CA系统方案

CA系统方案

三未信安SRT1205身份认证系统是以公钥基础设施（PKI）为核心的，建立在一系列相关国际安全技术标准（IETF PKIX、RSA PKCS、ITU X.509、IETF LDAP、SSL／TLS等）之上的通用安全平台。该平台向上为应用系统提供数字证书的申请、更新、注销、发布等功能，向下封装标准的数字证书服务接口，提供各类商用密码设备连接接口，为网络应用提供身份认证、访问控制、数据保密和完整性等全面的安全服务。可协助企业级用户建立符合PKI规范的、灵活通用的应用安全平台。

三未信安数字身份认证系统分层设计，构件化开发，模块之间可灵活增加或裁减，以便迅速适应用户对网络安全的不同需求；采用完整性验证、身份验证等措施来保障自身安全，切实保证系统内所有构件与构件之间的通讯数据及构件本身能满足数据的机密性（Confidentiality）、数据完整性（Integrity）、身份的真实可用性（Authentication）、授权的合法性（Authorization）和不可抵赖性（Non-repudiation）等要求。设计上遵循国家密码管理局《证书认证系统密码及其相关安全技术规范》并满足其安全性要求。

CA系统方案示意图

提供数字证书的申请、下载、更新、注销、恢复等全生命周期的操作功能。

提供的单/双证书申请模式、支持证书模板的方式对证书内容进行定制。

支持SM1、SM2、SM3等国产密码算法。

采用业界主流系统模块划分和架构。可灵活裁减的层次化、模块化结构，并能够灵活构建满足不同应用的证书颁发系统。

系统具有开放性，第三方通过集成接口，可自行开发业务系统安全模块。

友好的使用界面，方便的部署流程及配置方式。

系统支持SSL、SMIME、VPN等协议。系统可以方便的支持各种电子商务、电子政务应用模式，如可以支持B2C、B2B、G2B、G2C等。

安全密钥存储技术

安全密钥存储是密钥管理系统乃至PKI平台中安全技术的核心，是安全的重要保证。本模块采用SJJ1012加密服务器生成、管理CA根密钥及系统密钥。

高强度的密码技术

采用高强度的国家密码管理局指定的SM2非对称密钥算法。同时支持国际通用的RSA算法，极大提高了密码保护强度。

证书模板支持

通过支持证书模板，提高了签发各种类型证书的灵活性。系统支持多种加密设备和数据库平台。提供了良好的系统应用的扩展性。

系统具有开放性

支持多个授权证书注册服务的证书申请。提供标准通用接口，方便其他应用系统的开发调用。

系统支持百万级证书

系统通过使用合理的架构及稳定的数据存储方式，最大可支持100万-1000万证书的申请应用。

证书版本及证书类型支持

系统所支持的证书遵循X.509（版本1、版本2、版本3、版本4）标准。系统生成X.509v3标准的证书，根据兼容性原则，系统也可以识别X.509v1、X.509v2、X.509v4的证书。

硬件支持

CA根密钥及密码运算由硬件（SJJ1012密码服务器）提供。保证了敏感信息的安全及密码运算的高效性。

稳定可靠的后台服务

通过守护进程监控证书在线颁发系统的运行情况，当在线颁发系统出现异常情况退出时，守护进程可以自动对在线颁发系统进行重启，保证系统提供不间断的稳定服务，实现“不死机”的运行模式。

成熟规范的设计架构

系统采用业界主流的内部模块架构方式，方便系统模块的组装，以及日后的维护、扩展。

采用先进的内存检测机制，保证业务服务系统无内存冲突、泄露，保证长期稳定运行。

遵循标准化、模块化原则

设计独立的功能模块。各模块使用的密码设备采用统一的调用接口，所有密码运算均在SJJ1012密码机中完成。

灵活性和可扩展性

采用先进成熟的技术，能够适应高速的业务处理需要，使整个系统适应未来业务的发展和技术升级的需要。