CA认证体系

CA认证体系 1 CA认证体系 1.1 通过采用证书与应用系统的无缝集成，为信息门户系统提供了如下安全保 障功能：身份认证，资格认证，保密性，完整性、不可抵赖性和信息的追认功 能。另外，通过安全代理软件将安全强度提升到全球公认的 标准 excel标准偏差excel标准偏差函数exl标准差函数国标检验抽样标准表免费下载红头文件格式标准下载 。为了建立一 套标准的时间，CA系统引进了时间戳来为网上报税系统提供完整的时间认定功 能，避免在交易中出现由于时间带来的纠纷。 采用PKI技术后，广东省国税信息门户将得到足够的安全保障，将传统上 的办税业务延伸到Internet上，为客户提供更为方便、安全的审批申请手段。 在广东省国税信息门户中，有些功能是面向全社会公开发布的，它并不需 要证书来保护，如：主页信息、办事指南等，而有一些功能则需要由证书来保 护，如：申报纳税、税务文书办理。因此，可利用Portal Server提供的安全 机制，对广东省国税信息门户的模块进行配置，使一个应用能处理多种安全要 求。通过配置需要保护的应用来保证需要访问该功能的用户必须通过认证，而 其他不需要安全保护的用户则没有此限制。 当用户登陆门户应用系统时，服务器端安全代理首先判断是否有证书，如 果没有，则拒绝访问；如果有，判断用户证书是否合法或是否仍然有效，如果 合法，则自动读取用户唯一的证书甑别名DN，然后到广东省国税电子税务平台的LDAP目录服务器上查询用户信息（证书甑别名DN应与用户代码一 致），判断用户是否是已注册的合法用户。如果是，则接收该用户的证书，准 备对发送给用户的机密信息进行加密；如果建立的通道是双方认证的话，则用 户端安全代理软件也进行同样的步骤来验证服务器的身份和获取服务器端的证 书。 广东省国税信息门户应用系统需要建立一套用户权限对照表，通过将用户 的甑别名DN和广东省国税信息门户的用户代码建立一一对应关系来标识登录 到系统的用户具有何种操作权限，由此判定用户资格。当双方身份验证通过和 资格认证确认后，用户Browser和服务器Web Server会采用PKI技术来建 立SSL安全通道，此后，所有从浏览器发出的安全请求信息，都由用户端安全 代理软件来完成。用户端安全代理软件接收到来自浏览器的安全请求后，会用 用户的私钥对此信息作一次数字签名，再用服务器端的证书中的公钥对信息进 行一次加密，然后通过安全通道SSL传送给服务器端安全代理软件，服务器端安全代理软件接收到该信息后，首先使用服务器端的私钥对该密文信息进行解 密，然后用该用户的公钥来验证接收到的数字签名，检查是否信息是该用户发 送过来的，并确认在传输过程中没有被修改。通过该过程后，把信息的明文送 入Web Server，Web Server再对该信息进行相应处理。同样，当Web Server需要发送信息给用户端的时候，也采用同样的步骤来保证信息的安全和 行为的不可抵赖性。这些步骤都是通过安全代理自动透明来完成的，由此大大 避免了应用程序和安全处理程序之间过多的耦合过程。如果应用需要一些其他 的功能而安全代理软件不能满足的话，系统会提供相应的API或其他 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 来帮 助应用系统来满足他们的特殊要求。 广东省国税信息门户功能还需为用户提供和地税、海关以及各下属地市进 行数据交换的功能，实际上涉及到与系统之间的接口问 题 快递公司问题件快递公司问题件货款处理关于圆的周长面积重点题型关于解方程组的题及答案关于南海问题 。因此，我们需要采 用一定的技术手段来保证省国税和下属地市数据交换的安全连接。因此，可由 各税务机关领取该证书完成数据交换功能。数据交换的安全是这样实现的，用 户只需使用省国税指定的CA签发的证书，然后用户填写一些申报数据，然后通过用自己的证书和安全代理将该信息传给广东省国税信息门户，门户系统接 到该信息后，还原该信息，并使用各下属地市认可的证书对此进行加密，密文 传送给下属地市国税的业务系统，下属地市业务系统接收到该信息后，用自己 的私钥对此信息进行解密和利用省国税服务器的证书公钥来验证该信息的数字 签名，验证通过后，将该信息传入后台业务系统进行相应的处理，处理结果按 逆方向和同样的加/解密和数字签名/验证数字签名传回广东省国税信息门户，审批完成后，最后处理结果会传回给用户浏览器。支付处理结束。 1.2 KEYNET 广州市方欣科技有限公司在过去的多个项目中已经使用过基于USB接口的 KEYNET形式的身份识别方式，最近的项目中比如广州市国家税务局网上办税 系统和广东省国税信息门户系统都统一使用了广东省CA认证中心颁发的数字证书进行数字认证，为了方便用户的使用，该系统所有的用户都使用我公司为 其选择的KEYNET来完成数字证书的保存和使用。 KEYNET可以使网络访问者，经过双重认证，才能获得网络访问授权。访 问者首先需要把KEYNET插入USB接口中，输入一个PIN值（可选择功能），进一步证实自己的身份。如果身份认证服务器不能识别访问者的身份， 网络访问将被拒绝。KEYNET向用户提供了比密码更方便，且安全性更高的网 络身份认证机制。 每一把KEYNET可以预置密值或存入数据证书，来确定用 户的身份。只要把KEYNET插入USB中，并且输入PIN值，网络访问者的身份就可以被确认。 利用KEYNET认证机制 ，不仅可以保护网络设备，还可以 保护网络中的数据。 由于网络中的数据（ 电子邮件或电子商务中的信息数 据）的安全性对于企业或个人至关重要，所以安全可靠的网络认证方案将越来 越受到人们的青睐。在智能卡、数字证书、密码所应用的领域中，KEYNET不 仅可以完全取而代之，而且效果更佳。KEYNET不仅向用户提供身份认证解决方案，而且向用户提供包括系统登录、网络管理、网络访问等在内的安全机 制。KEYNET是一个廉价的运行在具有USB接口的工作站上的令牌产品。 KEYNET提供了和智能卡相同的可靠性，安全性和简易性，同时还免去了使用 加密密钥的复杂和安装昂贵的智能卡读卡器。KEYNET是一个体积小，重量轻，易于携带的产品，您甚至可以把它挂在钥匙链上。和智能卡一样， KEYNET有许多潜在的应用，它可以应用在那些所有需要口令的地方。 KEYNET具有足够的存储空间，可以存放个人信息和证书，同时，它本身集成 的独立微处理器专门用来完成认证和网络安全应用。 下面我们将对KEYNET的特性和功能做一个简单的介绍。 1.2.1 KEYNET概述 用于身份识别的KEYNET是基于网络安全认证和通讯加密的硬件设备。它 是比密码更安全的身份识别工具；超轻重量便于携带；是基于USB接口的严格按照ISO标准生产的硬件设备； 其内置SHA-1（哈什）算法和RSA（公开密钥）1024位算法，随机查询数串生成器，内含安全文件系统(分为用户模式和管理模式),并设8-64K存储区的“不需要读卡器的智能卡”。 它使用公开的RSA、DES、TRIPLE-DES等算法技术，实现了网络安全 解决方案中对密钥产生、密钥传递、数字签名、证书安全存放等功能实现的需 求。它具有与IC智能卡更高的安全强度并且完全兼容IC智能卡技术规范；其不需要读卡器的特点使它较IC智能卡+读卡器的传统方式在性价比及应用普及 度方面有了质的变化。故此在使用智能卡认证的领域，KEYNET做得功能更出色，成本更低廉。 KEYNET主要包括以下两部分 , KEYNET硬件：KEYNET硬件是一个钥匙大小的带有一个微型计算机 系统的USB设备。它工作原理相当于智能卡和读卡器的联合体。同 时，它还符合ISO/IEC7816标准。 , KEYNET软件：KEYNET提供了一个SDK开发包，包括一个简单易用 的开发商工具， 安装和设置工具，还有演示源代码。 所有这些都是为 了您能够快速的掌握它的使用而准备的。 1.2.2 KEYNET系统简介 图表 1KEYNET加密系统框图 1.2.2.1 应用层是指使用加密IC卡的各种应用系统，例如各种金融系统软件，证券 系统，IE和Netscape等浏览器，应用系统通过调用下层的各种加密IC卡开发接口在应用系统中集成加密服务。 1.2.2.2 目前为应用层提供的加密IC卡开发接口有DAICApi、PKCS#11、Windows Smart Card SDK三种接口，三种接口具有各自的特点和适用范 围，应用系统可以根据自己的具体环境选用其中的一种或多种。 , DAICApi DAICApi是一个非标准的接口，为应用系统提供了多种高层的和底层的接 口，可以运行在Windows系列和多种Unix环境下。 , PKCS#11 PKCS#11是美国RSA公司开发的一个标准的接口，PKCS#11得到了业界的广泛的支持，PKCS#11接口也可以运行在Windows系列和多种Unix环境下。 , Windows Smart Card SDK 为方便应用系统集成，兼容不同厂家的IC卡，微软公司的Windows 95/98/NT/CE系列操作系统为应用系统提供了Windows Smart Card SDK 开发接口，为IC卡在Windows系统中的应用起到了巨大的推进作用，为了把 加密IC卡集成到Windows Smart Card SDK中，需要开发符合PC/SC规范的IC卡驱动程序，Windows Smart Card SDK的缺点是其只能运行在Windows系统中。 1.2.2.3 IC 加密IC卡安全系统的第三层是IC卡的驱动程序层，IC卡的驱动程序层是PC/SC驱动程序，其目的是把加密IC卡集成到Windows Smart Card SDK 中。或者直接为USB驱动程序和动态链接库形式。 1.2.2.4 IC 加密IC卡安全系统的第四层是加密IC卡和IC卡读卡器的设备层，或DKEY。 1.2.3 KEYNET工作原理 Key 内置算法，当我们网络的发给KEYNET查询值时，KEYNET根据网络的查询值以及预置的"密值"，使用内置算法计算出匹配的响应值，并通过网 络传回。查询值可以是随机的，因此拦截KEYNET与系统的通讯数据并不能帮助破解。方式与输入密码验证方式相比更安全，更难于破解。因为密码并没有 在网络上传输。KEYNET采用“单向不可逆离散算法”，密值可由开发者自己 指定。 而超强的硬件保护，又使密值不可被非法读取。从而保障了安全性。 KEYNET与输入密码比更安全，因为她省去了可能泄露密码输入部分，由系统 发给KEYNET查询值，KEYNET计算并返回响应值，而密值又不可能被读取。 即使在验证身份时一个解密记录操作软件同时运行，没有KEYNET它仍不能重复算法功能，返回正确的响应值。这种加密技术现在已经成为IKE(Internet Key Excahnge)协议的一部分 1.2.4 KEYNET特点和性能 KEYNET含有一个类似智能卡的芯片，您可以用它来存储个人信息，密 码，密钥， 许可 商标使用许可商标使用许可商标使用许可商标使用许可商标使用许可 证，证书，cookie或者其他数据。使用KEYNET存储数据有如下优点： , 可靠 - 把信息存储在DKey中，在系统崩溃时仍然能够保证数据的安 全。 , 便携 - DKey 是一个体积小，重量轻，钥匙大小的装置，把它佩戴到 您的钥匙链上，就可以随身携带您的网络密码和密钥，方便的在办公室 和家庭之间使用，在也不用担心遗忘和丢失了。 , 安全 - 用户往往都会很担心病毒，恶意监视程序得到自己的密码，记 录，cookie，口令，或者存储在硬盘上的其他个人信息。DKey会把这 些信息存储在独立的硬件中，并且随身携带，完全杜绝这些程序的窥 视。 , 抗复制 - 其他用户不能复制您的DKey。这就意味着，您可以把各种关 键数据和信息放心的保存到DKey中，而不必担心其他人复制您的数 据。 DKey是多应用的，也就是说，您可以在同一个DKey中存储不同应用程 序的几个证书。 本项目选择的KEYNET产品应该具有以下技术特性 , 支持模长为1024 位RSA 密钥对的芯片内生成，并能够快速实现RSA 算法的数字签名、签名验证、加密、解密运算，从根本上保证了密码运 算的安全性 , 自主产权的DA_COS 系统具有高兼容性：支持 indows95/98/2000/NT/XP,以及主流的UNIX、Linux 操作系统 , 丰富成熟的接口，方便应用开发：可通过PKCS#11 内嵌入 Netscape Communicator4.51/4.61/4.71，可通过MSCSP 内嵌入 Microsoft Internet Explorer 4.0/5.0/5.5 和Outlook Express4.0 /5.0/5.5 /6.0 , 支持一卡多应用，各应用之间相互独立 , 支持多种文件类型:包括二进制文件，定长记录文件，变长记录文件， 循环文件，钱包文件等 , 支持多种安全访问方式和权限管理（认证功能和口令保护） , 支持SSL 协议 , 支持中国人民银行金融中心（CFCA）证书下载 , 无需借助读卡器，可通过USB 接口直接与计算机相连，更方便于移动 办公 , 应用丰富：网上身份认证、系统安全管理、软件防伪、在线银行、安全 电子邮件、电子商务、电子签名、工作站登录、文件加密、帐户管理、 WEB 访问等 本项目选择的KEYNET产品应该具有以下性能指标 , 存储空间（EEPORM）：32K 字节 , DES 加解密速度（含通讯时间）：6ms , Triple-DES 加解密速度（含通讯时间）：20ms , RSA(1024bits)加密（签名验证）速度（含通讯时间）：510ms , RSA(1024bits)解密（数字签名）速度（含通讯时间）：690ms 1.2.5 KEYNET优势 , 兼容ISO7816(1-4)标准。 , 数据文件支持二进制文件、定长记录文件、变长记录文件、循环定长记 录文件等。 , 支持DES、Triple DES等对称加密算法，并支持用户特有的安全加密 算法的下载。 , 支持RSA非对称加密算法，能够快速完成RSA算法的加密/解密。满 足电子商务中身份鉴别的要求。 , 安全机制使用状态机，并支持PIN检验、KEY认证、数据加密、解 密。 , 支持热插拔、防掉电功能。 , 支持EEPROM中数据的加密存放。 , 支持快速生成1024位RSA公私密钥对，而且密钥可以保存在文件 中，也可以不保存到文件而直接返回。 , 用户可以使用计算机生成公私钥对然后导入KEYNET。 , 使用硬件模块生成随机数，随机性能好。 , 支持SHA-1压缩算法。 , 支持数字证书标准（X.509)。 , 支持PKCS#11协议。 , 支持包括广东省CA认证中心系统、中国金融认证中心系统等在内的国 内主要CA认证中心颁发的数字证书。 1.3 在电子税务安全体系中，信息安全决定了网上业务模式是否可靠、可用。 传统的网络安全是通过密码、防火墙等措施来保障的，这些安全保障都只是片 面的解决某方面的安全问题，如密码只是简单地实现身份、信息安全，但不能 彻底解决信息的五个基本安全要求：完整性、机密性、身份认证、防抵赖和有 效授权。 目前，保障信息安全比较成熟的技术是公开密钥基础设施（PKI）和授权管理基础设施（PMI），PKI以身份认证中心为核心，以数字证书为基础，通 过使用密码技术来实现交易双方传递信息的保密性、完整性、有效性，通过基 于公钥的数字签名技术实现事物处理双方身份认证和信息的不可抵赖性；PMI以授权管理中心为核心、以属性证书为形式实现有效授权。PKI服务体系和PMI服务体系构成了信息安全基础设施。 图表 2信息安全基础设施结构图 在信息安全基础设施中包括两个部分：信任服务体系和授权服务体系。信 任服务体系向用户提供身份认证服务，即证明用户是谁，信任服务体系由两个 部分组成：证书认证体系和密钥管理体系。授权服务体系向用户提供授权服 务，即用户能干什么，在数字认证安全体系系统里的授权是指根据用户属性提 供个性化的服务。 信任服务体系的设计与国家自然人、设备、机构身份认证示范工程接轨， 券商提供统一的信任服务受理审核，支持自主知识产权的ECC算法，支持双双证书，并在电信中心端提供LDAP和OCSP服务支持。 授权服务体系主要是基于自然人、设备、机构信任服务体系，构建内部统 一的授权管理体系，对外提供电子税务安全体系业务授权管理，对内提供网络 信任域授权管理。 1.3.1 证书认证体系 证书认证体系主要负责向系统提供基于PKI数字证书认证机制的实体信任鉴别服务，以便能在系统范围内唯一地确定与数字证书绑定的应用实体身份。 另外还提供数据机密性、数据完整性和行为不可抵赖性等安全服务。证书认证 体系将在整个电子税务安全体系范围为授权管理服务体系的服务提供支持。 图表 3证书认证体系 1.3.1.1 证书认证中心（CA中心）是证书认证体系中最为关键的部分，它的主要功 能是为安全电子税务安全体系系统中的各类单位、个人、终端服务器等实体提 供一个数字证书，以作为证明这些实体合法身份的标识。数字证书是一个特定 信息的数据块，包括：证书序列号、用户唯一标识、用户名称、使用的算法标 识、公约、证书有效期等信息。CA数字书内容应符合ITU X.509v4标准。 CA中心的主要功能包括证书管理、用户管理、内部证书管理、目录服务功 能、时间戳服务功能、证据管理功能以及日志及操作员管理等。 1.3.1.1.1 用户管理包括： , 用户身份验证和资料录入； , 用户资料变更； , 用户实体鉴别密码器注销； , 用户资料注销。 1.3.1.2 电子税务安全体系业务中的数字证书采用双密钥对证书，其加密密钥对在 KM中心生成，加密私钥由KM中心托管，KM中心为用户提供该类证书的密钥恢复等服务。证书业务管理模块包括证书的申请、更新、撤消、发布、查询、 密钥的恢复等功能。 , 证书的申请：用户开户注册后，可自行网上进行证书申请。用户申请双 密钥对证书时，首先生成签名密钥对，本地保存签名私钥，将签名公钥 及用户信息提交CA。CA收到用户的证书请求后，向KM中心发出密 钥请求，并将用户的签名公钥一同交给KM中心。KM中心从密钥池中 取出一对加密密钥对，并将加密私钥用用户的签名公钥加密后，一同交 给CA。CA对用户信息及签名和加密公钥一起签名后，即得到所需要 的证书。用户从CA下载证书和经签名公钥加密过的加密私钥。 , 证书的更新：证书的生命周期是由CA管理定义的一个有效期限。证书 的生命周期必须小于CA根证书的有效期。当CA证书持有者的证书过 期时，可通过RA或在线方式更新其证书（通过RA申请的证书仍通过 RA更新，通过在线方式申请的证书可通过在线方式更新）。CA进行 必要的审核后向证书持有者发放新证书。证书更新中证书的生成过程和 证书的申请流程基本一致。 , 证书注销：当证书持有者的私钥损坏时，用户可登录CA网站注销证 书。 , 历史密钥恢复：证书用户使用双密钥对证书，其所持有数字证书的加密 密钥对可委托密钥管理中心生成，其中的解密私钥可统一在密钥管理中 心集中托管。密钥管理中心同时为用户实体提供解密私钥的恢复服务。 用户实体能够委托密钥管理中心生成加密密钥对和申请解密私钥恢复服 务可以通过CA进行。 , 证书的查询：用户可根据用户名称、用户ID、电子邮件、证书申请时 间等查询条件可查询自己的证书的状态。用户还可根据电子邮件地址、 用户名称查询下载其他用户的数字证书。 1.3.1.3 CA通讯证书和登记机构操作员证书管理是由其所持有的密钥证书控制的。 在系统内各个系统终端上都装有通讯证书，操作员与主机进行通信时都通过所 持有的实体鉴别密码器内安装了由CA签发的操作员密钥证书来进行，操作员 要进入系统，必须通过实体鉴别密码器中的证书进行认证。 1.3.1.4 , 证书和CRL发布：CA中心制作完成的证书和最新的CRL发布到目录 服务器，供用户查询和下载。 , 证书和CRL删除：过期的证书和记入证书注销列表的证书要从目录服 务器中删除，旧的CRL也要从目录服务器中删除。 1.3.1.5 时间戳服务主要是对证书或数据加上时间标记的服务，以此建立证据显示 证书或数据的存在和有效性。因此，一个作废的公钥证书可以用时间服务来验 证在作废期之前生成的数据签名是有效的，这是一个重要的信任服务。当证书 的有效期到期时，时间戳服务可以用来显示有效期，或者在日志中显示实体的 操作时间。 1.3.1.6 证据管理主要是对密钥管理机构、上级认证管理中心以及获授权的国家机 关的访问活动要保留证据。抗抵赖服务旨在生成、收集、维护有关已声明的事 件或动作的证据，并使该证据可得并且确认该证据，以此来解决关于此事或动 作发生而引起的争议。 , 证据的类型：在证书认证中心的证据管理中要保存的证据有两种类型： 原发抗抵赖证据(NROT)、交付抗抵赖证据(NRDT) , 证据产生：由于认证机构是代替用户实体向密钥管理中心请求加密密钥 对的产生及用户实体的密钥恢复，它起了桥梁的作用。所以认证机构的 抗抵赖表现在当认证机构转发用户实体的产生加密密钥对和密钥恢复请 求后，要向密钥管理中心发一个原发抗抵赖标权NROT，表明认证机构 确实向密钥管理中心发了产生加密密钥对和密钥恢复请求。当认证机构 收到密钥管理中心返回的加密密钥对和密钥恢复请求处理结果后，向密 钥管理中心发一个交付抗抵赖权标NRDT，表明认证机构承认收到密钥 管理中心返回的加密密钥对和密钥恢复请求处理结果，并认可密钥管理 中心所发的消息。认证机构还应将接受到用户发来的交付抵赖权标 NRDT存储在证据库中。 , 证据存储：证书认证中心将接收到的用户NROT、NRDT保存在证据 库中。 , 证据查询和索取：为了解决由于某事或动作发生而引起的争议，授权的 操作员对证据进行查询和索取。 1.3.1.7 , 日志管理：日志管理主要是对操作员的所有操作活动的时间、事件等信 息进行日志记录。 , 操作员管理：可根据CA管理的功能要求，在操作员管理中增加不同类 型的操作员 (包括超级管理员、系统操作员、业务操作员等)。对不同 的操作员根据业务需要，可设置不同的操作权限，还允许根据实际需要 修改操作员的权限。当某一操作员被撤职或是离职时，应注销该操作 员，停止操作员的所有操作权限。操作员在CA管理系统中的所有操作 都是采用基于证书的身份认证，操作员登录系统时都必须采用证书认 证。 1.3.1.8 证书审核注册中心完成对各种数字证书业务的受理及用户数据的录入，并 对用户提供的数据进行审核、分类、存储。并支持在线与离线两种受理方式。 1.3.1.8.1 系统支持两种受理方式，一种是在线受理，一种是离线受理。 , 所谓在线受理，是用户到证书审核注册中心后，给用户发放一个空白实 体鉴别密码器，用户拿到实体鉴别密码器后登录证书服务网站在线申请 证书，获得证书后导入实体鉴别密码器。 , 所谓离线受理，指的是用户到证书审核注册中心注册后，由证书审核注 册中心代为申请证书，获得证书后导入实体鉴别密码器，再将实体鉴别 密码器发放给用户。 1.3.1.8.2 证书审核注册中心的业务受理范围是各种数字证书业务，包括：用户信息 注册、用户证书申请、用户证书注销、证书暂停使用、证书恢复使用、证书更 新等。 , 用户信息注册：用户到证书审核注册中心登记注册，填写注册表，交给 受理员录入。 , 用户证书申请：一种方式是用户注册后，得到实体鉴别密码器。通过 Internet上的任何一台计算机登录证书服务网站，进行相关证书的申 请。发出申请证书请求之前，在实体鉴别密码器中生成签名密钥对，向 证书认证中心传送签名公钥；第二种方式是用户注册后，由证书审核注 册中心审核，通过后向自证书认证中心发出证书申请请求。此时由证书 审核注册中心随机拿出一个实体鉴别密码器，在实体鉴别密码器中生成 签名密钥对，向证书认证中心传送签名公钥。 , 用户证书注销和暂停：当用户丢失了与证书给定的公钥配对的私钥，或 者私钥被窃或失漏，亦或已有这种可能性时，用户可申请证书注销。在 得到用户确认后，证书认证中心注销该证书，使用户及其涉及到的各方 得到撤消信息；用户证书暂停与证书注销相似，它只是在某个确定的时 间内暂停证书的使用。一旦该时间结束，证书自动恢复或者废弃。当无 法确认证书注销请求方身份时，先暂停该证书的使用。证书暂停使用、 注销请求是一个双向互动请求，用户可以主动提出证书暂停使用和注销 申请，也可根据用户使用证书的情况，由证书审核注册中心或自然人电 子身份认证中心暂停或注销该数字证书。 , 用户证书更新：证书有一定的生命期限，在证书过期之前，则必须更换 证书及密钥对。另外，随着计算速度的日益提高，密钥长度也必须相应 地增长，而密钥对也需要更换。 1.3.1.8.3 受理活动应实现用户注册，缴纳注册费用、设备费用，申请新证书，申请 注销、暂停、恢复、更新证书的功能，并接受用户咨询。 , 用户可在证书审核注册中心提交卡片注册，也可通过传真、Internet 提交表单注册，或通过口头对话注册（包含电话受理）。 , 对申请新证书以及申请注销、暂停、恢复、更新证书，可通过 Internet、传真、或在受理点受理的方式实现，以Internet受理方式 为主。 , 提供初次注册的录入界面，支持单个录入和批量录入。 , 提供注册信息的修改功能。 , 为用户完整的注册生成注册编号。 , 提供单个用户的业务受理。支持大用户的批量受理。 , 用户处于不得申请业务的时间内（如欠费、信誉度不好）提出业务申请 时，要求给予提示。 , 按照资费标准和优惠规定，自动计算用户应缴费用。 , 用户必须离线获取实体鉴别密码器。 , 对非授权机构如证书审核受理点提交的注册必须在领取实体鉴别密码器 之前提供有效证件。 , 允许用户在受理业务完成之前撤消所申请的业务。对已缴纳的费用作退 费处理。 , 证书注销应标明注销原因。注销原因可以是用户申请、用户欠费、证书 到期、或证书更新后旧证书注销。 , 用户通过实体鉴别密码器进行业务受理时，应输入实体鉴别密码器标识 码，若输入标识码不正确，可以重新输入，输入三次仍不正确，自动中 止受理活动。 , 签名密钥对应在实体鉴别密码器中生成，签名公钥上传给证书认证中 心。 , 用户申请暂停使用证书时，应输入暂停使用开始时间，暂停使用期限。 , 在暂停使用证书期限内，用户可以申请恢复使用证书。 , 在暂停期限到达后，证书自动恢复或者注销。 , 在用户申请注销、暂停使用、恢复使用证书后，用户都应获得成功或失 败的通知。 , 证书被注销后，用户想再使用证书服务，需重新进行证书申请。 , 用户没有按时缴纳服务费，证书认证中心将语音通知用户或传真给用 户，要求缴纳所欠费用，并告知一定期限后该证书将被暂停使用。 , 若规定期限内用户缴纳所欠服务费，则用户可以正常使用数字证书。 , 若超过规定期限未缴纳所欠费用，证书认证中心自动暂停该用户的数字 证书使用。 , 在证书被证书认证中心暂停使用期间，用户按规定缴纳了所欠费用后， 自动恢复证书的使用，无须申请。 , 若证书被证书认证中心暂停使用一定期限后，证书认证中心将自动注销 该数字证书。 , 在证书过期之前，用户可以更换证书及密钥对。更换证书后，证书认证 中心自动注销旧证书，新证书由用户导入实体鉴别密码器中。 , 用户可以查询受理信息及证书使用状态。 1.3.1.8.4 审核用户注册信息、证书信息、费用信息。审核不通过时，自动给用户反 馈不成功消息。进行审核的功能是人工与自动相结合的，若是自动的，则采用 的是实时触发机制。对每次审核记录日志，提供工作量统计，处理跟踪分析， 处理异常情况分析。 对审核通过后的业务申请，可以采用人工派发，也可以自动实现派发。对 每次派发记录日志。 1.3.1.8.5 把用户填写的基本信息存储在证书审核注册中心的数据库中，作为原始档 案。记录用户的业务受理信息，并进行跟踪、监控。 1.3.1.8.6 证书审核注册中心有两种不同的用户审核注册模式，一种是用户提供能充 分证明其身份的有效证书、资料等，证书审核注册中心对用户进行物理审核， 并根据用户资料及填表录入计算机中。 另一种模式是在某系统中已有用户基本资料，其真实性已得到验证，不必 对用户信息资料一一重新录入。 1.3.1.8.7 证书审核注册中心对用户提供目录服务功能，该目录是证书认证中心目录 服务的子目录，证书认证中心目录是证书审核注册中心目录的父目录，证书认 证中心目录定时刷新证书审核注册中心目录。 1.3.1.8.8 证书审核注册中心为数字证书的应用提供查询功能。在证书目录服务基础 上，基于OCSP协议对中心发布的证书库及证书撤消列表进行证书状态实时查 询，判断其有效性。 1.3.2 密钥管理系统 1.3.2.1 密钥管理体系主要提供与证书相应的密钥管理服务，密钥管理中心是密钥 管理体系的核心部件。密钥管理中心是指应CA中心请求代用户产生加密密钥对，并对解密私钥进行托管，同时提供用户在线密钥恢复和授权机关获取用户 解密私钥的服务机构。密钥管理中心的基本功能如下：接受用户委托，为用户 生成加密密钥对；统一托管用户的解密私钥，为用户提供解密私钥的恢复服 务；接受国家获授权机构的监督和委托，为获授权机构提供用户解密私钥的查 询和索取功能。 1.3.2.2 密钥管理中心是公开密钥基础设施中负责生成和托管所有用户实体加密密 钥对的机构。密钥管理中心的基本功能如下： , 接受用户委托，为用户生成加密密钥对； , 统一托管用户的解密私钥，为用户提供解密私钥的恢复服务； , 接受获授权的国家机关的委托，为获授权的国家机关提供用户的解密私 钥的查询和恢复功能； 1.3.2.3 在公开密钥基础设施中，当用户实体使用双密钥对证书时，其所持有数字 证书的加密密钥对是委托密钥管理中心生成，并且其中的解密私钥统一在密钥 管理中心集中托管。 密钥管理中心同时为用户实体提供解密私钥的恢复服务。用户实体委托密 钥管理中心生成加密密钥对和申请解密私钥恢复服务通过CA认证中心进行。 1.3.2.4 密钥管理中心所保存的托管密钥是属于高度机密和重要的数据资源。任何 对托管密钥数据的访问必须有严格的控制。只允许接受用户委托的认证机构和 获授权的国家机关（离线）访问相应的托管密钥记录。 密钥管理中心允许用户实体委托认证机构申请密钥管理中心产生加密密钥 对、访问并下载恢复其所拥有的解密私钥。密钥管理中心不接受除认证机构之 外的其它任何实体的访问。 1.3.2.5 密钥管理中心记录认证机构的访问时间、被访问密钥属主信息、要求进行 的操作记录等信息，并保存相应的认证机构签名记录和证据。 密钥管理中心保存获授权的国家机关的有效证件复印件、访问时间、被访 问密钥属主信息、要求进行操作的记录等信息，并保存相应的操作员的密钥操 作签名记录和证据。 1.3.2.6 , 密钥对的产生 密钥管理中心最重要的职能就是为用户产生加密密钥对并提供解密私钥的 托管服务，加密密钥对的产生是在独立的设备中产生。 , 密钥分发 这里的密钥分发是指用户在申请证书时加密密钥从密钥管理中心到用户的 密钥分发机制。密钥管理中心在将所产生的加密密钥对分发给认证机构过程 中，对所分发的密钥材料进行签名和加密，以确保密钥来源的可鉴别性、完整 性、不可抵赖和机密性。 密钥管理中心在将用户请求产生的解密私钥分发给用户实体和认证机构之 前，将其用用户实体提交的验证签名公钥加密，以保证只有合法的用户实体才 能看到解密私钥。 , 密钥存储 密钥管理中心产生了加密密钥对之后，将其中的解密私钥和相应的用户信 息、证书信息保存在独立的存储设备之中。 用户实体的解密私钥在密钥管理中心存储时，经过加密处理，只有被授权 的操作员才能对密钥作相关操作，以保证这些托管的私钥不会被密钥管理中心 的非授权操作人员进行查看、恢复、复制、删除等非法操作。 , 密钥访问控制 存储于密钥库中的用户托管密钥属于高度机密信息，密钥管理中心可根据 实际需要制定访问策略，对密钥的访问操作进行控制。 访问控制与策略主要是针对密钥管理中心内部的密钥操作而定的，对于用 户的密钥恢复请求采用在线方式，默认所有用户有通过认证中心、密钥管理中 心恢复其自身解密私钥的权限，密钥管理中心不做人为的控制。 , 密钥恢复 证书用户的密钥恢复：用户实体在申请恢复服务时，首先向认证机构提出 密钥恢复申请，证书认证中心收到用户实体的密钥恢复申请后，将用户实体的 密钥恢复请求转发给密钥管理中心的用户密钥管理模块。 获授权机构的密钥恢复请求：获授权机构的密钥恢复以离线方式，在密钥 管理中心进行。密钥管理中心允许获授权的国家机关到密钥管理中心获取特定 用户托管密钥，密钥的具体操作由密钥管理中心的相关操作员进行，在恢复信 息后获授权的国家机关不带走或拷贝用户托管理密钥，用户托管理密钥不出密 钥管理中心。 密钥操作必须由两个以上操作员同时进行操作员身份验证后才能进行。 1.3.2.7 , 证据的类型 在密钥管理中心的证据管理中要保存的证据有两种类型： 原发抗抵赖证据(NROT) 交付抗抵赖证据(NRDT) , 证据产生 由于密钥管理中心是代用户产生加密密钥对以及允许用户通过认证机构向 其申请的解密私钥的恢复。所以密钥管理中心要保存认证机构发来的原发抗抵 赖证据NROT，表明认证机构确实向密钥管理中心发了产生加密密钥对和密钥 恢复请求。当密钥管理中心返回加密密钥对和密钥恢复请求处理结果后，密钥 管理中心要保存认证机构发回的交付抗抵赖证据NRDT，表明认证机构承认收到密钥管理中心返回的加密密钥对和密钥恢复请求处理结果，并认可密钥管理 中心所发的消息。 , 证据存储 密钥管理中心将接收到的认证机构发来的NROT、NRDT保存在证据库 中。 存储于证据库中的密钥访问证据属于机密信息，密钥管理中心可根据实际 需要制定访问策略，对证据的访问操作进行控制。 证据的访问控制主要是密钥管理中心决定某操作员有权访问证据库，并对 证据进行导出等操作。授权操作在操作员授权时完成。 , 证据查询和索取 在审计、纠纷或其它需要查看证据的情况下，可由密钥管理中心操作员从 证据库中查询、导出证据，证据的查看请求可以由外部有关实体或密钥管理中 心本身发出，对证据的查看要严格控制，并日志。 1.3.2.8 内部证书管理主要是对密钥管理中心内部证书包括与认证机构进行数据通 讯的通讯证书以及操作员的密钥证书的管理。内部证书管理包括密钥对产生、 密钥证书生成、密钥分发、密钥存储、密钥安装、密钥生存期、密钥撤消与销 毁功能。 1.3.2.9 , 日志管理 日志管理主要是对操作员的所有操作活动以及与认证机构的交互活动的时 间、事件等信息进行日志记录。 日志管理的功能包括：日志参数设置、日志查询、日志备份。 , 操作员管理 对不同的操作员根据业务需要，可设置不同的操作权限，还允许根据实际 需要修改操作员的权限。当某一操作员被撤职或是离职时，应注销该操作员， 停止操作员的所有操作动作。 操作员在密钥管理系统中的所有操作都是采用基于证书的身份认证，操作 员登录系统时都采用证书认证。 操作员的的权限主要是控制操作员对所托管密钥的访问,在为获授权的国家机关进行现场的密钥恢复时,必须要有多个授权操作员同时在场才能进行操作. 所以在设置能进行密钥恢复操作员时,应同时绑定多个有该操作权限的操作员。 1.3.2.10 证书用户使用双密钥对证书，其所持有数字证书的加密密钥对可委托密钥 管理中心生成，其中的解密私钥可统一在密钥管理中心集中托管。密钥管理中 心同时为用户实体提供解密私钥的恢复服务。 用户实体能够委托密钥管理中心生成加密密钥对和申请解密私钥恢复服务 可以通过CA进行。 1.3.3 授权服务体系 1.3.3.1 授权管理基础设施PMI是智能化信任与授权服务平台的重要组成部分，它 在公钥基础设施PKI的基础上来保障电子税务安全体系的授权管理。电子税务 安全体系综合业务平台需要解决的是内部工作人员的权限管理问题。 另外，更为重要的是客户在电子税务安全体系平台的访问权限管理问题， 依靠传统的方式不能有效解决问题，这就必须建立一个授权管理体系来对此进 行统一的授权和管理。授权管理基础设施以资源管理为核心，将对资源的访问 控制权统一交由授权机构进行管理，即由资源的所有者来进行访问控制，使电 子税务安全体系与目前的实际情况相符，推进电子税务安全体系业务的顺利发 展。 授权服务体系如下图所示，包括授权管理中心和资源管理中心。 图表 4授权服务体系结构图 1.3.3.2 授权管理中心（AA中心）主要负责向电子税务安全体系系统提供灵活的授 权管理服务，提供用户身份到应用授权的映射功能，可提供与实际业务处理模 式相应的、与具体应用系统开发无关的授权和访问控制机制，并可简化系统的 开发与维护。 授权管理中心主要分为三个业务子系统：业务受理子系统 、证书定单管理子系统、ACRL管理子系统。授权管理中心有以下功能：设备资源管理、用户 关系管理、证书申请及审核、用户证书管理、ACRL管理、授权委派服务。 应用单位建立AA中心，负责本地业务的授权服务，根据具体情况，其下 面可建设若干RM中心。 1.3.3.3 业务受理子系统支持多种受理方式，可完成对属性证书的申请进行受理及 对用户数据进行审核、分类、存储。 , 属性证书定义：属性证书是与主体数字证书相分离的证书。一个主体数 字证书可以与多个属性证书组合。由CA发行的数字证书和由AA发行 的属性证书，将使用不同的私有签名密钥签名。 , 受理方式：受理方式包括：Internet受理、审核注册中心受理、电话/ 传真受理。 , 业务分类：AA授权管理系统的业务受理范围是各种属性证书业务，包 括有：属性证书申请、证书授权申请、属性证书注销、属性证书更新、 授权委托等。 1.3.3.4 各AA授权管理中心能对用户的申请进行审批和授权，并能完成对权限级 别的设置；能制作与颁发属性证书给申请者。 证书定单管理是指用户从业务受理开始到处理完成状态的处理和管理。经 过定单的审核、派发、后台处理、归档处理几个环节。 , 定单审核 证书定单进行审核的功能是自动的、后台的，采用的是实时触发机制；审 核用户注册信息、证书信息。审核不通过时，自动给用户反馈不成功消息；对 每次审核记录日志，提供工作量统计，处理跟踪分析，处理异常情况分析。 , 定单派发 自动实现定单的派发。 对申请属性证书的定单，通过接口自动完成派往授权部门的过程。对于用 户在同一张证书上申请多个不同授权的定单，可通过接口同时并发地派往各个 相应的授权部门进行处理。 每次派发记录日志。 , 证书后台处理 证书生成 证书归档：各AA中心为了更好的管理自己中心生成的属性证书，证书应 该统一安全存储在数据库中，以便以后的证书查询、更新及数据备份。同时已 过证书有效期的证书要作为证书的历史记录管理，以便查询。 证书注销：在证书的有效期内，AA中心用户申请或有关国家机关要求废除证书。 证书更新：AA产生的证书有有效期限。在所有的证书上都有明确的证书生 存期，表明该证书的产生日期与无效日期。AA必须在证书无效之前产生该用户的新证书，一旦旧证书到期，应立刻更换新证书并在数据库中做相应的更改。 , 定单归档 为了更好的管理AA生成的属性证书，证书应该统一安全存储在数据库 中，以便以后的证书查询、更新及数据备份。同时已超过证书有效期的证书要 作为证书的历史记录管理，以便查询。 1.3.3.5 ACRL , ACRL制作 属性证书的作废是通过将属性证书的唯一性序列号列入ACRL（属性证书废除列表）来完成的。因此ACRL即存放管理了所有作废的属性证书的序列号 信息。 通常，系统中由AA负责创建、签发并维护这些及时更新的ACRL，而由应用程序代表用户在验证属性证书时负责检查该证书是否列入ACRL之中。ACRL一般存放在公开目录系统中。 AA授权管理系统的属性证书ACRL框架遵循相关国际标准，即公钥基础 设施X.509证书和PMI的ACRL标准框架，将注销证书记录经过编码加密后 生成ACRL。 , ACRL发布 ACRL库是存放作废属性证书的库。一般而言，可在ACRL(属性证书废止列表)中查询到已作废的属性证书，ACRL发布是通过LDAP目录方式进行存放和发布管理。 , ACRL查询 在进行电子税务安全体系业务活动时，管理机构需验证对方是否有权进入 本机构，属性证书是否过期，对方身份是否认可及其他需要认证的信息验证， 最后要通过查询最新的ACRL库，验证用户的属性证书是否合法、有效。仅将 ACRL公布在公开目录中还不能防止证书欺诈的，因此,应用验证支持实时访问ACRL并检查ACRL以确保证书的有效性。 1.3.3.6 资源管理中心是授权管理基础设施PMI的用户代理节点，是与具体应用用 户的接口，是对应AA中心的附属机构，接受AA中心的直接管理，由AA中心负责建设，并报经主管的SOA中心同意并签发相应的证书。 资源管理中心的职责主要包括应用授权服务代理和应用特权审核代理等， 负责对具体的用户应用资源进行授权审核，并将属性证书的操作请求提交到授 权服务中心进行处理。 1.3.4 安全体系系统信任与授权服务平台 1.3.4.1 信任与授权服务平台是CA体系的建设重点之一，信任与授权服务平台按 照统一平台的思想设计，它包括四大系统：应用服务系统、信任与授权服务系 统、资源管理系统和运行维护系统。 信任与授权服务平台中WEB及应用服务系统主要面向用户提供各类具体的Web服务；目录服务系统主要为用户提供相应的目录服务功能，包括信任 服务体系所发布的信息以及相关各业务应用系统所发布的业务信息；数据库服 务系统主要提供整个电子税务安全体系系统内统一的数据管理功能，实际上它 还包含了数据交换中心的职能；可信时间戳服务系统提供时间发布、精确对 时、时间戳生成、时间戳分发、时间戳验证等服务；信任服务系统主要提供证 书服务，用以证明用户身份；授权服务系统主要面向用户提供授权服务，证明 用户拥有什么权限；运行维护系统主要提供对统一的电子税务安全体系综合业 务平台的运行维护，包括业务应用系统的业务逻辑、门户网站系统的表示逻辑 以及门户端的存储数据的运行维护；网络安全支撑系统主要提供整个电子税务 安全体系系统的安全相关子系统的安全策略管理和安全运行管理。 1.3.4.2 在该系统结构中，主要采用Web服务器-应用服务器-数据库服务器的三层 计算结构，应用服务系统节点主要提供了门户Web系统子系统和应用服务子系统两个部分。 门户Web系统子系统负责同时向社会公众和内部用户提供服务，应用服 务子系统提供与核心交换平台的接口以便访问内部的数据资源，同时方便运行 维护系统对业务应用系统的维护操作。 1.3.4.3 Web 门户Web系统子系统通过数据流加解密、信息完整性验证、身份鉴别、 信息监管，提供Web服务负载均衡服务，和网页信息安全发布功能，保证 WEB资源及服务的安全。门户WEB系统子系统是外部用户与电子税务安全体 系系统之间进行数据交换的唯一途径。门户WEB系统子系统采取必要的安全 措施，以保护系统运行的安全性。用户的输入信息通过门户WEB系统子系统上传给电子税务安全体系系统。 Web服务子系统包括构建在信任服务基础平台之上，由多个功能服务单元 结合而成。 在具体的功能实现上， WEB服务单元通过安全可信的接入系统，直接面向互联网，提供WEB服务，基于PKI技术对外提供可信的信息发布及访问控制； 签名服务单元在信任服务基础平台的支持下，通过信任服务基础平台的安 全服务引擎实现WEB服务中所需的签名及加解密功能； 监控服务单元采用安全监测控制器和探测器两级的分布式结构，探测器配 置在平台的敏感部位进行系统运行信息的采集，而安全监测控制器则对所收集 到的信息进行分析处理，判断整个系统是否遭到入侵攻击； 可信日志服务单元通过安全服务引擎对门户WEB服务系统内部的操作日志及运行状态日志进行记录、查询、备份、参数设置等管理服务； 信任服务基础平台的系统状态管理单元、基础平台状态管理单元通过安全 服务引擎对系统内各服务单元及功能模块实现状态监控及维护管理。 根据用户对系统的访问量大小和系统的运行状态，可动态添加各服务单元 的数量，通过安全服务引擎实现数据流量的并行处理及负载均衡，以适应WEB信息发布量的扩展。 1.3.4.4 业务应用服务子系统基于多层构架的计算平台，提供到底层基础安全平台 的无缝接口，可提供服务容量的动态扩展能力。 业务应用服务子系统包括构建在信任服务基础平台之上，由多个功能服务 单元结合而成。 在具体的功能实现上， 应用服务单元通过安全服务引擎，对数据管理存储处理单元、签名服务单 元、WEB服务单元以及目录服务单元进行业务调度； 签名服务单元在信任服务基础平台的支持下，通过信任服务基础平台的安 全服务引擎实现WEB服务中所需的签名及加解密功能； 监控服务单元采用安全监测控制器和探测器两级的分布式结构，探测器配 置在平台的敏感部位进行系统运行信息的采集，而安全监测控制器则对所收集 到的信息进行分析处理，判断整个系统是否遭到入侵攻击； 可信日志服务单元通过安全服务引擎对门户WEB服务系统内部的操作日志及运行状态日志进行记录、查询、备份、参数设置等管理服务； 信任服务基础平台的系统状态管理单元、基础平台状态管理单元通过安全 服务引擎对系统内各服务单元及功能模块实现状态监控及维护管理。 根据用户对系统的访问量大小和系统的运行状态，可动态添加各服务单元 的数量，通过安全服务引擎实现数据流量的并行处理及负载均衡，以适应业务 处理信息量的扩展。 1.3.4.5 目录服务子系统提供PKI/PMI的目录发布功能，和证书状态查询功能，同 时目录信息根据策略更新。 目录服务通过LDAP服务单元（PKC/AC）实现其功能,LDAP服务单元（PKC/AC）基于LDAP协议，在PKI/PMI服务系统的支持下实现电子税务安 全体系用户的公钥证书及属性证书的目录服务，方便两种证书的在线查询及状 态验证。 1.3.4.6 可信时间戳服务子系统由国家授时中心提供定时基准，提供可信时间戳服 务，并可存储时间戳证据。 可信时间戳服务通过时间戳服务单元实现其功能，时间戳服务单元保证事 务处理数据在某一时间(之前)的存在性，为实现事务处理的抗抵赖性提供基 础。它通过对证书或数据加上时间标记，连同数字签名技术来确保时间标记的 完整性和真实性，从而建立证据显示证书或数据的存在和有效性。 1.3.4.7 证书审核注册（RA）中心是信任服务体系的重要节点，是由CA中心授权运作。由于证书认证系统、密钥管理系统的技术以及管理较为复杂，因此在电 子税务安全体系的实施中，不在系统中建设证书认证系统、密钥管理系统，而 采用第三方CA中心和KM中心，本地建RA中心、AA中心、RM中心的方式。 信任与授权服务系统分为信任服务子系统和授权服务子系统。 信任服务子系统提供自然人、设备、机构信任服务体系的业务受理审核， 和信任服务体系目录服务的发布代理，以及证书状态的在线查询功能，并提供 到自然人、设备、机构CA的可信通道。 授权服务子系统提供属性证书的发放和管理机制，提供属性证书目录的发 布，和证书状态的在线查询服务，并提供到自然人、机构信任服务体系的关 联。 1.3.4.8 信任与授权服务系统包括构建在信任服务基础平台之上，由多个功能服务 单元结合而成。 在具体功能实现上， , PKI/PMI服务系统在前端采用WEB方式，以人性化界面方便操作人员 的直观操作管理，同时有利于各系统间的相互调度与协调； , PKC LDAP服务单元基于LDAP协议，面向WEB服务系统提供公钥 证书及证书撤消列表的目录服务支持，采用PKI网关实现CA中心证书 库及证书撤消列表的远程镜像，通过信任服务基础平台同步CA中心证 书库和证书撤消列表的发布并保持一致； , PKC OCSP服务单元基于OCSP协议并结合LDAP协议，通过信任服 务基础平台的安全服务引擎，与PKC LDAP服务单元相结合提供证书 库及证书撤消列表实时在线查询功能的服务支持，同时提供对查询服务 处理模块的管理和任务调度功能，确保查询服务的响应速度； , AA业务服务单元基于属性证书提供授权服务、委托服务以及对角色信 息的管理服务等。同时通过信任服务基础平台对数据库服务单元、签名 服务单元以及资源管理服务系统进行业务调度，为整个电子税务安全体 系系统提供基于PMI的资源授权访问服务管理； , 数据库服务单元通过安全数据库软件为系统提供了的用户基本信息、用 户公钥证书信息、操作员信息、操作策略、操作日志等数据存储管理服 务。通过挂接大容量、高性能的海量存储设备，为信任与授权服务支撑 平台所产生的所有PKI数据信息进行存储管理，并且根据系统业务量 的增加扩展，存储设备及磁盘阵列数可相应动态添加； , 签名服务单元在信任服务基础平台的支持下，通过信任服务基础平台的 安全服务引擎实现签名及加解密功能； , 监控服务单元采用安全监测控制器和探测器两级的分布式结构，探测器 配置在平台的敏感部位进行系统运行信息的采集，而安全监测控制器则 对所收集到的信息进行分析处理，判断整个系统是否遭到入侵攻击； , 可信日志服务单元通过安全服务引擎对系统内部的操作日志及运行状态 日志进行记录、查询、备份、参数设置等管理服务； , 信任服务基础平台的系统状态管理单元、基础平台状态管理单元通过安 全服务引擎对系统内各服务单元及功能模块实现状态监控及维护管理。 1.3.4.9 资源管理系统分为资源管理子系统和信任域管理子系统。 资源管理子系统具有本地资源的授权管理功能，提供到信任与授权服务系 统的可信通道，提供资源管理审核的业务流程支持。 信任域管理子系统具有本地系统的网络信任域综合管理功能，提供本地系 统的网络信任域运行监控功能。 资源管理子系统包括构建在信任服务基础平台之上，由多个功能服务单元 结合而成。 资源管理是授权管理基础设施PMI的核心。资源管理子系统作为授权管理 基础设施PMI的功能系统，在信任与授权服务支撑平台中提供了对电子税务安 全体系资源访问控制的权限与策略管理。 在具体功能实现上， , 资源管理子系统在前端采用WEB方式，以人性化界面方便操作人员的 直观操作管理，同时有利于各系统间的相互调度与协调； , 资源管理服务单元为系统中相应的资源制定访问控制策略，根据用户的 属性证书制定对资源的访问决策及操作权限等。同时通过信任服务基础 平台对数据库服务单元、签名服务单元以及PKI/PMI服务系统进行资 源管理与授权服务，为整个电信系统提供基于PMI的资源授权管理服 务； , 数据库服务单元通过安全数据库软件为系统提供了的用户基本信息、用 户属性证书信息、操作员信息、操作策略、操作日志等数据存储管理服 务。通过挂接大容量、高性能的海量存储设备，为信任与授权服务支撑 平台所产生的所有PKI数据信息进行存储管理，并且根据系统业务量 的增加扩展，存储设备及磁盘阵列数可相应动态添加； , 签名服务单元在信任服务基础平台的支持下，通过信任服务基础平台的 安全服务引擎实现签名及加解密功能； , 监控服务单元采用安全监测控制器和探测器两级的分布式结构，探测器 配置在平台的敏感部位进行系统运行信息的采集，而安全监测控制器则 对所收集到的信息进行分析处理，判断整个系统是否遭到入侵攻击； , 可信日志服务单元通过安全服务引擎对系统内部的操作日志及运行状态 日志进行记录、查询、备份、参数设置等管理服务； , 信任服务基础平台的系统状态管理单元、基础平台状态管理单元通过安 全服务引擎对系统内各服务单元及功能模块实现状态监控及维护管理。 1.3.4.10 信任域管理子系统通过信任域管理服务单元实现其功能。信任域管理服务 单元主要提供对信任接入设备的配置管理和运行监控两大功能。 负责对信任域内的全部信任接入设备进行配置管理，完成接入设备的地址 （端口）资源的分配和管理工作； 负责通过用户申请、变更、过户等与传统电信号线资源管理模式相近的管 理业务流程来完成信任接入设备的地址资源的分配管理功能，并将全部的配置 信息保存在本地的信任域配置库中，同时通过配置操作接口传送到对应的接入 设备完成配置管理； 负责对信任域内的全部信任接入设备的运行状况进行动态监控，其中的运 行状态数据将由信任域信息采集服务单元进行采集并存放到状态库中，由信任 域管理服务单元通过图形化的用户接口加以显示和处理； 对全部的配置管理操作提供可信日志功能以保留全部的操作痕迹，并提供 多种视图的管理界面以方便管理员的管理操作。 1.3.4.11 运行维护系统主要提供对统一的电子税务安全体系综合业务平台的运行维 护，包括业务应用系统的业务逻辑、门户网站系统的表示逻辑以及门户端的存 储数据的运行维护。 在该系统结构中，主要包括运行维护子系统与安全支撑子系统。 运行维护子系统提供业务功能的可信部署功能，和可信发布审核功能。 安全支撑子系统提供本地系统运行的安全监测、安全审计、病毒防治功 能。 运行维护子系统主要负责对信任与授权服务平台所运行的各类业务应用系 统进行运行维护，其中由各业务系统的开发和维护部门将对各业务系统的修改 提交到运行维护子系统，然后经安全审核之后通过核心交换平台进一步提交到 信任与授权服务平台对应的应用服务器上。 运行维护子系统构建在信任服务基础平台之上。 具体功能实现 , 系统运行维护系统在前端采用WEB方式，以人性化界面方便操作人员 的直观操作管理，同时有利于各系统间的相互调度与协调； , 审计和转发服务单元为系统中相应的资源制定访问控制策略，根据用户 的属性证书制定对资源的访问决策及操作权限等。同时通过信任服务基 础平台对数据库服务单元、签名服务单元以及PKI/PMI服务系统进行 资源管理与授权服务，为整个电信系统提供基于PMI的资源授权管理 服务； , 数据库服务单元通过安全数据库软件为系统提供了的用户基本信息、用 户属性证书信息、操作员信息、操作策略、操作日志等数据存储管理服 务。通过挂接大容量、高性能的海量存储设备，为信任与授权服务支撑 平台所产生的所有PKI数据信息进行存储管理，并且根据系统业务量 的增加扩展，存储设备及磁盘阵列数可相应动态添加； , 签名服务单元在信任服务基础平台的支持下，通过信任服务基础平台的 安全服务引擎实现签名及加解密功能； , 监控服务单元采用安全监测控制器和探测器两级的分布式结构，探测器 配置在平台的敏感部位进行系统运行信息的采集，而安全监测控制器则 对所收集到的信息进行分析处理，判断整个系统是否遭到入侵攻击； , 可信日志服务单元通过安全服务引擎对系统内部的操作日志及运行状态 日志进行记录、查询、备份、参数设置等管理服务； , 信任服务基础平台的系统状态管理单元、基础平台状态管理单元通过安 全服务引擎对系统内各服务单元及功能模块实现状态监控及维护管理。 1.3.4.12 系统主要通过建立合理的安全管理模型，使整个电子税务安全体系系统配 置一致的安全策略；保证网络攻击能够被检测、监控和及时的以适当方式予以 响应；提供实时监控并识别攻击者的路径；提供及时的安全报警；提供准确的 网络安全审计和趋势分析数据，支持安全步骤的 计划 项目进度计划表范例计划下载计划下载计划下载课程教学计划下载 和评估等。 网络安全支撑子系统由4个服务单元实现网络安全支撑功能，可以与运行 维护子系统合并建设。 具体功能： , 入侵检测系统在整个平台网络的敏感部位进行信息的采集，并对所收集 到的信息进行分析检测处理，判断网络是否遭到入侵攻击； , 漏洞扫描系统可定期或不定期的调用网络安全分析、操作系统安全性分 析软件对整个平台内部系统进行安全扫描，及时发现网络新的安全漏洞 并予以补救； , 病毒防治系统提供整个平台系统范围内病毒的检查和防杀； 安全审计系统可在有策略配置的指导下实时或定时采集平台内各系统产生的系 统数据，并进行安全有效的转换和整合，以满足系统管理员的安全数据挖掘需 求。