基于PKI應用安全支撐平臺快速加固商網應用

PKI應用安全支撐平臺將以簡化應用的開發改造、統一應用的安全規范、集中應用的安全管理、提高應用的安全保障為目標，為核電公司各種網絡應用系統提供全面的安全支撐服務。應用安全支撐平臺旨在快捷、集中、完整、規范、高效的協助應用系統實現應用安全要求。

【關鍵詞】PKI/CA 數據加密 數字簽名

業務應用是信息化建設中的重要組成部分，應用安全是信息系統安全的核心。由于信息安全要求的嚴格性、復雜性、以及規范標準不統一等原因，從而增加了應用系統建設與管理維護的難度，而且安全加固的程度也難以保證，自然也影響了單位應用系統建設的積極性。從系統建設的目標而言，CA數字證書的安全應用是否能夠滿足業務應用系統的實際安全需求是評價身份認證系統建設成功與否的關鍵，脫離應用實際需求的身份認證系統是一個不健全的系統。因此，CA身份認證系統在建設的同時，必須充分考慮系統建成后，如何利用數字證書為核電各類應用系統提供安全認證服務。

1 安全需求分析

基于以上原因，本次CA身份認證系統的建設以滿足業務應用安全需求為出發點，實現如下的安全功能服務：

（1）統一身份標識：基于PKI/CA系統能夠為網絡中硬件設備以及信息系統內的各種人員簽發可信的證書，從而保障人員身份信息以及設備身份信息可信問題。

（2）統一身份管理：可以結合賬戶管理服務創建統一的賬戶管理機制和平臺，面向不同的應用系統和用戶，提供統一的、一致的身份管理和身份認證服務。

（3）統一的安全認證：基于數字證書的統一身份認證。只有通過身份認證后，用戶才能根據自身權限，實現對業務系統的訪問。

（4）高強度訪問控制：采用數字證書、密鑰等的安全認證方式，可提高訪問控制安全強度。

（5）集中授權和審計：跨系統、跨區域、跨組織的用戶無法有效進行集中的授權管理和審計分析，

（6）責任認定：系統需要為業務系統提供統一的責任認定服務。

（7）數據保全服務：需要對業務系統涉及的重要數據提供數字信封、數字簽名服務，使得任何非法的數據修改過程能夠被及時發現；

（8）采用SSL技術保護隧道傳輸安全，避免數據傳輸過程中被竊取、盜用或篡改。

（9）單點登錄：一KEY登陸，全網暢游。

2 體系框架設計

以數字證書為基本認證要素，以密碼技術為核心，構造可以滿足全面防護的、綜合性、完善的、可操作實施的安全保障體系。核心組件是：以服務總線為基礎，以集中管理為核心，以統一規范為標準，以安全環境為依托，從多個層面為信息系統提供安全服務支撐。該體系的提出是為了應用提供安全的支撐服務，采用集中統一管理各項安全子系統，各項安全策略，對人、設備以及業務資源進行統一注冊、標識，授權及安全事件分析，最終形成完整的管理體系，同時為平臺提供認證、授權、監控、審計、實施訪問控制策略等服務。

（1）安全環境：提供基于密碼技術的基礎服務，為應用系統及安全服務提供可靠的安全支持環境；

（2）安全服務：在安全環境的支持下，通過統一管理，集中調用，形成對應用的安全支撐；

（3）安全應用：以密碼技術為基礎，實現安全可靠的應用系統，與現有業務系統形成有效互補；

3 功能模塊設計

3.1 身份鑒別及訪問控制子系統

基于數字證書，結合數字信封技術，通過應用系統與電子認證基礎設施的交互，完成登錄行為的強身份認證，同時根據認證結果核對該用戶的可信訪問權限，完成對訪問客體準入的鑒權控制。

3.2 安全傳輸子系統

利用密碼算法特性，采用加解密技術，對網絡傳輸信道進行安全加密，確保數據在傳輸過程中的安全，同時規范調用方式及接口，解決接口差異化現象，并實現全程安全處理的透明化。

3.3 安全存儲子系統

基于PKI/CA加密技術，結合用戶已有的文件服務器或NAS設備即可組成完整的安全存儲系統。客戶端完成文件加密，解密等運算。服務器負責控制，調度。客戶端和服務器通訊的網絡中，文件也是加密傳輸，加密存放。

3.4 密碼服務子系統

通過對服務接口的封裝及轉換，消除密碼接口的差異性，屏蔽運算的復雜性，提供標準化服務，服務內容包括：數字信封、數據加解密等。

3.5 電子標簽子系統

以密碼技術為主，對網絡資源，如安全服務、安全設備、調用接口等安全實體進行標識，以確定其真實及合法性，通過安全標簽服務，提供業務層調用安全服務的唯一標示及可信憑證。

3.6 目錄服務子系統

以安全手段對目錄服務進行提升，定義格式、存儲、命名等標準，并對業務層及安全層系統提供統一的下載同步接口，規范目錄服務的使用，體現目錄服務權威性和嚴密性，并且通過對訪問主體實行身份鑒別及訪問控制等手段，確保目錄服務的安全性。

3.7 責任認定子系統

以數字簽名為基礎，基于數字證書來實現對相關數據操作過程行為的簽名及驗證，保障業務系統中數據的完整性，實現業務流程處理環節的抗抵賴及司法取證。

4 接口規范設計

4.1 服務調用接入規范

定義客戶終端調用服務的接口框架及調用流程，指導安全客戶端接入終端服務組件。

4.2 應用接入規范

定義應用系統統一服務接口規范，實現應用系統接入的統一性。

4.3 系統接入規范

定義接入安全系統統一服務接口規范，實現所有系統接入的統一管理、審計。

5 建設效果預測

（1）符合國家政策要求：快速應對應等級保護、分級保護的相關技術要求點。

（2）滿足業務安全需求：快速應對應用系統對業務安全方面的訴求。

（3）提高應用系統及操作人員的工作效率。

（4）降低系統運維管理成本：協助運維人員能更直觀的掌握系統的運行情況、更輕松的管理網絡資源，從而減少運維管理成本。

（5）提供管理決策支持：應用安全支撐平臺從管理者視角，以網絡體系責任人的高度，對系統信息進行采集、匯總、整理、分析，化簡為珍，提供符合決策支持的參考信息。

參考文獻

[1]尹曉暉.PKI技術在應用系統中的應用[J].信息安全與通信保密，2008（03）：41-43.

[2]宋福英.基于PKI/CA的OA系統安全設計[J].甘肅科技，2015，31（5）.

[3]王麗華.PKI體系在電子政務中的應用[J].科技經濟市場，2015（11）：194-195.

[4]王雪玉.身份認證新技術 密碼自己掌握[J].金融科技時代，2016（2）.

[5]彭濤，何鳴強.PKI應用改造的探索[J].電腦編程技巧與維護，2016（1）.

[6]龐松濤.基于公鑰密碼體制的網絡認證技術[J].電信科學，2016，32（2）.

作者簡介

馬文博（1981-），男。現為中國核能電力股份有限公司工程師。研究方向為信息安全。

作者單位

中國核能電力股份有限公司 北京市 100045