1  方案背景

身份鑒別作為網(wǎng)絡(luò)用戶接入的基礎(chǔ)層控制非常重要，如何保證接入的用戶為合法用戶，即用戶身份的真實(shí)性，單通過(guò)一個(gè)口令來(lái)確定身份將是不安全的，調(diào)查顯示，有70%以上的成功的網(wǎng)絡(luò)攻擊都是通過(guò)破解口令的方式完成的，這都對(duì)信息和網(wǎng)絡(luò)資源造成嚴(yán)重威脅，直接造成信息失密和經(jīng)濟(jì)損失。

2  方案目標(biāo)

本方案基于數(shù)字證書(shū)，解決用戶在訪問(wèn)信息系統(tǒng)時(shí)進(jìn)行身份鑒別的防假冒、防截獲、防重用等安全性問(wèn)題。

3  方案概述

1.由具有電子認(rèn)證服務(wù)許可的CA機(jī)構(gòu)給用戶簽發(fā)數(shù)字證書(shū)。CA機(jī)構(gòu)在簽發(fā)證書(shū)前，會(huì)嚴(yán)格核對(duì)用戶的身份證件，能滿足身份真實(shí)性要求

2. 用戶客戶端在登錄應(yīng)用系統(tǒng)時(shí)，會(huì)對(duì)登錄表單進(jìn)行數(shù)字簽名

3. 由PKI中間件對(duì)電子密鑰進(jìn)行私鑰調(diào)用，完成數(shù)字簽名操作

4. 客戶端提交的登錄表單，主要包含被簽名的挑戰(zhàn)碼、用戶證書(shū)、簽名值，不具有私密性，可有效防止截獲和重放

5. 應(yīng)用系統(tǒng)通過(guò)調(diào)用簽名驗(yàn)簽服務(wù)器對(duì)用戶提交的登錄表單進(jìn)行驗(yàn)證，以保證用戶身份的真實(shí)性、有效性

6. 簽名驗(yàn)簽服務(wù)器調(diào)用CA的證書(shū)注銷(xiāo)狀態(tài)查驗(yàn)服務(wù)，以防止非法用戶登錄

4  網(wǎng)絡(luò)部署

5  方案價(jià)值

基于數(shù)字證書(shū)的身份認(rèn)證登錄，被公認(rèn)為是最好、最安全的登錄方式之一，因?yàn)榫哂幸韵聝?yōu)點(diǎn)：

1.由NETCA給用戶簽發(fā)數(shù)字證書(shū)，能保證用戶身份真實(shí)，符合國(guó)家電子簽名法要求

2. 可防網(wǎng)絡(luò)竊聽(tīng)。證書(shū)認(rèn)證中，網(wǎng)上傳輸?shù)氖撬借€對(duì)一個(gè)挑戰(zhàn)碼的簽名，私鑰并不需要傳輸，所以竊聽(tīng)者并不能通過(guò)網(wǎng)絡(luò)竊聽(tīng)到用戶私鑰。另由于每次認(rèn)證的挑戰(zhàn)碼都不同，竊聽(tīng)者竊聽(tīng)的認(rèn)證數(shù)據(jù)并不能用來(lái)重放攻擊

3. 管理使用方便。用戶只需隨身攜帶一個(gè)電子密鑰（形式如U盾、IC卡等），就可在不同的電腦上隨時(shí)隨地地登錄不同的應(yīng)用系統(tǒng)。而且用戶的私鑰始終只在電子密鑰里面，任何使用過(guò)的電腦上都沒(méi)有私鑰痕跡

4. 無(wú)法在服務(wù)器側(cè)攻擊。服務(wù)器側(cè)保存的只是用戶的公鑰或公鑰證書(shū)，并沒(méi)有用戶的私鑰。公鑰只能用來(lái)驗(yàn)證簽名而不能產(chǎn)生用于登錄認(rèn)證的簽名

6. 具有補(bǔ)救措施。用戶在使用電子密鑰里的私鑰做簽名時(shí)，需要本地輸入正確的PIN碼或做指紋識(shí)別，而且這個(gè)PIN碼還有重試次數(shù)限制，輸錯(cuò)指定的次數(shù)后eKey將鎖死，有效地防止了別人的多次猜測(cè)。另外，用戶也可以直接向CA注銷(xiāo)自己的證書(shū)，及時(shí)防止自己的證書(shū)被盜用

6  項(xiàng)目案例

某行政管理綜合業(yè)務(wù)系統(tǒng)密碼應(yīng)用改造項(xiàng)目

某養(yǎng)老保險(xiǎn)業(yè)務(wù)信息系統(tǒng)密碼應(yīng)用建設(shè)項(xiàng)目