磐石终端安全系统V概要设计报告V

1、受控磐石终端安全系统（3.0.22）概要设计报告中国·北京市海淀区知春路113号银网中心B座2层电话：86传真：86大正元信息技术股份有限公司更新记录版本编制/修改人修改日期修改对象备注（原因、进一步的说明等）审批人/日期V1.0边峥，索瑞军2010-05-10文档创建V1.1索瑞军2010-05-13修改描述信息，修改服务器端主结构图目录1概述11.1开发与设计的总体思想11.2开发平台及编程语言11.3名词解释12用户界面设计13总体设计53.1产品总体结构5服务器5客户端63.2软件模块组成6服务器6客户端83.3业务流程

2、10策略设置10Key类型维护10客户端以证书为认证因素完成入网接入认证10增强客户端在线更新配置链接功能143.4通信设计143.5数据存储设计15数据库表关系15表结构设计153.6性能设计153.7可靠性设计163.8扩展性设计163.9兼容性设计163.10可移植性设计163.11可升级性设计163.12可管理性设计173.13可维护性设计173.14易用性设计173.15增加市场竞争力和项目控制力设计173.16远程调试设计173.17硬件产品端口管理183.18硬件产品自动化测试的支持183.19硬件产品对液晶面板的支持183.20共性技术平台相关设计181 概述1.1 开发与设计

3、的总体思想磐石终端安全系统是吉大正元在内网安全理念的基础上，综合利用身份认证和文件系统加密技术开发的针对于终端计算机的信息保护与控制平台。此v3.0.22版本新增入网接入认证、Key快速更换以及支持主流64位Windows系统功能，其目的在于提高产品易用性和兼容性。本版本的开发原则为：快速交付，产品稳定。此版本新增主要功能：1. 增加入网接入认证功能；a) 此版本仅支持802.1X网络入网认证。b) 通过隐藏策略策略控制客户端是否启用入网认证。2. 客户端支持Key快速更换：a) 服务器端增加Key类型维护功能；管理员可以通过该功能添加、删除和修改自定义的Key类型。b) 修改AdminToo

4、l工具：终端用户在离线状态下通过该工具修改客户端所使用的Key类型和磐石服务器IP地址。c) 增强在线更新配置功能（IE链接方式）：终端用户可以通过访问该链接完成在线更换Key和服务器IP操作。3. 客户端新增对以下操作系统支持a) WindowsXP Professional SP2/SP3 (64bit)b) Windows Vista Ultimate/Home SP1 (64bit)c) Windows 7 Ultimate/Home (64bit)1.2 开发平台及编程语言开发工具：Eclipse 3.3，Microsoft Visual Studio 2005 + SP1设计工具：

5、Microsoft Office Visio 2007，Rational Rose 2003编程语言：服务端：Java（SUN JDK1.5）客户端：C+（Microsoft SDK 6.0，Microsoft WDK 6001）1.3 名词解释802.1X：IEEE 802.1X是IEEE制定关于用户接入网络的认证标准，它的全称是“基于端口的网络接入控制”，可用于为以太网络提供经过身份验证的网络访问。通过基于端口的网络访问控制使用交换局域网基础结构的物理特征来对连接到交换机端口的设备进行身份验证。2 用户界面设计n 服务器1. 服务器端多Key列表维护Key型号列表修改Key型号（显示高级配

6、置）2. Key驱动安装页面n 客户端1. 调整AdminTool工具对多Key情况的支持AdminTool工具2. 增强在线更新配置功能，使支持换Key操作（换Key前需安装新Key驱动）开始确认Key类型并输入PIN码确认Key中证书DN换Key成功提示换Key失败提示3 总体设计3.1 产品总体结构说明：1. 客户端与磐石服务器的交互主要是获取密钥，获取安全策略，上传日志等。2. 客户端与LDAP服务器的交互主要是从LDAP服务器下载用户证书（用于向其他人加密文件）。3. 磐石服务器与AQS的交互主要是向AQS系统上报审计日志。3.1.1 服务器服务器在设计上采用MVC分层设计原则以及模

7、块化设计思想。管理员与展现层进行交互，展现层收集操作请求并提交给后端进行处理，同时将处理结果展现给用户。服务层主要负责响应客户端请求，将这些请求交给相应的业务处理单元进行处理并将处理结果返回给客户端。业务层（后端）是核心部分，所有业务都由这一层来完成处理，业务层接收到请求后，从请求中提取业务信息并调用各业务模块对这些业务信息进行处理，处理后返回业务处理结果。模块组成如下图所示：3.1.2 客户端模块组成如下图所示：3.2 软件模块组成3.2.1 服务器 通信协议（在原有基础上新增功能）描述：通信协议负责客户端与服务器交互，在原有功能的基础上增加一条新策略，通过该策略可以控制客户端

8、是否启用入网接入认证。与其它模块关系：无接口：无 安装包配置模块（在原有基础上修改）描述：管理员在修改客户端安装包的同时将Key类型文件打到安装包中。与其它模块关系：1、 选择了某种Key类型后，安装包配置模块会调用Key类型维护模块在页面上回显Key相关信息；接口：无 Key类型维护模块（新增）描述：该功能是为了满足客户端多Key支持设计的。通过该模块可以完成添加、修改和删除Key操作（只能对自定义的Key进行修改、删除；服务器内置的Key不允许修改、删除）。与其它模块关系：1、 添加、修改和删除Key类型时，该模块会调用Key类型文件生成模块生成新的Key类型文

9、件，方便客户端使用；接口：无 Key类型文件生成模块（新增）描述：该模块的作用是将数据库中保存的Key类型保存到一个XML格式的文件，在以下场景中使用该文件：1、 配置客户端安装包时会将该文件一起打到安装包中；2、 客户端配置修改工具修改客户端安装包时会连接服务器下载该文件；3、 在线更新配置链接模块在换Key时，需要该文件。与其它模块关系：1、 Key类型维护模块会调用该模块生成新的Key类型文件；接口：无 客户端安装页面（在原有基础上新增功能）描述：客户端安装页面上显示所有Key驱动下载链接（之前版本中只能下载当前升级包使用的Key驱动）。安装页面上除了显示当前

10、使用的Key驱动下载链接外，还会显示“其他Key驱动下载”链接（只要在添加或者修改Key类型的时候上传了Key驱动，在“其他Key驱动下载” 链接里都能下载）。与其它模块关系：1、 该模块会调用Key类型维护模块，如果管理员在添加或者修改Key类型的时候上传了Key驱动，在安装页面上就会显示相应Key驱动的下载链接；接口：无3.2.2 客户端 配置模块（在原有基础上新增配置）描述：该模块负责读写用户信息和相关配置（策略）信息。此版本增加如下配置（策略）：1、 “禁止入网接入认证”，默认禁止。与其它模块关系：客户端主程序调用此模块进行读/写用户配置信息。接口：无变化

11、客户端主模块（在原有基础上新增功能）描述：此模块为应用程序，此版本新增入网接入认证功能，。与其它模块关系：1. 调用配置模块获取“禁止入网接入认证”策略状态；2. 调用日志模块发送入网接入认证操作的日志；3. 调用入网接入认证模块开启或关闭网络。4. 驱动保护认证模块。接口： 无 客户端服务（在原有基础上新增功能）描述：此模块为Windows NT 服务，此版本新增文件保护和驱动保护功能。与其它模块关系：驱动保护认证模块。接口： 无 入网接入认证模块（新增）描述：该模块负责打开或关闭认证网络，并且可以查询当前网络的状态。此模块由第三方按照指定的接口规范进行开发。与其

12、它模块关系：无接口：公用结构体：#pragma pack(1)typedef struct DWORD dwFlags; /标识： 1：公钥证书 2：证书主题DWORD dwVersion; /版本信息：0CHAR szCompanyName128; /公司名称：JITBYTE *pbBuffer; /缓冲区DWORD dwBufferSize; /缓冲区的大小CHAR szRemarks256; /备注：空 USER_CHANGED_INFO,*PUSER_CHANGED_INFO;#pragma pack()1. 打开指定网络BOOL OpenNetwork(const PUSER_CHA

13、NGED_INFO pstUserChangedInfo, DWORD dwFlag，DWORD &dwError);参数：PUSER_CHANGED_INFO：USER_CHANGED_INFO结构体指针，记录登录用户证书、版本和公司信息。dwFlag：指定网络类型，1 LAN；2 WAN；3 LAN+WAN。dwError：返回的错误代码。返回值：成功返回 TRUE，输出参数dwError为0或已打开；失败返回FALSE，输出参数dwError为错误码。2. 关闭指定网络BOOL CloseNetwork(const PUSER_CHANGED_INFO pstUserChange

14、dInfo, DWORD dwFlag, DWORD&dwError);参数：PUSER_CHANGED_INFO：USER_CHANGED_INFO结构体指针，记录登录用户证书、版本和公司信息。dwFlag：指定网络类型，1 LAN；2 WAN；3 LAN+WAN。dwError：返回的错误代码。返回值：成功返回 TRUE，输出参数dwError为0或已关闭；失败返回FALSE，输出参数dwError为错误码。3. 查询当前网络状态DWORD GetNetworkState(DWORD dwFlag);参数：dwFlag：指定网络类型，1 LAN；2 WAN；3 LAN+WAN。返回

15、值：0:网络正常，能访问相关网络，其它值为网络不正常的错误代码。 安全登录模块（在原有基础上新增功能）描述：此版本新增功能：安全登录需要联网时，如果入网接入认证策略是启用状态，则调用入网接入认证模块打开网络。与其它模块关系：驱动保护认证模块。接口：保持原有接口不变化，登录流程变化：登录系统前获取入网接入认证策略状态。 在线更新配置模块（在原有基础上新增功能）描述：此模块为COM库，Web页面调用此模块完成换Key、换IP等操作。与其它模块关系：磐石客户端服务：COM库通过管道通讯将新的配置信息传递给磐石客户端服务，然后服务来写配置文件。接口：无 注册表

16、保护驱动（新增）描述：此模块是Windows平台的注册表过滤驱动程序，主要完成对磐石客户端的注册表以及相应的COM注册表项作保护，使其不被删除和重命名。与其它模块关系：驱动保护认证模块接口： 无 文件保护驱动（新增）描述：此模块是Windows平台的文件过滤驱动程序，主要完成对磐石的文件和文件夹做保护功能，使其保护的文件和文件夹不被删除和重命名。与其它模块关系：驱动保护认证模块接口：无 驱动保护认证模块（新增）描述：此模块是普通的DLL模块，主要用于应用程序在操作磐石相关的注册表和文件时做认证操作。如果认证成功，则在操作注册表和文件时能成功完成。该接口需要满足以下功

17、能：a) 接口调用者的身份验证（可能过文件验签名来保证）。b) 验证所要添加的PID进程是否合法。c) 从驱动白名单中删除PID。与其它模块关系：客户端主程序、客户端主服务、安全登录模块接口：1. 添加进程ID到驱动白名单列表DWORD AddPIDToAllowList (DWORD dwFlag);参数：dwFlag：1.文件过滤驱动 2.注册表过滤驱动 (3，表示取添加到文件驱动白名单列表，又添加到注册表驱动白名单列表)。 返回值：成功返回0，非0失败，表示错误码。2. 删除驱动白名单中的PIDDWORD DeletePID(DWORD dwFlag)参数：dwFlag：1.文件过滤驱动

18、 2.注册表过滤驱动 (3，表示取添加到文件驱动白名单列表，又添加到注册表驱动白名单列表)。返回值：成功返回0，非0失败，表示错误码。3.3 业务流程3.3.1 Key类型维护3.3.2 客户端以证书为认证因素完成入网接入认证1. 客户端登录认证2. 客户端拔出Key3. 客户端退出4. 客户端安全登录3.3.3 增强客户端在线更新配置链接功能3.4 通信设计1. 服务器与客户端之间采用HTTP协议进行通信。2. 通信协议采用XML报文格式。3. 客户端和服务器的通信端口为80，后台管理端口为443；3.5 数据存储设计1. 磐石服务器持久层采用Hibernate操作数据库。目前磐石服务器支持

19、SQLServer和Mysql数据库。此次版本开发没有增加新表，只对存储Key类型的表结构进行了修改，修改的原因是以前的Key类型表只维护Key的CSP和P11信息，不能满足此次版本中“客户端多Key支持”的需求。2. 服务器端维护一个XML格式的Key类型列表文件，该文件给客户端配置修改工具提供数据支持。文件结构如下：<?xml version="1.0" encoding="GBK"?><!-cnshowtype（用户名显示方式）：全部显示 2 只显示姓名 默认值为1checkkeymode（插拔Key检测方式）：标准P11方式 1

20、 Windows系统消息 2 循环检测 默认值为1clewmodifypin（提示修改PIN码）：不提示修改 1 提示修改 默认值为0certlevel（证书级别）：一级证书 2 二级证书 3 三级证书 默认值为1waitscsvc（等待智能卡超时时间）：默认值为getcertmodefromkey（获取Key中证书方式）：不验PIN码 1 验PIN码 2 其他 默认值为0-><keyTypeList> <keyType keyname="飞天诚信ePass2001" csp="EnterSafe ePass2001 CSP v1.0&qu

21、ot; p11="ShuttleCsp11_2001.dll" cnshowtype="1" checkkeymode="1" defaultpin="111111" clewmodifypin="0" certlevel="1" waitscsvc="0" getcertmodefromkey="0"/></keyTypeList>3.5.1 数据库表关系无3.5.2 表结构设计 Key类型表作用：该表

22、存放所有Key类型（在原有基础上修改）。字段名称字段类型字段长度字段描述主外键说明是否允许为空KeyDriver_IDVARCHAR50Key类型ID主键NOT NULLKeyDriver_KeyTypeVARCHAR50Key名称NOT NULLKeyDriver_CSPVARCHAR200CSP名称NOT NULLKeyDriver_P11VARCHAR200PKCS11名称NOT NULLKeyDriver_CnShowTypeint用户名显示方式NOT NULLKeyDriver_CheckModeint插拔Key检测方式NOT NULLKeyDriver_DefaultPinVARC

23、HAR50默认PIN码NOT NULLKeyDriver_ClewModifyPinint提示修改PIN码NOT NULLKeyDriver_CertLevelint证书级别NOT NULLKeyDriver_WaitSCSvcint等待智能卡超时时间NOT NULLKeyDriver_TypeintKey类型（内置/自定义）NOT NULLKeyDriver_GetCertModeFromKeyint获取Key中证书方式NOT NULL3.6 性能设计以往版本设计：1. 为了提高级联管理中查看下级服务器的统计数据的性能，在获取下级数据和数据展示时采用DWR技术；3.7 可靠性设计1. 此版本

24、设计：1) 服务器出现问题后，通过启动调试模式，在远程可以对服务器出现的问题进行分析、排查。2. 以往版本设计：1) 使用配置文件的备份和文件Flush到磁盘机制来降低损坏机率。2) 通过资源管理器的插件技术来保护磐石客户端被第三方产品（软件）导致客户端出错。3.8 扩展性设计1. 此版本设计：1) 可通过Key类型管理功能管理多种Key类型。2. 以往版本设计：1) 服务器策略的可配置，达到策略是否可以被管理员修改。2) 客户端产品名称可自定义、安全登录的UI可自定义。3) 客户端保护功能迁移到资源管理器中解决在多用户运行环境中磐石启动的问题。3.9 兼容性设计1. 此版本设计：1) 客户端

25、支持在Windows XP Professional SP2/SP3（64bit）、Windows Vista Business/Home SP1（64bit）、Windows 7 Ultimate/Home（64bit）操作系统运行。2) 客户端自身安全2. 以往版本设计：3) 增加了数据库服务器配置功能，通过配置数据库类型、地址以及端口号，服务器自动加载对应的hibernate文件，以支持Mysql和SQL Server两种数据库；4) 客户端保护功能迁移到资源管理器中解决在多用户运行环境中磐石启动的问题。5) 客户端将用户的帐户信息存放到操作系统的ProFile（All User）目录中

26、保证在不同平台不同权限下能正常读写帐户信息。3.10 可移植性设计1. 增加了数据库服务器配置功能，通过配置数据库类型、IP地址以及端口号后，重启磐石服务器可以连接到外接数据库上。2. 磐石服务器目前只支持MySQL、SQL Server。3.11 可升级性设计1. 服务器的小版本升级可以通过服务器提供的服务器升级功能进行升级。1) 根据升级需求制作升级包；2) 在服务器后台通过上传升级包完成升级；2. 服务器端大版本升级需要借助升级工具，该工具需要根据具体项目的具体版本需求制作。3) 升级工具里包含一个脚本文件和压缩包；4) 用SSH工具将脚本文件和压缩包上传到服务器，通过执行脚本文件完成服

27、务器升级；3. 客户端通过MSI和InstallShield脚本，完成客户端的提示升级和强制升级。3.12 可管理性设计1. 此版本设计：1) 通过隐藏策略可以设置用户是否启用“入网接入认证功能”。2) 服务器增加多种Key类型维护功能。2. 以往版本设计：1) 可以设置每条策略是否允许管理员编辑；2) 上级服务器可以查看下级服务器的注册用户数、最近一天/一周/一月登录的用户数；3) 通过策略设置，用户可以编辑本地策略；4) 管理员可以查看终端用户在线状态。3.13 可维护性设计1. 此版本设计：1) 可通过AdminTool工具和客户端在线更新链接来支持换Key操作。2) 服务器端支持Key

28、列表维护功能，方便客户端进行换Key操作。2. 以往版本设计：1) 安全登录与客户端单点登录独立为一模块。2) 客户端将用户的帐户信息存放到操作系统的ProFile（All User）目录中保证在不同平台不同权限下能正常读写帐户信息。3.14 易用性设计1. 此版本设计：1) 可通过访问在线更新配置链接完成换Key和换服务器IP地址。2) 可以通过AdminTool工具修改客户端使用的Key类型和服务器IP地址。2. 以往版本设计：1) 在不能连网的情况下，使用无Key登录口令可登录计算机。2) 支持单机版用户。3) 客户端首次使用磐石时，由用户选择性的重新启计算机。4) 用户安装完磐石和注册完用户后，没有重新计算机使用保险箱，提示需重启生效。3.15 增加市场竞争力和项目控制力设计1. 此版本设计：1) 客户端支持在a) Windows XP Professional SP2/SP3（64bit）、b) Windows Vista Business/Home SP1（64bit）、c) Windows 7 Ultimate/