安全证书(精选十篇)
安全证书 篇1
1前言
电子邮件在Internet上有着非常广泛的应用, 它极大地方便了人与人之间的交流和沟通, 但是邮件传输是否安全, 能否抵御网络上各种各样的攻击, 成为人们一直研究的课题。证书服务在保证电子邮件安全性中起到了重要的作用。
2公钥基础设施PKI
PKI根据公钥密码编码学提供数据加密、身份认证与确保数据完整性的功能。当发件人通过网络将数据发送给收件人时, 可以利用PKI将发送的数据加密, 在收件人的计算机收到数据后, 会验证该数据是否由发件人本人授权, 同时还可以确认数据的完整性, 即检查数据在发送过程中是否被改动。
2.1公钥加密
PKI使用公钥加密将数据加密、解密。发件人如果要发送一封经过加密的电子邮件给收件人, 其发送过程是:发件人必须先获得收件人的公钥, 利用此密钥将电子邮件加密, 由于接受方的私钥只保存在他的计算机中, 只有他的计算机才可以将此邮件解密, 因此他可以正常读取此邮件。其他用户即使成功拦截这封邮件也读不到邮件的内容, 因为他们无法获得收件人的私钥, 无法将其解密。
2.2公钥认证
发件人可以利用公钥认证对要发送的数据进行数字签名, 收件人在收到数据后, 便能通过此数字签名来验证数据是否确实是由发件人本人发出的, 同时还会检查数据在发送的过程中是否被改动。发件人如果要发送一封经过签名的电子邮件给收件人, 其发送过程是:发件人利用自己的私钥将邮件进行数字签名, 然后通过网络将邮件发送给收件人, 由于公钥和私钥是一对的, 收件人必须先获得发件人的公钥, 才可以利用此密钥来验证此封邮件是否是发件人本人发送的, 并检查此邮件是否被改动。
发件人的电子邮件经过message hash算法的运算处理后, 产生一个message digest, 这是数字指纹;发件人的email软件利用发件人的私钥使用公钥加密算法将此message digest email软件将原电子邮件一起发送给收件人;收件人的email软件会将收到的电子邮件与数字签名分开处理, 其中电子邮件经过message hash算法的重新处理后, 产生新的message digest, 而数字签名则经过公钥加密算法的解密处理后, 可得到发件人发来的原message digest;如果新message digest与原message digest是相同的, 说明邮件没有问题, 否则就会是邮件被篡改或是由假冒身份者发来的。
3电子邮件保护证书
使用电子邮件保护证书需要在服务器端添加活动目录证书服务 (AD DS) 角色, 将企业根CA或独立根CA安装到域控制器里, 然后客户端才能申请证书。这里仅讨论如何申请证书以及如何利用证书发送经过签名或加密的电子邮件。
发件人和收件人都需要申请证书, 申请证书的前提条件是:发件人和收件人均为域中的用户, 并且在两人的用户属性中均已设置好他们的电子邮箱。
3.1利用“证书申请向导”向企业CA申请证书
1.在客户端打开MMC, 从“可用的管理单元”中添加“证书”管理单元。
2.在“个人”上单击右键, 选择“所有任务”→“申请证书”→“下一步”。
3.在“证书注册”界面里, 选择“用户”→“注册”。
4.在“证书安装结果”界面里, 单击“完成”。
在申请证书时, 公钥与私钥也同时创建完成, 并自动将私钥存储到客户端计算机的注册表中, 然后将证书申请数据与公钥一起发送到CA。
3.2利用“Web浏览器”向独立CA申请证书
如果客户端要向独立CA申请证书, 则只能利用Web浏览器向独立CA申请证书, 而不能利用证书申请向导。
1.在客户机上以用户登录。
2.将浏览器IE的“本地Internet”的安全级别降为“低”级别。
3.将CA网站加入到本地Intranet:在“本地Internet”的“安全”标签下, 单击“站点”, 选择“高级”, 在弹出的对话框中将CA网站地址添加到区域中, 然后单击“关闭”, 两次单击“确定”。
4.运行浏览器IE, 并输入以下URL地址:http://独立CA的IP地址/certsrv。
5.单击“申请证书”→“电子邮件保护证书”。
6.在“IE安全”对话框中选择“不再对此程序显示此警告”, 单击“允许”→“是”。
7.输入个人资料, 其中“电子邮件”应与所使用的邮箱相同, 然后“提交”→“是”。
8.此时证书正在挂起, 待独立CA的管理员手动发放证书后, 再连接CA, 下载证书。
9.在服务器端, 系统管理员在CA中选择“挂起的申请”, 单击右键选择“所有任务”→“颁发”, 颁发后的证书会被转移到“颁发的证书”文件夹中。
10.在客户端利用浏览器连接到独立根CA, 然后单击“查看挂起的证书申请的状态”, →“电子邮件保护证书”→“安装此证书”。
11.选择“工具”→“Internet选项”→“内容”→“证书”, 在“个人”选项卡中可以查看到此证书。
12.将浏览器IE的本地Intranet的安全级别恢复到原设置。
3.3利用证书来发送经过签名或加密的电子邮件
3.3.1发件人发送一封经过签名的电子邮件给收件人
发件人在发送电子邮件之前, 先在发件人账户的邮件属性中的“安全”标签下, 单击“签署证书”下的“选择”, 进入“选择默认账户数字ID”对话框, 选择发件人的电子邮件保护证书后单击“确定”, 然后正常创建邮件和发送邮件即可。
3.3.2收件人接收并读取经过签名的电子邮件
收件人只要在自己的“收件箱”里单击发件人发过来的邮件, 发件人就会自动加入到收件人的联系人列表中, 同时发件人的证书与公钥等相关信息也会存储到收件人的计算机中。收件人选择“工具”→“Windows联系人”, 选择发件人, 单击“打开”→“标识”标签;
打开发件人发过来的邮件, 如果没有被改动, 在邮件的“安全”处会文字说明此邮件没问题, 则单击“继续”后就可以正常阅读邮件;如果邮件“安全”处会文字说明此邮件存在的问题是什么, 并且提出安全警告, 收件人可以单击“查看数字标识”来查看证书。
3.3.3发送一封经过加密的电子邮件
发送方创建新邮件, 编辑邮件内容, 然后单击“签名与加密”图标, 然后发送即可。3.3.4收件人读取加密的电子邮件
在收件箱中双击这封经过加密的邮件, 在邮件的“安全”处会文字说明邮件已被加密。如果没有被改动, 在邮件的“安全”处会文字说明此邮件没问题, 则单击“继续”后就可以正常阅读邮件。
参考文献
安全证书 篇2
铁路安全生产个人保证书
作为生产技术科的一员,为确保我段包白线设备稳定和行车安全。现郑重承诺,在工作和生活方面中严格履行以下职责和义务:
一、切实树立安全第一的思想,对我段安全事务负有义不容辞的责任,建立健全安全生产管理机构,落实全员安全生产责任制。
二、确保国家安全生产方针、政策、国家(行业)安全生产法律法规及标准在本单位内得到认真贯彻执行和落实。
三、不断建立健全本单位安全生产规章制度和操作规程,鼓励相关内外部人员积极参与到与安全标准化不断改进的过程中。
四、以预防为主,开展风险管理、隐患治理,组织、督促本单位安全生产大检查,落实重大事故隐患的整改措施。
五、保证本单位安全生产必要投入的有效实施,不断采用新技术对生产装置进行维护改造,提高生产装置的安全性,改善劳动生产条件,最大限度的不发生事故、不损害员工健康。
六、不断提高自己安全生产知识和管理能力,不违章指挥,监督检查对安全生产各项规章制度执行情况,及时纠正失职和违章行为。
七、保障员工安全教育培训、安全生产竞赛活动有效开展;定期组织安全生产工作会议,分析安全生产动态,及时解决安全生产中存在的问题。
八、在发生安全生产事故时,认真组织事故应急救援,对事故进行调查处理,并及时向上级主管部门报告。
九、修订完善本单位生产安全事故应急救援预案,负责指挥事故应急救援工作。对预案中存在的问题进行解决落实,督促开展事故应急救援演练工作,确保本单位事故应急救援预案得到有效实施。
十、树立表率作用,不断强化和奖励正确的安全行为,定期进行绩效考核,实现安全生产管理的持续改进。
承诺人:
二0一 年 月 日
铁路安全保证书
铁路安全保证书范文大全
一、工长岗位安全承诺:
1、执行工人通用岗位安全责任制,负责本班组的安全、生产和各项管理,向车间主任负责。
2、每日对参加施工的人员按安全检查表的内容进行有针对性的安全教育,并有安全员签认。及时传达安全生产的文件、电报,重要文件要逐人签名备查。
3、带班施工不少于工作日数的二分之一。担任和安排本工区夜间和汛期值班。
4、按规定对管辖设备进行检查,对查出的设备病害及时安排劳力整修。病害检查、消灭要在日月计划和检查记录本如实显示。对不能消除而严重影响行车安全的重点病害,安排临时监护。
5、认真落实段和上级的防洪、防胀、防三折措施,加强汛期值班,安排雨前、雨中、雨后巡检。对三防工具、材料、信号备品进行检查,妥善保管,保证正常使用。
6、检查指导本工区职工作业标准、作业程序、规章制度的执行情况,及时发现和制止违章违纪。认真执行违章违纪和防止事故登记上报制度。
7、主持召开本班组的安全分析会,结合班组工作情况进行有针对性的分析,制定措施,落实到人。指导安全员的工作,充分发挥安全员的作用。
8、主持制定班组月安全讲评计件工资考核办法,由职工大会通过并进行签认后执行。在实施中,坚持公平、公正的原则,增加透明度和对安全生产的考核,调动职工的安全生产积极性。
9、组织职工学习业务技术、规章制度,不断提高职工的安全生产、业务技能,有计划的培养技术力量和工班长后备人员。
10、及时准确填记各类安全管理台帐、揭挂,保持正确清晰。做好本班组环境安全宣传工作。
11、担任《安规》规定和段控施工的施工负责人。
12、在事故抢修中,接受上级分配的抢修任务,事故发生在辖区时,及时、准确的提供有关事故调查资料。
13、对安全生产中的突发问题,在确保安全的前提下,有临时处置权,并及时向上级报告。
14、按规定对桥上、油库和存放易燃易爆物品的场所进行消防检查。
16、组织制订本班组安全生产措施,并负责实施。
17、筑牢安全第一的思想,严格执行路局435、489、497文件规定。
二、班长岗位安全承诺:
⒈执行工人通用岗位安全责任制,担任施工负责人,负责作业班的安全、生产,向工长负责。
⒉担任施工领导,带领职工按规章制度、作业标准,按定额要求,保质量、保安全完成生产任务。
3、指挥使用机具,指派施工防护人员,果断处理工地发生的安全、质量问题。
⒋对规章制度的落实情况进行检查,及时发现和纠正违章违纪,并向工区工长汇报。
⒌工地发生危及安全的紧急情况时,有做出临时处理的责任,但事后应向工长汇报。
⒍在工长外出时,代替工长职务,对本班组的安全生产责任,执行工长岗位安全责任制。
⒎接受上级的安全检查、指导、验收、考核。
8筑牢安全第一的思想,严格执行路局435、489、497文件规定。
三、安全员岗位安全承诺:
⒈协助班组长进行每天的班前安全教育,并对教育情况签认。
⒉协助工班长对本班组职工,特别是新工、转岗工进行教育,检查、指导其正确使用和爱护劳动保护用品。
⒊常检查各种生产机具的安全保护装置及状态,发现问题及时向工长反映,并督促解决,保证各种机具在使用时处于良好状态。
⒋协助班组长和有关部门检查有毒有害物质、易燃易爆品的存放、运输、使用情况。
⒌监督工班长按章组织指挥生产,检查指导作业人员按章作业。
⒍发生行车人身事故,立即报告,积极参加抢修,协助分析原因,采取措施。
⒎及时发现和制止违章违纪,及时上报车间,对安全管理工作提出建议和改进的意见。及时、准确地填记本班组设置的安全管理台帐。
8筑牢安全第一的思想,严格执行路局435、489、497文件规定
9、对本次反思、检查、整改中检查出的问题,坚决杜绝,如再违犯,愿意承担三百条关键卡死制度之中规定的责任。
四、桥隧工岗位安全承诺:
⒈认真执行各项规章制度、作业标准,履行岗位职责,服从安全、生产指挥和分配,对工作积极主动,责任心强,安全生产意识强。
⒉按照技术操作规程,保质、保量、保安全的完成当日、当月的任务,向工区、车间负责。
⒊坚持安全第一,自觉遵章守纪,敢于制止违章违纪现象,有协助班组长搞好安全、生产管理的责任。
⒋参加班组安全分析会,针对安全、生产管理实际提出建议和改进措施,为搞好班组、车间安全管理出谋划策。
⒌对违章指挥、违章违纪有抵制、监督、举报的责任。
⒍工作中有按照规定穿带、正确使用劳动保护用品的责任,对自身的安全责任。
⒎认真学习本职业务技术、规章制度,提高业务安全素质和应变能力,遇危及行车、人身安全的问题,正确及时处理。
⒏接受上级领导、安全生产管理人员的检查、指导责任。
9.筑牢安全第一的思想,严格执行路局435、489、497文件规定
10、对本次反思、检查、整改中检查出的问题,坚决杜绝,如再违犯,愿意承担三百条关键卡死制度之中规定的责任
以上承诺:
各位如在生产作业中因违章违纪而发生各类事故和问题,愿接受上级组织的任何处罚和经济赔偿。
褒河桥路工区
8月8日
铁路党员安全承诺书
我是生产准备队党支部的一名党员,四季度,我将按照党支部的工作安排,在安全生产中高标准要求自己,积极发挥党员的先锋模范作用,在自己的工作岗位上努力实现无违章、无违纪、无事故的工作目标。现结合个人岗位实际做如下承诺:
一是带头强化责任意识。牢固树立安全责任大如天、安全责任重于泰山的思想,时刻牢记无违章、无违纪、无事故的工作目标和责任。
二是带头查摆整改问题。牢固树立安全责任无小事和细节决定成败的意识,认真梳理岗位工作,做到不放弃一处细节,不疏漏一处隐患,有则改之无则加勉。
三是带头提高业务素质。积极参加一日一题、一月一考等学技练功活动,认真学习技术业务和规章制度,切实提高应急处理能力。主动提速攻坚,争做业务骨干和技术能手。积极开展传、帮、带活动。
四是带头坚持作业标准。严格执行党员标准化作业一日工作流程,严格执行技术标准和安全措施,做到不走形式、不走样。
五是带头争创先锋岗区。对责任区内关键岗位、业务能力差和不放心的职工进行一对一包保,通过帮思想、带业务、盯关键,强化安全联控,消除安全薄弱环节。
承诺人:
证书策略 确保电子交易安全 篇3
最近,360公司与深圳沃通公司在网上就“带着身份证的木马”相互指责对方,事件不断在升级。360指责沃通没有管理好发放的代码签名证书,让木马披着合法的外衣到处流窜;而深圳沃通公司则认为,代码签名证书只能证明软件开发单位的数字身份,而不能证明其开发的是否是木马程序,并且,用户应该管理好自己的证书,证书如果丢失,可以立刻吊销证书,但如果证书丢失后不吊销,被木马利用了,不能将责任归咎于证书发放机构。微软等国际公司也持有同样的观点。双方就电子认证的可靠性形成了激烈的交锋。
“这说明了两件事情,一方面,对证书的使用和管理不当,可能造成用户的损失;另一方面,认证机构不同,对同一事件的认证差异也较大,对证书缺乏标准的认证,会造成用户的不信任。而解决的办法,就是推广和使用证书策略。”信息安全国家重点实验室副主任、中国科学院DCS中心常务副主任兼亚洲PKI联盟秘书长荆继武教授说。
什么是证书策略
那么,什么是证书策略呢?推广和使用它有什么现实意义呢?
1月21日,信息安全国家重点实验室在工信部信息安全协调司的支持下,召开了“电子认证证书策略与信任保障专家研讨会”,来自清华大学、中国人民大学、中国PKI联盟、香港PKI论坛以及多家CA公司的专家学者参加了研讨会。
积极推动证书策略的工信部信息安全协调司副司长欧阳武介绍,简单来讲,证书策略就是根据网上应用安全级别的不同,对不同的应用提供不同的证书,以保障交易的安全性。但由于应用的多样性,不可能对每种应用都发一种证书,因此,可以给具有共同安全要求的应用定义一类证书策略,遵守同样证书策略的认证机构(也称为CA公司)按照同样的安全要求签发证书。这样做的目的有三个:一是可以统一规范CA机构对同样安全需求和类别的应用的认证过程,这是实现CA机构之间互认证的基础;二是方便用户的使用,采用证书策略后,最终用户不需要了解认证的技术和细节,只需要知道“采用的是哪种认证策略的证书”就可以了,而对证书依赖方(也就是采用证书的企业,比如银行等)来说,只需要知道“依赖哪种认证策略的证书”就可以了;第三,证书策略对于监管机构来讲,是对认证市场进行规范的监管工具,是规范CA机构服务标准的一种政策工具,具有重要的现实意义。
之所以提出了证书策略的概念,是因为,虽然在信息安全领域我们已经有了惟一的一部电子签名法,但是在目前的电子商务和电子政务环境中,人们使用各种CA机构签发的数字证书后,依然面临着许多困惑,依然不断出现各种安全威胁。由于证书签发的质量各不相同,不同的证书安全强度也不一样,按照测试流程发放的证书应该不能用于正式的电子交易。由于我国目前缺乏对数字证书的分级,人们无法从证书中获知证书的安全等级。也正因为如此,当使用证书遭受损失的时候,人们难以求助相关的法律保障自己的权益,以致于人们开始怀疑数字证书的可靠性,甚至怀疑整个电子签名技术和市场的可靠性。
例如,曾经发生过这样的事情,一位网银用户在领取了银行发放的数字证书后,由于没有及时激活数字证书,自己账户中的百万元资金不翼而飞。专家在仔细分析后发现,主要原因在于用户没有及时激活USB Key,因此在Key中就没有产生相应的私钥和数字证书,也就达不到证书的效力(这一过程必须由用户完成,是为了防止银行工作人员作假)。与此同时,其他人冒用他的身份证重新申请了一个新的USB Key并激活,冒领了资金。银行的责任在于没有将相关的步骤和风险详细告之用户。对不懂技术的普通用户来说,了解一大堆专业术语和实现过程实在太为难了。这一结果,不仅对该用户是个巨大打击,相信他从此之后也不会再相信数字证书了,对整个数字证书产业而言,何尝不是个重大信任灾难呢?
此外,很多人都有过这样的经历:当登录某个网站时,微软浏览器上方常常显示“证书错误:导航已阻止”字样。这是因为,为了保证用户输入信息传输和存储的安全,许多网站都采用了服务器证书。但由于发放服务器证书的CA机构,有许多并没有通过微软浏览器的认证,因此,微软浏览器将这些证书都当成是非法证书。结果造成了最终用户的困惑和网站管理者的担忧,他们很难再相信那些CA机构发放的证书了。
“还有很多例子可以证明,目前我国CA机构良莠不齐,发放的证书存在许多差异;电子认证对最终用户的使用要求高,使用稍微不注意,就可能造成用户的损失,这造成了证书广泛应用的困难,也造成了人们对电子认证的不信任,影响了电子认证行业的发展。”荆继武教授说。
对于证书策略的提出,专家们一致认为是非常有意义、也非常及时的。
“在我国推行证书策略最大的创新在于,国内首次提出了对电子认证进行分级的概念。”北京天威诚信电子商务有限公司总经理殷文钢说。“以往各种CA机构都在按照自己的理解和用户需求发放证书,这些证书之间不能互认证,不具有可比性。一些技术和管理不过关的CA机构发放的证书给用户造成了损失,导致了用户对整个电子认证行业不信任,这是非常不好的现象。现在有了证书策略,至少给CA机构提出了一个新的底线,CA机构必须达到这个标准才能获得更高级别的经营许可,这对技术先进、管理到位的正规经营电子认证服务的公司是一个最大的利好消息。”他说。
证书策略
面临的挑战
然而,概念虽好,要真正实现有效的证书策略并非是一件简单的事情,而是一个复杂的系统工程。
首先面临的第一大难题是,如何在海量的应用中提炼出共性的安全需求?这是证书策略的基础,也是保证证书策略有效实施的关键。
“在目前的环境下,由于网上应用类型的千差万别和应用数量的庞大,不可能对所有的应用颁发不同的数字证书。因此,对应用安全进行科学的分类是面临的重要挑战。”荆继武教授说。
中国PKI联盟杜链主任认为,证书的分类原则和方法从总体上看一定是个性化的,同时要兼顾全局性、完整性和长远性。具体要重视三件事情:一是重视初始体系的建设,尽量考虑完整;二是需要政府出面刺激应用的动力;三是要有开放性滚动发展的思路,争取在短期内将工作推开。
目前,工信部专门委托信息安全国家重点实验室对证书策略进行重点研究。为此,信息安全国家重点实验室专门成立了一个证书策略研究小组,广泛调研了国际上证书策略制定的方法,正在积极探索适合中国国情的证书策略。
经过对国外证书策略的广泛调研,该实验室发现,各国划分证书策略等级的标准各不相同,但总体而言,是根据证书应用的范围进行划分的。信息安全国家重点实验室高能副教授和王展博士介绍,欧美许多国家和地区的证书策略是按照公众、组织和设备三个领域进行证书策略划分的。“比如,美国隶属于联邦首席信息官理事会的联邦PKI策略权威机构(FPKIPA),主要任务是制定证书策略和信任保障,并检查CA机构是否满足证书策略的要求。他们根据证书策略的四种应用范围分别制定了四套证书策略体系:居民和商业公共证书策略、美国联邦PKI公共策略框架、电子政务CA策略、联邦桥CA策略。
因此,我国在制定证书策略时,基本思路也是按照证书应用的范围,如是用于个人之间、政府机构之间,还是个人与政府之间等,制定不同的证书策略。
荆继武教授介绍,目前,我国证书策略分类的框架建议已经基本成型,目前正处于征求意见阶段,预计将于今年4月份对外公布,希望电子认证行业齐心协力,推动形成我国证书策略体系的国家标准。
证书策略面临的第二个重要挑战是,如何制定一个符合市场要求的证书策略检测办法。电子认证主管部门可通过这个检测和评估确保证书策略能有效实施,让CA机构能够提供符合技术和管理质量要求的证书,最终满足电子签名法的要求。
这是保障证书策略得以有效贯彻执行的手段,也是规范CA机构服务水平的措施,同时,通过检查,能最终实现各CA机构之间证书的互认证目标。
荆继武教授介绍,有了标准的证书策略,如何保障使用或依赖证书者的利益就是信任保障的主要内容。策略制定机构实施信任保障最重要的工作就是按照策略,检查发证机构是否制定了符合策略安全要求的认证业务规范,其中包括对证书依赖方的赔付等;其次是检查CA机构是否有能力实施其宣称的认证业务规范;最后还要检查发证机构是否认真准确地执行了所制定的认证业务规则。通过这些检查,确保标有某种证书策略的证书能够具有法律效率,能够保护使用者或依赖该证书的人的利益。
同样,基于策略的检测方法也将在今年4月份公布。
他山之石
实际上,国际社会早就对证书策略有了广泛的共识,并在积极探索不同的证书应用。以中国香港的数字证书发放为例,据香港公钥基建论坛有限公司项目顾问陈婉华女士介绍,香港目前的证书分成四种:一是身份认证证书,负责认证网上交易人的身份,相当于现实生活中的公民身份证;二是员工证书,用于识别组织内员工的身份,相当于现实生活中的工作证;三是邮件证书,用于识别电子邮件的真伪,保障邮件的安全;四是服务器证书,用于识别网络中的服务器的身份,保证对服务器的可追溯性和安全性。每个证书所保证的应用不同,因此,其安全级别也并不一样。
以身份认证证书为例,它能证明网上交易人的身份,但仅此而已,至于交易人利用该身份进行何种商务活动,是合法的还是犯法的,则不是证书保障的范围,这就像现实生活中的身份证一样,每个人都有一个身份证,可追溯到个人住址、电话等,最后能找到这个人。但如果此人犯了法,发放身份证的部门并没有责任,而必须从刑法的角度进行判断。目前,香港的网络身份认证证书已经与现实生活中的公民身份证进行捆绑,在公民身份证上有一片小小的IC卡,当公民进行网上交易时,插入现实中的身份证,就可以同时识别现实身份和网络身份,保证交易人的真实性。据陈婉华女士介绍,这一举措目前得到了越来越多的国际社会的认可,在欧洲的23个国家中,有7个国家已经将电子签名技术放在身份证中,未来,将有13个国家采用这一做法。
陈婉华女士介绍,为了推广电子签名技术,香港延续了30多年不变的公司法最近将进行修改,将电子签名等同于手写签名等条款加入到公司法中,正式确立电子签名的法律地位。
专家认为,这是一种特殊的证书策略,是适合香港这一特殊的地理和人文环境的面向公众应用的证书策略。面向电子政务、电子医疗等行业,还将进一步建立和推广独立的证书策略。这些做法,对于国内建立独特的证书策略
具有很好的参考价值。
建立联盟
推广证书应用
欧阳武副司长介绍,建立证书策略的最终目标,是积极推动电子证书在各个行业的广泛应用,以进一步推动我国电子政务、电子商务的安全发展。要实现这一目标,仅仅依靠证书策略是不够的,还需要业界联合起来,共同为最终用户建立一个安全的、方便使用的、风险最低的使用环境。
因此,在工信部的积极推动下,业界正在讨论成立一个可靠的电子签名联盟,由熟悉电子签名法的法官、律师、CA机构、技术专家等组成,为最终用户提供电子签名相关的各种服务,如不断推出标准的、安全的电子认证服务;同时还提供各种法律援助,目的是为最终用户提供傻瓜式的电子签名应用环境。用户不需要了解技术,也不需要了解相关的法律,只需要最简单的应用。万一发生了安全风险,联盟中的律师会提供相应的法律援助; 最大化地减轻用户的负担,确保电子签名技术真正应用起来,确保网上电子商务和电子政务的安全。
“在通过微软等国际浏览器巨头的认证方面,我们可以借鉴澳大利亚的经验。”荆继武介绍。目前,澳大利亚已经由政府牵头与微软达成协议,使澳大利亚CA机构颁发的证书能与微软IE浏览器无缝连接,使人们通过浏览器对网站进行访问时更加平滑。荆继武介绍:“国内可信认证联盟的另一重要目标也是希望通过政府的引导,与微软等国际浏览器厂商达成协议,使国内CA机构颁发的证书不再被微软浏览器认为是非法的,这样人们浏览网页时,就不会在IE浏览器中弹出一个非法证书界面,达到平滑浏览的效果,也达到人们对国内电子证书信任的目标。”
新品
EMC信息安全事业部RSA入华十年成就斐然
本报讯 1月22日,EMC信息安全事业部举行了盛大庆典,庆贺公司进入中国十年及为保卫中国行业信息安全所取得的成就。据EMC大中华区总裁叶成辉先生介绍,十年来,RSA保持着持续的高速增长,到目前为止,已经为中国的包括金融、电信、电子商务网站、大型企业等行业用户发放了14000多张令牌,持续保卫着用户的信息安全。
展望未来,专程来华的EMC执行副总裁、EMC信息安全事业部RSA总裁亚瑟•科维洛(Arthur W. Coviello)先生制定出了继续高速发展的新战略,即“通过高效、易于管理的系统/流程,确保正确的人、在可信的信息基础架构上、能够访问正确的信息。”
Double-Take公司升级Linux服务器备份系统
本报讯Double-Take软件公司近日宣布推出新的Double-Take Availability for Linux 4.6版本软件。它的实现方式是将一台服务器中的全部数据实时复制到另一个服务器上,可以让用户在出现服务器故障或数据丢失时,根据需求有效地完成数据恢复。它实现了对操作系统、各种系统软件、应用程序、应用数据等服务器中所有文件的实时保护。该版本还支持Novell SUSE Linux Enterprise Server (SLES) 9和11版本,是实现持续性全服务器保护及应用程序可用性的最佳解决方案。
国民技术打造安全U盘主控芯片
基于安全证书的PKI解决方案 篇4
PKI是基于证书的密码认证架构,各国的网络密码认证都普遍采用PKI技术,PKI已经成为各国各行业网络密码认证的标准,在亚洲还成立了亚洲PKI联盟。但是,国际标准的PKI的CA认证中心全部证书,包括证书信任链中的各个证书,都是以明文形式存储在CA认证中心的的数据库里。仅仅依靠防火墙和防病毒系统很难保证CA认证中心证书的安全,CA认证中心证书以明文形式存储是PKI的重大安全隐患。黑客能够利用计算机病毒替换证书来攻击PKI。为此,我们提出一种使用加密卡(或加密机)硬件设备,将全部证书加密成密文,存储在CA认证中心的证书数据库中,保证证书的存储安全和运行安全,实现“芯片级”的PKI安全协议,提高PKI的安全等级。
1 基于安全证书的PKI实施方案
1.1 建立安全PKI架构
在CA认证中心的服务器或小型机的PCI槽里,插入多块加密卡,或将多台加密机与CA认证中心的服务器或小型机链接,并在加密卡或加密机的芯片里,预存非对称密码算法、对称密码算法、一组固定的存储密钥K,以及各种安全协议如:身份认证协议、签名验证协议和服务器端SSL协议等。在客户端的USB-KEY的芯片里存放对称密码算法、非对称密码算法、用户的私钥、身份认证协议、数字签名协议和客户机端SSL协议,以及对应USB-KEY设备的用户证书(最终实体证书)。
1.2 建立安全证书系统
在证书初始化过程中,先将CA认证中心的全体最终实体证书加密成密文存储,由于证书格式和内容是标准的X.500(或X.509),若使用一组固定的对称密钥来加密全部用户的证书,则会造成重复报(是破译的重要条件),若用非对称密码算法加密,则运行速度较慢,非对称密码算法加解密速度若在计算机里运行,比对称密码算法加解密速度慢100倍,若在芯片硬件里运行,比对称密码算法加解密速度慢1000倍,这会影响各种安全协议的速度。为此,我们提出由CA认证中心端的加密卡或加密机芯片里的随机数发生器来产生一次一变的随机数,作为对称密钥即:加密证书的密钥,一组密钥加密一组最终实体证书,一次一密,并将全体最终实体证书加密成密文,存储在CA认证中心端的证书数据库里,将各个中级证书和根证书存放在CA认证中心加密卡或加密机设备的芯片里。
证书加密及密钥管理方法:
在密钥初始化过程中,首先,通过调用CA认证中心加密卡或加密机芯片里的随机数发生器,在芯片里产生一组随机数,将该随机数作为存储密钥K,其中:存储密钥是固定不变的,存储密钥K用于对所有加密证书的密钥进行加密。
其次,再调用CA认证中心加密卡或加密机芯片里的随机数发生器,在芯片里产生一组随机数L1,并将该随机数L1作为密钥K1,将CA认证中心证书数据库中的最终实体证书CA1输入芯片里,在芯片里,使用密钥K1将最终实体证书CA1加密成密文;在芯片里产生一组随机数L2,并将该随机数L2作为密钥K2,将CA认证中心证书数据库中的最终实体证书CA2输入芯片里,在芯片里,使用密钥K2将最终实体证书CA2加密成密文;……;在芯片里产生一组随机数Ln,并将该随机数n作为密钥Kn,将CA认证中心证书数据库中的最终实体证书CAn输入芯片里,在芯片里,使用密钥Kn将最终实体证书CAn加密成密文,其中:各个最终实体证书的序列号(证书的标识)Li,(i=1~n)不加密,证书序列号Li用于检索定位证书CAi密文,密钥Ki(i=1~n),为加密证书的密钥,n为CA认证中心中全体最终实体证书的总数。
再次,将证书CA1、证书CA2、……证书CAn的密文从芯片里输出,存放在CA认证中心证书数据库中。
最后,在芯片里,使用存储密钥K分别将K1、K2、……Kn加密成密文,分别生成K1’、K2’、……Kn’,再将K1’、K2’、……Kn’,分别存放在CA认证中心证书数据库对应最终实体证书CA1、CA2、……、CAn的密文记录的最后一个字段里。
1.3 建立CA认证中心的安全协议
PKI的安全协议如:身份认证协议、数字签名协议和SSL协议中,当CA认证中心端需要获取对应用户的最终实体证书时,根据客户端传输来的最终实体证书的序列号(标识),定位证书数据库中的最终实体证书记录的密文,并输入到CA认证中心加密卡或加密机的芯片里,在芯片里,用存储密钥K将最终实体证书对应的密钥密文Ki’(i=1~n)解密成明文即:Ki(i=1~n),再用Ki(i=1~n)来解密该最终实体证书得到其明文,之后,在芯片里再进行安全协议的其他操作,如:在身份认证协议中的其他操作包括:CA认证中心端加密系统,在芯片里调用对应用户最终实体CA证书的公钥,对客户端传来的用户最终实体CA证书的密文进行解密获得明文,并与CA认证中心端存储的对应用户的最终实体CA证书明文进行比对认证,来判断客户端的用户是否可信;在数字签名协议中的其他操作包括:CA认证中心端加密系统,在芯片里调用对应用户最终实体CA证书的公钥,对客户端传来文件数字签名进行解密,获得文件的摘要信息即:“数字指纹1”,再用调用摘要算法,对文件进行摘要得到文件的摘要信息即:文件的“数字指纹2”,通过对比“数字指纹1”和“数字指纹2”是否相同,来判别对文件进行签名的用户是否可信;在SSL协议中的其他操作包括:通过对比客户端和CA认证中心端的用户最终实体CA证书是否相同,完成双向认证后,再协商客户端和CA认证中心端的对称密码算法、及其版本和对称密钥,即:完成SSL协议的握手子协议,最后,执行SSL协议的记录子协议。从而,建立基于“芯片级”的PKI安全协议。
1.4 建立CA认证中心证书安全检测系统
在CA认证中心建立证书安全检测协议,定时对CA认证中心的全体信任链中的CA证书进行检测。其检测过程是,将CA认证中心证书数据库中全体最终实体CA证书,即:CA1、CA2、……、CAn的记录内容(包括:CAi的密文、证书标识、以及密钥密文Ki’),依次输入加密卡或加密机的芯片里,在芯片里,调用存储密钥K,分别将加密最终实体证书CAi(i=1~n)的密钥密文Ki’(i=1~n),解密成明文即:Ki(i=1~n),再用Ki(i=1~n)来解密对应的最终实体证书CAi(i=1~n)密文,获得其明文,之后,在芯片里,调用最下一级中级CA证书的公钥,对该已经解密成明文的最终实体证书CAi(i=1~n)进行签名验证,若没有通过签名验证的最终实体证书,则该最终实体证书CAi(i=1~n)视为已被篡改,若通过签名验证,则该最终实体证书CAi(i=1~n)未被篡改。从而,防止攻击者篡改CA证书,保证全部最终实体证书的安全、可信。
2 基于安全证书建立PKI的优势
在CA认证中心全部用户的最终实体证书都是以密文形式存储在证书数据库中,证书信任链上各中级证书和根证书存放在芯片硬件里,能保证认证中心全部最终实体证书、信任链上各个中级证书和根证书的存储安全,同时,保证CA认证中心端的各种证书是可信的;即使攻击者想篡改用户的最终实体证书,但是,在无法获得加密证书的密钥的情况下,也无法将篡改后的最终实体证书加密成攻击者可用的密文,从而,防止攻击者通过篡改最终实体证书,来攻击CA认证中心的各种安全协议。
存放在CA认证中心加密卡或加密机芯片里的全体中级CA证书和根CA证书,受到芯片硬件的保护,在第一次建立各个中级CA证书和根CA证书信任链时,在芯片里,对信任链上的各个中级CA证书和根CA证书进行验证,以后不再对信任链上的各个中级CA证书和根CA证书进行验证,也就是,当CA认证中心运行安全协议如:身份认证、签名验证和SSL协议时,各种安全协议不对证书信任链进行验证,即:不调用最下级中级证书对最终实体证书进行签名验证,也不调用上一级中级证书对下一级中级证书进行签名验证,也不用调用根证书对最上一级中级证书进行签名验证,从而,减少各种安全协议的部分环节,提高各安全协议的运行效率。
在CA认证中心端建立“芯片级”各种PKI安全协议(如:身份认证、签名验证和SSL协议),将各种PKI安全协议的各种环节都在芯片里完成,即:在芯片里,用存储密钥K解密密钥Ki’(i=1~n),生成密钥Ki(i=1~n),再用Ki(i=1~n)将最终实体证书密文解密成明文后,再进行安全协议的其他操作,从而,提高了PKI各种安全协议的安全等级。
在CA认证中心建立证书安全检测系统,定时对CA认证中心全体最终实体证书进行签名验证,检测CA认证中心的最终实体证书是否被篡改,以便及时对CA认证中心的最终实体证书进行恢复,保证CA认证中心各种安全协议能正常运行。
存储密钥K是在芯片里产生,用于对所有加密证书的密钥Ki(i=1~n)进行加密,存储密钥K存储在芯片里,且不输出芯片外,保证存储密钥K的存储和运行安全;加密证书的密钥Ki(i=1~n)是在芯片里,由随机数发生器产生,在芯片里,对最终实体证书进行加密操作,且保证一组加密证书的密钥Ki(i=1~n)加密一组最终实体证书,一次一密,不重复使用,加密证书的密钥Ki(i=1~n)不出芯片,且在芯片里被存储密钥K加密成密文后,从芯片里输出存储在证书数据库里,从而,保证加密证书密钥的存储安全和运行安全。
在芯片里将CA认证中心,将海量的最终实体证书数据以密文的形式,存放在CA认证中心的证书数据库中,同时,将证书信任链上的全部中级证书和根证书,以明文形式存储在CA认证中心加密卡或加密机的芯片里,不仅,能保证海量最终实体证书,以及证书信任链上的全部中级证书和根证书重要的数据的存储安全,而且,能大大减少CA认证中心购置加密设备硬件的建设成本。
3 结束语
本方案通过对标准PKI的分析,指出了PKI的CA认证中心普遍存在的用户证书安全漏洞,阐述了攻击者能够利用PKI存在的安全漏洞,攻击CA认证中心的方法和过程,提出了在证书初始化阶段对CA认证中心的全体最终实体CA证书进行加密,并将信任链上的各个中级证书和根证书存放在芯片里,保证CA认证中心全体最终实体CA证书,以及信任链上的各个中级CA证书和根CA证书数据的安全存储,防止攻击者利用计算机病毒替换用户的最终实体CA证书,来对PKI进行“张冠李戴”式攻击,同时,建立对最终实体CA证书实时进行安全检查系统,保证PKI的各种安全协议能安全运行,另外,将CA认证中心各中安全协议的主要环节都在芯片里实现,从而,建立基于“芯片级”的安全协议,来保证CA认证中心的安全等级。
参考文献
[1]龙毅宏.SSL证书被攻击、被假冒及服务被中止的风险分析——关于SSL证书的研究分析报告.武汉理工大学信息工程院.2011.
[2]肖凌,李之棠.公开密钥基础设施(PKI)结构.计算机工程与应用.2002.
[3]刘知贵,杨立春,蒲洁,张霜.基于PKI技术的数字签名身份认证系统.计算机应用研究.2004.
[4]Carlisle Adams,Steve Lloyd,冯登国.公开密钥基础设施——概念、标准和实施.2001.
安全保证书 篇5
1、珍爱生命,不断加强自我安全保护意识。
2、不骑飞车、并排车;不追车、爬车、抓车;不在马路上横冲直撞;不乘坐农用车、三轮车、拖拉机、敞蓬车和无证、无牌、无照及报废车辆。
3、注意饮食安全,不吃变质瓜果和食物,不乱吃零食,不乱喝饮料,不吃烤炸食品,不在无卫生保证的摊点就餐。
4、不私拉电线,玩弄电器;不到标有“有电危险”的地方和高压线下玩耍;不点火,玩火,烧荒。
5、不攀爬高墙、树木及不安全的设施;不进入建筑施工现场。 6、不进入网吧、歌舞厅等娱乐场所。 7、在规定的时间内上学、放学、返校、离校。
8、养成良好的生活习惯,不吸烟,不喝酒,不染发,不穿奇装异服。 9、不和陌生人接触;
10、不勒索、盗窃、损毁他人财物。 15、不接近有毒、有害、粉尘浓度高的环境; 12、不到池塘、水库和河流等危险地带游泳、玩耍。 13、不私自结伴出游。
14、自觉加强对传染性流行性疾病的预防,远离有传染病的人群,生病及时就医,不到有疫情的区域玩耍。
因自我约束不严或违反以上保证内容,造成安全事故的,与学校无关。
安全证书 篇6
【关键词】GNSS;CORS;固定参考站;数据处理中心;安全认证平台
【中图分类号】P228.4 【文献标识码】A 【文章编号】1672-5158(2012)09-0421-01
随着GNSS连续运行基准站系统CORS的应用和推广,近年国内CORS基准站的建设逐渐兴起。CORS系统的建立和应用,可以获取区域内某类空间的位置、时间信息及其相关的动态变化。通过建设若干永久性连续运行的GPS基准站,提供国际通用的基准站站点坐标和GPS测量数据,以满足各类不同行业用户精确定位,快速和实时定位、导航的需求,满足城市规划、国土测绘、地籍管理、城乡建设、智能电网、环境监测、防灾减灾、交通监控,等多种现代化信息化管理的社会需求,特别在智能电网建设中起到了举足轻重的作用。
为保障电网基础数据质量,企业通常采取建立CORS基站网、统一的测量基准、精确的国家2000坐标体系架构、差分手段等一系列的保障措施,CORS系统是卫星定位技术、计算机网络技术、数字通讯技术等高新科技多方位、深度结晶的产物,电力企业作为关乎国计民生的基础行业,企业内部各业务数据已基本在网络流转,企业在享受着信息系统所带来巨大经济效益的同时,也面临着高风险。一旦出现信息泄密或篡改数据的情况,将为国家造成难以估量的损失。
1、CORS系统构成
CORS系统包括3个部分:控制中心,固定站和用户部分。
1.1 控制中心(Control center)
整个系统的核心。它既是通讯控制中心,也是数据处理中心。用于接收各基准站数据,进行数据处理,形成多基准站差分定位用户数据,组成一定格式的数据文件,分发给用户。数据处理中心是CORS的核心单元,也是高精度实时动态定位得以实现的关键所在。中心24小时连续不断地根据各基准站所采集的实时观测数据在区域内进行整体建模解算,并通过现有的数据通信网络和无线数据播发网,向各类需要测量和导航的用户以国际通用格式提供码相位/载波相位差分改正信息,以便实时解算出流动站的精确点位。通过通讯线(光缆,ISDN,电话线)与所有的固定参考站通讯;通过无线网络(GSM,CDMA,GPRS……)与移动用户通讯。
1.2 基准站网
基准站网是由某一范围内均匀分布的固定参考站组成。负责采集GPS卫星观测数据并输送至数据处理中心,同时提供系统完好性监测服务。
1.3 数据通讯部分
CORS的数据通讯包括固定参考站到控制中心的通讯及控制中心到用户的通讯。参考站到控制中心的通讯网络负责将参考站的数据实时地传输给控制中心;控制中心和用户问的通讯网络负责将网络校正数据送给用户。一般来说,网络RTK系统有两种工作方式:单向方式和双向方式。在单向方式下,只是用户从控制中心获得校正数据,而所有用户得到的数据应该是一致的,如主辅站技术MAX;在双向方式下,用户还需将自己的粗略位置(单点定位方式产生)报告给控制中心,由控制中心有针对性地产生校正数据并传给特定的用户,每个用户得到的数据则可能不同,如虛拟参考站VRS技术。
1.4 用户部分
包括用户信息接收系统、网络型RTK定位系统、事后和快速精密定位系统以及自主式导航系统和监控定位系统等。
2、GORS数据通讯网络构建
CORS系统的通讯分两个层面,一个是基准站到数据处理中心的通讯,另一个就是数据处理中心到移动站的通讯。
2.1 从固定参考站到控制中心通讯专线的建立
基准站到数据处理中心的通讯,因为数据量较大,距离远,而且传输速度和传输的稳定性要求比较高,需要考虑的是可靠性、实时性、通信速率、可扩充性(能按需要扩充基准站))等要求,一般都是有线方式,最好是专线。由系统建设单位自行敷设通讯线路并组网成本太高周期太长,难以实施。可根据当地的电信运营商提供的不同公网接入方式,由电信运营商采用IP虚拟专网等技术组成专网,采用HDSL、DDN、FR、SDH、数字电路设置专线来实现基站到数据中心的数据传输通讯。根据目前国内的实际情况,各大电信运营商都能提供稳定合格的公用互联网接入和专用数据传输线路及方式。作为CORS建设单位可根据CORS系统组网的方式、规模来选择不同的通讯数据传输构建方式。不仅可靠性、安全性高而且成本低。
2.2 数据处理中心到移动站通讯的建立
数据中心首先必须接入公用互联网,并且必须取得固定公用互联网IP地址,才能供客户访问并获取改正数据。
目前各移动站设备制造商基本上都是采用移动通讯网络的无线连接方式,也叫分组交换方式通俗地说就是上网,用户的GSM模块开通了GPRS或者CDMA的上网功能,在用户端相关通讯设置中按数据处理中心给出固定的一个IP地址、Port端口号,用户名和密码,就像登陆网站的一样。用户登录了网站,选择页面,就可以实时的得到改正数据,而其通讯的协议是国际标准的NTRIP协议。
3、基于数字证书安全认证平台的实现
基于数字证书安全认证平台的实现是主要通过在服务器端搭建安全支撑平台和客户端搭建客户端安全应用平台,企业的各种应用接入安全认证平台后,通过客户端和服务器端的交互认证,来实现企业应用安全的控制。
对于电力企业来说,安全认证平台是构建智能电网信息安全接入体系的核心基础安全防护设施,USAP依托电网原有的防火墙、IDS等物理安全基础设施、PKI/PMI等信息安全基础设施等,基于统一安全策略和统一安全管理的思想进行系统架构设计,有效、安全地承载各种电力业务应用,对外统一提供“安全通道、身份认证、安全接入、访问控制、数据交换、集中监管”等核心功能。
4、基于数字证书安全认证平台的00R$基站数据通讯和组网
目前,随着智能电网的构建,公安部、国家保密局、国家密码管理局、电监会等国家有关部门对电网企业信息安全工作要求也不断提高,基于数字证书安全认证平台的CORS基站数据通讯和组网,不仅能满足CORS基站高速、有效运行,更能有效确保企业信息内容的机密性、完整性、可用性。
4.1 前置机安全加固
前置机上安装USAP承建商开发的安全接入终端和安全专控软件,终端先将数据发送到安全接入平台交换机,再由内部交换机强制转发给前置机,终端发送出的数据经过安全接入终端软件的商密算法加密,再转发到安全接入平台服务区。
前置机设置防火墙,限制前置机出口IP地址和端口,并且在安全接入平台内部三层交换机上加入特定路由,强制终端访问特定的内网服务器,而不能访问其他内网业务服务器,保证了内网业务服务器的安全;
前置机数据流进入安全接入平台内部三层交换机,通过USAP的安全接入区、接入服务区进行安全认证接入并进行安全服务访问,通过内网业务提供的安全应用接口进行安全数据访问。
4.2 用户终端加固
安全终端主要通过终端安全专控软件(终端安全模块、安全连接软件模块、安全加固软件模块等)和安全硬件、系统整体定制等实现安全终端整体防护框架,主要功能包括移动终端完整性检验、基于角色及各种组合方式的强身份认证、终端安全加固、业务应用安全控制、综合访问控制、安全管理、数据安全存储和安全访问等等。
5、结语
安全证书 篇7
时间地点:6月15—28日北京
7月20日—8月2日上海
培训对象:英国以外国家的经理、监督、员工代表, 从事健康和安全工作的人员。
培训简介:国际职业安全和健康通用证书 (NEBOSH IGC) 是国际公认的职业安全与健康资格考试证书。考试合格后颁发全球140多个国家认可的国际安全专业证书。
培训内容:健康和安全管理;工作场所风险控制;作业现场安全检查和评估。
培训优势:海油安技服是中国海洋石油系统内以质量、健康、安全、环保为一体的综合性专业安全技术服务机构, 同时也是中国区来自业主方的NEBOSH授权培训中心, 在国际人才培养方面有着独特的优势。
电话:022-65668352-832 15921412166
邮箱:aqpx@cnooc.com.cn
安全证书 篇8
中海油安全技术服务有限公司
培训对象:
项目经理、监督、员工代表, 从事健康和安全工作的人员。
培训简介:国际职业安全和健康通用证书 (NEBOSH IGC) 是国际公认的职业安全与健康资格考试证书。考试合格后颁发全球140多个国家认可的国际安全专业证书。证书持有者如有5年以上职业健康与安全工作经验即可申请为英国最大的专业机构——职业健康与安全协会 (IOSH) 的技术会员。此证书也能满足风险和安全管理国际协会的准会员资格 (AIIRSM) 。
培训内容:健康和安全管理;工作场所风险控制;作业现场安全检查和评估。
培训安排:
培训优势:海油安技服是中国海洋石油系统内以质量、健康、安全、环保为一体的综合性专业安全技术服务机构, 同时也是中国区来自业主方的NEBOSH授权培训中心, 在国际人才培养方面有着独特的优势。
电话:022-65668353-852 13622060163
邮箱:aqpx@cnooc.com.cn
gaoxiaojuan1@outlook.com
安全证书 篇9
电力系统远程拨号应用非常广泛, 如能量管理系统 (EMS) 、相角测量系统、电能计量系统实时和准实时系统的远程维护, 以及调度生产管理系统厂站操作票应用、电厂数据传输等。基于广域网组成部分之一的公共交换电话网 (PSTN) 和电力内网的拨号通信, 客观上存在一定的安全风险。广域网上用户复杂, 黑客、间谍、病毒等非常猖獗, 对电力控制系统的数据传输安全性、可靠性、实时性等影响较大, 中国电力数据网络必须对广域网用户授权管理, 并进行边界安全设备部署防护[1,2]。虽然电力系统对这些安全问题已开始逐步重视, 但还没有完善细致的远程拨号安全解决方案。因此, 本文针对电力远程拨号可能存在的所有安全问题进行了详细分析, 并对此进行电力安全拨号认证系统的系统部署、逻辑设计、功能框架结构设计等, 以实现完善的电力远程拨号应用的安全防护。
1 传统远程拨号系统安全性分析
长久以来, 传统远程拨号系统的结构都是采用拨号服务器进行远程拨号接入, 并使用基于挑战握手身份验证协议 (CHAP) /微软挑战握手身份验证协议 (MS-CHAP) 的身份验证方式[3], 电力系统Ⅰ区EMS/广域测量系统 (WAMS) 等的远程拨号维护应用的部署如图1所示。
传统的电力系统拨号应用接入方式存在很多安全隐患:
1) 拨号客户端主机安全性。在用户名、口令正确的前提下, 任何客户端主机都可进行拨号连接, 包括未及时安装、升级系统补丁、防火墙软件、防病毒软件的主机。这些主机存在一定安全风险, 可能作为黑客进攻的跳板。
2) CHAP/MS-CHAP身份认证机制的局限性。目前拨号系统大多基于CHAP/MS-CHAP, 通过单向哈希算法等进行用户身份鉴别, 但协议本身存在重大安全缺陷, 如易受字典攻击、重放攻击[3]等。更突出的问题是, 在拨号系统实际运行中, 口令的强度、安全性、授权使用难以保证, 大多数口令易猜测获取, 并长久不变;为使用方便, 共用账户登录现象非常普遍, 难以进行有效的身份鉴别, 而通过建立多账户管理并定期修改口令, 虽可提高安全性, 但由于拨号客户端较多, 造成管理复杂、成本较高。
3) 拨号过程数据安全传输问题。在拨号过程中, 大量业务数据包括敏感数据都经由PSTN明文传输, 无任何保密措施, 很容易被窃听和篡改。
4) 网络层协议访问控制问题。受系统软件限制、管理成本等影响, 对用户拨号访问基本没有协议、地址、端口等访问控制, 或控制粒度较粗, 用户通过认证后经交换机基本可访问所有内网主机。
5) 应用层协议访问控制问题。几乎所有拨号系统对用户拨号访问都没有应用层协议访问控制, 对常见应用协议, 如Telnet、rlogin、文件传输协议 (FTP) 、超文本传输协议 (HTTP) 、远程桌面协议 (RDP) 等没有安全监控、过滤, 用户可执行任何命令操作。
6) 用户行为安全审计问题。大多数拨号系统无安全审计或仅有网络层审计, 对于上述第2、第4和第5个问题, 目前大多数电力拨号系统安全审计粒度较粗, 无法对用户具体操作行为审计, 更无法追究用户真正身份。
以上的安全问题相互联系, 反映了目前的拨号系统在安全架构设计方面存在着重大缺陷, 本文将结合电力系统实际情况, 引入一些关键技术进行电力安全拨号认证系统的安全架构设计来解决上述问题。
2 电力安全拨号认证系统设计
2.1 系统结构设计
电力安全拨号认证系统主要由客户端系统和服务器端系统组成。如图2所示。
1) 客户端
拨号客户端通过内置数字证书智能卡进行本地身份验证, 并部署专用安全拨号软件进行与服务器端的认证交互。
2) 电力系统主站
部署内置电力加密卡的安全拨号认证网关。电力加密卡用于存放密钥及数字证书。拨号网关硬件结构采用Motorola 公司PowerPC处理器架构及嵌入式Linux安全操作系统内核, 以确保系统整体抗攻击性和高性能。
通过客户端和拨号网关自身持有的数字证书进行双方强身份验证, 建立安全加密隧道进行安全保密通信。在安全隧道中, 通过客户端安全拨号软件和服务器端的安全认证接入软件进行可信认证接入和细粒度的访问控制及安全审计。
2.2 基于数字证书的身份认证机制
为克服传统用户名口令验证机制缺陷, 考虑结合数字证书的身份验证方式, 采用智能卡、电力加密卡作为密钥存储和硬件运算介质。
2.2.1 公钥基础设施与数字证书系统
公钥基础设施[4,5] (PKI) 是用非对称密码算法原理和技术实现并提供安全服务的具有通用性的安全基础设施。用户可利用PKI平台提供的安全服务进行安全通信。使用基于公钥技术平台的用户建立安全通信信任机制的基础是:网络间进行的任何需要提供安全服务的通信都是建立在公钥的基础上的, 而与公钥匹配的私钥只掌握于合法通信实体本身。数字证书为一个用户身份和公钥的结合, 这种结合是证书权威认证机构[4,5] (CA) 进行授权的, 它是PKI的核心组成部分, 是数字证书的签发机构。通过CA这一PKI应用中权威、可信任、公正的机构的签名授权以及对子CA授权形成的证书信任链, 可唯一识别一个实体的身份并用于信息加解密、签名认证等。
目前电力系统普遍部署了基于PKI体系的CA系统, 用于对电力生产及管理系统与数据网上的用户、关键网络设备、服务器提供数字证书服务。文献[6]就提出了一种基于PKI的变电站自动化系统访问安全管理的实现和应用结构。
2.2.2 基于数字证书的身份验证
系统实际通信前, 客户端和拨号网关都必须申请数字证书。客户端智能卡证书由管理员直接调用硬件生成并置入, 私钥由片上操作系统[7]保护, 不能出卡。拨号网关调用硬件加密单元, 生成符合公钥加密第10项标准[4,5] (PKCS#10) 格式的证书请求文件, 由管理员将此请求文件提交CA进行签发。拨号网关私钥由加密芯片保护, 双方申请都必须经过有关管理部门严格审核。
数字证书标准域信息主要含颁发者、被颁发者, 含具体单位、部门、姓名等, 以及有效时间、公开密钥值、CA签名算法、授权签名 (表明权威性) 等。扩展域信息表明对该证书的密钥使用权限 (数字签名、密钥协商等) , 以限制密钥使用范围。
2.2.3 数字证书的硬件载体
客户端数字证书存储介质为智能卡。智能卡[7]是具有复杂安全体系和片上操作系统的智能卡片, 具有高度安全性, 通过特殊硬、软件设计使密钥产生、证书等文件存放达到很高安全级别, 广泛应用于网银、税控等, 是双因素认证[5,7]的最普遍形式, 即只有同时拥有智能卡硬件和掌握个人识别码 (PIN) [7]的人才具有证书使用权限, 安全性很高, 目前主流接口形式为USB。
同时, 服务器端拨号网关的密钥及证书等加密存储于内嵌电力专用加密芯片的电力加密卡安全存储区内, 密钥和证书等均受专用加密算法加密保护存放。加密芯片和加密卡均经过国家保密局审批, 具有高度的安全性。
2.3 软件体系结构设计
2.3.1 软件体系设计及组成
电力安全拨号认证系统功能框架如图3所示。
客户端安全拨号软件主要包括Modem通信模块、智能卡认证模块、客户端扫描模块、数据通信模块等。服务器端安全接入软件主要包括Modem通信模块、证书认证模块、访控与授权模块及规则配置、安全审计模块等。双方交互的主要过程如下:
1) 管理员终端通过配置接口设置系统安全策略, 对内网资源、用户组、用户、访问权限等设置, 对客户端接入标准, 如操作系统及内核、补丁版本、防火墙类型及开启状态、防病毒软件类型及开启状态、防病毒软件病毒库版本和风险服务及端口等进行定制, 保存于安全策略数据库中。
2) 客户端软件及拨号网关侧同时配置正确的CA证书链[4,5]和黑名单 (CRL) [4,5]列表, 以进行后续证书双验证。
3) 两侧建立Modem通信信道连接, 通过智能卡及数字证书认证模块等进行双方证书互验, 双方必须通过以下认证步骤。①拨号客户端插入智能卡PIN码初验身份, 3次PIN码错误将锁死, 必须重新提交直属电力CA进行重新签发, 以确保禁止非法用户尝试;②证书链合法性验证:按照由下而上方式尝试搜寻并依序验证1级CA、2级CA、3级CA等证书链的签名是否合法, 能否顺利验签待验证书合法性;③数字证书解析及有效性验证:按照X.509数字证书标准解析相关字段, 检查待验证书颁发者信息是否和直属CA证书一致, 验证证书归属地、主题、组织、组织机构、密钥详细用途等字段的有效性等;④时效性验证:双方检查各自系统协调世界时间 (UTC) 时钟, 并根据过程2中取得的起、止时间校验双方证书时效性, 超过有效期的证书不能用于身份验证及后续密钥协商等过程;⑤CRL验证:根据证书吊销列表, 通过证书序列号等搜索匹配待验证书, 如已作废, 则待验证书非法。
4) 两侧数据加解密及通信模块调用硬件算法如RSA, 3DES, AES, SHA1等按照IPSec (IP security protocol) 或其他协议进行IKE (internet key exchange protocol) 密钥协商[4,5,8], 建立基于对称算法的加密隧道, 对后续通信全程加密、签名认证。原始IP报文经过加密、签名后可以消除报文传输过程中被窃听、被篡改的风险, 而且动态密钥协商模块定时协商、更换加密密钥, 增加了黑客破解、攻击的难度, 有效地保证了数据的完整性、保密性、不可抵赖性。
5) 对不同类型客户端, 依据预定义接入标准, 由客户端扫描模块进行系统动态安全检查 (一般定时周期为30 s~60 s) , 及时判断客户端主机系统当前的健康状态并传递给服务器端进行仲裁, 对存在安全风险的主机如未及时升级系统补丁、防病毒库版本太低、存在风险端口服务等情况均进行警告并拒绝接入。
6) 拨号网关系统模块依靠通信总线进行消息通信, 依据全局策略进行安全控制。Modem通信模块进行拨入号码、物理端口限制;数据包过滤模块、访控与授权模块通过用户层接口和内核报文重组模块通信, 对报文的协议、端口、地址进行过滤, 阻止畸形、碎片的攻击以及其他非法报文通过, 并进行详细的日志记录。
7) 除进行上述网络层控制外, 通过应用协议过滤模块, 可同时对接入用户越权、危险动作进行过滤, 如针对telnet协议命令shutdown、kill、rm等进行正则表达式匹配过滤, 确保可能的操作不会危及内网主机安全, 并通过Syslog日志系统进行日志审计。
8) 所有模块日志信息包括非法报文丢弃信息、攻击信息和会话通信信息 (包括真实用户身份、连接建立与终止时间、分配IP、通信持续时间、数据流量、通信协议、地址、端口、操作命令及参数) 等都通过Syslog日志接口发送给安全审计模块进行详细记录审计, 并在重大事件发生时通过硬件接口进行声光报警。管理员对远程拨号访问发生的全部事件一目了然, 便于事后追查和修补漏洞。
2.3.2 系统技术特点
与电力传统拨号系统相比, 该系统具有以下显著特点:
1) 身份验证强度高。客户端和拨号网关双方通过数字证书体系的数字证书及硬件密码算法进行彼此身份验证, 验证强度高、安全性好, 并且管理简捷、安全, 管理成本低。
2) 可信安全接入与有效访问控制。客户端和服务器端分别部署专用安全软件进行安全扫描、加密隧道协商、数据加密签名、数据过滤、安全监控、网络及应用层访问控制、安全审计等, 既保证了通信过程中数据的保密性、完整性、不可抵赖性, 又可进行细粒度访问控制, 并可对用户具体操作进行详细审计;对客户端主机安全性进行的监控和评估, 避免了风险接入可能对内网造成的侵害。
3) 系统可扩展性好。凡是符合ISO 7816[7]、微软CSP (cryptographic service provider) [4,5,7]标准的智能卡都可以作为客户端数字证书载体。针对电力用户需求, 可定制开发新的应用协议过滤模块, 以进行细粒度访问控制及用户行为安全审计。
4) 密码运算安全、高速。客户端和服务器端的安全软件底层基于硬件智能卡、电力专用加密芯片进行硬件算法运算, 加密保护通信过程的全部数据, 全部运算在硬件中进行, 安全性、稳定性、实时性高。实测RSA非对称算法可实现1 024 bit公钥运算2 000次/s、私钥运算800次/s。
5) 实际通信速率良好。文献[9]提出了一种用于发电竞价信息的加密系统开发方法, 直接调用RSA非对称算法加密, 而RSA非对称算法速度较慢[8], 其系统运算开销比3DES等对称算法大, 不适合长时间、大数据量数据加密传送。而本系统通过动态协商的对称密钥加密, 既保证数据报文保密传送, 又在拨号网络的低速通道中加快了系统传输速度。拨号过程实测加密通信速率平均为上行27.4 kbit/s (下行30 kbit/s) 和56 kbit/s Modem正常明文平均通信速率上行33.6 kbit/s (下行40 kbit/s) 比较下降了18.45% (25%) , 根据用户现场对ANSI类Telnet/SSH的命令行终端、WTS (windows terminal service) 等远程桌面类图形界面终端的测试, 操作响应时间在可接受范围内, 可进行正常的远程维护和数据传输。
3 结语
本文设计的电力安全拨号认证系统, 针对传统拨号应用中存在的安全问题, 通过采用多种安全技术, 如基于数字证书验证、安全扫描、隧道加密、网络层和应用层访控技术、细粒度安全审计技术等, 进行了新的系统结构及软件体系设计, 较大地增强了电力远程拨号应用的安全性及防护能力。
目前, 该系统的软、硬件设备已广泛应用于全国各级电力调度中心和电厂、变电站等, 对电力远程拨号应用的安全防护起到了重要作用, 对落实《电力二次系统安全防护总体方案》的有关规定有重大的现实意义, 并有力地保障了电力系统安全监控、生产的进行。
参考文献
[1]辛耀中, 胡红升, 卢长燕, 等.中国电力数据网络建设和运行中应注意的四个关系.电力系统自动化, 1998, 22 (1) :1-5.XI N Yaozhong, HU Hongshen, LU Changyan, et al.The fourrelationships having to be considered in the construction andoperation of China electric power data network.Automation ofElectric Power Systems, 1998, 22 (1) :1-5.
[2]辛耀中.电力信息化几个问题的探讨.电力信息化, 2003, 1 (3) :20-23.XI N Yaozhong.Discussion on electric power informationtechnology.Electric Power Information Technology, 2003, 1 (3) :20-23.
[3]李焕洲, 林宏刚, 戴宗坤, 等.MS-CHAP鉴别协议安全性分析.四川大学学报:工程科学版, 2005, 37 (6) :12-15.LI Huanzhou, LI N Honggang, DAI Zongkun, et al.Analysison the security of MS-CHAP.Journal of Sichuan University:Engineering Science Edition, 2005, 37 (6) :12-15.
[4]NASH A, DUANE W, JOSEPHC, et al.PKI:i mplementingand managing E-security.New York, NY, USA:Osborne/McGraw-Hill, 2001.
[5]ADAMS C, LLOYD S.Understanding PKI:concepts, standards, and deployment considerations.2nd ed.UpperSaddle River, NJ, USA:Addison-Wesley Pub Co, 2002.
[6]段斌, 刘念, 王健, 等.基于PKI/PMI的变电站自动化系统访问安全管理.电力系统自动化, 2005, 29 (23) :58-63.DUAN Bin, LI U Nian, WANG Jian, et al.Access security ofsubstation automation systems based on PKI/PMI.Automationof Electric Power Systems, 2005, 29 (23) :58-63.
[7]李祥.智能卡研发技术与工程实践.北京:人民邮电出版社, 2003.
[8]STALLI NGS W.密码编码学与网络安全.孟庆树, 王丽娜, 傅建明, 等译.北京:电子工业出版社, 2006.
数字证书在网络安全中的应用 篇10
一、数字证书简介
数字证书在英文中称作digital certificate。它其实就是一种由权威机构颁发的一种电子文档格式的证书。数字证书可以对我们在网上进行交流的信息进行加密或解密, 亦或是进行信息验证等。在经过数字证书加密之后, 我们原来的文档信息还是完整的, 但机密性相对增强了, 只有制定的人员和机构才能看见。我们的信息和资料在进行网上传输的过程中, 就算被不法分子截获, 由于其没有相应的数字证书验证, 也很难打开资料文档。在数字证书颁发机构中, CA中心算是比较有权威的、可靠的第三方机构。这种机构由国家颁发相应的资格证书, 这样不仅能使信息安全能得到很好的保证, 还能保证其在国家的掌控之下。网上信息浏览尤其是进行网上交易的人员在有了数字证书的保护之后, 其安全性会大大提高。而且值得一提的是, 数字证书的安装和使用较为渐变, 能被多数人所熟知和应用。
二、数字证书的重要应用领域
1. 网上银行。
网上银行由于给人们的资产交易带来了极大的便利性而备受关注, 用户可以通过网上银行获取信息服务和金融交易服务。由于交易的进行需要借助计算机等硬件措施在网络空间上进行, 这就使得网上银行也会面临网络安全方面的众多问题。但当数字证书应用在网络银行的金融信息处理以及对公 (B2B) 、对私 (B2C) 等银行业务时, 会使信息交流的安全性大大提高。
网上银行数字证书工作的主要流程为:当客户和银行使用相同的证书认证中心时, 客户只需要对银行证书上的CA签名与从数据库中取得的证书进行验证即可;当客户和银行使用不同的CA时, 问题处理过程相对繁琐一些, 用户和银行需要从各自办法数字证书的认证中心向上一级进行验证, 直到找出两者共同信任的证书认证中心为止。目前用户一般都是从银行申请数字证书的安装, 所以一般不会出现证书为不同认证中心办法这种情况。
2. 电子商务。
当电子商务疯狂的覆盖全球各个行业的过程中, 安全问题是其推进过程中的重大障碍。数字证书由于在保证信息传递的不可抵赖性、安全性、可靠性和完整性方面有独特的优势而在电子商务中有着重要的应用。数字证书可以提供身份认证、数字签名等加密技术并有一套严密的身份认证系统, 能为电子商务安全性提供保障。是目前来说切实可行的安全问题解决方案。另外, 数字证书的使用过程十分简便, 这也是其在电子商务中广泛应用的原因之一。用户只需向证书签发机构提出申请就可以获得证书颁发机构分配的公钥并和自己的身份信息绑定, 经证书颁发机构签字后即可形成数字证书使用。
3. 数字签章。
像合同文书上的签字和印章一样, 在Wonl、Excel、PDF等各类电子文档上也可以通过数字证书技术添加上防伪、防抵赖作用的电子签章, 若再嵌入传统的印章团, 则效果就可比拟物理签章, 而且具有更高的安全性。数字签章是数字证书和数字水印等技术的融合, 使文件传递过程较为方便, 并且具有绿色环保的作用, 免去了纸张传递的繁琐和浪费。
4. 其他应用领域。
在专用网、互联网等领域, 也会处于安全的考虑而使用数字证书进行信息的传递。其具体应用主要有电子印章、访问安全站点、网上订购、发送安全电子邮件、网上签约、政府网上办公、网上缴费、网上招标投标、网上报关、网上购物和安全网上公文传送等。
三、结束语