文化部“全国文化信息资源共享工程”中的PKI应用研究

摘要

“全国文化信息资源共享工程”作为一个全国性的文化创新项目，其组织结构为四层结构：国家中心、省级分中心、基层中心、基层网点。其体系结构相对比较分散，本文在在分析其发展现状及系统需求的基础上，研究了“全国文化信息资源共享工程”中PKI系统的应用。 “全国文化信息资源共享工程”各个省级分中心的资源已经超过国家中心资源的数量，但由于到目前为止还没有基于网络安全的考虑，安全防护没有相应的措施，资源所有者及使用者的的身份得不到肯定，这已经影响了“全国文化信息资源共享工程”的进一步发展，共享工程的各层机构，包括国家中心和各省级分中心都着手进行安全研究，特别是认证体系的建设已经成为刻不容缓的技术。 由于对文化信息这种分散、抽象的体系结构，PKI体系模式还没有先例参考，所以需要有针对性地进行建设。针对“全国文化信息资源共享工程”的抽象复杂体系结构，在比较了国外桥式体系和树状体系的使用环境和优缺点之后，在全国“CA互联互通示范工程”的基础上，本文提出了“寄生式”PKI信任结构模式，并用路径长度、名字和策略来规范和实现这种新的信任体系结构模式。 “全国文化信息资源共享工程”的PKI系统的信任体系结构由根CA(国家CA中心)、CA中心(省级分中心)和RA中心及各个业务受理核发点组成，PKI的总体结构为二级CA的结构，CA子系统由证书服务器、证书发布服务器、证书服务器管理系统组成，RA子系统由RA服务器、RA管理系统和证书服务系统组成，其证书有八种状态，用例共有十二种。 在“全国文化信息资源共享工程”的PKI系统的功能设计中，本方将证书分为系统证书和用户证书两种，将证书按工程的体系结构分为四种级别设计，在证书管理中对证书的八种状态变化进行了规范和设计。并规定了证书的媒介为当前所有的计算机媒介。 “全国文化信息资源共享工程”PKI系统是对工程的一项网络安全技术补充，也是对PKI技术在文化信息这种分散、抽象的体系结构中应用研究的一种填补空白式的研究。但自身也是一个系统，也面临诸多安全威胁。它的自身安全包括物理安全、系统平台、接口控制，权限管理、密钥安全和数据库的安全问题等。

目录

文摘

英文文摘

1绪论

1.1问题的提出及研究意义

1.1.1问题的提出

1.1.2问题研究的意义

1.2本文研究的内容和研究贡献

1.2.1本文研究的内容

1.2.2国内外研究现状

1.2.3本文研究的贡献

1.3本文研究主要内容及结构慨要

2文化部“全国文化信息资源共享工程”现状研究

2.1“全国文化信息资源共享工程”工程来源

2.2“全国文化信息资源共享工程”工程构架

2.2.1“全国文化信息资源共享工程”的组织结构

2.2.2“全国文化信息资源共享工程”的工作模式

2.3“全国文化信息资源共享工程”工程实施状况

2.3.1工作网络状况

2.3.2数字资源状况

2.3.3技术平台状况

2.4“全国文化信息资源共享工程”工工程的安全保障研究

2.4.1网络安全防护

2.4.2系统级安全防护

2.4.3应用级安全保护

2.5 PKI理论基础

2.5.1 PKI的概念

2.5.2 PKI的组成

2.5.3 PKI的功能操作

2.5.4 PKI的服务

2.5.5 PKI的体系结构

2.6容灾备份基础

2.6.1基于备份的容灾方案

2.6.2基于主机的容灾方案

2.6.3基于基于存储的容灾方案

3“全国文化信息资源共享工程”的PKI需求分析

3.1安全需求

3.1.1“全国文化信息资源共享工程”信任服务的需求分析

3.1.2“全国文化信息资源共享工程”的安全要求

3.1.3灾难恢复的需求

3.2安全目标研究

3.2.1总体目标需求

3.2.2功能要求

3.3信任服务体系结构

3.3.1根CA

3.3.2 CA中心

3.3.3 RA中心

3.3.4业务受理核发点

3.4法律要求

4 “全国文化信息资源共享工程”PKI信任模型研究

4.1 PKI系统的常用信任模型研究

4.1.1认证机构的严格层次结构模型

4.1.2分布式信任结构模型

4.1.3 Web模型

4.1.4以用户为中心的信任模型

4.2我国PKI体系模式研究

4.3“全国文化信息资源共享工程”PKI体系模式研究

4.3.1“全国文化信息资源共享工程”的独特结构

4.3.2寄生的相关知识

4.3.3“全国文化信息资源共享工程”的寄生式信任模式

4.3.4寄生性信任模式与其它信任模式的比较

4.3.5“全国文化信息资源共享工程”寄生性信任模式的实现

5“全国文化信息资源共享工程”PKI总体设计方案

5.1结构设计

5.2 CA子系统设计

5.2.1总体设计

5.2.2证书服务器的设计

5.2.3证书发布服务器的设计

5.2.4证书服务器管理系统的设计

5.3 RA子系统设计

5.3.1总体设计

5.3.2证书的状态变换

5.3.3用户分析

5.3.4用例分析

6“全国文化信息资源共享工程”PKI系统功能设计方案

6.1证书种类和证书及CRL的格式

6.1.1证书种类

6.1.2证书的级别

6.1.3发放证书的格式

6.1.4证书废止列表(CRL)的格式如文[25]所示

6.2证书管理的基本功能

6.2.1证书的申请

6.2.2申请审核

6.2.3证书的签发

6.2.4证书的发放

6.2.5证书的归档

6.2.6证书的废止

6.2.7证书的恢复

6.2.8证书的更新

6.3 CRL管理的基本功能

6.3.1 CRL的产生

6.3.2 CRL的发布

6.4证书和CRL的在线服务功能

6.4.1证书的在线查询

6.4.2 CRL的在线查询

6.5证书发放的媒介

7“全国文化信息资源共享工程”PKI系统的安全性设计

7.1 CA面临的安全威胁

7.2物理安全

7.3网络数据传输安全

7.3.1“全国文化信息资源共享工程”PKI系统网络结构研究

7.3.2网络传输安全设计

7.4访问控制

7.4.1基于访问服务器的访问控制

7.4.2基于访问服务器接口的访问控制

7.5权限管理

7.5.1 CA权限

7.5.2 RA权限

7.6数据库安全

7.6.1数据库系统安全

7.6.2数据存储安全

7.7密钥安全管理

7.7.1 CA自身密钥管理

7.7.2用户密钥管理

7.8自身系统安全

7.8.1平台的安全性

7.8.2日志安全

8结论与展望

致 谢

参考文献

附录1：PKCS标准简介

附录2：全国文化信息资源共享工程重庆市分中心关于“全国文化信息资源共享工程”安全性研究的决定

独创性声明及学位论文版权使用授权书