网上银行/证券RA系统

一、产品背景

    开放网络上的电子商务要求为信息安全提供有效的、可靠的保护机制。这些机制必须提供机密性、身份验证特性(使交易的每一方都可以确认其它各方的身份)、不可否认性(交易的各方不可否认它们的参与)。这就需要依靠一个可靠的第三方机构来验证，而认证中心（CA，Certification Authority）专门提供这种服务。

    证书机制是目前被广泛采用的一种安全机制，使用证书机制的前提是建立CA（Certification Authority ——认证中心）以及配套的RA（Registration Authority_注册审批机构）系统。

    CA中心，又称为数字证书认证中心，作为电子商务交易中受信任的第三方，专门解决公钥体系中公钥的合法性问题。CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户名称与证书中列出的公开密钥相对应。CA中心的数字签名使得攻击者不能伪造和篡改数字证书。认证中心的数字证书，通过运用对称、非对称密码体制，及数字签名、数字信封等密码技术建立起一套严密的身份认证系统（身份识别）和资源访问和权限控制系统（访问控制），以确保电子交易顺利、安全地进行。从而使信息除发送方和接收方外，不被其他人知悉（安全性，数据加密）； 传输过程中不被篡改（数据完整）；发送方能确信接收方不是假冒的（不可伪装）； 发送方不能否认自己的发送行为（防止否认，不可抵赖性）。

    在数字证书认证的过程中，证书认证中心（CA）作为权威的、公正的、可信赖的第三方，其作用是至关重要的。认证中心就是一个负责发放和管理数字证书的权威机构。同样CA允许管理员撤销发放的数字证书,在证书废止列表(CR)中添加新项并周期性地发布这一数字签名的CR。具体地说，CA有4大职能：证书发放、证书更新、证书撤销和证书验证。

    RA（Registration Authority），数字证书注册审批机构。RA系统是CA的证书发放、管理的延伸。它负责证书申请者的信息录入、审核以及证书发放等工作（安全审计）。同时，对发放的证书完成相应的管理功能（安全管理）。RA系统是整个CA中心得以正常运营不可缺少的一部分。

二、系统概述

2.1设计目的

    为了加强网上证券、网上银行等安全的网上交易系统中的个人身份认证、通讯的安全，并且方便银行或券商进行个人证书的申请、审批、证书的发放，易初公司设计开发出一套RA（Registry Authority）系统。

    通过该系统对开通网上交易的申请人进行资格审查，并决定是否同意给该申请者发放证书。系统不仅在信息传输过程中采用了更强的加密手段，而且引进了权威的、可信赖的、公正的第三方认证机制，使网上交易的各方能够相互确认身份并留存不可改变纪录，较好地解决了网上信息传输安全和信用问题。

2.2功能描述

    系统的RA服务器安装在总部，RA的客户端则安装在各营业网点，用于录入申请信息，并进行初步审核，然后将数据传送到RA服务器；另外，还可以有一个在Internet上的RS（Registry Server）服务器，该服务器和WEB服务器整合在一起，提供网上在线申请证书功能，申请人可以到网上填写证书申请表；审批员再对申请信息进行资格审查，并将通过审查的记录发送到CA中心申请发放证书，如果CA同意申请，则用户可以下载证书；如果申请被拒绝，则申请人需要重新申请。

    系统的操作分为不同的角色，不同的角色拥有不同的权限，操作员的所有活动都将记入日志，以备日后查询。

    整个RA系统的客户端和服务器端的连接采用加密通讯机制，以保证通讯安全。数据库中的关键数据也通过加密存放，以保证用户数据的安全。

三、功能特点

l本着高效、安全、先进的原则，系统完成了证书的申请、审核、签发、废止、更新、审计、归档、备份以及密钥管理、LDAP、OCSP发布等功能；
l系统基于客户端/服务器方式，采用SSL 3.0协议，建立高强度加密通道，以保证通讯中数据安全；
l提供网上申请功能：可配置一个RS（Registry Server）服务器，以供网上在线申请证书；
l系统的操作按角色分配，不同的角色拥有不同的权限，防止越权操作；
l提供管理控制台，方便的配置并管理系统，实时监控系统状态；
l完备的详尽的操作日志，以备日后查询。
l具有强大的处理能力，很好的开放性、实用性和可扩展性；
l提供完善的图形化用户界面，具有易操作性、易维护性和易升级性。

四、技术特点

易初网上银行/证券RA系统设计具有如下技术特点：

l依托成熟的UCA证书体系，采用国内先进的加密技术和CA技术，系统功能完善、安全可靠；
l系统采用层次式CA认证结构，方便系统的扩充和系统效率的提高。既可满足客户RA系统内部的需求，也可以满足日后与国内外及其他行业CA之间交叉认证的需求；
l使用的PKI体系支持多种应用，证书的扩展域可以灵活地进行定制，满足不同应用系统的需要；
l系统设计采用多模块化结构，方便系统功能的扩充；
l系统设计充分考虑了伸缩性，能方便地通过对系统硬件的升级来适应系统负荷的增大；
l管理方式灵活，可以根据客户RA系统的管理策略和证书认证策略对系统进行灵活的设置；
l系统中的所有通信均采用高强度加密通信，保证信息安全；
l网络系统采用了多层防火墙设置、严格的网段划分和端口控制。

五、系统架构

六、运行平台

系统的软硬件平台如下：

l服务器系统平台：

?PC服务器
?MS Windows 2000 Server中文版
?MS SQL Server 2000

l客户端

?PC兼容机
?MS Windows 98中文版

• ·黑匣子监控系统[图]
• ·EZ-Lock易锁_文件加密保护系统[图]
• ·东育恒远远程教学资源解决方案[组图]
• ·DCI黑匣子网络安全监控系统[图]
• ·F1JEE ,J2EE业务基础软件和工作流平台[图]

• ·博商零售业网上商店系统解决方案
• ·蓝波物资管理系统——船舶行业软件产品
• ·总体规划下渤船重工管加工分厂的数字化工作
• ·中国舰船研究设计中心PDM系统实施与应用[图]
• ·博商零售业网上商店系统解决方案