产品特点
·遵循最新的国际标准：IETF PKIX、RSA PKCS、ITU X.509、IETF
LDAP、SSL／TLS、SET等；
·自主开发，自主版权；
·使用1024bit以上的公钥算法和128bit的对称算法，是真正的强安全性产品；
·可为高度安全的智能卡发证书，进行安全的电子交易；
·可提供ActiveX、Plugin、Java等二次开发软件包；
·服务程序全部采用高性能多线程方式；
·有完整的日志，以便审计最终结果；
·高度模块化，可灵活组态；
·支持主流的UNIX操作系统及Windows95／98／NT；
·能与TongLINK／Q、TongEASY等中间件结合，构造健壮、可伸缩的CA、LDAP服务器平台。
·CA／RA的体系结构，安全可靠，适合国情。
产品组件
TongSEC是以PKI为基础的安全产品系列，包括如下组件：
·TongSEC／PKI: TongSEC／PKI以应用程序、C／API、ActiveX／JAVA的形式提供下列模块：
CA（签证机关，Certification Authorities），支持证书的发放与管理及审计日志和增加/删除下级CA、RA。
RA（注册机关，Registration Authority），验证外界的报文，为CA把关，合格者才交由CA做签名和证书发放。
ASN （数据格式处理），支持异构系统之间的数据处理。
SSL／TLS（安全服务协议），Internet上广泛使用的基于PKI的强安全服务。
SET（安全电子交易协议），VISA和MASTER两大组织为网上电子商务制定的标准，描述用户、商户和银行之间进行电子商务的方式，是目前最完备的电子商务标准。
·TongSEC／LDAP: LDAP，即轻量目录访问协议。TongSEC／LDAP服务器使用成熟的数据库系统（Oracle、Sybase、DB2或Informix）、多线程机制、标准的SQL方式进行访问，可以与标准的交易中间件结合，解决可能存在的大批量证书请求的访问瓶颈问题。
·TongSEC／CARD: 智能卡便于携带、灵巧方便，是电子商务应用中的重要一员。基于智能卡的系统目前尚未发生过一例安全泄漏，可见其安全性之高。TongSEC／CARD支持PKCS#11，下一版本将支持OpenCard。PKCS#11定义了卡安全的C语言接口；OpenCard使用通用的JAVA统一了PC／SC和PKCS#11。
·TongSEC／MAIL: TongSEC／MAIL是一个基于RSA的邮件加密软件，功能强大，速度很快，不但可以对邮件保密以防止非授权者阅读，还能对邮件加上数字签名，从而使收信人确信邮件的发送者是谁。TongSEC／MAIL采用了审慎的密匙管理，包括用于数字签名的邮件文摘算法，加密前压缩等。
·TongSEC／MAIL在安全性问题上的精心考虑体现在各个环节，例如每次加密的实际密匙是随机数，像RSA密匙这样关键的随机数，是从用户敲键盘的时间间隔上取得随机数种子的。磁盘上的密匙文件采用和邮件同样强度的加密，有效地防止了他人从密匙文件中分析出实际密匙的规律。
·TongSEC／FILE: TongSEC／FILE是与TongSEC／MAIL相类型的加密软件，其保密对象是文件及目录。
基于TongSEC的安全应用
对于应用系统来讲，TongSEC/PKI是透明的，用户不用了解其内部结构，只需要关注TongSEC跨平台和跨应用的安全服务(PKI-enabled
application)。 TongSEC的安全服务包括：
·证书生成／发放
·证书储存库
·证书撤消
·密钥备份及恢复
·支持防抵赖数据签名
·密钥及证书的自动更新
·密钥历史资料管理
·证书交叉认证
·数据及文件加密／解密
·前端安全APIs（工具软件包）
证书和身份认证：
为了确认使用者的真实身份，用户必须做事前身份登记，这种登记是以数字化的格式存在，称之为公开密钥证书。
针对身份登记所进行的一系列操作与管理，就是签证机关（Certification Authorities，CA），它包括了用户管理、过程管理和工具。在身份确认的过程中，CA扮演的是一个安全代理人的角色。CA签发的证书包括以下内容：
·用户
·唯一组合名（Distinguished Name，DN）
·用户公开密钥
·证书有效期限
·密钥使用范围（数据加密，数字签名认证）
CA签发的证书具有唯一性和完整性。唯一性是通过唯一组合名与其公开密钥的捆绑达成的。CA的证书签名如同传统信封上的红漆封印，对证书的任何改动都能被查觉，保证了完整性不被破坏。需要强调的是，CA签发的证书不仅仅是用于最终用户身份识别，更多的是与前端应用程序本身相结合，提供应用身份识别。
密钥备份及恢复：
CA需要用到两对密钥，一对用来对数据进行加密解密, 另一对用来对数据进行签名及签名认证。需要做备份的是交给最终用户的解密密钥。
支持防抵赖数据签名：
签名的单据是传统交易方式防抵赖的依据。现代的数字化的交易方式中，数字签名代替了纸上签名。其中, 专门用做数字签名的密钥由CA系统产生,
且是唯一的，由使用者自我保管，没有备份, 如果丢失, 需要重新申请。
密钥及证书的自动更新：
为安全起见，密钥需要定期更换。更换内容包括用户登记更新、密钥更新。在密钥到期之前, TongSEC会进行透明且自动的更换。
密钥历史资料管理：
加密解密的密钥更新后，最终用户可能随时用到早期的解密密钥来对数据解密，因此对原先的解密密钥必须妥善处理。为了保证透明度，前端的TongSEC安全应用模块会自动维护与管理历史的解密密钥，同时，CA的密钥备份及恢复模块负责管理原先的解密密钥。
证书储存库与证书分发：
CA是一个安全代理人，商家使用CA生产证书并将证书分发给最终用户的应用系统。储存库实际上是一个专门用于证书分发的网络服务机制，最终用户的应用实体通过证书储存库，以应需请求的方式得到证书，证书撤销也将用到储存库。
证书撤消：
CA建立有证书撤消单(Certificate Revocation Lists，CRL)，可以做证书状态的消息发布。与TongSEC/LDAP结合,
可对最终用户的应用实体的证书需求进行即时调整。
证书交叉认证：
指两个CA认证中心彼此认证，其方式是两个CA交换证明密钥, 用彼此的密钥签发证书。另外, 最终用户的应用端软件也要建立对交叉认证过的证书进行确认。例如，两个贸易合作伙伴,
彼此都有自己的CA认证中心, 但彼此的证书可以被对方认可；或者一个大企业, 因区域关系, 分别有不同子CA系统(多级证书机制)。
最终用户端安全套件（安全APIs）：
TongSEC/PKI的价值不仅仅是CA，还包括对前端应用实体的安全支持。因此TongSEC将最终用户端安全套件与应用集合到一起，例如电子邮件、浏览器、文件／文件夹加密等。
TongSEC的最终用户端安全套件(安全APIs)支持下列安全机制：
·公开密钥证书
·支持防抵赖数据签名
·密钥自动更新
·证书储存库
·数据加密解密
TOP
