（计算机软件与理论专业论文）一种企业ca系统的研究及应用.pdf

摘要 摘要 随着h l t e m e 仉n t r a n e t 快速发展，网络安全技术日益受到人们的重视。p l ( i ( p u b l i ck e yl n f r a s t n l c t u r e ) 是目前较为成熟的网络安全解决方案，它能够保障网 络上各种应用的机密性、完整性、身份鉴别和不可抵赖性。 p 技术采用证书管理公钥，通过第三方的可信任机构一认证中心 c a ( c e r t i f i c a t ea u t l l o m y ) 把用户的公钥和用户的其他标识信息( 如名称、e m a j l ， 身份证号等) 捆绑在一起，解决了密钥分发和管理问题。通过数字证书，对传输 的数据进行加密和签名，保证了信息传输的机密性、真实性、完整性和不可否认 性。 本文通过对p i ( 1 系统、x 5 0 9 证书规范和s s l 等安全技术的研究，结合中小 企业的实际情况，建立了一套较为完善的基于p 的企业( a 系统。本文的主要 工作是： 在研究p 融相关技术的基础上，设计了企业c a 系统方案，包括信任模型、 结构和功能设计、证书库的设计；实现c a 系统中最为核心的数字证书管理，提 供数字证书的签发、注销和发布等各项功能：实现了基于s s l 协议安全通信模块， 增强了系统通信的安全性；系统采用动态链接库技术封装了对称加密算法、数字 摘要算法、签名算法以及证书处理( 包括证书请求、证书生成、证书格式转换等 功能) ，以动态链接库的形式提供调用接口，成为应用的安全基础设施。 我们还实现了一个、r d 文档签名工具，利用c a 系统提供的安全接口和w o r d 文件结构特点实现对文档内容的签名和验证，防止了对文档内容的篡改，保证了 w o f d 文档的安全性，牵j 用c o m 技术使签名工具和w o r d 软件集成到一起，方便、 易用。 关键词；数字签名公钥基础设施认证中心数字证书 a b s l r a c t a b s t r a c t w i t ht h er a p i dd e v e l o p m e n to fi n t e m e ta n di n t r a n e t ，m o 咒卸dm o r cp e o p l ep a y a t t e n t i o nt 0t h et c c h n o i o g yo fn e 咐o f ks e c i l t y 1 1 l ep l ( is y s t e mi sam a t u 佗n e 咐o r k s e c i l r i t y l u t j o n f o fi n t e m e t 柚di i i t r 卸e t ，w h i c h p f o v i d e ss e c l l r i t y s e r v j c e so f c o n f i d e n t i a l i t y ，j n t e 伊“y ，a u t h e n t i c a t i o n 柚dn o n r e p u d j a t i o nf o ri n t e m e ta p p l j c a t i o n s p t c c h n o l o g ya d o p t st h ec e r t i f j c a t et om a n a g cp u b l i ck e ya n d b j n d su s e 体p u b l i c k e yw j t hu s e r s o t h e ri d e n t i f i c a t i o ni n f 0 哪a t i o n ( s u c h 勰n 锄e ，e m i l ，i dc a r d 蛐m b e r e t c ) l h r o u g l lt h e 仃u s t a b l et h i r dp a n yo r g a n j z a t i c a ( c c n i f i c a t ea u t h 丽t y ) t h a t 舀v e s t h e l u t i o nt ot h ek e yd i s t 曲u t i o na n dm a n a g e m e n t t 1 l r o u g l lt h ed j 舀“c e n i f j c a t e ，t h e e n c r y p i i a n dt h es i 印a t u r et ot h et m s m i s s i o nd a t ac 锄b cu s e dt og i l a r a n t e et h e c o n f i d e n t i a l i t y ，a u t h e n t i c a t i o n ，i n t e 鲥t y a n dn o n r e p u d i a t i 伽f o rt h ei n f o 珊a t i o n t r a n s m i s s i o n t 1 l em a j o rw o r ko ft h i sp a p e ri s 百v e n 簦b e l l o w s w i t ht h ef i l n h e rr e s e a r c ho nt h et h e o r yo fp t e c h n o l o g y ，c r i t e r i o no fx 5 0 9 柚d s s le t c ，ac a s y s t e mf o rs m a uo rm e d i u me n t e r p r j 卵sb a s e d 伽p k lw 嬲p r o p o s e di n t h j sp a p e l1 1 h es y s t e mi sc o m p o s c do ft n l s tm o d e l ，s t 兀l d u r e 卸df i l n c t i o n d e s i 印， c c n m c a t ed a t a b 硒ed e s i g n ，a l l di m p l e m e n t st h cc o f ef u n c t i o n so fas t a n d a r dc a s y s t e m i n c l u d i n gs i 鳃i n 岛 i s s u i n ga n df e v o k i n gc e t i 6 c a t e s n es c c u r j t y c o m m u n i c a t j 伽 m o d u l 盯o ft h es y s t e mi sb a s e do nt h es s lp r o t o c o lt oe n h a n c et h es e c i l r i t yo fs y s t e m 咖m u n i c a t j 伽s b c s i d e s ，t h ek e m e lf i l n d i o n so ft h es y s t e ma r cp a c k e dj n t 0d l l l i b r a r y ， i n c l u d i n gs y m m e t r i c a le n c r y p t i o na l g o r i t h m s ，d 唔e s ta l g o r j t h m s ，d i 舀t a l s i g i l a t u r ea l g o r i t l l i l l sa n dc e n i f i c a t eo p e r a t j o n s ( s u c h 硒c e r t 湎c a t er c q u e s t ，c e n 墒c a t e b u i l d i n 舀c c r t i f i c a t ef o m a tc o n v e f s i o ne t c ) t op f o v i d ci n t e f l a c c sf o ro t h e ra p p l j c a t i o n s b a s e do nc as y s t e m ，aw o r dd o c i l m e n ts i g n a t u 佗t o o l ，w h j c hi su s e dt os i g na n d v e r i f yw o r dd o c u m e n t s ，w 瓠i m p l e m e n t e di nt h ep a p e lt h et o o lc 粕b ea s s e m b l e dj n t o w o r df o re a s yu s ea n dc a n p r o t e c tt h ew o r dd o c u m e n tf m md e s t n l c t i o nt op m v i d eb j g t l s e c u r i t y k e y w o r d ： d i g i 协is j 印a i u 雎p c ad i g i t a ic e n i n t e 创新性声明 秉承学校严谨的学分和优良的科学道德，本人声明所呈交的论文是我个人在 导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特别加以标 注和致谢中所罗列的内容以外，论文中不包含其他人已经发表或撰写过的研究成 果：也不包含为获得西安电子科技大学或其它教育机构的学位或证书而使用过的 材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中做了明确的说 明并表示了谢意。 申请学位论文与资料若有不实之处，本人承担一切的法律责任。 本人签名：盛箬垄 日期三：幺厶! ! 关于论文使用授权的说明 本人完全了解西安电子科技大学有关保留和使用学位论文的规定，即：研究 生在校攻读学位期间论文工作的知识产权单位属西安电子科技大学。学校有权保 留送交论文的复印件，允许查阅和借阅论文；学校可以公布论文的全部或部分内 容，可以允许采用影印、缩印或其它复制手段保存论文。同时本人保证，毕业后 结合学位论文研究课题再攥写的文章一律署名单位为西安电子科技大学。( 保密的 论文在解密后遵守此规定) 本学位论文属于保密，在 年解密后适用本授权书。 本人签名：威窆蕴 日期丝! z 。：! 兰 导师签名： 五红之日期2 吐z z 。2 二， 第一章绪论 第一章绪论 1 1 研究背景 随着计算机技术的不断发展，网络和信息系统已经渗透到社会的各个领域。 保障网络和信息系统的安全己经成为人们关心的重点问题，它关系到个人的利益、 商业的利益、经济的发展、社会的稳定，甚至国家的存亡。能否保护好秘密信息、 如何验证信息的真实性、如何防止信息的伪造等等的问题在信息系统的设计上必 须成为重点考虑的因素。 现在世界上有众多基于不同理论基础的安全解决方案。其中，p l ( i ( p u b l j ck e y l n 丘舔t n l c l u r c ，即公钥基础设施) 己经逐步走向成熟，成为了保障大型开放式系统 网络环境下网络和信息系统安全的最可行、最有效的方案。 p 是一种利用非对称密码技术为网上安全通信提供一整套安全服务的基 础平台。同其他基础设施( 电力、水利基础设施) 一样，公钥基础设施也一样能 为各种不同安全需求的用户、提供各种不同的安全服务。它采用数字证书来管理 公钥，通过权威的第三方机构一认证中心c a ( c c n i f j c a t j o na u t h o r i t v ) ，把用户 的公钥和用户的其他标识信息绑定在一起实现用户在网络上的身份认证，从而提 供安全可靠的信息处理。 随着2 0 0 4 年中华人民共和国电子签名法的出台，从法律上承认了电子签 名、数据电文具有法律效力，并对认证机构( c a ) 的资质做出了明确规定，确立 了认证机构的合法性、权威性、可信赖性和公证性。这也必将推动我国对c a 研究 和建设。 1 2 1 国内现状 1 2 研究现状 目前，在我国的上海、北京、深圳、重庆等城市已经建立了c a 认证中心， 以便为本地化通信网络提供安全服务。在国家直属部门，以中国人民银行为首的 1 2 家金融机构推出了“中国金融认证中心”，中国电信也在开展c a 机制的试验工 作。另外，许多网络通信公司正在积极开发自己的基于p l ( i 的安全产品。但是， 我国p c a 建设还处在起步的阶段，存在不少亟待解决的问题，这些问题主要有 以下一些： 2 一种企业c a 系统的研究及应用 1 尚未建立服务于电子政务的国家级p 体系； 2 在目前尚未确立国家标准的情况下，各家在建立c a 的过程中对技术标准 和管理规范的理解有较大差距； 3 各家c a 基本处于互相分割状态，成为互不关联的信任孤岛，尚未形成完 整的国家的p l ( i 体系。 1 2 2 国外现状 p c a 技术作为电子商务信息安全的关键技术和基础技术，各国都重视对其 体系的研究，从9 0 年代初期以来，美国、加拿大、英国、德国、日本和新加坡等 国相继开展了可信第三方认证体系的研究和建设工作。以美国、加拿大为例，通 过对他们的体系结构的研究，我们可以从中得到些启示，为我国商业p k 夥c a 体 系结构的研究提供宝贵的经验。 1 美国联邦p l ( i 体系结构 美国联邦p l ( i 筹委会成立于1 9 9 6 年，它由2 0 个部、署共同组建而成，致力 于p l ( i 体系结构的研究，联邦p l ( 1 支持在开放的i i l t e m e t 上进行安全交易。保障电 子政务、电子采购的信息安全。联邦政府首先成功的在各联邦机构中分别使用了 公开密钥密码技术，为网上交易提供全面解决方案，为所有的服务颁发和管理数 字证书：登记机构验证用户的身份，认证机构负责批准证书，分发证书和发布证 书黑名单，密钥恢复机构能恢复遗失的私钥等。p i ( i 产品和服务的多样性为机构的 广泛用途提供了支持，从而有效的提高了政府机构的工作效率，降低了办公成本。 然而正是由于p 产品和服务的多样性，造成了彼此之间缺乏互操作性。为了增 强国际间的合作，提高整体竞争力，解决不同信任域之间的互操作性问题，联邦 政府计划联合各联邦机构中独立的p k i c a 美国国防部( d o d d e p a r t m e n to f d e f e n s e ) ，国家标准技术研究所( n l s t - n a t i o n a li n s t i t u t e o fs t a n d a r d s 卸d t e c h n o l o g y ) ，乔治亚州技术研究所( g t r i g e o r g j at c c hr e s e a r c l li n s t i t u t c ) ，州政府 和地方政府等共同组建美国联邦p l l 体系。使用该体系可以使信任域不仅仅局限 在本信任域环境中，而且可以使信任域扩展到整个联邦政府甚至是全球。 该体系结构主要由联邦的桥认证机构( f b c a f e d e r a lb 删g cc a ) ，首级认证机 构( p c a p r i n c j p a lc a ) ，次级认证机构( s c a s u b 0 d i n a t ec a ) 等组成。 2 加拿大政府p 日体系结构 加拿大对于政府p l ( i 体系的研究要比美国早，在1 9 9 3 年加拿大通信安全部 化s e c o m m u n i c a t i o n ss e c u r j t ye s t a b l i s h m e n t ) 就已经开始了政府p l ( i 体系雏形的研 究工作，当时主要是开发一种满足政府需求的p l ( i 产品，实现无货架商业贸易。 第一章绪论 3 随后，陆续有部分联邦政府机构参入了p l ( i 体系的开发工作。经过若干年的研究， 在2 0 0 0 年在建立一个开放的p l ( i 体系方面获得重要的进展，政府p l ( i 体系为联邦 政府与公众机构、商业机构等进行电子数据交换时提供信息安全的保障，从而推 动了政府内部管理电子化的进程。 加拿大政府p 砌体系结构是由政策管理机构、中央认证机构、一级c a 和当 地注册机构组成。 1 3 本文工作 我们在工作中，发现许多中小企业没有自己的c a 系统，内部电子文档的传递 没有加密和签名保护，甚至一些机密的文件也是明文传送，这会引发许多潜在的 安全问题。但中小企业由于缺乏硬件环境和相应专业的技术支持人员，不可能建 立一个完整p 系统，所以本人结合自己对密码学学习，利用p i ( i 的思想设计了 一个适用中小企业的c a 系统，并应用c a 系统实现了一个w o f d 文档签名工具。 该系统的目标是拥有一个c a 服务器，一个( 或多个) r a 服务器，以及一个客户 端工具，普通用户可以很方便的使用客户端工具申请、撤消证书，无需有专业的 知识。同时该系统很容易扩充，并且可以利用系统提供的接口方便的进行其它安 全应用的开发。 w b r d 文档签名工具可以对w o r d 文件实行全签名( 即签名信息包含文件的所 有信息) ，并且签名信息可以直接嵌入w o f d 文件而不影响w o f d 文件的正常使用。 系统还采用c o m 组件化设计思想进行设计，使文档处理更加灵活、易用。此外， 整个系统可以无缝集成到w o r d 环境中，不必改变用户固有的使用习惯，便于系 统的维护、推广。 1 4 内容安排 第二章介绍了密码学基础知识，主要包括对称加密技术、非对称加密技术， 数字签名技术；第三章论述p l ( i 技术所涉及的数字证书、p 体系、c a 信任模型 和p i ( 1 系列标准和s s l 协议；第四章从总体上介绍了系统的设计思路、总体方案、 主要的流程设计、证书库设计、数据通信设计以及开发工具等内容；第五章是本 文重点，着重论述认证中心的实现，包括系统的环境、软件的体系结构、客户端、 r a 及c a 的实现；第六章给出了p i ( i 系统的一个具体应用，一个w o r d 文档签名 工具；第七章总结系统优缺点，提出改进建议。 第二章密码学基础 第二章密码学基础 2 1 加密技术 所谓加密，就是用数学方法重新组织数据，使得除了合法的接受者外，任何 其他人要想恢复“明文”或读懂“密文”都是非常困难的。通常，我们把将密 文恢复成明文的过程称作解密，反之称为加密。加密和解密操作分别是在一组密 钥控制下进行的，它们被分别称为加密密钥和解密密钥。 根据加密密钥和解密密钥在性质上的差异，我们可以将密码体制分为两类： 对称密码体制和非对称密码体制。 2 2 对称密码体制 对称密钥密码加密技术【删，也称单钥密码技术，即加密密钥和解密密钥是相 同的。这种加密算法保密强度高，计算开销时间少，运算速度快，适合于大文件 加解密。它能提供的服务有：认证、消息完整性以及机密性等三项服务。属于对 称密码体制的算法很多，其中最为著名的对称密码算法是美国的数据加密标准 ( d e s 算法) ，其他的还有3 d e s ( 尉p l e d e s ) 、j d e a ( i i l t e m a t i o n a jd a t ae n c r y p t j o n 鼬一t h m ) 、a e s l 5 1 j 【5 2 】( 美国联邦加密算法标准) 等等。其中3 一d e s 是d e s 的变 形。d e s 算法安全性高，在p 体系中常用于数据加密，本文中，用户的私钥就 是采用d e s 加密后存储的。 对称密码体制的缺陷： 1 两者通信需要事先就密钥达成共识； 2 加密者可以对自己加密数据的行为进行否认，因为双方都可以加密解密； 3 如果一个人想和多个人进行加密数据交换需要大量的密钥； 为了解决这个问题，非对称密码( 公钥密码) 应运而生。 下面详细介绍一下d e s 算法 数据加密标准d e s 剐f 5 2 j ( d a t ae n c r y t i o ns t a n d a r d ) 是美国国家标准局于1 9 7 7 年 采用由i b m 公司研制并提出的方案，公布出来作为美国联邦信息处理的非机密数 据加密标准。d e s 是一种为二进制编码设计的，可对计算机数据进行密码保护的 数学算法。d e s 是重复使用移位变换和替代变换的强分组密码，从本质上看，它 属于一种抗破译能力更强的乘积密码体制。d e s 通过密钥对分组的明文块的二进 制信息进行加密，把明文的信息加密成密文信息。由于d e s 的加密算法是公丌的， 6 一种企业c a 系统的研究及应用 所以加密强度取决于密钥的保密程度。加密后的信息可用加密时所用的同一密钥 进行解密，实行与加密过程相反的逆变换，变换成对应的明文。 1 算法数学描述 d e s 中，明文m 是o 和1 组成的长度为“比特的符号串，密钥k 也是“比 特的o ，1 符号串，m 是密文。设 m = m i m 2 m 6 4 k = k l k 2 k 6 4 m j ，k i - o 或l ，i = 1 ，2 ，6 4 则加密过程为： d 醪) = ，p 1 瓦死五五，p 伽) 式( 2 - 1 ) 解密过程为： d _ 醪。咖，) 一铲1 五五瓦瓦碳m ) 式( 2 - 2 ) 其中，i p 和i p - 1 ，是一对互逆的置换，t 1 ，t 2 ，、t 1 5 ，t 1 6 为1 6 种不同的可逆变 换。 2 d e s 加密过程 d e s 对6 4 位的明文分组m 进行操作，m 经过一个初始置换i p 置换成m o ， 将m 0 分成左半部分和右半部分即：m o = ( 1 j 0 ，r o ) ，各3 2 位长，然后进行1 6 轮完全 相同的运算，这些运算被称为函数f 在运算过程中数据与密匙结合。经过1 6 轮 后，左。右半部分合在一起经过一个末置换，这样就完成了。 在每一轮中，密匙位移位，然后再从密匙的5 6 位中选出4 8 位。通过一个扩 展置换将数据的右半部分扩展成4 8 位，并通过个异或操作替代成新的3 2 位数 据，再将其置换换一次。这四步运算构成了函数f | 然后，通过另一个异或运算， 函数f 的输出与左半部分结合，其结果成为新的右半部分，原来的右半部分成为新 的左半部分。将该操作重复1 6 次，就实现了加密操作。其过程如图2 1 所示。 第二章密码学基础 图2 1 d e s 加密结构 2 3 非对称密码体制 7 所谓非对称密码体制，又称公钥密码体制【3 9 1 ，就是加密密钥和解密密钥不相 同，并且从其中一个很难推断出另一个，非对称密码体制又称为公钥密码体制。 我们将其中一个密钥公开，称为公钥：另一个密钥由用户自己保存，称为私钥。 相对于对称密钥算法来说，通信双方不需要通过保密信道交换密钥。且由于 公钥可以公开，因而便于密钥的管理、分发。另外它提供数字签名和鉴别的服务。 它的缺点是速度慢，与对称密钥密码系统相比，大概慢了百倍至千倍，因此一般 只用在对少数数据的加密上，这点正好可以和对称密钥加密互补。 公钥密码体制有许多算法：r s a 、d h ( d i f ! f i e h e l n 卸) 、e c c ( e l j i p t i cc u e c r y p t o 伊a p h y ) 等等。其中被广泛使用的是r s a 公钥密码体制。 一种企业c 系统的研究及应用 2 3 1r s a 算法 r s a l 5 1 l 公钥加密方案是1 9 7 7 年由r o nr i v e s t 、a d is h 锄i r 和k na d l e m 柚在 美国麻省理工学院开发的，在1 9 7 8 年首次公布。r s a 算法是建立在“具有大素数 因子的合数其因子分解困难”原理基础上的，即它的保密强度是建立在计算复杂 性基础上的。两个大素数相乘在计算上是容易实现的，但将该乘积分解为两个大 素数因子的计算量却相当巨大，甚至在大型计算机上也不可能实现。 1 r s a 的理论基础 r s a 是建立在欧拉定理上的，欧拉定理可以表示为： 若a 和m 互素，口“”1 m o d 厅。其中蚋) 是欧拉函数，畎n ) 为不超过n 并与 n 互素的数的个数。 推论：给定两个素数p ，q ，以及整数n = p q 和m ，其中0 e n u m e k m e n l “0 ，n u i lo ，p e n u m ) ； 膳环读取文档流 w h j l e ( p e n u m 一 n e x t ( 1 ，s t a t s i g ，n u i 上 f 瓠开t i f ( s c a i s 鸣t y p e = = s 1 g r y s 1 1 t e a d p s l g 一 0 p e n s i r e a m ( s t a t s 蟾p w c s n a m e ，n u i l s t g m r e a d l s t g m s h a r e - e x c u j s e 谚& p s i r e a m ) ； l o n gn s i z e = s t a t s i g c b s i z c b w p a n ； b y t e p b s t r e a m d a i a = ( b y t e ) m a o “n s i z e + s i z e o f o h a r ) + 1 ) ； 读取流 p s i r e a m 一 r e a d 0 ) b s l r e 枷d a t a ，n s i z e ，n k n g l h ) ； ( 3 ) 用s i 印e x 函数对要签名的流信息签名得到数字签名。 分配签名内存 p b s i g n a f u f e = ( b 丫r e ) m a j j o d w s 噜l e n ) 签名 s i 印e x ( k ey k 。y l e n ，p w d ，“s h a l ”，p b s t r c a m d a t a ) ； ( 4 ) 调用b t o n g e 对象的创建( c r t e s t r a m ) 函数，创建个新流存储数字签名。 创建新流流名字为s i 印a t u r e p s t 争 c r e a t e s i r e a m ( l ，s i g n a i u r e ”， 第五章认证中心实现及应用 s t g m c r e a is t g m w r r r els t g m s h a r ed ( c l u s i v l l ， 0 ，0 ，p s t m 哪) ，写签名值 p s t t e 锄- w r i l e ( p b s i 印a t u r e ，d w s i g k n ，n u u 班 2 验证过程 ( 1 ) 打开w o r d 复合文档，代码同签名过程。 ( 2 ) 读取原文档各个流信息，代码同签名过程。 ( 3 ) 验证签名。 读取s i 印a t u m 流信息 p s t i i i - r e a d ( p b s i 卸a i u r c ，d w s 睁k ，& n k n 昏h ) ； 验证数字签名 b o o l b n a g = v e 订f y e x ( c e n ，c e n l e n ，”s h a l ”，p b s i r e a i l l d a t a ，p b s j 印a t u r c ) ； i f ( b f l a 曲m e s s a g e b 0 x ( n u u 。”验证成功1 1 l ， 提示“，m b o 的； 3 、v o r d 插件实现 因为我们签名的文档是w b r d 文档，为了用户操作方便，需要将签名功能和 w o r d 软件整合到一起，w b d 本身是一个实现了自动化的c o m 组件，它本身提供 了类型库( t y p el i b m r y ) ，其中包含了对象、属性、方法、事件等。我们可以通过 其提供的接口操纵w o r d 文档，使其为自己编写的客户程序服务。 另外，w b r d 也提供了一种叫c 伽一a d di j l 的技术，使用户编写的服务器程序 能被w o r d 调用，这样w b r d 和用户之间就可以通过c o m 组件实现交互，达到应 用的无缝集成的目的。 本系统利用v c 6 中的a t i 。开发w b r d 内部c o m 插件，给w b r d 添加了一个签 名工具栏。使用户可以方便的使用签名和验证( 如图5 1 9 所示) 功能。首先在一 个 t l 工程里导入m s a d d i nd e s i g n e r 类型库来实现_ i d t e x t e n s j b 订j t y 2 接 口，该接口中必须实现下面两个接口函数f 2 1 ：o n c o n n e d i o n o 、o n d i s c o n n e d i o n o 。 例如添加工具栏的v c 代码如下： 图5 1 9 签名：具栏 获取w b r d 虑川接口 c e o m o l p 仃( m s w o r d ：a p p l i c a t i o n s w b f d a 耐a p p j i c a l j o n ) ； 一种企业c a 系统的研究及应用 s w b r d a p p 一 g 既一c o 叫m n d b a 嘎s p c m d b a r s ) ； s p n e w c m d b 盯= s p c m d b m a d d ( v n a 眦，v p 0 s ，v e m p t y v l b m p ) ；，藤加工具栏 ，新按钮 s p c m d b u t c o n = s p b a f c o n 们j s - a d d ( v l b o m a 岍，v e m p i y ，v e m p c y ，v e m p c y ，v s h o w ) ； s p c m d b u t t 蚰一 p u t c a p t i o ( o l e s t r ( ”签名”) ) i 5 5 4 签名工具的测试 1 首先输入一篇文章，编辑完成后，存盘。这时工具栏上所有按钮都可用，如图 5 2 0 所示。 2 点击签名工具栏一签名按钮签名，签名后文档被保护，变成只读文档，不允许 修改，工具栏上所有能够导致文章修改的功能都不可用。签名的值可用v c 自 带的复合文件查看工具d f v i e w e x e 看到。签名后的文档如图所示5 2 1 所示， 签名值如图5 2 2 所示。 3 点击签名工具栏一验证按钮验证。如图5 2 3 所示。 图5 2 0 朱签名的文件 第五章认证中心实现及应用 图5 2 1 签名后的文件 例5 ，2 2 文件的签名值 6 1 一种企业c a 系统的研究及应用 图5 2 3 文件的验证 测试结果表明，该工具能够很好的完成文件的签名和验证，很容易使用。而 且我们利用w o r d 文档结构化存储的特点，将数字签名的信息存放在w b r d 文档的 新建的s i g i l a t u r e 流里，不会破坏文档原有信息，文档的内容正常显示。但如果在 编辑环境中修改后再存盘就会丢失签名数据，所以对签名文档的任何修改都导致 签名信息的丢失，从而实现了防止窜改的功能。 签名算法采用r s a 公开密钥体制结合报文摘要( s h a l ) 算法对w o r d 文档 实现数字签名。数字签名是基于r s a 公开密钥技术上实现的，其安全性已经得 到理论上的证明，在实际使用过程中也显示了其可靠性。数字签名能够实现以下 功能：文档使用者能够证实签名者的真实身份，能够实现以下签名者事后不能否 认所签署过的文档，文档使用者不能伪造或篡改文档，从而解决了w o r d 电子 文档的安全性问题。 5 6 结论 我们在c a 系统设计时充分考虑到中小企业的特点，按照p j ( 1 体系的规范进 行设计，整个系统结构简洁，模块划分合理，实施方便，同时，系统还具有如下 第五章认证中心实现及应用 特点。 1 系统安全性较高。生成密钥算法采用国际上通用的1 0 2 4 ，2 0 4 8 位的r s a ， 摘要算法采用了s h a l ，对称算法采用了1 2 8 位的d e s ；在各个主要模块 之间采用了s s l 来建立可靠的安全通道。 2 系统可扩展性好。由于系统采用了模块化技术开发，保留了证书核心模块 和加解密模块的接口，很容易扩展c a 系统功能和开发新的安全应用，我 们开发的w o r d 签名工具就是利用c a 系统接口开发的。 3 系统建设成本低。很多企业都有自己的数据库应用，我们的系统采用数据 库作为证书库，不用增加数据库的采购费用。 总的来说，本系统比较适合一些中小企业在企业内部构造安全认证系统或为 其他的应用系统提供安全基础设施。 第六章总结 第六章总结 6 1 总结 随着企业信息化的不断发展，网络安全问题日益突出。p 日做为企业信息化安 全的重要保障之一，已经越来越受到企业的关注。如何构建适合企业的p l ( i ，己经 成为企业实施p l ( 1 安全体系的一道难题。针对这个问题，作者所做的主要工作如 下： 1 在o p e n s s l 加密库的基础上，开发了一个低成本、高安全性的p k 托a 系统， 实现了c a 的主要功能。系统采用企业常用的关系型数据库作为系统的证书库，简 化了证书发布流程，能够满足企业需求，降低了企业投入开发的成本。考虑到系 统的性能和安全，引入了s s l 技术，保证了系统各个模块之间的通信安全，增强 了系统的可靠性和健壮性。 2 考虑企业安全需求的多样化，结合了开源的o p e n s s l 加密库和动态链接库技术， 将系统底层服务进行模块化封装，以动态链接库的形式提供加密、签名、证书处 理等功能，使之成为企业开发新的安全应用的平台。所有设计均采用开放源代码 实现，采用c 语言编程，有利于软件的扩展、移植和跨平台，可以减少开发资金， 而且拥有完全的知识产权。 3 我们分析了w o r d 软件的安全漏洞，利用c a 系统提供的加密模块和证书，开 发了一个具有安全性和实用性的w o r d 签名工具，这个工具使用c a 系统生成的数 字证书给w o f d 文档签名和验证，能够保护文档内容完整性和签名的不可否认性。 这个工具利用w o r d 文档的结构化存储的特点，既能够对文档所有内容签名，又不 改变文档原有内容，而且在编辑环境中任何针对文档的修改都会破坏文档的签名， 从而能够有效的防止对文档内容的窜改。我们还利用c o m 技术开发了一个签名工 具栏，签名工具栏能够无缝嵌入w o r d 软件中，方便、易用。 6 2 有待改进的工作 c a 系统是一个大型系统，特别是p l ( 1 的系列规范还在不断发展和完善之中， 我们的系统在许多方面尚需补充和完善，我们认识到本系统在功能上和性能上的 诸多不足，提出了补充和改进的思路： 1 用户私钥保存 本系统暂时只能保存在硬盘或软盘存储器上，安全性比较差，在后续改进中， 一种企业c a 系统研究及应用 考虑引进智能卡( i c 卡或u s b k e y 等) ，这是比较安全的方案。 2 与其他p l ( i 管理系统之间的交叉认证的实现。 致谢 致谢 首先，向尊敬的王长山导师致以衷心的感谢，本论文是在导师的悉心指导下完 成的。在论文完成的过程中，王老师及时地给我提出了正确的思路，提出了宝贵 的指导意见，并对论文的初稿进行了详细的审阅，提出了许多珍贵的修改意见。 这里向王老师表示由衷的谢意。在两年多的学习期间，王老师严谨认真的治学态 度、脚踏实地的工作作风给我留下了深刻的印象，是我学习的榜样。 同时在论文完成期间，还得到了许多同学的热心帮助。与牛继云、王柯等同 学进行了有益的讨论，使我能够很好地整理问题的思路，同时他们也给了我很多 好的建议，使我能够在论文的撰写上眼界开阔。在这里向他们表示衷心的感谢。 最后衷心感谢我的家人在我多年的求学生涯中对我无私的支持和温暖的关怀。 参考文献 参考文献 【1 】 s e a nw h l t 伽s c c i l r i n gs o c k e t sw i t ho p e n s s ls a m s ，2 0 0 1 - 【2 】酣cr e s c o r l a a n1 1 1 t m d u c t j o nt o0 p e n s s lp m g r 锄m i n g ，p a r tio fl i 【e b 0 l 】 h ! ! p i 6 2 6 塑6 1 i n 巧q ! 卫! ：鲤d 迦i ! 丛8 2 2 2 0 0 6 1 1 【3 】e r i cr e s c o r l a a mi n t r o d u d i o nt o0 | p c n s s lp r o f a m m i n g ，p a r ti i o fi i 【e b o l 】 垒! ! p ；6 凸6 d 筮：! i b ￥哥垒女婴型：箜! 坠z 韭i ! 翅2 0 0 6 1 1 【4 】e r i c r e s c o r l a s s la n d1 l s： d e s i g n i n g a n db u i l d i n gs e c = l l f e s y s t e m s a d d i s o n w e s l ey 2 0 0 1 【5 】 m a t l h c w s y t n e ，p h i 】i p g o l d i c u n d e r s t a n d i n ga p p l i c a t i o nl 丑y e f p m f o c o l s p r e n t i c eh a l ip 1 r 2 0 0 1 4 5 【6 1 【r f c l 3 2 1 】r 。m v c s t ，”t h em d 5m e s s a g c d i g e s t g o r i t h m ”，n e t w o r kw o r 姑n g g m 叩r e q u e s tf o rco m m e n t s ：1 3 2 1 ，m r rl a b o r a t o r yf o r ( 0 m p u l e rs c i e n c ca n d r s ad a t as e c u r i t y i n ca p r i l1 9 9 2 【7 r f c 2 5 1 0 1c a d a m sa i l ds f a 丌e n i n t e m e t x 5 0 9p u b l i ck e yl n 行a s n l l c t u 佗 c e n i 6 c a t em a n a g e m e n tp “) t o c o l s 1 9 9 9 【8 】【r f c 2 5 2 7 】 s c l l o l d l a n i ， w f o r d i n t e m e tx 5 0 9p u b l i c k e yi n f r a s t 兀l c t u r e c c n m c a t ep o 陆ya 1 1 dc c r t i f i c a t i o np r a c t i c e sf r a m e w o r k 1 9 9 9 【9 】【r f c 2 5 2 8 】 r h o u s l e y ，、m p o l k i n t e r i l e tx 5 0 9p u b l i c k e y l n f r a s t n l c t u r e r e p 托s t a t 白嘧o fk e ye x c h a n g e 魁g o f i t h m ( 1 强a ) k e y si ni n t e n l e lx 5 0 9p u b l i c k c yl n f n s t m c 佃佗c c n m c a t e s 1 9 9 9 【1 0 p l ( c s 撑1 】r s ai 丑b o m t o r i e s r s ac r y p l o g r a p h ys t a n d a r d 2 0 0 2 【1 1 】【p k c s 硝】r s al a b o m t o e s p a s s w o r d b a s e dc r y p t o 掣a p h ys t 卸d a r d v c r s i o n2 1 r e v i d2 0 0 6 【1 q 归k c s 撑6 1r s a l a b o r a t o r i e s 。e x t e n d e d c e n 讯c a t es y n t a xs t a n d a r d 。v e r s i o n1 5 r e v i s e d1 9 9 3 【1 3 】【p k c 鲥7 】r s al a b o r a t o r i e s c r y p t o 孕a p h i cm e s s a g es y n t a xs t a n d a r d v e r s i o n1 5 r e v j s e d1 9 9 3 【1 4 】【p k c 酣8 】r s al a b o r a t o r i e s p r i v a t e k e yi n f o 册a t i o ns y n t 缸s t 卸d a f d v c r s i o n