网上招投标系统数字证书应用

网上招投标系统数字证书应用

福建CA中心概述

福建省数字安全证书管理有限公司（简称福建CA中心），是由福建省经济贸易委员会承建，福建金贸、福建凯特联合出资组建，是国家密码管理委员会办公室及福建省政府批准的福建省内唯一的数字证书发证机构，福建CA中心是“数字福建”的骨干工程，在经过一年的建设后，现已成为我国首家通过国家密码管理委员会技术鉴定的区域性CA中心。

福建CA是一个具有权威性、公正性、唯一性的机构，负责向福建省内从事电子政务、电子商务的各个主体颁发并管理符合国内、国际安全电子交易协议标准的数字安全证书，现经福建省政府办公厅（闽政办（2002）函6号）批准，在全省范围内使用福建省数字安全证书，使用范围为：工商、税务、证券、技术监督、公安、卫生、农业、林业、乡镇企业行业。

福建CA中心的宗旨是为互联网络交易和作业的主体提供信任和安全的服务，保证交易和作业主体身份的真实性、信息保密性和完整性，以及交易的不可抵赖性，实现跨地区跨行业的互认互通，成为资源共享、公正信任的第三方。

福建CA中心主要是为福建省的电子商务、电子政务、网上金融、网上证券、网上办公等提供安全可靠的认证和信任服务，并提供证书管理器、CA安全引擎等各种相关产品和软件。福建CA中心同时还提供电子认证、证书目录查询、数据库安全托管、密钥托管、企事业单位安全办公、政府安全上网及各类安全架构建设、培训等一系列服务和解决方案。

主要技术支持

一、PKI技术

PKI（public key infrastructure）即"公开密钥体系"，是一种遵循既定标准的密钥管理平台。它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，它是利用公钥理论和技术的建立来提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。

PKI的基本组成：

由福建CA、数字证书库、密钥备份、恢复系统、证书作废系统、应用接口（API）等五大系统组成。

PKI的基础技术包括：

加密、数字签名、数据完整性机制、数字信封、双重数字签名等。

二、VPN产品套件

VPN技术为目前较为通用的一种网络安全技术。VPN技术主要是利用密码技术，在公网上为互通信息的结点建立一个相对封闭的虚拟专用网，用于防止来自公网的非法攻击，保证信息传输的安全性。以Internet公网作为传输媒介，通过添加辅助协议后组建的VPN就称之为Internet-VPN，或IP-VPN。IP-VPN具有其它VPN所不能相比的优势，它具有很强的扩展能力和灵活性，支持多种接入方式，包括拨号接入、Cable modem，xDSL以及ISDN等。

IP-VPN技术特点主要如下：

基于IP协议。

采用密码技术、隧道技术和网络访问控制技术。

在公网上为相互通信的局域网或节点间构成一个封闭的、安全的虚网。

保证信息传输的可靠性、机密性、完整性、顺序性。

具有完善的密钥管理功能和审计功能。

安全传输通道的建立与数据加密

SSL (Secure socket Layer)安全套接层协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，主要适用于点对点之间的信息传输，常用Web Server方式。

安全套接层协议（SSL，Security Socket Layer）是网景（Netscape）公司提出的基于WEB应用的安全协议，它包括：服务器认证、客户认证（可选）、SSL 链路上的数据完整性和SSL链路上的数据保密性。对于福建烟草电子商务和资金管理中心系统来说，使用SSL可保证信息的真实性、完整性和保密性。

SSL安全连接建立的过程如下图所示：

福建CA服务器身份证书中包含服务器信息、公钥及CA的签名，在网络通讯中标识证书持有服务器的身份。用于电子商务应用系统中的服务器软件向其他企业和个人提供电子商务应用时使用，服务器软件作为电子商务服务提供者，利用证书机制保证与其他服务器或用户通信的安全性。主要用于网站交易服务器，目的是保证客户和服务器产生与交易支付等信息相关时确保双方身份的真实性、安全性、可信任度等。

根据SSL本身的特性，服务器安装了服务器证书之后，就可以将所提供的服务在服务器端与客户端之间通过SSL进行传输。用户可以自由选择哪些信息需要或不需要使用SSL进行传输。如果使用了客户认证（申请客户证书），还可以获取服务使用者的一些基本信息，并对使用者进行分类和进一步管理。

使用PKI双证书体制、对称密钥与非对称密钥相结合，对文件进行加密、解密的过程如下图所示：

用户身份认证的实现

随着互联网上各种应用的开展，如何安全地进行用户身份认证已经成为每个开发人员和网站应用策划者急需解决的问题。众多的网站登录使用户疲于记忆用户名和口令，往往趋于使用同一用户名和口令，这种做法容易使所有的用户名和口令全盘破解，对系统的安全性产生了严重的威胁。

用户数字证书登录系统很好地解决了以上问题。这种用户身份认证方式使用户一改往日每次登录均需输入用户名和口令的繁琐过程，提供了信息交换过程的安全保障，有效防止他人冒充登录，防止用户抵赖其操作。

用户使用数字证书登录有如下特点：

●先进的密码技术保证登录用户合法性

数字证书技术采用的是PKI体系对称与非对称加密算法的综合应用，在数字证书内存储的密钥长度可高达1024位，并且由于数字证书存储在本身带有加

密算法的USB介质内，更可以保证密钥的安全性。

●登录过程对用户透明

用户无需担心因为数字证书的使用而会造成任何操作上的麻烦。证书的验证、文件的加密传输等过程均由程序自动完成。用户只需要牢记数字证书的保护密码即可。

●用户的合法身份通过数字证书确认

用户的身份信息，如姓名、公司、所属部门等数据全部预先写入数字证书，目前技术无法对数字证书内的数据进行修改。服务器可使用程序将所需要的信息从证书中提取出来，与本地数据进行对比，并赋予使用者不同的使用权限。

●数字签名技术有效防止用户抵赖行为

根据数字签名技术的原理，用户使用数字签名提交数据后，数据提交者的身份就已经确定。虽然目前我国没有相关的数字签名法，但是福建CA可以提供技术上对数字签名可靠性的保证。

●采用加密通信协议，保护系统中的机密信息

所有向服务器提交的信息均使用SSL安全通道传送。这一符合国际标准的安全措施可以充分保证所提交数据的安全性。

目前，数字证书的存储介质主要有软盘、硬盘、IC卡及USB KEY等形式。使用软盘的优点是：价格便宜、便于携带，缺点是：容易损坏且被他人非法拷贝而不易察觉，因此软盘存储证书只适用于只在家中使用电脑的个人用户，使用硬盘存储也只适用于不常更换电脑的个人用户。使用软盘或硬盘存储数字证书还有一个安全问题，即当使用证书时，必须将证书和私钥导入IE中，此时如有人使用用户的电脑，就可以非法使用该用户的数字证书。使用IC卡和USB KEY就可避免上述安全问题的发生，因为用户私钥是在IC卡和USB KEY中产生的，且私钥不可导出，在IE中使用导入的证书时，如果没有IC卡或USB KEY也是无法使用的。但是IC卡和USB KEY相对软盘来说，价格较为昂贵，且IC卡还必须有专用的读写器，使用起来更为烦琐，因此IC卡将逐渐被淘汰，而USB KEY因其小巧美观，安全方便，将逐渐成为数字证书存储的首选设备。

福建省数字安全证书管理有限公司采用的证书介质如下图：

由于福建CA的证书格式采用标准的X.509 V3格式，因此可以很方便的从证书中读取证书拥有者的身份信息。可以预先建立好用户身份以及用户等级识别的数据库，应用时，福建CA将详细说明如何从数字证书中提取系统所需要的相关信息。

通过使用数字证书（存储介质为USB-KEY）登陆并结合身份等级数据库等具体应用系统，就可以实现用户的安全登陆以及用户身份、权限的划分。

关键数据的提交

当用户使用表单方式提交数据时，为了保证表单内容不被篡改，并防止出现抵赖行为，可以对用户提交的表单进行数字签名。

在现实生活中签名的目的归纳起来有以下几个方面：

●验证签名者身份

●表明签名者确认被签名文件的内容

●确保己签名文件的内容不被篡改

●防止签名者的抵赖行为

若要在电子文档上实现签名，可以使用数字签名。RSA公钥体制可实现对数字信息的数字签名，方法如下：信息发送者用其私钥对从所传报文中提取出的特征数据(或称数字指纹)进行RSA算法操作，以保证发信人无法抵赖曾发过该信息(即不可抵赖性)，同时也确保信息报文在传递过程中未被篡改(即完整性)。当信息接收者收到报文后，就可以用发送者的公钥对数字签名进行验收。

在数字签名中有重要作用的数字指纹是通过一类特殊的散列函数(HASH函数)生成的。对这些函数的特殊要求是：接受的输入报文数据没有长度限制；对任何输入报文数据生成固定长度的摘要(数字指纹)输出；从报文能方便地算出摘要；难以对指定的摘要生成一个报文，而由该报文可以算出该指定的摘要；难以生成两个不同的报文具有相同的摘要。

收方在收到信息后按如下步骤验证签名：使用自己的密钥将信息转为明文；

使用发信方的公钥从数字签名部分得到原摘要；收方对所发送的源信息进行hash运算也产生一个摘要；收方比较两个摘要，如果两者相同，则可以证明信息签名者的身份，如果两摘要内容不符，则可能对摘要进行签名所用的私钥不是签名者的私钥，这就表明信息的签名者不可信，也可能收到的信息根本就不是签名者发送的信息，信息在传输过程中己经遭到被坏或篡改。

网上招投标系统使招标方与供应商之间的采购过程更加快捷，反应更迅速。招标方可以吸引更多有潜力的供应商参与竞标，从而可获得更有竞争力的价格和服务。公司可以通过采用这种能安全地接收资料，并验证身分的系统，在网上开展招投标过程中的各项活动。所有与招投标有关的活动都将加密、签名等安全处理，并保留证据。

对于标书上载后的安全保密措施采用多重加密手段。投标方将要上载的标书文件用投标方、招标方和监督方三方的公钥进行加密，然后提交给招标单位，开标时由三方共同开启标书，保证招/投标过程的公正、公平、公开。

评标过程的保密可以采用安全邮件或应用身份认证来保证。

评标过程中，评标委员会对标书中不清楚的问题，可以在网上或以安全邮件的方式询问投标方。

在网上采购系统中结合了安全电子邮件、数字签名、数字信封、身份认证等技术。在招投标中，利用数字证书对邮件进行签名、加密，保证邮件的原始性和保密性，并能确认发件人的身份；招标人利用自己的证书对所发标书签名，保证标书的原始性，利用投标人的证书对标书进行加密，保证只有此投标人才能看到此标书的内容；投标人对应标的标书文件进行签名，再用招标方的证书对签名的文件进行加密，保证标书不能被其他人打开、篡改。对于会员的身份，采取身份认证技术，防止非注册会员进入会员区或执行会员操作。

招投标系统架构如下：

实现：

1、通讯安全：保证客户端与服务器端通讯过程的安全性。

采用SSL通讯协议（HTTPS），安全套接层协议（SSL，Security Socket Layer）是网景（Netscape）公司提出的基于WEB应用的安全协议，数据完整性和数据保密性。SSL与具体的应用系统无关，他可以使浏览器与WEB SERVER （APACHE）之间的某个任意指定的页面数据以加密进行传输，加密强度高达128BITS（对称加密），1024BITS（非对称部分），具有较高的安全强度，是目前国际B/S结构应用系统中通讯层加密的标准。

具体实现：由于目前的浏览器（IE）与WEB SERVER（APACHE）都支持SSL，但他们的启动前提是WEB SERVER必须有服务器证书。因而招投标网站需向福建CA中心为它的WEB SERVER（APACHE）申请服务器证书（软盘介质），只需在APACHE SERVER进行相应的配置即可。

2、用户身份认证：即应用系统用户的用户身份认证。

由于福建CA中心签发的个人或企业证书已有个人或企业相应的信息，可以用证书认证来代替传统的用户名与口令的认证，这样不但解决了登录均需输入用户名和口令的繁琐过程，而且由于证书认证是基于1024BITS非对称算法的认证，具有较高的安全强度。

由于目前的APACHE SERVER目前不支持用户的证书认证，福建CA中心

为招投标网站开发了基于APACHE SERVER FOR LINUX及TOMCAT 的JSP环

境可以使用的JA V ABEAN证书认证组件，JSP可以调用此JA V ABEAN组件的认证方法进行证书认证（证书是否有效，是否由福建CA中心签发等），然后可以取出证书中的个人信息，进行正常的应用系统认证。

3、通讯数据的不可更改性：保证内容不被非业务授权（用户修改，比如操作系

统和数据库管理员）非法修改。

福建CA中心将为招投标网站开发数据签名控件，用户提交数据时，同时调用数据签名的控件，用用户的福建CA中心签发的私钥KEY对数据进行签名，也发送到后台，存数据库，这样任何人由于不具备用户的私钥，他无法修改这签名，而任意修改一点业务数据，将导致其新的签名与用户的签名不一致。

4、关键内容（如价格内容）加密。

价格内容属于通讯数据，但由于是最敏感的数据，要求任何单个个体（除提交者自己）都不能看到，同时又要使开标时方便开标。

为此福建CA中心将为招投标网站开发加密控件。其中的双证书加密及解密方法采用两张证书对关键的数据进行加密，其中一张证书使用招投标网站所在公司的企业证书，另一张证书采用检查机关的证书，这样加密后的数据任何单个个体（包括招投标网站自身）都不能看到此数据，只有在开标时使用这两证书对应的福建CA中心签发的私钥KEY（招投标网站的私钥KEY，与检查机关的私钥KEY），输入KEY的密码，才可以揭开此数据。

同时为方便价格提交者修改此数据，福建CA中心又开发了证书加密及解密的方法，投标者用自己的证书对关键数据（如价格）进行加密，这样任何人除了他自己都不能看到此数据。

即投标者递交数据时，做两次加密操作，一次用双证书加密方法加密关键数据，这个加密数据以后作为开标用，另一次使用单证书加密方法加密数据，这个做为投标者自己修改用（因为只有投标者自己可以解密）。

当然这两种加密方法，福建CA中心都提供对应的解密方法，只不过双证书加密的解密方法需要招投标网站与检查机关的私钥KEY才能解开。而单证书加密的解密方法需要投标者的USB私钥才能解开。

加密数据格式采用数字信封格式，即128BITS加密算法与1024BITS非对称加密算法相结合的方法，具有极高的安全强度。

5、与用户系统的无缝结合

由于最终提交给招投标网站开发人员的是ACTIVEX 控件，及JA V ABEAN 组件，用户只须了解调用控件及组件的方法即可，实现与用户系统的无缝集成。福建CA中心可以根据客户具体系统条件的不同，提供相应的接口程序等，保证数字证书在原有系统上安全方便的运行。

应用于网上招投标系统的福建CA数字安全证书的报价如下：