基于PKI应用安全支撑平台快速加固商网应用

2016-07-10马文博

电子技术与软件工程 2016年7期

PKI应用安全支撑平台将以简化应用的开发改造、统一应用的安全规范、集中应用的安全管理、提高应用的安全保障为目标，为核电公司各种网络应用系统提供全面的安全支撑服务。应用安全支撑平台旨在快捷、集中、完整、规范、高效的协助应用系统实现应用安全要求。

【关键词】PKI/CA 数据加密数字签名

业务应用是信息化建设中的重要组成部分，应用安全是信息系统安全的核心。由于信息安全要求的严格性、复杂性、以及规范标准不统一等原因，从而增加了应用系统建设与管理维护的难度，而且安全加固的程度也难以保证，自然也影响了单位应用系统建设的积极性。从系统建设的目标而言，CA数字证书的安全应用是否能够满足业务应用系统的实际安全需求是评价身份认证系统建设成功与否的关键，脱离应用实际需求的身份认证系统是一个不健全的系统。因此，CA身份认证系统在建设的同时，必须充分考虑系统建成后，如何利用数字证书为核电各类应用系统提供安全认证服务。

1 安全需求分析

基于以上原因，本次CA身份认证系统的建设以满足业务应用安全需求为出发点，实现如下的安全功能服务：

（1）统一身份标识：基于PKI/CA系统能够为网络中硬件设备以及信息系统内的各种人员签发可信的证书，从而保障人员身份信息以及设备身份信息可信问题。

（2）统一身份管理：可以结合账户管理服务创建统一的账户管理机制和平台，面向不同的应用系统和用户，提供统一的、一致的身份管理和身份认证服务。

（3）统一的安全认证：基于数字证书的统一身份认证。只有通过身份认证后，用户才能根据自身权限，实现对业务系统的访问。

（4）高强度访问控制：采用数字证书、密钥等的安全认证方式，可提高访问控制安全强度。

（5）集中授权和审计：跨系统、跨区域、跨组织的用户无法有效进行集中的授权管理和审计分析，

（6）责任认定：系统需要为业务系统提供统一的责任认定服务。

（7）数据保全服务：需要对业务系统涉及的重要数据提供数字信封、数字签名服务，使得任何非法的数据修改过程能够被及时发现；

（8）采用SSL技术保护隧道传输安全，避免数据传输过程中被窃取、盗用或篡改。

（9）单点登录：一KEY登陆，全网畅游。

2 体系框架设计

以数字证书为基本认证要素，以密码技术为核心，构造可以满足全面防护的、综合性、完善的、可操作实施的安全保障体系。核心组件是：以服务总线为基础，以集中管理为核心，以统一规范为标准，以安全环境为依托，从多个层面为信息系统提供安全服务支撑。该体系的提出是为了应用提供安全的支撑服务，采用集中统一管理各项安全子系统，各项安全策略，对人、设备以及业务资源进行统一注册、标识，授权及安全事件分析，最终形成完整的管理体系，同时为平台提供认证、授权、监控、审计、实施访问控制策略等服务。

（1）安全环境：提供基于密码技术的基础服务，为应用系统及安全服务提供可靠的安全支持环境；

（2）安全服务：在安全环境的支持下，通过统一管理，集中调用，形成对应用的安全支撑；

（3）安全应用：以密码技术为基础，实现安全可靠的应用系统，与现有业务系统形成有效互补；

3 功能模块设计

3.1 身份鉴别及访问控制子系统

基于数字证书，结合数字信封技术，通过应用系统与电子认证基础设施的交互，完成登录行为的强身份认证，同时根据认证结果核对该用户的可信访问权限，完成对访问客体准入的鉴权控制。

3.2 安全传输子系统

利用密码算法特性，采用加解密技术，对网络传输信道进行安全加密，确保数据在传输过程中的安全，同时规范调用方式及接口，解决接口差异化现象，并实现全程安全处理的透明化。

3.3 安全存储子系统

基于PKI/CA加密技术，结合用户已有的文件服务器或NAS设备即可组成完整的安全存储系统。客户端完成文件加密，解密等运算。服务器负责控制，调度。客户端和服务器通讯的网络中，文件也是加密传输，加密存放。

3.4 密码服务子系统

通过对服务接口的封装及转换，消除密码接口的差异性，屏蔽运算的复杂性，提供标准化服务，服务内容包括：数字信封、数据加解密等。