格尔电子签章系统白皮书

格尔电子签章系统产品白皮书上海格尔软件股份有限公司12目录1概述 (4)1.1背景 (4)1.2名词解释 (4)2产品概述 (6)3产品组成 (7)3.1标准版 (7)3.2单机版 (7)3.3产品区别 (8)4产品功能 (9)5产品特点 (13)6产品部署 (15)341.1 背景在信息时代的今天，网络技术的发展使信息的传播和交流更加方便和快捷，为了提高办公效率，越来越多的政府机构、公司企业采用电子办公软件平台(比如WPS 、MS Office 等)，通过网络实现公文的传输，享受互联网所带来的快捷与高效。

但是，随之而来的网络入侵和攻击其破坏力之巨大远远超出人们的想象，网络安全问题也越来越受到人们的重视。

数据发送者是谁？数据发送者是不是他人冒充？数据有没有被发送者以外的人所篡改？如何安全可靠、方便直观地解决上述问题成为新形势下电子办公系统所面临的任务。

格尔电子签章系统以先进的数字技术模拟传统实物印章，可以有效方便的解决以上问题，使文档在传输过程中安全可靠，实现防伪造、防篡改、防抵赖功能。

1.2 名词解释电子印章：电子印章通过使用硬软件技术，以电子化的方式模拟物理印章的使用，使用户在电子政务，电子商务等活动中拥有一种符合传统用章习惯的应用体验；同时电子印章又采用了先进的加密，签名，信息隐藏等安全技术，从而是其具有物理印章不可比拟的安全性和可追溯性。

数字签名：被签名数据的哈希值经过私钥加密后的结果。

通过把使用公钥对数字签名解密得到的值与原始数据的哈希值相对照，就能验证数字签名。

数字证书：用于验证需认证者的标识信息与公钥对应关系的一种数字文档。

哈希(Hash) ：通过对原文进行单向哈希函数运算得到的定长字符串，原文不同哈希值就不同，通过哈希值无法还原出原文。

PKI(Public Key Infrastructure) ：公开密钥基础设施。

CRL(Certificate Revocation List) ：黑名单。

OCSP(Online Certificate Status Protocol) ：在线证书状态协议。

5DTS(Data Time-Stamp) ：数字时间戳，为相应的文档或信息提供时间认证的服务。

身份认证：与传统的信息交换不同，参与网上信息交换的各方没有实际见面，任何一方都有被冒充的可能，所以安全应用系统必须采用某种机制，使能够确认对方的身份。

数据的保密：在许多应用中，信息的内容是需要严格保密的，但是在网络上，网络侦听技术使数据的获取变得十分容易，因此对信息的加密是安全应用系统重要的特点。

防止篡改数据：由于网络的公开特性，使得信息提供者以外的人修改信息成为可能。

如何防止他人篡改信息是安全应用系统需要解决的一个重要问题。

防止对操作的抵赖：在信息提供过程中如果一方在确认信息操作后又抵赖，将对应用系统的使用造成很大的损失。

安全应用系统必须提供某种技术手段，以便应用系统能对信息的提供进行确认。

6格尔电子签章系统是一个提供数字签章服务以及对数据验证其数字签章的真实性、有效性和防篡改的服务平台，是格尔软件股份有限公司的数字签章验证产品，可以有效保护网络资源的安全访问。

支持HTTP 、HTTPS 的B/S 应用以及FTP 、远程桌面等通用的C/S 应用。

该产品可以被广泛地在网上银行、网上证券和网上商户等电子商务和电子政务活动中，应用于验证用户身份、检验交易凭证和防止抵赖等方面。

格尔电子印章是以先进的数字技术模拟传统实物印章，其管理、使用方式 符合实物印章的习惯和体验，其加盖的电子文件具有与实物印章加盖的纸张文件相同的外观、相同的有效性和相似的使用方式，格尔电子印章是将传统的印章模式和数字签名技术完美结合为一体的应用软件系统。

它可在WORD 、EXCEL 、HTML （WEB 页面）、WPS 、PDF 、版式文件上实现手写电子签名和加盖电子印章，并将该签章和文件通过数字签名技术绑定在一起，一旦被绑定的文档内容发生改变（非法篡改或传输错误），签章将失效。

只有合法拥有印章钥匙盘并且有密码权限的用户才能在文件上加盖电子签章。

保证文档防伪造、防篡改、防抵赖，安全可靠。

7格尔电子签章系统由电子印章系统管理中心和签章客户端组成，电子印章系统管理中心对印章统一进行管理制作合成(基于PKI/CA 身份认证技术)，负责电子印章的集中管理包括印章的申请、制作、吊销、授权等电子印章生命周期的全程监控，另有打印控制、日志审计等模块。

签章客户端与电子印章系统管理中心结合, 实现对文档的签章功能（文档签章功能:确定对当前的文件进行盖章, 该功能需要将印章钥匙盘的支持, 同时需要输入密码确认用户身份）。

3.1 标准版概述格尔电子印章标准版是一套基于在线认证和体现完整的印章管理功能的电子印章系统,实现电子印章的申请、审批、颁发、销毁、权限控制、制作、等电子印章的全程管理等功能。

性能签名:150次/秒,验签:500次/秒签名:1000次/秒,验签:2000次/秒应用基于网络实时认证与管理的标准版电子印章系统。

包括客户端签章软件、电子印章系统管理中心和电子签章认证系统三大部分。

其主要特点就是安全性和可管理性大大加强。

3.2 单机版概述单机版本就是签章用户只需要安装客户端软件并拥有电子印章密钥盘就可以签章，签章时不需要连接认证服务器进行实时认证，签章日志等都由应用信息系统实现。

单机版本包括客户端电子签章软件和印章制作软件两部分组成，单机版本的印章制作软件就是一个用VC 开发的8客户端程序，主要完成电子印章的制作、更新、授权，数字证书的颁发与更新，签章软件则实现具体的电子签章功能，功能与网络版本的功能基本雷同。

应用单机版本比较适合于局域网范围内的入门级用户使用。

3.3 产品区别单机版和标准版的区别在于没有后台系统，在印章使用过程中，没有全程审记，以及记录使用日志。

另外，单机版与系统版本很重要的一点，不具备严格的打印控制功能。

单机版本的打印份数控制，以及打印控制由业务系统负责处理。

9系统功能分为以下几大模块10111213支持BS/CS 等各类不同架构的应用系统，提供个性化的技术服务。

防伪性强: 支持印章雾化显示，真正保护印章图片，有效防止拷屏、数码相机拍摄、写字板打开等方式盗用原始印章图片，打印是清晰的，以区别于伪造的印章。

电子印章系统还提供多重密码控制和证书身份控制。

提供可靠严密的安全平台解决方案，完全满足单位信息安全的保证和要求。

兼容性强: 可兼容各种格式和各种版本Office 以及相关Office 控件。

稳定性强: 产品采用模块化面向对象的设计模式，各个模块之间处理的事情相对独立，并且很好地解决了各个模块之间的聚合关系. 开发语言采用面向对象的C++语言，既能提供产品的运行速度，又能很好的实现面向对象的模块化设计理念。

客户端均以控件方式实现: 直接内嵌到业务系统中，客户端采用COM 组件方式，并有微软认证的数字签名，可通过IE 浏览器自动安装或升级，无需用户进行IE 安全性级别等其他相关设置，对于B/S 的应用，不需要对每台客户端进行单独手动安装，容易部署。

支持服务器分级管理。

支持多管理员模式。

电子印章管理平台：集中控制，分级管理，日志审计。

能在浏览器网页上任意地方签署安全电子印章（Web 版），或者在Word 、Excel 。

系统支持使用或者不使用X.509数字证书对文档进行认证。

支持第3方CA颁发的数字证书。

系统支持直接从EKEY 加入签章。

盖章后的文档一旦被修改，印章将以灰色显示。

更加清楚了然。

可以通过程序或者界面控制印章的锁定，一旦锁定，印章将不能被移动。

鼠标移动到印章上，会自动显示印章，文档认证以及证书认证的信息。

可以使用印章锁定文档。

被锁定的文档如果要解锁，必须具有签章时附加的证书，或者，如果印章不需要证书，必须知道印章的口令。

14可以控制印章打印时的状态。

使得电子文档和纸面文档互相不影响。

比如，可以设定印章在打印的时候不打印，让纸面文档还是通过传统公章来认证。

可集成性：WEB 版本可集成到任何WEB 系统中。

安全性：系统设置专用网络接口管理系统，系统关闭所有不需要的服务和端口（如FTP 、SSH 等），只保留服务端口，避免外界的攻击。

易用性：系统所有管理操作均采用WEB 方式，操作简单方便。

多种类型签名数据支持。

支持原文数据签名、文件签名、哈希后签名及PKCS＃7等格式签名数据的验证。

多种证书验证方式支持。

支持黑名单验证方式以及OCSP 验证方式。

多种开发接口支持。

客户端提供C 开发API ，Java 开发API ，方便应用的调用。

系统日志标准输出支持。

通过标准的syslog 方式将用户日志发送到指定服务器。

备份恢复功能支持。

系统具有备份和恢复功能，对于系统的数据和配置进行加密完全备份，能够快速恢复。

双机热备功能支持。

系统可以进行双机热备，保证系统的高可用性。

15以下是格尔电子签章系统典型的部署网络拓扑图：用户个人证书用户个人证书用户个人证书签章客户端CA 数据库签章客户端签章客户端平台图：典型部署示意图。