统一身份认证系统技术方案 - 图文(6)

智慧海事一期统一身份认证系统技术方案

的证书服务系统；用户服务系统是证书用户通过海事局内网进行自助服务的系统。证书/证书状态查询系统包括从LDAP目录服务系统和OCSP服务系统。

终端包括受理点管理终端和用户终端，支持PC机+USBKey。 数字证书认证系统软件构架设计如下图所示：

2.2.3 软件功能清单

身份认证系统采用B/S架构，所有管理工作通过浏览器完成。系统主要功能如下表所示：

系统模块 系统主要功能说明 完成证书生命周期管理服务，包括：签发用户证书、更新证书、重签发证书、冻结、解冻、吊销证书签发CRL、发布证CA签发系统书和CRL等等。 （CSS） 与KM、RA、等模块进行安全通信，进行证书业务调度，实现整个身份认证系统业务、权限以及策略管理、查询统计、安全审计；实现用户证书生命周期管理。 密钥管理系统用户加密密钥生产、密钥分发、密钥归档、密钥更新、密钥25

智慧海事一期统一身份认证系统技术方案

（KMC） 撤销、密钥备份与恢复、安全审计等密钥生命周期管理服务。 证书注册系统用户信息注册管理、RA业务策略管理、配置管理、安全审计（RA） 证书在线查询系统（OCSP）

等等。 提供用户证书状态在线查询服务。 2.2.4 技术标准

(1) 数字证书认证系统遵循的标准

? 《证书认证系统密码及其相关安全技术规范》 ? 《数字证书认证系统密码协议规范》 ? 《数字证书认证系统检测规范》 ? 《证书认证密钥管理系统检测规范》 ? 《商用密码管理条例》

? 《中华人民共和国计算机信息系统安全保护条例》 (2) 数字证书格式遵循的标准

? GB/T 20518-2006 信息安全技术 公钥基础设施 数字证书格式 ? ITU-T X.509 V3（数字证书） ? ITU-T X.509 V2（CRL） (3) 数字证书应用接口遵循的标准

? 公钥密码基础设施应用技术体系 证书应用综合服务接口规范 ? 公钥密码基础设施应用技术体系 框架规范

? 公钥密码基础设施应用技术体系 密码设备应用接口规范 ? 公钥密码基础设施应用技术体系 通用密码服务接口规范 ? 智能IC卡及智能密码钥匙密码应用接口规范 ? CSP规范 ? PKCS#11规范

上述规范为国家密码局关于数字证书应用体系的最新技术标准。BJCA作为国家密码基础设施成员单位，是最先遵循国家最新技术标准规范的PKI厂商。

26

智慧海事一期统一身份认证系统技术方案

(4) 支持的密码算法

? 公钥密码算法：RSA、SM2。其中RSA密钥长度1024/2048/4096比特可选。

SM2支持256比特；

? 哈希函数算法：支持SHA1、SHA256、SM3； ? 对称密码算法：SSF33、SM1/SM4等。 (5) LDAP目录协议

? 支持轻量型目录协议第三版 (LDAPv3),具体如下： ? RFC 2251：轻型目录服务访问协议 ? RFC 2252：属性语法定义

? RFC 2253：分辨名的UTF-8字符串表示 ? RFC 2254：查询过滤器的字符串表示 ? RFC 2255：LDAP URL格式 ? RFC 2256：X.500用户Schema汇总 ? RFC 2829：LDAP认证方法

? RFC 2830：传输层安全（TLS）扩展

? OCSP协议：RFC2560 27

智慧海事一期统一身份认证系统技术方案

3. 数字证书运行服务方案

3.1 运行服务体系

海事局CA中心的建设目标是面向全国范围内10万规模的用户群提供CA认证服务，不仅仅需要建设一个CA系统，而且需要建设一个完善的服务体系。

海事局CA运行服务体系将以数字证书服务平台为技术手段，为局领导、管理人员和用户提供方便、快捷、高效的数字证书全生命周期服务。辅以数字证书服务方案以及CA基础设施的运维方案，结合电子认证服务体系培训，保障CA基础设施的正常运转。主要建设内容包括：

(1) 建立海事局数字证书服务平台，为全国用户提供方便、快捷、高效的数字证书全

生命周期服务；

(2) 设计数字证书服务方案，包括服务交付和服务支持等方面； (3) 设计CA基础设施的运维方案，保障CA基础设施的正常运转； (4) 开展电子认证服务体系的培训，确保电子认证服务体系的应用效果。

28

智慧海事一期统一身份认证系统技术方案

3.2 证书服务方案

全部局证书服务人员按三级体系，即部局、直属局、分局及海事处。直属局的证书服务人员只负责机关人员的证书全生命周期管理，分局或海事处工作人员的证书全生命周期管理由分局或海事处的证书服务人员负责。证书服务人员的证书及介质由部局统一采购并配发。

3.2.1 证书服务方案概述

证书服务方案包括服务交付和服务支持两部分，其中：

? 服务交付方案将针对面对证书用户提供的证书生命周期服务和面对系统管理员

提供的证书业务查询统计服务作出详细阐述；

? 服务支持方案将明确阐述面向证书用户和受理点管理员的服务支持方式和支持

29