授權(quán)管理邊界線。

包頭密碼定春秋，

信息交換避風(fēng)險。

國標(biāo)密鑰明權(quán)限，

層次控制辯界面。

辯識判別鬼神仙，

流程信息保安全。

背景：建立企業(yè)信息網(wǎng)絡(luò)系統(tǒng)PKI-CA/PMI身份認(rèn)證與授權(quán)管理系統(tǒng)是保證信息安全三大支柱之一，遼寧省電力有限公司與吉大正元公司合作，通過兩期PKI-CA/PMI身份認(rèn)證與授權(quán)管理系統(tǒng)項目的建設(shè)，成為國家電網(wǎng)公司第一個實現(xiàn)PKI-CA/PMI認(rèn)證及授權(quán)管理系統(tǒng)功能的省公司。

從2002 -2004年，遼寧省電力有限公司通過兩期PKI-CA/PMI身份認(rèn)證與授權(quán)管理系統(tǒng)項目的建設(shè)，建立起完善的PKI-CA/PMI認(rèn)證及授權(quán)管理體系,完成對原有的各種應(yīng)用系統(tǒng)的安全改造，構(gòu)建起整個遼寧省電力信息系統(tǒng)的安全認(rèn)證保障體系，形成遼寧省電力公司整體的安全信息化應(yīng)用平臺。

從技術(shù)體系確保了省公司應(yīng)用系統(tǒng)中信息在產(chǎn)生、存儲、傳輸和處理過程中的保密、完整、抗抵賴和可用；為應(yīng)用系統(tǒng)建立了統(tǒng)一的用戶管理體系、系統(tǒng)的資源提供了統(tǒng)一的授權(quán)管理服務(wù)；為企業(yè)內(nèi)部實現(xiàn)辦公自動化奠定了安全保障；提高了應(yīng)用系統(tǒng)的安全強度和應(yīng)用水平。

圖 遼寧電力PKI/PMI應(yīng)用安全支撐邏輯示圖

從物理環(huán)境建設(shè)方面，建設(shè)了遼寧電力PKI-CA/PMI認(rèn)證中心機房，空調(diào)、機房的建設(shè)遵循國家B級要求建設(shè)機房的墻面、地面、照明、空調(diào)和新風(fēng)、綜合布線等，為了保證密碼產(chǎn)品的安全性和防電磁泄露，按照國家密碼管理局的要求建設(shè)了屏蔽機房，并通過了GJBZ20219-94《軍用電磁屏蔽室通用技術(shù)要求和檢測方法》C級標(biāo)準(zhǔn)的驗收，機房還部署了門禁與監(jiān)控系統(tǒng)，來保證人員出入和審計的安全性。門禁、完整的消防系統(tǒng)。采用數(shù)字監(jiān)控系統(tǒng)，對所有通道和主要房間進(jìn)行實時監(jiān)控，確保無監(jiān)控死角。

建立完善的遼寧電力PKI/PMI系統(tǒng)功能，即在省公司建立一個KM（密鑰管理）中心、CA（證書認(rèn)證）中心、RA（注冊審核）中心和分發(fā)中心（信息發(fā)布）。 

在省公司建立一個主LDAP服務(wù)器和從LDAP服務(wù)器，存放全省所有的證書和廢除證書列表，實現(xiàn)證書狀態(tài)查詢。建立完善可靠的安全應(yīng)用支撐體系，即向全省的電力應(yīng)用系統(tǒng)提供密碼服務(wù)（加密、解密、簽名、驗簽，OCSP等服務(wù)）。在各地市供電公司建立證書注冊機構(gòu)，提供證書申請、審核和查詢服務(wù)。

圖8-13 遼寧電力PKI/PMI系統(tǒng)功能結(jié)構(gòu)圖

1、基于證書的應(yīng)用系統(tǒng)改造已完成21個應(yīng)用系統(tǒng)，發(fā)放數(shù)字證書共有400余張，在省公司和基層供電公司得到了應(yīng)用，成為遼寧電力系統(tǒng)信息安全防線。

不同的開發(fā)工具： 開發(fā)語言:java、c/c++、visual basic等，開發(fā)工具工具有C++5.0/6.0、PowerBuilder6.0/9.0、Visual Basic6.0等。

不同的系統(tǒng)平臺： 操作系統(tǒng):UNIX AIX、Solaris、Windows NT，應(yīng)用服務(wù)器有WebLogic8.1、Iplanet6.5、Tomcat4.0，

不同的數(shù)據(jù)庫：數(shù)據(jù)庫:Oracle9i、Sybase11.5/12.5、Sybase SQL Anywhere 5.0需要提供相應(yīng)的判斷機制和編碼轉(zhuǎn)換方法。

不同的開發(fā)商：大約將近16個開發(fā)商完成，采用的系統(tǒng)設(shè)計也略有不同，導(dǎo)致要分別提供認(rèn)證接口。

不同的客戶端操作系統(tǒng)：  Windows 98、2000、ME、XP，再加上用戶計算機操作水平的不同。 

例如：原有應(yīng)用多采用“用戶名＋口令”的機制進(jìn)行身份認(rèn)證，這種方式由于用戶名、口令均為明文傳遞到服務(wù)器，在服務(wù)器端進(jìn)行驗證；用戶的信息存放在服務(wù)器端，只是服務(wù)器驗證用戶，用戶對服務(wù)器沒有進(jìn)行有效地的驗證。極易造成用戶口令的泄漏，從而造成系統(tǒng)的安全漏洞。

 各種應(yīng)用系統(tǒng)（包括B/S、C/S結(jié)構(gòu)），無法有效保障其運行數(shù)據(jù)的安全，不能有效實現(xiàn)對相關(guān)操作的抗抵賴。以往的各種應(yīng)用系統(tǒng)，由于各成一套體系，造成用戶在訪問不同應(yīng)用系統(tǒng)時要記憶不同的用戶+口令，或出示不同的憑證（如磁卡），既不安全又不方便。

2、具體實施方法為：（包括B/S、C/S結(jié)構(gòu)）為此而開發(fā)了相應(yīng)的加密簽名控件加入到相應(yīng)的應(yīng)用系統(tǒng)中，將key連接到終端計算機上，輸入key的保護口令，這時應(yīng)用系統(tǒng)就能夠根據(jù)員工所使用的數(shù)字證書對其進(jìn)行身份驗證并判斷員工所擁有的權(quán)限，直接登錄到應(yīng)用系統(tǒng)中進(jìn)行相應(yīng)的操作 

存有數(shù)字證書的智能密碼鑰匙儲存Notes用戶的用戶名稱和ID文件保護口令，實現(xiàn)用智能密碼鑰匙登錄Lotus Notes客戶端的功能，實現(xiàn)了基于數(shù)字證書的身份驗證。 OA系統(tǒng)。