网上报税系统应用安全解决方案

网上报税系统应用安全解决方案 网上报税系统 应用安全解决方案 网上报税系统应用安全解决方案 目 录 目 录 1. 背景概述 .................................................................................................................................. 1 2. 需求分析 .................................................................................................................................. 2 2.1. 系统需求 ............................................................................................................................. 2 2.2. 应用需求 ............................................................................................................................. 2 3. 思想 .................................................................................................................................. 3 3.1. 基本思路 ............................................................................................................................. 3 天威诚信为税务定制的方案 ............................................................................................. 4 3.2. 4. CA认证系统设计 .................................................................................................................... 5 4.1. 认证体系设计 ..................................................................................................................... 5 4.2. 系统架构 ............................................................................................................................. 8 4.3. 系统组成 ............................................................................................................................. 8 4.4. 系统功能 ............................................................................................................................. 9 4.5. 系统工作流程 ................................................................................................................... 11 4.5.1. 证书申请流程 .............................................................................................................. 11 4.5.2. 证书查询流程 .............................................................................................................. 13 4.5.3. 证书更新流程 .............................................................................................................. 14 4.5.4. 证书吊销流程 .............................................................................................................. 14 4.6. 软硬件需求 ....................................................................................................................... 15 5. 网上报税系统安全应用集成................................................................................................. 16 5.1. 系统组成 ........................................................................................................................... 17 5.2. 系统功能 ........................................................................................................................... 18 5.3. 网上报税工作流程 ........................................................................................................... 19 5.4. 证书应用API(PTA) .................................................................................................... 21 6. 项目实施规划......................................................................................................................... 21 6.1. 签订 ........................................................................................................................... 22 网上报税系统应用安全解决方案 目 录 6.2. 确定具体实施方案 ........................................................................................................... 22 6.3. 前期准备 ........................................................................................................................... 22 6.4. 软硬件设备采购 ............................................................................................................... 22 6.5. 客户化开发 ....................................................................................................................... 22 6.6. 客户申请 ........................................................................................................................... 23 6.7. 批准与创建 ....................................................................................................................... 23 6.8. 系统安装实施 ................................................................................................................... 23 ................................................................................................. 24 6.8.1. CA认证系统安装调试 6.8.2. 应用系统安全应用集成 .............................................................................................. 24 6.9. 系统测试 ........................................................................................................................... 24 6.10. 系统上线试运行 ............................................................................................................... 24 6.11. 客户 ........................................................................................................................... 24 6.12. 系统正式验收 ................................................................................................................... 25 7. 方案特点 ................................................................................................................................ 25 7.1. 先进的技术体系 ............................................................................................................... 25 7.2. 灵活的认证体系 ............................................................................................................... 25 7.3. 权威性和品牌性 ............................................................................................................... 25 7.4. 易用性 ............................................................................................................................... 25 7.5. 系统的扩展性 ................................................................................................................... 26 附录 ................................................................................................................................................ 27 天威诚信公司(简介) ............................................................................................................. 27 天威诚信产品销售许可情况 ..................................................................................................... 27 天威诚信安证通(ONSITE) .................................................................................................... 28 术语与缩写词 ............................................................................................................................. 32 网上报税系统应用安全解决方案 第 1 页 共 33 页 1. 背景概述 网上报税是指税务部门建立专门的申报网站，纳税人通过Internet采用浏览器访问税务部门网站，获取电子化的申报表格;或通过专门的网上报税客户端软件，生成电子化的申报表格。纳税人正确填写电子化申报表后，递交申报数据至税务部门服务器，税务部门的服务器对这些数据进行处理，并将处理结果反馈给纳税人的一种电子申报方式。此种方式大大减少了纳税人往返于税务部门、银行的烦恼，也大大减轻了税务部门的工作量。由此我们可以预见，网上报税将成为今后主要的税务申报方式。 由于网上报税是基于Internet的，需要通过广泛的、开放的Internet进行数据通信。因此，不可避免地存在着由Internet的广泛、开放所带来的信息安全隐患，包括: , 身份认证 由于Internet的广泛性和开放性，使得非法用户可以借机进行破坏，他们很容易伪造、 假冒网上报税系统和纳税人的身份。因此，纳税人无法知道他们所登录的系统是否 真实、可信的网上报税系统，网上报税系统也无法纳税人是否是合法纳税人。" 用户名，口令"的传统认证方式安全性较弱，纳税人口令易被窃取而导致损失。 , 信息的机密性 在纳税人和网上报税系统之间传输数据都是敏感信息，如税务申报数据，纳税人的 信用卡号和密码等，这些数据都是保密的数据。而通过开放的Internet，有可能在传 输过程中被截取，被非法用户加以利用，给纳税人和税务部门造成损失。 , 信息的完整性 在保证信息机密性的同时，还需要保证敏感数据的完整传输。通过开放的Internet， 敏感数据在传输过程中很可能被恶意篡改，使得接收方不能得到完整的信息。 , 信息的不可抵赖性 税务申报具有很高的法律效力，申报者和处理者都不能抵赖。通过广泛的和开放的 Internet，纳税人与税务部门间进行的税务申报行为一旦被其中的一方所否认，另一 方没有抗抵赖的记录来作为仲裁的依据。 网上报税系统应用安全解决方案 第 2 页 共 33 页 由于网上报税存在这么多安全隐患，使得税务部门在开发或使用的网上报税系统时，希望采取有效的手段来保证网上报税的安全。 为此，北京天威诚信电子商务服务有限公司(以下简称天威诚信)针对网上报税的安全需求，专门定制了方案——网上报税系统应用安全解决方案，利用PKI(Public Key Infrastructure，公钥基础设施)技术为税务部门建设一套CA(Certification Authority，证书认证中心) 认证系统，为纳税人颁发数字证书。在网上报税时纳税人必须使用数字证书，并结合加密技术和数字签名技术来解决网上报税的安全问题。 2. 需求分析 2.1. 系统需求 系统需求是指对CA认证系统的需求，包括: , CA认证系统的功能要求，包括具有:证书申请，证书发放，证书吊销，证书查找， 证书更新和证书管理等功能。 , CA认证系统的配置要求，包括:投入小，安全性高，可扩展性好，安装配置时限 小; , 证书申请可以采用在线和离线申请两种方式; , 证书介质可以采用多种形式，包括:磁盘和USB KEY; 2.2. 应用需求 应用需求是指对网上报税系统的应用安全需求，包括: , 纳税人在进行网上报税时可采用离线报税，即纳税人首先通过专用客户端软件， 生成税务报表，在填写完报表信息之后，再连接网络，将填写完的申报数据安全 的发送到网上报税系统服务器;也可以采用在线报税，即使用浏览器，访问网上 报税系统，进入网上报税的Web网页，填写表单信息，在线的、通过安全的方式 将申报数据发送到网上报税系统服务器; , 网上报税系统需要实现对纳税人的身份认证，即只有合法的用户才能访问网上报 税系统;同时，纳税人也需要对网上报税系统服务器进行身份认证，提供有效的 机制使纳税人能够确认所访问的服务器的确是真实的网上报税系统服务器; 网上报税系统应用安全解决方案 第 3 页 共 33 页 , 网上报税系统需要实现双向抗抵赖，即首先需要对纳税人的申报数据进行抗抵赖， 纳税人不能够对自己上报的数据进行否认和抵赖;其次，在申报服务器处理完申 报数据之后，需要为纳税人返回一个回执，提示申报成功还是失败，失败的原因， 以及是否需要重新申报等，需要对回执进行抗抵赖处理，防止服务器(即税务部 门)对返回的回执进行否认和抵赖; , 纳税人的申报数据和申报服务器的回执的明文信息只有纳税人和税务部门才能得 到，其它任何人都不能得到。 3. 设计思想 3.1. 基本思路 采用PKI/CA技术，可以解决网上报税系统的安全问题。通过为税务局建设一套CA认证系统，为纳税人发放数字证书，纳税人访问网上报税系统时使用数字证书，来实现对纳税人的身份认证和访问控制;在纳税人进行税务申报时，结合加密技术和数字签名技术，对申报信息进行加密和签名，来实现信息的机密性、完整性和抗抵赖性。 使用PKI/CA技术对于网上报税应用来说是一个整体的安全解决方案，对于建立并运营CA认证系统的部门，必须满足纳税人对高可靠性、高安全性的安全认证服务的要求。从用户的角度看，一个成功的CA认证系统意味着很容易获得数字证书，能够在网上报税系统的身份认证、访问控制、申报数据加密和签名等网上报税应用中方便的使用这些数字证书。从建设者的观点来看，运营CA认证系统意味着为用户提供一个可信的在线服务。 但是，对于税务部门来说，自己要建设、运营和维护一套完整的PKI/CA认证系统存在一定的复杂性和风险性: 第一，税务部门需要考虑包括系统、通信、数据库、以及物理安全、网络安全配置、高可靠性的冗余系统和灾难恢复等方面的建设; 第二，税务部门需要投入庞大的资金作后盾，包括建设、运营和维护资金; 第三，税务部门需要进行大量的、专用化的培训，将相关内部人员培训成为PKI专家、法律专家和系统维护人员; 第四，税务部门需要对国家有关安全认证中心(CA)的管理规范和国家管理部门的审批有深刻了解，建设的CA认证系统需要通过国家有关部门的审批，并获取相应的安全资质。 网上报税系统应用安全解决方案 第 4 页 共 33 页 因此，对于主要业务是为广大纳税人提供网上报税服务的税务局来说，没有必要把过多的精力放在PKI/CA认证系统的建设和运营上，可以通过选择一个成功的PKI服务提供商来获得PKI服务。而配置一个集成的PKI服务平台，建设迅速，共享投资、分担风险，是一个成功的选择，也是未来PKI的发展趋势。 鉴于此，本方案采用基于服务的模式，来设计和建设税务局的CA认证系统，利用该系统为纳税人颁发数字证书，将系统的复杂性和运营投资风险降到了最低。 3.2. 天威诚信为税务定制的方案 天威诚信为网上报税系统提供了一种基于安证通(OnSite)的解决方案，安证通(OnSite)是天威诚信一种集成的PKI产品，税务部门配置了安证通(OnSite)之后，就可以建设起自己的、集成的CA认证系统: (1) CA认证系统的核心部分——CA中心托管建设在天威诚信安全数据中心，而面 向纳税人的证书申请、身份审核、证书吊销和证书更新等处理部分建设在税务 部门本地，由它们共同来为纳税人提供安全认证服务; (2) 安证通(OnSite)提供税务部门一个管理前台(模块)，税务部门通过对安证 通(OnSite)的管理，对整个CA认证系统进行全权管理，包括CA策略管理、 证书策略管理和证书生命周期管理等; (3) 纳税人使用浏览器，访问为税务部门建设的安证通(OnSite)来申请证书，并 可以完成证书的管理工作，包括证书查找、更新和吊销等。 这样，对税务部门来说，建设税务CA认证系统的复杂性和风险将降到最低，建设、运营和维护成本也变得极低: (1) 税务部门不需要考虑复杂的、需要高安全和高可靠性的CA认证系统核心部分的 建设工作，包括系统、通信、数据库、以及物理安全、网络安全配置、高可靠 性的冗余系统和灾难恢复等方面的建设;只需要考虑面向最终用户的证书申请 和管理部分的建设。 (2) 不再需要维持一支CA认证系统运营所必须的，由PKI专家、安全专家、专业 法律顾问、网管和数据库管理员等人员组成的技术队伍，只需要配置几个管理 员就能够管理和运营整个CA; 网上报税系统应用安全解决方案 第 5 页 共 33 页 (3) 不再需要建设并维护一个庞大的机房及设备，只需要维护安证通(OnSite)本地 建设的极小部分系统。 4) 税务部门全权管理整个CA认证系统，包括CA策略管理、证书策略管理和证书( 生命周期管理，以及为最终用户提供的相关功能网页的定制等。 这样在保证高可用性和安全的同时，还具有高可扩展性、很强的灵活性与优异的性能。在经济、高速和高效地建立一个CA认证系统的同时，允许税务部门对整个CA认证系统的策略、证书认证体系、鉴别方式及证书生命周期管理等全面控制;允许税务部门简单地实施PKI，而不需要昂贵的基础设施、专业的PKI维护与运营雇员。还能够保证与国际接轨，并支持7*24小时的可靠服务。而有关的风险大部分由专业的PKI服务提供商——天威诚信承担。 4. CA认证系统设计 天威诚信为税务提供的建设CA认证系统的方案是建立在天威诚信开放的PKI/CA基础之上，在保证税务部门投资回报率最高的前提下建设税务部门的CA认证系统。作为网上税务系统安全应用的重要组成部分，CA认证系统颁发的数字证书是保障网上报税系统身份认证、访问控制、信息保密性、完整性和不可抵赖性的基本元素。基于数字证书实现的网上报税系统将成为税务部门的自有品牌，具备税务局的权威性和品牌性，体现税务局服务于经济服务改革的宗旨。 因此，CA认证系统设计将从证书认证体系、发证方式和用户界面等所有方面突出税务局的自有品牌性，并且由税务局全权控制和管理。在系统建设方面，将充分利用天威诚信现有资源和技术优势，将税务部门和天威诚信的业务紧密结合，实现优势互补，共同为网上报税服务。 4.1. 认证体系设计 认证体系是指证书认证的逻辑层次结构，显示了证书的信任关系，它是一个树状结构，由自签名的根CA为起始，由它签发二级子CA，二级子CA又签发它的下级CA，以此递推，最后某一级子CA签发最终用户的证书。 网上报税系统应用安全解决方案 第 6 页 共 33 页 认证体系理论上可以无限延伸，但从技术实现与系统管理上，认证层次并非越多越好。层次越多，技术实现越复杂，管理的难度也增大。证书认证的速度也会变慢。一般的，国际上最大型的认证体系层次都不超过4层，并且浏览器等软件也不支持超过4层的认证体系。 , 税务私有认证体系 天威诚信针对税务行业的特殊应用，在考虑税务部门的权威性和品牌性的基础上，为税务应用设计了一种税务私有认证体系，如下图所示: 图4-1 税务CA私有认证体系 如图所示，税务CA私有认证体系采用三层结构: , 第一层是自签名的税务省局根CA，是处于离线状态的，具有税务部门的权威性 和品牌特性。 , 第二层是由税务省局CA为各地市局签发的税务地市局子CA，处于在线状态， 它是签发纳税人证书的签名CA。 , 第三层为纳税人证书，由税务地市局子CA签发，从纳税人证书的证书信任链中 可以看出整个税务CA认证体系结构，但是它们只能在税务应用的范围内受到信 任。 这种三层结构的税务CA认证体系可以根据税务应用的需求进行扩展，在税务地市局子CA下签发税务市县局二级子CA，再往下还可以签发下级子CA。因此，具有很强的可扩展性。其次，这种税务CA认证体系的信任源来自税务省局根CA，体现了税务局的权威性和品牌性。另外，这种认证体系特地为税务应用设计，它可以根据税务部门的需求来进行设计和更改，由税务部门全权控制和管理。 , 税务公有认证体系 网上报税系统应用安全解决方案 第 7 页 共 33 页 另外，天威诚信针对税务应用，还提供了一种基于天威诚信CTN(China Trust Network，中国信任网络)体系的税务公有认证体系，如下图所示: 图4-2 税务CA公有认证体系 如图所示，税务CA公有认证体系采用四层结构: , 第一层是天威诚信根CA，目前，天威诚信安全认证业务的得到了广泛的发展， CTN体系已经在全国得到了广泛应用，已经应用于证券、银行、石油、烟草、 通信、税务和ISP等很多行业，势必在全国建立一个可信的信任网络。因此， 这种体系下的证书将在全国受到信任。 , 第二层是税务省局子CA，它是由天威诚信根CA签发的一个子CA，该子CA 负责为税务应用签发各地市局子二级子CA。因此，税务省局子CA通常处于离 线状态。 , 第三层是税务地市局二级子CA，由税务省局子CA签发，是签发纳税人证书的 签名CA，处于在线状态。 , 第四层为纳税人证书，由税务地市局二级子CA签发，从纳税人证书的证书信任 链中可以看出整个税务CA认证体系结构，由于是基于天威诚信CTN的公有认 证体系，因此，纳税人证书可以在全国范围内受到信任。 税务CA公有认证体系同样具有很强的可扩展性。其次，由于具有统一的税务省局子CA，因此也具有一定的权威性和品牌性。另外，这种体系下最终的根是天威诚信根CA，因此在公正性和公开性方面比税务CA私有认证体系要好很多。而且，这种体系的税务省局子CA是由天威诚信根CA签发，它承袭天威诚信CTN的信任关心，可以被其它天威诚信签发 网上报税系统应用安全解决方案 第 8 页 共 33 页 的子CA信任，如其它地方税务CA、工商CA或其它省级CA等，纳税人证书可以在全国范围内受到信任。 4.2. 系统架构 根据系统建设基本思路，采用基于服务的模式，利用天威诚信安证通(OnSite)产品来建设税务部门CA认证系统，CA认证系统的后台核心——CA中心部分托管建设在天威诚信安全数据中心，而面向纳税人的证书申请和管理的前台——RA中心(证书注册中心)建设在税务部门，由它们共同来为网上报税系统提供安全认证服务;同时通过CA管理前台，实现对整个CA认证系统的全权管理。 这种模式建设的CA认证系统架构如下图所示: 图4-3 CA认证系统逻辑结构图 4.3. 系统组成 如图所示，税务部门CA认证系统包括如下几个组成部分: , 纳税人 网上报税系统应用安全解决方案 第 9 页 共 33 页 即纳税用户，他们是CA认证系统的使用主体，通过CA认证系统申请数字证书， 并在网上报税系统中使用为自己签发的数字证书，实现安全的税务申报。 , 证书注册中心 即RA中心，是CA认证系统的前台，是提供给纳税人注册证书的地方，它建设在 税务部门本地，如上图所示。证书注册中心包括两个部分: , 证书注册服务器 它是纳税人申请证书的服务器。纳税人通过访问该服务 器站点，来注册数字证书。同时，它提供纳税人证书管理的功能，包括查 询证书、更新证书和吊销证书等操作。 , 证书自动管理服务器 它是对最终用户提交的申请进行自动批准的服务 器，它链接到网上报税系统的用户服务器或数据库，判断用户提交的申请 与服务器或数据库中保存的信息是否一致，来验证是否为该用户颁发数字 证书，通过自动管理服务器的处理，CA认证系统可以自动的为用户颁发 数字证书，不需要管理员进行干预。 , 证书认证中心 即CA中心，是整个CA认证系统的核心后台，是负责具体签发最终用户证书的地 方，它托管建设在可信的、公正的第三方——天威诚信认证中心。它根据证书管理 员或自动管理服务器对最终用户证书请求的批准，来签发该用户的数字证书。另外， 认证中心还提供其它的服务，如证书查询，吊销列表查询等等。 , CA管理 CA管理是提供给税务部门对整个CA认证系统进行全权管理的前台(模块)，包 括对CA中心和RA中心的管理，由管理员来进行。管理员是由税务局指定的、对 税务局CA认证系统进行管理的可信人员，管理员通过CA管理前台，访问天威诚 信提供的管理员Web站点，使用管理员证书登录到为税务部门分配的CA管理帐户 中，来管理整个CA。管理员可以对纳税人提交的请求进行验证和审批等，可以吊 销纳税人的数字证书，可以对税务部门CA认证系统的CA策略、证书签发策略和 证书生命周期等进行配置和管理，等等。 4.4. 系统功能 网上报税系统应用安全解决方案 第 10 页 共 33 页 天威诚信设计和建设的税务局CA认证系统所实现的主要功能是数字证书的颁发和管 理。具体包括: , CA管理 税务部门指定的管理员可以对税务部门CA认证系统进行全权管理，包括CA和RA 的管理。可以对CA策略、证书签发策略和证书生命周期进行配置和管理，可以完 成请求处理、证书管理、查询相关信息、吊销证书，以及生成统计和审计报告等 CA/RA的管理功能。 , 证书签发 证书签发是每个CA认证系统最为基本的功能，用户提交证书申请后，通过注册中 心系统的身份审核后，由注册中心将证书申请指令提交到后台CA中心，CA中心接 到注册中心的签发指令后，将签发用户证书。 天威诚信设计和建设的CA认证系统支持人工批准、自动批准和通行码批准等三种 审批用户证书请求的方式，支持集中制证和在线申请等两种证书签发模式，税务局 可以根据需要，进行选择和配置。同时，CA认证系统可以签发多种证书，包括个 人电子邮件证书和身份认证证书、以及企业证书。 , 证书发布 CA认证系统在签发用户证书后会将用户证书发布到公开网络的目录中供查询用。 同时，也提供证书发布到税务部门本地目录的功能和接口。 , 证书查询 用户在使用他人的数字证书发送加密文档的时候，需要下载他人的数字证书，这时 候他可以到公开目录去查询、下载他人证书;用户也可以到网上查询自己的证书状 态。 , 证书吊销 为了保证证书的高安全可靠，用户在密钥发生丢失、偷窃、修改、非法泄露，或用 户私钥的其它泄密现象时必须向CA中心提出证书吊销请求，此外，根据网上使用 规定或内部管理条例，在用户违反规定或人员离职等情况下管理员也可以单方面向 CA中心请求来吊销用户证书。 网上报税系统应用安全解决方案 第 11 页 共 33 页 , 证书更新 所有证书都有一个有限使用期,即使用周期。使用周期过了，用户就不应再使用那一 证书了。为了继续使用请求证书的申请，用户对证书进行更新。 , CRL发布 CRL(Certificate Revoked List)，又称证书黑名单，该列表由CA进行签署，以便 让用户下载，在每次下载过程中，必须确保其内容的完整性和可靠性。CRL的发布 是周期性更新，可以被定义为每夜、甚至每小时对CRL进行更新。同时，系统还支 持税务部门本地CRL分发点，即在税务部门本地建设CRL分发点，直接到本地查 询和下载CRL。 4.5. 系统工作流程 4.5.1. 证书申请流程 本方案设计的CA认证系统支持集中制证和在线申请两种证书签发模式，根据税务部门的应用，主要是通过集中制证的方式来进行证书签发，但是为了系统的扩展，也必需支持在线申请方式。 , 集中制证 集中制证是指由税务部门集中的申请、签发好纳税人的数字证书，并将证书及其私 钥保存在USB Token中，再分发给纳税人使用的证书签发方式。考虑到税务部门管 理员的工作量，本方案设计的集中制证的证书请求审批流程为自动管理的流程: 图4-4 集中制证工作流程图 集中制证的工作流程为: 网上报税系统应用安全解决方案 第 12 页 共 33 页 (1) 纳税人在税务部门登记完毕，有关用户信息已经保存到用户数据库中。此时， 管理员访问证书注册服务器，选择证书申请功能，为纳税人集中申请数字证 管理员插入USB Token，输入纳税人的唯一标识(如企业税务登记号，书。 在用户数据库中保存)，然后进行提交; (2) 证书注册服务器根据提交的纳税人的唯一标识，从用户数据库查询纳税人的 信息，将得到的信息作为证书申请时需要提交的信息，并显示在证书注册页 面，管理员可以看到获取的信息，检查是否正确，并点击提交; 3) 此时，在本地USB Token中，产生证书的公私钥对，将公钥和纳税人信息一( 起，作为证书申请请求，提交给证书自动管理服务器; (4) 证书自动管理服务器自动鉴别提交的信息，确定其是否具有证书申请权限; 验证通过，将申请请求提交给CA中心; (5) CA中心根据批准，自动签发申请的证书，并将证书自动的返回到证书管理 员客户端，自动的保存到USB Token中。同时，通过证书自动管理服务器， 将证书发布到用户数据库中。 (6) 这样，按照企业目录顺序，证书管理员一个一个的为纳税人集中产生好数字 证书，保存在USB Token中;然后，再将保存了证书及其私钥的USB Token 分发给纳税人，在进行网上报税时使用。 , 在线申请 在线申请是指由纳税人通过Internet在线的进行证书申请，由税务部门管理员鉴别纳税人的身份，批准纳税人的请求，CA中心再签发纳税人证书的证书签发方式。在进行证书申请之前，纳税人需在税务部门进行登记，成为税务部门的纳税人。然后税务部门将USB Token通过某种方式送到企业，并通知纳税人在网上在线申请数字证书，其工作流程为: 网上报税系统应用安全解决方案 第 13 页 共 33 页 图4-5 在线证书申请工作流程图 (1) 纳税人使用浏览器，访问证书注册服务器，选择证书申请功能。插入USB Token，正确的填写证书申请表格，然后进行提交;此时，在纳税人本地的 USB Token中，产生用于申请证书的公私钥，将公钥和填写的申请信息一起， 提交给证书注册服务器; (2) 证书注册服务器接收用户申请信息，验证输入数据格式的正确性后，将用户 提交的请求提交给自动管理服务器; (3) 自动管理服务器直接将请求提交给CA中心; (4) 管理员使用浏览器，访问管理员Web站点，查看纳税人提交的信息，验证用 户的身份，批准证书申请请求; (5) CA中心根据管理员的批准，签发纳税人的证书，并给纳税人发送提取数字 证书的邮件通知; (6) 纳税人根据邮件的提示，到CA中心提取自己的数字证书，将证书保存到USB Token中。 4.5.2. 证书查询流程 (1) 纳税人使用浏览器，访问税务部门的证书注册服务器，进入证书查询相关页 面。 (2) 填写查询信息，例如电子邮件信息或用户姓名。 (3) 选择需要查询证书的状态，例如有效、已过期、所有、已吊销、待处理、已 批准。 网上报税系统应用安全解决方案 第 14 页 共 33 页 (4) 提交请求，便可以查询到符合查询条件的证书。 4.5.3. 证书更新流程 证书都具有使用期限，在证书即将过期之前，需要对证书进行更新，根据税务的应用需求，本方案设计证书更新为纳税人在线证书更新模式，其流程如下: (1) 管理员配置CA认证系统证书更新策略，在纳税人证书即将过期时，自动 的给纳税人发一封电子邮件，提示纳税人更新自己的数字证书; (2) 纳税人在收到邮件之后，通过电话，或者安全Email方式，给管理员发出 证书更新的请求，并完成证书续费的处理; (3) 管理员确认该纳税人能够进行证书更新，便手工的打开纳税人证书更新的 权限，并将申请证书时填写的辨识码发给纳税人，并通知纳税人在线的更 新自己的证书; (4) 此时，纳税人将USB Token插入到计算机中，使用浏览器访问证书注册服 务器，进入证书更新页面，点击证书更新按钮选项; (5) 系统自动的识别USB Token中保存的即将过期的证书，并提示纳税人是否 对证书进行更新; (6) 纳税人填写辨识码，点击进行证书更新，系统自动的更新纳税人的证书; 纳税人便可以使用已经更新的证书，进行安全网上报税。 4.5.4. 证书吊销流程 在证书的私钥受到威胁，或者泄漏，或者该证书没有权限时，都需要吊销该证书。根据税务的应用需求，证书吊销设计两种模式: , 管理员吊销模式 管理员吊销模式实用于纳税人违规;或者因为某种原因，税务部门想要停止纳税人 使用证书;或者纳税人通知税务部门，自己的私钥受到威胁，需要吊销自己的证书 的情况。在这种情况下，吊销证书的流程为: (1) 税务部门确定需要吊销纳税人的证书时，便给管理员发出吊销证书的通知; (2) 管理员得到通知后，进行确认，核实税务部门提交的证书吊销请求; (3) 管理员登录管理员站点，查询需要吊销证书，查看证书的详细信息; 网上报税系统应用安全解决方案 第 15 页 共 33 页 (4) 管理员确定是需要吊销的证书之后，点击吊销，并选择税务部门提交的吊 销证书的理由，吊销纳税人的证书; 5) 证书吊销后，管理员给纳税人发送一封Email，通知纳税人不能再使用该( 数字证书。 , 纳税人自己吊销模式 当纳税人发现自己的私钥受到威胁时，可以自己选择吊销证书，纳税人在吊销自己的证书时，需要知道证书的辨识码(在申请证书时设定)，其流程为: (1) 纳税人使用浏览器，访问证书注册服务器站点，进入证书吊销页面; (2) 输入证书的序列号，查询到自己的证书，输入辨识码，点击吊销证书; (3) 系统出现证书吊销提示页面，提示纳税人选择吊销原因; (4) 纳税人选择吊销的原因，点击提交，就可以吊销自己的数字证书; (5) 纳税人通知税务部门，自己的证书已经吊销。 4.6. 软硬件需求 根据系统结构图，建设本方案的CA认证系统需要如下软硬件配置(CA认证系统支持 Windows和Solaris两种平台): , 证书注册服务器 Windows平台配置需求: 奔腾4 1G 或更快; 5GB的可用磁盘空间 ; 128MB以上内存; 光驱; Windows2000 Server(SP2); IIS5.0以上服务器软件; 要求服务器有对外的域名，能够连接互连网; 需配置Web服务器证书。 Solaris平台配置需求: Sparc Ultra 2 or faster; 网上报税系统应用安全解决方案 第 16 页 共 33 页 128 MB RAM; 5GB disk free; CD-ROM Drive; iPlanet web server6.0 sp 1; 要求服务器有对外的域名，能够连接互连网; 需配置Web服务器证书。 , 自动管理服务器(可以与LH在同一台机器上) Windows平台配置需求: 奔腾4 1G或更快; 5GB的可用磁盘空间 ; 128MB 以上内存; 光驱; Windows2000 Server(SP2); 要求有验证数据源(即用户数据库或服务器); Solaris平台配置需求: Sparc Ultra 2 or faster; 128 MB RAM; 5GMB disk free; CD-ROM Drive; 要求有验证数据源(即用户数据库或服务器)。 , CA管理终端 配置需求: 奔腾 4 1G或更快; 128MB 以上内存; 1GB 以上可用磁盘空间; Windows 操作系统; Internet Explorer 5.0 or Later; 128位加密强度，Javascript 支持; 5. 网上报税系统安全应用集成 网上报税系统应用安全解决方案 第 17 页 共 33 页 为了解决数据在网络传输过程中的安全隐患，保证报税数据不被窃取、假冒、篡改和破坏，保证报税数据以及报税结果的真实性、完整性、有效性和不可抵赖性。本方案利用CA认证系统为纳税人颁发的数字证书，服务器端安装服务器证书，以及在客户端和服务器端增加相应的功能模块，来实现网上报税系统的安全应用集成，实现安全报税。 5.1. 系统组成 网上报税系统安全应用集成的逻辑结构图如下图所示: 图5-1 网上报税系统逻辑结构图 如上图所示，包括如下几个重要组成部分: , 客户端 报税系统客户端包括专用客户端和浏览器两种模式: , 对于专用客户端模式，它是整个报税系统的前端，位于纳税人本地，负责生成 税务报表，并在进行提交时连接申报受理平台服务器，进行税务报表的上报。 由于专用客户端没有证书选取和加密、签名操作。因此，天威诚信提供客户端 功能模块，作为动态库或控件供专用客户端软件调用，完成证书选取和加密、 签名操作，并实现和申报受理平台之间建立安全的SSL连接。 , 对于浏览器模式，纳税人直接在网上填写税务报表，进行提交。可以直接利用 浏览器和Web服务器提供的功能，在纳税人浏览器和申报受理平台服务器直 接建立安全的SSL连接，完成选取证书的功能。另外，天威诚信提供客户端 控件，用户访问Web网页时一起下载，提供数据加密、签名的功能和操作。 在两种模式中，客户端的数据加密都是采用申报处理平台服务器端设置的证书公钥来进 行，数据签名采用纳税人的证书私钥来完成。 , 申报受理平台服务器 网上报税系统应用安全解决方案 第 18 页 共 33 页 申报受理平台服务器主要是完成报税数据的分级传输，负责与申报处理平台服务器的通讯。其次，申报受理平台服务器需要对客户端的身份进行认证，实现对网上报税系统的访问控制，需要与客户端建立安全的SSL连接。因此，在申报受理平台服务器上需要安装一个服务器证书。 , 申报处理平台服务器 申报处理平台服务器负责报税数据的处理，包括:对加密的数据进行解密，然后进行相关的业务处理;对客户端的数字签名和客户端提供的证书进行验证，等。因此，在申报处理平台服务器上，需要安装天威诚信开发的服务器端功能模块，设置服务器端证书，完成报税数据的解密，报税数据数字签名和客户端证书的验证等功能。 5.2. 系统功能 网上报税系统安全应用集成实现了如下安全功能: , 双向身份认证功能 在网上报税系统中，在纳税人进行网上报税时，用户可以验证申报受理平台服务器的身份，通过验证申报受理平台服务器的服务器证书，来验证服务器的真实身份;其次，服务器需要验证纳税人的真实身份，要求客户端出示用户证书，才能连接申报受理平台服务器。客户端和服务器端的双向认证通过在他们之间建立SSL连接来完成。如果双向身份认证之一不能信任，客户端和服务器端就不能建立连接。从而保证了网上报税系统的身份认证需求。 , 访问控制功能 网上报税系统可以实现对纳税人的访问控制，通过配置申报受理平台服务器来实现。在纳税人访问申报受理平台服务器时，通过客户端身份验证后，服务器解析客户端出示的证书，获取与证书绑定的用户信息，通过查询访问控制列表，来获取用户的访问权限，实现对纳税人的访问控制。从而保证了网上报税系统的访问可控制性需求。 , 数据加密功能 网上报税系统中传输的数据都是经过加密处理的。首先，在客户端和申报受理平台服务器之间，所有数据传输都是通过安全的SSL通道来进行，可以保证它们之间的数据加 网上报税系统应用安全解决方案 第 19 页 共 33 页 密功能。其次，纳税人上报的税务报表都是采用申报处理平台服务器设置的数字证书公钥来进行加密的，只有用户和申报处理平台服务器才能得到税务报表的明文。从而保证了报税数据的机密性需求。 , 数据签名功能 纳税人在进行网上报税时，上报的税务报表采用用户的证书私钥进行数字签名，申报处理平台服务器功能模块可以验证签名，以及验证签名的用户证书的有效性，实现数据的签名功能。从而保证了报税数据完整性、真实性和不可抵赖性需求。 5.3. 网上报税工作流程 网上报税的工作流程根据客户端模式的不同而有所不同: , 专用客户端模式的网上报税流程 采用专用客户端进行网上安全报税的工作流程如下图所示，步骤为: 图5-2 专用客户端模式网上安全报税流程 (1) 纳税人利用本地安装的报税专用客户端，生成税务申报报表，填写报税数据， 并点击提交; (2) 客户端调用功能模块，对申报的数据进行加密和签名处理; (3) 纳税人的客户端和申报受理平台服务器建立安全的SSL连接，完成双向身 份验证; (4) 客户端通过SSL通道，将处理后的数据传输给申报受理平台服务器; (5) 申报受理平台服务器得到报税数据之后，进行简单的处理，如将加密、签名 的数据进行备份，防止数据丢失或其它抵赖行为。然后，申报受理平台服务 器和申报处理平台服务器建立连接，将加密、签名的数据转发给申报处理平 网上报税系统应用安全解决方案 第 20 页 共 33 页 台服务器; (6) 申报处理平台服务器对数据进行解密，获取申报数据的明文;对数据的签名 及其签名证书进行验证，以验证报税数据的完整性和真实性; (7) 然后，申报处理平台服务器对申报数据的明文进行与业务相关的处理，如对 报税数据进行审核、登记和入库等工作;并返回一个回执，显示业务处理的 结果，该回执也是经过签名和加密处理的; (8) 申报受理平台服务器得到回执之后，进行简单的处理后，将回执转发给客户 。 端 (9) 客户端得到回执之后，进行解密和数字签名验证，就可以知道自己上报的数 据是否正确，是否成功。专用客户端网上安全报税流程结束。 , 浏览器模式的网上报税流程 采用浏览器进行网上报税的工作流程如下图所示，步骤为: 图5-3 浏览器模式网上安全报税流程 (1) 纳税人利用浏览器，访问申报受理平台服务器，浏览器首先和申报受理平台 服务器建立安全的SSL连接，完成客户端和服务器端的双向身份验证; (2) 纳税人通过Web网页，在线填写税务报表，并通过Web网页提供的功能按 钮，对申报的数据进行加密和签名处理; (3) 客户端通过SSL通道，将处理后的数据通过Web网页，提交给申报受理平 台服务器; (4) 申报受理平台服务器得到报税数据之后，进行简单的处理，如将加密、签名 的数据进行备份，防止数据丢失或其它抵赖行为。然后，申报受理平台服务 器和申报处理平台服务器建立连接，将加密、签名的数据转发给申报处理平 台服务器; 网上报税系统应用安全解决方案 第 21 页 共 33 页 (5) 申报处理平台服务器对数据进行解密，获取申报数据的明文;对数据的签名 及其签名证书进行验证，以验证报税数据的完整性和真实性; 6) 然后，申报处理平台服务器对申报数据的明文进行与业务相关的处理，如对( 报税数据进行审核、登记和入库等工作;并返回一个回执，显示业务处理的 结果，该回执也是经过签名和加密处理的; (7) 申报受理平台服务器得到回执之后，进行简单的处理后，将回执转发给客户 端; 8) 客户端得到回执之后，进行解密和数字签名验证，就可以知道自己上报的数( 据是否正确，是否成功。浏览器模式网上安全报税流程结束。 5.4. 证书应用API(PTA) 证书应用API开发包——PTA(Personal Trust Agent 个人信任代理)是天威诚信专门为税务应用开发的、使用证书功能的开发包，提供C、JAVA和COM等多种接口，包含税务应用所需的多个模块，包括: , 证书解析模块(CPM) 证书解析模块是一系列平台下的动态链接库，用于解析DER或PEM编码的X.509 数字证书，将证书中的信息，包括用户名、证书有效期等信息分解为字符串。 , 数据签名及验证模块 数据签名及验证模块是一系列平台下的动态链接库或控件，可以应用于客户端和服 务器端，实现对传输数据的数字签名，和对数字签名及其证书进行验证。证书的验 证可使用CRL或OCSP来进行有效性验证。 , 数据加/解密模块 数据加/解密模块是一系列平台下的动态链接库或控件，可以应用于客户端和服务器 端，实现对传输数据的加密，对加密数据的解密。 6. 项目实施规划 网上报税系统应用安全解决方案 第 22 页 共 33 页 本实施计划作为解决网上报税项目安全需求的一部分进行规划，整个安全部分将分阶段实施，包括项目合同签订、具体实施方案制订、前期准备、项目开发、安装、测试、培训和验收等几个阶段。 6.1. 签订合同 签订项目合同，组建项目组: (1) 项目签约后，天威诚信公司将正式任命项目经理，和销售部指定的客户经理，共 同组成项目组核心，根据公司的授权和工作规范开展工作; (2) 项目组应将公司的任命通知、项目组的核心人员名单及其分工及时传真给客户工 程负责人。 6.2. 确定具体实施方案 天威诚信公司售前工程师与项目经理和客户在前期进行项目需求探讨，包括证书注册中心建设和具体的应用系统应用调研，确定最终的项目需求，完成具体的项目实施方案。 6.3. 前期准备 (1) 项目经理召集组织项目准备会，由售前工程师、销售代表、应用开发工程师、以 及客户方代表参会; (2) 讨论项目实现，确定项目实施计划，形成任务描述。 6.4. 软硬件设备采购 (1) 根据系统设计和工程实施的要求，项目组有必要进一步检查确认售前提供的软硬 件设备需求清单是否完整和正确，确认无误后提交给集成商(或税务部门); (2) 项目经理协助集成商(或税务部门)完成相关软硬件设备供的购买; (3) 设备到货后，由集成商(或税务部门)完成操作系统平台和数据库的安装，完成 网络接入。 6.5. 客户化开发 网上报税系统应用安全解决方案 第 23 页 共 33 页 (1) 根据税务部门的具体需求分析，完成证书申请和管理流程等客户化开发工作，完 成证书注册中心与相关数据库连接的接口的设计和开发; 2) 根据网上报税应用的具体应用需求，完成网上报税应用系统证书应用模块的定制( 和客户化开发工作，需要和网上报税软件开发商就具体的应用进行交流讨论，确 定应用业务流程，应用模块和开发接口。 6.6. 客户申请 客户申请主要是在天威诚信客服人员的指导下由客户完成，包括: (1) CA帐户申请 在天威诚信客服人员的指导下，由税务部门指定的管理员完成 CA帐户——安证通(OnSite)的申请，向天威诚信服务中心提交安证通申请请 求; (2) 服务器证书申请 在天威诚信客服人员的指导下，由税务部门指定的管理员完成 所有服务器证书的申请，向天威诚信服务中心提交服务器证书申请请求。 6.7. 批准与创建 天威诚信客服人员接到申请请求之后，完成请求的查看、验证、鉴别和批准，并为客户创建CA帐户: CA帐户: (1) 天威诚信客服人员查看、验证、鉴别和批准客户安证通请求; (2) 天威诚信项目经理与客户共同确定CA命名文件; (3) 由天威诚信密钥管理员进行密钥产生，可以邀请客户一同进行密钥生成仪式; (4) 向CA中加载密钥，激活CA帐户。 服务器证书: (1) 天威诚信客服人员查看客户服务器证书请求; (2) 天威诚信客服人员鉴别客户提交的信息; 3) 天威诚信批准客户的服务器证书请求。 ( 6.8. 系统安装实施 网上报税系统应用安全解决方案 第 24 页 共 33 页 6.8.1. CA认证系统安装调试 (1) 由天威诚信项目实施工程师完成税务部门CA认证系统的安装、调试; (2) 由项目实施工程师完成与系统数据库的连接、证书申请流程和相关页面的本地 化; (3) 项目实施工程师完成CA认证系统的功能测试和调试。 6.8.2. 应用系统安全应用集成 (1)由天威诚信项目实施工程师完成客户服务器证书的下载、备份、安装和服务器功 能的配置; (2)由天威诚信项目实施工程师完成网上报税应用系统安全模块的安装和集成; (3) 由项目实施工程师完成应用系统安全功能的测试和调试。 6.9. 系统测试 由天威诚信项目实施工程师和客户一起，完成系统的总体测试，包括CA认证系统的功能测试和应用系统安全功能的测试，编制报告。 6.10. 系统上线试运行 (1) CA认证系统试运行，进入实际应用的测试阶段; (2) 应用系统安全功能试运行，进入实际应用的测试阶段。 6.11. 客户培训 在系统进入试运行阶段，开始对客户进行培训，培训主要是针对客户的管理员，培训内容包括: 项目名称 课程内容 时间 应用系统 网上报税系统安全原理和数字证书使0.5天 安全功能培训 用培训 CA认证系统 PKI基础知识培训 0.5天 管理员培训 证书申请和管理功能培训 0.5天 网上报税系统应用安全解决方案 第 25 页 共 33 页 管理员系统管理和维护培训 0.5天 6.12. 系统正式验收 (1) 系统的验收应在成功试运行后进行; (2) 依据系统功能说明，进行系统的总体测试; (3) 验收结束后，客户方、天威诚信共同签署系统验收报告。 系统验收后投入正式运行。 7. 方案特点 7.1. 先进的技术体系 天威诚信采用国际最先进、成熟的技术，依据国情进行改造后建立的PKI/CA系统，是一个具有国际领先水平，并拥有自主加密核心技术的公钥基础设施平台。在这样的技术平台之上，系统的可靠性、先进性、以及以后扩展更新、升级换代都有了保证，同时，因其技术体系符合国际规范，更容易与国际接轨，有利于在全球统一的CA认证体系中占有一席之地。 7.2. 灵活的认证体系 本方案专门为税务应用定制的认证体系是非常灵活的，根据税务应用的需求，可以采用多种证书认证体系，可以建立多层体系结构。 7.3. 权威性和品牌性 本方案为税务部门设计的CA认证系统支持税务部门独立的、私有的证书认证体系，税务部门具有自己独立的根CA和子CA，CA策略完全由税务部门自己控制和管理，使得CA认证系统具有税务部门的权威性和品牌性。 7.4. 易用性 天威诚信的PKI/CA技术平台已经与超过100家独立软件厂商提供的产品进行过不同程度的集成和测试，其中包括Microsoft，Netscape，Lotus，Oracle，Cisco等等。因此天威诚信的安全产品能够给用户带来极大的易用性。 网上报税系统应用安全解决方案 第 26 页 共 33 页 另外，天威诚信已经和国内多家税务软件开发商进行了合作，天威诚信基于安证通(OnSite)的解决方案已经成功的应用于多家网上报税软件，并顺利通过了集成和测试。 7.5. 系统的扩展性 使用本方案的技术体系具有很强的应用扩展，本方案建设的税务部门CA认证系统所签发的数字证书可以很好地解决网上报税应用中各个环节的安全。同时，随着业务的扩展和税务应用的需要，这些证书可以广泛地应用到与税务部门相关的电子商务和电子政务中的各个环节，如安全电子邮件、安全远程登录、安全VPN应用、公文流转、电子会签、电子公章等应用中。 网上报税系统应用安全解决方案 第 27 页 共 33 页 附录 天威诚信公司(简介) 北京天威诚信电子商务服务有限公司(iTruschina)成立于2000年9月，是经信息产业部批准的第一家开展商业PKI/CA试点工作的企业，公司首期注册资金1500万元。天威诚信(iTruschina)公司致力于在中国成为向企业、政府和大众客户提供全球化数字信任服务的领先者，引进国外先进技术及管理方法，依照我国国情和密码管理政策，进行本地化改造，建立中国自有产品与服务品牌，为中国的信息安全服务。公司在开展自身业务的同时，也积极向有关部门提出了有关商业PKI/CA建设方面的意见和建议，为国家有关行业标准和规范的建立提供可靠的依据。 天威诚信(iTruschina)在北京建有1000平米的国际一流水准的数据中心。作为一个权威的、可信赖的、公正的第三方信任服务的机构，通过CA托管服务、签发数字证书、为各种应用系统提供基于证书的网络安全解决方案等形式，为网上交易系统的安全以及网上交易参与各方的相互信任提供安全机制。通过天威诚信(iTruschina)的PKI/CA服务,可实现电子业务过程中的信息保密性、信息完整性、身份验证和交易的抗抵赖。天威诚信(iTruschina)以可信第三方的身份提供认证服务，与证书使用双方无任何利益关联关系，真正地实现了公正性与可信赖性。 相对于国内已经建立的一些认证服务机构，天威诚信(iTruschina)采用了国际上先进的、商业化的运作模式，从而使用户可以顺利地与国际接轨。并且，将服务收费与客户赔付机制结合起来，以商业利益关系为基础建立公信度，将用户承担的风险降到最低，其可信性、公正性更容易得到大家的认可。同时，公司作为国际著名公司VeriSign在中国的战略合作伙伴，矢志成为中国CA信任服务市场的开拓者，建立起中国的信任网络(China Trust Network),并同VeriSign信任网络(VeriSign Trust Network)结合，形成全球信任网络(Global Trust Network)。设立伊始，天威诚信(iTruschina)就借鉴国外先进、科学的管理模式，在投资自主的基础上，市场运作灵活，可更好地满足各种用户的需求，从而使用户以最适宜的投入，获取最优质的服务。目前，公司的业务服务范围涉及证券、银行、保险、税务、邮政、政府、教育、企业、电子商务网站、IDC和ISP等行业领域以及需求网络电子业务的个人。 天威诚信产品销售许可情况 网上报税系统应用安全解决方案 第 28 页 共 33 页 天威诚信已经获得了相关资质: , 信息产业部批准的第一家商业性PKI/CA认证服务的试点企业 , 通过了国家信息安全测评认证中心的认证 , PKI产品安证通(OnSite)通过公安部信息安全专用产品销售许可证 , 通过了国家密码管理委员会研究中国可信服务网络(CTN)的商密立项，命名 为“SQR10商业性PKI/CA电子证书认证系统”，并纳入国家商用密码管理 , 获得公安部计算机信息系统安全专用产品销售许可证 , 国家批准的电信与信息服务业务经营企业 , 中国证券业协会信息技术应用委员会观察员 , 中国信息产业商会信息安全分会副理事长会员 , 中国互联网协会网络与安全工作委员会常务委员 , 中国PKI协会成员 天威诚信安证通(OnSite) , 安证通(OnSite)简介 安证通(OnSite)是天威诚信为企业提供的一种企业信息安全解决方案，她是一种完善的PKI解决方案，她主要解决了在企业进行电子商务过程中的身份认证、信息机密性、信息完整性和信息的不可抵赖性这四种进行电子商务活动时遇到的最核心安全障碍。她允许企业更节约、高效地建立一个PKI/CA平台，并通过策略全面控制PKI的分级、鉴别模块和证书生命周期管理。她是一种基于资源委外的产品+服务解决方案，PKI的核心系统CA部分建在天威诚信数据中心，面向最终用户的证书申请、身份审核、证书注销、证书更新处理(RA)部分建在企业内部。对企业来说，CA系统的运营维护成本也变得极低。客户不再需要维持一支CA系统运营所必须的，由PKI专家、安全专家、专业法律顾问、网管、数据库管理员等人员组成的技术队伍，不再需要建设并维护一个庞大的机房及设备，而是将这一切交给专业的PKI/CA公司--天威诚信去做。 天威诚信安证通(OnSite)产品包括客户安证通(OnSite)、服务器安证通(OnSite)和IPSec安证通(OnSite)三种。其中客户安证通(OnSite)颁发用户证书，服务器安证通(OnSite)颁发服务器证书，IPSec安证通(OnSite)颁发VPN设备证书。 , 客户安证通(OnSite)组成模块 网上报税系统应用安全解决方案 第 29 页 共 33 页 天威诚信客户安证通(OnSite)包括下列基本模块: 本地驻留模块:又叫本地证书注册服务模块，通过本地驻留模块，企业可以定制自己的证书注册服务Web页面，包括文字、图标、链接等，并将它们存放在企业内的Web服务器上。企业用户访问自己企业的网站获得证书服务，包括证书申请、获取、查询、更新、吊销等。 自动管理模块:自动管理模块是在本地驻留模块基础上的另一证书服务选项。自动管理为企业提供对个人用户证书审批的自动化。企业可以定制自己的证书申请审批规则，由自动管理模块通过查询企业的人力资源数据库并依据审批规则自动完成企业个人用户证书的审批，无需管理员的手工干预，从而大大方便了企业对证书的管理。 天威诚信客户安证通(OnSite)包括下列扩展模块: 证书密钥管理模块(KMC):密钥管理服务实现对企业最终用户的密钥管理。密钥管理服务可在必要的时候(如用户私钥丢失，或保护私钥的口令丢失，或遇到法律诉讼时)，恢复用户的私钥。密钥管理服务和认证中心的密钥恢复服务协同工作，为用户提供密钥的集中产生和私钥的恢复。 证书漫游服务模块(Roaming):天威诚信的证书漫游模块提供了一种方法来实现证书漫游。该系统建立两个独立的漫游服务器，一个放在认证中心，另一个放在企业。两个漫游服务器上分别存有与漫游用户有关的秘密信息。漫游用户使用自己用户名和口令验证，得到两个漫游服务器保存的用户秘密信息，以及在存储服务器上保存的受保护的用户私钥。然后，用户在客户端解开受保护私钥。然后从那个终端来数字签名信息。 在线状态查询服务模块(OCSP):为保证实时证书状态验证的需要，天威诚信客户安证通(OnSite)扩展模块提供对证书在线状态查询协议的支持，用户可以通过标准的证书状态查询接口来获取证书有效性的检查结果，任何证书的作废应能够即时反映到在线证书查询中。 公正时间戳服务模块(TSA):又称数字公证服务。TSA是时间戳的签发机构，一个提供可信赖的且不可抵赖的时间戳服务的可信任第三方。TSA的主要功能是提供可靠的时间信息，证明某份文件(或某条信息)在某个时间(或以前)存在，防止用户在这个时间前或时间后伪造数据进行欺骗活动。 另外，客户安证通(OnSite)对应用的广泛支持，还提供很多应用集成解决方案，包括: 安全Web应用、安全Email应用、安全MS Exchange应用、安全Lotus Notes应用、安全 网上报税系统应用安全解决方案 第 30 页 共 33 页 ERP应用和安全VPN应用等。 , 客户安证通(OnSite)功能 安证通(OnSite)具有通常人们所说的注册机构RA的功能，提供对证书申请者的身份鉴别、判断是否给证书申请者发放数字证书以及维护证书整个生命周期的各种管理工作，包括:证书申请、证书更新、证书吊销等。 除此之外，安证通(OnSite)还具有传统RA所没有的功能，管理员可以对整个CA进行全权管理和控制，提供对CA策略进行配置和管理的功能，对整个CA的证书请求进行处理和管理功能。同时，还支持证书本地发布和支持CRL本地分发点等功能。 , 安证通(OnSite)的特点 天威诚信安证通(OnSite)具有下列特点: , 集成的PKI/CA平台 安证通(OnSite)是一个集成的PKI/CA平台，通过在企业端 配置安证通(OnSite)，利用天威诚信后台提供的CA中心，共同为企业提供PKI/CA 安全服务。 , 客户完全控制的PKI/CA平台 安证通(OnSite)是一个集成的PKI/CA平台，但又 是一个客户完全控制的PKI/CA平台，企业完全控制PKI/CA策略，控制证书的发放 以及其他相关服务。 , 即买即用型的PKI/CA平台 企业购买了安证通(OnSite)之后，通过简单的安装 配置，就能够为企业建设一个功能完备的PKI/CA平台，企业就可以享受PKI/CA带 来的安全服务。 , 使用简单方便的PKI/CA平台 安证通(OnSite)提供丰富的使用帮助，包括用户 界面和管理员界面，用户通过页面的提示，很容易完成各项操作;证书管理员通过 界面提示和一些简单的工具，很容易控制和管理企业的PKI/CA平台;另外，安证 通(OnSite)提供日志与审计功能，企业可对PKI/CA平台的各项操作进行审计。 , 成熟的PKI/CA平台 安证通(OnSite)采用标准的技术和协议:支持国际流行的 加密算法、标准和协议;支持PKIX系列标准;支持目录服务标准，包括X.500、 LDAP和Microsoft Exchange等;支持各种最新的Web浏览器、服务器以及其他的 流行应用程序;支持各种证书存储介质;另外，安证通(OnSite)在全球已经得到 广泛的应用，经过广大企业应用的实践检验。 网上报税系统应用安全解决方案 第 31 页 共 33 页 , 高扩展性的PKI/CA平台 安证通(OnSite)具有很好的扩展性，可以根据企业的 需求，进行动态的扩展。 安证通(OnSite)具有灵活的认证体系，支, 具有灵活的认证体系的PKI/CA平台 持国际、国内和企业级等多种证书认证体系，可以根据企业的选择进行配置。另外， 企业通过配置国际级的认证体系，建设安证通(OnSite)，就可以加入VeriSign的 全球信任网络，享受全球信任服务。 , 支持多平台的PKI/CA 安证通(OnSite)支持多种平台，包括NT、Solaris和HPUX 等，支持中英文。 , 安证通(OnSite)支持的工业标准 平台遵循国际PKCS系列标准，包括遵循PKCS1，PKCS2，PKCS5,PKCS15等标准， 同时平台还遵循国际ITU-T X.509 V3和PKIX系列标准。 平台支持工业标准列表如下: 标准类别 标准名称 备注 PKI PKCS、PKIX系列标准 X.509 version 3 数字证书 X.509 version 2 证书吊销列表 OCSP X.500/LDAP 目录 RSA 非对称密钥算法 MD5 数字摘要算法 SHA-1 PKCS RSA 公钥技术 CA端产生 用户证书的公私钥在本地产生～也支持本地浏览器/ USB卡/IC 密钥生成 在CA中心产生 卡/其他应用程序等,需 要支持PKCS11, 对称密钥长度 无限制 512 bits 非对称密钥长度 最短 网上报税系统应用安全解决方案 第 32 页 共 33 页 1024/2048 bits 最长 单密钥对 签名和加密 密钥对 双密钥对 分别用于签名和加密 可以采用多种设备进行密钥分发～包括: 支持PKCS系列密钥分发 密钥分发 软盘/硬盘/光盘、IC卡/智能卡、USB令 标准 牌卡和网络设备等。 , 安证通(OnSite)提供的产品兼容性接口 天威诚信安证通(OnSite)提供下列产品兼容性接口: , 用户注册信息格式接口:可以对其进行定制来实现证书用户的详细客户信息的组成 格式。 , 用户注册审核流程接口:实现安证通(OnSite)注册审核的业务流程的定制，如人 工审核、面对面审核、通行码审核以及数据库匹配的自动审核。在自动审核模块中， 系统将提供多种接口来完成文件、目录、数据库多种方式的接口。 , 用户证书下载接口:实现证书下载功能的定制，如在线下载、集中制证。 , 证书发布接口:用户证书申请成功后证书可以发布到企业提供的LDAP或数据库等 用于证书查询的系统。 , 证书存储接口:典型的，用户的数字证书是存储在操作系统的浏览器内，此外，系 统能够提供多种接口来实现其他介质的存储，如:IC卡、职能卡、USB令牌卡以及 手机卡与企业人力资源库的接口，该接口用于证书申请自动验证与签发，接口类型 包括数据库、文件、LDAP以及客户自主开发的等验证接口。 术语与缩写词 名词 解释 PKI Public Key Infrastructure ， 公钥基础设施 CA Certification Authority ， 认证中心 RA Registration Authority ， 注册机关 OnSite 安证通，天威诚信的一种产品 CTN China Trust Network， 中国信任网络 CRL Certificate Revocation Lists ， 证书吊销列表，又称证书黑名单 网上报税系统应用安全解决方案 第 33 页 共 33 页 SSL Secure Socket Layer,安全套接字协议 OCSP Online Certificate Status Protocol ，在线证书状态协议 PTA Personal Trust Agent，个人信任代理，天威诚信开发的证书应用开发包