CA认证系统的设计

摘   要： CA认证是保证网上数据传输和网上身份认证的一种有效手段，PKI/CA认证体系是目前比较流行的一种可靠的安全认证体系。本文给出一种方便有效的网上CA认证中心的搭建方式，重点讨论了CA认证中心证书的发布、认证、管理等问题，给出了一个包含CA认证中心和RA注册中心的完整CA认证系统的设计思想和具体实现方法。
关键词： CA认证； 网络安全； Web平台； PKI
       为保障网上数字信息的传输安全，除了在通信传输中采用更强的加密算法等措施外，必须建立一种信任及信任验证机制，即参加电子商务的各方必须有一个可以被验证的标识，这就是CA（Certificate Authority）认证[1-2]。
     CA认证是保证网上数据传输和网上身份认证的一种有效手段，PKI/CA认证体系是目前比较流行的一种可靠的安全认证体系。CA认证中心是公钥基础设施PKI（Public Key Infrastructure）框架中负责发布和撤销证书的系统，它可以按照一定的信任模型来组织一个有效的信任系统[3，4]。CA认证中心为每个CA用户发放一个数字证书，用来标识用户的身份，从而保证网上交易的安全性和不可抵赖性。
     本系统的主要功能就是发放和管理数字证书，主要提供公钥加密和数字签名服务等功能，CA认证系统是电子商务、电子政务等系统开展的基础，可以方便地为人们提供安全的通信方式，可以保护数据传输的安全性，从而建立一个安全的网上信任环境。
1 CA认证技术
1.1 CA认证
     CA认证的主要任务是受理数字证书的申请、签发数字证书及对数字证书进行管理。CA作为可信任的第三方机构，把用户的密钥和其他的标示信息捆绑在一起，承担公钥体系中公钥的合法性检验的责任。CA 认证中心为每个客户发放数字证书，使第三者不能伪造和篡改证书，并负责产生、分配并管理所有参与网上信息交换各方所需的数字证书，是安全电子信息交换的核心[3]。CA认证中心负责数字证书的申请、签发、制作、废止、认证和管理，提供网上客户身份认证、数字签名、电子公证、安全电子邮件等服务业务。
1.2 数字证书
     数字证书是用来表示网上用户身份真实性的。数字证书就是网上表示用户身份的一系列数据，是由CA颁发的。目前使用较为广泛的数字证书的格式是X.509 v3格式。X.509 v3公钥证书的适用性非常广，采用ASN.1语法进行编码[5]。
1.3 RA
　　RA（Register Authority）是注册审核机构，RA提供了用户与CA之间的接口，主要功能是用来收集用户信息和确认用户身份。一般来说，RA接受用户的注册申请，并确认用户是否符合申请资格，最终决定CA是否给其签发数字证书，RA还负责对发放的证书进行管理。发放的证书一般可以存在IC卡或USB设备中，RA系统是整个CA系统不可缺少的部分。本系统的RA部分就是由基于J2EE的Web平台架构、MVC设计模式实现，并采用Oracle来存储信息。
2 系统功能需求
2.1 系统功能需求模型
　 一个完善的CA认证系统应具备的主要功能如图1所示。
   
       系统具有三种使用角色：用户、RA管理员、CA管理员。下面将对他们进行详细的用例分析。
     (1) 用户的用例图如图2所示。
   
       (2) RA管理员用例图如图3所示。
     (3) CA管理员用例图如图4所示。