论文部分内容阅读
摘要：PKI的发展虽然存在诸如费用昂贵的问题，但信息化社会对安全性的高要求以及目前尚无新的技术可以取代PKI，使得PKI的发展备受关注。通过对PKI相关技术的介绍。阐述基于Pied密钥管理的OA系统，并展望中国PKI的发展前景。
关键词：PKI；办公自动化系统；密钥管理
中图分类号：TP309.2 文献标识码：A
随着网络技术和信息技术的发展，企业的安全性仍不能得到有效的保障。比如国内电子商务在常规业务中，交易双方现场交易，可以确认购买双方的身份。利用商场开具的发票和客户现场支付商品费用，无须担心发生纠纷和无凭证可依。但通过网上进行电子商务交易时，由于交易双方并不现场交易，因此，无法确认双方的合法身份，同时交易信息是交易双方的商业秘密，在网上传输时必须保证安全性，防止信息被窃取；双方的交易非现场交易，一旦发生纠纷，必须能够提供仲裁。PKI采用证书进行公钥管理，通过第三方的可信任机构(认证中心，即CA)，把用户的公钥和用户的其他标识信息捆绑在一起，其中包括用户名和电子邮件地址等信息，以在Intenret网上验证用户的身份。PKI把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的安全传输。
1 P KI组成
PKI在实际应用上是一套软硬件系统和安全策略的集合，它提供了一整套安全机制，使用户在不知道对方身份或分布地很广的情况下，以证书为基础，通过一系列的信任关系进行通讯和电子商务交易。
一个典型的PKI系统如图1所示，其中包括PKI策略、软硬件系统、证书机构CA、注册机构RA、证书发布系统和PKI应用等。
PKI安全策略建立和定义了一个组织信息安全方面的指导方针，同时也定义了密码系统使用的处理方法和原则。它包括一个组织怎样处理密钥和有价值的信息，根据风险的级别定义安全控制的级别。一般情况下，在PKI中有两种类型的策略：—是证书策略，用于管理证书的使用；另外一个就是CPS(Certificate Practice Statement)。一些由商业证书发放机构(cCA)或者可信的第三方操作的PKI系统需要CPS。
证书机构CA是PKI的信任基础，它管理公钥的整个生命周期，其作用包括：发放证书、规定证书的有效期和通过发布证书废除列表(CRL)确保必要时可以废除证书。
注册机构RA提供用户和CA之间的一个接口，它获取并认证用户的身份，向CA提出证书请求。它主要完成收集用户信息和确认用户身份的功能。这里指的用户，是指将要向认证中心(即CA)申请数字证书的客户，可以是个人，也可以是集团或团体、某政府机构等。注册管理一般由一个独立的注册机构(即RA)来承担。它接受用户的注册申请，审查用户的申请资格，并决定是否同意CA给其签发数字证书。注册机构并不给用户签发证书，而只是对用户进行资格审查。
证书发布系统负责证书的发放，如可以通过用户自己，或是通过目录服务。目录服务器可以是一个组织中现存的。也可以是PKI方案中提供的。
2 PKI密钥管理的基本原理
公钥基础设施，即PKI(Publie Key Infrastructure)是一种遵循标准的利用公钥加密技术为电子商务提供一套安全基础平台的技术和规范。它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。互联网用户可利用PKI平台提供的服务进行安全的电子交易、通信和互联网上的各种活动。
PKI技术采用证书管理公钥，通过第三方的可信任机构——CA认证中心把用户的公钥和用户的其他标识信息捆绑在一起，在互联网上验证用户的身份。目前。通用的办法是采用建立在PKI基础之上的数字证书，通过把要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。PKI是基于公钥算法和技术，为网上通信提供安全服务的基础设施，是创建、颁发、管理、注销公钥证书所涉及到的所有软件、硬件的集合体。其核心元素是数字证书，核心执行者是CA认证机构。
数字证书颁发过程一般为：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。用户就可以使用自己的数字证书进行相关的各种活动。数字证书由独立的证书颁发机构发布，每种证书可提供不同级别的可信度，可以从证书颁发机构获得您自己的数字证书。目前的数字证书类型主要包括：个人数字证书、单位数字证书、服务器SSL证书、互联网设备数字证书、移动WAP证书、代码签名证书等等。
对于服务器SSL证书，在申请服务器数字证书时一定要先在您的服务器上生成CSR文件(Certificate Signing Request证书签名请求文件)，并把服务器挂起等待数字证书的颁发，由于在生成CSR文件时已经在服务器上同时生成自己的密钥对(公钥和私钥)，这是一对相互关联的密钥对，所以不能在没有收到 CA发给您的数字证书之前删除已经挂起的证书请求，否则就等于删除了私钥，到时收到CA发出的数字证书并安装时会出现问题，因为已经找不到匹配的私钥。发出的数字证书就没有用了，只能重新生成CSR和重新颁发证书。
而对于客户端数字证书泡括个人数字证书和单位数字证书)的颁发过程比较简单，只需点击收到的从WoTmst系统发来的证书申请成功的Email中的链接即可，电脑操作系统会生成密钥对(公钥和私钥)，并由WoTmst在公钥签名后自动在您的电脑安装成功(包括IE和OUTLOOK]，同样请一定要备份您的数字证书(包括公钥和私钥)，以便以后重装导人。推荐备份成功导出后选择自动删除您的数字证书，再导入到电脑或USB Key中，导入时不要选择“将私钥标记为可导出的”，以免其他人非法使用您的电脑导出您的证书。
3 应用实例
使用办公自动化系统(以下简称OA系统)进行日常办公，实现了各部门的自动化、无纸化办公，资料信息和办公业务动态信息的共享以及各相关部门之间的信息交换。对于提高办公效率，实现信息共享，提高服务管理水平具有重要作用。但随之也出现了亟需解决的问题：用户登录OA系统时的身份确认问题；使用OA系统处理日常工作的过程中相应所发生的敏感数据的传输必定要在网上进行，这就增加了敏感数据在网上传输时被窃取、篡改的机会，并且网上办公在取代了传统办公同时也增加了工作中抵赖、欺诈行为发生的可能性。这就需要我们对敏感数据进行签名加密，以达到防抵赖、防篡改等功能。为了该系统用户数据的安全传输，以便系统更好的推广，对该系统进行了基于数字证书的安全改造，能实现基于数字证书的用户身份认证，关键数据的加解密、签名，验签等功能。
3.1 系统安全平台
如下图所示：各用户(包括内部办公审批人员、相关领导和系统管理员等)通过已经安装有安全服务中间件的客户端，同时使用数字证书载体进行身份认证，业务系统将用户证书信息传输给安全应用支撑服务器，由安全应用支撑服务器验证用户证书的有效合法性，正确通过的用户再根据系统分配给该用户的权限调出相关的业务办理页面。同时此安全服务平台还可以解决包括信息的机密性、完整性和不可抵赖性等信息安全问题。安全服务平台需建设的项目有安全应用支撑服务系统、安全服务中间件及数字证书载体等。
3.2 PKI安全服务中间件
PKI安全服务中间件是基于PKI公钥基础设施，构建安全应用的开发环境与运行支撑环境，遵循国密办《证书认证系统密码及其相关安全技术规范》，兼容PKCS#11、Windows CSP、JCE等国际信息安全应用标准。PKI安全服务中间件采用中间件技术、以及J2EE、XML、Web Service、CORBA、COM组件等多种先进技术，能够屏蔽底层安全设备的硬件差异和复杂的密码实现逻辑，使用户只需在特定业务逻辑中嵌入所需安全功能，然后再进行简单的部署和配置，即可实现基于PKI的安全应用，可极大程度的降低应用系统的开发成本，提高开发效率。PKI安全服务中间件如图3所示：
4 结束语
随着Internet应用的不断普及和深入，政府部门需要PKI支持管理；商业企业内部、企业与企业之间、区域性服务网络、电子商务网站都需要PKI的技术和解决方案；大企业需要建立自己的PKI平台；小企业需要社会提供的商业性PKI服务。从发展趋势来看，PKI的市场需求非常巨大，基于PKI的应用包括了许多内容，如WWW服务器和浏览器之间的通信、安全的电子邮件、电子数据交换、Internet上的信用卡交易以及VPN等。因此，PKI具有非常广阔的市场应用前景。
关键词：PKI；办公自动化系统；密钥管理
中图分类号：TP309.2 文献标识码：A
随着网络技术和信息技术的发展，企业的安全性仍不能得到有效的保障。比如国内电子商务在常规业务中，交易双方现场交易，可以确认购买双方的身份。利用商场开具的发票和客户现场支付商品费用，无须担心发生纠纷和无凭证可依。但通过网上进行电子商务交易时，由于交易双方并不现场交易，因此，无法确认双方的合法身份，同时交易信息是交易双方的商业秘密，在网上传输时必须保证安全性，防止信息被窃取；双方的交易非现场交易，一旦发生纠纷，必须能够提供仲裁。PKI采用证书进行公钥管理，通过第三方的可信任机构(认证中心，即CA)，把用户的公钥和用户的其他标识信息捆绑在一起，其中包括用户名和电子邮件地址等信息，以在Intenret网上验证用户的身份。PKI把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的安全传输。
1 P KI组成
PKI在实际应用上是一套软硬件系统和安全策略的集合，它提供了一整套安全机制，使用户在不知道对方身份或分布地很广的情况下，以证书为基础，通过一系列的信任关系进行通讯和电子商务交易。
一个典型的PKI系统如图1所示，其中包括PKI策略、软硬件系统、证书机构CA、注册机构RA、证书发布系统和PKI应用等。
PKI安全策略建立和定义了一个组织信息安全方面的指导方针，同时也定义了密码系统使用的处理方法和原则。它包括一个组织怎样处理密钥和有价值的信息，根据风险的级别定义安全控制的级别。一般情况下，在PKI中有两种类型的策略：—是证书策略，用于管理证书的使用；另外一个就是CPS(Certificate Practice Statement)。一些由商业证书发放机构(cCA)或者可信的第三方操作的PKI系统需要CPS。
证书机构CA是PKI的信任基础，它管理公钥的整个生命周期，其作用包括：发放证书、规定证书的有效期和通过发布证书废除列表(CRL)确保必要时可以废除证书。
注册机构RA提供用户和CA之间的一个接口，它获取并认证用户的身份，向CA提出证书请求。它主要完成收集用户信息和确认用户身份的功能。这里指的用户，是指将要向认证中心(即CA)申请数字证书的客户，可以是个人，也可以是集团或团体、某政府机构等。注册管理一般由一个独立的注册机构(即RA)来承担。它接受用户的注册申请，审查用户的申请资格，并决定是否同意CA给其签发数字证书。注册机构并不给用户签发证书，而只是对用户进行资格审查。
证书发布系统负责证书的发放，如可以通过用户自己，或是通过目录服务。目录服务器可以是一个组织中现存的。也可以是PKI方案中提供的。
2 PKI密钥管理的基本原理
公钥基础设施，即PKI(Publie Key Infrastructure)是一种遵循标准的利用公钥加密技术为电子商务提供一套安全基础平台的技术和规范。它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。互联网用户可利用PKI平台提供的服务进行安全的电子交易、通信和互联网上的各种活动。
PKI技术采用证书管理公钥，通过第三方的可信任机构——CA认证中心把用户的公钥和用户的其他标识信息捆绑在一起，在互联网上验证用户的身份。目前。通用的办法是采用建立在PKI基础之上的数字证书，通过把要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。PKI是基于公钥算法和技术，为网上通信提供安全服务的基础设施，是创建、颁发、管理、注销公钥证书所涉及到的所有软件、硬件的集合体。其核心元素是数字证书，核心执行者是CA认证机构。
数字证书颁发过程一般为：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。用户就可以使用自己的数字证书进行相关的各种活动。数字证书由独立的证书颁发机构发布，每种证书可提供不同级别的可信度，可以从证书颁发机构获得您自己的数字证书。目前的数字证书类型主要包括：个人数字证书、单位数字证书、服务器SSL证书、互联网设备数字证书、移动WAP证书、代码签名证书等等。
对于服务器SSL证书，在申请服务器数字证书时一定要先在您的服务器上生成CSR文件(Certificate Signing Request证书签名请求文件)，并把服务器挂起等待数字证书的颁发，由于在生成CSR文件时已经在服务器上同时生成自己的密钥对(公钥和私钥)，这是一对相互关联的密钥对，所以不能在没有收到 CA发给您的数字证书之前删除已经挂起的证书请求，否则就等于删除了私钥，到时收到CA发出的数字证书并安装时会出现问题，因为已经找不到匹配的私钥。发出的数字证书就没有用了，只能重新生成CSR和重新颁发证书。
而对于客户端数字证书泡括个人数字证书和单位数字证书)的颁发过程比较简单，只需点击收到的从WoTmst系统发来的证书申请成功的Email中的链接即可，电脑操作系统会生成密钥对(公钥和私钥)，并由WoTmst在公钥签名后自动在您的电脑安装成功(包括IE和OUTLOOK]，同样请一定要备份您的数字证书(包括公钥和私钥)，以便以后重装导人。推荐备份成功导出后选择自动删除您的数字证书，再导入到电脑或USB Key中，导入时不要选择“将私钥标记为可导出的”，以免其他人非法使用您的电脑导出您的证书。
3 应用实例
使用办公自动化系统(以下简称OA系统)进行日常办公，实现了各部门的自动化、无纸化办公，资料信息和办公业务动态信息的共享以及各相关部门之间的信息交换。对于提高办公效率，实现信息共享，提高服务管理水平具有重要作用。但随之也出现了亟需解决的问题：用户登录OA系统时的身份确认问题；使用OA系统处理日常工作的过程中相应所发生的敏感数据的传输必定要在网上进行，这就增加了敏感数据在网上传输时被窃取、篡改的机会，并且网上办公在取代了传统办公同时也增加了工作中抵赖、欺诈行为发生的可能性。这就需要我们对敏感数据进行签名加密，以达到防抵赖、防篡改等功能。为了该系统用户数据的安全传输，以便系统更好的推广，对该系统进行了基于数字证书的安全改造，能实现基于数字证书的用户身份认证，关键数据的加解密、签名，验签等功能。
3.1 系统安全平台
如下图所示：各用户(包括内部办公审批人员、相关领导和系统管理员等)通过已经安装有安全服务中间件的客户端，同时使用数字证书载体进行身份认证，业务系统将用户证书信息传输给安全应用支撑服务器，由安全应用支撑服务器验证用户证书的有效合法性，正确通过的用户再根据系统分配给该用户的权限调出相关的业务办理页面。同时此安全服务平台还可以解决包括信息的机密性、完整性和不可抵赖性等信息安全问题。安全服务平台需建设的项目有安全应用支撑服务系统、安全服务中间件及数字证书载体等。
3.2 PKI安全服务中间件
PKI安全服务中间件是基于PKI公钥基础设施，构建安全应用的开发环境与运行支撑环境，遵循国密办《证书认证系统密码及其相关安全技术规范》，兼容PKCS#11、Windows CSP、JCE等国际信息安全应用标准。PKI安全服务中间件采用中间件技术、以及J2EE、XML、Web Service、CORBA、COM组件等多种先进技术，能够屏蔽底层安全设备的硬件差异和复杂的密码实现逻辑，使用户只需在特定业务逻辑中嵌入所需安全功能，然后再进行简单的部署和配置，即可实现基于PKI的安全应用，可极大程度的降低应用系统的开发成本，提高开发效率。PKI安全服务中间件如图3所示：
4 结束语
随着Internet应用的不断普及和深入，政府部门需要PKI支持管理；商业企业内部、企业与企业之间、区域性服务网络、电子商务网站都需要PKI的技术和解决方案；大企业需要建立自己的PKI平台；小企业需要社会提供的商业性PKI服务。从发展趋势来看，PKI的市场需求非常巨大，基于PKI的应用包括了许多内容，如WWW服务器和浏览器之间的通信、安全的电子邮件、电子数据交换、Internet上的信用卡交易以及VPN等。因此，PKI具有非常广阔的市场应用前景。