安全中间件
  概览
  详细介绍
  白皮书下载

 

  
  

概述

  安全平台TongSEC是以公钥基础设施(PKI)为核心的、建立在一系列相关国际安全标准之上的一个开放式应用开发平台。TongSEC向上为应用系统提供开发接口,向下提供统一的密码算法接口及各种IC卡、安全芯片等设备的驱动接口。基于安全平台TongSEC可以开发、构造各种安全产品或具有安全机制的用户应用系统,如用于文件加解密的安全工具、安全网关、公证系统(CA)、虚拟专网(VPN)等。


体系结构

  TongSEC的应用安全体系如图所示:



应用范畴

企业内部应用环境
  企业内部的应用系统,无论是网络平台还是最终用户应用界面,都需要以PKI的方式来加强安全性,包括用户证书的生成、分发和管理以及邮件/文件加密解密。

企业相互之间应用环境
  企业相互之间的应用系统, 需要保证的是相互PKI应用的互通,包括用户/应用程序的证书的生成、分发和管理以及数据加密解密。

最终消费者应用环境
  最终消费者应用系统的实现方式多以Internet为主,使用的最广泛的是浏览器和电子邮件,同样包括证书的生成、分发和管理以及数据加密解密。

Internet电子支付
  对于需要在Internet上实现安全电子交易的用户,TongSEC将在下一版本提供对SET-BASED的证书签发的支持。

应用集成
  TongSEC可以很容易的与现有各类应用系统集成,如财务软件、工作流软件、ERP系统、各种中间件软件。


基于TongSEC平台的业务流程

  这里以证书请求和网络银行为例来说明基于TongSEC的应用模式和业务流程。CA模式如下图所示:一个根CA,带多个RA。所有要申请证书的人,必须到RA注册,验证,采用更安全的脱机方式,通过智能卡或软盘发行证书,证书可以通过TongSEC/LDAP服务器联机获取,但要先脱机注册、验证。

证书请求
  用户先到RA填表,出示身份证和其它证据,验证合格;
  RA管理员使用RA程序,生成公钥密钥对,构造请求包,通过内部网向CA提出申请;
  CA验证请求包确实来自声明的RA,密钥对确实是该RA生成;
  CA使用公钥构造证书,签名,并存放在本地和共享的TongSEC/LDAP服务器上;
  CA将签名证书返回RA;
  RA将证书/加密的私钥写智能卡,或构造pkcs#12文件到软盘,交给用户;
  证书以后也可以从TongSEC/LDAP服务器上获取。

网络银行
  网络银行运行在WindowsNT4.0和其IIS Web服务器上,其流程如下。
  ·用户初始化:
    用户到RA申请证书,获得电子钱包卡和pkcs#12文件盘;
    将pkcs#12文件注册到本地WEB浏览器上;
  ·通过TongSEC/LDAP服务器获取CA证书,并注册到Web浏览器上。 IIS服务器初始化:
    网络银行管理员到RA申请证书,获得证书盘;
    将证书装入IIS;
    通过TongSEC/LDAP服务器获取CA证书,并安装。
  ·交易流程:
    用户启动Web浏览器,键入网络银行地址,如https://server/bank.htm。https意味着在Web浏览器和IIS之间使用SSL协议,包括身份认证和加密,是一种强安全服务;
    SSL验证成功后,协商加密密钥,网络银行页面加密后下载到用户Web浏览器上;
    浏览器上出现查询、转帐交易提示;
    用户选择交易;
    浏览器提示插卡;
    用户插入电子钱包卡;
    浏览器读卡上传加密的交易请求;
    IIS解密,执行请求;
    IIS将结果加密,返回用户Web浏览器;
    Web浏览器解密,显示结果。

TOP

  


产品特点

  ·遵循最新的国际标准:IETF PKIX、RSA PKCS、ITU X.509、IETF LDAP、SSL/TLS、SET等;
  ·自主开发,自主版权;
  ·使用1024bit以上的公钥算法和128bit的对称算法,是真正的强安全性产品;
  ·可为高度安全的智能卡发证书,进行安全的电子交易;
  ·可提供ActiveX、Plugin、Java等二次开发软件包;
  ·服务程序全部采用高性能多线程方式;
  ·有完整的日志,以便审计最终结果;
  ·高度模块化,可灵活组态;
  ·支持主流的UNIX操作系统及Windows95/98/NT;
  ·
能与TongLINK/Q、TongEASY等中间件结合,构造健壮、可伸缩的CA、LDAP服务器平台。
  ·
CA/RA的体系结构,安全可靠,适合国情。


产品组件

  TongSEC是以PKI为基础的安全产品系列,包括如下组件:
  ·TongSEC/PKI: TongSEC/PKI以应用程序、C/API、ActiveX/JAVA的形式提供下列模块:
   CA(签证机关,Certification Authorities),支持证书的发放与管理及审计日志和增加/删除下级CA、RA。
   RA(注册机关,Registration Authority),验证外界的报文,为CA把关,合格者才交由CA做签名和证书发放。
   ASN (数据格式处理),支持异构系统之间的数据处理。
   SSL/TLS(安全服务协议),Internet上广泛使用的基于PKI的强安全服务。
   SET(安全电子交易协议),VISA和MASTER两大组织为网上电子商务制定的标准,描述用户、商户和银行之间进行电子商务的方式,是目前最完备的电子商务标准。
  ·TongSEC/LDAP: LDAP,即轻量目录访问协议。TongSEC/LDAP服务器使用成熟的数据库系统(Oracle、Sybase、DB2或Informix)、多线程机制、标准的SQL方式进行访问,可以与标准的交易中间件结合,解决可能存在的大批量证书请求的访问瓶颈问题。
  ·TongSEC/CARD: 智能卡便于携带、灵巧方便,是电子商务应用中的重要一员。基于智能卡的系统目前尚未发生过一例安全泄漏,可见其安全性之高。TongSEC/CARD支持PKCS#11,下一版本将支持OpenCard。PKCS#11定义了卡安全的C语言接口;OpenCard使用通用的JAVA统一了PC/SC和PKCS#11。
  ·TongSEC/MAIL: TongSEC/MAIL是一个基于RSA的邮件加密软件,功能强大,速度很快,不但可以对邮件保密以防止非授权者阅读,还能对邮件加上数字签名,从而使收信人确信邮件的发送者是谁。TongSEC/MAIL采用了审慎的密匙管理,包括用于数字签名的邮件文摘算法,加密前压缩等。
  ·TongSEC/MAIL在安全性问题上的精心考虑体现在各个环节,例如每次加密的实际密匙是随机数,像RSA密匙这样关键的随机数,是从用户敲键盘的时间间隔上取得随机数种子的。磁盘上的密匙文件采用和邮件同样强度的加密,有效地防止了他人从密匙文件中分析出实际密匙的规律。
  ·TongSEC/FILE: TongSEC/FILE是与TongSEC/MAIL相类型的加密软件,其保密对象是文件及目录。


基于TongSEC的安全应用

  对于应用系统来讲,TongSEC/PKI是透明的,用户不用了解其内部结构,只需要关注TongSEC跨平台和跨应用的安全服务(PKI-enabled application)。 TongSEC的安全服务包括:
  ·证书生成/发放
  ·证书储存库
  ·证书撤消
  ·密钥备份及恢复
  ·支持防抵赖数据签名
  ·密钥及证书的自动更新
  ·密钥历史资料管理
  ·证书交叉认证
  ·数据及文件加密/解密
  ·前端安全APIs(工具软件包)

证书和身份认证
  为了确认使用者的真实身份,用户必须做事前身份登记,这种登记是以数字化的格式存在,称之为公开密钥证书。
  针对身份登记所进行的一系列操作与管理,就是签证机关(Certification Authorities,CA),它包括了用户管理、过程管理和工具。在身份确认的过程中,CA扮演的是一个安全代理人的角色。CA签发的证书包括以下内容:
  ·用户
  ·唯一组合名(Distinguished Name,DN)
  ·用户公开密钥
  ·证书有效期限
  ·密钥使用范围(数据加密,数字签名认证)
  CA签发的证书具有唯一性和完整性。唯一性是通过唯一组合名与其公开密钥的捆绑达成的。CA的证书签名如同传统信封上的红漆封印,对证书的任何改动都能被查觉,保证了完整性不被破坏。需要强调的是,CA签发的证书不仅仅是用于最终用户身份识别,更多的是与前端应用程序本身相结合,提供应用身份识别。

密钥备份及恢复:
  CA需要用到两对密钥,一对用来对数据进行加密解密, 另一对用来对数据进行签名及签名认证。需要做备份的是交给最终用户的解密密钥。

支持防抵赖数据签名:
  签名的单据是传统交易方式防抵赖的依据。现代的数字化的交易方式中,数字签名代替了纸上签名。其中, 专门用做数字签名的密钥由CA系统产生, 且是唯一的,由使用者自我保管,没有备份, 如果丢失, 需要重新申请。

密钥及证书的自动更新:
  为安全起见,密钥需要定期更换。更换内容包括用户登记更新、密钥更新。在密钥到期之前, TongSEC会进行透明且自动的更换。

密钥历史资料管理:
  加密解密的密钥更新后,最终用户可能随时用到早期的解密密钥来对数据解密,因此对原先的解密密钥必须妥善处理。为了保证透明度,前端的TongSEC安全应用模块会自动维护与管理历史的解密密钥,同时,CA的密钥备份及恢复模块负责管理原先的解密密钥。

证书储存库与证书分发:
  CA是一个安全代理人,商家使用CA生产证书并将证书分发给最终用户的应用系统。储存库实际上是一个专门用于证书分发的网络服务机制,最终用户的应用实体通过证书储存库,以应需请求的方式得到证书,证书撤销也将用到储存库。

证书撤消:
  CA建立有证书撤消单(Certificate Revocation Lists,CRL),可以做证书状态的消息发布。与TongSEC/LDAP结合, 可对最终用户的应用实体的证书需求进行即时调整。

证书交叉认证:
  指两个CA认证中心彼此认证,其方式是两个CA交换证明密钥, 用彼此的密钥签发证书。另外, 最终用户的应用端软件也要建立对交叉认证过的证书进行确认。例如,两个贸易合作伙伴, 彼此都有自己的CA认证中心, 但彼此的证书可以被对方认可;或者一个大企业, 因区域关系, 分别有不同子CA系统(多级证书机制)。

最终用户端安全套件(安全APIs):
  TongSEC/PKI的价值不仅仅是CA,还包括对前端应用实体的安全支持。因此TongSEC将最终用户端安全套件与应用集合到一起,例如电子邮件、浏览器、文件/文件夹加密等。
  TongSEC的最终用户端安全套件(安全APIs)支持下列安全机制:
  ·公开密钥证书
  ·支持防抵赖数据签名
  ·密钥自动更新
  ·证书储存库
  ·数据加密解密

TOP

版权所有:东方通科技