数字证书认证系统产品1、产品简介2、相关标准(1)基础设施类标准)2)应用支持类标准)3)密码检查类标准) 3、标准和产品应用要点1 )证书认证系统的检查类别有产品和项目，根据类别不同对应的检查内容建设双中心3 )应使用商用密码算法进行加密运算4 )应遵循相关标准以满足密码服务接口要求5 )应对CA和KM管理员进行分权管理6 )将物理区域划分为证书认证系统， 此外，还可以划分KM的物理区域7 )配置安全策略以保障网络安全8 )保护CA使用的密钥的整个生命周期9 )实现数据备份和恢复策略
1、产品简介
数字证书认证系统(也被简称为证书认证系统)是用于管理数字证书在生命周期中的安全过程的安全系统。 数字证书认证系统必须采用两种证书机制：数字签名证书和数据加密证书，并根据需要建立两个中心(证书认证中心和密钥管理中心)。 数字证书认证系统在逻辑上可以分为核心层、管理层和服务层，其中核心层由密钥管理中心、证书/CRL生成和发布系统、证书/CRL存储发布系统组成； 管理层由证书管理系统和安全管理系统组成的服务层由证书注册管理系统(包括远程用户注册管理系统)和证书查询系统组成。 普通数字证书认证系统的逻辑结构如下图所示。
在数字证书认证系统中，CA提供的服务功能主要是在数字证书的生命周期中提供管理服务； 提供了RA的各种建设方式，RA可以全部托管在CA上，或者部分托管在CA上，部分远程建设； 提供证书颁发、证书查询、证书状态查询、证书吊销列表下载、目录服务等功能，支持提供手动审阅或自动审阅两种审阅模式的多级CA认证。
RA负责用户证书申请、身份证审核和证书下载，分为本地注册管理系统和远程注册管理系统。 申请和下载证书同时采用在线和离线的方式。 RA的主要功能包括输入用户信息、审核、下载用户证书、安全审核、安全管理和多级审核。
KM为系统中的其他实体提出的功能包括：生成用于非对称密钥对、对称密钥、签名过程的随机数； 接收CA密钥申请，调用要审核的备用密钥库中的密钥对； 向CA发送密钥对； 处理调用的备用密钥库中的密钥，并将其转发到使用中的密钥库； 处理历史密钥库中的密钥，并将超过规定保存期限的密钥转移到规定的载体上； 接收、审查有关恢复密钥的申请，并按照安全策略处理； 对进入本系统的相关操作进行人员身份和权限认证。
在两个证书(签名证书和加密证书)体系下，用户有两组不同的公钥对。 KM提供了在整个生命周期中管理加密证书密钥对的能力，包括密钥生成、密钥存储、密钥分发、密钥备份、密钥粒度、密钥撤销、密钥归档和密钥恢复，如下所示：
密钥生成)根据CA的要求为用户生成不对称密钥对，该密钥对由密钥管理中心的硬件密码设备生成。
密钥存储)密钥管理中心生成的不对称密钥对用硬件密码装置加密并存储在数据库中。
密钥分发：密钥管理中心生成的不对称密钥对通过证书认证系统分发到用户证书载体。
密钥备份：密钥管理中心采取热备份、冷备份、异地备份等措施实现密钥备份。
密钥更新)证书过期或用户需要时，密钥管理中心应CA请求为用户生成新的不对称密钥对。
密钥撤销(如果证书失效且用户需要，或者管理机构认为根据合同规定需要，密钥管理中心将按照CA的要求撤销用户当前使用的密钥。
密钥归档：密钥管理中心为过期或过期的密钥提供安全、长期的存储。
密钥恢复)密钥管理中心可以为用户提供密钥恢复服务，为司法取证提供特定的密钥恢复。 密钥恢复必须根据相关法规并根据管理策略进行批准，一般用户仅限于恢复自己的密钥。
作为一种普适安全基础设施，数字证书认证系统的应用非常广泛，可以在机密性、数据完整性、数据起源认证、身份认证和不可否认服务等方面为各种APP应用系统提供安全服务数字证书认证系统颁发的证书可用于标识设备、用户和机构id。
电子商务是数字证书认证系统的典型应用场景之一，如下图所示。 电子商务APP应用主要有购买者、商户、银行、第三方支付机构、认证机构(建设用数字证书认证系统) 5个交易参与者。 客户通过认证机构获得各自的数字证书。 交易发生前对客户进行身份认证，通过认证机构出具的数字证书(加密证书和签名证书)和数字签名技术完成网上交易双方的身份认证，实现交易中传输数据的机密性、完整性和行为的不可否认性。
商用密码产品认证中如有问题，请在车站内联系或15011462285
2、相关标准规范我国为规范数字证书认证系统的管理和证书的使用制定了一系列标准。 具体内容包括以下标准。
(1)描述基础设施类标准GM/T 0014-2012 《数字证书认证系统密码协议规范》、证书认证和数字签名通用的安全协议流程、数据格式和密码函数接口等标准。
GM/T 0015-2012 《基于SM2密码算法的数字证书格式规范》，本标准规定数字证书和证书吊销列表的基本机构，描述数字证书和证书吊销列表的各项数据内容。
修订了GM/T 0034-2014 《基于SM2密码算法的证书认证系统密码及其相关安全技术规范》标准，规定了为公众服务的数字证书认证系统的设计、建设、检测、运行和管理规范。
)2)支持类标准GM/T 0020-2012的适用
《证书应用综合服务接口规范》，该标准主要为上层的证书应用系统提供简介、易用的调用接口。 （3）密码检测类标准GM/T 0037-2014《证书认证系统检测规范》，该标准规定了证书认证密钥管理系统的检测内容与检测方法。
GM/T 0038-2014《证书认证密钥管理系统检测规范》改标准规定了证书认证密钥管理系统的检测内容和检测方法。
GM/T 0043-2015《数字证书互操作检测规范》，改标准对数字证书格式和互操作检测进行规范。
第三方电子认证服务机构的数字证书认证系统的建设、检测和使用应满足GM/T 0034-2014《基于SM2密码算法的证书认证系统密码及其相关安全技术规范》、GM/T 0037-2014《证书认证系统检测规范》、GM/T 0038-2014《证书认证密钥管理系统检测规范》标准的相关要求，非第三方电子认证服务机构（如自建CA）的数字证书认证系统的建设、检测、运行和管理，可参照以上标准。下面将根据上述标准给出应用要点。
1）证书认证系统的检测类别有产品和项目之分，不同的类别对应的检测内容也不同GM/T 0037-2014《证书认证系统检测规范》标准中将检测对象分为产品和项目两类。产品指由CA服务器、RA服务器、OCSP服务器、LDAP服务器、密码机、证书与私钥存储介质及相关软件等组成的证书认证系统。项目指采用证书认证系统产品，按照GM/T 0034-2014《基于SM2密码算法的证书认证系统及其相关安全技术规范》要求建设的证书认证服务运营系统。其中，物理区域、安全管理、多层结构支持、数据备份和恢复、第三方安全产品等项测试内容只适用于项目检测，不适用于产品检测；系统初始化、CA证书更新等测试内容只适用于产品检测，不适用于项目检测。
类似地，GM/T 0038标准也将检测对象分为产品和项目两类。产品主要由密钥管理服务器、密钥管理数据库服务器、密码机、KM管理终端、KM审计终端以及相关软件等组成。项目指采用证书认证密钥管理产品，按照GM/T 0034中第9章要求建设的证书认证密钥管理系统。其中物理区域、安全管理、数据备份和恢复、第三方安全产品等项测试内容只适用与项目检测，不适用于产品检测；系统初始化、支持多个CA等测试内容只适用于产品检测，不适用于项目检测。
系统采用双证书机制，每个用户拥有两张数字证书，一张用于数字签名，另一张用于数据加密。用于数字签名的密钥对可以由用户利用具有密码运算功能的证书载体产生；用于数据加密的密钥对由密钥管理中心产生，并负责安全管理。签名证书和加密证书一起保存在用户的证书载体中，用户可通过查看证书中Key Usage扩展字段的内容（用于加密或用于签名），区分签名证书和加密证书。而且，系统应建设双中心，即同时具有证书认证中心和密钥管理中心。
3）应使用商用密码算法进行密码运算数字证书认证系统使用对称密码算法、公钥密码算法和密码杂凑算法三类算法，实现有关密码服务的各项功能。其中，对称密码算法用于实现数据加解密及消息认证，公钥密码算法用于实现签名/验签以及密钥交换，密码杂凑算法用于实现待签名消息摘要运算。公钥密码算法使用SM2，对称密码算法使用SM4，密码杂凑算法使用SM3。
4）应遵循相关标准以满足密码服务接口的要求密码设备应遵循GM/T 0018，智能密码钥匙应遵循GM/T 0016，密码协议应遵循GM/T 0014、密码服务的接口应遵循GM/T 0019和0020。
5）应对CA和KM的管理员进行分权管理CA和KM均应设置超级管理员、审计管理员、审计员、业务员管理员、和业务操作员。
各类人员使用证书进行登录，其中超级管理员和审计管理员的证书应在CA和KM进行初始化时同时产生。KM工作人员的证书应由KM自建的独立内部CA签发，自建的独立CA的根证书必须由国家级认证机构的根CA签发。
证书认证系统的物理区域应划分为公共区、服务区、管理区、核心区。
KM的物理区域应划分为密钥服务区和密钥管理区。
如果KM与CA处于同一局域网内，应通过防火墙与CA连接。如果它们不处于同一局域网内，应通过网络密码机与CA连接。网络密码机应是经过国家密码部门审批或具备资格的机构检测认证合格的产品。
系统内各相邻网段之间采用不同的防火墙进行隔离，防火墙工作模式设置为路由模式，应关闭所有系统不需要的端口，对防火墙发现的安全事件应有相应的响应策略。
应在服务区交换机上部署入侵检测探测设备，保证对外来所有信息包的检测。入侵检测管理控制台与入侵检测探测设备采取直连方式，保证其独立的管理及检测。入侵检测对信息包的检测与分析设置为高警戒级别。对入侵检测设备发现的安全事件应用相应的响应策略。最后，入侵检测的特征库应及时更新。
应定期对关键的服务器设备、网络设备及网络安全设备进行漏洞扫描，对扫描发现的发现的漏洞应有相应的响应策略，并及时更新漏洞库。关键的服务器及操作、管理终端应部署防病毒产品，对防病毒产品发现的安全事件应有相应的响应策略，应及时更新病毒库。
密钥安全的基本操作是，密钥的生成和使用必须在硬件密码设备中完成，且必须由安全可靠的管理机制；存在于硬件密码设备之外的所有密钥必须加密；密钥必须有安全可靠的备份恢复机制；对密码设备操作必须由多个操作员实施。
9）应有数据备份和恢复策略，能够实现对系统的数据备份与恢复系统应选择适当的存储备份系统对重要数据进行备份。不同的应用环境可以有不同的备份方案，但应满足以下基本要求：备份要在不中断数据库使用的前提下实施，备份方案应符合国家有关信息数据备份的标准要求，应提供人工和自动备份功能，实时和定期备份功能，还应增加备份功能、日志记录功能、归档检索与恢复功能。
10）应保障系统各组件间的通信安全应采取通信加密、安全通信协议等安全措施保障CA各子系统之间、CA与KM之间、CA与RA之间的安全通信。