数字证书原理
数字证书原理
文中首先解释了加密解密的一些基础知识和概念，然后通过一个加密通信过程的例子说明了加密算法的作用，以及数字证书的出现所起的作用。接着对数字证书做一个详细的解释，并讨论一下windows中数字证书的管理，最后演示使用makecert生成数字证书。如果发现文中有错误的地方，或者有什么地方说得不够清楚，欢迎指出！
1、基础知识
这部分内容主要解释一些概念和术语，最好是先理解这部分内容。
1.1、公钥密码体制(public-key cryptography)
公钥密码体制分为三个部分，公钥、私钥、加密解密算法，它的加密解密过程如下：
?加密：通过加密算法和公钥对内容(或者说明文)进行加密，得到密文。加密过程需要用到公钥。
?解密：通过解密算法和私钥对密文进行解密，得到明文。解密过程需要用到解密算法和私钥。注意，由公钥加密的内容，只能由私钥进行解密，也就是说，由公钥加密的内容，如果不知道私钥，是无法解密的。
公钥密码体制的公钥和算法都是公开的(这是为什么叫公钥密码体制的原因)，私钥是保密的。大家都以使用公钥进行加密，但是只有私钥的持有者才能解密。在实际的使用中，有需要的人会生成一对公钥和私钥，把公钥发布出去给别人使用，自己保留私钥。
1.2、对称加密算法(symmetric key algorithms)
在对称加密算法中，加密使用的密钥和解密使用的密钥是相同的。也就是说，加密和解密都是使用的同一个密钥。因此对称加密算法要保证安全性的话，密钥要做好保密，只能让使用的人知道，不能对外公开。这个和上面的公钥密码体制有所不同，公钥密码体制中加密是用
公钥，解密使用私钥，而对称加密算法中，加密和解密都是使用同一个密钥，不区分公钥和私钥。
// 密钥，一般就是一个字符串或数字，在加密或者解密时传递给加密/解密算法。前面在公钥密码体制中说到的公钥、私钥就是密钥，公钥是加密使用的密钥，私钥是解密使用的密钥。
1.3、非对称加密算法(asymmetric key algorithms)
在非对称加密算法中，加密使用的密钥和解密使用的密钥是不相同的。前面所说的公钥密码体制就是一种非对称加密算法，他的公钥和是私钥是不能相同的，也就是说加密使用的密钥和解密使用的密钥不同，因此它是一个非对称加密算法。
1.4、RSA简介
RSA是一种公钥密码体制，现在使用得很广泛。如果对RSA本身有兴趣的，后面看我有没有时间写个RSA的具体介绍。
RSA密码体制是一种公钥密码体制，公钥公开，私钥保密，它的加密解密算法是公开的。由公钥加密的内容可以并且只能由私钥进行解密，并且由私钥加密的内容可以并且只能由公钥进行解密。也就是说，RSA的这一对公钥、私钥都可以用来加密和解密，并且一方加密的内容可以由并且只能由对方进行解密。
1.5、签名和加密
我们说加密，是指对某个内容加密，加密后的内容还可以通过解密进行还原。比如我们把一封邮件进行加密，加密后的内容在网络上进行传输，接收者在收到后，通过解密可以还原邮件的真实内容。
这里主要解释一下签名，签名就是在信息的后面再加上一段内容，可以证明信息没有被修改过，怎么样可以达到这个效果呢？一般是对信息做一个hash计算得到一个hash值，注意，这个过程是不可逆的，也就是说无法通过hash值得出原来的信息内容。在把信息发送出去时，把这个hash值加密后做为一个签名和信息一起发出去。接收方在收到信息后，会重新计算信息的hash值，并和信息所附带的hash值(解密后)进行对比，如果一致，就说明信息的内容没有被修改过，因为这里hash计算可以保证不同的内容一定会得到不同的hash值，所以只要内容一被修改，根据信息内容计算的hash值就会变化。当然，不怀好意的人也可以修改信息内容的同时也修改hash值，从而让它们可以相匹配，为了防止这种情况，hash值一般都会加密后(也就是签名)再和信息一起发送，以保证这个hash值不被修改。至于如何让别人可以解密这个签名，这个过程涉及到数字证书等概念，我们后面在说到数字证书时再详细说明，这里您先只需先理解签名的这个概念。
2、一个加密通信过程的演化
我们来看一个例子，现在假设―服务器‖和―客户‖要在网络上通信，并且他们打算使用RSA(参看前面的RSA简介)来对通信进行加密以保证谈话内容的安全。由于是使用RSA
这种公钥密码体制，―服务器‖需要对外发布公钥(算法不需要公布，RSA的算法大家都知道)，自己留着私钥。―客户‖通过某些途径拿到了―服务器‖发布的公钥，客户并不知道私钥。―客户‖具体是通过什么途径获取公钥的，我们后面再来说明，下面看一下双方如何进行保密的通信：
2.1 第一回合：
―客户‖->―服务器‖：你好
―服务器‖->―客户‖：你好，我是服务器
―客户‖->―服务器‖：？？？？
因为消息是在网络上传输的，有人可以冒充自己是―服务器‖来向客户发送信息。例如上面的消息可以被黑客截获如下：
―客户‖->―服务器‖：你好
―服务器‖->―客户‖：你好，我是服务器
“客户”->“黑客”：你好// 黑客在―客户‖和―服务器‖之间的某个路由器上截获―客户‖发给服务器的信息，然后自己冒充―服务器‖
“黑客”->“客户”：你好，我是服务器
因此―客户‖在接到消息后，并不能肯定这个消息就是由―服务器‖发出的，某些―黑客‖也可以冒充―服务器‖发出这个消息。如何确定信息是由―服务器‖发过来的呢？有一个解决方法，因为只有服务器有私钥，所以如果只要能够确认对方有私钥，那么对方就是―服务器‖。因此通信过程可以改进为如下：
2.2 第二回合：
―客户‖->―服务器‖：你好
―服务器‖->―客户‖：你好，我是服务器
―客户‖->―服务器‖：向我证明你就是服务器
―服务器‖->―客户‖：你好，我是服务器{你好，我是服务器}[私钥|RSA] // 注意这里约定一下，{} 表示RSA加密后的内容，[ | ]表示用什么密钥和算法进行加密，后面的示例中都用这种表示方式，例如上面的{你好，我是服务器}[私钥
|RSA]就表示用私钥对―你好，我是服务器‖进行加密后的结果。
为了向―客户‖证明自己是―服务器‖，―服务器‖把一个字符串用自己的私钥加密，把明文和加密后的密文一起发给―客户‖。对于这里的例子来说，就是把字符串―你好，我是服务器‖和这个字符串用私钥加密后的内容{你好，我是男人}[私钥|RSA] 发给客户。
―客户‖收到信息后，她用自己持有的公钥解密密文，和明文进行对比，如果一致，说明信息的确是由男人发过来的。也就是说―客户‖把{你好，我是服务器}[私钥|RSA]这个内容用公钥进行解密，然后和―你好，我是服务器‖对比。因为用―服务器‖用私钥加密后的内容，由并且只能由公钥进行解密，私钥只有―服务器‖持有，所以如果解密出来的内容是能够对得上的，那说明信息一定是从―服务器‖发过来的。
假设―黑客‖想冒充―服务器‖：
“黑客”->“客户”：你好，我是服务器
“客户”->“黑客”：向我证明你就是服务器
“黑客”->“客户”：你好，我是服务器{你好，我是服务器}[？？？|RSA]//这里黑客无法冒充，因为他不知道私钥，无法用私钥加密某个字符串后发送给客户去验证。“客户”->“黑客”：？？？？
由于―黑客‖没有―服务器‖的私钥，因此它发送过去的内容，―客户‖是无法通过服务器的公钥解密的，因此可以认定对方是个冒牌货！
到这里为止，―客户‖就可以确认―服务器‖的身份了，可以放心和―服务器‖进行通信，但是这里有一个问题，通信的内容在网络上还是无法保密。为什么无法保密呢？通信过程不是可以用公钥、私钥加密吗？其实用RSA的私钥和公钥是不行的，我们来具体分析下过程，看下面的演示：
2.3 第三回合：
―客户‖->―服务器‖：你好
―服务器‖->―客户‖：你好，我是服务器
―客户‖->―服务器‖：向我证明你就是服务器
―服务器‖->―客户‖：你好，我是服务器{你好，我是服务器}[私钥|RSA]
―客户‖->―服务器‖：{我的帐号是aaa，密码是123，把我的余额的信息发给我看看}[公钥|RSA]
―服务器‖->―客户‖：{你的余额是100元}[私钥|RSA]
注意上面的的信息{你的余额是100元}[私钥]，这个是―服务器‖用私钥加密后的内容，但是我们之前说了，公钥是发布出去的，因此所有的人都知道公钥，所以除了―客户‖，其它的人也可以用公钥对{你的余额是100元}[私钥]进行解密。所以如果―服务器‖用私钥加密发给―客户‖，这个信息是无法保密的，因为只要有公钥就可以解密这内容。然而―服务器‖也不能用公钥对发送的内容进行加密，因为―客户‖没有私钥，发送个―客户‖也解密不了。
这样问题就又来了，那又如何解决呢？在实际的应用过程，一般是通过引入对称加密来解决这个问题，看下面的演示：
2.4 第四回合：
―客户‖->―服务器‖：你好
―服务器‖->―客户‖：你好，我是服务器
―客户‖->―服务器‖：向我证明你就是服务器
―服务器‖->―客户‖：你好，我是服务器{你好，我是服务器}[私钥|RSA]
―客户‖->―服务器‖：{我们后面的通信过程，用对称加密来进行，这里是对称加密算法和密钥}[公钥|RSA] //蓝色字体的部分是对称加密的算法和密钥的具体内容，客户把它们发送给服务器。
―服务器‖->―客户‖：{OK，收到！}[密钥|对称加密算法]
―客户‖->―服务器‖：{我的帐号是aaa，密码是123，把我的余额的信息发给我看看}[密钥|对称加密算法]
―服务器‖->―客户‖：{你的余额是100元}[密钥|对称加密算法]
在上面的通信过程中，―客户‖在确认了―服务器‖的身份后，―客户‖自己选择一个对称加密算法和一个密钥，把这个对称加密算法和密钥一起用公钥加密后发送给―服务器‖。注意，由于对称加密算法和密钥是用公钥加密的，就算这个加密后的内容被―黑客‖截获了，由于没有私钥，―黑客‖也无从知道对称加密算法和密钥的内容。
由于是用公钥加密的，只有私钥能够解密，这样就可以保证只有服务器可以知道对称加密算法和密钥，而其它人不可能知道(这个对称加密算法和密钥是―客户‖自己选择的，所以―客户‖自己当然知道如何解密加密)。这样―服务器‖和―客户‖就可以用对称加密算法和密钥来加密通信的内容了。
总结一下，RSA加密算法在这个通信过程中所起到的作用主要有两个：
?因为私钥只有“服务器”拥有，因此“客户”可以通过判断对方是否有私钥来判断对方是否是“服务器”。
?客户端通过RSA的掩护，安全的和服务器商量好一个对称加密算法和密钥来保证后面通信过程内容的安全。
如果这里您理解了为什么不用RSA去加密通信过程，而是要再确定一个对称加密算法来保证通信过程的安全，那么就说明前面的内容您已经理解了。(如果不清楚，再看下2.3和2.4，如果还是不清楚，那应该是我们说清楚，您可以留言提问。)
到这里，―客户‖就可以确认―服务器‖的身份，并且双方的通信内容可以进行加密，其他人就算截获了通信内容，也无法解密。的确，好像通信的过程是比较安全了。
但是这里还留有一个问题，在最开始我们就说过，―服务器‖要对外发布公钥，那―服务器‖
如何把公钥发送给―客户‖呢？我们第一反应可能会想到以下的两个方法：
a)把公钥放到互联网的某个地方的一个下载地址，事先给―客户‖去下载。
b)每次和―客户‖开始通信时，―服务器‖把公钥发给―客户‖。
但是这个两个方法都有一定的问题，
对于a)方法，―客户‖无法确定这个下载地址是不是―服务器‖发布的，你凭什么就相信这个地址下载的东西就是―服务器‖发布的而不是别人伪造的呢，万一下载到一个假的怎么办？另外要所有的―客户‖都在通信前事先去下载公钥也很不现实。
对于b)方法，也有问题，因为任何人都可以自己生成一对公钥和私钥，他只要向―客户‖发送他自己的私钥就可以冒充―服务器‖了。示意如下：
―客户‖->―黑客‖：你好//黑客截获―客户‖发给―服务器‖的消息
―黑客‖->―客户‖：你好，我是服务器，这个是我的公钥//黑客自己生成一对公钥和私钥，把公钥发给―客户‖，自己保留私钥
―客户‖->―黑客‖：向我证明你就是服务器
―黑客‖->―客户‖：你好，我是服务器{你好，我是服务器}[黑客自己的私钥|RSA] //客户收到―黑客‖用私钥加密的信息后，是可以用―黑客‖发给自己的公钥解密的，从而会误认为―黑客‖是―服务器‖
因此―黑客‖只需要自己生成一对公钥和私钥，然后把公钥发送给―客户‖，自己保留私钥，这样由于―客户‖可以用黑客的公钥解密黑客的私钥加密的内容，―客户‖就会相信―黑客‖是―服务器‖，从而导致了安全问题。这里问题的根源就在于，大家都可以生成公钥、私钥对，无法确认公钥对到底是谁的。如果能够确定公钥到底是谁的，就不会有这个问题了。例如，如果收到―黑客‖冒充―服务器‖发过来的公钥，经过某种检查，如果能够发现这个公钥不是―服务器‖的就好了。
为了解决这个问题，数字证书出现了，它可以解决我们上面的问题。先大概看下什么是数字证书，一个证书包含下面的具体内容：
?证书的发布机构
?证书的有效期
?公钥
?证书所有者（Subject）
?签名所使用的算法
?指纹以及指纹算法
证书的内容的详细解释会在后面详细解释，这里先只需要搞清楚一点，数字证书可以保证数字证书里的公钥确实是这个证书的所有者(Subject)的，或者证书可以用来确认对方的身份。也就是说，我们拿到一个数字证书，我们可以判断出这个数字证书到底是谁的。至于是如何判断的，后面会在详细讨论数字证书时详细解释。现在把前面的通信过程使用数字证书修改为如下：
2.5 第五回合：
―客户‖->―服务器‖：你好
―服务器‖->―客户‖：你好，我是服务器，这里是我的数字证书//这里用证书代替了公钥
―客户‖->―服务器‖：向我证明你就是服务器
―服务器‖->―客户‖：你好，我是服务器{你好，我是服务器}[私钥|RSA]
注意，上面第二次通信，―服务器‖把自己的证书发给了―客户‖，而不是发送公钥。―客户‖可以根据证书校验这个证书到底是不是―服务器‖的，也就是能校验这个证书的所有者是不是―服务器‖，从而确认这个证书中的公钥的确是―服务器‖的。后面的过程和以前是一样，―客户‖让―服务器‖证明自己的身份，―服务器‖用私钥加密一段内容连同明文一起发给―客户‖，―客户‖把加密内容用数字证书中的公钥解密后和明文对比，如果一致，那么对方就确实是―服务器‖，然后双方协商一个对称加密来保证通信过程的安全。到这里，整个过程就完整了，我们回顾一下：
2.6 完整过程：
step1：―客户‖向服务端发送一个通信请求
―客户‖->―服务器‖：你好
step2：―服务器‖向客户发送自己的数字证书。证书中有一个公钥用来加密信息，私钥由―服务器‖持有
―服务器‖->―客户‖：你好，我是服务器，这里是我的数字证书
step3：―客户‖收到―服务器‖的证书后，它会去验证这个数字证书到底是不是―服务器‖的，数字证书有没有什么问题，数字证书如果检查没有问题，就说明数字证书中的公钥确实是―服务器‖的。检查数字证书后，―客户‖会发送一个随机的字符串给―服务器‖用私钥去加密，服务器把加密的结果返回给―客户‖，―客户‖用公钥解密这个返回结果，如果解密结果与之前生成的随机字符串一致，那说明对方确实是私钥的持有者，或者说对方确实是―服务器‖。
―客户‖->―服务器‖：向我证明你就是服务器，这是一个随机字符串//前面的例子中为了方便解释，用的是―你好‖等内容，实际情况下一般是随机生成的一个字符串。
―服务器‖->―客户‖：{一个随机字符串}[私钥|RSA]
step4：验证―服务器‖的身份后，―客户‖生成一个对称加密算法和密钥，用于后面的通信的加密和解密。这个对称加密算法和密钥，―客户‖会用公钥加密后发送给―服务器‖，别人截获了也没用，因为只有―服务器‖手中有可以解密的私钥。这样，后面―服务器‖和―客户‖就都可以用对称加密算法来加密和解密通信内容了。
―服务器‖->―客户‖：{OK，已经收到你发来的对称加密算法和密钥！有什么可以帮到你的？}[密钥|对称加密算法]
―客户‖->―服务器‖：{我的帐号是aaa，密码是123，把我的余额的信息发给我看看}[密钥|对称加密算法]
―服务器‖->―客户‖：{你好，你的余额是100元}[密钥|对称加密算法]
…… //继续其它的通信
2.7 其它问题：
上面的过程已经十分接近HTTPS的真实通信过程了，完全可以按照这个过程去理解HTTPS 的工作原理。但是我为了方便解释，上面有些细节没有说到，有兴趣的人可以看下这部分的内容。可以跳过不看，无关紧要。
【问题1】
上面的通信过程中说到，在检查完证书后，―客户‖发送一个随机的字符串给―服务器‖去用私钥加密，以便判断对方是否真的持有私钥。但是有一个问题，―黑客‖也可以发送一个字符串给―服务器‖去加密并且得到加密后的内容，这样对于―服务器‖来说是不安全的，因为黑客可以发送一些简单的有规律的字符串给―服务器‖加密，从而寻找加密的规律，有可能威胁到私钥的安全。所以说，―服务器‖随随便便用私钥去加密一个来路不明的字符串并把结果发送给对方是不安全的。
〖解决方法〗
每次收到―客户‖发来的要加密的的字符串时，―服务器‖并不是真正的加密这个字符串本身，而是把这个字符串进行一个hash计算，加密这个字符串的hash值(不加密原来的字符串)后发送给―客户‖，―客户‖收到后解密这个hash值并自己计算字符串的hash值然后进行对
比是否一致。也就是说，―服务器‖不直接加密收到的字符串，而是加密这个字符串的一个hash值，这样就避免了加密那些有规律的字符串，从而降低被破解的机率。―客户‖自己发送的字符串，因此它自己可以计算字符串的hash值，然后再把―服务器‖发送过来的加密的hash值和自己计算的进行对比，同样也能确定对方是否是―服务器‖。
【问题2】
在双方的通信过程中，―黑客‖可以截获发送的加密了的内容，虽然他无法解密这个内容，但是他可以捣乱，例如把信息原封不动的发送多次，扰乱通信过程。
〖解决方法〗
可以给通信的内容加上一个序号或者一个随机的值，如果―客户‖或者―服务器‖接收到的信息中有之前出现过的序号或者随机值，那么说明有人在通信过程中重发信息内容进行捣乱，双方会立刻停止通信。有人可能会问，如果有人一直这么捣乱怎么办？那不是无法通信了？答案是的确是这样的，例如有人控制了你连接互联网的路由器，他的确可以针对你。但是一些重要的应用，例如军队或者政府的内部网络，它们都不使用我们平时使用的公网，因此一般人不会破坏到他们的通信。
【问题3】
在双方的通信过程中，―黑客‖除了简单的重复发送截获的消息之外，还可以修改截获后的密文修改后再发送，因为修改的是密文，虽然不能完全控制消息解密后的内容，但是仍然会破坏解密后的密文。因此发送过程如果黑客对密文进行了修改，―客户‖和―服务器‖是无法判断密文是否被修改的。虽然不一定能达到目的，但是―黑客‖可以一直这样碰碰运气。
〖解决方法〗
在每次发送信息时，先对信息的内容进行一个hash计算得出一个hash值，将信息的内容和这个hash值一起加密后发送。接收方在收到后进行解密得到明文的内容和hash值，然后接收方再自己对收到信息内容做一次hash计算，与收到的hash值进行对比看是否匹配，如果匹配就说明信息在传输过程中没有被修改过。如果不匹配说明中途有人故意对加密数据进行了修改，立刻中断通话过程后做其它处理。
3. 证书的构成和原理
3.1 证书的构成和原理
之前已经大概说了一个证书由什么构成，但是没有仔细进行介绍，这里对证书的内容做一个详细的介绍。先看下一个证书到底是个什么东西，在windows下查看一个证书时，界面是这样的，我们主要关注一下Details Tab页，其中的内容比较长，我滚动内容后后抓了三个图，把完整的信息显示出来：
里面的内容比较多——Version、Serial number、Signature algorithm 等等，挑几个重要的解释一下。
◆Issuer (证书的发布机构)
指出是什么机构发布的这个证书，也就是指明这个证书是哪个公司创建的(只是创建证书，不是指证书的使用者)。对于上面的这个证书来说，就是指"SecureTrust CA"这个机构。
◆Valid from , Valid to (证书的有效期)
也就是证书的有效时间，或者说证书的使用期限。过了有效期限，证书就会作废，不能使用了。
◆Public key (公钥)
这个我们在前面介绍公钥密码体制时介绍过，公钥是用来对消息进行加密的，第2章的例子中经常用到的。这个数字证书的公钥是2048位的，它的值可以在图的中间的那个对话框中看得到，是很长的一串数字。
◆Subject (主题)
这个证书是发布给谁的，或者说证书的所有者，一般是某个人或者某个公司名称、机构的名称、公司网站的网址等。对于这里的证书来说，证书的所有者是Trustwave这个公司。
◆Signature algorithm (签名所使用的算法)
就是指的这个数字证书的数字签名所使用的加密算法，这样就可以使用证书发布机构的证书里面的公钥，根据这个算法对指纹进行解密。指纹的加密结果就是数字签名(第1.5节中解释过数字签名)。
◆Thumbprint, Thumbprint algorithm (指纹以及指纹算法)
这个是用来保证证书的完整性的，也就是说确保证书没有被修改过，这东西的作用和2.7中说到的第3个问题类似。其原理就是在发布证书时，发布者根据指纹算法(一个hash算法)计算整个证书的hash值(指纹)并和证书放在一起，使用者在打开证书时，自己也根据指纹算法计算一下证书的hash值(指纹)，如果和刚开始的值对得上，就说明证书没有被修改过，因为证书的内容被修改后，根据证书的内容计算的出的hash值(指纹)是会变化的。
注意，这个指纹会使用"SecureTrust CA"这个证书机构的私钥用签名算法(Signature algorithm)加密后和证书放在一起。
注意，为了保证安全，在证书的发布机构发布证书时，证书的指纹和指纹算法，都会加密后再和证书放到一起发布，以防有人修改指纹后伪造相应的数字证书。这里问题又来了，证书的指纹和指纹算法用什么加密呢？他们是用证书发布机构的私钥进行加密的。可以用证书发布机构的公钥对指纹和指纹算法解密，也就是说证书发布机构除了给别人发布证书外，他自己本身也有自己的证书。证书发布机构的证书是哪里来的呢？？？这个证书发布机构的数字证书(一般由他自己生成)在我们的操作系统刚安装好时(例如windows xp等操作系统)，这些证书发布机构的数字证书就已经被微软(或者其它操作系统的开发机构)安装在操作系
统中了，微软等公司会根据一些权威安全机构的评估选取一些信誉很好并且通过一定的安全认证的证书发布机构，把这些证书发布机构的证书默认就安装在操作系统里面了，并且设置为操作系统信任的数字证书。这些证书发布机构自己持有与他自己的数字证书对应的私钥，他会用这个私钥加密所有他发布的证书的指纹作为数字签名。
3.2 如何向证书的发布机构去申请证书
举个例子方便大家理解，假设我们公司"ABC Company"花了1000块钱，向一个证书发布机构"SecureTrust CA"为我们自己的公司"ABC Company"申请了一张证书，注意，这个证书发布机构"SecureTrust CA"是一个大家公认并被一些权威机构接受的证书发布机构，我们的操作系统里面已经安装了"SecureTrust CA"的证书。"SecureTrust CA"在给我们发布证书时，把Issuer,Public key,Subject,Valid from,Valid to等信息以明文的形式写到证书里面，然后用一个指纹算法计算出这些数字证书内容的一个指纹，并把指纹和指纹算法用自己的私钥进行加密，然后和证书的内容一起发布，同时"SecureTrust CA"还会给一个我们公司"ABC Company"的私钥给到我们。我们花了1000块钱买的这个证书的内容如下：
×××××××××××××××证书内容开始×××××××××××××××××
Issuer : SecureTrust CA
Subject : ABC Company
Valid from ：某个日期
Valid to：某个日期
Public Key : 一串很长的数字
…… 其它的一些证书内容……
{证书的指纹和计算指纹所使用的指纹算法}[SecureTrust CA的私钥|RSA] //这个就是"SecureTrust CA"对这个证书的一个数字签名，表示这个证书确实是他发布的，有什么问题他会负责(收了我们1000块，出了问题肯定要负责任的)
×××××××××××××××证书内容结束×××××××××××××××××
// 记不记得我们前面的约定？{} 表示RSA加密后的内容，[ | ]表示用什么密钥和算法进行加密
我们"ABC Company"申请到这个证书后，我们把证书投入使用，我们在通信过程开始时会把证书发给对方，对方如何检查这个证书的确是合法的并且是我们"ABC Company"公司的证书呢？首先应用程序(对方通信用的程序，例如IE、OUTLook等)读取证书中的Issuer(发布机构)为"SecureTrust CA" ，然后会在操作系统中受信任的发布机构的证书中去找"SecureTrust CA"的证书，如果找不到，那说明证书的发布机构是个水货发布机构，证书可能有问题，程序会给出一个错误信息。如果在系统中找到了"SecureTrust CA"的证书，那么应用程序就会从证书中取出"SecureTrust CA"的公钥，然后对我们"ABC Company"公司的证书里面的指纹和指纹算法用这个公钥进行解密，然后使用这个指纹算法计算"ABC Company"证书的指纹，将这个计算的指纹与放在证书中的指纹对比，如果一致，说明"ABC Company"的证书肯定没有被修改过并且证书是"SecureTrust CA" 发布的，证书中的公钥肯定是"ABC Company"的。对方然后就可以放心的使用这个公钥和我们"ABC Company"进行通信了。
★这个部分非常重要，一定要理解，您可以重新回顾一下之前的两章“1、基础知识”和“ 2、一个加密通信过程的演化”，然后再来理解这部分的内容。后面在Https的配置演示中，我还会再举例子说明证书的构成和原理。如果您把这节的内容看了几遍还没有搞懂证书的工作原理，您可以留言指出我没有说清楚的内容，我好方便进行修正。
3.3 证书的发布机构
前面已经初步介绍了一下证书发布机构，这里再深入讨论一下。
其实所有的公司都可以发布证书，我们自己也可以去注册一家公司来专门给别人发布证书。但是很明显，我们自己的专门发布证书的公司是不会被那些国际上的权威机构认可的，人家怎么知道你是不是个狗屁皮包公司？因此微软在它的操作系统中，并不会信任我们这个证书发布机构，当应用程序在检查证书的合法信的时候，一看证书的发布机构并不是操作系统所信任的发布机构，就会抛出错误信息。也就是说windows操作系统中不会预先安装好我们这个证书发布机构的证书，不信任我们这个发布机构。
不受信任的证书发布机构的危害
为什么一个证书发布机构受不受信任这么重要？我们举个例子。假设我们开了一个狗屁公司来为别人发布证书，并且我和微软有一腿，微软在他们的操作系统中把我设置为了受信任的证书发布机构。现在如果有个小公司叫Wicrosoft 花了10块钱让我为他们公司申请了一个证书，并且公司慢慢壮大，证书的应用范围也越来越广。然后有个奸商的公司JS Company想冒充Wicrosoft，于是给了我￥10000，让我为他们颁布一个证书，但是证书的名字(Subject)要写Wicrosoft，假如我为了这￥10000，真的把证书给了他们，那么他们以后就可以使用这个证书来冒充Wicrosoft了。
如果是一个优秀的证书发布机构，比如你要向他申请一个名字叫Wicrosoft的证书，它会让你提供很多资料证明你确实可以代表Wicrosoft这个公司，也就是说他回去核实你的身份。证书发布机构是要为他发布出的证书负法律责任的。
到这里，你可能会想，TMD，那我们自己就不能发布证书吗？就一定要花钱去申请？当然不是，我们自己也可以成立证书发布机构，但是需要通过一些安全认证等等，只是有点麻烦。另外，如果数字证书只是要在公司内部使用，公司可以自己给自己生成一个证书，在公司的所有机器上把这个证书设置为操作系统信任的证书发布机构的证书(这句话仔细看清楚，有点绕口)，这样以后公司发布的证书在公司内部的所有机器上就可以通过验证了(在发布证书
时，把这些证书的Issuer(发布机构)设置为我们自己的证书发布机构的证书的Subject(主题)就可以了)。但是这只限于内部应用，因为只有我们公司自己的机器上设置了信任我们自己这个所谓的证书发布机构，而其它机器上并没有事先信任我们这个证书发布机构，所以在其它机器上，我们发布的证书就无法通过安全验证。
4. 在windows中对数字证书进行管理
4.1 查看、删除、安装数字证书
我们在上一章中说到了，我们的操作系统中会预先安装好一些证书发布机构的证书，我们看下在windows中如何找到这些证书，步骤如下：
1)开始菜单->运行，输入mmc，回车
2)在打开的窗口中选择File-> Add/Remove Snap-in…
3)然后在弹出的对话框的Standalone Tab页里面点击Add… 按钮
4)在弹出的对对话框中选择certificates 后点击Add 按钮
具体的步骤如下图所示：
上面的步骤结束后，会又弹出一个对话框，里面有三个单选按钮如下：
?My user account
?Service account
?Computer account
可以选择第一或者第三个选项，用来查看当前用户的证书或整个计算里面安装的证书。我们这里就默认选择第一个，平时一般安装证书的时候都会给所有用户安装，所以选择第一个和
第三个选项看到的证书会差不多。我们在左边的导航树中选中受信任的证书发布机构(Trusted Root Certificate Authorities)，然后点击下面的证书(Certificates)，在右边的区域中就可以看到所有的受信任的证书发布机构的证书。
注意上面的图片中，右边我们选中的这个证书发布机构"SecureTrust CA"，我们前面在第3章3.2节中举例子的时候，就是去向这个证书发布机构申请的证书，由于我们申请的证书是这个机构发布的，所以应用程序在检查我们的证书的发布机构时(会检查我们证书的签名，确认是该机构发布的证书)，就会发现是可以信任的证书发布机构，从而就会相信我们证书的真实性。
删除数字证书很简单，直接在右边的列表中右键然后删除就可以了。
数字证书的安装也比较简单，直接双击数字证书文件，会打开数字证书，对话框下面会有一个Install Certificate按钮，点击后就可以根据向导进行安装，如下图所示：
这个证书是我自己生成的测试证书，在证书的导入向导里面，它会让你选择导入到什么位置，如果是一个我们自己信任的证书发布机构自己的证书，只要导入到Certificate Authorities 就可以了。Trusted Root Certificate Authorities, Intermediate Certification Authorities, Third-Party Root Certification Authorities 都是可以的，他们只是对证书的发布机构做了一个分类，还有一些其它的证书类型，例如Personal(个人证书)等等，具体就不介绍了。安装的时候一般来说可以用默认的选择项一直"下一步"到底。
4.2 如何自己创建证书
每个证书发布机构都有自己的用来创建证书的工具，当然，具体他们怎么去创建一个证书的我也不太清楚。微软为我们提供了一个用来创建证书的工具makecert.exe，在安装
电力二次系统网络与信息安全管理制度
电力系统二次系统网络与信息安全 管理制度 批准： 审核： 编制： XXXXXXXXXX有限公司
目录 一、总则 (3) 二、术语和定义 (3) 三、人员管理： (4) （一）、网络与信息安全专（兼）职人员管理 (4) （二）、要害岗位人员管理 (4) （三）、第三方人员管理 (4) 四、电力二次系统信息安全等级保护管理 (4) 五、电力二次系统安全防护管理 (4) （一）电力二次系统安全防护基本要求 (4) （二）电力二次系统安全防护工程实施管理 (5) 六、电力二次系统运维安全管理 (5) （一）机房环境安全管理 (5) （二）信息资产管理 (5) （三）设备安全管理 (5) （四）数据安全管理 (6) （五）介质安全管理 (6) （六）网络安全管理 (6) （七）电力专用安全防护设备管理 (6) （八）调度数字证书系统安全管理 (7) （九）防火墙安全管理 (7) （十）入侵检测系统安全管理 (7) （十一）操作系统安全管理 (7) （十二）数据库安全管理 (7) （十三）应用系统安管理 (8) （十四）病毒、恶意代码防护管理 (8) （十五）补丁安全管理 (8) （十六）账户和口令管理 (8) （十七）权限管理 (8) （十八）安全配置变更管理 (9) （十九）网络与信息安全事件处置 (9) （二十）应急预案管理 (9) 七、电力二次系统网络与信息安全检查和评估管理 (9) 八、回顾 (10) 九、培训 (10) 十、考核 (10)
电力二次系统网络与信息安全管理制度 一、总则 1、目的：为保障电力二次系统网络与信息安全，依据有关法律、法规及信息安全标准，特制定本规定。 2、内容：本规定明确了电力二次系统网络与信息安全管理的相关单位及部门职责、管理内容和方法。 3、适用范围：本规定适用于电力二次系统网络与信息安全规划设计、项目审查、工程实施、系统改造、运行维护管理。发电厂等从事电力二次系统网络与安全防护专业管理和运行维护管理的相关人员，均应遵守本规定。 4、规范性引用文件 中华人民共和国国务院令147 号中华人民共和国计算机信息系统安全保护条例 公通字[2007]43 号信息安全等级保护管理办法 国家电力监管委员会5号令电力二次系统安全防护规定 电监安全[2006]34号电力二次系统安全防护总体方案 GB17859-1999 计算机信息系统安全保护等级划分准则 GB/T 22239-2008 信息系统安全等级保护基本要求 GB/T 22240-2008 信息系统安全等级保护定级指南 GB/T20269-2006 信息安全技术信息系统安全管理要求 GB/T20270-2006 信息安全技术网络基础安全技术要求 GB/T20271-2006 信息安全技术信息系统通用安全技术要求 GB/T20272-2006 信息安全技术操作系统安全技术要求 GB/T20273-2006 信息安全技术数据库管理系统安全技术要求 GB/T20282-2006 信息安全技术信息系统安全工程管理要求 GB/T 19715-1.2 2005 /ISO/IEC TR 13335:2000 信息技术安全管理指南GB/T 19716-2005/ISO/IEC 17799:2000 信息安全管理实用规则 GB/T 18336-2001 /ISO/IEC 15408-1999 信息技术安全性评估准则 二、术语和定义 1、电力二次系统 在本规定所指电力二次系统包含电力监控系统、电力调度管理信息系统、电力通信及调度数据网络等。 2、电力监控系统 在本规定是指用于监视和控制电网及电厂生产运行过程的、基于计算机和网络技术的业务处理系统及智能设备等。包括电力数据采集
数字证书登陆常见问题解决方法
数字证书登陆常见问题解决方法 问题一、-10101042错误信息没有符合条件的证书 原因分析：由于客户使用了安全卫士等工具在启动项把我们的 (SMKEYU1O00没有检测到证书所以导致这样的问题 KEY的启动程序g SMKeyU 1000_禄圳性启盘和金晉无眉弁8.23M 錐捋呱扶匕开启荼止启功 解决办法： 第一步，检查数字证书是否已接到电脑上，灯是否亮。 第二步，检查数字证书的驱动是否已安装 第三步，用管理工具登陆检查一下有没有数字证书在UKEY里面 第四步，检查电脑的右下角任务栏里有没有一个U盘图标 U USBKET设备 诟BK町已经插 ZJ 如果没有U盘图标执下面的操作 (1 )执行桌面上的管理工具会自动的调用SMKEY Mon itor.exe 言理工具 (2需手动找到下面这个目录 深圳CA数字证书EKEY t理工具\SMKEYMonitor.exe 双击运行SMKEYMonitor.exe
SMKEYIMonitor. exe； 执行以上操作后应该可以出来一个这样的图标 廿 USBKET设备 USBKtygg 插入I 出现这样的图标就可以登陆本系统。 问题二： 登陆时提示，登陆失败，请检查是否正确安装驱动程序！点击这里下载安装驱动程序。 M”瑛圳帀顷必积盘営理申心”审的聳和c#芋证芳咗?如集氓仍任话耐和谊财ujrjmit辰農诩加軟攻」山頼 解决办法： 双击IE上面的黄色提示加载项，并安装深圳CA数字证书控件 并检查IE的加载项有没有启动（IE-工具-管理加载项） 此忙站龍鼻妥捷以下血星n ”瑕MI帀住翦公积丄誉理申匕”即的“诺划忙皿芋哑於园徉?.如簾够広任适障站和逗负珥莽打鼻宜農话加蛊3b d学i
色彩基本理论
设计师必修课：色彩构成基本理论知识 一、色彩与视觉的原理 1.光与色 光色并存，有光才有色。色彩感觉离不开光。 （1）光与可见光谱。光在物理学上是一种电磁波。从0.39微米到0.77微米波长之间的电磁波，才能引起人们的色彩视觉感觉受。此范围称为可见光谱 。波长大于0.77微米称红外线，波长小于0.39称紫外线。 （2）光的传播。光是以波动的形式进行直线传播的，具有波长和振幅两个因素。不同的波长长短产生色相差别。不同的振幅强弱大小产生同一色相的明暗差别。光在传播时有直射、反射、透射、漫射、折射等多种形式。光直射时直接传入人眼，视觉感受到的是光源色。当光源照射物体时，光从物体表面反射出来，人眼感受到的是物体表面色彩。当光照射时，如遇玻璃之类的透明物体，人眼看到是透过物体的穿透色。光在传播过程中，受到物体的干涉时，则产生漫射，对物体的表面色有一定影响。如通过不同物体时产生方向变化，称为折射，反映至人眼的色光与物体色相同。 2.物体色 自然界的物体五花八门、变化万千，它们本身虽然大都不会发光，但都具有选择性地吸收、反射、透射色光的特 性。当然，任何物体对色光不可能全部吸收或反射，因此，实际上不存在绝对的黑色或白色。 常见的黑、白、灰物体色中，白色的反射率是64％-92.3％；灰色的反射率是10％-64％；黑色的吸收率是90％以上。 物体对色光的吸收、反射或透射能力，很受物体表面肌理状态的影响，表面光滑、平整、细腻的物体，对色光的反射较强，如镜子、磨光石面、丝绸织物等。表面粗糙、凹凸、疏松的物体，易使光线产生漫射现象，故对色光的反射较弱，如毛玻璃、呢绒、海绵等。 但是，物体对色光的吸收与反射能力虽是固定不变的，而物体的表面色却会随着光源色的不同而改变，有时甚至失去其原有的色相感觉。所谓的物体“固有色”，实际上不过是常光下人们对此的习惯而已。如在闪烁、强烈的各色霓虹灯光下，所有建筑及人物的服色几乎都失去了原有本色而显得奇异莫测。 另外，光照的强度及角度对物体色也有影响。 二、色立体及表色系 1.色立体 色立体是依据色彩的色相、明度、纯度变化关系，借助三维空间，用旋围直角坐标的方法，组成一个类似
色彩构成课程标准
色彩构成课程标准 一、课程性质与任务 色彩构成是一门专业基础课程。本课程的任务是：培养学生的色彩感知和运用的能力，使其掌握理性和感性相结合的设计方法，拓展设计思维，为专业设计提供方法和途径，同时也为各艺术设计领域提供技法支持，为今后的专业设计奠定坚实的基础。 二、课程目标 （一）知识目标： 1.了解色彩构成的概念与意义； 2.掌握色彩构成的基本要素； 3.掌握色彩构成的分类； 4.掌握色彩构成的物理原理.生理学原理和心理效应，色彩的混合效果； 5.掌握色彩构成的原理.构思方法与表现技法。 （二）能力目标： 1.具有基本色彩辨识能力； 2.具有综合性的运用色彩构成进行设计的能力； 3.具有审美和解读美的能力； 4.具有一定的空间形象思维能力和设计创意能力。 （三）素质目标： 1.具有分析问题.解决问题的能力；； 2.具有沟通能力及团队协作精神 3.培养学生良好的市场分析的能力； 4.具有勇于创新.敬业乐业的工作作风； 5.培养学生搜集资料.阅读资料和利用资料的能力； 6.拥有较好的设计洞察力和较好的时代进步感以及优秀的平面构成审美能力；
三、参考学时 56学时。 四、课程学分 4学分。 五、课程内容和要求
六、教学建议 （一）教学方法 本课程建议采用启发式讲解与实际操作练习相结合的教学模式，教学重点在能力培养上，将理论知识转化为动手实践能力，在实践中提高学生的审美意识和创造美的能力。学生以小组合作的形式完成学习任务，鼓励学生互相借鉴、互相点评，共同进步。在教学实施过程中可以将课堂延伸到课外，教师指导学生去发现生活中的色彩构成实例，不仅可以帮助学生理解概念，发现变化规律，而且可
(完整word版)电力二次系统安全防护规定
【发布单位】国家电力监管委员会 【发布文号】国家电力监管委员会令第5号 【发布日期】2004-12-20 【生效日期】2005-02-01 【失效日期】 【所属类别】国家法律法规 【文件来源】国家电力监管委员会 电力二次系统安全防护规定 （国家电力监管委员会令第5号） 《电力二次系统安全防护规定》已经国家电力监管委员会主席办公会议通过，现予公布，自2005年2月1日起施行。 主席柴松岳 二○○四年十二月二十日 电力二次系统安全防护规定 第一章总则 第一条为了防范黑客及恶意代码等对电力二次系统的攻击侵害及由此引发电力系统事故，建立电力二次系统安全防护体系，保障电力系统的安全稳定运行，根据《中华人民共和国 计算机信息系统安全保护条例》和国家有关规定，制定本规定。 第二条电力二次系统安全防护工作应当坚持安全分区、网络专用、横向隔离、纵向认证 的原则,保障电力监控系统和电力调度数据网络的安全。 第三条电力二次系统的规划设计、项目审查、工程实施、系统改造、运行管理等应当符 合本规定的要求。 第二章技术措施 第四条发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上 划分为生产控制大区和管理信息大区。 生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响
生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。 根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。 第五条电力调度数据网应当在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。 电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。 第六条在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置。 生产控制大区内部的安全区之间应当采用具有访问控制功能的设备、防火墙或者相当功能的设施，实现逻辑隔离。 第七条在生产控制大区与广域网的纵向交接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施。 第八条安全区边界应当采取必要的安全防护措施，禁止任何穿越生产控制大区和管理信息大区之间边界的通用网络服务。 生产控制大区中的业务系统应当具有高安全性和高可靠性，禁止采用安全风险高的通用网络服务功能。 第九条依照电力调度管理体制建立基于公钥技术的分布式电力调度数字证书系统，生产控制大区中的重要业务系统应当采用认证加密机制。 第三章安全管理 第十条国家电力监管委员会负责电力二次系统安全防护的监管，制定电力二次系统安全防护技术规范并监督实施。 电力企业应当按照“谁主管谁负责，谁运营谁负责”的原则，建立健全电力二次系统安全管理制度，将电力二次系统安全防护工作及其信息报送纳入日常安全生产管理体系，落实分级负责的责任制。 电力调度机构负责直接调度范围内的下一级电力调度机构、变电站、发电厂输变电部分的二次系统安全防护的技术监督，发电厂内其它二次系统可由其上级主管单位实施技术监督。 第十一条建立电力二次系统安全评估制度，采取以自评估为主、联合评估为辅的方式，将电力二次系统安全评估纳入电力系统安全评价体系。
专利电子申请数字证书常见问题
专利电子申请数字证书常见问题 问： 什么是电子申请数字证书？ 答： 专利电子申请数字证书是国家知识产权局注册部门为注册用户免费提供的用于用户身份验证的一种权威性电子文档，国家知识产权局可以通过电子申请文件中的数字证书验证和识别用户的身份。数字证书还有对申请文件进行打包加密的功能。 问： 用户如何获取数字证书？ 答： 问： 用户数字证书如何备份？证书注销后如何重新申请？答： 问： 如何知道证书已经下载成功？ 答： 用户数字证书重新签发后需要如何操作？ 答： 问： 由于电脑重装系统，或其他原因导致数字证书不慎丢失，如何重新获取数字证书？ 答：
问： 数字证书如何供多台电脑共同使用？ 答： 问： 问： 如何设置用户数字证书的密码？ 答： 用户在下载证书的时候，会弹出安装数字证书的提示框，默认的安全级别为中级，此时点击【设置安全级别】，选择“高”，点击【下一步】，输入密码，点击【确定】，即可设置数字证书的密码。 问： 用户下载数字证书的时候没有设置密码，如何重新设置密码？ 答： 用户需要先从IE浏览器中导出数字证书，再将证书重新导入到IE浏览器中。导入时在根据页面上的提示，勾选“启用强私钥保护”和“标志此密钥是可导出的”选项，点击【设置安全级别】，选择“高”，点击【下一步】，输入密码，点击【确定】，即可重新设置数字证书的密码。设置密码后，在每次使用客户端进行数字签名时，系统都会弹出提示信息，要求用户输入密码。 问： 重装系统后数字证书丢失，应如何办理？要填什么表？答:
需要提交纸件形式的《电子申请用户注册事务意见陈述书》和相关证明文件复印件，重新申请证书。个人提交身份证复印件并签名，企业提交营业执照复印件并盖章。邮寄地址是： 北京市海淀区蓟门桥西土城路6号国家知识产权局专利局受理处，邮编： 100088。" 问： 数字证书可以重复下载吗？ 答： 数字证书不可以重复下载，用户下载证书后应立即备份，并妥善保存。 问： 有时候已经成功下载了用户数字证书，但是在客户端系统中无法查看该证书，这是什么原因？ 答： 如果使用的是正式环境下的数字证书，应当在客户端“系统设置”——>“选项”中选择“生产环境”；反之，如果使用的是测试环境下的数字证书，则应当在客户端“系统设置”——>“选项”中选择“测试环境”。 问： 上网看到注册成功了，登录后为什么没有显示用户证书那一栏？ 答： 临时用户不能下载数字证书。 问： 导出备份的数字证书导入其他电脑后，CPC客户端查看不到此证书，是什么问题？
国家电力监管委员会5号令 电力二次系统安全防护规定
《电力二次系统安全防护规定》（电监会5号令） 第一章总则 第一条为了防范黑客及恶意代码等对电力二次系统的攻击侵害及由此引发电力系统事故，建立电力二次系统安全防护体系统的安全稳定运行，根据《中华人民共和国计算机信息系统安全保护条例》和国家有关规定，制定本规定。 第二条电力二次系统安全防护工作应当坚持安全分区、网络专用、横向隔离、纵向认证的原则,保障电力监控系统和电力的安全。 第三条电力二次系统的规划设计、项目审查、工程实施、系统改造、运行管理等应当符合本规定的要求。 第二章技术措施 第四条发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根安全要求划分安全区。 根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区接。 第五条电力调度数据网应当在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其它数据网及外部公共隔离。 电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。 第六条在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置。 生产控制大区内部的安全区之间应当采用具有访问控制功能的设备、防火墙或者相当功能的设施，实现逻辑隔离。 第七条在生产控制大区与广域网的纵向交接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密相应设施。 第八条安全区边界应当采取必要的安全防护措施，禁止任何穿越生产控制大区和管理信息大区之间边界的通用网络服务。 生产控制大区中的业务系统应当具有高安全性和高可靠性，禁止采用安全风险高的通用网络服务功能。 第九条依照电力调度管理体制建立基于公钥技术的分布式电力调度数字证书系统，生产控制大区中的重要业务系统应当采制。 第三章安全管理 第十条国家电力监管委员会负责电力二次系统安全防护的监管，制定电力二次系统安全防护技术规范并监督实施。 电力企业应当按照“谁主管谁负责，谁运营谁负责”的原则，建立健全电力二次系统安全管理制度，将电力二次系统安全防息报送纳入日常安全生产管理体系，落实分级负责的责任制。 电力调度机构负责直接调度范围内的下一级电力调度机构、变电站、发电厂输变电部分的二次系统安全防护的技术监督，发
汇信数字证书：常见问题汇总汇总
问题处理 5.1通用处理技能 5.1.1添加信任站点 查看方法：一般在当前打开的网页右下方会显示“可信站点”字样(如下图)。 如在当前网页右下方未显示信任站点的状态栏，点击当前浏览器上方的查看，状态栏一项打勾即可显示。 如果当前网页状态栏未显示“可信任站点”，而显示“未知区域”，则说明该站点还未被添加为可信站点，需重新添加。操作方法如下： 打开IE浏览器，点击工具—Internet选项—安全，选中受信任的站点或可信站点后点击站点，将需要添加信任站点的网址输入到“将该网站添加到区域中”并将“对该区域中的所有站点要求服务器验证”选项勾选去除，点击“添加”即可。 5.1.2安装证书信任链文件 当遇到证书路径有问题的情况下，电脑时间正常，则需要到汇信网下载中心，下载“ZJCA 证书信任链文件”（下图）， 信任链文件 解压后分别安装两个证书即可。以下图分解说明信任链安装过程：
备注：顺序从左至右。 5.1.3确认IE浏览器版本 打开任意一个网页，点击浏览器上方“帮助-关于Internet Explorer”即可查看浏览器的版本。 “e照通”支持的是以IE核心的浏览器版本，如世界之窗（The World）、傲游浏览器（Maxthon）、腾讯TT（Tencent Traveler）、360安全浏览器（360SE）、搜狗浏览器等；不支持的浏览器有火狐（Firefox）、Opera、苹果等非IE核心的浏览器。
5.1.4安全警报 登录网站时涉及到安全证书的情况下，浏览器将会提示安全警报，点击“是”继续即可。如下图。 5.1.5启用控件 （一）浏览器上被拦截的控件 点击拦截工具条，再点击“为此计算机上的所有用户安装此加载项”，在点击安装后即可，如下图。
2020年电力系统工程师职称考试题库及答案(一)
2020年电力工程师职称考试（一） 一．单选题： 1.（单选题，0.5分）变压器铭牌上的额定容量是指（C ） A.有功功率； B.无功功率； C.视在功率； D.平均功率 2.（单选题，1分）下列（A ）情况下单相接地故障电流大于三相 短路电流。 A.故障点零序综合阻抗小于故障点正序阻抗； B.故障点零序综合阻抗等于故障点正序阻抗； C.故障点零序综合阻抗大于故障点正序阻抗； D.故障点零序综合阻抗等于故障点负序阻抗。 3.（单选题，0.5分）在高压设备上工作，应至少由（B）进行，并 完成保证安全的组织措施和技术措施。 A.一人； B.两人； C.三人； D.四人 4.（单选题，1分）根据电力系统所承受扰动的大小，功角稳定类 型不包括（ACD）。 A.暂态稳定； B.电压稳定； C.静态稳定； D.动态稳定
5.（单选题，0.5分）计算机网络通信系统是指（D）。 A.电信号传输系统； B.文字通信系统； C.信号通信系统； D.数据通信系统 6.（单选题，0.5分）输送相同的负荷，提高输送系统的电压等级会 （B）。 A.提高负荷功率因数； B.减少线损； C.改善电压波形； D.增大电流 7.（单选题，0.5分）电力监控系统安全防护工作应当按照等级保护 的有关要求，坚持（B）的原则，保障电力监控系统和电力调度数据网络的安全。 A.“安全分区、网络专用、纵向隔离、横向认证”； B.“安全分区、网络专用、横向隔离、纵向认证”； C.“安全隔离、网络专用、横向分区、纵向认证”； D.“安全认证、网络专用、纵向隔离、横向分区”。 8.（单选题，0.5分）计算机的操作系统是指（C）。 A.软件与硬件的接口； B.主机与外设的接口； C.计算机与用户的接口； D.高级语言与机器语言的接口。 9.（单选题，1分）户外110kV中性点接地系统高压配电装置场所 的行车通道上，车辆（包括装载物）外廓至无遮拦带电部分之间的安全距离为（D）m。 A. 1.35； B. 1.55； C. 1.60； D. 1.65
单位使用企业数字证书登录公积金网上政务大厅的办理流程
单位使用企业数字证书登录公积金网上政务大厅的办理流程 一、业务申请 （一）已有四川CA“e证通”企业数字证书的用户 (证书须在有效期内，且能正常使用) 填写《“E证通”公积金网上业务开通申请表》，并携带数字证书USBkey到成都住房公积金管理中心柜台申请开通。 （二）无四川CA“e证通”数字证书的用户，请按以下办理： 提交下列资料(均加盖公章，证照为最新年检有效) ①《“e证通”数字证书业务申请表》原件1份 ②企业法人营业执照(副本)复印件1份 ③组织机构代码证（副本）复印件1份 ④经办人身份证复印件1份 二、业务受理 新办数字证书的地点、方式，由成都公积金管理中心和四川“CA”认证中心根据情况确定后告知单位。 新办用户当月提交资料，请于次月凭电话通知，由经办人本人前来领取“e 证通”数字证书。 三、相关费用 已有证书开通业务免费 证书开户费：200元/个（2011年免开户费） 企业数字证书服务费：400元/年（2011年免费） KEY解锁：免费 证书变更：20元/次 遗失补办、损坏更换：80元/个 （解锁、证书变更、遗失补办、损坏更换请到四川CA数字证书窗口办理：
地址：草市街2号（四川省/成都市政务服务中心5楼） 电话：86936568 附件1：“e证通”数字证书业务申请表 附件一： “e证通”数字证书业务申请表 注意事项： 1、请用黑色水笔填写或电脑A4纸打印，一旦递交则视作承认并遵守《数字证书用户责任书》。 2、『新办』、『更新』、『变更』业务需携带以下资料（均加盖公章）： ①单位证照(副本)复印件一份 ②《组织机构代码证(副本)》复印件一份
③经办人有效身份证件复印件一份 3、『解锁』『注销』『补办』业务办理需携带以下资料（加盖公章）： ①经办人有效身份证件复印件一份 “e证通”数字证书用户责任书 数字证书（以下简称“证书”）用于标识网络用户的身份，四川省数字证书认证管理中心有限公司（以下简称“四川CA”）作为权威的、公正的第三方机构，为用户提供数字身份认证服务。 “e证通”是四川CA推出的在政府网上申报、网上审批业务中使用的，可以实现“一证多用”的数字证书。经“e证通”签名的电子文档与手写签名及纸质材料加盖公章具有同等法律效力。用户使用“e证通”经授权后可以进入多个政府职能部门的网上业务系统，能够降低开展网上业务的成本, 提高数字证书的使用效率，但同时也可能会使单位内部原本分权管理的核心信息无法实现分权管理。为合理使用“e证通”，在享受“e证通”好处的同时降低使用风险，特订立如下条款，四川CA和用户共同遵守执行： 一、用户知晓证书只能用于在网络上标识用户身份，不作其他任何用途，但各应用系统可以根据该功能对 其用途进行定义。用户应妥善保管数字证书，所有使用数字证书在网上作业中的活动均视为用户所为，用户对使用数字证书的行为负责，因此而产生的相关后果应当由用户自行承担。 二、用户在申请证书时请遵照四川CA的规程办理相关手续。 三、用户同意四川CA向有关部门和个人核实用户信息且四川CA有权合法收集、处理、传递和应用用户资 料，并按照国家有关规定对用户资料保密。 四、用户申请证书时应向四川CA提供真实、完整、准确的资料和信息。如用户故意或过失提供不真实资料 和信息而导致四川CA签发证书错误的，由用户承担所造成的一切责任和损失。证书申请者的申请一旦获得批准，无论是否已经接受证书，证书申请者自动成为证书用户。 五、用户因提供的资料信息如单位名称、单位注册号、组织机构代码等资料信息在证书有效期内变更的， 应当及时书面告知四川CA，并终止使用证书。在证书签发日起30日内发生变更的，四川CA提供免费变更服务。 六、用户应妥善保管证书和证书私钥。如因用户原因致使证书私钥泄露、损毁或者丢失的，损失由用户自 行承担。如证书私钥在证书有效期内泄露、损毁、丢失或可能泄露、损毁、丢失的，用户应及时向四川CA申请办理注销手续。注销自手续办妥时起生效，注销生效前发生的损失由用户自行承担。 七、用户终止使用证书时，应当立即申请注销证书。证书注销生效前，用户自行承担使用数字证书造成的 一切责任。 八、四川CA承诺，由于四川CA原因导致证书签发错误或证书私钥破译并对用户造成损失的，由四川CA向 用户承担赔偿责任。 九、由于不可抗力因素致使四川CA无法履行相应义务，四川CA不承担任何责任。 十、下列情形之一，四川CA有权注销所签发的证书并不承担任何责任。由此给四川CA造成损失的，用户 应当向四川CA承担赔偿责任： 1、提供的资料或信息不真实、不完整或不准确的； 2、证书信息有变更或证书私钥已经丢失或可能丢失，未终止使用该证书并通知四川CA的； 3、超过证书的有效期限使用证书的； 4、没有按照规定缴纳证书费用或其它相关费用的； 5、使用证书用于违法、犯罪活动的。 十一、证书的有效期为一年，自证书签发之日起计算。用户更新证书的，须在证书期限届满前30天以内向四川CA提出证书更新请求，否则，期限届满后证书将自动失效，四川CA对此不负任何责任。用户所提交的鉴证资料有效期先于证书的有效期届满的，用户应在原资料有效期届满前更新资料，否则四川CA有权注销用户的证书，若因此而造成损失，由用户承担。 十二、如果用户单位解散，法定责任人需要携带相关证明文件及原证书，向四川CA请求注销用户证书。相关责任人应当承担其证书在注销前相关行为所产生的责任。
扁平化指挥系统平台解决方案
扁平化指挥系统平台 解决方案 四川天翼网络服务有限公司 2014年6月
一、项目背景 近年来，在我国“科技强警”战略背景下，各地公安机关纷纷进行信息化系统的研发和应用，在强化社会服务管理、维护治安秩序、保障公共安全、预防和打击违法犯罪等各项警务工作取得了明显成效。我省公安系统已经逐步建成了视频会议系统、监控系统、350M 集群系统等涵盖视频、语音、数据等方面的通信保障系统，以及警务综合应用系统、PGIS警用地理信息系统、PKI/PMI数字证书系统等业务应用管理系统，极大地提高了公安机关各部门的工作效率，提升了公安系统的日常工作效率，提高了应对紧急突发事件的处置能力。 但是在成绩之外，现有信息化建设距离“信息主导警务、情报引领实战、扁平警务调度”的警务新格局还有较大差距，主要表现在以下几个方面：一是总体规划、建设和应用明显滞后于现实斗争需要；二是建设、管理水平难以满足各级公安机关和广大公安民警对信息化应用的旺盛需求增长；三是实际发展不平衡对公安信息化建设愈加注重整体性推进的相矛盾；四是前期分散式建设模式阻碍公安信息化集成、整合、共享工作开展；五是传统警务机制惯性与建立以信息化为核心的现代警务机制相矛盾。 如何整合已掌握的信息资源，实现公安指挥调度工作在应急处突工作时的扁平化，提高指挥调度的工作效率，更好地满足我省公安系
统各级指挥中心快速、高效处置重特大案（事）件的指挥调度需要；如何有效提升全省公安机关快速反应、处置突发事件的能力；如何更积极的适应科技发展趋势，向信息化要警力、要战斗力，稳步推进信息化项目的建设应用和信息化系统的管理维护工作成为新时期公安信息化建设的重点。 随着日益严峻的反恐压力和快速维稳处突等新要求，急需要一个综合性的指挥调度系统来指挥公安部门日常工作和实际作战。天翼公司以“信息主导警务、情报引领实战”为导向，按照四川省公安厅“4+2”战略框架体系总体部署，结合公安信息化工作的实际，研发了扁平化指挥系统平台。该系统将构架扁平化指挥体系的核心平台，实现省厅指挥中心与公安部指挥中心、厅交警、消防、警卫和边防指挥中心的互联互通，实现省厅与市、区、县各级指挥中心的可视指挥、视频调用、视频会议、实时交流、数据共享等功能，并实现全网视频、音频资源的统一管理和统一调度。系统将改善公安部门指挥决策链条过长的缺点，实现现有警用业务系统间的交互，整合资源，充分利用各项业务数据进行分析挖掘，为指挥决策提供重要的数据支撑。 二、系统功能简介 扁平化指挥系统基于GIS、PGIS平台，充分整合公安的“三台合一”接处警系统，对GPS定位、天网视频监控和350M无线集群、短信系统等系统进行有效关联整合，从而构建了可用于公安日常工作和作战指挥的扁平化、可视化指挥系统。系统可实现对巡逻警员在地图
如何使用数字证书word版
如何使用数字证书 （说明：本手册仅对数字证书的安装以及广交会网络管理系统相应应该设置的操作进行说明，在系统正式启用数字证书前，所有操作方法与原来的相同。本手册上的系统操作说明只有在启用数字证书后才适用） 第一部分：系统登陆 一、安装数字证书 电子密钥是一外形象U盘的安全存储体，内含数字证书，通过数字证书保证使用者操作的合法、有效。 电子密钥需要驱动程序，其驱动程序的安装过程如普通硬件。 安装驱动程序方法： ①把证书驱动程序光盘放进光驱里，光盘会自动播放，在弹出的窗口 点击安装电子密钥驱动； ②按照屏幕提示进行安装； ③“电子密钥PKXC用户版”已经安装完毕，在任务栏上会新增一个小图标如下： 如果此工具没有启动，请点击“开始”->“程序”->“电子密钥用户版”->“数字证书查验工具”，启动此工具。 插入电子密钥（以winXP为例） 1、将电子密钥插进USB接口，任务栏会显示： 2、等待片刻，会出现如下窗口：
3、在以上的窗口选择默认的选项“自动安装软件（推荐）”，点击下一步，等待片刻，系统自动安装； 4、点击完成，新硬件安装成功 。 检验安装是否成功 1、确认电子密钥插好后，打开浏览器（IE），菜单中选择“工具”——>“Internet选项”； 2、在出现的窗口上选择“内容”的页面，点击“证书”项，可以查看到自己的证书。 (当Windows系统存在的证书数量不止一个时，在使用备案网站的备案表输入和证件申请过程
中，提交操作时会弹出窗口要求你选取要签名的证书。为了使操作方便，建议把不起作用的证书删除，使Windows系统只保留本中心下发的证书，比如上图的Administrator证书是Windows自带的，可以选择它删除，如下图，点击“是”完成删除) 密码更改 1、插入电子密钥 2、双击任务栏上电子密钥的图标： 3、选择管理工具的“修改密码”按钮，进行密码修改（原密码是12345678）。 Internet设置(此项设置必设) 如果第一次进入备案系统网站（https://www.wendangku.net/doc/c018130624.html,）出现以下提示或无法正常登陆系统，或者在网页浏览过程中防毒软件有提示ActiveX 控件没启用或者拦截了，则需要把防毒软件暂时停掉，另外可能需要进行以下几
实验二 数字证书的申请及安装
实验二数字证书的申请及安装 【实验目的】1. 了解认证体系的体制结构、功能、作用、业务范围及运行机制。 2. 掌握网上申请个人数字证书的方法。 3．掌握数字证书的导入、导出和安装。 【实验环境】Internet、Internet Explorer 【主要内容】1. 通过搜索国内认证机构网站，了解其功能、作用及所提供的业务 2.在“中国协卡认证体系”网站（https://www.wendangku.net/doc/c018130624.html,）为自己 申请“个人安全电子邮件证书”。 3.登录广东省电子商务认证中心网站（https://www.wendangku.net/doc/c018130624.html,），为 自己申请试用版网证通数字证书。 【操作流程】 图1-9 数字证书的申请及安装流程 【实验导读】 数字证书的原理及作用 数字证书采用PKI（Public Key Infrastructure）公开密钥基础架构技术，利用一对互相匹配的密钥进行加密和解密。用户采用自己的私钥对发送信息加以处理，形成数字签名。由于私钥为本人所独有，这样可以确定发送者的身份，防止发送者对发送信息的抵赖性。接收方通过验证签名还可以判断信息是否被篡改过。
数字证书的颁发 数字证书是由认证中心（CA机构，Certificate Authority）颁发的。 认证中心是能向用户签发数字证书以确认用户身份的管理机构。它作为电子商务交易中受信任的第三方，一方面为每个使用公开密钥的用户发放一个数字证书，其作用是证明证书中列出的用户合法拥有证书中列出的公开密钥；另一方面承担公钥体系中公钥的合法性检验的责任。 ?数字证书颁发过程 数字证书颁发过程如下：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。用户就可以使用自己的数字证书进行相关的各种活动。 作为个人用户，你既可以为自己申请数字证书，也可以为一台安全服务器申请数字证书。数字证书有试用版和正式版两种，试用版申请过程在网上即时完成，并立即可以免费使用。正式版数字证书则需要额外的处理方法及时间，一般过程是用户首先在网上填写数字证书申请资料，认证中心在接收到申请请求后，它将对申请人的身份进行审核，当用户的申请请求满足认证中心的所有要求后，认证中心将为其制作证书，然后发送给申请人或者是申请人在网上下载自己的证书。 ?根证书及根证书下载 所谓根证书，是CA认证中心与用户建立信任关系的基础，用户的数字证书必须有一个受信任的根证书，用户的数字证书才是有效的。从技术上讲，证书其实包含三部分，用户的信息，用户的公钥，还有CA中心对该证书里面的信息的签名，要验证一份证书的真伪（即验证CA中心对该证书信息的签名是否有效），需要用CA中心的公钥验证，而CA中心的公钥存在于对这份证书进行签名的证书内，故需要下载该证书，但使用该证书验证又需先验证该证书本身的真伪，故又要用签发该证书的证书来验证，这样一来就构成一条证书链的关系。根证书是一份特殊的证书，它的签发者是它本身，下载根证书就表明你对该根证书以下所签发的证书都表示信任，而技术上则是建立起一个验证证书信息的链条，证书的验证追溯至根证书即为结束。所以说用户在使用自己的数字证书之前必须先下载根证书。 ?个人数字证书 数字证书是在Internet上用来证明用户身份的一种方式，它是一份包含用户身份信息、用户密钥信息以及CA中心数字签名的文件。申请个人数字证书可以为Internet用户提供发送电子邮件的安全和访问需要安全连接（需要客户证书）的站点。
商标数字证书介绍信
商标数字证书介绍信 篇一：领取《商标数字证书》-介绍信 介绍信 中华人民共和国国家工商行政管理总局商标局： 我是，现委托来中华人民共和国国家工商行政管理总局商标局领取商标数字证书。请予以接待！谢谢！ 申请人章戳（签字） 年月日 篇二：代领商标数字证(原文来自：小草范文网:商标数字证书介绍信)书介绍信 篇一：领取《商标数字证书》-介绍信 介绍信 中华人民共和国国家工商行政管理总局商标局： 我是，现委托来中华人民共和国国家工商行政管理总局商标局领取商标数字证书。请予以接待！谢谢！ 申请人章戳（签字） 年月日篇二：商标数字证书申请流程 商标代理机构要成为商标局商标网上申请系统用户的，应当申请“商标数字证书”，即：应当先申请国家工商行政管理总局经济信息中心颁发的“商标数字证书”。 申请“商标数字证书”的，视为同意遵守《工商总局数字证书申请责任书》及其他有关规定，视为承认该“商标数
字证书”电子签名的法律效力。 数字证书持有人应当妥善保管数字证书载体。否则，承担由此产生的一切后果。商标代理组织持“商标数字证书”登录网上申请系统。 商标代理组织申请“商标数字证书”流程如下： 一、在线填写商标数字证书申请表 1、登录中国商标网，点击“网上申请”，进入“商标网上申请系统”。点击“商标网上申请指南”，再点击“商标数字证书申请指南”，然后再点击“商标数字证书申请流程”，仔细阅读该文档。点击文档后的“商标数字证书申请表”，按页面提示如实填写，检查无误后提交申请表。 2、提交完成后，系统将自动随机产生激活码，证书申请人务必牢记并切勿外泄该激活码。首次登录本系统提交商标网上申请时，必须使用激活码激活数字证书。下载pdf格式的《商标数字证书业务办理表》、《工商总局数字证书申请责任书》。《商标数字证书业务办理表》是根据申请人所填写的信息生成的，申请人应立即下载该《商标数字证书业务办理表》，同时还应下载《工商总局数字证书申请责任书》。 二、准备数字证书申请材料一式一份 申请商标数字证书的，应递交一式一份申请材料。 （一）每份申请材料包括以下书件： 1、《商标数字证书业务办理表》
数字证书介绍
数字证书介绍 数字证书就是互联网通讯中标志通讯各方身份信息的一串数字，提供了一种在Internet上验证通信实体身份的方式，数字证书不是数字身份证，而是身份认证机构盖在数字身份证上的一个章或印（或者说加在数字身份证上的一个签名）。它是由权威机构——CA机构，又称为证书授权（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。 数字证书又称为数字标识（Digital Certificate，Digital Identity），标识某一主体（个人、单位、服务器、智能终端等）的身份信息。信息系统的用户或设备需要使用数字证书来表明自己的身份，并用其进行信息加密、电子签名等相关操作。通俗地讲，数字证书就是个人、单位或相关设备的电子身份证。 数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。数字证书还有一个重要的特征就是只在特定的时间段内有效。 1.1数字证书的特点 ●安全性 （1）为了避免传统数字证书方案中，由于使用不当造成的证书丢失等安全隐患，支付宝创造性的推出双证书解决方案：支付宝会员在申请数字证书时，将同时获得两张证书，一张用于验证支付宝账户，另一张用于验证会员当前所使用的计算机。 （2）第二张证书不能备份，会员必须为每一台计算机重新申请一张。这样即使会员的数字证书被他人非法窃取，仍可保证其账户不会受到损失。 （3）支付盾是一个类似于U盘的实体安全工具，它内置的微型智能卡处理器能阻挡各种的风险，让您的账户始终处于安全的环境下。目前保证电子邮件安全性所使用的方式是数字证书。 ●唯一性 （1）支付宝数字证书根据用户身份给予相应的网络资源访问权限 （2）申请使用数字证书后，如果在其他电脑登录支付宝账户，没有导入数字证书备份的情况下，只能查询账户，不能进行任何操作，这样就相当于您拥有
电力二次系统安全防护规定
电力二次系统安全防护规定 目录 电力二次系统安全防护规定国家电力监管委员会令 第一章总则 第二章技术措施 第三章安全管理 第四章附则 展开 编辑本段电力二次系统安全防护规定 国家电力监管委员会令 第5号《电力二次系统安全防护规定》已经国家电力监管委员会主席办公会议通过，现予公布，自2005年2月1日起施行。主席柴松岳二○○四年十二月二十日概念：二次系统即控制、保护一次系统的回路。一次系统即供配电系统。 编辑本段第一章总则 第一条为了防范黑客及恶意代码等对电力二次系统的攻击侵害及由此引发电力系统事故，建立电力二次系统安全防护体系，保障电力系统的安全稳定运行，根据《中华人民共和国计算机信息系统安全保护条例》和国家有关规定，制定本规定。 第二条电力二次系统安全防护工作应当坚持安全分区、网络专用、横向隔离、纵向认证的原则,保障电力监控系统和电力调度数据网络的安全。第三条电力二次系统的规划设计、项目审查、工程实施、系统改造、运行管理等应当符合本规定的要求。 编辑本段第二章技术措施 第四条发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。第五条电力调度数据网应当在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接
二次系统安防题库
二次系统安防－题库 1. 《电网和电厂计算机监控系统及调度数据网络安全防护规定》，国家经贸委[2002]第30号令 （或：国家经贸委[2002]第30号令是：《电网和电厂计算机监控系统及调度数据网络安全防护规定》） 2. 《电网与电厂计算机监控系统及调度数据网络安全防护规定》已经国家经济贸易委员会主任办公会议讨论通过，现予公布，自2002年6月8日起施行－国家经济贸易委员会，二ＯＯ二年五月八日。 3. 《电力二次系统安全防护规定》，国家电力监管委员会令第5号2004年发布 （或：国家电力监管委员会第5号令是：《电力二次系统安全防护规定》） 4. 电力二次系统，包括电力监控系统、电力通信及数据网络等。 5. 电力监控系统，是指用于监视和控制电网及电厂生产运行过程的、基于计算机及网络技术的业务处理系统及智能设备等。包括电力数据采集与监控系统、能量管理系统、变电站自动化系统、换流站计算机监控系统、发电厂计算机监控系统、配电自动化系统、微机继电保护和安全自动装置、广域相量测量系统、负荷控制系统、水调自动化系统和水电梯级调度自动化系统、电能量计量计费系统、实时电力市场的辅助控制系统等。 6. 国家经贸委[2002]第30号令规定所称“电力监控系统”,包括各级电网调度自动化系统、变电站自动化系统、换流站计算机监控系统、发电厂计算机监控系统、配电网自动化系统、微机保护和安全自动装置、水调自动化系统和水电梯级调度自动化系统、电能量计量计费系统、实时电力市场的辅助控制系统等；“调度数据网络”包括各级电力调度专用广域数据网络、用于远程维护及电能量计费等的调度专用拨号网络、各计算机监控系统内部的本地局域网络等。 7. 电力监控系统可通过专用局域网实现与本地其他电力监控系统的互联，或通过电力调度数据网络实现上下级异地电力监控系统的互联。各电力监控系统与办公自动化系统或其他信息系统之间以网络方式互联时,必须采用经国家有关部门认证的专用、可靠的安全隔离设施。 8. 电力监控系统和电力调度数据网络均不得和互联网相连,并严格限制电子邮件的使用。 9. 新接入电力调度数据网络的节点和应用系统，须经负责本级电力调度数据网络机构核准，并送上一级电力调度机构备案。 10. 当发生涉及调度数据网络和控制系统安全的事件时，应立即向上一级调度机构报告，同时报国调中心，并在8 小时内提供书面报告。对隐报、缓报、谎报者，将按国家和公司有关规定，追究相关单位和当事人的责任。 11. 凡涉及二次系统安全防护秘密的各种载体，应设专人管理，未经批准不得复制和摘抄。所有员工不准在各类媒体上发表涉及二次系统安全防护秘密的内容和信息。 12. 电力二次系统的规划设计、项目审查、工程实施、系统改造、运行管理等应当符合国家电力监管委员会第5号令的要求。 13. 电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。 14. 在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置。 15. 生产控制大区内部的安全区之间应当采用具有访问控制功能的设备、防火墙或者相当功能的设施，实现逻辑隔离。 16. 在生产控制大区与广域网的纵向交接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施。 17. 依照电力调度管理体制建立基于公钥技术的分布式电力调度数字证书系统，生产控制大区中的重要业务系统应当采用认证加密机制。 18. 电力调度机构负责直接调度范围内的下一级电力调度机构、变电站、发电厂输变电部分的二次系统安全防护的技术监督，发电厂内其它二次系统可由其上级主管单位实施技术监督。 19. 对生产控制大区安全评估的所有记录、数据、结果等，应按国家有关要求做好保密工作。