网关KOAL_WP_B01_格尔安全认证网关[SSL]白皮书模板

WO RD格式整理

格尔安全认证网关- W系列

上海格尔软件股份有限公司联系人 郑广良13311889889

专业技术参考资料

WO RD格式整理

专业技术参考资料

WO RD格式整理

目 录

1 应用安全解决方案的选择. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5

1.1 完整的安全信任体系. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5

1.2 正确合理应用安全体系. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .6

2 产品概述. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7

3 产品特性. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8

3.1 高性能. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8

3.2 高可靠. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8

3.3 高安全. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9

3.4 PKI数字证书的全面支持. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9

3.5 对用户的一致性认证. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9

3.6 SSL协议中双证书的应用专利技术之一. . . . . . . . . . . . . . . . . . . . . . . . . . . . .10

3.7 安全资质. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .10

3.8 其他特性. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .10

4 产品主要功能. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .11

5 产品部署. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .13

5.1 串联部署. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .13

5.2 并联部署. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .14

5.3 双机热备部署. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .15

5.4 应用负载部署. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .18

5.5 自负载均衡部署. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .19

6 产品参数-. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .21

7 选购指南-W系列. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .22

8 客户端运行环境. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .23

9 附录主要案例. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .23

10 附录公司介绍. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .25

公司概述. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .25

技术与产品. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .26

服务支持. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .26

专业技术参考资料

WO RD格式整理

 质量管理. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .26

专业技术参考资料

WO RD格式整理

随着网络的快速发展 网络应用以其高效、便捷的特点得到广泛应用如网上证券、 网上银行、 电子政务、 电子商务、企业远程办公等。越来越多的重要业务在网上办理越来越多的重要信息在网络中传输如何安全方便的访问这些网络资源以及网络数据的安全流转是应用安全面临的重要问题。

针对网络应用的安全解决方案越来越多选择可靠有效的应用安全解决方案应该从以下考虑

1.1完整的安全信任体系

信任是安全的基础在缺乏信任的环境下实现信息系统的安全是不可想象的因此解决网络应用安全的一个核心问题是解决信任问题信任主要体现在以下几方面

 强身份认证。建立信任首先要确认参与者的身份 即身份认证。身份认证是安全保障的第一道门槛也是后续安全措施的依据和基础如果第一道门槛被攻破系统“认错人”则后续的无论多么严密的安全措施基本实效 因此 身份认证机制强度的高低很大程度决定了安全系统的安全级别高低对于一个直接面对互联网如果身份认证机制的强度不够根本无法起到屏障作用无异于将网资源直接开放。 因此 身份认证机制不在于多少 而在于够不够强。基于P KI数字证书的认证是目前被广泛接受的强身份认证机制之一。

 数据秘密性和完整性。 一方面认证机制越强效率越低。在网络应用中并不是每次交互都进行认证 而是根据第一次认证后的凭证来辨认用户 因此在真正用户在线认证通过后 窃取用户的认证凭证 冒充用户访问是一种有效的攻击手段。 因此身份认证过程以及后续传输通讯都需全程保密。 另一方面 网络应用中的重要信息被其他人特别是竞争对手得到造成的损失极大 因此要求信息传输时对信息进行高强度加密保证传输安全性。 总之信息在网络上明文传输被人轻易获取无异于自己打开门把东西拿给别人 系统有再强的其他安全机制有何用呢全

专业技术参考资料

WO RD格式整理

程加密是对数据秘密性及完整性保障的优选方案之一。

 不可抵赖性。不可抵赖是信任的一个关键因素也是一个关键约束是对

结果的认可和保障如果可以事后赖账无法追究责任那么先前所作

的一切都是前功尽弃。现实生活中已经形成一套不可抵赖性的方式方法

而在网络世界中数字签名技术是公认的不可抵赖性实现的最优方案

《电子签名法》的颁布和实施也提供了相应的法律依据。

身份认证可靠性 秘密性和完整性 不可抵赖性用户名/口令 低 无 低

生物特征识别 中高取决于现 无 中高取决于现有

如指纹虹膜 有技术水平 技术水平等

动态口令 高 无 中

P KI数字证书 高 高 高

1.2正确合理应用安全体系

P KI数字证书作为安全基础设施其建设成功的标志并不是数字证书的颁发而是数字证书在上层应用的广泛使用及对上层应用安全的全方位提升。

正确合理的使用安全设施=加强安全错误的使用安全设施=降低安全。

判断数字证书使用的好不好可以从以下几个方面考虑

 P KI数字证书使用是否充分

P KI数字证书最大特点不是提供某项安全措施而是提供全方位的安全支撑因此才被称为安全基础设施可以归纳为身份认证、数据保密性和完整性、不可抵赖性几大类功能仅仅使用某项功能对于P KI数字证书来说有点大材小用也无法实现最好的安全效果。

 P KI数字证书使用是否合理

安全建设是一个整体工程独立的一个安全功能再完善也不可能提升系统的整体安全 因此对P KI数字证书的使用也是要合理的对安全功能进行配合使用实现对系统的整体提升 比如身份认证再强如果没有数据保密性和完整性的全

专业技术参考资料

WO RD格式整理

程保护那么使后续交互的数据被窃取以及身份的冒充成为可能身份认证成为摆设 同样如果后续结果可以抵赖那么前期所有的安全防护都前功尽弃。 P KI数字证书使用是否正确

安全机制的正确使用和实施才能起到预期的安全效果错误的使用可能会导致更大的安全漏洞。以证书认证为例多数用户甚至许多厂商都认为证书认证是指获取用户证书这是非常错误的使用一个公开发布的任何人都可以获取到的用户证书进行认证无疑于没有认证真正的证书认证应该是验证用户私钥。同样证书认证时是否对签名、有效期、信任链、黑名单或者证书状态进行完整的体系验证等等。

 P KI数字证书使用是否方便

P KI数字证书作为安全基础设施是面向上层应用服务的 而当前应用系统千差万别包括应用类型、开发语言、使用协议、操作平台等 因此P KI数字证书应该简单、易用在应用少量改动甚至不改动的情况下享受到P KI数字证书带来的安全提升。

格尔安全认证网关SAG集基于数字证书强身份认证、数据保密性、数据完整性及不可抵赖性功能于一身的P KI安全产品可以为上层应用提供身份认证服务、数据链路加密服务及数字签名验证等全方位的安全服务。

格尔安全认证网关W系列以下简称格尔网关是专为大型互联网应用设计的一款高性能安全产品基于SSL协议为应用提供基于数字证书的高强度身份认证服务、高强度数据链路加密服务可以有效保护网络资源的安全访问。

专业技术参考资料

WO RD格式整理

以上产品外观图仅做参考具体外观及接口以实物为准

3.1高性能

 高效率格尔网关高端产品采用硬件加速最高支持2.5万次/秒的SSL新建连接8核Xeon CPU仅达到2000次/秒可以彻底将应用服务器的CPU资源从繁重的加解密中解放出来起到了对应用加速的作用。 高并发格尔网关采用先进的并发模型最高支持50万以上的SSL并发连接。

 高吞吐 网关通过对网口聚合功能实现多个网口同时工作 最高加密吞吐量可达2Gbps。

 应用缓存支持对应用内容的缓存可以灵活配臵缓存内容和类型加快用户响应速度减小应用压力。

 压缩技术支持HTTP压缩技术减少带宽占用。

3.2高可靠

 服务热备 网关支持双机热备实现服务连续性和无缝切换切换时间

专业技术参考资料

WO RD格式整理

<2秒。

 服务集群 多台格尔网关可以进行集群自负载实现架构动态扩展在可靠性增强的同时也提高了系统的性能和容量。

 应用负载 网关服务可以针对后台多个应用进行负载。

 链路冗余 网关网卡间可以实现冗余支持双链路部署。

 自恢复机制在系统发生异常失去响应情况下可以自行硬件重启动恢复服务。

 完善的监控、报警机制对系统的关键资源和指标进行图形化监控对于异常情况可以进行报警有利于提前发现并解决问题。

3.3高安全

 支持管理员三权分立功能。

 支持扩展国密非对称算法SM1。

 支持扩展国密对称算法SM1。

 支持扩展国密杂凑算法SM3。 .

3.4 PKI数字证书的全面支持

基于对P KI的深刻理解格尔网关具备了对P KI的全面支持包括以下几个方面

 证书单双向的认证选择格尔网关可以配臵建立加密连接时是否认证用户证书。

 多服务 多站点证书支持格尔网关可以建立多个服务保护不同的应用每个服务可以使用不同的站点证书。

 多条证书链支持格尔网关支持多条证书链同时存在、 同时生效 即同一个SSL服务可以同时认证多家CA中心的证书用户。

 动态黑名单支持格尔网关可以自动获取黑名单支持LDAP、 HTTP、手工上传等多种方式更新不需要重新启动服务。

3.5对用户的一致性认证

通常的网关产品只是建立了一个加密连接 与应用完全无关用户通过认证

专业技术参考资料