吉大正元数字签名服务器-管理员手册20091215_2.0.22

吉大正元数字签名服务器

管理员手册

V2.0.22

长 春 吉 大 正 元 信 息 技 术 股 份 有 限 公 司

Jilin University Information Technologies Co., Ltd.

目录

1. 引言 (4)

1.1. 概述 (4)

1.2. 定义 (4)

2. 安装配置 (6)

2.1. 介绍 (6)

2.1.1. V1000/V3000 (6)

2.2. 连接安装 (6)

3. 功能详解及使用方法 (8)

3.1. 数字签名管理 (8)

3.1.1. 签名管理 (8)

3.1.2. 验签管理 (10)

3.1.3. 服务监控 (15)

3.1.4. 权限管理 (16)

3.1.5. 业务日志 (16)

3.2. 数字信封管理 (20)

3.2.1. 加密管理 (20)

3.2.2. 解密管理 (23)

3.2.3. 对称加解密管理 (25)

3.2.4. 服务监控 (26)

3.2.5. 权限管理 (27)

3.3. 系统管理 (27)

3.3.1. 站点证书管理 (27)

3.3.2. 管理员颁发机构证书管理 (29)

3.3.3. 权限管理 (31)

3.3.4. 数据库配置 (31)

3.3.5. 许可证配置 (32)

3.4. 设备管理 (32)

3.4.1. 网络设置 (32)

3.4.2. 可信时间源管理 (33)

3.4.3. HA服务管理 (36)

3.4.4. 网络诊断管理 (39)

3.4.5. SNMP服务管理 (40)

3.4.6. 系统监控 (40)

3.4.7. 网络监控 (41)

3.4.8. 系统时间设置 (42)

3.4.9. 设备起停 (42)

3.5. 系统维护 (42)

3.5.1. 系统备份 (42)

3.5.2. 系统恢复 (43)

3.5.3. 系统升级 (43)

3.6. 审计管理 (43)

3.6.1. 查看审计信息 (43)

3.6.2. 归档策略设置 (45)

3.6.3. 归档记录 (45)

3.6.4. 更新安全审计员证书 (45)

4. 常见问题解答(FAQ) (47)

4.1. 服务安装后无法启动 (47)

4.2. 服务启动后无法进入管理界面 (47)

1.引言

1.1. 概述

数字签名服务器要对外提供数字签名和验证服务，需要设置一些运行参数，为提供友好的操作环境，我们提供专门的服务配置管理平台，以WEB方式对管理员提供服务。以提高管理员对服务的管理效率和管理的方便性。

1.2. 定义

z Cinas：吉大正元应用安全支撑整个产品线名称。

z数字签名服务： Cinas产品线之一，主要解决应用安全中与内容安全相关的问题，包括数字签名，数字信封，数字时间戳以及数据加解密等。

z数字签名：被签发数据的哈希值经过私钥加密后的结果。通过把使用公钥对数字签名解密得到的值与原始数据的哈希值相对照，就能验证数字签名。

z数字证书：用于验证需认证者的标识信息与其公钥对应关系的一种数字文档。

z哈希(Hash) ：通过对原文进行单向哈希函数运算得到的定长字符串，原文不同哈希值就不同，通过哈希值无法还原出原文。

z PKCS7：RSA实验室有关加密消息语法标准。

z RSA(Rivest Shamir Adleman) ：基于一种复杂的数学原理计算的非对称密钥算法。

z PKI(Public Key Infrastructure) ：公开密钥基础设施。

z CRL(Certificate Revocation List) ：即证书撤销列表，类似于黑名单。

z身份认证：与传统的信息交换不同，参与网上信息交换的各方没有实际见面，任何一方都有被冒充的可能，所以安全应用系统必须采用某种机制，使能够确认对方的身份。

z数据的保密：在许多应用中，信息的内容是需要严格保密的，但是在网络上，网络侦听技术使数据的获取变得十分容易，因此对信息的加密是安全应用系统重要的特点。

z防止篡改数据：由于网络的公开特性，使得信息提供者以外的人修改信息成为可能。如何防止他人篡改信息是安全应用系统需要解决的一个重要问题。

z数字信封：在数字信封中，信息发送方利用随机产生的对称密钥来加密信息内容，然后将此对称密钥用接收方的公开密钥来加密（这部分称数字信封）之后，将它和加密后的信息一起发送给接收方，接

收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开加密信息。

数字信封主要包括数字信封打包和数字信封拆解，数字信封打包是使用对方的公钥将加密密钥进行加密的过程，只有对方的私钥才能将加密后的数据(通信密钥)还原；数字信封拆解是使用私钥将加密过的数据解密的过程

2. 安装配置

2.1. 介绍

2.1.1.

V1000/V3000

吉大正元签名服务器V2000背面提供两个网络接口，分别为 eth0,eth1。 ETH0：业务端口（默认ip ：192.168.9.110，子网掩码：255.255.255.0），是用户访问应用的入口。 ETH1：管理端口（默认ip ：192.168.8.110，子网掩码：255.255.255.0）。

2.2. 连接安装

管理员登陆

在浏览器地址栏输入https://192.168.9.110:6443，选择系统默认的管理员证书normal。

登录成功后显示如下页面：

3.功能详解及使用方法

吉大正元数字签名服务器管理控制台可以进行包括数字签名管理、数字信封管理、可信时间戳管理、系统管理、设备管理、系统维护、审计管理几部分。用户可以访问吉大正元数字签名服务器管理控制台，通过点击左边的目录树来选择相应的配置管理

3.1. 数字签名管理

数字签名管理模块主要是对与数字签名有关的信息进行配置，如签名证书配置、验签名证书配置、证书状态验证等等

3.1.1.签名管理

该模块主要是进行签名证书的配置，可以直接导入pfx格式的签名证书或通过签名证书申请产生申请书然后再导入由颁发机构签的.cer格式的证书，

3.1.1.1. 颁发机构证书配置

这里是颁发机构证书的配置页面，在配置签名证书时需要将现有的签名证书的颁发机构证书导入进来。该配置的主要目的是验证导入的签名证书由指定机构签发。在配置证书前需要先添加一个签名证书名称，如下图：

颁发机构证书配置页面如下：

3.1.1.2. 签名证书申请

系统通过本申请生成密钥对并封装申请CDS证书的申请书。

在签名证书配置页面点击“申请签名证书”按钮进入签名证书申请页面如下图：

在这里管理员需要填写签名证书主题、加密算法、密钥长度后点击产生按钮就可以生成签名证书申请书。管理员可以拷贝申请书内容到CA去生成CDS证书，

3.1.1.3. 签名证书配置

这里签名证书的显示和导入页面。

?签名证书显示

这里可以显示当前签名证书的信息，如：主题、序列号、颁发者、有效起始日期、有效终止日期和签名算法。

?签名证书导入

导入签名证书是指从本地的系统中，将得到的证书上传到服务器。

可以导入的签名证书有两种类型，X509证书和PKCS12证书。在签名证书申请书处生成的签名证书申请书，经CA签发回来.cer（X509证书）文件后，通过浏览按钮导入。也可以直接导入.pfx证书（PKCS12证书）作为签名证书。

X509证书导入页面如下图：

PKCS12证书导入页面如下图，与X509格式不同的是需要输入保护口令

注意

在导入签名证书时，系统会验证欲导入证书的有效期以及密钥用法是否具有签名功能以保证导入证书具有有效的签名功能，从而提高了系统的安全性。

3.1.2.验签管理

3.1.2.1. 颁发机构证书配置

颁发机构证书是验签证书和CRL有效性的依据，只有配置到验证系统中的CSCA证书所签发的验签证书和CRL证书才会被系统认为是有效的

3.1.2.2. 验签证书下载配置

本页面以颁发机构证书为引导，来配置验签名证书的下载方式，管理员可以从目录服务器或手动上传的方式来获得验签证书，在签名系统连接目录服务器之前，要先配置目录服务器的地址、端口，必要时需要用户名和密码。为了从目录服务器来获得验签证书，还需要设置验签名证书在目录服务器发布的基准结点，过滤条件，以及更新周期。

验签证书下载方式配置：

验签证书下载方式包括：不下载证书、LDAP下载证书，如下图：

不下载证书：不从LDAP上下载验签名证书，

LDAP下载证书: 管理员需要设置目录服务器的地址、端口、用户名和密码以及在目录服务器发布的基准结点，过滤条件，证书更新策略以及证书更新周期。如下图：

下载到的证书可以进入“验签证书配置-》验签证书列表”页面查看

配置项：

LDAP地址：填写目录服务器的IP地址

LDAP端口：填写目录服务器的开放端口

当目录服务器不支持匿名登陆时，需要设置用户名和密码

BASEDN：是指目录服务器中的某个节点,比如“C=CN”

FILTER：是指在BASEDN 节点下所有符合filter条件的子集，如“CN=*”

证书更新策略：包括默认和自定义2种，当选择默认的时候在证书更新周期设置周期当选择自定义的时候弹出如下页面：

可以根据图上的策略进行设置

3.1.2.3. 验签证书列表

在这个页面可以对从LDAP下载的验签证书和手工上传的验签证书进行查看和查询，通过点击“添加验签证书”按钮可以手动添加验签证书，如下图：

手动添加验签证书：

点击“添加验签证书”按钮进入验签证书信息配置页面，如下图：

3.1.2.

4. 证书状态验证配置

在该页面可以配置证书状态验证，以颁发机构证书为索引，可以分别配置为不验证证书状态、CRL验证、OCSP验证、OCSP先CRL后组合验证方式，以便对验签名证书有效性进行验证，证书状态配置默认页面如下：

3.1.2.

4.1不验证证书状态

不验证证书状态，指对签名证书的吊销性不进行验证，默认为不验证，如下图：

3.1.2.

4.2 CRL验证

指从LDAP或WEB服务器下载CRL文件进行验证，当选择CRL验证证书状态的时候，需要进行如下几步配置：

1．配置CRL下载资源，如下图：可以从LDAP服务器或WEB服务器下载CRL文件1.

LDAP下载CRL:当服务类型选LDAP服务器，显示如下页面：

配置项：

LDAP用户DN：指登录LDAP目录服务器使用的用户名

LDAP用户密码：指登录LDAP目录服务器使用的用密码

URL：连接目录服务器的URL地址，地址格式为：

ldap://172.16.7.195:389/ou=crl,o=jit,c=cn?certificateRevocationList;binary?sub?cn=crl1

CRL类型：指从目录服务器是下载总的CRL文件还是分的CRL文件

WEB下载CRL:当服务类型选WEB服务器，显示如下页面：

配置项：

URL：连接目录服务器的URL地址，URL地址格式为：http://172.16.7.195:8088/crl/crl1.crl

当CRL下载地址添加成功就会在CRL下载资源列表中显示，如下图：

2.配置CRL的更新策略：

设置CRL从目录服务器上的更新时间，如下图：

配置项：

不自动更新：不从目录服务器上下载更新CRL文件

定时更新：按设置的定时更新单位和定时更新间隔定时从目录服务器上更新CRL文件

按照CRL更新时间更新：指按照CRL下次更新时间更新，通常要设置“按照CRL更新时间更新延长间隔”

3.配置证书验证方式

当CRL下载资源和下载策略都配置好以后，要想使其生效需要将下载方式设置为“CRL验证”，如下图：

注意：当下载的CRL列表中存在多个分CRL的时候，会遍历每个CRL文件来验证证书的状态当下载的CRL列表中存在多个总CRL的时候，会按找到的第1个总CRL文件来验证证书的状态

3.1.2.

4.3 OCSP在线验证

连接OCSP服务器在线查询证书的状态，需要配置OCSP服务器地址，地址格式为：http://172.16.7.111:20443/ocsp：如下图：

要想真正的连接OCSP服务器进行证书状态验证需要将下载方式设置为“OCSP验证”如下图：

3.1.2.

4.4OCSP先CRL后组合验证

先连接 OCSP验证，当OCSP服务出现异常的时候就使用下载的CRL文件验证证书状态

要想真正的使用组合验证需要将下载方式设置为“OCSP先CRL后组合验证”如下图：

3.1.3.服务监控

这个模块主要是对签名业务和验签名业务数进行实时监控和统计

签名服务监控，如下图：

验证服务监控，如下图：

3.1.

4.权限管理

该模块的功能是更新当前使用的管理员证书，在导入管理员证书前需要先在系统管理-》信任根证书管理模块加入管理员证书的根证书，管理员更新后重新登陆生效，管理员更新页面如下：

3.1.5.业务日志

3.1.5.1. 签名业务日志

在这个模块主要是对签名业务日志进行查询查看、日志归档、查看归档记录，查询结果如下：

时间段查询日志，如下图：

签名证书主题查询结果如下：

客户端IP查询结果如下：

归档策略设置：对签名业务日志数据按设置的策略进行定时的归档

查看归档记录：可以查看签名业务日志的归档记录

3.1.5.2. 验签业务日志

在这个模块主要是对验签名业务日志进行查询查看、日志归档、查看归档记录时间段查询日志，如下图：

签名证书主题查询结果如下：

客户端IP查询结果如下：

归档策略设置：对验签名业务日志数据按设置的策略进行定时的归档

查看归档记录：可以查看验签名业务日志的归档记录

3.1.5.3. 设置业务日志规则

在这个页面我们设置是否启用签名或验签名的业务日志，当选择启用时在做业务的时候会记录相应的日

志，否则不记录日志，默认情况下只记录签名和验签名失败的日志，如下图：

3.2. 数字信封管理

3.2.1.加密管理

该模块主要是进行加密证书的配置，当给对方发送数字信封的时候，在这里需要将对方的公钥证书即

加密证书配置进来，用来对发送的数据进行加密，接收方对接收到的加密信息用该公钥证书对应的私钥进

行解密，加密证书的获取有LDAP下载或手动上传两种方式，也可以对加密证书按照查询条件进行查询3.2.1.1. 颁发机构证书配置

在这个模块主要是配置加密证书的下载方式，首先需要添加颁发机构证书的根证书，然后设置该根证

书颁发的加密证书的下载方式，是LDAP下载，还是不下载证书，默认方式为不下载证书