格尔-身份认证管理及解决方案
KOAL WP-A04-格尔数字证书认证系统(SZT0901-SYT0901)白皮书
格尔数字证书认证系统产品白皮书上海格尔软件股份有限公司目录1、前言 (3)1.1背景 (3)1.2名词解释 (4)2、产品介绍 (6)2.1产品简介 (6)2.2产品组成 (7)2.2.1格尔证书认证系统 (8)2.2.2格尔用户注册系统 (8)2.2.3格尔密钥管理系统 (9)2.3产品系列 (9)2.3.1企业版 (9)2.3.2大客户版 (10)2.3.3运营中心版 (10)3、产品特性及功能 (11)3.1基本特性 (11)3.2高级特性 (11)3.3兼容与扩展特性 (12)3.4特别特性 (12)4、附录 (13)4.1SZT0901数字证书认证系统证书 (13)4.2SYT0901密钥管理系统证书 (13)4.3SRT0903身份认证系统证书 (14)4.4相关名词解释 (14)4.5PKI简介 (16)1、前言1.1背景随着网络技术的不断发展，各种网络应用在给企业带来便捷高效的同时，也带来了安全管理和安全通讯的问题。
为了解决网络安全问题，近年来，PKI（public key infrastructure）安全体系开始被引入并越来越多地得到应用，其运营管理机构一般又称为CA证书机构。
自1998年至今已有多个不同规模的CA证书机构建成并运行，它们在电子政务和电子商务安全应用中发挥着重要的作用。
目前，我国CA证书机构按照应用环境/范围大体可分为以下四类：区域类、行业类、商业类和内部自用（企业）类。
区域类CA证书机构大多以地方政府为背景、以公司机制来运作，主要为本地行政区域内电子政务业务与电子商务业务发放证书；行业类CA证书机构以部委或行业主管部门为背景，以非公司机制或公司机制运作，在本部委系统或行业内为电子政务业务和电子商务业务发放证书；商业类CA证书机构以公司机制运作，面向全国范围为电子商务业务发放证书；内部自用类CA证书机构，主要是企业事业单位自建的证书机构，为自身内部业务发放证书，不向公众提供证书服务。
格尔电子签章系统白皮书
格尔电子签章系统产品白皮书上海格尔软件股份有限公司12目录1概述 (4)1.1背景 (4)1.2名词解释 (4)2产品概述 (6)3产品组成 (7)3.1标准版 (7)3.2单机版 (7)3.3产品区别 (8)4产品功能 (9)5产品特点 (13)6产品部署 (15)341.1 背景在信息时代的今天，网络技术的发展使信息的传播和交流更加方便和快捷，为了提高办公效率，越来越多的政府机构、公司企业采用电子办公软件平台(比如WPS 、MS Office 等)，通过网络实现公文的传输，享受互联网所带来的快捷与高效。
但是，随之而来的网络入侵和攻击其破坏力之巨大远远超出人们的想象，网络安全问题也越来越受到人们的重视。
数据发送者是谁？数据发送者是不是他人冒充？数据有没有被发送者以外的人所篡改？如何安全可靠、方便直观地解决上述问题成为新形势下电子办公系统所面临的任务。
格尔电子签章系统以先进的数字技术模拟传统实物印章，可以有效方便的解决以上问题，使文档在传输过程中安全可靠，实现防伪造、防篡改、防抵赖功能。
1.2 名词解释电子印章：电子印章通过使用硬软件技术，以电子化的方式模拟物理印章的使用，使用户在电子政务，电子商务等活动中拥有一种符合传统用章习惯的应用体验；同时电子印章又采用了先进的加密，签名，信息隐藏等安全技术，从而是其具有物理印章不可比拟的安全性和可追溯性。
数字签名：被签名数据的哈希值经过私钥加密后的结果。
通过把使用公钥对数字签名解密得到的值与原始数据的哈希值相对照，就能验证数字签名。
数字证书：用于验证需认证者的标识信息与公钥对应关系的一种数字文档。
哈希(Hash) ：通过对原文进行单向哈希函数运算得到的定长字符串，原文不同哈希值就不同，通过哈希值无法还原出原文。
PKI(Public Key Infrastructure) ：公开密钥基础设施。
CRL(Certificate Revocation List) ：黑名单。
格尔签名验证客户端(应用服务器)API_C_ActiveX接口说明
上海格尔软件股份有限公司1格尔签名验证服务器客户端API_C/ActiveX接口说明V1.7上海格尔软件股份有限公司2006年8月上海格尔软件股份有限公司2上海格尔软件股份有限公司3 目录1接口说明 (6)1.1客户端初始化 (6)1.2客户端清理 (6)1.3验证数据签名 (6)1.4验证签名数据和签名证书 (7)1.5验证Attach方式的PKCS7数据签名 (8)1.6验证Attach方式的PKCS7数据签名并获取原文 (9)1.7证书验证 (9)1.8获取证书信息 (10)1.9Attach方式PKCS7数据签名 (11)1.10数据签名（普通签名数据） (11)1.11对文件签名 (12)1.12对文件签名数据验证签名 (13)1.13对文件解密数字信封 (14)1.14Detach方式的PKCS#7签名 (14)1.15验证Detach方式的PKCS#7数据签名 (14)1.16验证签名（实时从LDAP下载证书并验证） (15)1.17验证原文HASH签名 (16)2错误码说明 (17)3消息格式定义 (23)3.1消息格式总体描述 (23)3.2验证数据签名 (24)3.2.1客户端消息请求格式 (24)3.2.2服务器端验证签名成功的返回消息格式 (24)3.2.3服务器端验证签名失败的返回消息格式 (25)3.3验证签名数据和签名证书 (25)上海格尔软件股份有限公司43.3.1客户端消息请求格式 (25)3.3.2服务器端验证签名成功的返回消息格式 (26)3.3.3服务器端验证签名失败的返回消息格式 (27)3.4验证PKCS#7签名数据 (27)3.4.1客户端消息请求格式 (27)3.4.2服务器端验证签名成功的返回消息格式 (28)3.4.3服务器端验证签名失败的返回消息格式 (28)3.5证书验证 (29)3.5.1客户端消息请求的格式 (29)3.5.2服务器端验证成功的返回消息格式 (29)3.5.3服务器端验证失败的返回消息格式 (30)3.6获取证书信息 (30)3.6.1客户端消息请求格式 (30)3.6.2服务器端解析证书成功的返回消息格式 (31)3.6.3服务器端解析证书失败的返回消息格式 (31)3.7数据签名（PKCS#7签名数据） (32)3.7.1客户端消息请求格式 (32)3.7.2服务器端签名成功的返回消息格式 (32)3.7.3服务器端签名失败的返回消息格式 (33)3.8数据签名（普通签名数据） (34)3.8.1客户端消息请求格式 (34)3.8.2服务器端签名成功的返回消息格式 (34)3.8.3服务器端签名失败的返回消息格式 (35)3.9对文件签名 (35)3.9.1客户端消息请求格式 (35)3.9.2服务器端签名成功的返回消息格式 (36)3.9.3服务器端签名失败的返回消息格式 (36)上海格尔软件股份有限公司53.10对文件签名数据验证签名 (37)3.10.1客户端消息请求格式 (37)3.10.2服务器端验证签名成功的返回消息格式 (38)3.10.3服务器端验证签名失败的返回消息格式 (38)3.11对文件解密数字信封 (39)3.11.1客户端消息请求格式 (39)3.11.2服务器端操作成功的返回消息格式 (39)3.11.3服务器端操作失败的返回消息格式 (40)3.12验证签名（实时从LDAP下载证书并验证） (40)3.12.1客户端消息请求格式 (40)3.12.2服务器端操作成功的返回消息格式 (41)3.12.3服务器端操作失败的返回消息格式 (41)3.13Detach方式PKCS7签名 (42)3.13.1客户端消息请求格式 (42)3.13.2服务器端操作成功的返回消息格式 (43)3.13.3服务器端操作失败的返回消息格式 (43)3.14Detach方式PKCS7签名验证 (44)3.14.1客户端消息请求格式 (44)3.14.2服务器端操作成功的返回消息格式 (44)3.14.3服务器端操作失败的返回消息格式 (45)上海格尔软件股份有限公司6注意：输出缓冲区的空间请在接口外部分配，请预留足够的存储空间，建议预留64K字节。
格尔安全认证网关5.2.1使用培训
Power/TX Link/Rx LPT1
LPT2
COM
服务器1
服务器2
服务器3
……….
负载均衡部署
Internet
外部用户
SD
用户证书
负载均衡设备
防火墙
格尔安全认证网关
Print Server Power/TX Link/Rx LPT1 LPT2 COM
Print Server Power/TX Link/Rx LPT1 LPT2 COM
用户映射
• 将证书身份与传统身份信息一一对应起来
– 用户映射表即一张三维表：应用-用户证书-用户名/密码 – 用户映射表是HTTP自动提交/自动认证功能的前提，后者通过
查找用户映射表，获得传统身份信息-用户名/密码，并据此自 动完成认证
• 三维表中的应用项
– 规则与“访问控制”中的URL资源项相同
– 动作：允许或者阻止 – 资源：有URL和IP地址两种类型，URL支持正则表达式，IP地
址支持类似10.1.1.*的表达式 – 角色：根据用户证书的对应项来确定，如CN、序列号等
• 匹配过程：
– 逐条扫描策略，若角色和资源与当前访问匹配，则执行动作， 否则继续扫描；若所有策略都不匹配，则执行动作-阻止
格尔安全认证网关5.2.1 使用培训
内容
• 产品外观 • 部署网关 • 配置网络 • 配置证书 • 配置安全认证服务 • 系统管理 • 故障诊断
产品外观（E型）
产品外观（G型）
内容
• 产品外观 • 部署网关 • 配置网络 • 配置证书 • 配置安全认证服务 • 系统管理 • 故障诊断
部署安全认证网关
__PASSWORD
– 增加一项“自动提交”配置，设置“关键字”，并且通过配 置页面上传POST包
格尔网上银行解决方案探析
上海格尔软件格尔网上银行平安方案目录1 概述 (1)2 网上银行平安需求分析 (2)网上银行的业务平安分析 (2)公共信息发布 (2)网上帐户查询 (6)网上支付和转账 (9)3 格尔网上银行解决方案 (12)高加密位数SSL代理 (12)SSL 介绍 (12)SSL工作流程 (12)SSL代理的工作原理 (14)SSL代理的特性 (16)格尔PKI加密模块 (17)加密模块 (17)格尔PKI加密模块 (17)格尔证书认证系统 (20)证书认证系统 (20)工作流程 (21)4 格尔网上银行解决方案特性分析 (24)附录 (25)参考站点 (25)名词术语 (25)单钥密码体制和公钥密码体制 (25)数字签名和数字信封 (26)数字证书 (26)1 概述从第一家网络银行(Internet Bank)——Security First Network Bank(SFNB)1995年10月在网络上开业至今四年多。
开业后的短短几个月，即有近千万人次上网浏览，给金融界带来极大震撼。
于是更有假设干银行立即紧跟其后在网络上开设银行，随即此风潮逐渐蔓延全世界，网络银行走进了人们的生活。
由于Internet无所不在，客户只要拥有帐号和密码便能在世界各地与Internet联网，处理个人交易。
这不仅方便客户，银行本身也可因此加强与客户的亲和性。
随着金融环境竞争加剧，银行不得不重新审视自身的效劳方式。
在我国，已经有许多商业银行纷纷推出了网上银行效劳。
网上银行系统在蕴藏着无限商机的同时，也带来了风险，对于开设网上银行效劳的提供者来说，当务之急就是要解决平安问题。
为此，上海格尔软件公司在本文中介绍了一种网上银行系统平安方案。
在本文中所指的网上银行，包括了个人银行和企业银行两个概念，个人银行是指通过网络为个人银行业务提供效劳，企业银行那么是指通过网络为企业用户提供效劳。
两者相比，个人银行业务应该具有较简便的操作界面，而企业银行更注重整个环节的平安性。
格尔SSL安全认证网关产品白皮书
格尔ＳＳＬ安全认证网关 产品白皮书 Ｖ２．０ 上海格尔软件股份有限公司 ２００４年１２月 上海格尔软件股份有限公司 １保密事宜： 本文档包含上海格尔软件股份有限公司的专有商业信息和保密信息。
接受方同意维护本文档所提供信息的保密性，承诺不对其进行复制，或向评估小组以外、非直接相关的人员公开此信息。
对于以下三种信息，接受方不向格尔公司承担保密责任： １ ） 接受方在接收该文档前，已经掌握的信息。
２ ） 可以通过与接受方无关的其它渠道公开获得的信息。
３ ） 可以从第三方，以无附加保密要求方式获得的信息。
上海格尔软件股份有限公司 ２目 录 １系统概述．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．３１．１信息传输的安全需求．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．３１．２一般ＳＳＬ连接存在的问题．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．３２系统原理．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５２．１ＳＳＬ简介．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５２．２格尔ＳＳＬ安全代理系统原理．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．５３格尔ＳＳＬ安全认证网关系统结构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．７３．１网络拓朴结构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．７３．２格尔ＳＳＬ安全认证网关系统组成和结构．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．８４格尔ＳＳＬ安全认证网关功能．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１１５第三方产品兼容．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１３５．１第三方ＣＡ兼容．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１３５．２第三方设备厂商兼容．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１３６格尔ＳＳＬ安全认证网关产品特点．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１３７运行环境．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１５８产品相关特性．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１５８．１硬件特性．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１５８．２物理特性．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１５８．３电气特性．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１６８．４工作环境．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．１６上海格尔软件股份有限公司 ３１ 系统概述 １．１ 信息传输的安全需求 随着互联网络的发展，越来越多的网络应用系统从专用或内部网扩展到互联网上。
KOAL-WP-C01-格尔网盾(NDS)白皮书
格尔网盾安全专家(NDS)产 品 白 皮 书上海格尔软件股份有限公司1版权声明：本文件中出现的全部内容，除另有特别注明，版权均属上海格尔软件股份有限公司（以下简称格尔软件）所有，未经格尔软件书面许可，任何人不得以任何形式擅自拷贝、传播、复制、泄露本文件的全部或部分内容。
2目录1概述 (4)1.1背景 (4)1.2名词解释 (4)2产品主要功能特点 (5)2.1文件保险箱 (5)2.2文件加解密 (5)2.3PC保护 (6)2.4文件碎纸机 (7)2.5邮件安全代理 (7)2.6SSL安全代理客户端 (8)3产品特色 (8)4客户端运行环境 (8)341 概述1.1 背景信息时代离不开电脑，企业和个人正在越来越多地使用电脑，同时把重要信息也存放在电脑中，或者通过网络传送。
一旦机密信息因电脑丢失、偷窃、网络窃听而泄密，将给企业或者个人带来巨大的损失。
如何保障电脑的安全？如何保障电子文档的安全？如何保障互联网通信的安全？这些问题正被越来越多的人所重视。
格尔公司的网盾安全专家（NDS ）(以下简称网盾)正是这样一个解决桌面安全的系统，它包括多个模块，提供了从计算机登录保护、安全虚拟磁盘、安全电子邮件到办公软件安全扩展等多方位的解决方案，可满足企业和个人用户不同层面的安全需求。
1.2 名词解释PC ： Personal Computer ，个人计算机。
CA ： Certification Authority ，证书认证中心。
PKI ： Public Key Infrastructure ，公用密钥体系结构，是一个使用由CA 颁发的数字证书对电子交易中的各方提供身份认证的机制。
OA ： Office Automation ，办公自动化。
HTTP ：Hypertext Transfer Protocol ，超文本传输协议。
SSL ： Secure Socket Layer ，是Netscape 公司设计的主要用于web 的安全传输协议。
格尔软件研发管理IPD咨询案例—汉捷咨询
上海格尔软件股份有限公司（以下简称格尔软件，网址：）是中国最早从事信息安全系统和解决方案开发的专业企业之一，成立于1998年3月。
现有员工310人，其中本科以上学历占93%，技术开发人员200人，占65%。
公司拥有商用密码产品生产和销售资质、涉及国家秘密的计算机信息系统集成甲级资质和软件开发单项资质，获公安部、国家保密局、国家密码管理局、解放军和国家信息安全产品测评认证中心等国家部委级产品认证资质30多项。
目前承担了上述单位的国家重点项目和863项目达16项之多。
近年来，信息安全市场发展迅猛，公司一直致力于客户驱动的项目定制开发，技术实力也持续增强。
但同时竞争对手的综合实力也突飞猛进，竞争日益激烈。
为了应对竞争，公司决心针对特定细分市场研发针对性的产品，而基于定制项目开发模式造成的重复开发、技术无法有效共享、缺乏引导客户需求和行业应用的能力等问题，成为公司突破竞争和“转型”的最大瓶颈。
鉴于上述原因，格尔软件高层于2005年初在上海、北京、深圳等城市进行合作伙伴选秀工作。
虽然业界很多企业都在推行CMMI体系，但是始终感觉单一的CMMI体系无法帮助格尔软件从项目定制开发模式“进化”到产品开发模式。
在与汉捷咨询持续沟通的过程中，格尔软件高层认识到基于IPD思想的IPD-CMMI无缝结合的研发管理体系建设是提高格尔软件核心竞争力的有力武器。
格尔软件研发管理咨询项目主要包括：基于IPD思想的新产品开发主流程和支撑流程建设，决策评审及技术评审，跨部门团队；按照CMMI 3级和4级标准分步建设CMMI体系，包括项目管理、需求管理、工程过程以及组织过程改进过程。
1.产品质量的提高直接提升了客户满意度✓以往的项目常常是没有任何评审的，进度太紧的情况下，甚至连测试都是草草带过，带来的结果是整天忙于在客户现场“救火”，似乎项目有解决不完的问题。
而CMMI项目的实施，通过评审、测试等一系列的手段保证了项目的“健壮性”，很多工作一次性完成，避免了个人工作失误而造成项目走弯路。