认证授权

授权管理边界线。

包头密码定春秋，

信息交换避风险。

国标密钥明权限，

层次控制辩界面。

辩识判别鬼神仙，

流程信息保安全。

背景：建立企业信息网络系统PKI-CA/PMI身份认证与授权管理系统是保证信息安全三大支柱之一，辽宁省电力有限公司与吉大正元公司合作，通过两期PKI-CA/PMI身份认证与授权管理系统项目的建设，成为国家电网公司第一个实现PKI-CA/PMI认证及授权管理系统功能的省公司。

从2002 -2004年，辽宁省电力有限公司通过两期PKI-CA/PMI身份认证与授权管理系统项目的建设，建立起完善的PKI-CA/PMI认证及授权管理体系,完成对原有的各种应用系统的安全改造，构建起整个辽宁省电力信息系统的安全认证保障体系，形成辽宁省电力公司整体的安全信息化应用平台。

从技术体系确保了省公司应用系统中信息在产生、存储、传输和处理过程中的保密、完整、抗抵赖和可用；为应用系统建立了统一的用户管理体系、系统的资源提供了统一的授权管理服务；为企业内部实现办公自动化奠定了安全保障；提高了应用系统的安全强度和应用水平。

图 辽宁电力PKI/PMI应用安全支撑逻辑示图

从物理环境建设方面，建设了辽宁电力PKI-CA/PMI认证中心机房，空调、机房的建设遵循国家B级要求建设机房的墙面、地面、照明、空调和新风、综合布线等，为了保证密码产品的安全性和防电磁泄露，按照国家密码管理局的要求建设了屏蔽机房，并通过了GJBZ20219-94《军用电磁屏蔽室通用技术要求和检测方法》C级标准的验收，机房还部署了门禁与监控系统，来保证人员出入和审计的安全性。门禁、完整的消防系统。采用数字监控系统，对所有通道和主要房间进行实时监控，确保无监控死角。

建立完善的辽宁电力PKI/PMI系统功能，即在省公司建立一个KM（密钥管理）中心、CA（证书认证）中心、RA（注册审核）中心和分发中心（信息发布）。 

在省公司建立一个主LDAP服务器和从LDAP服务器，存放全省所有的证书和废除证书列表，实现证书状态查询。建立完善可靠的安全应用支撑体系，即向全省的电力应用系统提供密码服务（加密、解密、签名、验签，OCSP等服务）。在各地市供电公司建立证书注册机构，提供证书申请、审核和查询服务。

图8-13 辽宁电力PKI/PMI系统功能结构图

1、基于证书的应用系统改造已完成21个应用系统，发放数字证书共有400余张，在省公司和基层供电公司得到了应用，成为辽宁电力系统信息安全防线。

不同的开发工具： 开发语言:java、c/c++、visual basic等，开发工具工具有C++5.0/6.0、PowerBuilder6.0/9.0、Visual Basic6.0等。

不同的系统平台： 操作系统:UNIX AIX、Solaris、Windows NT，应用服务器有WebLogic8.1、Iplanet6.5、Tomcat4.0，

不同的数据库：数据库:Oracle9i、Sybase11.5/12.5、Sybase SQL Anywhere 5.0需要提供相应的判断机制和编码转换方法。

不同的开发商：大约将近16个开发商完成，采用的系统设计也略有不同，导致要分别提供认证接口。

不同的客户端操作系统：  Windows 98、2000、ME、XP，再加上用户计算机操作水平的不同。 

例如：原有应用多采用“用户名＋口令”的机制进行身份认证，这种方式由于用户名、口令均为明文传递到服务器，在服务器端进行验证；用户的信息存放在服务器端，只是服务器验证用户，用户对服务器没有进行有效地的验证。极易造成用户口令的泄漏，从而造成系统的安全漏洞。

 各种应用系统（包括B/S、C/S结构），无法有效保障其运行数据的安全，不能有效实现对相关操作的抗抵赖。以往的各种应用系统，由于各成一套体系，造成用户在访问不同应用系统时要记忆不同的用户+口令，或出示不同的凭证（如磁卡），既不安全又不方便。

2、具体实施方法为：（包括B/S、C/S结构）为此而开发了相应的加密签名控件加入到相应的应用系统中，将key连接到终端计算机上，输入key的保护口令，这时应用系统就能够根据员工所使用的数字证书对其进行身份验证并判断员工所拥有的权限，直接登录到应用系统中进行相应的操作 

存有数字证书的智能密码钥匙储存Notes用户的用户名称和ID文件保护口令，实现用智能密码钥匙登录Lotus Notes客户端的功能，实现了基于数字证书的身份验证。 OA系统。