系统安全性、稳定性说明

天威诚信PKI/CA系统安全、稳定性说明

1前言

对于上海环迅电子商务有限公司是中国领先的在线支付服务提供商，作为在线支付市场的先行者和领导者，上海环迅一直专注在电子支付的商业应用及金融业的电子化服务，因此对环迅公司的在线支付系统提供安全支持的公司必须要具备非常专业的技术背景、强有力的技术支持和服务能力，以及完整的国家资质才能为上海环迅的在线支付系统保驾护航，为上海环迅成为世界领先的电子支付应用和服务的提供商提供受到法律保护的安全基础。

2系统安全性

对于天威诚信PKI/CA系统的安全性，天威诚信通过严格的物理安全、网络安全、信息安全、人员安全和密钥安全来保证CA中心的安全，具有很高的安全性。

2.1物理安全

天威诚信制定了严格的物理安全策略，主要包括：

➢天威诚信CA系统按照在天威诚信安全数据中心，数据中心的物理场地按照严格的安全访问政策从结构层次上进行了划分，采用物理分层的结构，将系统安装在层次较高的物理层；

➢进出各层具有严格的物理安全访问控制策略进行保护，必须出示相关证件或身份卡，包括员工证、门禁卡和指纹机等；

➢物理场地配备了24 X 7 X 365 保安员，整个物理场地进行24小时录影监视。2.2网络安全

天威诚信制定和执行严格的网络安全策略，主要包括：

➢天威诚信将系统采用了两道防火墙与Internet进行隔离，CA系统的前台安装在DMZ区，核心后台安装在军事化区，和前台通过防火墙进行隔离，任何Internet 用户都无法直接访问CA系统核心后台；

➢系统网络和日常办公网络完全分开，都采用分段控制，并以内部和外部防火墙作保护；

➢对于系统的所有服务器都以SSL来加强对客户连接的安全性保护。

2.3信息安全

天威诚信制定和执行严格的信息安全策略，主要包括：

➢系统/服务器充分考虑信息安全，采用动态口令方式包含系统的口令，并采用单独系统监控/防止病毒入侵；

➢系统/服务器充分考虑了稳定性设计，采用了多路数据专线，防止断线，数据专线连接采用多个供应商，防止供应商断线；

➢充分考虑了数据库系统的安全，采用多硬盘实时备份（Mirroring），采用多处理器，采用可热换的硬盘，并严格进行系统/服务器的备份，每晚对数据进行备份，定期将备份数据存放到安全的第三方；

➢充分考虑了电源稳定性设计，数据中心具有独立的后备电源，并配备了发电机。

2.4人员安全

天威诚信制定和执行严格的人员安全策略，主要包括：

➢天威诚信具有详细的、规范的可信雇员政策，对员工进行审查，并详细规定员工的职责；

➢天威诚信员工对系统的操作严格按照天威诚信制定的规范的操作流程进行，并定期对操作记录进行安全与审计；

➢天威诚信制定了严格的物理和系统访问权限控制，对于非授权人员禁止操作。2.5密钥安全

密钥安全包括根CA和子CA密钥的安全，以及用户证书密钥的安全。

2.5.1CA密钥的安全

CA密钥是对根CA和子CA密钥的统称，需要从两个方面进行分析：

●CA密钥的产生——CA密钥在天威诚信的安全数据中心离线的物理环境中产

生，使用经过国家相关部门认证通过的国产加密机来产生。为了保障CA密钥产生的公正性和权威性，天威诚信会进行规范的密钥生成仪式，整个过程将会有录像记录。举行密钥生成仪式至少需要七名相关的人员参加。

●CA密钥的安全存储——所有密钥都是保存在天威诚信最安全的物理层，根密

钥离线的保存在安全级别最高的层次，并通过密钥分割的方式由多人负责管理。

对于在线CA的密钥，安装在安全数据中心的在线最高物理层，对于在线CA密钥的上载，至少需要七名相关人员才能进行。

3系统性能分析

3.1系统处理能力

天威诚信PKI/CA系统设计初期处理能力为“千万”级证书容量，可以根据业务的扩展需求进行动态的扩展。目前已经对外签发了十几万张证书，系统没有任何问题和压力。以下提供各模块的处理能力的测试数据，包含CA中心服务器的处理能力、RA中心服务器的处理能力、用户证书的发证能力、及目录服务器的查询能力等。

3.1.1CA中心服务器处理能力

一个用户请求需要通过CA中心服务器和签名服务器的逻辑处理，如果是证书签发请求则会经过逻辑处理后再交给签名服务器和加密机处理。CA服务器的处理能力指标主要是并发处理能力。

图表 CA处理能力表

3.1.2CA中心加密机处理能力

CA中心签名服务器将使用加密机，完成用户证书签发、非对称密钥加解密等的功能。因此，在上述服务器的性能设计中，主要提供了关于加密机的处理性能。

图表错误!使用“开始”选项卡将标题1 应用于要在此处显示的文字。-1 加密机处理能力

表

3.1.3目录服务器处理能力

用户证书查询以及证书黑名单查询可以通过LDAP协议来查询，目录服务器处理能力的主要指标是单个查询的响应时间以及目录服务能够承受的最大并发查询数。

图表目录服务器处理能力表

3.2先进性和开放性

天威诚信PKI/CA系统采用Verisign的技术平台，VeriSign已经与超过100家独立软件厂商建立了合作伙伴关系，其中包括Microsoft，Netscape，Lotus，Oracle，Cisco等等。采用VeriSign技术平台的建设的天威诚信PKI/CA系统也延续了这种开放性。在此开放性的平台上，有系列产品能够有效支持这些厂家的应用软件产品，这些产品包括：安全Web 应用、安全Email应用、安全MS Exchange应用、安全Lotus Notes应用、安全ERP应用和安全VPN应用等。

与此同时，天威诚信PKI/CA系统严格采用国际标准或工业标准的技术，如PKIX标准，保证系统最大的兼容性。其中：

（1）与国内外其他CA认证体系交叉认证：用户应用采用天威诚信CTN认证体系，可以与国内外其他符合国际工业标准的CA认证体系进行交叉认证，很容

易实现与国际认证体系的接轨，实现将信任域扩充到全球。

（2）与各种电子商务平台体系相兼容：天威诚信PKI/CA系统采用的技术路线是完全符合全球工业标准的技术路线，该体系已经广泛应用到全球的电子商务平台

中，本产品已经与超过100家独立软件厂商建立了合作伙伴关系，其中包括