SafeEnterprise™ 安全管理系统 白皮书

SMC:集成证书服务的安全管理中心
在当今联网的环境下，通信越来越依赖于电子介质，网络是许多任务应用的关键，它是企业组织的虚拟生命线。除非通信介质经过保护，否则电子数据可以很容易地被中途拦截、修改或者替换。 当应用不安全时，用于恢复所需的费用可能会非常昂贵。如果一个企业的数据完整性受到破坏，其结果也许会导致成百万美元的损失和重要客户、关键信息的损失。
维护数据完整性、真实性和私密性的最有效方式是使用带有数字证书的公钥软件保护技术。通过数字证书的应用，公钥体系结构（PKI）能够提供联网环境下交流实体之间建立信任的必要基础。

安全网络管理的建立
SafeNet安全解决方案包括建立一个可信的安全基础结构。每一个SafeNet安全设备，包括安全管理软件SafeEnterprise安全管理中心（SMC），都具备PKI机制。数字证书由SafeNet证书认证中心（CCA）颁发给每一个设备，认证中心安置在一个高度安全的环境中， CCA颁发的证书称为出厂证书 (manufacturing certificates )，用来验证每一个安全设备的真实性。每一个出厂证书包括一个设备的唯一号码，称作设备ID。设备ID来源于每个设备唯一的MAC地址。设备ID、私有的保护密钥和CCA根证书存储在设备的闪存中。
出厂证书的主要目的是使SMC应用或安全设备在安装过程中能合法的应用于客户的网络。当一个安全设备出厂时，也它的数字证书一同生成。在设备到管理员的认证过程中要用到这个证书。SafeEnterprise 安全管理中心能够经网络通过它唯一的数字证书来确认这个设备的真实性。
安全管理中心制造证书也在出厂时发布。证书和相应的私钥由SafeNet的SMC运载。私钥被分割到三个独立的介质上；这三个中的任何两个可以把私钥加载到SMC，安装时会需要它。SMC和安全设备的制造证书提供信任的基础。
在安装过程中，SafeEnterprise 安全管理中心的密码服务创建一个根保护密钥和相应的自己签名的证书用来作为SMC根证书。然后安全管理中心颁发一个证书给自己，称作网络证书，用于与其它SafeNet设备进行通信。
当SafeNet设备被加入到SafeEnterprise安全管理中心受其保护时，它首先必须由SMC进行认证，反之亦然。在认证过程中，设备的制造证书（由来自于SafeNet的介质提供）被加载到SafeEnterprise安全管理中心。SMC用这个证书认证其它的新设备。一旦设备被认证通过，SafeEnterprise安全管理中心给设备颁发一个由SMC签名的网络证书。在网络证书颁发后，制造证书被取代，网络证书成为新的信任基础。在这个阶段，设备可以配置成操作模式，它只信任来自于同一个SMC信任层次的其它设备或管理员的通信。本质上，目前设备已经加密地绑定到管理员。

管理SafeNet第2层安全设备
在SafeNet第2层安全设备（SafeNet frame安全保护服务器，SafeEnterprise ATM 安全保护服务器，SafeEnterprise 链路安全保护服务器）通过证书认证后，SMC配置设备或组设备（称为安全组）。当不能与对等端的设备（全部通过，全部拦截等等）建立安全的连接时，配置参数如可信的对等者和安全策略就存储在设备的NVRAM中。

管理SafeNet第3层（IPSec）安全设备
一旦SafeNet第3层（IPSec）安全设备（HighAssurance 2000 网关）通过证书认证后，就会使用SafeEnterprise安全管理中心来配置安全策略数据库（SPD）。SPD会与设备建立关联，并且在与其它IPSec实体建立安全通信时，用来参考决定使用的IPSsec协议。在HighAssurance 2000网关（HA2000）密钥交换（IKE）的过程中，是基于SPD定义的规则，商定了一个安全关联（SA）。这时，安全关联（SA）存储在本地设备的SA数据库（SADB）中，会在将来的通信中参考应用。

第三方第3层（IPSec）客户端和设备
倘若SafeNet的第3层安全设备（HA2000）使用IPSec标准来进行安全通信，那么其它IPSec设备或软件客户端就可以被集成到SafeEnterprise的网络管理中心信任层次中。SafeNe本身在PC上提供了一个远程访问使用的软件客户端。同样的，用来认证软件客户端的方法可以用来认证任何一个实际上可以使用证书认证的IPSec实体。该实体仅需能够产生一个证书请求，或者在本地（自己产生密钥）产生或者通过代理服务器产生。一旦产生这个请求，它就可以使用SCEP通过在线请求协议，或者是手工使用PKCS＃10/PKCS＃7格式来加载到SMC中。一旦SafeEnterprise安全管理中心的操作员认可了该证书请求，SMC就会产生一个证书并把它传送回请求证书的实体。 SafeEnterprise安全管理中心可以为非HA2000实体创建SA并把它们发布到一个目录（LDAP）以方便检索。

SafeEnterprise安全管理中心和外部的证书认证中心
SafeEnterprise安全管理中心可以当作一个独立的认证中心（CA）。然而，也可能将其它的认证中心合并成一个信任层次。在SMC的安装过程中，这种选择可以将证书认证的职责提交给现有的外部CA。在这个选择下，当仍维护SafeNet 安全设备的管理性能时，SafeEnterprise安全管理中心仅需为自己从外部CA请求一个证书。在这个任务下，SMC用作安全设备的代理，它可以转发认证请求到外部CA，采用SCEP标准或者PKCS＃10/PKCS＃7标准。
配置有内部CA的 SafeEnterprise 安全管理中心，也提供了信任其它CA如SafeNet’的NetAuthority发放的证书的选项。在SMC安装了来自第三方的根证书之后，一旦得到信任，这些证书就会被加到安全管理中心并成为信任层次的一部分。这种选项提供了最大的灵活性，因为最初在不同的信任层次下认证的实体现在可以与SafeEnterprise安全管理中心认证的设备和客户端进行安全的通信。

证书服务的全面解决方案
除了作为网络安全管理者具有价值以外，SafeEnterprise安全管理中心还能够提供其它的好处。最重要的好处是它提供了一个基于证书认证的管理系统，在大的企业级配置中比较易于管理，而且伸缩性好。作为认证第2层和第3层的网络安全设备的认证方法，证书的使用是相似的。安全的网络基础可以包括SafeNet的第2层和第3层设备以及第三方的第3层设备和客户端。
SafeEnterprise安全管理中心，作为一个独立的认证中心，使企业组织能够颁发和管理他们自己的安全设备证书，而不需要每年花费大量的金钱依赖于第三方的CA。如果企业已经建立了一个信任层次，可以很容易的集成SMC。
SafeEnterprise安全管理中心具有高可用性选择以及对远程客户的支持，比较易于管理。详细的审计日志，警报报告和陷阱转发功能，与现有的网络管理套件一起工作得非常协调，它们使在网络安全方面建立安全基础的总体解决方案更加完满。