商用密码产品认证-数字证书认证系统

1、产品概述

数字证书认证系统（也简称为证书认证系统）是对生命周期内的数字证书进行安全过程管理的安全系统。数字证书认证系统必须采用双证书（用于数字签名的证书和用于数据加密的证书）机制，并按照要求建设双中心（证书认证中心和密钥管理中心）。数字证书认证系统在逻辑上可分为核心层、管理层和服务层，其中核心层由密钥管理中心、证书/CRL生成和签发系统、证书/CRL存储发布系统构成；管理层由证书管理系统和安全管理系统构成；服务层由证书注册管理系统（包括远程用户注册管理系统）和证书查询系统构成。一般的数字证书认证系统的逻辑结构如下图所示。

在数字证书认证系统中，CA提供的服务功能主要包括：提供数字证书在其生命周期中的管理服务；提供RA的多种建设方式，RA可以全部托管在CA，也可以部分托管在CA，部分建设在远端；提供人工审核或自动审核两种审核模式；支持多级CA认证；提供证书签发、证书查询、证书状态查询、证书撤销列表下载、目录服务等功能。
RA负责用户的证书申请、身份审核和证书下载，可分为本地注册管理系统和远程注册管理系统。证书申请和下载均采用在线和离线两种方式。RA主要功能包括用户信息的录入、审核、用户证书下载、安全审计、安全管理及多级审核。
KM为系统内其他实体提的功能包括：生成非对称密钥对、对称密钥、用于签名过程的随机数；接收、审核CA的密钥申请；调用备用密钥库中的密钥对；向CA发送密钥对；对调用的备用密钥库中的密钥进行处理，并将其转移到在用密钥库；对历史密钥库中的密钥进行处理，将超过规定保留期的密钥转移到规定载体；接收与审查关于恢复密钥的申请，依据安全策略进行处理；对进入本系统的有关操作进行人员的身份和权限认证。
在双证书（签名证书和加密证书）体系下，用户持有两对不同的公私钥对。KM提供了对生命周期内的加密证书密钥对进行全过程管理的功能，包括密钥生成、密钥存储、密钥分发、密钥备份、密钥更细腻、密钥撤销、密钥归档和密钥恢复等，具体如