欢迎您访问中国电子认证服务产业联盟官方网站!
服务热线: 400-085-6811   |   设为首页   |   会员申请
解决方案
解决方案
当前所在位置 首页  »  解决方案

工商局电子签名集成认证平台建设方案

来源:本站   发布时间:2014-12-10 10:44:19   浏览量:

1.项目概况

1.1 项目名称

工商局电子签名集成认证平台建设方案

1.2 项目建设单位

项目建设单位:某某工商行政管理局

1.3 方案编制单位

编制单位:某某工商经济信息中心

1.4 方案编制依据

1、国家工商总局工商登记制度改革信息化建设技术方案(暂行)

2、国家工商总局电子营业执照系统建设技术方案(暂行)

3、国家工商总局《“金信工程”技术方案》

4、《电子签名法》

1.5 项目建设目标、内容、周期

1.5.1 建设目标

1.为积极贯彻落实国务院工商登记改革制度会议精神,根据《国家工商总局注册资本登记制度改革方案》、《某某工商登记制度改革方案》,依托《电子签名法》在企业年报系统、全程电子化网上登记系统等系统中引入多家CA证书或银行U盾认证,方便群众办事,简化办事流程,提高办事效率。

2.以公开密钥体系(PKI)技术为核心,建立一套完整、安全、可靠的应用安全支撑平台,实现对多信任系统的证书深化运行进行整合,提供标准、统一的应用安全服务池,为应用系统基于公开密钥体系(PKI)的高效、无缝的安全接入奠定基础;

3.建设一套基于多信任体系证书操作行为的审计、统计系统及关键设备、服务的运行情况监控系统,确保能及时、精准的掌握应用系统推广使用情况及各体系、各数字证书的使用情况。同时能够实现对系统内设备、服务运行情况的实时监控,便于故障及问题的提前预警以及快速定位排查,确保重要设备、服务的稳定运行。

1.5.2 建设内容

1.基于公开密钥体系(PKI)技术,建设一套完整、安全、可靠的应用安全支撑平台,实现对多信任系统的证书深化运行进行整合,提供标准、统一的应用安全服务池,为应用系统基于公开密钥体系(PKI)的高效、无缝的安全接入奠定基础,构建我局数字证书统一应用平台。

2.为实现数字证书统一应用平台,进行相关专用硬件设备的采购及定制化开发。

1.5.3 建设周期

项目建设期:2个月。

1.6 项目总预算

本项目投资约万元。

2.项目背景及现状分析

2.1 项目背景

成都工商各类网上业务和企业信用公示应用中,需要支持多家第三方数字证书服务机构参与并提供相应证书验证、数字签名及验签服务,根据功能(服务)归类管理的原则,将成都工商数字证书应用的总体功能分解为数字证书统一应用平台、电子文档统一管理系统、电子营业执照管理系统、全程电子化网上登记系统和企业信用公示系统等五个部分。

数字证书统一应用平台需要为成都工商各项业务涉及的内网和外网业务系统数字证书应用提供运行支撑,同时需要为电子营业执照管理系统提供数字证书统一应用服务。

2.2 现状分析

2.2.1数字证书在工商系统应用现状

我局于2012年建设完成“全程网上年检系统”,通过数字认证的企业可通过互联网进行年检,符合相关要求的企业不必再到工商窗口办理年检事宜,极大地方便了企业。2012年到2013年期间,全市通过全程网上年检系统申请年检的企业户数共计22480户(次)。目前实现了登陆验证、数字签名等功能,有了一定的应用基础,也实现了基于数字证书的电子签章系统。

2.2.5 当前存在的问题

2.2.5.1缺乏以公开密钥体系(PKI)技术为核心、可扩展可伸缩的统一应用安全支撑体系架构

现有系统内虽然在部分流程环节引入的数字证书技术,但只解决了部分用户在登录认证层面的问题,证书运用深化运用扩展程度不够高,关键性操作存在安全隐患;

此外,证书来源于多个信任体系(如:某某CA、银行U盾、等),且还存在着不断延伸、扩展的可能。对于各信任体系证书之间缺乏高效、统一整合方式及手段,导致证书接口标准不一、证书整合运用成本高且较难实现,一定程度上也影响了系统的安全、可靠推广;

2.2.5.2多信任体系间数字证书的统一认证问题

受限于系统内,需要存在多个信任系统证书的实际情况,若是全面推行证书认证,对系统改造量极大、接口难实现统一、运维管理维护困难,因此现有系统在登录认证环节只对少量用户实现了数字证书认证,绝大部分用户依旧采用普通的“用户名+口令”方式进行业务登陆,这样的低安全级别认证方式存在不小的安全隐患。

2.2.5.3关键业务操作抗抵赖、敏感数据安全防护问题

由于系统内申报、审核、审批及归档等流程涉及到一些关键性操作及敏感性数据,目前针对此环节暂缺乏可靠、安全的技术保障。因此在多信任系统的情况下如何通过数字签名保障数据的完整性和不可否认性,也是目前系统急待解决的问题之一。

2.2.5.4关键、核心设备及系统的集中管理及运行监控

一旦数字证书在系统内全面推广,基于数字证书的统一认证、数字签名验签即将成为业务逻辑中的关键流程,对于支撑平台内设备、系统的配置和维护将成为日常运维工作的重要组成部分,因此需要对平台相关配置进行集中管理,同时对于平台运行情况的及时掌握更能保障整个应用系统的安全、高效运行。

3.建设需求

根据某某工商业务的性质,可以将某某工商局对于数字证书统一应用平台的需求概括为如下几个方面:

3.1实现多种证书源证书接入管理需求

当前,各地工商系统如果开展网上业务办理,都是采用向每一个企业发放第三方数字证书,并且每一年都向企业收取一定的数字证书服务费,如果需要实现对PDF电子类文件的数字签名或电子签章,还需要支付电子签章费用,这无形中增加了工商企业的负担,在国家进行工商企业商事登记制度改革,为企业营造更宽松经营环境的今天,已经不可能再向企业收费,但如果由财政承担这一部分费用,也是不可能支持的。在这种情况下,整合目前企业已有的证书资源,直接使用是唯一可行的办法,目前企业可能通过工商、税务、社保、公积金、公共资源交易中心、政府采购中心、各个银行等方面领取了数字证书,并且支付了年服务费,因此该平台首先要支持接入企业已有的第三方数字证书和银行发放的银行U盾数字证书。

电子营业执照未来将承担两个角色,一是继承传统营业执照功能,二是担当企业数字证书功能。当电子营业执照作为企业数字证书进行身份认证、数字签名时,需要像其他第三方认证机构一样接入本平台。因此,数字证书统一应用平台未来也会将电子营业执照的数字证书功能纳入管理。

3.2应用系统登录认证需求

在证书接入到某某工商局数字证书统一应用平台之后,某某工商局商事管理系统中就可以直接采用数字证书进行系统登录的身份认证,以此取代原来的用户名+密码的身份认证方式,提升安全性。

3.3结构化数据的数字签名、电子签章与验证需求

需要在“金信工程”内网市场准入系统中的各个登记流程环节实现全程电子化网上登记电子资料的电子签名与验签和查看功能。即网页和表单的电子签名、验签和查看。另一方面,企业登记信息、变更信息、年报信息都需要进行数字签名以确保数据的真实性和不可抵赖性。因此,平台必须支持对于WEB或Form表单数据的数字签名与电子签章(可视化的数字签名,主要用在内部审批)

3.4电子档案以PDF格式存档需求

各企业的申报电子资料需要按照登记书函规范格式以PDF文档的形式保存,电子资料文档数字签名的完整性应支持在PDF阅读器中验证,不必依赖业务系统来验证电子资料的完整性。因此平台必须提供完全自主知识产权的PDF电子签名与验签软件。

3.5功能需求

初期,拟基于某某CA、中国银行U盾等第三方合法数字证书,实现身份验证、数字签名(包括可视化签名)、签名验证、服务管理、电子档案抽验管理、系统管理等功能。

3.5.1身份验证服务管理

提供统一的数字证书认证服务管理,根据服务接口配置信息将认证服务请求发给认证服务器,返回证书状态、持证人(单位)编号等信息,确认证书的有效性。

3.5.2数字签名服务管理

提供统一的数字签名服务,根据证书类型将签名服务请求发给数字签名服务器,对各类应用系统字符串和PDF文件的数字签名应用请求进行统一调度,返回签名文件信息、签名结果、签名状态、时间戳记等,对多家数字证书服务机构数字证书进行统一管理。

3.5.3签名验证服务管理

提供统一的数字签名验签服务管理,根据服务接口配置信息将验签服务请求发给验签服务器,支持对签名值、签名文件的签名信息有效性、签名证书持有人及签署时间的信息验证进行统一验证,实对多家数字证书服务机构数字证书进行统一管理。

3.5.3数字证书配置管理

实现对加入成都工商信息系统数字证书应用的多家数字证书服务机构的数字证书进行配置管理,支持对新加入数字证书服务机构相关数字证书的维护管理。

3.5.4电子档案抽验管理

提供电子档案完整性的日常抽检功能,支持抽检比例的自定义,记录抽检结果日志。提供抽检结果和抽检日志的查询统计功能。

3.5.5系统管理

提供数字证书服务机构的登记、状态变更、权限控制及通信策略配置等管理。权限控制主要用于控制哪些证书服务机构的数字证书服务系统能够接入统一应用平台。并提供平台请求的统计管理、日志管理等功能模块。

3.6性能需求

系统性能要求数字签名速度不低于每秒2000次,签名验证速度不低于每秒2000次,用户认证速度不低于每秒2000次,平均响应时间小于1秒。

4.电子签名集成认证平台建设方案

4.1 建设原则

系统建设遵循以下原则:

(1)先进性、灵活性和前瞻性的原则;

(2)实用性和适用性原则;

(3)安全、可靠、稳定性原则;

(4)可扩展性和可伸缩性原则;

(5)整合资源、互通互动的原则;

(6)保护投资、新老系统兼容的原则。

4.2 系统架构


图2 系统架构图

如图所示:

整个系统由三大部分构成:

1)     安全认证集成服务器:安全认证集成服务器采用软硬件相结合的方式将传统意义上的身份认证网关、数字证书认证、数字签名服务器、时间戳服务器、PDF签名验证服务器、以及加解密与数字信封模块集成在统一的高性能硬件平台中,各模块可以灵活配置和管理,这种部署模式大大压缩了部署成本,降低了系统管理的难度,减少了系统间的通讯,从而提高了系统效率。

2)     统一认证应用管理平台:负责多证书体系颁发的数字证书的接入认证管理,支持所有第三方CA机构颁发的数字证书、银行网银U盾数字证书和电子营业执照数字证书的接入服务,为工商所有应用提供安全、可信的统一的证书认证服务。提供应用系统的接入管理、系统设置以及平台中所有系统软件、应用软件和服务器硬件的运行监测与报警服务,从而提升系统的可管理性。

3)     数字签名客户端软(组)件:电子签章客户端组件:实现对指定的数据和电子文档进行数字签名、电子签章。该层提供丰富的接口服务,以便于业务系统调用相关接口在业务系统中集成数字签名和电子签章的功能。

应用业务系统包括工商所有业务系统。业务系统只需要集成数字签名客户端软(组)件,即可完成所有相关的安全应用。


4.4 系统拓扑


图3 系统物理拓扑图

如上图所示,在成都工商信息系统安全管理区(DMZ区)分别部署统一认证应用管理平台服务器和安全认证集成服务器各两台,面向应用系统提供身份认证、数字签名与验签、时间戳、电子签章、加密解密、PDF文档后台批量验签服务。通过统一认证应用管理平台,实现对于系统内设备、服务的运行监控和集中配置管理、数字证书接入管理、用户权限管理、应用接入管理、电子印章全生命周期管理、系统审计管理和统计报表分析等功能。

4.4 流程设计

Ø   证书接入流程


图4 证书接入流程

在企业用户需要使用其持有的数字证书进行工商业务办理时,需要首先进行证书注册认证,根据不同的证书认证体系,接入认证流程有所差异:

1)    第三方CA机构的证书接入认证:如果是第三方CA机构颁发的数字证书,由于数字证书中已经包含了持有人的真实身份信息,因此只要认证证书当前是有效的即可,通过从证书中解析出来的用户名与登录业务系统时的用户名进行比对,如果一致,就说明该证书是当前用户的证书,就可以接入平台,如果证书已失效或者两个用户名不一致,则接入失败。

2)    如果是银行发放的网银U盾数字证书,由于所有网银数字证书中并未包含持有人的真实信息,而只是有一个唯一的编号,所以,无法确认证书持有人的真实身份,因此,该类证书的接入除了认证证书的有效性之外,还需要通过银行提供的接口,获取该证书对应的持有人的真实用户名,比对通过之后,即将该用户名与证书进行了绑定,在以后的应用中就不需要再次与银行进行信息交互。

3)    电子营业执照数字证书的接入:该类证书的接入认证方式与第三方CA机构数字证书的接入方式是相同的,只是需要专用接口实现而已。

 

4.5 详细设计

4.5.1安全认证集成服务器

安全认证集成服务器主要提供数字证书的认证、安全身份认证、时间戳服务、服务器端的加密与解密、数字证书的解析。

为了解决安全应用功能与数字证书的关联性问题,数字证书统一应用平台必须能够完全独立地实现所有CA证书服务机构实现的常用数字证书应用功能,包括:

1)  数字证书认证:通过集成所有第三方CA机构和网银CA的证书认证链和CRL(能够同步更新),可以直接在数字证书统一应用平台中实现对数字证书合法性、有效性认证,合法性认证主要是认证证书是否是指定的合法机构颁发的,有效性认证主要是认证证书是否已经过期或者以前被提前吊销。

2)  身份认证网关:基于两次握手的强身份认证,以实现用户登录系统的安全性;

3)  时间戳服务器:提供规范的时间戳服务,时间源采用国家天文台的时间源同步器,确保时间的可靠性。

4)  数字签名服务器:提供传统的单独的数字签名服务器的所有功能。支持对于数据包的数字签名和验签服务。支持所有常用算法的加密解密、数字信封功能,支持国外算法和国产算法。

5)  PDF文档后台批量签名验签:根据业务系统提交的签名验签请求,可以在服务器端实现对PDF文档的数字签名和验证,并将验证失败日志写入日志数据库中和电子文档集中管理系统中。

4.5.2统一认证管理平台

统一认证应用管理平台主要功能包括:

1)   平台用户管理

平台用户主要通过与业务系统进行数据同步获取,在该平台中工商企业用户不可以编辑,但是可以编辑工商局内部用户,因为工商局内部管理员可能是该平台的用户,但是并不是业务系统中的用户。工商局和每一个企业法人单位都是该平台中的顶级组织机构,工商局系统管理员可以编辑工商局内部的用户信息。每一个企业可以修改编辑该企业下面的操作人员信息,但是工商局用户不可以新增或撤销企业及其下属的用户信息,企业用户信息德尔变更只能够通过业务系统完成。

2)   系统配置管理

针对平台的组织机构、用户、角色、权限进行相关的配置管理。支持集团型组织机构,支持自定义角色,支持权限的动态分配与取消。

3)   安全策略管理

策略分为全局策略(全局管理角色定义)和组策略(组管理角色定义)两个级别,组策略服从全局策略;

安全应用设备与应用系统间的安全运行策略,如身份认证网关的访问控制策略(DN规则、时间、ip地址、证书项控制等)策略定义完后会形成策略模板供修改和查看,管理员可以将策略模板下发到目标设备

4)   证书接入管理

用户在进行证书注册时,将调用安全认证集成服务器中的证书认证功能和证书解析功能,对证书的有效性和持有人身份的一致性进行认证,如果认证通过则将证书的公钥信息写入统一认证应用管理平台的数据库中。如果是网银数字证书,由于所有银行颁发的数字证书中都没有持有人的真实信息,而只是有一个唯一的编码,而这个编码对应的用户的真实信息存储在银行的数据库中,因此,平台需要在确认网银证书是合法有效的之后,需要通过统一的接口将数字证书传到网银颁发机构进行溯源认证,以获取网银持有人的真实身份信息。如果身份信息一致,则认证通过,将证书信息写入平台数据库中。

5)   数字证书管理

数字证书在通过接入认证写入平台数据库中之后,平台还可以对这些数字证书进行启用、停用、销毁和查询等操作。

6)   应用接入管理

业务系统需要集成数字证书统一应用平台时,需要进行接入申请与审核,只有通过审核的应用才可以调用该平台的各项功能。

7)   电子印章管理

对印章印模、电子印章的管理和查询统计。尽管初期建设中,不需要该功能模块,但是为了确保平台的可拓展性,该模块应该保留。印章印模可以采用真实的实物印章印模的扫描件,也可以采取在用户注册时生成印章,这个时候机构印章一般主张通过软件自动生成一个包含机构全名,下方横排标注为“电子签名专用章”。这种方式的好处在于更形象,也是行业内常用的方式。

8)   运行监测报警

运行监测分析主要是对整个平台所有硬件、系统软件和应用软件模块的运行状态进行在线监测,并提供报警功能。具体包括对安全认证集成服务器硬件、操作系统、WEB应用服务器、CPU使用率、硬盘剩余空间进行动态监测、定时监测,同时对统一认证应用管理平台的硬件、操作系统、数据库系统、WEB服务器、CPU使用率、硬盘剩余空间进行动态监测、定时监测。并提供报警功能报警信息可以通过电子邮件、手机短信、系统首页告警栏目进行提醒。可以提供统计报表分析功能。

9)   统一日志审计

日志信息分为系统操作日志、数字签名或电子签章日志、文件打印日志、抽检日志等,可以根据需要,提供常用的统计报表。

8)系统设置管理

4.5.3数字签名客户端软(组)件

数字签名客户端软(组)件是安装在用户客户端的软件或者组件,具体实现数字签名与验证、电子签章与验证、身份认证、加密解密等功能。主要包括PDF文档签名(章)软件、数字签名(章)中间件、身份认证组件和加解密组件等一系列软件模块。

1)PDF文档签名(章)软件

用户在签章或数字签名时,系统通过以在线的方式验证用户数字证书的合法性、时效性和证书状态。若证书无效,则终止,签章失败。

Ø  加盖样章:在需要盖章的文档中的合适位置上加盖样章,样章加盖之后文档就不可以再修改,然后执行“文档签章”操作。

Ø  文档签名(章)

对文档进行数字签名处理,并且在文档的任意指定地方显示机构公章、手写签名或者其他形式的图章。本次应用中的图章有系统自动生成,在进行签名(章)操作时根据数字证书中的身份信息动态生成一个涵盖签章人主要身份信息的图片,图片大小和分辨率可以自定义。

支持多个单位或个人的会签,支持联合发文和联合审批。

为了加强签章管理的安全性,持章人不可以随意加盖签章,持章人的签章权限由应用系统决定。

Ø  撤消签章:撤消选定的签章,使该签章对文档的效用消除。只有盖章者用户才有权限撤消自己所盖的印章且必须在签章文档关闭保存前执行撤销签章操作。

Ø  验证签名(章)

签名(章)的验证包括内容验证和证书验证两个部分。

A)证书验证:执行已签章文档验证功能,首先进行签章者身份认证,由于是签章后的验证,所以只需要验证签章者所用数字证书是否为合法机构颁发的即可。而不必去验证数字证书是否在有效性之内以及废止证书列表验证。验证数字证书时,首先连接到安全认证集成服务器,如果连接成功则提交证书进行验证,如果无法连接认证云服务平台,则弹出文件选择框,提示选择用于验证签名证书合法性的签发机构的根证书。如果签名证书验证合法,则进入B);验证不合法则中断验证流程,直接写入验证失败的原因到日志文件中。

B)文档内容验证:证书验证合法后,则自动进行文档内容验证,以鉴别文档内容在传输过程中是否被篡改。如果文档内容验证失败,则向签章管理平台写日志,验证通过则不写日志。

2)数字签名中间件:主要是对数据包做数字签名和验证,支持国内外常用算法。

3)身份认证组件:支持双因子安全身份认证和标准证书认证接口。

4)加解解密组件:支持对称加密和非对称加密,支持数字信封,支持国内外常用加解密算法。

2)、3)、4)的功能整合在一个统一的安全组件包中。

 

4.5.4电子文档抽检方案

业务系统设置抽检规则,通过传参数给PDF云签章服务器来自动批量实现对被抽检文件的验证,以确保电子档案签名者身份的真实性和内容的完整性。

使用PDF云签章服务器签章的电子档案抽验流程如下:


电子文档统一管理系统中设置抽检规则,定期抽检,为了提高系统效率,尽可能不要在云签章平台和电子文档统一管理系统的文档目录之间进行文件的传递,因此,平台提供JAR包的方式,业务系统直接实现文档内容验证和数字签名或电子签章所用数字证书的提取,而仅仅将数字证书信息传递到云签章服务器,进行数字证书的认证。验证完成之后,在业务系统中存储有相关的抽检日志信息。

 
 
Copyright 2012-2014 中国电子认证服务联盟  京ICP备13000126号 版权所有 All rights reserved.