◎ 中國(guó)水電建設(shè)集團(tuán)國(guó)際工程有限公司 郭 萌

關(guān)鍵字：建筑企業(yè) 身份認(rèn)證 PKI CA

信息時(shí)代的到來，標(biāo)志著一種新的生產(chǎn)力的出現(xiàn)，建筑市場(chǎng)激烈的競(jìng)爭(zhēng)要求企業(yè)引入信息技術(shù)來提升自身的綜合競(jìng)爭(zhēng)力，一方面通過企業(yè)流程再造規(guī)范管理、堵塞漏洞、降低勞動(dòng)成本，另一方轉(zhuǎn)變職能管理為面向業(yè)務(wù)流程管理，改變傳統(tǒng)的工作模式，提高企業(yè)效率。由此可見，信息化己成為建筑企業(yè)在未來市場(chǎng)中生存的必要條件。

為規(guī)范建筑企業(yè)信息化建設(shè)，住房城鄉(xiāng)建設(shè)部在2007年3月，頒發(fā)了新的《建筑業(yè)企業(yè)資質(zhì)等級(jí)標(biāo)準(zhǔn)》。在該要求的指導(dǎo)下，建筑企業(yè)對(duì)信息化技術(shù)的重視程度不斷增加，開始大力推進(jìn)主營(yíng)業(yè)務(wù)信息化建設(shè)，在幾年的建設(shè)過程中，建設(shè)了大量的主營(yíng)業(yè)務(wù)信息系統(tǒng)，越來越多的企業(yè)業(yè)務(wù)運(yùn)營(yíng)轉(zhuǎn)移到信息化平臺(tái)之上運(yùn)行。隨著建筑企業(yè)信息化平臺(tái)在企業(yè)運(yùn)營(yíng)中的地位越來越重要，對(duì)信息化安全的要求也越來越高。如何建立起網(wǎng)絡(luò)信任體系，以解決建筑企業(yè)信息化系統(tǒng)中有效的身份信任與安全鑒別，以及信息的機(jī)密性、完整性等諸多安全需求，成了當(dāng)下建筑企業(yè)信息化建設(shè)的主要課題。

鑒于建筑企業(yè)以上的信息化發(fā)展階段現(xiàn)狀及存在問題，建立基于PKI（公鑰基礎(chǔ)設(shè)施）技術(shù)的CA身份認(rèn)證體系是當(dāng)前技術(shù)成熟度最高，應(yīng)用范圍最廣泛的解決方案。CA身份認(rèn)證體系為網(wǎng)絡(luò)通訊的參與者提供證實(shí)其在網(wǎng)絡(luò)上真實(shí)身份的證明機(jī)制，并在此基礎(chǔ)上解決網(wǎng)絡(luò)傳輸過程的機(jī)密性、完整性以及抗抵賴性。

1 現(xiàn)狀及主要需求分析

2007年3月，為規(guī)范對(duì)施工總承包特級(jí)企業(yè)的資質(zhì)管理，引導(dǎo)企業(yè)成為技術(shù)含量高，融資能力強(qiáng)，管理水平高的龍頭企業(yè)，促進(jìn)建筑業(yè)企業(yè)向工程總承包方向發(fā)展，住房城鄉(xiāng)建設(shè)部頒發(fā)了新的《建筑業(yè)企業(yè)資質(zhì)等級(jí)標(biāo)準(zhǔn)》，其中關(guān)于建筑企業(yè)信息化方面的相關(guān)要求如下：企業(yè)須建立內(nèi)部局域網(wǎng)或管理信息平臺(tái)，實(shí)現(xiàn)內(nèi)部辦公、信息發(fā)布、數(shù)據(jù)交換的網(wǎng)絡(luò)化；建立并開通企業(yè)外部網(wǎng)站；使用綜合項(xiàng)目管理信息系統(tǒng)和人事管理系統(tǒng)、工程設(shè)計(jì)相關(guān)軟件，實(shí)現(xiàn)檔案管理和設(shè)計(jì)文檔管理等。

在該《等級(jí)標(biāo)準(zhǔn)》的指導(dǎo)下，建筑企業(yè)信息化建設(shè)雖然相對(duì)于能源、金融等行業(yè)起步較晚，投入也相對(duì)有限，但是目前都已基本建成以財(cái)務(wù)資金管理系統(tǒng)、人力資源管理系統(tǒng)、OA系統(tǒng)、工程項(xiàng)目管理系統(tǒng)為代表的多類辦公、業(yè)務(wù)類應(yīng)用系統(tǒng)，通過大集中或分布式部署，多采用B/S架構(gòu)，基本實(shí)現(xiàn)了各專業(yè)管理信息和生產(chǎn)實(shí)時(shí)數(shù)據(jù)的集中收集展現(xiàn)和綜合查詢統(tǒng)計(jì)。通過專線或者VPN實(shí)現(xiàn)網(wǎng)絡(luò)互連，網(wǎng)絡(luò)一般覆蓋至二級(jí)或者三級(jí)單位，并部署部分網(wǎng)絡(luò)訪問控制、入侵檢測(cè)與防御、用戶行為管理等網(wǎng)絡(luò)邊界防御系統(tǒng)。

隨著建筑企業(yè)信息化平臺(tái)在企業(yè)運(yùn)營(yíng)中的地位越來越重要，網(wǎng)絡(luò)及信息系統(tǒng)的建設(shè)規(guī)模也越來越大，對(duì)信息化安全的要求也越來越高。信息化平臺(tái)面臨一些安全方面的問題，綜合來看，有以下幾點(diǎn)：

1.1 對(duì)強(qiáng)身份認(rèn)證的要求

現(xiàn)普遍使用的“用戶名/口令”的身份認(rèn)證方式，用戶名和登錄密碼存在記憶困難、容易被猜測(cè)、容易被竊用和被用于重放攻擊等缺點(diǎn)。如果有非法用戶闖入，并進(jìn)行了非法的操作，對(duì)系統(tǒng)的破壞和造成的后果將難以估量。因此，需要對(duì)用戶進(jìn)行有效的身份認(rèn)證，保證進(jìn)入系統(tǒng)的用戶必須是真實(shí)的、合法的、身份可確認(rèn)的。

1.2 對(duì)數(shù)據(jù)完整性的要求

企業(yè)之間電子協(xié)議和保密文件等在通過網(wǎng)絡(luò)進(jìn)行交互過程中，為了確保文件與信息的完整性，需要通過相應(yīng)的技術(shù)手段對(duì)文件和傳輸信息進(jìn)行簽名或者蓋章操作，以確保信息在傳遞過程中的完整性。

1.3 對(duì)行為抗抵賴性的要求

系統(tǒng)用戶在處理機(jī)密數(shù)據(jù)過程中，在保證用戶操作過程的有效性和合法性的同時(shí)，還必須保證重要數(shù)據(jù)訪問控制、關(guān)鍵操作行為的不可抵賴性，需要能夠在事后把責(zé)任準(zhǔn)確定位到個(gè)人或某個(gè)部門。一旦發(fā)生安全事件，可以通過查詢系統(tǒng)的日志，識(shí)別系統(tǒng)被破壞的手段，并且能夠認(rèn)定造成破壞的用戶。

為了保證對(duì)業(yè)務(wù)操作的可追溯，需要對(duì)用戶的處理信息和處理過程進(jìn)行數(shù)字簽名，同時(shí)為了可審計(jì)的需要，還必須能追溯業(yè)務(wù)操作發(fā)生的時(shí)間，因此，在使用數(shù)字簽名的同時(shí)，還需要以統(tǒng)一的時(shí)間源，在統(tǒng)一時(shí)間服務(wù)和可信時(shí)間服務(wù)的基礎(chǔ)上，提供時(shí)間戳，對(duì)用戶行為的可追溯性及不可抵賴性提供有效補(bǔ)充。

1.4 對(duì)信息機(jī)密性的要求

企業(yè)信息化系統(tǒng)大多采用B/S架構(gòu)提供服務(wù)。對(duì)于B/S模式的應(yīng)用系統(tǒng)而言，所有的界面和數(shù)據(jù)都是通過頁面表單的方式表現(xiàn)，數(shù)據(jù)在網(wǎng)絡(luò)上以明文方式傳遞，自身存在被竊聽、截取的風(fēng)險(xiǎn)，因此需要通過信道加密等手段對(duì)數(shù)據(jù)的機(jī)密性進(jìn)行防護(hù)。

2 基于PKI/CA信任體系建設(shè)主要思路

2.1 一般設(shè)計(jì)原則

PKI （ Public Key Infrastructure ）指的是公鑰基礎(chǔ)設(shè)施。CA （ Certificate Authority ）指的是認(rèn)證中心。PKI 從技術(shù)上解決了網(wǎng)絡(luò)通信安全的種種障礙。CA 從運(yùn)營(yíng)、管理、規(guī)范、法律、人員等多個(gè)角度來解決了網(wǎng)絡(luò)信任問題。由此，人們統(tǒng)稱為“ PKI/CA ”。

基于PKI/CA的身份認(rèn)證系統(tǒng)的建設(shè)是一項(xiàng)系統(tǒng)工程，不可能一蹴而就，而這一體系是否能在企業(yè)未來信息化發(fā)展過程中持續(xù)發(fā)揮作用、取得效果，前期能否站在全局上進(jìn)行總體規(guī)劃至關(guān)重要。因此必須堅(jiān)持總體規(guī)劃、分步實(shí)施的原則。

同時(shí)，由于本系統(tǒng)是覆蓋企業(yè)內(nèi)部整體，服務(wù)于企業(yè)整個(gè)信息化建設(shè)，因此必須建立相應(yīng)的配套標(biāo)準(zhǔn)與規(guī)范，即在設(shè)計(jì)系統(tǒng)時(shí)必須同步考慮相關(guān)標(biāo)準(zhǔn)、規(guī)范的建設(shè)，以為后續(xù)的工作提供指導(dǎo)和規(guī)范。

2.2 信任體系架構(gòu)設(shè)計(jì)

2.2.1 體系架構(gòu)設(shè)計(jì)

面對(duì)著復(fù)雜的網(wǎng)絡(luò)接入環(huán)境、多元化的接入主體、多樣化的應(yīng)用場(chǎng)景、多種類的業(yè)務(wù)軟件，如何進(jìn)行基于PKI/CA認(rèn)證系統(tǒng)的設(shè)計(jì)成為了一個(gè)復(fù)雜的問題。因此，在具體設(shè)計(jì)中必須以國(guó)家相關(guān)的法律法規(guī)以及等級(jí)保護(hù)相關(guān)要求為指導(dǎo)，結(jié)合建筑企業(yè)的網(wǎng)絡(luò)現(xiàn)狀、應(yīng)用系統(tǒng)建設(shè)現(xiàn)狀及安全建設(shè)需求現(xiàn)狀，在保證企業(yè)業(yè)務(wù)信息安全和系統(tǒng)高效運(yùn)行的前提下，根據(jù)目前企業(yè)內(nèi)部的組織架構(gòu)、業(yè)務(wù)模式、網(wǎng)絡(luò)建設(shè)情況，進(jìn)行系統(tǒng)體系架構(gòu)設(shè)計(jì)，下圖為一個(gè)較為典型的總體架構(gòu)圖。

2.2.2 密碼支撐體系

圖1 總體架構(gòu)示意圖

密碼支撐體系是PKI/CA系統(tǒng)建設(shè)的基礎(chǔ)，為PKI/CA系統(tǒng)提供密鑰的安全存儲(chǔ)和高速的密碼運(yùn)算服務(wù)。主要體現(xiàn)為部署在各個(gè)模塊中的密碼服務(wù)器。

2.2.3 身份認(rèn)證體系

身份認(rèn)證體系為基于PKI/CA的身份認(rèn)證系統(tǒng)建設(shè)項(xiàng)目的核心內(nèi)容，采用數(shù)字證書的手段來實(shí)現(xiàn)應(yīng)用系統(tǒng)業(yè)務(wù)領(lǐng)域涉及到的實(shí)體身份的描述，通過建設(shè)身份認(rèn)證體系，實(shí)現(xiàn)用戶、設(shè)備的權(quán)威、統(tǒng)一描述，為企業(yè)提供權(quán)威的實(shí)體身份管理。

身份認(rèn)證體系主要包括根CA、運(yùn)行CA系統(tǒng)、證書注冊(cè)系統(tǒng)(RA)。各個(gè)模塊主要功能有：

1）根CA主要功能如下：

制訂整個(gè)行業(yè)的信任策略，并對(duì)策略的執(zhí)行情況進(jìn)行規(guī)范和監(jiān)管；

審批、管理下級(jí)CA中心，通過為下級(jí)CA中心頒發(fā)、撤銷數(shù)字證書來實(shí)現(xiàn)CA中心的管理，將其信用權(quán)威縱向傳遞；

將所有下級(jí)CA中心之間的相互認(rèn)證進(jìn)行橋接（Bridge or hub）使彼此信任域達(dá)到交互；

與其他的機(jī)構(gòu)的CA系統(tǒng)實(shí)施交叉認(rèn)證（交叉互簽或者接入國(guó)家橋CA）；

系統(tǒng)自身的管理功能包括：數(shù)據(jù)庫管理、人員權(quán)限管理、審計(jì)管理、模版管理等相關(guān)功能。

2）運(yùn)行CA系統(tǒng)主要功能如下：

為企業(yè)內(nèi)部的人員、機(jī)構(gòu)、設(shè)備提供證書管理，主要包括證書申請(qǐng)、簽發(fā)、下載、注銷、更新等；

管理下級(jí)RA系統(tǒng)，通過管理RA系統(tǒng)的數(shù)字證書，實(shí)現(xiàn)對(duì)下級(jí)RA系統(tǒng)的管理；

系統(tǒng)自身的管理功能包括：數(shù)據(jù)庫管理、人員權(quán)限管理、審計(jì)管理、模版管理等相關(guān)功能；

3）證書注冊(cè)系統(tǒng)(RA)主要功能如下：

證書注冊(cè)系統(tǒng)(RA)屬于運(yùn)行CA系統(tǒng)向用戶提供證書服務(wù)的窗口，直接為用戶提供證書申請(qǐng)、下載、注銷、更新等各項(xiàng)業(yè)務(wù)的服務(wù)。

進(jìn)行用戶身份信息的審核，確保信息的真實(shí)性；

維護(hù)使用該RA開展證書業(yè)務(wù)的用戶身份信息；

管理證書業(yè)務(wù)操作日志，并提供多種業(yè)務(wù)報(bào)表；

接收用戶申請(qǐng)請(qǐng)求并將申請(qǐng)請(qǐng)求錄入系統(tǒng)，申請(qǐng)請(qǐng)求包括證書申請(qǐng)、證書作廢、證書更新、證書掛起、證書恢復(fù)等；

審核用戶提交的申請(qǐng)請(qǐng)求的合法性并提交系統(tǒng)；

直接下載用戶申請(qǐng)成功的證書，并制作到用戶證書載體中，證書載體包括：軟盤、USB Key和IC卡等。

2.2.4 應(yīng)用安全支撐體系

應(yīng)用安全支撐體系通過對(duì)于應(yīng)用安全進(jìn)行高度的抽象和歸納，以組件化的方式統(tǒng)一為應(yīng)用系統(tǒng)提供多樣化的安全服務(wù)支撐。業(yè)務(wù)系統(tǒng)可以根據(jù)自己的業(yè)務(wù)安全需求，選擇相應(yīng)的安全組件，經(jīng)過簡(jiǎn)單的配置或少量的代碼更改就可以實(shí)現(xiàn)和應(yīng)用安全平臺(tái)之間的整合，完成應(yīng)用安全的整合，享受到應(yīng)用安全支撐平臺(tái)提供的安全服務(wù)。對(duì)于管理員而言，通過對(duì)應(yīng)用安全支撐平臺(tái)的管理和維護(hù)，實(shí)現(xiàn)整個(gè)應(yīng)用安全的統(tǒng)一管理，極大的減輕了管理的負(fù)擔(dān)。

應(yīng)用安全支撐體系屬于框架性結(jié)構(gòu)，包括各種安全服務(wù)組件，可以為用戶提供統(tǒng)一的認(rèn)證服務(wù)、統(tǒng)一的用戶管理服務(wù)、統(tǒng)一的授權(quán)服務(wù)、統(tǒng)一的密碼服務(wù)、單點(diǎn)登錄服務(wù)等，用戶可以根據(jù)實(shí)際業(yè)務(wù)需求，采用“搭積木”的方式，選擇相應(yīng)的組件。各個(gè)組件之間經(jīng)過簡(jiǎn)單的配置就可以協(xié)同工作，為應(yīng)用系統(tǒng)提供更為強(qiáng)大的、全面的安全服務(wù)，滿足應(yīng)用系統(tǒng)動(dòng)態(tài)發(fā)展的安全需求。

各組件主要功能如下：

安全認(rèn)證網(wǎng)關(guān)：為業(yè)務(wù)系統(tǒng)提供統(tǒng)一的身份認(rèn)證、安全傳輸功能；

數(shù)字簽名服務(wù)器：為業(yè)務(wù)系統(tǒng)提供數(shù)字簽名服務(wù)，滿足業(yè)務(wù)系統(tǒng)關(guān)鍵操作抗抵賴的需求；

統(tǒng)一用戶管理系統(tǒng)：為多個(gè)業(yè)務(wù)系統(tǒng)提供統(tǒng)一的用戶屬性管理、用戶生命流程管理的管理功能，滿足系統(tǒng)整合對(duì)于用戶權(quán)威數(shù)據(jù)的需求；

統(tǒng)一權(quán)限管理系統(tǒng)：該系統(tǒng)主要為多個(gè)業(yè)務(wù)系統(tǒng)提供統(tǒng)一的權(quán)限管理服務(wù)，既可以通過統(tǒng)一實(shí)現(xiàn)權(quán)限管理，增加權(quán)限管理的安全性，減輕用戶的管理復(fù)雜度，又可以減輕系統(tǒng)開發(fā)的工作量；

2.2.5 目錄服務(wù)體系

該體系主要負(fù)責(zé)用戶數(shù)字證書、證書注銷黑名單的統(tǒng)一發(fā)布，是PKI/CA系統(tǒng)和應(yīng)用之間的橋梁。按照不同企業(yè)的組織架構(gòu)，目錄服務(wù)器可以采取分級(jí)設(shè)置的方式，比如在企業(yè)總部建設(shè)主/從目錄系統(tǒng)，在各二級(jí)單位部署從目錄系統(tǒng)，通過主/從目錄之間的數(shù)據(jù)同步，保證企業(yè)內(nèi)部證書信息、黑名單信息的定時(shí)同步。

2.2.6 故障恢復(fù)與災(zāi)難備份體系

該層次主要是通過綜合應(yīng)用備份與恢復(fù)技術(shù)，提升PKI/CA系統(tǒng)的可靠性。針對(duì)關(guān)鍵的數(shù)據(jù)可考慮采用磁帶機(jī)、盤陣等方式進(jìn)行相應(yīng)的備份，同時(shí)設(shè)計(jì)相應(yīng)的故障恢復(fù)設(shè)計(jì)方案，保證整個(gè)系統(tǒng)出現(xiàn)問題可以盡快的恢復(fù)。

2.2.7 安全防御體系

網(wǎng)絡(luò)安全防護(hù)體系主要是通過部署防火墻、入侵檢測(cè)設(shè)備、漏洞掃描等產(chǎn)品，保障PKI/CA系統(tǒng)網(wǎng)絡(luò)層面的安全性。

2.2.8 標(biāo)準(zhǔn)規(guī)范體系

通過制定相關(guān)的標(biāo)準(zhǔn)規(guī)范，以保證整個(gè)PKI/CA體系建設(shè)的順利進(jìn)行。通過標(biāo)準(zhǔn)和規(guī)范的統(tǒng)一牽引，統(tǒng)一管理認(rèn)證系統(tǒng)的設(shè)計(jì)、建設(shè)、管理和應(yīng)用。根據(jù)經(jīng)驗(yàn)，可以考慮建設(shè)如下標(biāo)準(zhǔn)規(guī)范。

標(biāo)準(zhǔn)類：

系統(tǒng)建設(shè)標(biāo)準(zhǔn)：主要制定系統(tǒng)如何建設(shè)；

目錄服務(wù)技術(shù)標(biāo)準(zhǔn)：主要描述目錄服務(wù)系統(tǒng)的建設(shè)、管理和應(yīng)用相關(guān)標(biāo)準(zhǔn)；

證書格式標(biāo)準(zhǔn)：主要制定數(shù)字證書的格式，規(guī)范證書中簽發(fā)的內(nèi)容；

PKI應(yīng)用接口標(biāo)準(zhǔn)：主要描述證書如何和應(yīng)用系統(tǒng)進(jìn)行整合；

系統(tǒng)命名標(biāo)準(zhǔn)：主要描述下級(jí)系統(tǒng)的命名規(guī)則，方便統(tǒng)一管理；

規(guī)范類：

運(yùn)行管理規(guī)范；主要描述與運(yùn)行管理相關(guān)的要求，包括業(yè)務(wù)管理、系統(tǒng)管理、人員管理、安全管理等，以及系統(tǒng)備份和應(yīng)急處理方面的要求；

證書管理規(guī)范：主要描述證書業(yè)務(wù)的相關(guān)管理流程；

證書介質(zhì)管理規(guī)范：主要描述證書介質(zhì)采用的類型及各種類型的技術(shù)指標(biāo)；

管理制度規(guī)范：主要描述與運(yùn)行管理相關(guān)的要求，包括身份證書管理制度和運(yùn)行管理制度要求。

2.3 一般邏輯架構(gòu)設(shè)計(jì)

建筑企業(yè)其組織架構(gòu)極具特點(diǎn)，除企業(yè)總部外，還會(huì)在各地建有大量的異地分支機(jī)構(gòu)、項(xiàng)目部、集團(tuán)內(nèi)外組織等。因此企業(yè)自身的PKI/CA系統(tǒng)建設(shè)，必然要考慮到這樣的組織架構(gòu)現(xiàn)狀，從邏輯架構(gòu)上進(jìn)行有針對(duì)性的、分級(jí)的方案設(shè)計(jì)。

針對(duì)PKI/CA系統(tǒng)的整體分級(jí)規(guī)劃示意圖如下：

從圖中可以看出，根CA系統(tǒng)作為整個(gè)企業(yè)的信任源頭，主要管轄企業(yè)總部運(yùn)行CA系統(tǒng)。在公司總部、各分支機(jī)構(gòu)建設(shè)RA系統(tǒng)，各自為本級(jí)用戶提供服務(wù)，在各二級(jí)單位建設(shè)從目錄服務(wù)系統(tǒng)，實(shí)現(xiàn)和公司總部目錄服務(wù)系統(tǒng)之中證書信息、黑名單信息的同步。

圖2 PKI/CA系統(tǒng)邏輯結(jié)構(gòu)示意圖

針對(duì)某些規(guī)模比較小、人數(shù)比較少的下屬單位，可以由總部RA來承擔(dān)此類下屬單位用戶的證書服務(wù)，在下屬單位規(guī)模發(fā)展壯大后，再單獨(dú)建設(shè)RA系統(tǒng)。該種部署模式，既避免了投資浪費(fèi)，又使得證書業(yè)務(wù)能夠迅速擴(kuò)展到企業(yè)整個(gè)范圍。

2.4 信任體系的擴(kuò)展性設(shè)計(jì)

信任關(guān)系的擴(kuò)展主要包括縱向擴(kuò)展和橫向擴(kuò)展兩個(gè)方面，縱向擴(kuò)展指的是信任體系通過建設(shè)下級(jí)節(jié)點(diǎn)或是納入到更高一級(jí)節(jié)點(diǎn)管理的方式來實(shí)現(xiàn)信任的縱向延伸，主要體現(xiàn)在向上擴(kuò)展和向下擴(kuò)展兩個(gè)層面；橫向擴(kuò)展指的是通過交叉認(rèn)證的方式實(shí)現(xiàn)和其他信任體系之間的互認(rèn)互通，主要體現(xiàn)在通過橋CA的方式實(shí)現(xiàn)和其他PKI/CA系統(tǒng)之間的互聯(lián)互通。

2.4.1 縱向擴(kuò)展

圖4 安全認(rèn)證體系縱向擴(kuò)展示意圖

對(duì)于兩個(gè)不同的PKI/CA系統(tǒng)進(jìn)行互聯(lián)互通，實(shí)現(xiàn)互相信任，主要有兩種方案，即“入根”和“信任列表”方式?！叭敫蹦Ｊ街傅氖菑U除現(xiàn)有的根證書，作為其他根CA的下級(jí)CA存在，因?yàn)閷儆诮y(tǒng)一個(gè)根，所以該根CA所轄的所有二級(jí)CA頒發(fā)的證書均可以互相信任；信任列表方式主要指的是兩個(gè)不同的信任體系在一定的授權(quán)處理后互相信任對(duì)方，互相把對(duì)方的信任鏈納入到本系統(tǒng)受信任的范圍，允許對(duì)方頒發(fā)數(shù)字證書登錄到本區(qū)域內(nèi)的業(yè)務(wù)系統(tǒng)中。

2.4.2 橫向擴(kuò)展

橫向擴(kuò)展主要指的是信任體系可以方便的實(shí)現(xiàn)和其他信任體系的互認(rèn)互通，打破信任孤島，為信息的共享奠定堅(jiān)實(shí)的基礎(chǔ)。

目前不同信任域之間的互認(rèn)互通主要采用的是交叉認(rèn)證技術(shù)和橋接的方式。

從技術(shù)角度來看，兩個(gè)信任體系之間的交叉認(rèn)證就是兩個(gè)信任體系互相為對(duì)方的根CA系統(tǒng)簽發(fā)一張證書，從而使兩個(gè)信任體系內(nèi)的證書可以互相驗(yàn)證；而橋接的方式是借助一個(gè)中立的橋CA機(jī)構(gòu)將各個(gè)信任體系進(jìn)行互聯(lián)。從業(yè)務(wù)角度來看，信任體系之間通過進(jìn)行交叉認(rèn)證和橋接可以擴(kuò)展信用范圍。其關(guān)系如下圖所示：

2.5 應(yīng)用安全支撐邏輯結(jié)構(gòu)示意圖

由于信息化建設(shè)發(fā)展的不斷深入，建筑企業(yè)不但會(huì)繼續(xù)出現(xiàn)新增的業(yè)務(wù)系統(tǒng)，而且現(xiàn)有的應(yīng)用業(yè)務(wù)系統(tǒng)運(yùn)行模式必然會(huì)隨著未來信息化發(fā)展的新形勢(shì)而產(chǎn)生新的調(diào)整變化。因此PKI/CA體系建設(shè)就要充分考慮到這種必然的發(fā)展和變化趨勢(shì)，通過針對(duì)性的應(yīng)用安全支撐平臺(tái)建設(shè)，使得整個(gè)體系能夠?yàn)樯蠈訕I(yè)務(wù)應(yīng)用提供持續(xù)、穩(wěn)定的安全服務(wù)。

圖5 信任體系橫向擴(kuò)展示意圖

安全支撐平臺(tái)作為依托PKI/CA安全基礎(chǔ)架構(gòu)，為上層應(yīng)用提供安全服務(wù)中間支撐組件，能夠?qū)τ谛略鰬?yīng)用安全進(jìn)行高度的抽象和歸納，理解并適應(yīng)這種在可預(yù)期的未來必然出現(xiàn)的業(yè)務(wù)運(yùn)行模式變化的新局面，能夠繼續(xù)實(shí)現(xiàn)數(shù)字證書和應(yīng)用之間的整合，最大限度的體現(xiàn)數(shù)字證書的價(jià)值，為應(yīng)用系統(tǒng)提供更為強(qiáng)大的、全面的安全服務(wù)。安全支撐平臺(tái)可以通過模塊化的組件選擇為業(yè)務(wù)系統(tǒng)提供如統(tǒng)一的認(rèn)證服務(wù)、統(tǒng)一的用戶管理服務(wù)、統(tǒng)一的授權(quán)服務(wù)、統(tǒng)一的密碼服務(wù)、單點(diǎn)登錄等服務(wù)，滿足應(yīng)用系統(tǒng)動(dòng)態(tài)發(fā)展的安全需求。

安全支撐平臺(tái)的邏輯結(jié)構(gòu)圖如下：

圖3 應(yīng)用安全支撐平臺(tái)邏輯示意圖

3 建設(shè)PKI/CA的認(rèn)證體系存在的主要問題分析

基于PKI／CA的信任體系在建設(shè)之初，需要投入大量的資金和進(jìn)行相當(dāng)標(biāo)準(zhǔn)的硬件環(huán)境建設(shè)，此外，由于PKI/CA認(rèn)證體系屬于基礎(chǔ)信息架構(gòu)，后期維護(hù)成本也要考慮，而建筑企業(yè)在信息化建設(shè)上的投入相對(duì)有限，如何平衡安全與成本的關(guān)系尤為重要，因此，在設(shè)計(jì)系統(tǒng)的時(shí)候，要充分結(jié)合本企業(yè)的特點(diǎn)與信息化進(jìn)程，綜合考量，統(tǒng)籌規(guī)劃，方案設(shè)計(jì)要具有前瞻性和擴(kuò)展性，采取逐步實(shí)施，不斷完善的策略來保證投入產(chǎn)出的最優(yōu)比率。

其次，由于PKI/CA認(rèn)證體系是信息化安全建設(shè)的基礎(chǔ)設(shè)施，需要為眾多的企業(yè)上層應(yīng)用提供安全服務(wù)。因此企業(yè)是否能在該體系建設(shè)過程中即形成完整、有效的行業(yè)標(biāo)準(zhǔn)規(guī)范，來指導(dǎo)整個(gè)CA認(rèn)證體系的建設(shè)乃至日后的運(yùn)營(yíng)，也成為整個(gè)PKI/CA體系是否能夠真正發(fā)揮安全基礎(chǔ)設(shè)施作用的主要因素。

再次，隨著建筑企業(yè)信息化發(fā)展進(jìn)入新的階段，自身PKI/CA認(rèn)證體系基礎(chǔ)設(shè)施及安全支撐平臺(tái)的建立，信息化建設(shè)模式已經(jīng)從“建一個(gè)應(yīng)用，考慮一個(gè)應(yīng)用的安全”轉(zhuǎn)變?yōu)椤凹薪ㄔO(shè)安全支撐平臺(tái)，統(tǒng)一為眾多應(yīng)用提供安全服務(wù)”。如何適應(yīng)這種轉(zhuǎn)變，集中將企業(yè)整體信息化安全策略體現(xiàn)在安全支撐平臺(tái)，以指導(dǎo)、規(guī)范未來應(yīng)用系統(tǒng)建設(shè)，確保PKI/CA認(rèn)證體系長(zhǎng)期發(fā)揮作用，也變得非常關(guān)鍵。

4 結(jié)語

網(wǎng)絡(luò)與信息系統(tǒng)的安全問題，已越來越被所重視，建筑企業(yè)也不能例外，雖然目前建筑企業(yè)都部署了大量網(wǎng)絡(luò)安全設(shè)備，但是現(xiàn)有的安全技術(shù)手段對(duì)于用戶身份的可信性鑒定、信息的保密防篡改、關(guān)鍵操作的防抵賴、責(zé)任認(rèn)定等環(huán)節(jié)均存在一定的局限性，因此，有必要開展身份認(rèn)證體系建設(shè)，以解決網(wǎng)絡(luò)通信中應(yīng)用數(shù)據(jù)安全，通過一套完整和標(biāo)準(zhǔn)的安全流程來保證網(wǎng)絡(luò)通信及應(yīng)用中的各類安全認(rèn)證和重要應(yīng)用數(shù)據(jù)的安全與保密，以防止非法攻擊者對(duì)網(wǎng)絡(luò)通信中重要應(yīng)用數(shù)據(jù)的攻擊和竊取，確保通信雙方身份的真實(shí)性和重要數(shù)據(jù)的完整性、不可否認(rèn)性以及安全保密性。實(shí)現(xiàn)對(duì)服務(wù)對(duì)象的身份鑒別、對(duì)服務(wù)對(duì)象訪問網(wǎng)絡(luò)資源時(shí)的權(quán)限控制?；跀?shù)字證書技術(shù)，確保應(yīng)用的安全及其服務(wù)對(duì)象重要操作事件、行為事件的安全審計(jì)。以滿足企業(yè)信息安全集中管控的需要。