2.2 系统数据库
系统中包含两个数据库（Sybase）：业务数据库和证书数据库，其中证书数据库需要新建，业务数据库需要更新，以满足数字签名认证的需求。 （1）证书数据库主要包括以下数据：
用户数据：用于用户数字证书的申请，可以由业务数据库批量导入； 证书数据：用户证书及证书信息、证书状态；
用户与证书的关联数据：用户信息与用户证书的对应关系； （2）业务数据库主要包括以下数据： 用户数据：用户的用户信息；
业务数据及签名数据：业务的各项数据，需要增加相应的签名字段和签名证书的序列号字段； 2.3 CA数字证书受理系统
2.3.1 数字证书及其格式
数字证书是一种数字标识，如同我们的身份证一样，是网络上的身份证明，它是由证书授权机构（CA）签名颁发的数字文件，该签名使得第三者不能伪造和篡改证书。
ITU-T的X..509国际标准定义了数字证书的格式，目前X .509v3数字证书的主要内容，如图2所示，主要包括证书的版本号、证书的序列号、证书的有效起止日期、证书颁发者的名字和唯一标识符、证书持有者的名字和唯一标识符、证书持有者的公钥、证书扩展项以及证书颁发者的签名。其中，证书扩展项可以根据证书的不同应用而由证书的颁发者具体定义，因而具有较强的通用性和灵活性。
由于数字证书是由相对权威的授权机构审核颁发的，因此，一方面可以用来向系统或者系统的其他实体证明自己的身份；另一方面，由于证书携带着其持有者的公钥，也起着公钥分发的作用。
X .509v3数字证书的主要格式
基于****单位的现状与需求分析，建议建设自己的业务系统CA，节约总体成本投入，满足业务系统对CA认证的可靠性、灵活性、快捷性以及用户使用的方便性等方面的需求。另外，也可以采用基于权威第三方的CA数字证书受理系统。
2.3.2 自建CA数字证书受理系统
独立建设的CA数字证书受理系统
自建CA数字证书受理系统主要由WEB应用服务器、数据库、RA服务器、CA服务器组成，采用B/S（浏览器/服务器）架构实现基于WEB的数字证书申请、审核、下载制作、更新和作废等功能。 2.3.2.1 自建CA各组成部分及其功能 基于WEB的证书管理系统
为用户和管理员提供WEB管理界面，完成用户证书申请信息的提交、查
询、审核；已生成的数字证书的下载和制作（存储到指定介质）；证书状态的查询和管理（证书更新、证书作废）；私钥密码的修改等功能。 证书数据库
存储用户信息、证书信息以及二者的关联信息，保存用户的所有历史证书数据，以备校验历史签名数据。 注册授权服务器（RA）
负责定期从数据库中提取已审核通过的证书申请/更新/作废信息，按既定格式打包提交到CA服务器，并接收和记录返回的结果。 证书签发服务器（CA）
负责密钥对（公私钥对）的产生，可采用软件方式或硬件方式（加密机）；接收RA服务器的请求，签发/更新/作废用户证书；定期签发CRL（证书撤销列表）。 备注：
（1）CA服务器采用软件方式产生密钥对可节约系统成本；采用硬件方式产生密钥对，则需要购置加密机（国密局认证的密码设备，得安SJY05型加密机），产生的密钥对质量高，也有利于自建的CA完成相关认证和获取资质。
（2）RA服务器和CA服务器均为软件方式的应用程序，可共用一台主机。 2.3.2.2 自建CA的主要功能和技术特点
自建CA总体上具有建设成本低、易于部署；流程简捷高效、易于管理；系统可定制，易于与具体业务系统相结合等特点。 系统的主要功能如下：
自定义根CA：系统初始化时，自定义根CA证书。
CA策略管理：支持对密钥长度、证书有效期、私钥备份等策略的管理。
证书申请信息注册：通过WEB方式提交证书申请信息，支持个人证书、企业证书、服务器证书等，支持批量证书申请。
证书申请信息审核：管理员通过WEB方式查询并审核用户的证书申请信息，可设置自动审核。
密钥产生和证书签发：CA服务器支持软件方式和硬件方式（加密机或加密卡）产生密钥对，并签发证书请求，生成证书。
证书查询和下载制作：通过WEB方式查询证书申请状态、证书状态，下载已经生成的证书，并通过WEB方式灌制到指定的存储介质。 证书作废和CRL签发：通过WEB方式提交证书作废请求，定时签发CRL。
证书更新：即将到期的用户证书可以通过WEB方式进行在线更新。 证书导出：可以通过WEB方式将指定范围的用户证书按标准格式（BASE64编码）导出到文件中。
系统审计：对证书相关的各项操作，提供详尽的系统审计功能。 系统的主要技术和功能特点：
数字证书格式遵循X.509v3国际标准 密钥长度可支持512、1024、2048位
密钥生成方式支持软件产生和硬件（加密机或加密卡）产生 支持CA策略定制（密钥长度、证书有效期、私钥备份等策略）