ca_格尔产品白皮书

格尔证书认证系统　产品白皮书　ｖ１．３．１　上海格尔软件股份有限公司　２００４年１２月　上海格尔软件股份有限公司　１保密事宜：　本文档包含上海格尔软件股份有限公司的专有商业信息和保密信息。

　接受方同意维护本文档所提供信息的保密性，承诺不对其进行复制，或向评估小组以外、非直接相关的人员公开此信息。

对于以下三种信息，接受方不向格尔公司承担保密责任：　１　） 接受方在接收该文档前，已经掌握的信息。

　２　） 可以通过与接受方无关的其它渠道公开获得的信息。

　３　） 可以从第三方，以无附加保密要求方式获得的信息。

　上海格尔软件股份有限公司　２目　录　１前言．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．３２产品简介．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４２．１产品概念．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４２．２体系结构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４２．３格尔证书认证系统产品线．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４３产品特性及功能．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５３．１产品特性．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５３．２基本功能一览表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．６３．３产品总体效果．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．８４部署情况示意．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１０５附录．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１１５．１相关名词解释．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１１５．２参考标准．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１２５．３ＰＫＩ简介．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１３图表目录　图表　１　格尔证书认证系统产品体系架构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．４图表　２　格尔证书认证系统产品系列列表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５图表　３　格尔证书认证系统中小企业版产品列表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５图表　４格尔认证系统产品功能列表．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．８图表　５　格尔认证系统部署图．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１０图表　６ ＰＫＩ数字认证中心功能结构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１４上海格尔软件股份有限公司　３１ 前言　随着网络技术的不断发展，企业联网的范围也不断扩大，从一个本地网络发展到跨地区跨城市甚至是跨国网络，这其中的各种网络应用在给企业带来便捷高效的收益的同时，也带来了安全管理和安全通讯的问题。

为了解决网络安全应用问题，近年来，　ＰＫＩ（ｐｕｂｌｉｃ　ｋｅｙ　ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）安全体系开始被引入并越来越多地应用到企业、行业中，其运营管理机构一般又称为ＣＡ证书机构。

自１９９８　年中国出现第一家ＣＡ证书机构ＣＴＣＡ（中国电信ＣＡ认证中心）以来，至今已有多个不同规模的ＣＡ　证书机构建成并运行，它们在电力、商务和电子政务安全应用中发挥着重要的作用。

目前，我国ＣＡ证书机构大体按照应用环境／范围可分为区域类、行业类、商业类和内部自用（企业）类。

区域类ＣＡ证书机构大多以地方政府为背景、以公司机制来运作，主要为本地行政区域内电子商务业务与面向公众服务的电子政务业务发放证书；行业类ＣＡ证书机构以部委或行业主管部门为背景，以非公司机制或公司机制运作，在本部委系统或行业内为电子政务业务和电子商务业务发放证书；商业类ＣＡ证书机构以公司机制运作，面向全国范围为电子商务业务发放证书；内部自用类ＣＡ　证书机构，主要是企业事业单位自建的证书机构，为自身内部业务发放证书，不向公众提供证书服务。

　　ＰＫＩ体系概念在安全领域得到的广泛认同，使国内越来越多机构、企业在进行网络安全建设时将ＰＫＩ应用建设列为重要的基础设施。

目前，国内ＣＡ机构建设的特点表现为：投资规模大，建设规模大，管理范围大，这类ＣＡ机构一般都是建立在省、部委一级，同时还包括各大银行为保障网银业务安全所统一建设的ＣＦＣＡ和内部ＣＡ系统等。

针对这样的情况国密办也适时推出了国内大型ＣＡ建设的标准。

　格尔软件股份有限公司积累了丰富的大规模ＰＫＩ体系建设经验，并据此推出了系列ＰＫＩ基础及应用产品。

这里介绍的格尔证书认证系统是ＰＫＩ体系基础建设的组成之一，是面向大型ＣＡ中心建设的专门化电子证书中心产品。

　上海格尔软件股份有限公司　４２　产品简介　２．１　产品概念　格尔证书认证系统是格尔ＰＫＩ体系产品的核心，它与其它产品一起构成完整的专门化企业级电子认证中心产品。

它符合国际通用标准规范；支持分布式多级部署和与其他ＣＡ机构的交叉认证。

与其它厂商的ＣＡ产品相比，在思路和功能上有很多突破。

支持多种格式、标准和算法。

支持Ｗｉｎｄｏｗｓ、ＡＩＸ、Ｓｏｌａｒｉｓ、Ｌｉｎｕｘ等系统平台，支持多种大型数据库系统和目录服务系统；支持接入第三方ＲＡ系统；具备百万级以上的证书运行能力。

　２．２　体系结构　格尔证书认证由一系列软件实现模块组成，其体系结构如下所示：图表 1 格尔证书认证系统产品体系架构２．３　格尔证书认证系统产品线　格尔证书认证产品，根据用户的需求不同，形成一个格尔证书认证产品系列，提供不同级别的服务：上海格尔软件股份有限公司　５产品系列　系列名称　ＣＡ－Ｌ　格尔证书认证系统（中小企业版）ＣＡ－Ａ　格尔证书认证系统（大企业版）　ＣＡ－Ｃ　格尔证书认证系统（ＣＡ中心版）　图表2 格尔证书认证系统产品系列列表对于L系列，其外在表现形式为一台硬件服务器，极大地方便了产品的实施，部署，维护和管理。

针对不同的用户群体，它又划分为几个型号：产品系列　标准证书容量（Ｌｉｃｅｎｓｅ）　ＣＡ－Ｌ１０１０　200ＣＡ－Ｌ２０１０　1000ＣＡ－Ｌ３０１０　3000*：可以根据需求适量进行license扩展图表3 格尔证书认证系统中小企业版产品列表３　产品特性及功能　３．１　产品特性　l自主知识产权，符合国家密码管理政策，同时符合国际通用标准规范　l支持ｘ．５０９ｖ３的证书格式　l支持ＣＡ的树状信任模式，即系统可以支持ＣＡ多级扩展和多级认证　l优化ＲＳＡ算法，密钥长度可达２０４８位　l基于Ｂ／Ｓ结构的管理界面，采用安全网关连接，可进行安全远程管理　l具有灵活的策略配置机制 l可签发多种证书（用户证书，　ＳＳＬ客户端证书，机构证书，设备证书，电子邮件证书，ＶＰＮ证书）　上海格尔软件股份有限公司　６l 基于ＬＤＡＰ的证书和ＣＲＬ发布，ＣＲＬ发布采用了分块ＣＲＬ与增量ＣＲＬ技术　l 支持基于ＨＴＴＰ的ＣＲＬ发布　l 支持基于ＳＳＦ３３与Ｄｅｓ算法的密钥不落地机制　l 支持Ｗｉｎｄｏｗｓ、ＡＩＸ、Ｓｏｌａｒｉｓ、Ｌｉｎｕｘ等系统平台　l 支持多种大型数据库系统和目录服务系统　l 支持接入第三方ＲＡ系统　l 具备百万级以上的证书运行能力。

　３．２　基本功能一览表　模块划分　功能类别　功能名称　描述　管理员ＣＡ生成　用户ＣＡ生成　ＳＳＬ站点请求生成与签发　部署模块　系统初始化　系统管理员签发　配置系统相关信息，生成管理员ＣＡ与业务ＣＡ及系统管理员　根证书生成 根证书导出 根证书延期 根证书管理　根证书更新 生成交叉认证请求 签发交叉认证证书 导入交叉认证证书 根证书模块　交叉认证　交叉认证证书导出 签发分发式ＣＡ证书 生成分发式ＣＡ请求 导入分发式ＣＡ证书 分发式ＣＡ管理　生成分发式ＣＡ更新请求 二级ＣＡ模块 托管式ＣＡ管理　生成托管式ＣＡ证书 上海格尔软件股份有限公司　７　托管式ＣＡ证书更新　　ＣＡ证书延期 ＣＡ证书导出（下载） 　通用ＣＡ管理　ＣＡ证书的废除 ＣＲＬ的签发　ＣＲＬ的ＬＤＡＰ发布　ＣＲＬ服务　ＣＲＬ功能　ＣＲＬ的ＨＴＴＰ方式发布　　证书的签发　证书的主题信息更新　证书的密钥更新　证书的废除　证书的延期　证书的恢复　证书的冻结　Ｘ５０９ＣＡ证书模块　证书服务　证书的解冻　　系统运行日志查询　日志审计模块　日志服务　系统操作日志查询　可以采用ＳＡＣ进行　日志集中管理　管理员签发　管理员废除　管理员管理模块　管理员管理　基本发证统计　　系统可以进行备份　备份与恢复　系统可以使用备份进行恢复 系统升级　可以离线对系统进行升级　　配置管理模块　系统配置　系统各项参数的配置 权限管理模块　权限管理　权限验证　可以采用ＰＭＳ进行统一授权管理　证书管理模证书管理服务　证书的按统计分类统计 上海格尔软件股份有限公司　８证书的查询　　证书的归档　　归档证书的查询 对归档的证书进行还原 证书（包括ＣＲＬ　／ＡＲＬ）的发布　证书在签发，更新和废除等操作时要发布或更新目录服务器上的数据。