CN102946398A - 一种双网隔离环境下的数字证书系统 - Google Patents

Abstract

本发明实施例提供一种双网隔离环境下的数字证书系统，所述系统包括至少一个证书服务模块、一个证书管理模块和一个目录模块，具体为：证书服务模块，用于接收内网和/或外网的第一方的证书服务申请，对第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述第一方；证书管理模块，用于保存和管理数字证书，接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块。目录模块，用于保存数字证书目录，并利用所述数字证书目录对内网和/或外网的第一方进行身份认证。

Description

一种双网隔离环境下的数字证书系统

技术领域

本发明涉及信息安全技术领域，特别涉及一种双网隔离环境下的数字证书系统。

背景技术

随着国家电网公司具有信息化、自动化、互动化等特征的统一智能电网的建设，相应的信息化管理和控制也相对从前发生了变革。在智能电网下的信息管理系统中，网络的接入更加复杂，信息集成度更高，用户交互程度更强；既需要面对电网业务系统中存储了大量关键信息，又必须满足跨系统、跨区域资源共享的需求；在这种情况下，如何保障用户、终端、基础网络、业务应用各组成部分的信息安全成为了一项重要的课题。

目前阶段，数字证书系统作为一种建立在密码技术基础上的信息安全技术和安全体系架构，也是目前唯一能够同时解决身份认证、访问控制、信息保密和抗抵赖的安全技术。而在智能电网的信息系统或类似的信息系统当中，需要利用数字证书进行身份认证并执行访问的用户可能隶属于不同级别的组织机构，例如用户可能属于电网总公司，也可能属于各个省级公司，各公司可能拥有独立的数字证书系统，彼此不统一；并且此类信息系统中，内网与外网相互隔离，内网的认证和外网的认证也是分开进行的。全网的认证无法统一导致了信息的共享性差。

这一类信息系统结构的特殊性导致现阶段的数字证书系统无法满足信息系统的使用需求，目前阶段还没有一种数字证书系统能够统一该类型信息系统中各级别组织结构以及内外网的身份认证过程。

发明内容

有鉴于此，本发明的目的在于提供一种双网隔离环境下的数字证书系统。，实现信息系统内外网及各级别之间的数字证书服务的统一。

为实现上述目的，本发明有如下技术方案：

一种双网隔离环境下的数字证书系统，所述系统包括至少一个证书服务模块、一个证书管理模块和一个目录模块，具体为：

证书服务模块，用于接收内网和/或外网的第一方的证书服务申请，对第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述第一方；

证书管理模块，用于保存和管理数字证书，接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块。

目录模块，用于保存数字证书目录，并利用所述数字证书目录对内网和/或外网的第一方进行身份认证。

所述证书服务模块包括：

高级证书服务模块，用于接收高级平台第一方的证书服务申请，对高级平台第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述高级平台第一方；

低级证书服务模块，用于接收低级平台第一方的证书服务申请，对低级平台第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述低级平台第一方。

所述证书服务模块包括：

信息认证单元，用于对提出证书服务申请的第一方进行信息认证；

请求执行单元，用于在第一方通过信息认证的情况下，通过第一方提出的证书服务申请判断所申请证书服务的种类，然后生成针对该种类服务的服务执行请求；

操作反馈单元，用于接收证书管理模块返回的服务操作结果，并将该服务操作结果反馈至所述第一方。

所述信息认证单元包括：

一次认证子单元，用于认证第一方信息；

二次认证子单元，用于鉴别一次认证子单元的认证结果。

所述证书管理模块包括：

根管理单元，用于保存和管理数字证书；

运行管理单元，用于接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块。

所述目录模块具体包括：

主目录单元，用于保存数字证书目录，在签发新的数字证书时更新数字证书目录并向从目录模块同步；

从目录单元，用于保存数字证书目录，并从主目录单元中同步更新数字证书目录，利用数字证书目录对内网和/或外网的第一方进行数字证书认证。

所述从从目录单元包括：

内网从目录子单元，用于内网第一方的保存数字证书目录，并从主目录单元中同步更新内网第一方的数字证书目录，利用内网第一方的数字证书目录对内网的第一方进行数字证书认证；

外网从目录子单元，用于保存外网第一方的数字证书目录，并从主目录单元中同步更新外网第一方的数字证书目录，利用外网第一方的数字证书目录对外网的第一方进行数字证书认证。

所述系统还包括：

适配器，用于连接外网目录子单元与主目录单元，交互外网目录子单元与主目录单元之间同步更新数字证书目录的数据。

通过以上技术方案可知，本发明存在的有益效果是：利用跨内外网的目录模块向内网和/外网用户提供统一的数字证书认证，实现了双网隔离环境下认证过正的统一；还统一了对于包括用户、设备管理者和服务器等第一方的数字证书服务，所述数字证书系统在信息系统中简化了安全系统的结构，更有利于全网信息的共享；所述系统直接通过证书服务模块对第一方执行信息认证，而非采用传统的第三方认证，从而避免了信息传输第三方过程当中的安全隐患，所述系统的安全性相对现有的数字证书系统有了明显的提高；本发明所述系统还实现了代理业务系统执行第一方的数字证书认证。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例所述数字证书系统结构示意图；

图2为本发明另一实施例所述数字证书系统结构示意图；

图3为本发明又一实施例所述数字证书系统结构示意图；

图4为本发明实施例所述目录模块结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供一种能够应用于信息系统中的数字证书系统，参见图1所示为本发明所述数字证书系统的一个具体实施例。本实施例中，所述系统包括至少一个证书服务模块、一个证书管理模块和一个目录模块，具体为：

证书服务模块，用于接收内网和/或外网的第一方的证书服务申请，对第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述第一方；

本实施例中所述证书服务模块直接面对第一方，为第一方提供数字证书相关的服务。针对信息系统，在本实施例中，所述第一方泛指需要接受数字证书服务的一方，所述第一方具体可能是用户、设备管理者、服务器以及其他。第一方申请的证书服务同样有很多种类，具体包括：证书申请、证书更新、证书注销、证书冻结或证书解冻。而且在所述信息系统内网和外网相互隔离的情况下，所述第一方可能来自于内网，也可能来自于外网；本实施例中内网和外网的第一方均由证书服务模块统一的提供证书服务。

由于本发明实施例所涉及的信息系统的覆盖范围广泛，所述第一方可能来自于不同的地域，所以本实施例中存在至少1个（图1中仅示出1个）证书服务模块，多个证书服务模块可以分别设置在不同的区域，为分布在各地的第一方提供数字证书服务，由此脱离了地域的限制，将整个系统内的数字证书服务统一。

证书管理模块，用于保存和管理数字证书，接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块。

无论第一方申请何种证书服务，归根结底都需要对于相应的数字证书进行操作和处理。系统内所有的数字证书均在证书管理模块中进行保存和管理，所以对于数字证书的操作和处理必然在证书管理模块内部进行，证书服务模块仅将服务执行请求发送至证书管理模块。

根据第一方需求的服务种类的不同，证书管理模块有针对性的执行相应的操作。如果第一方原本没有申请过数字证书，则可以请求证书的申请，证书管理模块根据申请签发数字证书，并保留该数字证书的公钥部分，将私钥部分反馈至该第一方持有，签发的数字证书的私钥部分即作为服务操作结果，由证书服务模块向第一方反馈。如果第一方已经申请过数字证书，则可能需要对数字证书进行证书更新、证书注销、证书冻结或证书解冻等操作，证书管理模块则根据第一方需求的服务类型相应的对自身保存的数字证书公钥部分进行操作；而其反馈的服务操作结果不再是数字证书的私钥部分，可以是一个操作成功的通知信息，如无需要也可以不反馈服务操作结果。

目录模块，用于保存数字证书目录，并利用所述数字证书目录对内网和/或外网的第一方进行身份认证。

所述数字证书系统除了为第一方提供数字证书服务之外，另一项极为重要的功能就是通过数字证书对第一方进行身份认证。现阶段数字证书的认证过程可以简要的概括为，数字证书由公钥与私钥两部分组成，第一方申请数字证书之后，得到并持有数字证书的私钥部分，而数字证书的公钥部分保存在数字证书系统当中。第一方需要访问业务系统的时候，需将自身持有的数字证书私钥部分与数字证书系统中保存的公钥部分向匹配，匹配成功则第一方通过数字证书认证，获得访问或操作业务系统的一定权限。以上数字证书认证过程均属于现有技术，在此只作简单说明。

本实施例中所述数字证书系统即通过所述目录模块来实现对于第一方的身份认证。

本实施例中，所述目录模块保存的数字证书目录中，记录了所有证书管理模块签发过的数字证书的公钥部分，并随着证书管理模块签发新的数字证书而对该目录进行同步更新。在第一方请求数字证书认证的时候，目录模块以数字证书目录中记载的数字证书公钥部分对应的匹配第一方提供的数字证书私钥部分，从而完成第一方的数字证书认证过程，当目录中记载了能与第一方提供的私钥匹配的公钥时，说明该第一方持有本系统签发的合法的数字证书，则授予该第一方相应的访问业务系统的权限。

另外，在双网隔离环境下的数字证书系统当中，本实施例中所述目录模块采用跨内外网的设置，即目录模块在内网和外网中分别设置为内网和外网的第一方提供数字证书认证服务的功能单元，采用统一的过程对内网及外网的第一方进行身份认证。

通过以上技术方案可知，本实施例存在的有益效果是，利用跨内外网的目录模块向内网和/外网用户提供统一的数字证书认证，实现了双网隔离环境下认证过正的统一；还所述系统统一了对于包括用户、设备管理者和服务器等第一方的数字证书服务，利用所述数字证书系统在信息系统中实现了整个信息系统内部安全认证功能的整合，简化了安全系统的结构，更有利于全网信息的共享；另外本实施例中直接通过证书服务模块对第一方执行信息认证，而非采用传统的第三方认证，从而避免了信息传输第三方过程当中的安全隐患，所述系统的安全性相对现有的数字证书系统有了明显的提高。

以上实施例为本发明所述数字证书系统的一个基础实施例。根据在信息系统中的实际应用，还可以对以上实施例进行更合理的扩充。事实上在整个信息系统中存在诸多级别的组织机构，范围覆盖全国，而第一方可能来自于不同的区域，隶属于不同的组织机构当中。如果仅仅在系统中设置一个证书服务模块，很难对全国各地各级别的第一方提供数字证书服务。所以为了更完善的为全网内所有的第一方提供数字证书服务，以下如图2所示的实施例中以智能电网的信息系统应用环境为例，对于系统的具体设置如下：

本实施例中所述证书服务模块分为高级证书服务模块和低级证书服务模块，高级证书服务模块与低级证书服务模块的功能均与图1所示实施例中所述的证书服务模块没有区别；不同在于，所述高级证书服务模块设置在电网总公司，为隶属于总公司的第一方提供数字证书服务，即为高级平台第一方提供数字证书服务；低级证书服务模块存在多个，分别设置在各省级电网公司，为隶属于该省电网公司的第一方提供数字证书服务，即为低级平台第一方提供数字证书服务。具体的：

所述证书服务模块包括：

高级证书服务模块，用于接收高级平台第一方的证书服务申请，对高级平台第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述高级平台第一方；

低级证书服务模块，用于接收低级平台第一方的证书服务申请，对低级平台第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述低级平台第一方。

但整个系统当中，所述证书管理模块仅在电网总公司设置一个，统一的管理全系统内的数字证书，各省级电网公司不在设置独立的证书管理模块。但实际上，有些省级电网公司原本已经建立了独立的数字证书系统，存在独立的证书管理模块。针对这种情况，本实施例中令省公司原本独立的证书管理模块入根到本实施例所述系统的证书管理模块之下；入根后省公司中原本的证书管理模块不再独立，而是属于本实施例所述系统的证书管理模块的一部分。

本实施例中，所述目录模块与图1所示实施例中一致，在此不作重复叙述。

本实施例中根据信息系统的实际使用需求对所述数字证书系统的结构进行了适应性的改进，所以本实施例中所述系统更完善的统一整合了信息系统内的安全认证功能，适用性和针对性更强。

参见图3所示，为本发明所述数字证书系统的另一个具体实施例。本实施例中，所述系统具体包括：

证书服务模块，用于接收第一方的证书服务申请，对第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述第一方；

本实施例中所述证书服务模块分为高级证书服务模块和低级证书服务模块，高级证书服务模块和低级证书服务模块在功能和结构上均没有区别，高级证书服务模块仅存在一个设置在电网总公司，低级证书服务模块存在多个，分别设置在各省级电网公司；所述证书服务模块的具体结构如下描述：

证书服务模块包括：

信息认证单元，用于对提出证书服务申请的第一方进行信息认证；

在传统的数字证书系统中，均采用第三方进行第一方的信息认证，但是在于第三方进行信息交互的过程中，往往存在信息泄露的隐患；所以本实施例所述的数字证书系统中省略了第三方，直接由信息认证单元进行信息认证，提高安全性的同时，更简化了信息认证的流程，提高了认证效率；

本实施例中所述信息认证单元具体可分为：

一次认证子单元，用于认证第一方信息；

二次认证子单元，用于鉴别一次认证子单元的认证结果。

本实施例中所述信息认证单元可以通过在认证第一方信息之后，增加一个二次认证的检验与鉴别过程；进一步的避免了认证错误的情况发生。

请求执行单元，用于在第一方通过信息认证的情况下，通过第一方提出的证书服务申请判断所申请证书服务的种类，然后生成针对该种类服务的服务执行请求；

操作反馈单元，用于接收证书管理模块返回的服务操作结果，并将该服务操作结果反馈至所述第一方。

证书管理模块，用于保存和管理数字证书，接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块。

本实施例中，所述证书管理模块包括：

根管理单元，用于保存和管理数字证书；

根管理单元仅设置在电网总公司的系统中，为整个数字证书系统提供信任源。系统内的数字证书均保存在根管理单元中；

运行管理单元，用于接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块；

运行管理单元负责数字证书的保存和管理之外的功能，提供相关的数字证书服务，执行针对数字证书的各种操作。本实施例中，运行管理单元主要分为两部分，一部分设立在电网总公司的系统中，另一部分设立在某一些省公司的系统中；由于某些省级电网公司已经建立了独立的数字证书系统，所以为了节约资源，保留其原有的硬件/软件设备，需要将其独立的数字证书系统中的证书管理模块入根到本实施例所述的系统中，入根后省公司原本独立的证书管理模块成为本实施例中所述证书管理模块的一部分，也就成为了设立在省公司的一部分运行管理单元。实质上，设立在总公司的运行管理单元与设立在省公司的运行管理单元没有功能上的区别。

目录模块，用于保存数字证书目录，并利用所述数字证书目录对内网和/或外网的第一方进行身份认证。

所述目录模块在图3中未示出，其具体结构如图4所示，本实施例中所述目录模块具体包括：

主目录单元，用于保存数字证书目录，在签发新的数字证书时更新数字证书目录并向从目录模块同步；

所述主目录单元在系统中保存一份完整的数字证书目录，并且该份目录一般不会针对外界进行任何操作；以至于当从目录单元中的数字证书目录出现错误或者丢失的时候，主目录单元依然能够保障数字证书目录的完整和安全。

主目录单元中保存的数字证书目录同样是从目录单元数字证书目录的来源。主目录单元跟随证书管理模块签发数字证书实时的更新自身保存的数字证书目录，并向从目录单元同步。

从目录单元，用于保存数字证书目录，并从主目录单元中同步更新数字证书目录，利用数字证书目录对内网和/或外网的第一方进行数字证书认证。

从目录单元中，同样保存数字证书目录；在第一方请求数字证书认证的时候，从目录单元以数字证书目录中记载的数字证书公钥部分对应的匹配第一方提供的数字证书私钥部分，从而完成第一方的数字证书认证过程，当目录中有记载能与第一方提供的私钥匹配的公钥时，说明该第一方持有本系统签发的合法的数字证书，则授予该第一方相应的访问业务系统的权限。

从目录单元可以根据需求设置多个，其设置方式是对应证书服务模块来设置的，也就是可能设置在高级平台或者低级平台当中；一个证书服务模块对应一定范围内的第一方，则该范围内的第一方持有的数字证书均记录在一个数字证书目录中，该数字证书目录则由对应该证书服务模块的从目录单元进行保存和管理。

本实施例中，从目录单元实际的执行认证功能，主目录单元一般仅从从证书管理模块中同步数字证书目录并保存，不涉及其他功能，所以能够尽可能的保证数字证书目录的信息安全；主目录单元在全系统中只有一个，保存完整的数字证书目录，并为所有的从目录单元提供数字证书目录的数据来源。

另外，由于所述证书服务模块是同时对应内网和外网进行数字证书服务的，所以证书服务模块对应的从目录单元同样需要具备针对内网和外网第一方进行身份认证的功能。所以，所述从目录单元包括：

内网从目录子单元，用于内网第一方的保存数字证书目录，并从主目录单元中同步更新内网第一方的数字证书目录，利用内网第一方的数字证书目录对内网的第一方进行数字证书认证；

外网从目录子单元，用于保存外网第一方的数字证书目录，并从内网从目录子单元中同步更新外网第一方的数字证书目录，利用外网第一方的数字证书目录对外网的第一方进行数字证书认证。

二者在功能上没有本质区别，不同仅在于内网从目录单元专门针对内网，外网从目录单元专门针对外网，外网从目录子单元与其对应的内网从目录子单元进行交互，从而间接的从主目录单元中同步数字证书目录，并不直接与主目录单元进行交互。由此内网和外网均可以通过数字证书目录在所述数字证书系统内进行统一的数字证书认证，内外网的第一方在认证环节中不在存在差异，从而实现了认证过程的统一。

不过，在双网隔离的环境下，外网从目录子单元与内网的数据交互存在隔离，无法直接的进行，所以还需要设置适配器使外网从目录子单元与内网连接。所述适配器用于连接外网目录子单元与内网从目录子单元，交互外网目录子单元与内网从目录子单元之间同步更新数字证书目录的数据。

本实施例同样是所述数字证书系统的一个优选实施例。本实施例中，所述系统存在的有益效果是，本实施例所述系统整体技术方案更加完整，公开更充分，使得所述系统的性能有了进一步的优化。

在信息系统中，数字证书系统主要是承担安全认证的职能。其维护管理的数字证书也是用于对第一方进行身份认证，同时对需要申请或已经持有数字证书的第一方提供数字证书服务。实际上，数字证书系统无不是与业务系统关联使用的，也就是数字证书系统相当于一个控制第一方进入业务系统的“门”。该项技术被称为数字证书代理技术。也就是，持有数字证书的第一方经数字证书系统认证数字证书之后，即可实现对其他业务系统的访问和操作。

本发明实施例中可以采用所述的数字证书代理技术作为优选方案，该优选方案实现了数字证书系统的智能代理功能，使得该系统能够代理业务系统进行第一方的数字证书认证，从而保证了业务系统的访问安全性。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (8)

1.一种双网隔离环境下的数字证书系统，其特征在于，所述系统包括至少一个证书服务模块、一个证书管理模块和一个目录模块，具体为：

证书服务模块，用于接收内网和/或外网的第一方的证书服务申请，对第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述第一方；

证书管理模块，用于保存和管理数字证书，接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块。

目录模块，用于保存数字证书目录，并利用所述数字证书目录对内网和/或外网的第一方进行身份认证。

2.根据权利要求1所述系统，其特征在于，所述证书服务模块包括：

高级证书服务模块，用于接收高级平台第一方的证书服务申请，对高级平台第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述高级平台第一方；

低级证书服务模块，用于接收低级平台第一方的证书服务申请，对低级平台第一方进行信息认证，当信息认证通过则发出服务执行请求；并用于将返回的服务操作结果反馈给所述低级平台第一方。

3.根据权利要求1所述系统，其特征在于，所述证书服务模块包括：

信息认证单元，用于对提出证书服务申请的第一方进行信息认证；

请求执行单元，用于在第一方通过信息认证的情况下，通过第一方提出的证书服务申请判断所申请证书服务的种类，然后生成针对该种类服务的服务执行请求；

操作反馈单元，用于接收证书管理模块返回的服务操作结果，并将该服务操作结果反馈至所述第一方。

4.根据权利要求3所示系统，其特征在于，所述信息认证单元包括：

一次认证子单元，用于认证第一方信息；

二次认证子单元，用于鉴别一次认证子单元的认证结果。

5.根据权利要求1所述系统，其特征在于，所述证书管理模块包括：

根管理单元，用于保存和管理数字证书；

运行管理单元，用于接收所述服务执行请求，按照所请求的服务内容对数字证书执行操作，得到服务操作结果，将需返回的服务操作结果返回证书服务模块。

6.根据权利要求1所述系统，其特征在于，所述目录模块具体包括：

主目录单元，用于保存数字证书目录，在签发新的数字证书时更新数字证书目录并向从目录模块同步；

从目录单元，用于保存数字证书目录，并从主目录单元中同步更新数字证书目录，利用数字证书目录对内网和/或外网的第一方进行数字证书认证。

7.根据权利要求6所述系统，其特征在于，所述从从目录单元包括：

内网从目录子单元，用于内网第一方的保存数字证书目录，并从主目录单元中同步更新内网第一方的数字证书目录，利用内网第一方的数字证书目录对内网的第一方进行数字证书认证；

外网从目录子单元，用于保存外网第一方的数字证书目录，并从主目录单元中同步更新外网第一方的数字证书目录，利用外网第一方的数字证书目录对外网的第一方进行数字证书认证。

8.根据权利要求7所述系统，其特征在于，所述系统还包括：

适配器，用于连接外网目录子单元与主目录单元，交互外网目录子单元与主目录单元之间同步更新数字证书目录的数据。

Images