产品背景
- 随着移动互联网的日趋完善以及智能终端的迅速普及，传统互联网应用向无线领域不断延伸和发展，移动应用全方位地改变着网民的生活习惯。但移动支付、移动办公等应用在给用户带来巨大便利的同时，安全问题也日益凸显。其中身份认证就是一个迫切需要解决的问题。
- 随着工业互联网和物联网的发展、智慧城市的建设，以及智能家居的普及，物联网的安全性问题也慢慢凸显。在物联网应用领域，由于大部分的通信由服务器与终端，以及终端与终端之间的信息传递来完成，因此对服务器和终端的强身份认证、所传输数据的完整性和保密性、以及通信行为的不可否认性和可追溯性都有很高的要求。
- 智能网联汽车作为物联网在智能交通领域的典型应用，其产业链覆盖“两端一云”，涵盖器件设备生产商、整车厂商、软硬件技术提供商、通信服务商、信息服务提供商等，车联网产业链较长且每个环节都会最终影响智能网联汽车的整体安全性。因此，建立汽车电子系统的PKI安全防护体系时应从整体出发，将硬件生产、软件加载、云端服务等众多环节纳入设计范围之内。
- 基于数字证书的安全防护体系，能从技术上解决使用各种终端设备进行业务操作时的身份认证问题、安全传输问题、以及抗抵赖问题，从而为各种互联网应用筑起一道网络安全防线，为移动办公、车联网、物联网、电子商务、内部管控等业务工作的安全发展保驾护航。
产品概述
- CDS是数字证书综合管理系统，集证书管理、用户管理、终端管理、介质管理、服务管理、认证控制、在线服务、用户操作于一体的证书综合管理服务平台。
- CDS分为CDS-M、CDS-S、证书助手三大子统。
- CDS-M是证书综合管理系统的管理端，给证书服务系统提供管理功能。管理员可在CDS-M上进行用户、证书、终端、介质、客户端、策略、参数等资源的直接管理。系统提供批量导入、批量导出、批量更新等方便、快捷操作。
- CDS-S是证书综合管理系统的服务端，为证书助手提供证书和策略等服务。
- 证书助手是一个具备证书管理、证书应用、SSL代理和VPN隧道、环境修复等多种能力的综合应用。围绕数字证书，借助多种手段实现在线的信息安全和离线的信息安全，最大化PKI带来的安全收益，同时由于具备独立的在线证书管理能力，能够最小化数字证书的管理成本，是一个安全、效率双赢的信息安全平台。
建设内容
证书自助管理
- 物联网设备
- 提供一整套安全管理机制及轻量级运算库帮助物联网设备在计算能⼒有限、平台多样性等条件下保障信息交互安全、终端身份认证等安全体验。
- 个人证书管理
- 实现对个人电脑证书自助管理，替代online，对不方便、使用复杂等场景进行优化，可达到用户在个人电脑也能自行管理，申请发放证书、更新证书、延期证书、废除证书的证书生命周期管理。
- 对于不需要用户参与的环境，也可强制用户自助更新和更新证书。
- 移动证书管理
- 实现对移动证书自助管理，在移动端实现申请发放证书、更新证书、延期证书、废除证书的证书生命周期管理。
证书监管审计
- 证书统计
- 证书发放之后，管理员统计证书发放数量、废除数量、更新数量，并且可以查看待过期证书。
- 介质丢失
- 介质丢失之后，管理员可以帮助用户进行注销，并可锁定介质。用户可通过新注册过程重新发放证书。
- 介质锁定
- 在日常使用过程中，用户在无意的情况下锁定介质或者遗忘用户PIN码，可方便的通过自助终端进行找回PIN码操作。
- 证书管控
- 在安全要求更高的项目中，不允许用户把证书在不安全的电脑中使用，可通过对终端的控制，屏蔽掉非受信任的终端进行使用证书，使其达到安全可用的目的。
- 证书审计
- 证书发放过程会记录详细的信息，方便追踪用户轨迹，并且记录证书、资源、介质、终端信息的历史轨迹。对于软介质应提供密钥服务审计，方便进行密钥使用过程的追踪。
国密算法推进
- 在国产化推进过程中，只有运用具有自主知识产权的密码产品和技术，才能保障国家关键信息基础设施的安全，同时SM2算法在计算强度和保密强度上都远远胜过1024/2048位的RSA公钥密码算法，SM2算法升级对提升移动办公安全具有实际意义。
密码模块推进
- 为保障移动办公的安全性和满足国家对于国产密码算法的推进，基于国产密码算法的数字证书的终端接入实现了移动端的高强度身份认证。同时，在移动智能设备上部署的移动端国产密码安全运算模块利用分片密码技术，保证密钥存储的安全和国产密码运算的安全，提高密钥使用的便利性。并且国家密码管理局颁布了GM/T 0028-2014《密码模块安全技术要求》和GM/T 0039-2015《密码模块安全检测要求》，针对客户端使用软密钥的安全性进行了明确要求，从而指导各厂商在满足相关安全要求的前提下给用户提供更适合的安全解决方案。
- 密码模块提供基于SKF的接口，和传统硬件介质提供一样的密码服务，方便的适配于各个应用环境。
方案特点
- 可信合法的电子签名
- 《中华人民共和国电子签名法》第十四条规定“可靠的电子签名与手写签名或者盖章具有同等的法律效力”；
- 格尔证书助手模块支持采用数字证书对应用数据进行数字签名，符合《中华人民共和国电子签名法》要求；
- 基于移动终端的证书解决方案
- 由于每个人都有手持设备，无需携带额外设备，用户在手持设备上操作即可完成数字证书管理，操作简单方便；还支持介质锁定与解锁；
- 多平台支持方案
- 支持多环境平台，产品支持Linux、Windows、Android、IOS等主流操作系统，方便应对不同平台需求；
- 可扩展的多种用户认证模式
- 可灵活支持基于移动设备的各类认证手段，用户名口令认证、人脸识别认证、手机短信认证、签名验签认证等方式，可扩展与OAuth2.0对接，实现第三方登录认证的方式；
- 安全密钥协同技术
- 将密钥拆分成两个部分，分别存储在服务端和客户端，使用时进行协作计算，密钥不会在任何一方完整出现，即参与运算的任何一方都不会拿到完整的密钥；使用签名或解密时，客户端需要和服务端一起协助运算，分别由客户端和服务端进行签名或解密，并把结果组合在一起形成最终的签名或解密结果；签名结果可通过证书进行验签；
- 安全密钥存储技术
- 密钥存储技术分别保存，服务端密钥功能设计遵循“分层结构，逐层保护”的安全原则，采用三层密钥保护体系，主密钥受硬件密码机保护；客户端密钥使用本地特征码和用户PIN码进行保护使用，客户端密钥的使用都需要通过用户的许可进行使用，充分的保障了密钥的安全；
- 符合国密标准安全
- 安全密码模块支持国密SM2、SM3、SM4算法，SM2算法，用于签名验签，证书验证，密钥协商；SM3算法，用于数据报文的完整性检查；SM4算法，用于传输数据的加解密；使用接口符合国密《智能密码钥匙密码应用接口规范》；
- 基于PKI技术的安全方案
- 基于标准的PKI/CA机制的数字签名技术，与传统的数字证书应用方式和数据格式完全兼容；
- 支持SSL代理和VPN技术
- 证书助手配合网关实现对应用的安全保护，针对不同应用要求，提供SSL代理和VPN技术保护。
