下载文档原格式
电子证书认证系统GFA CA 3.0技术白皮书White Paper公司：北京国富安电子商务安全认证有限公司GFA E-commerce Security CA CO.,Ltd.地址：中国北京经济技术开发区荣华中路11号本白皮书的内容是北京国富安电子商务安全认证有限公司关于电子证书认证系统的技术说明书。
本材料的相关权力归北京国富安电子商务安全认证有限公司所有，白皮书中的任何部分未经本公司事先书面同意，不得增删、改编、转印、影印、复印及传播。
如欲获取最新相关信息，请访问本公司网站，您的意见和建议请发送到本公司邮箱。
国富安网站：电子邮箱：gfasupport@All rights reserved.2目录1产品简介 (5)2产品结构 (6)3工作原理 (8)3.1证书签发系统设计 (8)3.2证书注册系统设计 (9)3.3密钥管理系统设计 (13)3.4证书在系统间的安全传输 (15)3.5技术标准 (16)4系统流程设计 (18)4.1系统初始化流程 (18)4.2系统角色的建立 (19)4.3系统工作流程介绍 (20)4.4证书管理工作流程 (21)4.4.1证书申请与审核 (21)4.4.2签发下载 (22)4.4.3证书更新 (23)4.4.4证书注销流程 (24)4.5密钥管理工作流程 (24)4.5.1密钥生成流程 (25)4.5.2密钥分发流程 (25)4.5.3密钥更新流程 (26)4.5.4密钥注销流程 (27)4.5.5密钥恢复流程 (28)5产品功能设计 (30)5.1认证中心（CA Server） (30)5.1.1证书管理 (30)5.1.2模板管理 (31)5.1.3权限管理 (32)35.1.4机构管理 (33)5.1.5证书归档和证书统计 (33)5.2注册中心（RA Server） (34)5.2.1证书管理 (34)5.2.2用户管理 (35)5.2.3DN规则管理 (35)5.2.4模板管理 (35)5.3密钥管理中心（KM Server） (35)5.3.1密钥管理 (36)5.3.2机构管理 (36)5.3.3权限管理 (37)5.3.4密钥恢复和司法取证 (38)6产品主要技术特点 (40)7系统配置要求 (43)7.1硬件环境 (43)7.2软件环境 (43)7.3技术指标 (43)8产品部署方式 (44)41产品简介国富安数字证书认证系统（简称GFA CA系统）是对生命周期内的数字证书进行申请、审核、签发、注销、更新、查询的综合管理系统。
甘肃广电网络阿里飞天云平台甘肃广电网络阿里飞天云平台是甘肃省广播电视网络股份有限公司与阿里巴巴合作共建的大型云计算服务平台，采用阿里飞天云3.0架构搭建，一期共部署物理服务器578台，能够提供约6912台单核虚拟服务能力，是目前省内已建成最大云计算中心；能够提供8款核心云计算产品，分别为：云服务器（ECS）、云数据库（RDS）、开发存储（OSS）、负载均衡（SLB）、开发数据处理（ODPS）、云盾、云监控等。
甘肃广电网络阿里飞天云平台系统构架1、产品介绍1)云服务器（Elastic Compute Service 简称ECS）云服务器是一种简单高效，处理能力可弹性伸缩的计算服务助您快速构建更稳定、安全的应用。
提升运维效率，降低IT成本，使您更专注于核心业务创新。
产品优势：➢稳定云盘数据可靠性不低于99.999%自动宕机迁移、数据备份和回滚系统性能报警➢安全防DDoS系统、安全组规则保护多用户隔离防密码破解➢弹性10分钟内可启动或释放百台云服务器5分钟内停机升级CPU和内存在线不停机升级带宽➢高性能随机IOPS 1.2万、300MB/s本地SSD盘性能多线BGP骨干网络接入高性价比，节约成本产品功能：➢完全管理权限对云服务器的操作系统有完全控制权，用户可以通过连接管理终端自助解决系统问题，进行各项操作。
➢快照备份与恢复对云服务器的磁盘数据生成快照，用户可使用快照回滚、恢复以往磁盘数据，加强数据安全。
➢自定义镜像对已安装应用软件包的云服务器，支持自定义镜像、数据盘快照批量创建服务器，简化用户管理部署。
➢API接口使用ECS API调用管理，通过安全组功能对一台或多台云服务器进行访问设置，使开发使用更加方便2)负载均衡SLB（Server Load Balancer，简称SLB）负载均衡是对多台云服务器进行流量分发的负载均衡服务。
SLB 可以通过流量分发扩展应用系统对外的服务能力，通过消除单点故障提升应用系统的可用性产品优势：➢高可用冗余设计，无单点，可用性达99.99%根据应用负载进行弹性扩容流量波动情况下不中断对外服务➢低成本与传统模式相比成本下降60%免费使用私网类型实例无需采购昂贵的设备，免运维➢安全LVS SYNPROXY技术防攻击能力结合云盾提供防DDoS攻击多用户资源隔离产品功能：➢SLB服务类型支持公网/私网类型的SLB服务；提供4层（TCP协议）和7层（HTTP和HTTPS协议）的SLB服➢健康检查对后端云服务器进行健康检查，自动屏蔽异常状态云服务器，恢复正常后自动解除屏蔽。
飞马平台⽩⽪书
标准产品名称：【⾦融易联平台】
英⽂名称：Financial Easy Market Access System
简称：飞马平台
产品介绍
飞马平台是以中⾦所⾦融衍⽣品为主要交易对象的快速交易通道，为专业程
●会员风控终端：由会员单位使⽤的客户端，可管理客户基本资料、盘中实时
数据上场、风控参数设置等。
●交易服务：客户连接交易撮合系统的交易通道，处理报单、撤单等请求，并
将从交易所端返回的应答和回报返回给客户。
⾏情服务：通过接⼊到交易所的⾏情前置收取交易系统⾏情并转发给客户。
⽹络部署
飞马平台和客户下单终端全部部署在中⾦所托管机房，托管机房采⽤裸光纤与中⾦所主机房连接，在保证市场公平接⼊的前提下确保了⽹络连接的低延时与安全，降低风险。
具体系统⽹络部署如下图所⽰：
平台优势
最快速的交易通道：飞马平台内部延时（双程）在250微秒左右，为⾏业最⾼⽔平。
产品特点
1.超低交易延时及⾏情延时
2.第⼀时间⽀持国债期货、期权等中⾦所新产品
3.中⾦所技术公司提供专业运维，会员可专注主营业务
4.⾃主开发，投资者只需简单修改或极少量开发就可以快速⽅便的接⼊到飞马进⾏交易
5.⾯向专业机构投资者，避免直连风险主要功能。
《2016中国的航天》白皮书（全文）国务院新闻办公室网站 2016-12-27 来源：国新网国务院新闻办公室12月27日发表了《2016中国的航天》白皮书。
全文如下：2016中国的航天（2016年12月）中华人民共和国国务院新闻办公室目录前言一、发展宗旨、愿景与原则二、2011年以来的主要进展三、未来五年的主要任务四、发展政策与措施五、国际交流与合作结束语前言航天是当今世界最具挑战性和广泛带动性的高科技领域之一，航天活动深刻改变了人类对宇宙的认知，为人类社会进步提供了重要动力。
当前，越来越多的国家，包括广大发展中国家将发展航天作为重要战略选择，世界航天活动呈现蓬勃发展的景象。
中国政府把发展航天事业作为国家整体发展战略的重要组成部分，始终坚持为和平目的探索和利用外层空间。
中国航天事业自1956年创建以来，已走过60年光辉历程，创造了以“两弹一星”、载人航天、月球探测为代表的辉煌成就，走出了一条自力更生、自主创新的发展道路，积淀了深厚博大的航天精神。
为传承航天精神、激发创新热情，中国政府决定，自2016年起，将每年4月24日设立为“中国航天日”。
“探索浩瀚宇宙，发展航天事业，建设航天强国，是我们不懈追求的航天梦。
”未来五年及今后一个时期，中国将坚持创新、协调、绿色、开放、共享的发展理念，推动空间科学、空间技术、空间应用全面发展，为服务国家发展大局和增进人类福祉作出更大贡献。
为进一步增进国际社会对中国航天事业的了解，特发表《2016中国的航天》白皮书，介绍2011年以来中国航天活动的主要进展、未来五年的主要任务以及国际交流与合作等情况。
一、发展宗旨、愿景与原则（一）发展宗旨探索外层空间，扩展对地球和宇宙的认识；和平利用外层空间，促进人类文明和社会进步，造福全人类；满足经济建设、科技发展、国家安全和社会进步等方面的需求，提高全民科学文化素质，维护国家权益，增强综合国力。
（二）发展愿景全面建成航天强国，具备自主可控的创新发展能力、聚焦前沿的科学探索研究能力、强大持续的经济社会发展服务能力、有效可靠的国家安全保障能力、科学高效的现代治理能力、互利共赢的国际交流与合作能力，拥有先进开放的航天科技工业体系、稳定可靠的空间基础设施、开拓创新的人才队伍、深厚博大的航天精神，为实现中华民族伟大复兴的中国梦提供强大支撑，为人类文明进步作出积极贡献。
弹性计算服务(ECS)-技术白皮书目录文档图索引 (3)文档表索引 (3)1.云服务器概述 (5)2.产品功能与特点 (5)2.1.产品价值 (5)2.2.系统架构 (5)2.2.1.虚拟化平台与分布式存储 (5)2.2.2.控制系统 (6)2.2.3.运维及监控系统 (6)2.3.云服务器 (7)2.4.磁盘快照 (7)2.5.自定义镜像 (8)3.产品特点介绍 (11)3.1.灵活方便 (11)3.1.1.数据安全可靠 (11)3.1.2.网络安全可靠 (12)3.1.3.高效的运维与客服 (12)4.价值分析 (13)5.使用案例 (14)5.1.平台概念解析及原理介绍 (14)5.1.1.镜像与云服务器实例 (14)5.1.2.Region (14)5.1.3.存储系统 (14)5.2.网络与安全组 (14)5.3.实施 (16)5.3.1.镜像使用 (16)5.3.2.创建并使用云服务器创建并使用云服务器并使用 (17)5.3.3.使用安全组完成解决方案使用安全组完成解决方案 (18)5.3.4.使用磁盘快照 (18)5.3.5.调用API实例 (19)6.附录 (20)6.1.云服务器规格说明 (20)6.2.云服务器使用说明 (20)6.3.云服务器安全防护 (20)文档图索引图 1 系统架构 (5)图 2 虚拟化平台与分布式存储 (6)图 3 云服务器 (7)图 4 磁盘快照 (8)图 5 自定义镜像 (9)图 6用户业务 (10)图 7产品特点介绍 (11)图 8网络安全设置 (12)图 9防ARP/IP欺骗 (15)图 10 流量清洗 (16)图 11 自定义镜像 (17)图 12 安全组实施方案 (18)图 13 磁盘快照 (19)文档表索引表 1 价值分析 (13)表 2 云服务器安全防护 (20)1.云服务器概述云服务器是阿里云公有云服务中非常重要的组成部分，它以阿里云自主研发的大型分布式操作系统飞天为基础，基于虚拟化等云计算技术，将普通基础资源整合在一起，以集群的方式给各行各业提供的计算能力服务。
2021中国航天白皮书2021中国航天白皮书一、引言2021年是中国航天发展的重要一年。
在过去的几十年里，中国航天事业取得了令世界瞩目的成就。
从第一颗人造卫星“东方红一号”发射成功，到长征火箭家族的的长足发展，再到天宫空间实验室和嫦娥探月工程的实现，中国航天科技已经跨足了世界先进水平的行列。
在全球航天产业正在快速转型升级的大背景下，中国航天也面临着历史性机遇。
中国航天正在驰骋在一条自主创新之路上，目标是实现高质量发展。
本篇白皮书将以现代中国航天技术的实践和探索发展为主线，从技术创新、科学探索、国际合作等方面全面阐述中国航天的发展现状和未来发展展望。
二、技术创新1.长征五号B运载火箭的成功发射2020年12月，长征五号B运载火箭经过两年多的技术攻关，在中国“三步走”探月工程的第一步中成功实现了核心技术突破。
长征五号B运载火箭是我国目前研制的最大推力运载火箭，其发射能力相当于三门战斗机合力拉起一辆装满货物的大卡车升空。
该型号运载火箭将逐步成为“中国火箭的代表”。
2.量子通信卫星“墨子号”的实现量子通信技术是世界上最安全的通信技术之一，具有绝对安全性和防窃听能力。
2020年，中国成功实现了量子通信卫星“墨子号”的星地双向通信，实现了量子保密通信的全国范围覆盖。
墨子号的成功实现标志着中国在量子通信领域的技术水准不断提升，使得中国成为全球量子通信领域最具实力和潜力的国家之一。
3.深空探测计划的实现中国航天科技的深空探测技术也在不断提升。
2019年，嫦娥四号成功着陆月球背面，实现了人类历史上首次月球背面软着陆和巡视探测。
2020年，火星探测器“天问一号”发生了首次飞越行星间对地火箭发射的重大突破，成功飞行了470万千米，实现了对火星的探测和研究。
三、科学探索1.月球探测中国航天科技已经完成了月球着陆和采样返回任务，这些技术突破不仅挑战了技术极限，也为人类探索月球的道路打开了一扇窗户。
此外，中国计划在未来建设“月球科研站”进行太空科学和技术研究，为人类未来探索太空提供更广阔的前景。
飞天开放平台技术白皮书2013/03/08目录1. 概述 (1)2.体系架构 (1)3.飞天内核 (2)4.分布式系统底层服务 (3)4.1. 协调服务（女娲） (3)4.2. 远程过程调用（夸父） (4)4.3. 安全管理（钟馗） (5)4.4. 分布式文件系统（盘古） (5)4.5. 资源管理和任务调度（伏羲） (7)4.5.1. 在线服务调度 (8)4.5.2. 离线任务调度 (8)4.5.3. 集群监控和部署 (9)4.5.4. 集群监控（神农） (9)4.5.5. 集群部署（大禹） (10)飞天开放平台技术白皮书1.概述阿里云计算为中国第一大公有云平台，云计算产品服务完全基于自主知识产权，先后获85项国家技术专利,获得国家发改委的云计算专项资金支持。
阿里云飞天开放平台是在数据中心的大规模Linux集群之上构建的一套综合性的软硬件系统，将数以千计的服务器联成一台“超级计算机”，并且将这台超级计算机的存储资源和计算资源，以公共服务的方式，输送给互联网上的用户或者应用系统。
阿里云致力于打造云计算的基础服务平台，注重为中小企业提供大规模、低成本的云计算服务。
阿里云的目标是通过构建飞天这个支持多种不同业务类型的公有云计算平台，帮助中小企业在云服务上建立自己的网站和处理自己的业务流程，帮助开发者向云端开发模式转变，用方便、低廉的方式让互联网服务全面融入人们的生活，将网络经济模式带入移动互联网，构建出以云计算为基础的全新互联网生态链。
在此基础上，实现阿里云成为互联网数据分享第一平台的目标。
2.体系架构如图2.1所示是飞天的体系架构图。
整个飞天平台包括飞天内核（图2.1中黄色组件）和飞天开放服务（图2.1中蓝色组件）两大组成部分。
飞天内核为上层的飞天开放服务提供存储、计算和调度等方面的底层支持，对应于图2.1中的协调服务、远程过程调用、安全管理、资源管理、分布式文件系统、任务调度、集群部署和集群监控模块。
飞天开放服务为用户应用程序提供了存储和计算两方面的接口和服务，包括弹性计算服务（Elastic Compute Service，简称ECS）、开放存储服务（Open Storage Service，简称OSS）、开放结构化数据服务（Open Table Service，简称OTS）、关系型数据库服务（Relational Database Service，简称RDS）和开放数据处理服务（Open Data Processing Service，简称ODPS），并基于弹性计算服务提供了云服务引擎（Aliyun Cloud Engine，简称ACE）作为第三方应用开发和Web应用运行和托管的平台。
飞天平台飞天内核飞天内核包含的模块可以分为以下几部分：●分布式系统底层服务：提供分布式环境下所需要的协调服务、远程过程调用、安全管理和资源管理的服务。
这些底层服务为上层的分布式文件系统、任务调度等模块提供支持。
●分布式文件系统：提供一个海量的、可靠的、可扩展的数据存储服务，将集群中各个节点的存储能力聚集起来，并能够自动屏蔽软硬件故障，为用户提供不间断的数据访问服务。
支持增量扩容和数据的自动平衡，提供类似于POSIX 的用户空间文件访问API，支持随机读写和追加写的操作。
●任务调度：为集群系统中的任务提供调度服务，同时支持强调响应速度的在线服务（Online Service）和强调处理数据吞吐量的离线任务（BatchProcessing Job）。
自动检测系统中故障和热点，通过错误重试、针对长尾作业并发备份作业等方式，保证作业稳定可靠地完成。
●集群监控和部署：对集群的状态和上层应用服务的运行状态和性能指标进行监控，对异常事件产生警报和记录；为运维人员提供整个飞天平台以及上层应用的部署和配置管理，支持在线集群扩容、缩容和应用服务的在线升级。
3.分布式系统底层服务3.1.协调服务（女娲）女娲（Nuwa）系统为飞天提供高可用的协调服务（Coordination Service），是构建各类分布式应用的核心服务，它的作用是采用类似文件系统的树形命名空间来让分布式进程互相协同工作。
例如，当集群变更导致特定的服务被迫改变物理运行位置时，如服务器或者网络故障、配置调整或者扩容时，借助女娲可以使其他程序快速定位到该服务新的接入点，从而保证了整个平台的高可靠性和高可用性。
女娲基于类Paxos协议[15]，由多个女娲Server以类似文件系统的树形结构存储数据，提供高可用、高并发用户请求的处理能力。
女娲的目录表示一个包含文件的集合。
与Unix中的文件路径一样，女娲中路径是以“/”分割的，根目录（Root entry）的名字是“/”，所有目录的名字都是以“/”结尾的。
与Unix文件路径不一样之处在于：女娲中所有文件或目录都必须使用从根目录开始的绝对路径。
由于女娲系统的设计目的是提供协调服务，而不是存储大量数据的，所以每个文件的内容（Value）的大小被限制在1MB 以内。
在女娲系统中，每个文件或目录都保存有创建者的信息。
一旦某个路径被用户创建，其他用户就可以访问和修改这个路径的值（即文件内容或目录包含的文件名）。
女娲支持Publish/Subscribe模式，其中一个发布者、多个订阅者（One Publisher/Many Subscriber）的模式提供了基本的订阅功能；另外，还可用通过多个发布者、多个订阅者（Many Publisher/Many Subscriber）的方式提供分布式选举（Distributed Election）和分布式锁的功能。
再举一个使用女娲来实现负载均衡的例子：提供某一服务的多个节点，在服务启动的时候在女娲系统的同一目录下创建文件，例如，server1创建文件“nuwa://cluster/myservice/server1”，server2在同一目录下创建“nuwa://cluster/myservice/server2”。
当客户端使用远程过程调用的时候，首先列举女娲服务中“nuwa://cluster/myservice”目录下的文件，这样就可以获得server1和server2，客户端随后可以从中选择一个节点发出自己的请求，从而实现负载均衡。
3.2.远程过程调用（夸父）在分布式系统中，不同计算机之间只能通过消息交换的方式进行通信。
显式的消息通信必须通过Socket接口编程，而远程过程调用（Remote Procedure Call，简称RPC[9]）可以隐藏显式的消息交换，使得程序员可以像调用本地函数一样来调用远程的服务。
夸父（Kuafu）是飞天内核中负责网络通信的模块，它提供了一个RPC的接口，简化编写基于网络的分布式应用。
夸父的设计目标是提供高可用（7 x 24小时）、大吞吐量（Gigabyte）、高效率、易用（简明API、多种协议和编程接口）的RPC服务。
RPC客户端（RPC Client）通过URI指定请求需要发送的RPC服务端（RPC Server）的地址，目前夸父支持两种协议形式。
●TCP：例如，tcp://fooserver01:9000●Nuwa：例如，nuwa://nuwa01/FooServer与用流（stream）传输的TCP通信相比，夸父通信是以消息（Message）为单位的，支持多种类型的消息对象，包括标准字符串std::string和基于td::map 实现的若干string键值对。
夸父RPC同时支持异步（asynchronous）和同步（synchronous）的远程过程调用形式。
●异步调用：RPC函数调用时不等接收到结果就会立即返回；用户必须通过显式调用接收函数取得请求结果。
●同步调用：RPC函数调用时会等待，直到接收到结果才返回。
在实现中，同步调用是通过封装异步调用来实现的。
在夸父的实现中，客户端程序通过Unix Domain Socket与本机上的一个夸父代理（Kuafu Proxy）连接，不同计算机之间的夸父代理会建立一个TCP连接。
这样做的好处是可以更高效地使用网络带宽，系统可以支持上千台计算机之间的互联需求。
此外，夸父利用女娲来实现负载均衡；对大块数据的传输做了优化；与TCP类似，夸父代理之间还实现了发送端和接收端的流控（Flow Control）机制。
3.3.安全管理（钟馗）钟馗（Zhongkui）是飞天内核中负责安全管理的模块，它提供了以用户为单位的身份认证和授权，以及对集群数据资源和服务进行的访问控制。
●用户的身份认证（Authentication）是基于密钥机制的。
●用户对资源的访问控制是基于权能（Capability）机制进行授权（Authorization）的。
Capability是用于访问控制的一种数据结构，它定义了对一个或多个指定的资源（如目录、文件、表等）所具有的访问权限。
用户访问飞天系统的资源时必须持有Capability，否则即视为非法。
打个比方，如果把Capability理解为地铁票，乘坐地铁（对地铁的一种访问方式）的时候必须要有Capability，即地铁票。
密钥对是基于公开密钥方法的，包括一个私钥和相对应的公钥。
在飞天系统中，密钥对用于数字签名服务，以保证Capability的不可伪造。
换句话说，私钥用于产生数字签名（如签发Capability），公钥用于验证数字签名的有效性（如验证签发过的Capability的有效性）。
考虑到网络通信时任何通信节点都是不可信的，所以即使是飞天自身模块内部之间的通信也同样是需要认证和授权的，而且验证的机制也完全一样。
3.4.分布式文件系统（盘古）盘古（Pangu）是一个分布式文件系统，盘古的设计目标是将大量通用机器的存储资源聚合在一起，为用户提供大规模、高可靠、高可用、高吞吐量和可扩展的存储服务，是飞天内核中的一个重要组成部分。
●大规模：能够支持数十PB量级的存储大小（1PB = 1000TB），总文件数量达到亿量级。
●数据高可靠性：保证数据和元数据（Metadata）是持久保存并能够正确访问的，保证所有数据存储在处于不同机架的多个节点上面（通常设置为3）。
即使集群中的部分节点出现硬件和软件故障，系统能够检测到故障并自动进行数据的备份和迁移，保证数据的安全存在。
●服务高可用性：保证用户能够不中断地访问数据，降低系统的不可服务时间。
即使出现软硬件的故障、异常和系统升级等情况，服务仍可正常访问。
●高吞吐量：运行时系统I/O吞吐量能够随机器规模线性增长，保证响应时间。
●高可扩展性：保证系统的容量能够通过增加机器的方式得到自动扩展，下线机器存储的数据能够自动迁移到新加入的节点上。
同时，盘古也能很好地支持在线应用的低延时需求。
在盘古系统中，文件系统的元数据存储在多个主服务器（Master）上，文件内容存储在大量的块服务器（Chunk Server）上。
