bombing:1证书认证系统设计与实现-引言

第一章 引言

1.1 研究背景

公钥基础设施^[1] (Public Key Infrastructure，PKI)是利用公钥概念和加密技术为网上通信提供符合标准的一整套安全基础平台。公钥基础设施能为各种不同安全需求的用户提供各种不同的网上安全服务，主要有身份识别（认证）、数据保密性、数据完善性、不可否认性及时间戳服务等。从广义上讲，所有提供公钥加密和数字签名服务的系统都可叫做PKI系统。

随着信息安全技术、PKI体系的飞速发展，以及各级证书认证（CertificateAuthority，CA）系统的建设和推广，亟需发展可靠的、满足多种应用的CA系统方案。

中国电子认证服务业发展在政策环境、法律法规上也制定了一系列规范，基本历程描述如下：

图1-1 中国电子认证服务业政策环境图

为适应国家信息化发展需要，满足电子认证服务对证书认证系统密码及其相关安全技术的应用需求，规范我国电子认证服务系统的建设和管理，根据《电子认证服务密码管理办法》第十三条：“《证书认证系统密码及其相关安全技术规范》由国家密码管理局发布”的规定,国家密码管理局制定了《证书认证系统密码及其相关安全技术规范》。该规范适用于在中华人民共和国境内为公众服务的数字证书认证系统的设计、建设、检测、运行及管理。同时，其他数字证书认证系统的建设、运行及管理，可参照该规范。《电子认证服务密码管理办法》中也有如下描述：

“ 第九条 电子认证服务系统的运行应当符合《证书认证系统密码及其相关安全技术规范》。电子认证服务提供者对其电子认证服务系统进行技术改造的，事先将具体方案报国家密码管理局备案，事后向国家密码管理局申请安全性审查，通过审查的方可投入运行。”

1.2 国内CA发展现状

（1）第一轮洗牌，全国100多家CA,到目前仅22家入围，而且信产部将严格控制准入。

Ø  《电子认证服务管理办法》明确了CA认证机构的准入门槛，而且准入标准相当高。

Ø  《网络信任体系建设的若干意见》指出：“向社会公众提供服务的电子政务认证活动，提倡走社会化、专业化道路，原则上应利用已经依法设立的认证机构提供服务。”，同时，相关条文使境外CA认证机构被排除在中国市场电子政务市场以外。

Ø  信息产业部再三强调：“鼓励资源和服务共享，防止盲目重复建设。”；

Ø  CA行业由原来的完全自由竞争过度到政府适度控制状态；

Ø  信产部陈伟司长在2006中国信息化推进大会上的讲话中指出：2007年电子认证工作重点将加大打击非法CA的力度，整顿电子认证服务市场。

(2) 第二轮竞争，运营服务能力相对较弱者被淘汰出局。

Ø  2006行业年检：出现部分CA机构因内部管理混乱、运营条件达不到要求、非法运作，被面临停牌的警告。

Ø  2006年赛迪调查数据显示：目前22家合法CA机构中证书发放量最低的才只有3千张证书。根本无法支撑符合法规要求的相关常规运作所需的运营开支。

Ø  《电子认证服务服务管理办法》第三十三条规定了取得资质的机构，在行政许可的有效期内不得降低其设立时所具备的条件。

Ø  《电子签名法》第三十一条规定了电子认证服务提供者不遵守认证业务规则和违法经营的，由信产部将责令限期改正；逾期未改正的，吊销许可资质。

Ø  行业管理部门将进一步出台相关的管理办法来构建公开、公平、公正的CA市场竞争机制，鼓励市场的充分竞争。这将有利于发挥基础设施完备、运营规范、有应用基础CA的运营优势，实现对资源的合理分配和有效利用。

Ø  最终局面：基础设施完备、运营规范、有应用基础CA机构对运营不善的CA进行收购，最终只有少数强势CA的出现。

（3）第三轮行业优化，将出现优劣互补，强强合作局面。

Ø  现在已经建设的多个CA中心几乎都有明显的局部特征和探索性质，规模较小而且简单重复，难以满足社会化服务的要求。

Ø  由于在CA中心自身的权威性要求下，必然需要运作规范，技术、资金实力雄厚，并能适应国际化趋势的大型CA中心来为社会服务。

Ø  基于国外CA行业的发展经验和国内目前的状况，我们认为该行业未来的发展必将呈集中化趋势。

因此，未来几年中，行业内产业重组已是必然。

1.3 研究内容及目标

从中国电子认证服务业发展的法律法规到国内CA发展现状，都对证书认证系统提出了更高的要求。

确定研究内容为：

根据国内外现有CA模式，设计一套成熟、稳定、面向复杂应用的证书认证系统，并注意CA系统的先进性、稳定性、及实用性；设计本系统会紧跟国内CA政策，密切关注CA市场的规范化、淘汰制、重组机制。

设计本证书认证系统目标如下：

（1）建立一个功能完善、技术先进、安全可靠、服务领先的基于PKI架构的CA体系，支持RCA－CA－SCA－RA－LRA层次结构，支持多级CA体系、支持多级RA体系。

（2）建设完整的双证书（加密证书和签名证书）模式，兼容单证书模式。

（3）可灵活裁减的层次化、模块化结构，可以根据应用系统的具体要求灵活组合系统中各个模块，从而构建满足不同应用的证书认证系统。

（4）系统具有开放性，能二次开发，能够适应内外部环境的变化。程序开发者可以根据接口标准，自行开发业务系统安全模块。

（5）系统能支持到百万级证书。

（6）证书模板支持，证书标准扩展项可自由定义，证书私有扩展项可自由定义。RA子系统根据证书模板申请证书，支持每个用户申请多个不同模板的证书。针对以上研究内容和目标，本文将从设计和实现两个方面详细介绍证书认证系统。

1.4 本论文组织结构

本文的主要内容分为6章，各章的主要内容安排介绍如下：

本文讨论了证书认证系统的设计与实现，共分为六章。

第一章“引言”，分析证书认证系统的研究背景和国内CA发展现状，确定本论文的研究内容及目标。

第二章“PKI技术介绍”，首先介绍了数字证书基本概念和元素组成、数字信封基本概念及元素组成、微软CryptoAPI体系，然后分析讨论SSL协议、LDAP协议、OCSP协议。本文均使用了这些典型PKI技术。

第三章“证书认证系统设计”，先从网络拓扑和逻辑架构两方面设计证书认证系统总体架构；然后分析了KMC子系统、CA子系统、RA子系统、OCSP/LDAP子系统的程序组成和模块组成；最后讨论和设计了证书模板机制。

第四章“证书认证系统实现”，先从总体业务流程和证书申请流程两方面介绍业务流程实现；然后详细描述系统业务关键点实现，包括证书认证系统报文、RA/CA业务报文元素分析、证书管理类报文实现、证书申请类报文实现等；最后对证书模板机制、统一接口、系统安全性设计进行实现性描述。

第五章“证书认证系统改进与思考”，先对CA业务实现模式、CA业务性能进行探讨，然后对证书认证系统的改进提出几点思考。

第六章“总结与展望”，总结本文取得的主要成果，指出证书认证系统发展方向和前景。