统一身份认证系统技术方案 - 图文(7)

智慧海事一期统一身份认证系统技术方案

内容。

3.2.2 服务交付方案

3.2.2.1 服务交付内容

CA服务交付是指将证书及相关服务交付给用户。作为应用安全保障体系基础设施，建设一个安全、方便、快捷的CA服务交付体系，是十分重要的。

CA服务交付的内容包括三个方面： 一、 二、 三、

面对最终用户提供的证书生命周期服务 面对业务管理者提供的证书业务查询统计服务 面向应用提供者提供的证书应用集成等服务。

图表 1 CA认证服务交付内容

其中，最重要的是面向证书最终用户的证书生命周期的服务交付，包括证书申请发放、证书吊销、证书更新、证书重签发、密钥恢复、证书介质解锁等等。

30

智慧海事一期统一身份认证系统技术方案

图表 2 证书生命周期服务

3.2.2.2 服务交付模式

证书服务的交付模式，主要包括受理点交付、在线服务交付两种主要模式，以及结合受理点和在线的混合交付模式。

图表 3 证书服务的交付模式

? 受理点交付模式

海事局将在全国各地区分局分批建设数字证书受理点，已建设证书受理点的分支机构，证书服务可采取受理点交付模式。

对于应用系统中已有的用户支持批量制证、发证，对于新注册用户，由用户自己提交用户信息到所在单位信息中心管理人员，通过所在单位信息中心管理员审核信息内容

31

智慧海事一期统一身份认证系统技术方案

的正确性，核实正确后由所在单位管理人员负责制证、交付。

? 在线交付模式

用户除可以通过受理点获取证书全生命周期的服务外，还可以通过登录用户服务系统台获取在线的证书服务。在证书更新、吊销、重签发、介质解锁阶段，通过Web自助获取服务。

3.2.2.3 服务交付流程

? 受理点集中证书申请流程

海事局内部证书采用证书受理点集中证书申请模式。集中申请是指由单位证书管理员集中收集、整理和审查用户证书申请的真实可靠后，通过文件方式将证书申请信息批量传入CA系统，由CA中心集中制作数字证书后发放给证书管理员，再由证书管理员集中将数字证书分发到用户手中。

图表 5 受理点集中证书申请流程

具体流程如下：

32

智慧海事一期统一身份认证系统技术方案

(1) 单位管理员收集用户信息，并鉴证，然后将批量证书申请信息文件上传海事局

CA系统并使用制证员证书对申请进行数字签名； (2) 作为可选，由上级管理部门证书管理员审批证书申请；

(3) 海事局CA中心集中组织生产数字证书并写入USB KEY内，做好用户标识，然后

将USB KEY下发到受理点管理员； (4) 单位管理员将USB KEY分发给用户使用。 ? 证书更新流程

为了用户更新的方便，建议全部采取在线更新方式。

用户在证书即将到期时，应用系统将提前30天提醒用户进行证书更新。用户使用自己当前手中的证书登录用户服务系统，进行更新申请。在获得CA中心后台管理人员的授权后，用户可立即通过网络下载新证书。

图表 6 证书更新流程

证书更新的具体流程如下：

(1) 受理点管理员查询系统即将到期用户名单，提交证书更新申请（也可是系统自动

提交证书更新名单）；

(2) 管理员对更新申请信息进行授权；（可选） (3) 证书用户使用旧证书登录证书用户服务系统；

(4) 系统验证旧证书的有效性后，直接向用户的usbkey内下载新证书，完成更新业

务。 ? 证书撤销流程

当证书丢失或人员岗位变动时，应吊销用户的证书使其不可再用。

33

智慧海事一期统一身份认证系统技术方案

证书吊销的发起人可以是证书管理员，也可以是证书持有者本身。证书管理员可以使用自己的管理员证书，直接向CA提出吊销其管辖范围内的用户证书；证书持有者可以通过提交鉴证材料，证明其证书持有人身份后，提交证书吊销申请，由系统将证书序列号签发到黑名单中。

用户自助吊销：用户登录在线服务平台，选择证书吊销，通过身份鉴证确认后即可吊销登录的证书；

管理员吊销：用户到管理员处申请吊销证书，管理员审核用户身份信息后登录证书服务管理系统，根据用户信息查询对应证书，进行吊销；

? USBKey密码解锁

证书介质USBKey存放证书的私钥，用口令进行保护（称为PIN口令）。为了保护UsbKey拥有者的安全，防止被盗用或攻击的风险，USBKey限制PIN口令出错时的重试次数，当连续使用错误口令重试10次后，Usbkey将自动锁死。这时，用户如果仍想继续使用，需要CA认证中心进行USBKey口令解锁。

USBKey解锁具体流程如下：

(1) USBKey锁死的用户在数字证书服务平台提交解锁申请； (2) 受理点管理员确认用户的证书解锁申请（鉴证）； (3) 总部管理员给予USBKey解锁申请授权；（可选）

(4) 证书用户使用USBKey登录解锁网站，设置新密码，完成USBKey解锁。 ? 密钥恢复

如果证书应用过程中存在使用证书加密的操作，一旦出现证书介质损坏或丢失的情况，加密后的信息便无法进行解密。这时，用户可以提出密钥恢复的申请，由工作人员在证书服务系统中进行密钥恢复的操作。

密钥恢复具体流程如下：

(1) 用户加密证书丢失或损坏后，可申请密钥恢复（填写申请表）； (2) 受理点管理员鉴证用户身份； (3) 受理点管理员提交证书密钥恢复； (4) 总部管理员审批。

(5) 受理点管理员为用户分配新的usbkey,选择密钥恢复，为用户恢复加密密钥和加

密证书；

34