Microsoft Word - Entrust GroupShare Technical Test Report for SPDB v doc

Size: px

Start display at page:

Download "Microsoft Word - Entrust GroupShare Technical Test Report for SPDB v doc"

野赵
7 years ago
Views:

1 Group Share 测试及技术白皮书 Great Vision Hi-Tech Co., Ltd 年 2 月

2 目录第 1 章. 公司介绍... 3 Entrust 公司及威讯嘉业科技有限公司介绍... 3 我们的产品 - 可以帮助您进行身份认证访问控制防止网络欺诈信息加密信息审计安全管理术语说明 :... 4 第 2 章. 安全需求... 4 第 3 章. Entrust GroupShare 解决方案功能体系架构 GroupShare 主要功能... 6 第 4 章. Entrust GroupShare 产品测试测试内容测试环境核心功能测试 Group Share 服务器端管理 GroupShare 用户创建加密文件夹 / 文件 GroupShare 用户解密加密文件夹 / 文件 GroupShare 用户共享加密文件夹 / 文件第 5 章. 测试项目及其结果... 56

3 第 1 章. 公司介绍 Entrust 公司及威讯嘉业科技有限公司介绍 Entrust 创建于一九九四年, 并在当年开始销售全球首个基于公共密钥算法的商用加密和数字签名产品经过多年不懈的努力, Entrust 公司首创了公钥基础设施 (PKI) 技术, 具有 90 多个信息安全方面的专利并首家把授权管理基础设施 (PMI) 技术无缝地与 PKI 集成, 奠定了它在数字身份认证和信息保护领域的领导地位我们成功地把多年来在加密和身份认证等技术领域积累的经验反映到我们优质的产品和值得客户信赖的信息安全解决方案上, 我们在国际信息安全市场取得了骄人的业绩没有任何一家互联网安全产品提供商能比 Entrust 公司更加完备地提供客户所需要的基于互联网安全服务的解决方案, 使企业和政府安全地进行网上业务, 提供有效和便利的电子商务网上采购和电子政府的服务作为 Entrust 公司在中国华北地区设立的独家授权服务营销商是一家从事互联网集成应用的技术服务提供商, 面向互联网网络运营商企业医药政府金融证券教育等客户, 为客户提供整体解决方案威讯嘉业科技有限公司的开创者, 作为起步最早的 IT 研发者及市场开拓者, 直接参与了中国的互联网及电信 IP 网的成长过程, 公司的主要管理成员和骨干技术人员全部参与过中国国家级 163/169 骨干网络及各省省级骨干网的建设工作, 熟悉中国互联网网络架构, 拥有丰富的组网工程经验和管理经验他们不仅与国内的政府与行业各界形成良好的合作关系, 在研发和市场开拓方面也与美国欧洲的主要研究机构及企业有紧密的联系, 拥有强大的合作伙伴与客户资源紧密而广泛的合作网络, 从而确保了威讯嘉业科技公司能够随时把握中国和世界电信及互联网行业发展的最新动态, 时刻站在技术发展的最前沿为客户和合作伙伴提供技术咨询战略咨询网络设计软件研究开发市场推广系统集成销售及售前售后等一条龙服务在公司发展过程中, 公司以为客户创造价值, 携手共赢作为服务宗旨, 愿与广大用

4 户进行真诚广泛的交流与合作, 使互联网技术及应用迈向一个崭新的阶段我们的使命 - 确保您的信息安全我们的产品 - 可以帮助您进行身份认证访问控制防止网络欺诈信息加密信息审计安全管理 1.1 术语说明 : 1) GroupShare 服务器 : Entrust GroupShare Server; 2) GroupShare 客户端软件 : Entrust GroupShare for Windows folders; 第 2 章. 安全需求根据我们与客户的技术专家的多次交流, 构建行内信息安全体系需要满足如下几个方面的功能 : 1) 该解决方案能够支持微软认证中心所发放的数字证书 ; 2) 该解决方案能够支持 Gemplus 智能卡 ; 3) GroupShare 能够支持智能卡 ( 数字证书 ) 登陆 Windows 认证 ; 4) 该解决方案能够集中管理 ; 5) 该解决方案满足只有授权用户能够创建安全文件夹 ; 6) 用户加密文件或者文件夹时需要访问智能卡 ; 7) 管理员能够审计用户行为 ; 8) 加密文件在移动复制拷贝时都能够保持加密状态 ; 9) 该解决方案易于部署和使用 10) 该解决方案能够支持规模部署

5 第 3 章. Entrust GroupShare 解决方案功能 3.1 体系架构说明 I : 1) 目前客户采用 Microsoft 的 CA 为行内用户发放数字证书 ; 2) 最终用户采用智能卡或者通过 Windows 登陆网络 ; 3) 在我们的测试环境中,Microsoft CA 和 Active Directory(Domain Controller) 部署在一台物理机器上 ; 4) Entrust GroupShare Server 及其内嵌 Microsoft SQL Server 部署在一台物理机器上 ;

6 5) 客户端两种用户 : 拥有智能卡的用户和待发智能卡用户分别登陆 ; 说明 II : 1) Entrust GroupShare 解决方案可以支持规模扩展, 可以实现非常灵活的部署方式 ; 2) Entrust GroupShare 可以支持负载均衡方式的部署 ;( 体系架构略 ) 3) Entrust GroupShare 可以灵活支持高可用配置 ( 体系架构略 ) 3.2 GroupShare 主要功能 Entrust Entelligence GroupShare 是一个 c/s 模式的应用, 允许用户在企业网络中保护文件夹信息安全对最终用户透明主要拥有如下核心功能 : - 透明加密 ; 对于 GroupShare 来说, 一个管理员或者最终用户拥有合适的权限右键选择需要保护的网络文件夹, 可以授权只有允许的用户才能访问同时也可以保护子文件夹如下图 : 管理员分别赋予销售组和市场组分别访问各自相关文件夹 - 透明解密 ; 销售组和市场组分别只能访问授权的文件或者文件夹, 但是如果越权访问则访问被拒绝

7 - 永久性加密 ; GroupShare 能够确保文件永久性加密, 即文件无论被拷贝到文件夹或者桌面或者其它移动介质如,USB 活动盘等等, 都保持加密状态文件加密后的表现形式 :

8 - 自由设置访问权限 ; Entrust GroupShare 管理员可以设置自由的权限用户, 如文件夹创建组创建管理员权限审计监控和宿主设置等并且这些权限可以自由组合管理员可以编辑和修改权限如下图表示, - 集中管理和审计 ; Entrust GroupShare 赋予管理员丰富的审计和管理权限, 管理员可以自由选择配置审计条件, 如增加用户, 用户访问文件夹的时间, 删除用户权限, 用户加密文

9 件夹, 或者加密文件夹等等众多的过滤组合同时, 管理员还可以选择审计时间 ; 更新文件夹密钥, 设置用户角色等等 - 兼容已有的体系架构 ; GroupShare 可以兼容已有的目录服务器, 如 Active Directory, 数据库或者证书系统等在浦发的项目中我们采用目前已经使用的如微软的 Active Directory 和 Microsoft CA, 以及 Gemplus 智能卡, 可以大大降低集成和后续开发成本 - 易于管理 GroupShare 支持基于 Web 方式的管理, 管理员可以在任何地方安全的管理 GroupShare 用户仅需要右键选中文件夹, 可以设置 Windows 访问权选用户,Windows 组用户, 证书用户等等如果需要给一个新的用户访问权限, 仅需要右键选中文件

10 夹, 增加用户, 即可相反, 在该文件夹中的文件访问权限受到严格控制 - 最终用户易于使用管理员可以定制最终用户端, 让最终用户非常易于安装和使用, 而不需要复杂的配置第 4 章. Entrust GroupShare 产品测试 4.1 测试内容 Entrust Group Share 在微软 CA AD 域和 GemPlus Smart Card 环境下的功能测试, 满足用户基于智能卡登陆操作 ; 用户依托于智能卡证书创建文件夹 ; 依托于智能卡证书加密或者解密文件或者文件夹 ; 依托于智能卡实现系统管理 ; 同时支持用户无智能卡也能够登陆系统 ; 支持与微软域控整合 ; 支持基于 Web 方便管理 ; 支持最终用户端可定制并且用户已于操作和使用 ; 支持加密文件或者文件夹在移动时能够保持永久性加密 ; 支持用户离线操作等等

11 4.2 测试环境我们根据环境要求, 推荐了如下的测试环境, 模拟完全真实的生产环境 : 4.3 核心功能测试 4.3.1Group Share 服务器端管理登陆 Entrust Group Share 服务器 Web 管理页面 Entrust GroupShare 支持 Web 方式管理, 管理员通过如下位置可以非常方便的访问管理中心

12 管理员通过身份认证后, 可以看到 Entrust GroupShare 的 Web 管理界面通过该管理界面, 管理员可以实现用户和组的创建用户权限设置用户行为审计系统配置等等

13 下面分别介绍 Entrust GroupShare 的管理员的主要功能 : 用户和用户组管理管理员可以增加和修改用户和组的角色, 允许用户能够有相应权限创建文件夹或者访问文件夹等等用户管理

14 管理员可查找用户, 根据相应的条件, 如文件夹创建组创建管理员审计员监控员, 及其文件夹宿主等等根据查询的结果可以方便的进行管理

15 如上图, 可以创建用户全县, 如允许文件夹创建组创建管理员审计监控等等组管理

16 基于组 GroupShare 可以实现如 Windows 分组,GroupShare 组等等, 可以根据相应的条件进行灵活的查询审计功能

17 系统配置 Entrust GroupShare 可以支持灵活的配置方式, 便于管理员管理, 如自动发现 Active Directory 功能, 也可以实现人工配制可以配置支持简单的认证目录服务器, 也可以实现支持 Windows 认证

18 可以设置密钥加密长度, 如 1024 位,2048 位等 ; 密钥的生命周期, 密钥池的功能等等

19 4.3.2GroupShare 用户创建加密文件夹 / 文件用户只有管理员授权才能创建文件夹, 没有获得授权则不能创建文件夹未授权时, 不能创建加密文件夹 1) 选中目标文件夹 2) 单击右键, 并选择 Secure Folder with Group Share...

20 4) 如果用户没有获得授权则会弹出无权创建加密文件夹页面授权后, 能创建加密文件夹 1) 选中目标文件夹 2) 单击右键, 并选择 Secure Folder with Group Share... 3) 弹出证书选择界面 ( 若有多张证书 ), 选择合适的证书, 并点击 OK; 4) 弹出证书 PIN 码输入界面, 输入 PIN 码, 并确定

21 5) 弹出加密文件夹所有者信息页, 根据各人情况需要填写, 点击下一步

22 6) 弹出添加能访问该加密文件夹中加密文件的用户或用户组, 选择 Add Windows Users or Groups

23 7) 弹出搜索选择界面, 选择好后点击确定

24 8) 选择授权用户, 则完成安全文件夹的创建, 所有存到该文件夹中的文件自动加密

25 4.3.3GroupShare 用户解密加密文件夹 / 文件非文件夹所有者解密加密文件夹, 不能解密 1) 选中一个其他用户加密的文件夹

26 2) 点击右键, 并点击属性

27 3) 在弹出的属性界面上, 点击 Group Share 页, 可以看到能访问该文件夹的用户, 以及文件夹所有者

28 4) 点击弹出的 Group Share 页底部的 Advanced

29 5) 可以看到弹出页上除 OK 和 Cancel 按钮外, 其余不能操作, 因此非文件夹所有者不能解密文件夹, 与预期相符

30 文件夹所有者解密文件夹, 能解密 1) 选中用户自己加密的文件夹 ( 自己是其所有者 ), 并点击属性, 弹出如下界面

31 2) 点击 Group Share 页, 弹出如下界面

32 3) 点击界面底部的 Advanced, 弹出如下界面

33 4) 点击 Unsecure Now 按钮, 弹出如下界面

34 5) 点击是, 弹出如下界面

35 6) 点击是, 弹出如下界面

36 7) 解密结束后, 点击 Close, 查看文件夹和文件都是解密的, 如下几个图所示

39 4.3.4GroupShare 用户共享加密文件夹 / 文件未授权时, 不能访问 TestUser4 加密了一个文件夹 TestUser4, 还未将 TestUser1 加入可访问该文件加的用户 1)TestUser1 登录, 如下图

40 2) 打开加密文件夹 TestUser4 下的加密文件, 系统要求提供智能卡信息, 如图

41 3) 输入证书保护 PIN 码

42 4) 双击想打开的文件

43 5) 访问被拒绝, 与预期相同

44 TestUser4 给用户 TestUser1 授予访问权限 1)TestUser4 登录后, 右键单击 TestUser4 文件夹, 如图

45 2) 点击 Group Share 页, 弹出如图

46 3) 点击 Add Windows Users or Groups 右侧的小箭头, 弹出如图

47 4) 选择 Add Certificate Users, 弹出如图证书用户搜索界面

48 5) 输入用户信息, 点击 Search 查找, 如下图

49 6) 选择 TestUser1, 并点击 OK 按钮

50 7) 点击确定按钮, 完成给 TestUser1 的授权授权后, 可以访问 1) 再以 TestUser1 用户登录, 尝试打开 TestUser4 加密文件夹, 显示目前登录的用户信息

51 2) 点击 OK 后, 提示输入证书保护 PIN 码并确定

52 3) 双击想打开的加密文件

53 4) 成功打开加密文件, 与预期相符

54 缓存及离线访问 Entrust Group Share 具有加密文件夹访问权限缓存功能, 一方面为人员外出离线使用提供方便, 另一方面提高系统的性能同时, 系统提供了灵活的缓存有效期限管理, 文件夹管理人员可以根据需要设置缓存有效期的长短在缺省情况下, 其缓存有效期为 7 天此功能, 系统会抵御基于时间机制的攻击即 : 设置了时间为 3 天, 希望通过更改计算机系统时间 ( 将系统时间提前 ) 进行测试, 不成功, 下图是服务器端对时间设置数据的审计记录截图, 图中示出了当时所设的时间是 72 小时 (3 天 )

56 Great Vision 第 5 章. 测试项目及其结果通过 Entrust 技术组与客户技术专家的共同测试, 各个分项都达到预期目标编号测试内容预期结果满足 ( 是 ) 1 智能卡 ( 数字证书 ) 登录拥有合法的智能卡可以登录满足操作系统及 Groupshare 2 智能卡 ( 数字证书 ) 与创建加密文件有合法智能卡才能创建加密文件夹满足夹的关系 3 创建加密文件夹的权限管理没有授权不能创建加密文件夹满足有权限能创建文件夹满足权限被撤销后不能创建文件夹满足 4 智能卡 ( 数字证书 ) 与加密文件没有智能卡不能打开加密文件满足没有合法有效的智能能卡不能打开加密文件满足 5 从 Web 管理界面增加所管理的用户可以根据发展需要, 逐步扩大系统的用户使用满足的范围范围 6 从 Web 管理界面查看用户审计日志可以看到用户对加密文件夹的访问情况满足 7 密钥长度和有效期可根据需要调整密钥长度和有效期可根据需要调整满足 8 可加密的文件类型没有限制满足 9 可加密文件夹的大小没有限制满足 10 folder owner 对 folder 正常的加密若具有 Folder Creator 角色, 可以正常创建加密满足文件夹, 否则不能创建加密文件夹 11 folder owner 对 folder 正常的解密若 Folder owner 是最初的加密文件夹创建者 ( 即最初的 folder owner), 则能正常解密满足不满足 ( 否 ) 备注

57 Great Vision 若 folder owner 不是最初的加密文件夹创建者, 满足也不具有对 PFI 文件的完全权限, 则不能解密若 folder owner 不是最初的加密文件夹创建者, 满足但具有对 PFI 文件的完全权限, 则能解密 12 folder owner 对加密的 folder 赋予若赋予其他用户 User 角色, 具有文件读写权限满足 other users 权限若赋予其他用户 Administrator 权限, 则只具有满足文件夹用户查看变更权限若赋予其他用户 User 和 Administrator 权限, 则满足既能读写加密文件, 又能具有查看和更改用户的权限 13 从一个 secure folder move to athother 文件夹仍是加密文件夹满足 secure folder 14 从一个 secure folder move to athother 文件夹仍是加密文件夹满足 unsecure folder 15 从一个 secure folder move to offline 文件夹仍是加密文件夹满足 location(such as usb) 16 从一个 secure folder move to outlook attachment 文件会自动解密, 以方便使用 17 从一个 unsecure folder move to 文件会自动加密满足 secure folder 18 non-group share users move or copy 文件和文件夹均保持原来状态满足 files 19 folder owner share secure file 能成功实现共享满足 20 give users full control to the pfi file and then delete the pfi file 缺省时, 只有文件夹最初的创建者 ( 最初的 folder owner) 才能删除 PFI 文件 ; 此外, 只有在客户端安装包中指定的用户或组中的用户才有权限删除 PFI 文件满足

58 Great Vision 用户体验 : linwen 建一个加密文档,ecardtestusr 有 administrtor 权限,change owner 为 ecardtestusr 之后,linwen 在权限列表中就不出现了, 但是还能看还能改, 而用 ecardtestusr 登录后却不能打开文档满足这是因为 linwen 仍是缺省的 owner, 而在这种情况下, 新的 owner, 即 ecardtestusr 只具有 administrator, 而 administrator 只具有用户管理权限, 因此不能打开文件 22 MS Office 常用文件类型的加密 / 解密能够加解密满足

一登录 crm Mobile 系统 : 输入 ShijiCare 用户名和密码, 登录系统, 如图所示 : 第 2 页共 32 页

一登录 crm Mobile 系统 : 输入 ShijiCare 用户名和密码, 登录系统, 如图所示 : 第 2 页共 32 页第 1 页共 32 页 crm Mobile V1.0 for IOS 用户手册一登录 crm Mobile 系统 : 输入 ShijiCare 用户名和密码, 登录系统, 如图所示 : 第 2 页共 32 页二 crm Mobile 界面介绍 : 第 3 页共 32 页三新建 (New) 功能使用说明 1 选择产品第 4 页共 32 页 2 填写问题的简要描述和详细描述第 5 页共