自建CA认证系统实用方案

自建CA认证系统实

用方案

自建CA认证系统实用方案

一、CA认证系统建设的背景

1.1 网络身份认证风险

如何认证互联网业务中对方的身份，是制约信息产业发展的瓶颈，身份认证问题亟待解决：

（图一)身份认证是第一道防线

纵使是固若金汤的保险库，非法分子一旦掌握了打开大门的钥匙，保险重地将会变成了窃贼的后院。业务系统即使被防火墙、入侵监测、防病毒等边界系统保护，一旦入侵者冒充合法身份进入，系统安全荡然无存。

基于用户名/口令的认证方式是最常见的一种技术，也是现在财务系统使用的认证方式，无论是数据网中的系统管理、业务管

理、办公自动化系统还是远程登录，都是基于用户名和口令的方式认证。

基于用户名/口令的认证方式存在严重的安全问题，是攻击者最容易攻击的目标：

1) 单因素的认证，安全性仅依赖于口令，口令一旦泄露，用户即可被冒充。

2) 为记忆方便，是用户往往选择简单、容易被猜测的口令，如：与用户名相同的口令、生日、单词等。这往往成为安全系统最薄弱的突破口。

3) 口令一般是经过加密后存放在口令文件中，如果口令文件被窃取，那么就能够进行离线的字典式攻击。这也是黑客最常见的手段之一。

最近屡屡爆出的口令泄密事件，如CSDN、天涯、新浪微博、广东省进出境管理都是身份认证方式选择不当引起的。而弱认证带来的经济损失更是触目惊心，江苏郝金龙利用计算机入侵扬州某银行计算机网络，修改账户信息，大肆窃取现金。黑客利用钓鱼网站获取网银用户账号密码以及动态密码，浙江乐清市陈女士网银被窃200万元。

1.2 信息泄露风险

传输在客户端与Web服务器之间的敏感、机密信息和交易数据，如资金调拨、资金往来、个人账户信息等，这些数据都是保密的数据，一旦被竞争对手或者非法分子获得，将会给企业财务

系统带来致命威胁。

互联网的开放特性使得任何跨机房传输的信息可能被截取，被非法用户加以利用，给用户和企业造成损失。当前使用最多的一些互联网抓包工具如sniffer，具备初级计算机应用水平就能操作自如。莱钢的泄密事件给企业、国家带来的了巨大损失，在全国范围内掀起了一场保密风暴。经过数据加密进行信息隐藏是行之有效的解决方法，非法分子即使能够窃听网上交易数据，但没有破解的密码钥匙，机密信息无法读懂。

信息泄露，特别是用户名+口令的认证信息泄露，将会给业务系统带来致命风险：

（图二)信息泄露示例

1.3 法律和责任风险

财务管理系统中重要单据如合同、标书、转账、结算、报表等传输中的完整性至关重要，经过开放的互联网，敏感数据在传输过程中很可能被恶意篡改、重发，使得接收方不能得到完整的

信息，网上交易时经常会由于对发送的信息进行抵赖而引起不必要的纠纷和问题，给交易的双方带来巨大的影响和损失，网上交互（交易）行为一旦被进行交易的一方所否认，另一方没有已签名的记录来作为仲裁的依据（无论是司法取证还是内部管理追溯或者审计），法律和责任风险无法控制。

《电子签名法》明确定义了数字签名具有和手写签名同等的法律效力，因此在财务管理系统中对关键表单进行数字签名是保护企业合法权利的有效办法。

下图为互联网交易中，消息篡改示例：

（图三)信息篡改示例

二、CA认证系统建设的必要性

2.1国家法规政策要求必须加强身份认证管理

《商用密码管理条例》中第十四条规定：任何单位或者个人