近年來,，互聯(lián)網(wǎng)技術(shù)進入史無前例的發(fā)展和增長階段,，大量傳統(tǒng)的業(yè)務(wù)系統(tǒng)也逐漸開始采用網(wǎng)絡(luò)化、信息化的處理方式,。這導(dǎo)致越來越多基于網(wǎng)絡(luò)環(huán)境的應(yīng)用系統(tǒng)不斷涌現(xiàn),，系統(tǒng)的復(fù)雜程度和業(yè)務(wù)的特性與多樣化的需求有著直接的關(guān)系。各式各樣的應(yīng)用系統(tǒng)不斷提高了大型企業(yè),、高校,、國家機構(gòu)單位員工辦公的效率，以及各樣的應(yīng)用系統(tǒng)不斷提高了大型企業(yè),、高校,、國家機構(gòu)單位員工辦公的效率，也極大地便利了企業(yè)管理,。然而,，隨著需求的不斷擴大，企業(yè)內(nèi)部相對獨立的系統(tǒng)數(shù)量在不斷增長,，例如,，在高校里常有選課系統(tǒng)、圖書館管理系統(tǒng),、一卡通系統(tǒng),、教務(wù)系統(tǒng)等；在大型企業(yè)里有辦公自動化系統(tǒng)（OA）、ERP系統(tǒng),、績效管理系統(tǒng),、員工管理系統(tǒng)以及CRM系統(tǒng)等。然而,，由于這些系統(tǒng)都是相對獨立部署和獨立使用,，隨著應(yīng)用系統(tǒng)數(shù)量的不斷增加，用戶不得不牢記多套用戶名和口令,。

實踐表明，過多的系統(tǒng)登錄認(rèn)證會導(dǎo)致用戶出錯的可能性不斷增加,。過多的登錄錯誤次數(shù)可能導(dǎo)致非法截獲和破壞,。為了應(yīng)對這些情況，應(yīng)用系統(tǒng)管理員通常會增加更多的安全措施,，提高系統(tǒng)的復(fù)雜性,，但也導(dǎo)致系統(tǒng)的可用性不斷下降。對于用戶而言,，為了盡量減少登錄出錯,，提高工作效率，用戶一般會降低口令的復(fù)雜度,，甚至對所有系統(tǒng)設(shè)置最簡單的口令進行登錄,、甚至多個業(yè)務(wù)系統(tǒng)均采用同樣的口令。這樣反而降低了系統(tǒng)的安全性,，危及到企業(yè)的安全,。

為了解決這些安全現(xiàn)狀，統(tǒng)一身份認(rèn)證與單點登錄技術(shù)被提出并逐漸得到廣泛的認(rèn)可,。下面結(jié)合一個企業(yè)內(nèi)部統(tǒng)一認(rèn)證管理系統(tǒng)實例,，整體了解統(tǒng)一身份認(rèn)證系統(tǒng)的原理和結(jié)構(gòu)。

我們專注于企業(yè)信息化建設(shè)和安全管理多年,，可快速定制開發(fā)企業(yè)需要的多種應(yīng)用系統(tǒng),，如生產(chǎn)管理、物資管理,、車間看板,、車輛管理、合同管理,、流程審批,、一站式辦事大廳等。自研統(tǒng)一身份認(rèn)證系統(tǒng)深入企業(yè)身份信息安全管理,，如有這方面的需求請私信：交流

（一）統(tǒng)一身份認(rèn)證管理與單點登錄技術(shù)

統(tǒng)一身份認(rèn)證管理的原則是將多個應(yīng)用系統(tǒng)的用戶身份管理與該應(yīng)用系統(tǒng)的業(yè)務(wù)剝離開來,。多個應(yīng)用系統(tǒng)的身份管理統(tǒng)一到身份認(rèn)證管理平臺，由該平臺負(fù)責(zé)用戶的身份管理、用戶權(quán)限管理以及用戶登錄,。這就是所謂的統(tǒng)一身份認(rèn)證管理平臺,。當(dāng)用戶需要訪問應(yīng)用系統(tǒng)時，可以首先登錄到統(tǒng)一身份認(rèn)證管理平臺,，由統(tǒng)一身份管理平臺頒發(fā)訪問的票據(jù)給目標(biāo)應(yīng)用系統(tǒng),。用戶只需在通過統(tǒng)一身份認(rèn)證平臺后，由身份管理平臺負(fù)責(zé)與應(yīng)用系統(tǒng)進行認(rèn)證交互,。在應(yīng)用層面上,，用戶一次登錄便可無縫訪問多個應(yīng)用系統(tǒng)，大大降低了用戶操作的復(fù)雜度,，其優(yōu)越性不言而喻,。

圖8是一個典型的采用統(tǒng)一身份管理與認(rèn)證的分布式訪問網(wǎng)絡(luò)結(jié)構(gòu)，應(yīng)用系統(tǒng)1到應(yīng)用系統(tǒng)n是相互獨立的應(yīng)用服務(wù)系統(tǒng),。所有應(yīng)用系統(tǒng)前置統(tǒng)一認(rèn)證平臺,，認(rèn)證平臺包括了集中化的身份管理,、集中身份認(rèn)證、集中訪問授權(quán)和集中化審計管理。集中身份管理的好處在于可以實現(xiàn)對用戶在系統(tǒng)中的生命周期的統(tǒng)一管理,，同時也可以建立與其他應(yīng)用系統(tǒng)的同步機制,，管理員可以做到“一次修改,，全部生效”的能力,。同樣地，采用集中化身份管理方式幫助用戶擺脫了記憶多個用戶名/口令的痛苦,，降低用戶操作的復(fù)雜性,。另外，統(tǒng)一身份管理平臺有利于管理員實現(xiàn)集中化的訪問授權(quán)管理,，也可以做到“一次授權(quán),，隨處可用”的目的。

圖8 統(tǒng)一身份認(rèn)證和單點登錄模型

在統(tǒng)一身份管理的基礎(chǔ)上,，用戶可以通過登錄到統(tǒng)一身份認(rèn)證平臺,，由統(tǒng)一身份認(rèn)證平臺向應(yīng)用系統(tǒng)頒發(fā)訪問票據(jù)，從而達到用戶一次登錄,、隨處無縫訪問的效果,，當(dāng)然前提條件是應(yīng)用系統(tǒng)對認(rèn)證管理系統(tǒng)的完全信任。這種方式被稱為單點登錄（SSO, Single Sign-On）,。單點登錄技術(shù)擁有諸多的優(yōu)點,，首先，它大大地提高了用戶的工作效率,，用戶無需再記憶大量的用戶名和口令,；其次,，SSO提供了系統(tǒng)的安全性，簡化了系統(tǒng)管理員的工作,。用戶的認(rèn)證信息統(tǒng)一在認(rèn)證平臺中保存,，方便管理員實現(xiàn)集中授權(quán)、身份集中管理,。最后,，SSO提供了一套相對完整的身份認(rèn)證框架，可擴展性強,，能夠使系統(tǒng)在研發(fā)過程中提高效率,，同時也保證了系統(tǒng)的安全性能。

目前,，基于這種統(tǒng)一身份管理的單點登錄技術(shù)大致可以分為以下幾個類型,。

（1）第一種是如本章描述的Kerberos認(rèn)證協(xié)議機制，Kerberos系統(tǒng)以KDC為信任中心實現(xiàn)對多個服務(wù)器的訪問,。用戶先通過Kerberos AS服務(wù)的驗證后獲取到TGS服務(wù)器的票據(jù),，在訪問應(yīng)用服務(wù)器時,，用戶無需再次登錄,，僅需攜帶TGT訪問TGS服務(wù)器以獲取訪問目標(biāo)服務(wù)器的Ticket。服務(wù)器通過驗證票據(jù)以確定客戶的合法身份,。Kerberos的特點是典型的集中式身份管理方式,，并且是由客戶主動發(fā)起票據(jù)請求后才可訪問應(yīng)用服務(wù)器。而應(yīng)用服務(wù)器無需和認(rèn)證中心進行確認(rèn),。

（2）第二種類型是基于Web服務(wù)的單點登錄技術(shù),，如微軟的Pass Port。這種單點登錄技術(shù)的特點是采用Web技術(shù)的特點,。用戶向某個應(yīng)用服務(wù)器發(fā)送訪問請求時,，運行在該運行服務(wù)器上的訪問控制請求檢查到用戶沒有登錄則將用戶重定向到統(tǒng)一身份認(rèn)證平臺，用戶通過身份認(rèn)證后,，認(rèn)證服務(wù)器將生成Cookie（包含了用戶身份驗證標(biāo)識）,，并發(fā)送票據(jù)TGT（包含用戶唯一標(biāo)識符PUID和時間戳）。用戶瀏覽器攜帶Cookie和TGT訪問應(yīng)用服務(wù)器,，如果應(yīng)用服務(wù)器可以成功解密cookie并核對身份則認(rèn)為該用戶是合法用戶,，從而訪問成功。

（3）聯(lián)盟方式,，Liberty Aliance 自由聯(lián)盟由近30個組織于2001年11月創(chuàng)立,，Libtery Aliance 建立了一種開放的、標(biāo)準(zhǔn)的,、易于實現(xiàn)的統(tǒng)一身份管理方法,。Liberty Aliance 是一種完全針對開放式網(wǎng)絡(luò),、跨域的分布式統(tǒng)一認(rèn)證方法，用戶只需要使用在任何域的任何設(shè)備登錄并通過聯(lián)盟的身份驗證之后,，就可以訪問多個Web站點,，無需重復(fù)認(rèn)證。當(dāng)用戶向某聯(lián)盟站點訪問時,，若檢測到?jīng)]有登錄,，Web 站點將用戶重定向到本地的聯(lián)盟服務(wù)器上，如果本地服務(wù)器發(fā)現(xiàn)該用戶不存在則會將用戶定向到用戶所在域的聯(lián)盟服務(wù)器上,。聯(lián)盟認(rèn)證服務(wù)器在驗證了用戶的身份后將生成一個SAML斷言返回給用戶,。用戶將SAML斷言交給本地認(rèn)證服務(wù)器，之后本地服務(wù)器將為本次訪問創(chuàng)建Cookie,，并將用戶重定向到訪問站點上,。

目前，統(tǒng)一身份認(rèn)證平臺得到了廣泛的應(yīng)用,，比較著名的有Microsoft 的.Net Passport,，基于J2EE體系結(jié)構(gòu)的Pubcooie、Web Auth,、JOSSO（JAVA Open Single Sign-On）等,。市場上商用的統(tǒng)一身份認(rèn)證平臺比比皆是。但是總的來說,，統(tǒng)一身份認(rèn)證平臺的基本原理和結(jié)構(gòu)相對比較類似,，而具體選擇什么樣的身份管理方式和認(rèn)證方法則依賴于真實的環(huán)境需求。

（二）UNIT認(rèn)證系統(tǒng)的基本結(jié)構(gòu)

圖9是UNIT認(rèn)證系統(tǒng)的整體結(jié)構(gòu),，UNIT認(rèn)證系統(tǒng)為大型企業(yè)內(nèi)部的多個應(yīng)用系統(tǒng)提供統(tǒng)一身份管理和單點登錄服務(wù),。UNIT采用PKI基礎(chǔ)設(shè)施為基礎(chǔ)，建立以數(shù)字證書為信任基礎(chǔ)的身份管理體系,，融合集中授權(quán),、集中審計等功能，從而實現(xiàn)對內(nèi)部系統(tǒng)用戶的全面管控,。當(dāng)然,，鑒于UNIT的架構(gòu)特性，也可以提供外域認(rèn)證的服務(wù),。

圖9 統(tǒng)一身份認(rèn)證平臺結(jié)構(gòu)

（1）統(tǒng)一用戶管理,。在統(tǒng)一身份認(rèn)證系統(tǒng)中，核心數(shù)據(jù)是用戶的身份數(shù)據(jù),，是實現(xiàn)認(rèn)證管理和訪問控制的基礎(chǔ),。由于企業(yè)內(nèi)部的應(yīng)用子系統(tǒng)相對獨立，并且安全要求和實現(xiàn)架構(gòu)各有不同,，為了滿足松散性,、易兼容,、易擴展的要求，UNIT 系統(tǒng)采用主賬戶—多子賬戶的身份映射特點,，用戶可以將自己在每個應(yīng)用系統(tǒng)中的子賬號映射到統(tǒng)一身份認(rèn)證平臺的主賬號上,，由主賬號代理登錄應(yīng)用系統(tǒng)（如圖10所示），這種映射方式十分有利于現(xiàn)有系統(tǒng)的改造和新的應(yīng)用系統(tǒng)快速接入,。在UNIT系統(tǒng)中,，每個用戶都有一張唯一標(biāo)識的數(shù)字證書與之對應(yīng)，為用戶在登錄時提供雙向的身份認(rèn)證服務(wù),。為了存儲這種映射關(guān)系方式,，也便于在單點登錄時實現(xiàn)快速查詢，UNIT采用LDAP（Lightweight Directory Access Protocol）目錄服務(wù)存儲用戶信息,。LDAP目錄以樹狀的層次結(jié)構(gòu)來存儲數(shù)據(jù),，非常符合企業(yè)系統(tǒng)的結(jié)構(gòu)。通過LDAP的映射關(guān)系,，用戶即可實現(xiàn)一次登錄,、多次有效的功能，同時也依靠LDAP實現(xiàn)對應(yīng)用系統(tǒng)的訪問權(quán)限控制和用戶生命周期維護管理功能,。

圖10 賬戶映射關(guān)系

（2）統(tǒng)一證書管理,。采用數(shù)字證書作為用戶認(rèn)證方式的統(tǒng)一身份管理系統(tǒng)集成證書管理服務(wù)，包括用戶證書的申請,、審批,、核發(fā),、更新,、吊銷等生命周期。系統(tǒng)也可以不直接實現(xiàn)這一系列功能,，并有第三方CA機構(gòu)復(fù)雜辦法和管理證書,。為了安全的保存用戶證書，用戶手中一般都配備USB Key,。另外,，對于機密性要求高的環(huán)境，可以采用SSL建立專用秘密傳輸通道以提高平臺的安全性,。

（3）統(tǒng)一管理認(rèn)證,。實現(xiàn)多業(yè)務(wù)系統(tǒng)的統(tǒng)一認(rèn)證，為企業(yè)提供單點登錄服務(wù),，用戶只需要登錄一次就可以訪問所有相互信任的應(yīng)用系統(tǒng),。由于單點登錄涉及到對很多訪問權(quán)限的授權(quán)，因此,，保證單點認(rèn)證過程的安全是非常重要的一點,。確保做到這點的一個方法是用數(shù)字證書來代替靜態(tài)的用戶名密碼對,。數(shù)字證書為每次登錄生成不同的一次性使用的密碼，并且將生成的密碼安全地在網(wǎng)絡(luò)上傳輸,，這使攻擊者實際不可能發(fā)現(xiàn)可使用的密碼,。基于證書的認(rèn)證還防止繞過系統(tǒng)直接登錄到次級系統(tǒng)的企圖,，用戶名密碼對也被加密以防止監(jiān)測攻擊,。系統(tǒng)還可以支持兩重或三重認(rèn)證，將密碼,、證書,、生物特征認(rèn)證工具組合在一起使用。

（4）統(tǒng)一授權(quán)管理,。根據(jù)企業(yè)安全策略,，采用基于角色的訪問控制技術(shù)，實現(xiàn)支持多應(yīng)用系統(tǒng)的集中,、靈活的訪問控制和授權(quán)管理功能,，提高管理效率。

（三）UNIT認(rèn)證系統(tǒng)的身份認(rèn)證

統(tǒng)一身份認(rèn)證平臺是企業(yè)內(nèi)部系統(tǒng)安全登錄的基礎(chǔ),，只有安全的認(rèn)證機制才可以保證企業(yè)大門不被非法人員進入,。圖11給出了UNIT認(rèn)證系統(tǒng)中一個用戶訪問應(yīng)用系統(tǒng)的示意，用戶首先必須通過統(tǒng)一身份認(rèn)證平臺的身份認(rèn)證才可獲得訪問令牌從而無縫訪問多個應(yīng)用系統(tǒng),。

圖11 統(tǒng)一身份認(rèn)證平臺的登錄與身份認(rèn)證

為了提供便利的多樣化身份認(rèn)證方式,，統(tǒng)一身份認(rèn)證平臺一般支持多種常用的身份認(rèn)證方法，包括用戶名/口令,、數(shù)字證書,、Windows域認(rèn)證、通行碼,，當(dāng)然,，認(rèn)證的方式不僅僅局限于這幾種，也可以根據(jù)用戶的具體需求對認(rèn)證方式進行擴展,。UNIT 身份認(rèn)證系統(tǒng)采用多因子認(rèn)證技術(shù)保障用戶的安全登錄,。如圖12所示，UNIT采用靜態(tài)口令,、智能卡,、生物識別的多因子強認(rèn)證技術(shù)實現(xiàn)身份認(rèn)證。

圖12 強身份認(rèn)證方式

（1）用戶名/口令認(rèn)證

用戶名/口令的方式認(rèn)證用戶身份是目前最普遍的認(rèn)證方式,，靜態(tài)口令雖然是弱類型的身份認(rèn)證,，但是有技術(shù)結(jié)構(gòu)簡單、成本低的缺點,，可以用于安全性相對需求不高的資源訪問,。例如,，在查看個人信息時可以要求用戶輸入口令。

（2）智能卡認(rèn)證

UNIT 采用了數(shù)字證書作為身份信賴,，用戶不但可以通過數(shù)字證書完成身份認(rèn)證,，還可以進一步進行安全加密，數(shù)字簽名等操作,。在本系統(tǒng)中,，采用智能卡作為存儲介質(zhì)，可以安全存儲用戶的證書,，在登錄時可要求驗證用戶的數(shù)字證書,，從而實現(xiàn)強身份認(rèn)證。例如,，用戶在進行單點登錄時可以使用智能卡作為認(rèn)證的前置條件,。在涉及企業(yè)交易業(yè)務(wù)時，可采用數(shù)字證書進行簽名,、驗簽,。

（3）生物識別

為增強認(rèn)證的安全性，UNIT 也采用了生物識別技術(shù),，如指紋識別,，目的是進一步加強對用戶的認(rèn)證。

（四）UNIT系統(tǒng)的單點登錄

單點登錄訪問的實現(xiàn)方式有多種,，一般可以分為軟件代理登錄和硬件網(wǎng)關(guān)級登錄2種,。軟件代理登錄的方式是指采用插入式軟件模塊自動為用戶實現(xiàn)登錄，如 Web 攔截器（Intercepting Web Agent）,，Web攔截器是一種基于過濾技術(shù)（Filter）的應(yīng)用防火墻,。使用Web攔截器在請求到達之前攔截請求，并在應(yīng)用外部提供認(rèn)證和授權(quán),。如圖13（a）所示,，Web攔截器可以安裝在Web服務(wù)器中,，通過在Web服務(wù)器上攔截入站請求和執(zhí)行訪問控制策略對入站請求進行認(rèn)證和授權(quán),。

硬件網(wǎng)關(guān)及單點登錄采用前置硬件網(wǎng)關(guān)系統(tǒng)，從網(wǎng)絡(luò)上攔截和驗證用戶身份,，如圖13 （b）所示,。安全服務(wù)代理攔截來自客戶端的所有請求，確定請求服務(wù),，然后執(zhí)行服務(wù)要求的安全策略,，并將請求從入站協(xié)議轉(zhuǎn)換為目標(biāo)服務(wù)要求的協(xié)議，最后將請求轉(zhuǎn)發(fā)給目標(biāo)服務(wù),。在返回路徑上,，安全服務(wù)代理將結(jié)果從服務(wù)使用的協(xié)議和格式轉(zhuǎn)換為客戶要求的協(xié)議和格式,。它也可以保留客戶會話中首次請求創(chuàng)建的安全上下文，供以后的請求使用,。

圖13 單點登錄的2種方式

在UNIT系統(tǒng)中采用Web攔截的方式實現(xiàn)單點登錄,，采用這種方式可以降低部署成本，簡化網(wǎng)絡(luò)的部署復(fù)雜度,。在UNIT系統(tǒng)中,，登錄過程如圖14所示。

當(dāng)用戶訪問應(yīng)用系統(tǒng)時,，假設(shè)其之前沒有登錄過,，則系統(tǒng)將進行如下的身份認(rèn)證流程。

圖14 單點登錄認(rèn)證過程

（1）用戶訪問目標(biāo)應(yīng)用系統(tǒng),，Web攔截器將截獲用戶的訪問請求,，首先，攔截器檢查被請求的URL是否在無需保護的列表中,。如果是則請求被攔截器放行,，攔截器不再進行用戶身份驗證流程，用戶訪問正常,。

（2）如果請求的資源需要身份認(rèn)證和保護,，則Web攔截器將檢查請求中是否包含有效的Cookie,若存在 Cookie，攔截器通過與統(tǒng)一認(rèn)證服務(wù)器建立的 SSL 通道向認(rèn)證服務(wù)器驗證Cookie是否有效,。如果請求有效,，則攔截器通過用戶的訪問請求。

（3）如果請求中沒有攜帶Cookie 或者Cookie 存在但無效,，攔截器則將用戶的請求重定向到認(rèn)證服務(wù)器的登錄界面,，要求用戶按照系統(tǒng)要求進行常規(guī)登錄和身份驗證。

（4）認(rèn)證服務(wù)器驗證用戶的登錄請求,，確認(rèn)其合法后,，將為用戶生成一個訪問票據(jù)，該票據(jù)存放在用戶的Cookie中,。瀏覽器將保存Cookie值,。用戶的請求同時被重定向到開始請求的資源地址。

（5）用戶攜帶有效的Cookie 向應(yīng)用系統(tǒng)發(fā)起訪問請求,，此時攔截器重復(fù)第（2）個步驟,，確定用戶的身份后放行訪問請求。

當(dāng)用戶在第一次登錄后,，Cookie被保留在本地一段時間,，因此在有效期內(nèi)，用戶訪問該企業(yè)的其他應(yīng)用系統(tǒng)時，只需提交有效的Cookie值給Web攔截器進行驗證,，無需再次登錄即可直接訪問資源,。

在這個過程中，用戶,、應(yīng)用系統(tǒng)與應(yīng)用服務(wù)器之間采用SSL進行通信,，使敵手截獲和竊取有效信息的可能性十分小。一旦用戶通過系統(tǒng)的驗證后,，可以獲得包含票據(jù),、用戶信息以及與用戶訪問環(huán)境相關(guān)參數(shù)的有效Cookie。這個Cookie 數(shù)據(jù)是在SSL通道中傳遞的,，因此,， Cookie 被截獲的可能性十分低。由于Cookie內(nèi)容也是被加密的,，敵手截獲Cookie也無法與應(yīng)用服務(wù)器建立安全訪問通道,。因此，整個身份認(rèn)證過程是可靠安全的,。

九,、數(shù)字證書應(yīng)用案例

在傳統(tǒng)的企業(yè)自有的網(wǎng)絡(luò)中，企業(yè)中的各個分支機構(gòu)及其客戶是通過專用的線路連接的,，即企業(yè)的員工之間,、企業(yè)與其客戶之間使用專門的網(wǎng)絡(luò)設(shè)備相互連接在一起。隨著Internet的應(yīng)用以及電子商務(wù)的不斷發(fā)展,，企業(yè)員工移動辦公的現(xiàn)象越來越普遍,，企業(yè)的業(yè)務(wù)分支機構(gòu)及其客戶的分布越來越廣泛。傳統(tǒng)的網(wǎng)絡(luò)連接的方式越來越無法適應(yīng)此種商務(wù)模式,。因此,，越來越多的企業(yè)使用基于Internet的辦公系統(tǒng)，如圖15所示,。

圖15 基于Internet的企業(yè)辦公網(wǎng)絡(luò)

在此環(huán)境下,，企業(yè)面臨著多種威脅，如企業(yè)的員工通過Internet下載或上傳企業(yè)敏感的信息,，信息未經(jīng)過加密,，被別人竊聽；如入侵者試圖不經(jīng)過授權(quán)來訪問企業(yè)的敏感的信息,；如病毒,、間諜軟件等不健康的軟件試圖侵入企業(yè)內(nèi)部的主機，這些侵入可能是通過一個被信任用戶的一些日常的通信行為,，如打開一個E-mail的附件或者下載一個文件。

面對這些威脅，企業(yè)需要建立全面的網(wǎng)絡(luò)安全管理體系,，具體包括：

（1）企業(yè)需制定網(wǎng)絡(luò)的使用者及其訪問的信息資源的安全方針,，即這個用戶或者組用戶可以對哪些信息資源進行讀、寫,、執(zhí)行的操作,；

（2）企業(yè)需制定網(wǎng)絡(luò)的使用者所傳輸?shù)男畔⒌陌踩结槪茨男┬畔⑿枰用?、哪些信息需要防篡改,、哪些信息需要防止被否認(rèn)；

（3）企業(yè)需制定主機的安全方針,，即在主機上安裝哪些操作系統(tǒng),、入侵檢測系統(tǒng)、反病毒系統(tǒng),、應(yīng)用系統(tǒng),、數(shù)據(jù)庫系統(tǒng)等；

（4）企業(yè)還需制定審計的方針,，即定期審計網(wǎng)絡(luò)的使用者及所訪問的資源的審計記錄,、主機的審計記錄以及應(yīng)用系統(tǒng)的使用審計記錄等，以便審計和跟蹤安全事件的發(fā)生,、運行及結(jié)果,。

由此可見，不可否認(rèn)的強認(rèn)證系統(tǒng)和對信息的保護是滿足以上需求的基本條件,，使用基于智能密碼鑰匙的數(shù)字證書認(rèn)證系統(tǒng)可以實現(xiàn)用戶登錄安全認(rèn)證,、傳輸數(shù)據(jù)的機密性保護、完整性檢查和抗抵賴性,。某保險公司的安全辦公系統(tǒng)充分尊重所面臨的這些風(fēng)險,，采用PKI技術(shù)作為保障公司信息安全的方案，并采用某型智能密碼鑰匙作為保存和應(yīng)用RSA密鑰對和證書的基礎(chǔ)設(shè)備,。在安全辦公系統(tǒng)中,，智能密碼鑰匙用于Windows域登錄、支持SSL VPN客戶端,、支持Office Word文檔簽章系統(tǒng),。

某保險公司的安全辦公系統(tǒng)由公文辦公系統(tǒng)、證書認(rèn)證系統(tǒng),、VPN服務(wù)器,、VPN客戶端、智能密碼鑰匙（含PKI支撐工具包）組成,。公司總部及各分支機構(gòu)的員工每人持有一把智能密碼鑰匙,，其中保存著本人的X.509數(shù)字證書及其相關(guān)聯(lián)的私鑰,。私鑰被物理保護在智能密碼鑰匙中，不能夠被他人竊取和修改,。員工使用智能密碼鑰匙通過SSL VPN客戶端登錄安全辦公系統(tǒng),、安全認(rèn)證系統(tǒng)驗證員工的簽名來確認(rèn)員工的身份，并在員工之間建立起安全的數(shù)據(jù)傳輸通道,，以確保所傳輸數(shù)據(jù)的機密性和完整性,，使處理公文、報表等日常的工作能夠在安全的環(huán)境下進行,，企業(yè)的敏感信息得到了很好的保護,。

發(fā)布公文時，發(fā)布者使用所持有的智能密碼鑰匙對公文簽名,，并將簽名隱藏在簽章圖片中,，驗證者取得持有者的證書，就可以驗證此簽名了,。由于簽名是利用發(fā)布者持有的私鑰對公文的摘要加密的結(jié)果,，而發(fā)布者是該私鑰的唯一持有者，所以不能夠否認(rèn)他對公文的任何改動,。另外,，通過驗證公文的摘要可判斷公文是否完整。

下載公文時,，服務(wù)器得到下載者的證書,，使用證書中的公鑰將加密了公文的密鑰加密，并發(fā)送給下載者,。由于下載者是對應(yīng)私鑰的唯一持有者,，只有下載者能夠解密并得到這個用來加密公文的密鑰，從而解密得到公文的明文,。同樣地,，上傳公文時，先得到服務(wù)器的證書,，用證書中的公鑰將加密了公文的密鑰加密,，并發(fā)送給服務(wù)器。由于服務(wù)器是對應(yīng)私鑰的唯一的持有者,，只有持有者能夠解密并得到這個用來加密公文的密鑰,，從而可以解密公文。

登錄辦公系統(tǒng)時,，用戶利用所持有的智能密碼鑰匙對辦公系統(tǒng)所產(chǎn)生的隨機數(shù)簽名,，辦公系統(tǒng)得到這個簽名和持有者的證書后，如果驗證簽名和證書都合法,，由于持有者是私鑰的唯一占有者,，就能夠確認(rèn)持有者的身份信息,，并為其授權(quán)。

數(shù)字證書以及智能密碼鑰匙的應(yīng)用,，是保障信息安全和訪問控制的基礎(chǔ),，為安全辦公系統(tǒng)成功地運轉(zhuǎn)提供堅固的支撐,，使辦公系統(tǒng)具備良好的安全性,，有效地保護了公司的信息資源。