第３５卷第２期 ２０１４年 ４月 河南科技大学学报：自然科学版 Ｊｏｕｒｎａｌ ｏｆ Ｈｅｎａｎ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ：Ｎａｔｕｒａｌ Ｓｃｉｅｎｃｅ Ｖｏ１．３５ ＮＯ．２ Ａｐｒ． ２０１４ 文章编号：１６７２—６８７１（２０１４）０２—００３８—０６ 一种将认证中心与业务系统整合方案 吴洁明，史建宜，李硕征 （北方工业大学信息工程学院，北京１００１４４） 摘要：身份认证是保障业务系统安全的防火墙。使用ＣＡ认证中心虽然可以大大提高业务系统的安全性，但 是采用第三方ＣＡ认证中心，需要很大一笔费用。市场上业务系统的开发成本往往很低，使用第三方ＣＡ身份 认证来保证系统的安全性是不切实际的。针对这种情况，设计出一种适合开发成本低的业务系统的ＣＡ身份 认证方案，用开源的ＥＪＢＣＡ实现第三方ＣＡ认证中心的功能；使用ＥＪＢＣＡ的Ｗｅｂ Ｓｅｒｖｉｃｅ服务，实现业务系统 与ＥＪＢＣＡ之间的信息交互及身份认证。这样，既可以保障业务系统的安全性，又可以大大缩减开发成本。 关键词：信息安全；ＥＪＢＣＡ技术；认证中心；公钥基础设施；Ｗｅｂ Ｓｅｒｖｉｃｅ技术；业务系统 中图分类号：ＴＰ３９３．０８ 文献标志码：Ａ ０ 引言 公钥基础设施（ＰＫＩ）是国际上解决开放式互联网络信息安全要求的一套体系。ＰＫＩ体系支持身份 认证，信息传输、存储的完整性，消息传输、存储的机密性，以及操作的不抵赖性。ＰＫＩ的核心就是ＣＡ （认证中心）。 ＣＡ认证技术是保障通信网络安全性的重要手段，它是以ＰＫＩ为基础。现阶段，ＰＫＩ／ＣＡ技术被广 泛应用到各种应用系统中。它是唯一能同时解决身份认证、访问控制、信息保密和不可抵赖性的安全技 术。其中，身份认证功能是整个ＰＫＩ／ＣＡ的核心 。 身份认证是安全技术的一个十分重要的方面，它也是保障业务系统安全性的第一道关卡，只有实现 了合法有效的身份认证，才能对用户进行访问控制，一旦身份认证系统被攻破，系统的安全性设置就形 同虚设 。 目前，很多业务系统都希望实现更加坚固有效的身份认证。现阶段，大部分业务系统使用简单相等 身份验证的方式，对用户进行访问控制，但是这种方式存在安全漏洞。如果将ＣＡ与业务系统进行整 合，可以大大提高用户身份认证的安全性。目前，国内出现了很多ＣＡ认证中心，比如：北京数字认证股 份有限公司。现在越来越多的业务系统使用这种第三方的ＣＡ认证中心，来提高业务系统的安全性。 但是，如果在业务系统中使用这类ＣＡ认证中心，需要占用很大份额的开发经费。并且，随着市场竞争 越来越激烈，在整个业务系统开发过程中，都在尽量降低开发成本。因此，中小型企业对于在业务系统 中使用第三方收费的ＣＡ身份认证中心，变得望而却步。 针对以上这种情况，本 提出了一种用开源的、免费的ＣＡ认证中心，代替收费的第三方ＣＡ认证中 心，与中小型企业开发的业务系统进行整合实现有效的身份认证的方案，这种方案经济实惠、可行性强， 同时可以增强业务系统的安全性。 １ 背景知识 １．１ ＥＪＢＣＡ ＥＪＢＣＡ是本方案实施的理论研究基础。ＥＪＢＣＡ是一个基于Ｊ２ＥＥ技术的企业级的ＰＫＩ证书颁发机 构。ＥＪＢＣＡ由ＣＡ、ＲＡ（注册中心）、数据库、ＣＲＬ（证书撤销列表）和ＬＤＡＰ（轻量级目录服务器）组成，其 中ＣＡ是ＥＪＢＣＡ的核心组成部分。ＥＪＢＣＡ是一个功能齐全的、免费的、开源的ＣＡ认证中心 ］。 基金项目：国家科技部支撑计划基金项目（２０１２ＢＡＨ０４ＦＯ１） 作者简介：吴洁明（１９５８一），女，河北保定人，教授，硕士，硕士生导师，主要研究方向为软件工程、面向对象技术 收稿日期：２０１３—０８—２９ 第２期 吴洁明等：一种将认证中心与业务系统整合方案 ・３９・ １．２ ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ配置 ＥＪＢＣＡ自从３．４版本之后，提供Ｗｅｂ Ｓｅｒｖｉｃｅ服务，在安装ＥＪＢＣＡ时，需要通过配置来使ＥＪＢＣＡ发 布Ｗｅｂ Ｓｅｒｖｉｃｅ服务。成功发布Ｗｅｂ Ｓｅｒｖｉｃｅ服务之后，就可以很方便地访问ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ提供的 各种服务，这有利于将ＥＪＢＣＡ与业务系统更好地、更方便地整合到一起。 在搭建ＥＪＢＣＡ环境时，使用的操作系统是Ｗｉｎｄｏｗｓ，ＥＪＢＣＡ版本是３．９，此版本可以提供Ｗｅｂ Ｓｅｒｖｉｃｅ服务。ＭｙＳＱＬ作为保存ＣＡ信息的数据库，证书发布服务器使用的是开源的ＯｐｅｎＬＤＡＰ，运行 ＥＪＢＣＡ的应用服务器是ＪＢＯＳＳ，版本为５．０．１。 此处简述ＥＪＢＣＡ中配置和发布Ｗｅｂ Ｓｅｒｖｉｃｅ的过程： （１）启用ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ：在％ＥＪＢＣＡ—ＨＯＭＥ％＼ｃｏｎｆ＼ｊａｘｗｓ．ｐｒｏｐｅｒｔｉｅｓ文件中，配置ｊｂｃａｗｓ． ｅｎａｂｌｅｄ项，将其设置为ｔｒｕｅ。此设置表示将ＥＪＢＣＡ部署到ＪＢＯＳＳ时，发布ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｃｖｉｃｅ服务。 其中，％ＥＪＢＣＡ—ＨＯＭＥ％代表的是ＥＪＢＣＡ的安装路径。 （２）部署ＥＪＢＣＡ：在％ＥＪＢＣＡ—ＨＯＭＥ％＼ｂｉｎ＼下，执行ａｎｔ ｄｅｐｌｏｙ。执行完毕后，ＥＪＢＣＡ将成功部署到 ＪＢＯＳＳ应用服务器上。 （３）启用ＪＢＯＳＳ：在％ＪＢＯＳＳ—ＨＯＭＥ％＼ｂｉｎ＼下，执行ｒｕｎ．ｂａｔ，即启动ＪＢＯＳＳ的服务。启动成功后，用 户可以通过浏览器访问ＥＪＢＣＡ的服务。其中，％ＪＢＯＳＳ—ＨＯＭＥ％代表的是ＪＢＯＳＳ的安装路径。 （４）配置域名：在ｈｏｓｔｓ文件中，为ＥＪＢＣＡ服务配置域名，添加一项：ｌｏｃａｌｈｏｓｔ ｃａ．ｅｊｂｃａ．ｃｏｎ。此项表 示当访问域名ｃａ．ｅｊｂｃａ．ｅｏｍ时，其对应的实际ＩＰ地址就是本地ＩＰ。 （５）修改ＷＳＤＬ文件：在％ＪＢＯＳＳ—ＨＯＭＥ％＼ｓｅｒｖｅｒ＼ｄｅｆａｕｌｔ＼ｄａｔａ＼ｗｓｄｌ＼ｅｊｂｃａ．ｅａｒ＼ｅｊｂｃａ—ＷＳ—ｅｊｂ．ｊａｒ＼目 录下，存放的是ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ所对应的ＷＳＤＬ文件，每次启动ＪＢＯＳＳ，都会重新发布一个新的 ＷＳＤＬ文件。本文修改最新生成的ＷＳＤＬ文件，配置其中的ｓｏａｐ：ａｄｄｒｅｓｓ项，配置如下：＜ｓｏａｐ：ａｄｄｒｅｓｓ ｌｏｃａｔｉｏｎ＝”ｈｔｔｐｓ：／／ｃａ．ｅｊｂｃａ．ｅｏｍ：８４４３／ｅｉｂｃａ／ｅｊｂｃａｗｓ／ｅｉｂｃａｗｓ”／＞。 经过以上步骤，就完成了ＥＪＢＣＡ的搭建和配置工作，ＥＪＢＣＡ所能提供的主要功能结构如图１所示， 主要功能结构及描述如下。 获取 ＣＲＬ 用于 证书 图１ ＥＪＢＣＡ功能结构图 （１）ＭｙＳＱＬ数据库：数据库是整个ＥＪＢＣＡ的基础。ｃＡ认证中心的各种数据，ｃＡ信息、证书信息、 ＣＲＬ信息、用户信息、各种操作的日志信息都将存储到ＭｙＳＱＬ数据库中。 ・４０・ 河南科技大学学报：自然科学版 （２）ＲＡ注册中心：ＲＡ注册中心相当于整个ＥＪＢＣＡ的门户。普通用户通过浏览器可方便地进行用 户证书申请、证书文件下载、证书信息查看、证书状态查询等操作。管理员通过浏览器可以对用户和用 户证书进行管理，主要包括添加、删除、查看、修改、撤销等。 （３）ＣＡ认证中心：ＣＡ认证中心是整个ＥＪＢＣＡ的核心和精髓之处。它的主要工作就是负责证书的 签发和认证。ＥＪＢＣＡ能够很好地支持多级ＣＡ，可以根据实际的需要在ＲＯＯＴＣＡ下面生成多级ＳＵＢＣＡ。 从而，实现更好的ＣＡ认证中心服务。 （４）ＪＢＯＳＳ应用服务器：ＪＢＯＳＳ应用服务器为整个ＥＪＢＣＡ提供了运行空间。ＥＪＢＣＡ所能提供的所 有服务都将在ＪＢＯＳＳ上运行，用户通过ＪＢＯＳＳ对服务进行访问。 （５）ＯｐｅｎＬＤＡＰ：ＬＤＡＰ是一个目录服务器，也被称为证书发布服务器，主要功能是提供目录浏览服 务，负责将ＲＡ注册中心传送过来的证书信息加入到此服务器上。用户可以通过访问ＬＤＡＰ服务获得 数字证书信息和ＣＲＬ证书撤销列表信息。ＥＪＢＣＡ是开源的、免费的。所以，此处与ＥＪＢＣＡ配合使用的 ＬＤＡＰ，选择使用了免费的ＯｐｅｎＬＤＡＰ服务器。 （６）业务系统：此业务系统主要是需要整合ＣＡ认证功能的业务系统。业务系统可以通过ＪＢＯＳＳ来访 问ＥＪＢＣＡ所提供的各种服务，实现与ＥＪＢＣＡ的交互，实现ｃＡ的身份认证，从而提高业务系统安全性 。 ２ ＥＪＢＣＡ与业务系统整合方案 ２．１ 编码申领业务系统 本文通过编码申领业务系统介绍ＥＪＢＣＡ同业务系统整合的方案。 编码申领业务系统主要是基于Ｂ／Ｓ架构，实现音像制品的申报、审核、发码。每个编码将唯一标志 一个音像制品，为了确保编码能够实现其本身代表的意义，需要提高业务系统的安全性，确保只有真实 的编码，才具有实际的意义。 此编码申领系统在安全性方面有一定的要求，但是客户又希望尽量降低开发成本。为了同时满足 有效的用户才可以正常地登录到系统，进行音像制品编码的申领工作。只有这样，针对此音像制品发放 客户在这两方面的要求，使用ＥＪＢＣＡ来实现ＣＡ身份认证功能。在使用基本的权限访问控制保障业务 系统安全性的基础之上，将ＥＪＢＣＡ的功能与此业务系统进行整合。为此编码申领系统定制了一个符合 它需求的、功能齐全的ＣＡ认证中心。 使用这套整合方案，既能提高业务系统的安全性，又能大大地降低系统开发成本，可行性和实施性 好，经济实用。 ２．２ ＥＪＢＣＡ与编码申领业务系统整合 ＥＪＢＣＡ与业务系统整合方案的整合过程中，主要活动分为如下３部分： （１）用户申请数字证书：每个在编码申领业务系统中的用户，需要到ＥＪＢＣＡ中的ＲＡ用户注册中 心，申领自己的数字证书。 （２）制作数字证书：用户申请证书的信息，经过ＣＡ中心的ＲＡ审核人员的审核，将把数字证书对应 的证书密码，以邮件的形式返还给申请用户。用户以用户名和证书密码，到ＥＪＢＣＡ网站进行证书文件 下载。此时，可以购买ＵＳＢ—ＫＥＹ，本文使用的是飞天诚信的ＵＳＢ—ＫＥＹ，通过它提供的证书导入工具，将 证书文件导人到ＵＳＢ．ＫＥＹ中。 （３）用户登录：为了提高编码申领系统的安全性，在用户登录的时候，首先对用户名和密码进行判 断，判断通过；随后，对用户的ＵＳＢ—ＫＥＹ的有效性进行验证，验证通过；最后，通过使用用户输入的ＵＳＢ— ＫＥＹ密码读取用户证书信息，通过ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ在线判断当前数字证书的有效性。从而可以实 现用户身份认证，大大提高系统的安全性。 ＥＪＢＣＡ与业务系统整合方案的整体流程图，如图２所示。 具体流程分析及描述如下： 第（１）步：用户申请证书。编码申领业务系统中的用户，需要到ＥＪＢＣＡ申领自己的数字证书。用户 访问ＥＪＢＣＡ网站，在ＲＡ注册中心填写并提交用户证书申请信息，等待审核。 第２期 吴洁明等：一种将认证中心与业务系统整合方案 ・４１・ ｌ未申请证书的用户ｌ ● ｔ 编码申领 务系统Ｉ ｌ ＢｃＡ服务网站ｌ 第（１）步 ｌＲＡ审核用户Ｉ 第（２）步 ＬＷｌ ＝ Ｄｔ ～．Ｌ舢Ｉ口口 日 －ｌ Ｉ证书密码 ・ｌ挹棼证书申请巍息ｌ －ｌ用户申请审核 通过 ｌ由萌牛通知用户 第（３）步 访问ＥＩＢ 艮务网 ・ｌ下载证书 ‘ Ｉ证书文件１． 导入到ＵＳＢ ＫＥＹ 第（４） 。 ／＼＼／ 涧编码申 【 系统Ｉ １ｌ且眨． ｉ‘： 轱ｌＬｌ ｌ 第（５）２眵 失 败 ｌ ———用户名、密码判 ◇ 成功 第（６） 第（７）步 不 ＵＳＢ ＫＥＹ－￣ｌ－－－一 —— １证书是否撤销ｌ 匦 生Ｉ衢 一 威功——＿＜．＞ 失败 ＼ －／ 、 图２ 整合流程的整体流程图 第（２）步：审核用户证书申请。ＥＪＢＣＡ中有ＲＡ审核角色的用户，此ＲＡ用户将对用户的证书申请 进行审核。审核通过，此用户证书文件对应的密码将以邮件的形式发给用户，此密码是随机的４位数 字，密码的长度可以通过在ＥＪＢＣＡ的用户注册模板中进行配置，比如：可以是长度为６或８的随机数字 等；审核不通过，用户将变成失败状态。 第（３）步：下载用户证书。用户收到邮件后，访问ＥＪＢＣＡ网站，可以进行用户证书文件下载，下载时 可以选择生成证书密钥的长度，主要有１ ０２４和２ ０４８两种长度。证书有ｐｆｘ、ｐｅｍ、ｃｃｒ等格式，可以根据 具体需要进行配置。 第（４）步：用户证书导人ＵＳＢ ＫＥＹ。每个生产ＵＳＢ ＫＥＹ的公司，一般都会提供相应的证书导人工 具。使用所购买的ＵＳＢ ＫＥＹ公司提供的导人工具，将下载的用户证书文件导入到ＵＳＢ ＫＥＹ中。 第（５）步：用户名、密码判断。用户登录编码申请业务系统时，需要输入用户名、密码、ＵＳＢ ＫＥＹ密 码。首先需要对用户输入的用户名和密码进行判断，判断数据库中是否存在对应用户。 第（６）步：ＵＳＢ ＥＹ验证。根据用户输入的ＵＳＢ ＫＥＹ密码，读取证书信息，需要对证书的有效性、 时间是否在有效期内等信息进行简单的判断。 第（７）步：证书是否撤销。调用ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ中的证书撤销状态查询服务，判断证书当前的 撤销状态，从而能检测出用户证书当前处在什么状态，是有效状态还是撤销状态。 ２．３具体实现过程 在将ＥＪＢＣＡ整合到编码申领业务系统的过程中，主要包括３步：用户申请数字证书、制作数字证 书、登录系统。其中，前两步主要体现了如何使用ＥＪＢＣＡ；第３步主要体现了业务系统如何与ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ服务进行信息交互。因此，此处详细介绍用户登录部分。 用户登录具体可以分为３步： ・４２・ 河南科技大学学报：自然科学版 （１）用户名和密码判断，主要是查找对应的用户名和密码的用户在数据库中是否存在。 （２）使用用户输入的ＵＳＢ．ＫＥＹ的密码，读取ＵＳＢ—ＫＥＹ中的证书信息，对证书进行简单的有效性判 断，主要包括判断证书是否有效、是否在证书有效期内。主要代码如下： （Ｉ）Ｃｅｒｔｉｉｆｃａｔｅ［］ｃｅｒｔｓ＝ｋｅｙＳｔｏｒｅ．ｇｅｔＣｅｒｔｉｆｉｃａｔｅｃｈａｉｎ（ｋｅｙＡｌｉａｓ）； （ＩＩ）Ｘ５０９Ｃｅｒｔｉｆｉｃａｔｅ ｘ５０９Ｃｅｒｔｉｆｉｃａｔｅ＝（Ｘ５０９Ｃｅｒｔｉｆｉｃａｔｅ）ｃｅｒｔｓ［０］； （１ｌＩ）ｘ５０９Ｃｅｒｔｉｉｆｃａｔｅ．ｃｈｅｃｋＶａｌｉｄｉｔｙ（）； （１Ｖ）ｘ５０９Ｃｅｒｔｉｉｆｃａｔｅ．ｃｈｅｃｋＶａｌｉｄｉｔｙ（ｄａｔｅ）。 第（Ｉ）行：查看与给定别名关联的证书链。 第（Ⅱ）行：取出第一个证书。 第（Ⅲ）行：验证证书目前是否有效。 第（１Ｖ）行：检查证书目前是否处于有效期内。 （３）证书撤销判断，使用ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ所提供的证书撤销状态服务，查询此证书是否已经被 撤销。主要代码 如下： （Ｉ）ｅｊｂｃａｒａｗｓ＝ｇｅｔＥｊｂｃａＷＳ（）； （Ⅱ）ＲｅｖｏｋｅＳｔａｔｕｓ ｒｅｖｏｋｅＳｔａｔｕｓ＝ｅｊｂｃａｒａｗｓ．ｃｈｅｃｋＲｅｖｏｋａｔｉｏｎＳｔａｔｕｓ（ ｘ５０９Ｃｅｒｔｉｆｉｃａｔｅ．ｇｅｔＩｓｓｕｅｒｘ５Ｏ０Ｐｒｉｎｃｉｐａｌ（）．ｔｏＳｔｒｉｎｇ（）， ｘ５０９Ｃｅｒｔｉｉｆｃａｔｅ．ｇｅｔＳｅｒｉａｌＮｕｍｂｅｒ（）．ｔｏＳｔｒｉｎｇ（１６））； （Ⅲ）ＸＭＬＧｒｅｇｏｒｉａｎＣａｌｅｎｄａｒ ｘｍｌＧｒｅｇｏｒｉａｎＣａ１ｅｎｄａｒ： ｒｅｖｏｋｅＳｔａｔｕｓ．ｇｅｔＲｅｖｏｃａｔｉｏｎＤａｔｅ（）； （Ⅳ）ＧｒｅｇｏｒｉａｎＣａｌｅｎｄａｒ ｇｒｅｇｏｒｉａｎＣａｌｅｎｄａｒ ＝ ｘｍｌＧｒｅｇｏｒｉａｎＣａ１ｅｎｄａｒ．ｔ０Ｇｒｅｇ０ｒｉａｎｃａｌｅｎｄａｒ（）； （ｖ）ＳｉｍｐｌｅＤａｔｅＦｏｒｍａｔ ｓｉｍｐ１ｅＤａｔｅＦｏｒｍａｔ＝ ｎｅｗ ＳｉｍｐｌｅＤａｔｅＦｏｒｍａｔ（”ＹＹＹＹ—ＭＭ—ｄｄ”）； （ＶＩ）Ｓｔｒｉｎｇ ｄａｔｅＴｉｍｅＳｔｒｉｎｇ：ｓｉｍｐ１ｅＤａｔｅＦｏｒｍａｔ． ｆｏｒｍａｔ（ｇｒｅｇｏｒｉａｎＣａｌｅｎｄａｒ．ｇｅｔＴｉｍｅ（））； （ＶＩＩ）ｉｆ（！．ｆ １９７０—０１—０１”．ｅｑｕａｌｓ（ｄａｔｅＴｉｍｅＳｔｒｉｎｇ））ｆｌａｇ：ｆａｌｓｅ； （ＶＩＩＩ）Ｉｎｔｅｇｅｒ ｒｅａｓｏｎ＝ｒｅｖｏｋｅＳｔａｔｕｓ．ｇｅｔＲｅａｓｏｎ（）； （１Ｘ）ｉｆ（！ｒｅａｓｏｎ．ｅｑｕａｌｓ（一１））ｆｌａｇ＝ｆａｌｓｅ。 第（Ｉ）行：初始化ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ服务，得到ＥｊｂｃａＷＳ对象ｅｊｂｃａｒａｗｓ。 第（Ⅱ）行：调用ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ中的ｃｈｅｃｋＲｅｖｏｋａｔｉｏｎＳｔａｔｕｓ（）服务，得到此证书的当前撤销状 态。 第（Ⅲ）行：从ＲｅｖｏｋｅＳｔａｔｕｓ（证书撤销状态）对象中，取出证书撤销时间。 第（ＩＶ）～（ＶＩ）行：时间格式转换。将ｘＭＬＧｒｅｇｏｒｉａｎｃａ１ｅｎｄａｒ格式的证书撤销时间，最终转换成 “ＹＹＹＹ・ＭＭ—ｄｄ”格式的、字符串类型的证书撤销时间。 第（ＶＩＩ）行：每个证书默认的证书撤销时间为格林威治标准时间（世界时）。如果撤销时间与格林威 治标准时间（１９７０—０１—０１）不相同，说明证书被撤销，现在处于撤销状态，把ｆｌａｇ设置为ｆａｌｓｅ。 第（Ⅷ）行：取出证书撤销原因的状态。 第（ＩＸ）行：每个证书默认的证书撤销原因的状态为“一ｌ”，此状态代表证书没有撤销。如果证书被 撤销，此属性将被设置为相应的撤销原因。如果撤销原因状态与“一１”不相等，说明证书被撤销，现在 处于撤销状态，把ｆｌａｇ设置为ｆａｌｓｅ。 当所有验证过程执行完毕，ｌｆａｇ仍然为ｔｒｕｅ。此时，说明此用户为真实有效的合法用户，用户身份认 证成功，用户可以成功登录到编码申领系统，进行制品申报等业务操作了 。 ２．４结果分析 现阶段，普通的业务系统进行的都是简单相等验证，即实际用户名和密码哈希值的简单相等验证。 第２期 吴洁明等：一种将认证中心与业务系统整合方案 ・４３・ ｒ；］ 此验证方法实质上就是判断用户和密码哈希值是否匹配。针对每一个用户，每次验证时在网络上传输 的用户名和密码都是一样的，这是一个安全漏洞。 将ＥＪＢＣＡ的ＣＡ身份认证功能添加到编码申领业务系统中，在简单相等身份验证的基础之上，添 加了一层ＣＡ的身份认证。ＣＡ认证是十分安全可靠的，从而大大提高了业务系统的身份认证安全。 在经济效益方面，一个业务系统想要使用第三方ＣＡ认证中心，需要增加很多费用，包括ＣＡ认证服 务器购置的费用；制作ＣＡ证书的费用；ＣＡ证书维护费用等，仅仅是以上几项，大致需要几十万元，这使 得很多业务系统对于ＣＡ认证都望而却步。 本方案中，使用免费的、企业级的、功能齐全的ＥＪＢＣＡ实现ＣＡ认证中心。客户只需要花费一定量 的费用购买ＵＳＢ ＫＥＹ即可，此部分费用大致几百元到几千元。本方案为业务系统提供相同级别的安 全，却大大降低了费用。 ３ 结束语 互联网的飞速发展，给人们生活带来方便的同时，也带来很多安全方面的隐患。越来越多的业务系 统希望提高安全性，但是，又很顾忌使用第三方ＣＡ认证中心带来的巨大开销。所以，本文提出使用开 源的、免费的ＣＡ认证中心——ＥＪＢｃＡ。针对业务系统的具体需求，搭建自己的ＣＡ认证中心。这种方 式灵活性非常强，比如：用户不需要通过ＬＤＡＰ查看证书信息和证书撤销列表，在整个ＥＪＢＣＡ中就可以 不搭建ＬＤＡＰ部分。通过配置ＥＪＢＣＡ Ｗｅｂ Ｓｅｒｖｉｃｅ服务，使得业务系统可以十分方便地与ＥＪＢＣＡ进行 信息交互，实现用户的身份认证，从而得以保障业务系统的身份认证的安全性。而且，使用ＥＪＢＣＡ所产 生的费用，相对来说是十分低廉的。 下一步主要有两项工作：第一，实现ＥＪＢＣＡ的多级ＣＡ，这样更加有利于实现对用户证书权限的控 制；第二，业务系统结合ＣＡ实现更加安全可靠的用户身份认证。在此基础之上，希望可以结合其他信 息安全方面的技术，对业务系统中需要在网络间传输的数据进行安全操作。比如，实现制品申报数据的 数字签名、多人数字签名、数字信封等功能。从而，进一步提高业务系统的安全性。 参考文献： ［１］ 颜海龙，喻建平，胡强，等．基于ＰＫＩ／ＣＡ的分布式跨域信任平台研究与实现［Ｊ］．计算机工程与设计，２０１３，３４（２） ６８６—６９０． ［２］ 钱晓捷，赵亚涛，宋兵．容忍入侵的ＣＡ方案设计与实现［Ｊ］．计算机工程与设计，２０１１，３２（１０）：３２６２—３２６５． ［３］ 颜海龙，闫巧，冯级强，等．基于ＰＫＩ／ＣＡ互信互认体系的电子商务［Ｊ］．深圳大学学报：理工版，２０１２，２９（３）：１１３ 】】７ 张虎强，洪佩林，李津生，等．用户名密码认证方案的安全性分析及解决方案［Ｊ］．计算机工程与应用，２００６（３３）： ｌ０２一ｌＯ６． 陈勤，凌青山，丁宏．安全ＣＡ实例一ＥＪＢｃＡ的研究［Ｊ］．计算机工程与设计，２００５，２６（１２）：３２２２—３２２４． 王代，陈长海，熊允发．大学ＰＫＩ／ＰＭＩ身份认证与授权访问系统分析［Ｊ］．中国人民大学学报：自然科学 版，２０１２（１）：４９—５２． 刘博，刘知贵，任立学．ＰＫＩ认证技术在阅卷系统中的应用与实现［Ｊ］．计算机安全，２０１０（５）：８３—８５． 吴鹏，王晓峻，苏新宁．基于ＰＫＩ／ＰＭＩ的Ｗｅｂ应用安全解决方案［Ｊ］．计算机工程与应用，２００６（６）：１—３． 徐歆恺，梁军．巧用ＣＡＰＩＣＯＭ进行安全通信［Ｊ］．计算机与网络，２００９（１８）：５３—５５． 周志刚，徐芳，肖晓华，等．在Ｊａｖａ中进行数字签名的一种实现方法［Ｊ］．科学技术与工程，２００６，６（１７）：２７５２— ２７５４． 张青凤，张凤琴．ＣｒｙｐｔｏＡＰＩ在基于数字证书身份认证系统中的应用［Ｊ］．现代计算机，２０１１（１Ｏ）：２８—３１．
