎 结构 典型的c a 系统1 2 2 j 1 2 3 j i j 以下几个核心组件纠t 成： i ) j 2 0 2 5 2 7 5 方上我阳雕1 系统n 联筷，州究厦械用小范 认证中心( c a s e r v e r ) 注册中心( 1 t a s e r v e r ) 密钥管理小心( k m s e r v e r ) 在线证书状态查询服务( o c s p s e r v e r ) 其一 ，认证q ，心为产品的核心，他组件f 嗣绕认证q ，心提供更完善的安全解决 珏+ 象。 各组件的功能是： 认证r 1 心( c a s e r v e r ) j j ts r q 0 5 的核心，负责数字证书、证书注销列表的管理。 注册中心( r a s e n ，e r ) 接收并审核用户的申请信息，审核完毕后提交c a s e r v e r ；接收c a s e r v e r 的 返旧信息并通知用户。 r a t b o l k t 作为r a s e r v e r 的丌发工具包向外提供，允许用户根掘业务系统的需要把证 书业务功能集成到业务系统中，实现证书功能和业务系统的无缝集成。 密钥管理中心( k m s e r v e r ) 负责用户加密密钥的生成、存储、归档、备份和恢复等管理功能，为c a s e r v e r 签发加密数字证书提供所需密钥。 在线证书状态查询服务( o c s p s e r v e r ) j l ts r q 0 5 提供在线证书状态查询服务，用户可以实时查询指定证书的状念 信息。 o c s pt c i o l k i t 作为丌发工具包向外提供，用户使用此o c s p t o o i k i t 与0 c s p s e r v e r 建立连 接，提交证书查询请求并接收解析响应结果。 2 2 2c a 系统典型的物理结构 c a 系统实质是一个密钥管理系统，其自身的安全性非常重要， 建设过程中，需要通过多种安全手段确保系统的安全。 c a 系统的根密钥在密码机内部生成，根私钥永远不出密码机， 经过国家密码主管部门认证通过的国内厂家产品。 在c a 系统 密码机采用 在c a 系统的物理环境建设中，根据各功能部件安全要求的高低，将系统分 为k m ( k e ym a n a g e r 密钥管玛! ) 、安全区、操作区和d m z 区，通过多道不同厂 家和型号的防火墙将各部分隔离，其中安全要求最商的k m 区在网络的最内层。 在c a 系统网络中部属l d s 入侵j i ；f 测系统，j i i 测并防范系统受到的入侵攻击。 在各台主机卜，部并防侑毒软件防范病毒入侵。 0 5 2 ( ) 2 5 2 7 5 办忐 我i j 4p k l 系统且联换，埘究驶j 避j 仃n 范 围内古人n i 元信息技术彳r 限公司实施的彩个c a 系统，物理结构如f 蚓2 3 所示： 图2 3s r q 0 5c a 认证系统部署典型物理结构 2 2 3 证书发放流程 经过对翻际饵内几家p k l c a 软件提供商c a 广：品的研究，证书申请的流程 都很类似般流程如下图2 4 所示： 0 5 2 0 2 5 2 7 5 方占 我l j k l 系统川联模几卅f 究发麻，玎叫：托 - “一一i 一嫂一一 j 。，躲蠢妻j 。l 旦一矸f ；赢磊1f ( i 州i j i = 终端) ! ”。”“l o j 1 j 。 。 一哼1o 。 一 。 一，。：o o f + ；。毒系荔一_ 9 一荔耋纛1 1 _ of 而i 挈：秀 j 咖盱f 系统r y一笸发子系统l 。“关薹小刀 ， 千 o ， ；0 _ 王_ 9 ( 篮墨塑 汁：制讦终端已壤成到1 i f 饮终端 图2 4s r q 0 5c a 认证系统证书申请流程图 具体流程如下： ( 1 ) 用户填写证书申请单，递交录入员； ( 2 ) 录入员通过录入终端将用户申请信息录入注册予系统； 一( 3 ) 审核员对录入信息进行审核； ( 4 ) 审核通过后审核终端向签发子系统提交用户申请信息； ( 5 ) 签发子系统通过注册子系统向制证终端( 审核终端) 返回该用户对应的 授权码和参考号； ( 6 ) 制证终端( 审核终端) 通过证书发布予系统向签发子系统提交用户证书 下载请求，此步骤需要市核终端需要提交用户授权 i 5 承1 参考号； ( 7 ) 签发子系统验证用户授权码和参考号后。从k m c 预生成密钥库中提取用 户密钥对； ( 8 ) 签发子系统签发用户证书，并将用户证书发布到目录服务系统中，同时， 通过证书发布子系统将用户证书下载到制证终端( 审核终端) ，制证终端 将证书写入u s b k e y 内： ( 9 ) 审核终端( 制证终端) 管理员将装有用户证书的u s bk e y 交给用户使 用。 2 2 4p k i 技术体系组成 从技术上分析，c a 的建设可以分为两个方面，一方丽是安全基础设施平台 的搭建，闷后建设完成的安全基础设施平台将为区域和行业内的电子商务和电子 政务提供良好的安全基础：另一方面是为各种l 爱域和行业提供各种安全解决方 0 5 2 i ) 2 5 2 7 5 疗，占 我坷p k l 系统! l 联模几圳究及心朋4 i 范 案，通过安全基础设施，f 台发放的数。证书水文现f ) ( 域和行业的安全应用各项安 伞功能7 j f 9 j j “。 p k l 技术体系逻辑结构如卜陶2 ，5 所示： 图2 5p k i 技术体系逻辑结构 在上圈的下半部分，c a 认让中心和密钥管理中心，实现了向证书用户颁发 数字证书的功能。图的上半部分显示的是证书用户通过数字证书登陆应用服务 器，进行业务操作的过程。 0 5 2 0 2 5 2 7 5 方忠我i ，k f 系统j 】+ 肤模研究厦心仃j 叫： f 第三章p k i 系统互联互通研究 本章分析了【日内i 】k l 系统互联垃通的实i i j ：需求，m 顾了陶际霜j f 坷内p k i 系统 旺联旺通的探索和实践，蓿畦分析了联互通的儿种模式：层次结构、网状结构、 f 矗任列袭结构，并提出适合幽内p k l 系统埴联的混合模式( 桥证书模式) ，对于 i ) k l 系统互联的技术难点，即信f t 扩眨的限制与证1 路径的构造问题做了深入研 究提出了合适的解决方案。 3 1 国内p k i 系统互联互通需求 建立国家p k j 体系已成为发展信息化的必要的战略措施。目前我国在 p k i c a 体系的建设中已经作了柏当多的工作，建立了一些区域性证书机构和部 门证书机构，进行了一些证书机构的互操作实验。但出于各种原因，国家在 p k i 伦a 建设方面，没有统一的审批管理部门，没有统一的技术标准，没有统一 的管理规范。并且出于行政管理权限与地方和部门利益等因素，当前我国p l ( 1 信任体系建设，特别是面向公众服务的p k i 信任体系建设条块分割问题突出， 已建p k i 信任体系基本处于互相分割状态，成为互不关联的信任孤岛；同时， 已建成的p k l 信任体系规模小，利用率低。这种局面若不尽早改变，将会阻碍 我国信息安全产业的发展，严重影响中国信息化建设进程。因此，解决已建p k i 信任体系互联互通问题成为我国p k l 信任体系建设的首要任务。鉴于p 日互联 互通涉及重大国家利益，是推动互联网发展、保障事务处理安全、推动电子政务、 电了商务的支撑点。因此，i f | j 对我幽已经加入w 1 o 的新形势，必须抓住机遇， 尽快实施我国的p k l 互联互通一 程，推动完整的国家p k l 信任体系的形成，并 使其成为我国信息化建设的一道安全保障。 目前国内各家c a 管理混乱、相关法律法规不健全、没有统一的标准：各 家的证书虽然执行统一的x 5 0 9 标准，但此标准只定义了证书原语言基本要素， 而其中的选项各不相同，导致各家发放的c a 证1 的密码长度、格式的不一致， 客观上造成了各家c a 机构彼此独立，无法实现c a 之h j 的互联互通，造成不同 c a 之i 日j 的证书不能跨区使用，给各自的用户带束了很大的麻烦。同时也制约了 p k l c a 的运行规模和效率，在一定程度卜影响了人们对p k l 的信任。各家c a 都希望能在嗣家统一领导、统一规划下，实现c a 之f i i j 的互联互通，使各自的服 务范围扩大，方便用户，增加各c a 的经济效椎。c a 互联瓦通是各家c a 所急 需。 0 j 2 0 2 5 2 7 5 疗忠彼j j 4j ，k l 系统址联模j 弋研究发m 用_ ：扎 3 2 困外p k i 互联互通体系 p k j 信任域之n u 的连7 f 通问题现在l 三经成为p k j 建设以及也予商务成朋 建设的瓤颁。对j 体系的j j j f 究受到备闷的重视，从9 0 年代初期以) l 乏，世界符i 卅 的研究机构和村l 天的l 蓟际约l 织l 三经丌始对p k l 信任域之问的交叉认证问题进行 人龄的研究和实验。如荚用的联j j ：桥c a 计划、欧洲的桥c a 计划、新加坡j 加 拿大的p k l 互通性实验、亚洲的1 1 本、韩陶和新加坡的p k i 互连互通性实验等。 仳界各闭丌始更加重视蜓人范i 罚的p k i 体系建设。 其中，关嘲与加拿人的p kj 体系最具有代表性，其发展过程如下： 美国联：l = i ；p k l 体系结构 美国联邦p k t 筹委会成立于1 9 9 6 年，它m 政府信息技术服务部、舀家航空 航天总署、囡家标准技术研究所、国家安全部、国防部、交通部、财政部、农业 部、劳动统计局和联邦网络委员会等2 0 个部、署共同组建而成。 该体系结构主要出联邦的桥认证机构( f b c a f e d e r a jb d g ec a ) ，首级认 证机构( p c a p r i n c i p a lc a ) ，次级认证机构( s c a s u b o r d j n a t ec a ) 等组成。 联邦p k i 的体系结构q 没有用根c a 的概念，取而代之的是酋级c a ，这 是因为在美国，信任域的结构是多种多样的，联邦p k l 体系结构可以支持分级 ( 树状) 结构，网状结构和信任列表等，而只有树状结构中的首级c a 才称作根 c a 。因此它允许加入联邦p k l 体系中的机构可以使用任何结构的p k i 信任域。 联邦桥c a 是联邦p k i 体系中的核心组织，是不同信任域之f r j 的桥梁c a ，主要 负责为不同信任域的首级c a 颁发交叉认证的证书，建立各个信任域的担保等级 与联邦的桥c a 的担保等级之删的映射关系，更新交叉认证证书，发布交叉 认证证 ；泣销黑名单。世是它矸i 要求一个机构在与另一个机构发生信任关系时必 须遵循联邦p k i 所确定的这种映射关系，而是可以采用它认为合适的映射关系 确定彼此之日j 的信任。 加拿大政府p k i 体系结构 加拿大对于政府p k i 体系的研究要比美国早，在1 9 9 3 年加拿大通信安全部 ( c s e c o m m 呲i c a t i o n ss e c u r 时e s t a b l i s h m e n t ) 就已经丌始了政府p k i 体系雏形 的研究工作，当时主要是丌发。种满足政府需求的p k l 产品，实现无货架商业 贸易。 加拿大政府p k l 体系结构是由政策管理机构p m a ) ，中央认证机构( c c f ) 、 一绒c a 和当地注册机构( l i 认) 纽成。 其q ，p m a 是一个若干鄢fj ，e 同组建的机构，山加拿大政府财政部秘书处领 导，为政府p k l 体系提供令币f 的政策指导，负责监督和管理魏l 拿大政府p k i 体 0 j 2 ) 2 5 2 7 5 方忠 我l q1 ) k l 系统白，联模州究殷成川1 ：范 系的政策实施情况。c c f 足1 央认b f 机构，它实施政府p k i 体系中的所有策略， 够并和管理与一。级c a 交叉认b f 的证书。一级c a 足政府运营，制定一个和多 个“5 于i 保的等级，分发和份理数。证书，定期颁斫i 证书注销黑名啦。 3 3r f l 圈p k i 互联互通探索 p k i 介绍到我国来已经仃八九，1 ：历史了。作为一颂与互联网业务的发展密切 相关的信息安全的新技术和坫硎i 设旌，p k j 受剑q k 界非常的青睐。在不长的时m 内，全国各地各行业的认证j ，心如雨后春笋般地兴建起束。自1 9 9 8 年中因i b 现 第一家c a 认证巾心( 中剐i u 信c a 认证中心，c t c a ) 以来，抓不完全统计， 全国已经有超过1 0 0 家c a 存神! 。已丌始在电子商务和面向公众服务的电子政务 应用中发挥作用。我国p k i 体系的研究与建没有了良好的丌端，具备了一定的 技术基础。p k l c a 建设已经成为信息安全产业的亮点。 目前国内c a 公司有必类，第一类是行业主管部门建立的行业c a 中心，像 出中国人民银行牵头，组织国内1 2 家商业银行共同组建的中国会融c a 认证中 心( c f c a ) ，以及电信c a 、海关c a 等；第二类是地方政府部门建立的区域c a 中心，像北京c a 、上海c a 等；第三类是民i 玎j 资本建立的商业c a ( 商业c a ) ， 他们大多和国际c a 巨头合作，比如天威诚信。第四类是企业自建的企业c a ， 如宝钢集团内部c a 。真乖有客户，具有一定规模的c a 机构也就六、七家左右， 现在所有的c a 机构盈利的很少。 现在c a 技术真正得到应用的是工商、税务、网站、会融、海关、对外进出 口、电信这几大领域和部门。北京、上海、天津、山西、福建、宁夏等地，已经 将c a 证书应用到政府网f ：办公、余业网卜纳税、企业个人网卜银行、股民网j 二 炒股、个人安全电子邮件等多个方面，军队也利朋p k l 加强信息安全，取得了 良好的社会效益和经济效益。 为了推动中国网络信任服务的发展，2 0 0 0 年起，上海市电予商务安全证书 管理中心( s h e c a ) 联合北京、天津、山东、安徽、昆明、无锡等地的c a 认 证机构，成立了全国性互通的c a 认证体系中国协卡认证体系( u n i t e d c e n 讯c a t ea u t h o r i t y ，简称u c a ) ，从而实现了跨地区，跨行业的认证，使协卡 体系成为全国范围内的互联网安全信任服务提供商。但由于缺乏协调各c a 方的 组织机构，中国协卡认证体系并没有真证形成起柬，自2 0 0 3 年起，北京、天津、 山东、安徽分别自建了各自j 域c aq ，心，昆明和尤锡的证书业务也没有真i f ) 1 ： 疑起来，f 舀内第一次由各区域c a 臼发形成的互联互通实践宣告失败。 除此以外，国家8 6 3 计划项日，上海s 2 1 9 信息安全示范工程，对p k i 系统 互联瓦通做过技术探索，从技术j 二确认通过交义认证手段，可以实现跨信任域的 1 9 0 5 2 f ) 2 5 2 7 5 方占 我闭j k i 系统且麟模j c 研究及i - f 用_ i 范 i d ：1 s 旺联，i 通。 3 4p k i 系统互联互通模式研究 数字证书为j 1 户进行毖j 二嘲络进行各种q k 务活动提供了信息安全的耩 ； ；j ： ，j j 户可以通过提交臼l 三的数字证件进行身份认证，同时使用p k l 技术可以 实现信息保密、刁i 可篡改、，1 i 叮行认等信息安全的糖水需求。用户的数字证书郝 足认证1 1 j 心签发的，通常一个c a 巾心的所有j j ，1 都r j 动信任该c a 所签发的所 有证书这些证 s 能够自动进行认证而不f 硼约c a 所签发的证书不能自动进行 认证。为使不同的c a 所签发的数字证书能够互i ：l j 认证，就需要使p k i 系统实现 互联互通，互联互通需要通过交叉认证技术束现。 交叉认证是p k i 技术中连接两个独立的信任域的一种方法，每一个c a 都有 自己的信任域，在该信任域中的所有用户都能够相互信任，而不同信任域中的用 户需要相互信任，就需要通过在c a 之| l i j 进行交叉认证柬完成。交叉认证的作用 就是能够扩大认证域的信用范嗣，使用户在更加广泛的范围内建立起信任关系。 交叉认证的目的就是解决多个c a 的用户之间如何建立起信任关系，从而解决身 份认证、数据的完整性、数扪的保密性以及刁i l 可否认性等基于i n t e m e t 的应用的 信息安全问题。建立交叉认证实际j ：就是不同的c a 之问签发相互认证的证书， 从而在不同的c a 之间建立相互信任的关系，而采取什么模式建立这种相互信任 的关系，是非常重要的。 交叉认证通常需要下面两个操作步骤： 1 通过签发包含另一个