u8安全解决方案bjca_W

1、企业信息安全 电子认证解决方案(版本：1.0)北京数字证书认证中心有限公司2008 年企业信息安全电子认证解决方案目录目 录1 概述11.1 BJCA与用友共创ERP安全之路11.2 企业信息化现状21.3 企业信息化的业务风险21.4 术语说明42 应用安全需求概述52.1 普遍的应用安全需求52.2 差异化的应用安全需求63 方案总体设计思想73.1 技术依据73.2 法律依据73.3 总体思路103.4 两种建设模式介绍113.5 两种建设模式比较123.5.1 建设内容比较123.5.2 投资回报及风险比较133.6 客户如何选择建设模式144 CA建设方案介绍154.1 BJCA企业

2、CA系统154.1.1 系统架构154.1.2 系统功能164.1.3 系统部署174.1.4 系统特点184.2 信天行电子认证服务184.2.1 服务体系194.2.2 服务功能214.2.3 服务流程224.2.4 服务特点254.3 证书存储介质设计26附件一：关于BJCA26附件二：电子签名法29企业信息安全电子认证解决方案第9页 共37页 1 概述1.1 BJCA 与用友共创 ERP 安全之路用友软件股份有限公司（以下简称用友公司）是中国最大的管理软件、ERP 软件、财务软件供应商，是中国最大的独立软件供应商。用友 ERP-U8 是一套企业级的解决方案，满足不同的竞争环境下，不同的

3、制造、商务模式下，以及不同的运营模式下的企业经营，实现从企业日常运营、人力资源管理到办公事务处理等全方位的产品解决方案,是一套企业级的解决方案。北京数字证书认证中心有限公司（ Beijing Certificate Authority，以下简称BJCA）成立于 2001 年 2 月，是一家国有股份制的高新技术企业，是信息批准的首批电子认证服务机构，是专业的信息安全服务提供商。BJCA 致力于“提供高品质的信息安全服务，帮助用户创造安全可信的网络空间”，成为“用户最信赖的信息安全服务提供者”。作为权威的电子认证服务提供商，BJCA 遵照人民电子签名法的要求和相关管理规定，为用户提供全面的数字证书

4、申请、审核、制作、颁发、存档、查询、废止等全生命周期服务，并通过一系列以数字证书、电子签名为核心技术的应用安全产品和信息安全解决方案，为电子政务、电子商务、企业信息化的发展构建安全、可靠的信任环境。随着企业规模的快速发展和行业竞争的加剧，信息化正成为企业提升生产效率、挖掘发展潜力、规范企业经营的重要手段。而 ERP 在实现企业信息化的过程中扮演了至关重要的作用。当企业核心资源逐步向信息系统平台迁移，ERP 平台的安全正成为企业推进信息化应用关注的重点。作为亚太区最大的 ERP 厂商，用友软件以敏锐的洞察力和富有远见的眼光，与国内最大、最具影响力的电子认证服务机构BJCA 就ERP 安全展开深度

5、合作。通过将 BJCA 完善的电子认证服务体系与用友 U8 产品的深度集成，可以为用户提供集成化、便捷化的一站式 ERP 安全服务。在满足日益迫切的企业安全需求的同时，也为建立企业综合网络安全信任体系奠定坚实基础。随着双方合作的进一步深化，BJCA 将与用友在更广泛的产品体系中展开深度合作，全面提升产品的核心竞争力，共筑企业 ERP 安全之路。1.2 企业信息化现状随着以互联网为代表的全球信息化浪潮迅猛发展，信息网络技术的应用正日益普 及和广泛，传统的手工处理和半信息化处理方式越来越不能满足企业业务发展的需求。因此，各个行业、各个领域为了提高生产效率，改进工作方式和提升品牌价值， 纷纷利用先进

6、的 IT 技术来降低办公、流通、交易的成本，提升信息管理水平，从而使得信息化逐渐向更广、更深层次发展起来。供应商的不断增加和业务的不断拓展，使得应用领域也从传统的、小型业务系统逐渐向大型、关键业务系统扩展，从典型的内部办公系统、管理系统，逐渐扩展到全方位的应用系统。更多的企业要求利用企业资源计划系统来全面实现传统业务的电子化、无纸化，企业之间的竞争逐步演变到信息资源的优化配置、以及供应链与供应链之间的角逐。因此，企业信息化建设已经成为信息时代中支撑企业业务发展并保持竞争力的强有力的内在。1.3 企业信息化的业务风险企业信息化系统的建设与运用，一方面，在促进企业业务发展，增强企业竞争力方面发挥着

7、举足轻重的作用；另一方面，由于网络所具有的开放性、数据共享性、易受攻击性等特征，使得这些基于网络的业务系统面临着诸多安全风险隐患，如：盗用帐号、越权访问、发布非法信息以及数据篡改等问题的发生概率日益增大。目前，各种电子邮件系统、网络办公、电子财务、人事管理以及针对特定行业的业务系统的信息网络化逐渐渗透到了各个企业，相当多的企业也开始部署和实施 ERP，CRM，MIS 等信息管理系统，而这些业务系统中所流转和存储的数据往往涉及企业诸多敏感信息，一旦出现信息安全问题，将对企业的经营带来巨大的风险，甚至影响到企业的生存和发展。以客户关系管理系统为例，对于大多数企业而言，客户是企业最宝贵的资产，客户支

8、持与服务成为企业最关键的业务流程之一。因此，很多企业建立了自己的客户关系管理系统，通过客户关系管理系统将企业的客户（包括最终客户、分销商和合作伙伴）作为最重要的企业资源进行管理，并向企业的销售、市场和服务等部门和人员提供全面个性化的客户资料，并强化跟踪服务以及信息分析能力，从而使企业得以提供更快捷和周到的优质服务。由于客观关系管理系统中涉及大量宝贵的客户资料，一旦发生安全，如恶意篡改、删除等导致客户资料错误或丢失，将可能导致重要业务丧失，或得不到及时服务降低用户满意度，降低企业的营业额；如非法资料拷贝被其它组织或竞争对手获得，还可能涉及到承担资料泄密与客户产生的经济纠纷、或与客户关系恶化、失去

9、客户、以及受到竞争对手的竞争威胁等，这些都将对企业的营业额造成严重的影响。以财务信息系统为例，从 MRP（制造资源计划系统）到 ERP（资源计划管理系统），财务管理始终是企业管理软件的核心模块。财务管理的对象是企业资金流，基本涵盖了企业会计和财务管理的主要职能，是企业运营效果和效率的衡量和表现。因此，财务信息系统是企业信息化中一个非常重要的业务系统，也一直是企业实施 ERP 时关注的重点。财务信息系统一般涉及有总账、应收应付款、报表、工资、固定资产、成本管理、资金管理、财务分析、预算管理、项目管理等基本功能，包含了企业所有经营数据，一旦受到非法操作和攻击，如：非法更改应收帐款、员工工资、固定资

10、产等重要资金数据，都将导致企业受到损害，甚至企业的生存与发展。此外，据 FBI 和 CSI 对 484 家公司调查显示，企业业务系统信息安全风险大多数来自于企业内部的安全威胁，如下表所示：编号安全 占有比例1内部安全威胁85%2内部未授权的存储16%3专利信息被窃取14%4内部人员的财务欺骗12%5资料或网络的破坏11%从上述数据中，我们可以看出面对来自于公司内部的安全威胁，必要的安全措施对企业是如何重要。而信息系统应用范围的快速扩大，使得企业内部的边界随之发生改变。越来越多的系统除了为企业内部员工提供服务外，也开始为合作伙伴、供应商、分销商等外部机构提供服务。这就使得企业在开展信息化建设的时

11、候，面临着比以往更严峻的安全风险。因此，企业在建设信息化系统的时候，不仅要考虑选择符合公司业务管理流程的信息系统，也需要确保这些信息系统在业务操作过程中的安全性，防止身份假冒和恶意操作，以真正做到责任到人、责任到事，并起到过程跟踪的目的，减小企业信息化的业务风险，从而保障企业、员工各方的利益。由此，建立一套可靠的企业信息安全体系是企业顺利开展各种业务系统时所必须考虑的重要问题；同时，安全的支撑体系也是企业在进行业务发展壮大时需要不断深入推广、建立更多网上业务的前提和基础。1.4 术语说明术语解释PKIPubic Key Infrastructure，是一种遵循标准的利用公钥加密技术为电子商务的

12、开展提供一套安全基础平台的技术和规范。用户可利用PKI 平台提供的服务进行安全通信。CACertification Authority，即认证中心，是一个可信的签发公钥证书的机构，在本系统中，特指按照 ITU-T X.509V3 国际标准建立的认证框架系统。RARegistration Authority ，注册机关。负责接受用户证书请求，审核用户身份， 协助 CA 颁发数字证书。CRLCertification Revoke List，证书吊销列表，在X.509V3 中定义的已经吊销的证书列表，通常包含证书序列号、证书持有者、证书签发者、作废日期和原因等内容。HTTPHyper Text T

13、ransfer Protocol ，WWW 服务程序所用的协议。HTTPsHypertext Transfer Protocol Secure ，安全超文本传输协议。SSLSecure Socket Layer 安全套接层协议，主要是使用公开密钥体制和X.509 数字证书技术保护信息传输的 性和完整性，它不能保证信息的不可抵赖性， 主要适用于点对点之间的信息传输，常用 Web Server 方式。已吊销证书证书还没有到期而作废并放入 CRL 中的证书。已过期证书已经超过证书有效期的证书，一般不发布到 CRL 中。CSPCryptographic Service Provider，服务提供者。2

14、 应用安全需求概述2.1 普遍的应用安全需求如前所述，信息系统正日渐成为企业开展生产运营、市场营销、客户关系管理、供应链管理等业务的基础平台。信息化的快速发展趋势，带动了更多的企业开始将核心业务转移到信息平台上开展，以期能够充分利用信息化的高效、便捷，为企业改善经营管理提供帮助。然而，企业信息化的发展，必然带来信息安全问题。信息化的运转模式改变了传统的安全边界，也使得原本可控的业务风险暴露在开放的信息网络环境下。因此，解决信息安全问题是发展企业信息化应当考虑的重要因素。企业的信息安全需求随着信息应用环境的不同而有所差异，然而，归结起来，这些需求主要体现在以下几个方面：身份的真实性信息系统保存着

15、企业的核心资源，对信息资源的访问往往采取账号的方式来鉴别用户身份。对用户身份真实性的确认，是确保资源访问安全与行为安全可控的重要措施。然而，目前许多应用系统仍然采取用户名的验证方式，其脆弱的安全强度远远无法满足日趋复杂的网络环境要求，且正成为导致信息风险的主要方式。因此，需要建立对用户身份的强认证机制，防范用户的身份冒用风险。信息的 性财务信息、人事信息、供销存信息、产品配方、生产工艺等信息资源直接关系着企业的经营风险，甚至是企业的生死存亡。而业务发展的需要必然带来对这些信息访问方式的多样。因此，必须提供可靠的信息加密技术，确保信息资源在访问过程中不被他人窃取。信息的完整性合同信息、销售信息等

16、对企业经营至关重要，一旦被非法篡改，极有可能对企业的发展带来致命影响。因此，需要提供完善的完整性验证机制，确保信息代表了真实的意思表达。信息的授权访问非授权访问、越权访问是导致企业信息资源被的重要途径。因此，需要建立可靠的访问控制机制，以确保资源访问的安全可控。行为的抗抵赖为用户操作、信息访问等业务行为建立可靠的追溯机制，确保用户行为的可溯可查，是防范业务风险的最后一道屏障。因此，需要建立可靠的行为抗抵赖机制，为事后追究补救提供依据。2.2 差异化的应用安全需求普遍的应用安全需求可以帮助企业发现信息化业务的安全风险，通过实施相应的应用安全系统，可提升企业信息系统运营的安全性。然而，企业在建设应

17、用安全体系时，会因应用场景的不同，而选用不同的安全解决方案。从业务系统的应用范围可将需求划分为以下两类模式：（1） 企业内部的信息化应用，如：企业财务系统、质量管理系统、成本管理系统、预算管理系统等。信息系统的用户范围同属于企业内部，其自身存在明确的信任关系和利系，无需其他组织提供信任担保。一旦发生纠纷，可由企业内部的规章、制度等予以解决。（2） 企业 的信息化应用，如：企业购销存系统、企业分销管理系统、网上订单、网上招投标系统等。这些系统的业务处理不局限于企业内部，牵扯到企业以外的合作伙伴、分销商、供应商等不具有继承信任关系的组织。当企业与这些外部组织发生信息业务往来时，以上的应用安全需求就

18、需要由公信的第三方权威机构作出授信和担保，以确认信息业务行为的真实 ，并能够在发生业务纠纷时，为各方提供具有法律效力的可信凭证。针对以上两种不同的应用场景，企业在构建应用安全体系时应当充分考虑这些差异，并在选择方案上有所侧重。3 方案总体设计思想3.1 技术依据PKI 技术网络信息安全最完善的解决方案PKI（Public Key Infrastructure，公钥基础设施）技术使用成熟的公开密钥机制， 综合了技术、数字摘要技术、数字签名等多项安全技术以及一套成熟的安全管理机制来提供有效的信息安全服务，通过建设 CA（Certification Authority，证书认证中心）认证中心为用户签

19、发数字证书，用户在业务系统中使用证书，完成用户的身份认证、访问控制以及信息传输的性、完整性和抗抵赖性。PKI 技术已经被广泛应用于电子商务和电子政务，被证明是基于互联网的电子商务和电子政务安全的最佳解决方案。它完全可以应用于企业，在企业信息化建设的过程中， 利用 PKI 技术为企业建设 CA 认证中心，为企业应用系统的用户颁发数字证书， 企业的应用系统集成数字证书应用的安全功能；在用户访问应用系统时，用户必须使用数字证书，实现对用户和应用系统的身份认证、访问控制；结合加密技术和数字签名技术，在进行信息传输时，使用接收方的证书（公钥）对信息进行加密，使用发送方的证书私钥对信息进行数字签名，来实现

20、信息的性、完整性和抗抵赖性。 因此利用PKI 技术对于企业来说，是解决其信息安全问题的最佳解决方案。3.2 法律依据电子签名法简介概述电子签名法由 5 章，36 条组成，分为：(1) 总则（3 条） ；(2) 数据电文（9 条）：等同与电子信息、电子通信、电子数据、电子记录、电子文件） ；(3) 电子签名（2 条）与认证（12 条）；(4) 法律责任（7 条）、(5) 附则（3 条）；主要内容n 概括：通过确立电子签名的法律效力，消除电子商务发展中的法律障碍，保护电子商务交易方的合法权益，保障交易安全，为电子商务与电子政务的发展创造有利的法律环境。n 核心内容 3 大部分：数据电文、电子签名、

21、电子认证的；电子签名又是核心中的核心；n 5 方面具体内容：(1) 确立数据电文的法律效力：(2) 确立电子签名的法律效力：（通过四个原则实现），可靠电子签名的四个要件： 电子签名制作数据用于电子签名时，属于电子签名人专有；（专有性） 签署时电子签名制作数据仅由电子签名人控制；（完全控制）（包括 ） 签署后对电子签名的任何改动能够被发现；（签名改动） 签署后对数据电文内容和形式的任何改动能够被发现。（文件改动）(3) 规范电子签名行为；(4) 明确认证机构的法律地位及认证程序；(5) 规定电子签名的安全保障措施； 电子签名的作用电子签名的作用：电子签名是法律思想与技术解决方案的完美结合。 电子

22、签名的三个作用：识别身份（生物特征）、认可内容、承担责任。相应功能在电子签名中的技术实现：1、身份认证第三方认证；2、完整性加密与、非对称密钥；3、不可抵赖新增的三个功能：4、保密性，很适合互联网的开放环境5、识别机器的身份 ：否连在正确的服务器上6、其他：数字时间戳、VPN 证书、软件发行者证书（证明软件代码的来源和完整性）电子签名法的意义n 应用中的意义：主要解决电子商务和信息化活动的安全性。 技术上的安全性：安全、可信、保密； 法律上的安全性：改变网络由于虚拟性带来的大量责任和损害无人承担的困境，是电子商务法制化与规范化的基础；n 法律上的意义：电子签名法是电子商务法的基本法，商务的核心

23、是合同，合同的核心是签名；电子商务的核心是电子合同，电子合同的核心是电子签名； 所以，有了电子签名法，有了虚拟世界与现实世界的对应，再谈责任承担、权益保护的问题才比较现实；才能去考虑电子合同、消费者保护、隐私权保护等问题；何为合法的电子认证服务机构？和电子签名法同时生效的相关法令法规还有“ 人民信息令 第 35 号”电子认证服务管理办法。在第 35 中提到：“电子认证服务管理办法已经 2005 年 1 月 28 日人民信息第十二次部务会议审议通过，现予发布，自 2005 年 4 月 1 日起施行。”该管理办法对合法的电子认证服务机构在电子签名法基础上进一步进行了规范， 指出：第二条：本办法所称

24、电子认证服务提供者，是指为电子签名人和电子签名依赖方提供电子认证服务的第三方机构（以下称为“电子认证服务机构”）。第五条：电子认证服务机构，应当具备下列条件： 具有独立的企业法人资格； 从事电子认证服务的专业技术人员、运营管理人员、安全管理人员和客户服务人员不少于三十名； 注册资金不低于人民币三千万元； 具有固定的经营场所和满足电子认证服务要求的物理环境；企业信息安全电子认证解决方案第14页 共37页 具有符合国家有关安全标准的技术和设备； 具有国家管理机构同意使用的证明文件； 法律、行政法规规定的其他条件。第六条：申请电子认证服务许可的，应当向信息 提交下列材料： 书面申请； 专业技术人员和

25、管理人员证明； 资金和经营场所证明； 国家有关认证检测机构出具的技术设备、物理环境符合国家有关安全标准的凭证； 国家管理机构同意使用的证明文件。3.3 总体思路如前分析，ERP 系统面临的主要安全风险包括：身份假冒、数据篡改、信息泄密、行为抵赖、越权访问等。同时，企业在加强 ERP 安全时，还需要考虑安全体系设计的 、扩展性以及经济性等关键问题。BJCA 作为专业的电子认证服务及应用安全产品提供商，可为用户提供完善的电子认证服务体系，通过与用友软件的 U8 产品深度集成，为用户快速打造可信的网络信任基础平台：首先，BJCA 完成了将电子认证服务与用友的 U8 产品的集成开发，使 U8 产品可以

26、无缝地与数字证书服务相结合。其次，为用友 U8 产品客户建立完善的 PKI/CA 认证体系，使得客户可以在 U8 产品中平滑地使用电子认证服务功能。该方案的总体设计思想如下图：图：方案整体设计思想逻辑如上图所示，客户在购买了集成了 PKI 功能的用友 U8 产品后，选择适合的证书获取途径来取得数字证书，进而使用数字证书进行安全的登录和使用应用系统。3.4 两种建设模式介绍随着 2005 年 4 月 1 日电子签名法的颁布和实施，以及国家相关部门的系列执行办法出台，PKI/CA 有了明确的法律法规和行为准则，同时明确了由一个什么样的认证机构颁发出来的数字证书在应用中可以起到法律作用。从上面分析可

27、以知道，企业信息化建设面对两个方面的应用，对于这两个方面应用，在使用 PKI 技术提供安全解决方案的时候侧重点是不同的，对于CA 的建设模式也是有所区别的。目前，主要有两种不同的 PKI/CA 电子认证建设模式：自建型和第三方服务型。自建型是指客户购 独的 PKI/CA 软件，建设一个独立的 PKI/CA 系统，除了购买系统软件之外，还包括系统、通信、数据库以及物理安全、网络安全配置、高可靠性的冗余系统和恢复等方面的建设。对于自建型的PKI/CA 系统，客户需要考虑系统的后期运营和维护，建立完整的运营管理体系，并负责系统的日常维护和升级 等。客户可以利用第三方认证中心的运营管理经验和提供的运营

28、管理咨询服务，来建设自己的运营管理体系。可以借助 PKI/CA 软件提供商提供的维护和升级服务，对系统进行日常维护和升级。第三方服务型是指直接利用第三方 PKI 服务提供商的 PKI/CA 服务，即 PKI 服务提供商通过自己运营的 CA 平台为用户提供全面的数字证书生命周期管理服务。因此， 用户现场除了部署已集成了 PKI 安全服务功能的 U8 产品之外，不需要部署任何的软硬系统，U8 操作用户只需通过申请购买第三方 PKI 服务提供商发放的数字证书，即可在U8 系统中使用数字证书。根据这两种 PKI/CA 电子认证建设模式，BJCA 将为用友 U8 产品的使用客户提供两种电子认证产品：BJ

29、CA 企业 CA 系统和信天行电子认证服务。（具体见“4.1 BJCA 企业 CA 系统”和“4.2 信天行电子认证服务”）3.5 两种建设模式比较3.5.1 建设内容比较比较项第三方服务模式自建模式法律保护有，符合电子签名法，具有法律效力无，不具有法律效力建设成本低，只需购买证书高，需要建设整套 CA/RA/LDAP 软件系统、/入侵检测/防病毒/等防护体系，机房物理环境/防火/温度/湿度/监控等物理环境等；人员成本无高，需要配备安全管理员/CA 管理员/RA 管理员/ /应用系统维护员等整套人员配置。维护成本无，由第三方认证机构提供。高， 需要投入系统的后续版本升级、主机扩容、备份设备扩容

30、等维护等服务成本高，每年需要交纳一定的证书服务费用低，服务由自己提供，没有证书服务费。运营风险低，服务风险由第三方认证机构承担高，所有运营风险自己承担，一次投入大量运营成本。适用环境 电子商务环境 企业用户量大的内部应用。 证书量不多 虽然证书量大，但由证书使用者自行承担费用的 内部分支机构间安全保护。从上表列出的建设内容比较可以总结如下：1） 从初期建设来看，自建型需要企业对系统建设、物理场地建设、通信与网络建 设和系统安全建设等各个方面进行综合考虑，建设周期一般为 2 周左右。而第三方服务型由于完全利用第三方的 CA 系统，企业不需要部署任何软硬件，只需购买第三方发放的数字证书即可，因此没

31、有建设周期。2） 从运营维护来看，自建型需要考虑 CA 后期运营维护的所有事务，包括运营管理规范的建设、运营管理团队的建设、相关资质的准备、系统维护与升级和客户服务支持等。而第三方服务型是由第三方 CA 认证中心负责 CA 系统的所有运营维护工作，因此企业不需要考虑运维。3） 从服务成本来看，自建型由于需要建设整个 PKI/CA 系统，需要投入一次性的CA 系统建设成本，当CA 系统建设好后，系统的运维服务完全由自己负责管理，并自己负责证书的日常发放，因此没有证书服务费。第三方服务型由于企业完全依靠第三方PKI/CA 提供商提供安全的证书服务，因此，第三方提供商不仅需要提供全面的证书服务，还需

32、要承担CA 系统运维及风险，需要收取一定的证书服务费。4） 从后期运营服务和支持来看，企业采用这两种方式对应用的支持是相同的。但 是企业是选择采用自建型还是第三方服务型时，需要对供应商的服务支持能力进行考察。服务支持涉及两个方面，一方面是对部署的 PKI/CA 本身的服务支持，另一方面是对应用的服务支持。服务支持包括服务支持能力、服务支持的内容、服务支持的级别、服务支持的响应时限以及服务支持的费用等都是企业部署 PKI/CA 必须综合考虑的一些方面。3.5.2 投资回报及风险比较从投资回报及风险来看，自建模式有完全的独立性，建设者完全控制，但需要完全承担运营风险，而第三方服务模式则由第三方认证

33、中心承担 CA 所有的运营风险。应该看到，第三方服务模式受法律保护，是一个低成本，低风险，同时又是高可控的 PKI/CA 建设模式，较适宜在电子商务或者用户量不大的环境下采用；自建型较适宜在企业内部系统且用户量大的环境下使用。3.6 客户如何选择建设模式客户如何权衡两种建设模式，并选择采用何种建设模式来建设 PKI/CA 系统呢？ 需要客户从自身的实际情况和应用情况出发，进行综合考虑。（1） 需要考虑自身的 PKI/CA 应用范围第三方服务型适用的范围是：信息传递的双方地位对等，需要独立的第三方公正的条件下时使用。例如，企业与企业之间、企业与最终用户之间、政府与政府之间和政府与企业之间。自建型

34、适用的范围是：信息传递的双方同属于一个利益团体，无需其他组织认可或担保对方的可信性时使用。例如，企业内部、政府部门内部、统一组织内部。PKI/CA 的信任核心是基于公正第三方的信任，因此，如果建设的 PKI/CA 系统是保证企业与外部用户之间的网上业务的安全时，如渠道分销管理、网上招标和网上采购等，企业应当选择第三方服务模式，即采用公正第三方PKI 服务提供商提供的CA 服务。如果是企业内部的应用，则可以考虑选择自建型 CA。但是，面对企业内部应用，也可以选择第三方服务模式，特别是一些全国性的企业或者跨国企业，建设的PKI/CA 需要为全国范围的用户提供认证服务时，应当选择第三方服务。（2）

35、需要考虑自身应用的安全级别应用的安全级别直接影响 PKI/CA 系统建设的安全级别，因为应用的安全是基于PKI/CA 提供的安全认证服务来保障的，而 PKI/CA 系统建设的安全级别主要体现在企业对 PKI/CA 系统风险防范级别上，对于风险防范的级别越高，企业需要考虑的安全性建设方面的内容会越多，企业投入的成本也越高。如果应用的安全级别高，企业需要建设高安全的 PKI/CA 系统，企业可以选择第三方服务型，并考察在安全性方面进行了周密考虑和建设的第三方 PKI 服务提供商； 企业也可以选择自建型，但是在进行自建型 CA 建设时，企业需要对 PKI/CA 的安全企业信息安全电子认证解决方案第1

36、8页 共37页性建设进行周密考虑，特别在物理安全环境建设、网络安全环境建设和运营管理体系建设方面。如果应用的安全级别不高，企业可以选择自建型 CA，适当的考虑系统的安全性建设，满足基本的安全要求即可。（3） 需要考虑投入与回报采用每种建设模式，都需要企业投入成本，回报是指建设的 PKI/CA 系统能够为企业带来什么，特别是安全性方面是否满足企业的需求。企业需要综合分析每种模式所需要的成本投入以及回报，进行衡量和选择。4 CA 建设方案介绍4.1 BJCA 企业 CA 系统BJCA 以用户的需求为导向，以雄厚的研发能力为基础，深入吸收国际、国内的先进技术、结合丰富的项目实施经验，研制开发了 BJ

37、CA 企业 CA 数字证书管理系统。该系统具有技术先进、运营稳定、应用成熟、安全可靠、易于扩展等特点，是BJCA 自主开发，面向广大企业用户推出的完全享有自主知识产权的数字证书管理系统。4.1.1 系统架构企业 CA 系统采用模块化结构设计，由系统初始化模块、证书签发模块、CRL 签发模块、签发任务管理模块、CRL、证书发布模块、服务模块、管理员功能模块、操作员功能模块组成，系统逻辑结构如下图：CRLCRL4.1.2 系统功能企业 CA 系统具有完善的证书服务功能，具有对数字证书全生命周期管理的能力： 数字证书离线申请 数字证书在线申请 数字证书离线更新 数字证书在线更新 数字证书注销 数字证

38、书签发 数字证书撤销列表 CRL 签发同时，企业 CA 系统还提供丰富的系统管理功能： 系统权限管理 系统安全审计管理 系统业务统计管理 系统运行策略管理等4.1.3 系统部署企业 CA 系统的系统部署方式简单，可以与企业的业务系统无缝结合，具体部署方式如下：系统部署图BJCA 企业 CA 系统的认证体系如下：企业根CA企业运营CA用户证书用户证书如图所示，企业 CA 系统的认证体系分为三层：（1） 企业根 CA企业根 CA 是认证体系的最高层，是整个认证体系的信任源，下级 CA、用户证书等的信任关系均源自根 CA。企业根 CA 为自签名 CA 证书，由它签发下级运营 CA 证书。（2） 企业

39、运营 CA企业运营 CA 处于企业 CA 认证体系的第二层，是由企业 CA 签发的子 CA。子CA 为在线服务 CA，直接面向最终用户提供数字证书服务。（3） 用户证书由运营 CA 签发的，用于代表用户网上身份的数字证书，为最终用户持有的数字证书。4.1.4 系统特点企业 CA 系统具有下列特点：（1） 符合国际、国内行业标准；（2） 证书类型多样性及灵活配置。能够发放包括邮件证书、个人数字证书、单位数字证书等在内的各类型证书；（3） 高安全性和可靠性。支持数据库加密，提供集中的数据备份及恢复的手段，提供系统详细的日志文件。对系统管理员采取高强度的身份认证技术。采用符合国家标准的 USB Ke

40、y 硬件设备来保存用户的证书；（4） 高度兼容性及灵活性。提供对加密机、智能卡、USB 等多种加密设备的支持。提供多种 算法，包括： RC4、DES、3DES、RSA、MD5、SHA1、SSF33 等国际、国内标准算法。（5） 高扩展性。系统功能及性能可进行平滑的扩展。能够满足不断呈现的各类需求，实现与各类应用系统的整合和扩展。（6） 部署灵活、操作简单。系统的设计采用 B/S 模式，安装部署工作只需要在服务端进行，部署工作方便灵活，管理终端与服务器之间采用高强度 SSL 安全连接，采用数字证书对用户的身份实现管理。4.2 信天行电子认证服务信天行电子认证服务是 BJCA 为电子商务、企业信息

41、化领域提供的权威、安全、便捷的第三方电子认证服务，是 BJCA 旗下应用最广泛、服务最完善的电子认证服务品牌，覆盖了全国各省市的企业、电子商务平台、国家部委及政府客户市场。它依托于 BJCA 建成并投入运营的 PKI/CA 数字证书服务平台，将 PKI/CA 体系的核心部企业信息安全电子认证解决方案第22页 共37页分认证中心（CA）交由 BJCA 来运营，用户直接通过使用系统服务的方式即可。信天行电子认证服务秉持“以用户为核心”的服务理念，致力于用户价值的实现。信天行产品拥有高安全性的基础服务支撑和随需应变的服务响应体系，可为用户提供全天候、跨区域、多渠道、层次化的服务交付与支持服务。信天行

42、电子认证服务不仅仅提供证书签发、证书更新、证书注销等证书生命周期服务，还为企业提供包括业务管理服务、数据分析服务、客户关系管理服务以及证书的应用支撑服务等。4.2.1 服务体系图：信天行数字证书包装信天行的电子认证服务体系框架如下图所示：图认证服务体系结构图如图，信天行电子认证服务体系包括两部分：一是 CA 中心基础设施平台，二是PKI/CA 应用支撑平台。CA 中心基础设施平台是支撑证书发放等相关证书业务的服务平台，由以下部分构成：1、CA 运行系统，包括 CA、RA 等系统，为用户提供证书生命周期服务；2、运营服务系统，包括业务管理、运行管理、安全管理、用户管理等模块；该系统为 CA 中心

43、的运营进行服务；3、客户服务系统，包括呼叫中心、在线客服、客服网站等方面组成，该系统直接对用户提供技术支持等服务。为更好向最终用户提供服务，BJCA 建立了呼叫中心系统，直接为用户提供 7x24 的电话服务。目前呼叫中心 16 线的客服热线，以及 10 线的在线客服，连同客户直通车等网站，同时为用户提供技术支持及帮助服务。4、运行服务体系，包括 CA 中心所有的运行服务规范与制度；图：BJCA 网站服务体系PKI/CA 应用支撑平台是支撑证书应用的服务平台，包括 Web 信息安全通信系统、电子签章、统一认证等软件，通过这些接口和软件帮助用户建立证书应用的环境。4.2.2 服务功能

44、 数字证书生命周期管理BJCA 提供数字证书整个生命周期的管理，包括证书的申请、审核、更新、注销、查询等等，具体如下：1、证书申请企业用户提交证书申请，由审核鉴证人员根据证书申请所提供的证明材料，对企业的身份进行审核，并为通过审核的用户签发证书。2、证书更新证书有效期一般为一年，当用户证书到期后，需要进行更新操作。证书服务系统支持提供在线更新和离线更新两种模式。离线方式下，用户可到证书受理点进行办理，由工作人员在进行身份审核后进行用户证书的更新操作。在线模式下，用户可持旧证书进行自行登录证书服务系统，由系统确认该证书的更新权限后，自动签发新证书并下载到用户 UsbKey 中，从而实现简便高效的

45、自助式证书更新。3、证书吊销由于密钥遗失、人员变动或其它原因，在证书用户提出申请后，企业可以该指定用户的证书，并通过证书服务系统进行作废证书列表的发布，使得该证书不能再次使用。4、证书查询系统可根据证书序列号、证书持有人、证书状态、证书类型、办理时期等查询条件，准确查询处于生命周期各个阶段的数字证书，及其持有人的详细信息。 证书业务管理管理员通过使用管理员证书登录证书管理模块，可对本应用或管辖范围内的数字 证书的使用进行业务管理，业务管理包括管理员管理、证书统计、查询、报表等功能：1、管理员管理实现企业内或应用系统内证书发放操作人员的管理，包括增加、删除、查询，设置操作权限等等；

46、2、证书统计功能提供系统在某段时期内总共签发或注销证书的数量的统计服务，管理员只要输入统计的起始日期、统计的截止日期、待统计的证书类型、待统计的证书状态等条件， 即可查询出符合要求的结果，并对结果进行汇合统计；3、报表功能系统就会提供文字和图表的统计结果，并可以将统计查询结果打印输出或以文件形式保存。4.2.3 服务流程BJCA 根据企业或应用系统的实际情况，结合以往的经验和自身特点，为信天行电子认证服务提供包括受理点处理、在线服务处理、企业集中处理等三种服务模式。企业信息安全电子认证解决方案第27页 共37页在证书的各个生命周期均可采用任意一种方式来处理。以下以证书申请为例，介绍三种模式的处

47、理方法，证书更新、吊销等与此类似。以证书申请为例：1、用户到 BJCA 受理点现场申请申请流程如下：图 6 证书发放模式一现场申请（1） 用户携带或邮寄明资料给 BJCA 工作人员；（2） 工作人员进行身份鉴别及确认；（3） 审核通过后，BJCA 工作人员填写证书申请信息；（4） BJCA 工作人员将证书介质（USBKey）提供给用户；（5） 或由用户登录 BJCA 网站下载证书。2、用户自行申请申请流程如下：图 7 证书发放模式二自行申请（1） 用户登录 BJCA 证书服务网站，填写证书申请信息；（2） 用户通过传真等方式递交鉴证材料；（3） 由 BJCA 证书管理员进行身份确认和鉴别；（4

48、） BJCA 向用户寄送证书介质（USBKey）；（5） 用户登录 BJCA 网站下载证书3、企业批量申请图 8 证书发放模式三批量申请若企业的应用系统需要申请多张证书，则首先设立一证书管理员，BJCA 为企业证书管理员发放数字证书，然后批量申请流程如下：（1） 证书管理员拥有合法的管理员证书；（2） 证书管理员可以通过提交纸质材料（加盖公章），或者使用证书对电子表单文件进行数字签名，批量提交证书申请；（3） 由 BJCA 将验证证书管理员的电子签名或纸质盖公章材料；（4） BJCA 向用户寄送证书介质（USBKey）；（5） 用户登录 BJCA 网站下载证书。4.2.4 服务特点1、 权威的

49、第三方服务BJCA 作为国内最早开展电子认证服务的 CA 机构之一，拥有丰富的运营经验和完善的服务机制。公司拥有最完善的行业资质，是首批获得电子认证服务许可资质的CA 机构之一，也是国内第一家通过 ISO9001 质量体系认证的 CA 机构。作为权威的第三方电子认证机构，BJCA 可为用户提供符合电子签名法要求的综合电子认证服务。2、 高安全性的运营服务BJCA 的电子认证服务系统采用国际领先的技术体系，符合国际、国家相关标准规范，是最早通过国家强制性安全审查的 CA 系统。为保证运营的安全性和合规性， BJCA 建立了完善的安全管理体系，从认证系统的物理环境、网络通信、人员权限管理、日志审计

50、、数据安全、设备安全、策略安全、安全制度等多个方面确保运营的安全可 靠。3、 灵活的服务模式用户可以通过在受理点、在线服务平台或者是两种方式混合使用的模式来获取服务。任意一种模式都是由用户根据自己的具体情况来选择，灵活的服务极大地方便了用户。4、层级化的服务支持信天行电子认证服务为用户建立了包括热线支持、客户经理、技术专家等在内的层级化的服务支持响应体系，以最大化地满足不同用户服务支持的有效响应。5、完善的产品化服务信天行电子认证服务将服务品牌与用户使用紧密结合，形成了完善的产品化服务包装。通过提供规范的产品包装，给予用户使用前、使用中、使用后的完善服务指导。6、便捷的支付服务信天行电子认证服

51、务为方便用户支付费用，建立了包括网上银行、第三方支付等多种形式的支付渠道，用户可根据自身需要，快捷方便地完成支付。7、综合化的服务框架信天行电子认证服务不仅为用户提供证书的全生命周期服务，还为企业用户提供综合的业务服务，形成了最完善的电子认证服务框架，使企业可以享受与本地化建设相同的服务功能。4.3 证书存储介质设计电子认证作为构建企业应用安全体系的重要支撑，其自身的安全性就显得极其重要。如何保证用户持有的数字证书不被非法窃取、非法冒用，就需要拥有高强度的证书载 体来提供支撑。同时，用户使用数字证书的方便性也是关系安全体系能否正常运转的 重要因素。因此，必须选用高安全强度、易于使用的证书载体，

52、才能确保认证服务体 系的稳定运行。根据国家对于数字证书载体的安全性要求，结合目前主流的载体产品，BJCA 为用户提供基于 USBkey 的证书载体。采用该载体具有以下特点：采用 USBkey 作为载体，其特点如下：（1） 对证书密钥保护度高，不仅密钥存储可靠，而且私钥运算完全在专用芯片中进行，杜绝了密钥泄密。（2） USB 接口普适性好，方便使用。（3） 形状小巧，携带方便，操作简单。附件一：关于 BJCA北京数字证书认证中心（简称 BJCA）成立于 2001 年 2 月，是首批获得国家信息电子认证服务许可资质的电子认证服务商，是具有国家涉密集成资质和北京市信息安全服务能力一级资质的信息安全服

53、务商。作为权威的电子认证服务商，BJCA 遵照人民电子签名法的要求和相关管理规定，为用户提供全面的数字证书申请、审核、制作、颁发、存档、查询、废止等服务，并通过一系列以数字证书、电子签名为核心技术的应用安全产品和信息安全解决方案，为电子政务、电子商务、企业信息化的发展构建安全、可靠的信任环境。作为专业的安全服务商，BJCA 拥有国内一流的信息安全专家和专业的安全服务队伍，紧跟信息安全领域发展动态，熟悉各种信息安全政策、标准、指南和要求，遵循“分域防护、深层防御；分级保护、动态防范”的原则，为客户提供全方位、专业性、持续性和个性化的安全技术支持与服务。经过几年的高速发展，通过营造良好的企业文化，

54、建立有效的激励机制，提供广阔的发展空间，BJCA 已经成为人才荟萃、朝气蓬勃的创新性高科技企业，建立了一支分布于产品设计、技术研发、工程实施、市场营销、经营管理和运行服务等岗位的近300 名员工队伍，并将继续贯彻“以人为本，追求卓越，求实创新，和谐共生”的企业理念，实现员工进步、企业发展、客户满意。BJCA 获得的主要行业资质包括： 电子认证服务许可证； 电子认证服务使用许可证； 涉及国家的计算机信息系统集成资质证书（乙级）； 涉及国家的计算机信息系统集成资质证书（单项/软件开发）； 质量管理体系认证证书； 高新技术企业认定证书； 软件企业认定证书； 北京市信息安全服务能力等级(壹级)。 BJ

55、CA 服务的典型客户包括：企业信息安全电子认证解决方案第37页 共37页国家部委人民农业部、人民劳动和社会保障部、人民信息、中国人民、人民、人民财政部、国家发展和改革委员会、中央国家机关政府采购中心、北京政务北京市政府、北京地税、北京市财、北京市发改委、北京市资源中心、北京市宣武区政府、北京市城乡经济信息中心、北京市管理局、北京市建委、北京市卫生局、东城区、西城区、怀柔区、其它省市工集团、河南省济源市、 企业与电子商务中国人民财产保险公司、中国投资保险公司、北京银行、国美电器、用友、首信易支付、爱波网、宇龙手机、中国成套设备招标网、中国粮油网、中国担保网、民族证券、西南证券、附件二：电子签名法第一章 总则第一条 为了规范电子签名行为，确立电子签名的法律效力，维护有关各方的合法权益，制定本法。第二条 本法所称电子签名，是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。本法所称数据电文，是指以电子、光学、磁或者类似手段生成、发送、接收或者储存的信息。第三条 民事活动中的合同或者其他文件、单证等文书，当事人可以约定使用或者不使用电子签名、数据电文。当事人约定使用电子签名、数据电文的文书，不得仅因为其采用电子签名、数据电文的形式而其法律效力。前款规定不适用下列文书：（一