1  方案背景

身份鑒別作為網(wǎng)絡用戶接入的基礎層控制非常重要，如何保證接入的用戶為合法用戶，即用戶身份的真實性，單通過一個口令來確定身份將是不安全的，調查顯示，有70%以上的成功的網(wǎng)絡攻擊都是通過破解口令的方式完成的，這都對信息和網(wǎng)絡資源造成嚴重威脅，直接造成信息失密和經濟損失。

2  方案目標

本方案基于數(shù)字證書，解決用戶在訪問信息系統(tǒng)時進行身份鑒別的防假冒、防截獲、防重用等安全性問題。

3  方案概述

1.由具有電子認證服務許可的CA機構給用戶簽發(fā)數(shù)字證書。CA機構在簽發(fā)證書前，會嚴格核對用戶的身份證件，能滿足身份真實性要求

2. 用戶客戶端在登錄應用系統(tǒng)時，會對登錄表單進行數(shù)字簽名

3. 由PKI中間件對電子密鑰進行私鑰調用，完成數(shù)字簽名操作

4. 客戶端提交的登錄表單，主要包含被簽名的挑戰(zhàn)碼、用戶證書、簽名值，不具有私密性，可有效防止截獲和重放

5. 應用系統(tǒng)通過調用簽名驗簽服務器對用戶提交的登錄表單進行驗證，以保證用戶身份的真實性、有效性

6. 簽名驗簽服務器調用CA的證書注銷狀態(tài)查驗服務，以防止非法用戶登錄

4  網(wǎng)絡部署

5  方案價值

基于數(shù)字證書的身份認證登錄，被公認為是最好、最安全的登錄方式之一，因為具有以下優(yōu)點：

1.由NETCA給用戶簽發(fā)數(shù)字證書，能保證用戶身份真實，符合國家電子簽名法要求

2. 可防網(wǎng)絡竊聽。證書認證中，網(wǎng)上傳輸?shù)氖撬借€對一個挑戰(zhàn)碼的簽名，私鑰并不需要傳輸，所以竊聽者并不能通過網(wǎng)絡竊聽到用戶私鑰。另由于每次認證的挑戰(zhàn)碼都不同，竊聽者竊聽的認證數(shù)據(jù)并不能用來重放攻擊

3. 管理使用方便。用戶只需隨身攜帶一個電子密鑰（形式如U盾、IC卡等），就可在不同的電腦上隨時隨地地登錄不同的應用系統(tǒng)。而且用戶的私鑰始終只在電子密鑰里面，任何使用過的電腦上都沒有私鑰痕跡

4. 無法在服務器側攻擊。服務器側保存的只是用戶的公鑰或公鑰證書，并沒有用戶的私鑰。公鑰只能用來驗證簽名而不能產生用于登錄認證的簽名

6. 具有補救措施。用戶在使用電子密鑰里的私鑰做簽名時，需要本地輸入正確的PIN碼或做指紋識別，而且這個PIN碼還有重試次數(shù)限制，輸錯指定的次數(shù)后eKey將鎖死，有效地防止了別人的多次猜測。另外，用戶也可以直接向CA注銷自己的證書，及時防止自己的證書被盜用

6  項目案例

某行政管理綜合業(yè)務系統(tǒng)密碼應用改造項目

某養(yǎng)老保險業(yè)務信息系統(tǒng)密碼應用建設項目