信息安全項目解決方案

1、 . 河南 CA 信息安全解決方案 河南省數(shù)字證書認(rèn)證中心 .專業(yè)學(xué)習(xí)資料. . 一、身份鑒別 （一）、基本要求 1、應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別； 2、應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話 、限制非法登錄次數(shù)和自動 退出等措施 ； 3、應(yīng)啟用身份鑒別 、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度 檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。 4、應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中 不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用； 5、應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別； （二）、實現(xiàn)方式 通過部署

2、PKI/CA 與應(yīng)用系統(tǒng)相結(jié)合實現(xiàn)該項技術(shù)要求。 （三）、部署方式 詳細(xì)部署方式參見應(yīng)用安全支撐系統(tǒng)系統(tǒng)設(shè)計。 .專業(yè)學(xué)習(xí)資料. . 二、訪問控制 （一）、基本要求 1、應(yīng)提供訪問控制功能控制用戶組/ 用戶對系統(tǒng)功能和用戶數(shù)據(jù)的訪問； 2、應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)用戶的訪問權(quán)限。 3、應(yīng)提供訪問控制功能 ，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體 的訪問； 4、訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的 操作； 5、應(yīng)授予不同賬戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形 成相互制約的關(guān)系 。 6、應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能； 7、應(yīng)

3、依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作； （二）、實現(xiàn)方式 通過部署 PKI/CA 與應(yīng)用系統(tǒng)相結(jié)合實現(xiàn)該項技術(shù)要求。 （三）、部署方式 詳細(xì)部署方式參見應(yīng)用安全支撐系統(tǒng)系統(tǒng)設(shè)計。 三、通信完整性 、保密性 （一）、基本要求 1、應(yīng)采用約定通信會話方式的方法保證通信過程中數(shù)據(jù)的完整性。 2、應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。 3、在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會話初始化驗 證； .專業(yè)學(xué)習(xí)資料. . 4、應(yīng)對通信過程中的整個報文或會話過程進(jìn)行加密。 （二）、實現(xiàn)方式 應(yīng)通過應(yīng)用數(shù)據(jù)加密實現(xiàn)對于數(shù)據(jù)的完整性和保密性安全。 四、抗抵賴 （一）、基本要求

4、1、應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功 能； 2、應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功 能。 （二）、實現(xiàn)方式 抗抵賴功能最常見的實現(xiàn)方式是通過PKI、數(shù)字簽名 、數(shù)字水印和 CA 等技 術(shù)實現(xiàn)。 （三）、部署方式 通過部署 CA 實現(xiàn)應(yīng)用抗抵賴功能 。 五、數(shù)據(jù)完整性 （一）、基本要求 1、應(yīng)能夠檢測到重要用戶數(shù)據(jù)在傳輸過程中完整性受到破壞。 2、應(yīng)能夠檢測到鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞； 3、應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完 整性受到破壞 ，并在檢測到完整性錯誤時采取必要的恢復(fù)措施； 4、應(yīng)

5、能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完 整性受到破壞 ，并在檢測到完整性錯誤時采取必要的恢復(fù)措施； .專業(yè)學(xué)習(xí)資料. . （二）、實現(xiàn)方式 通過使用 Hash 校驗的方法確保數(shù)據(jù)的完整性。傳輸過程的完整性受到損壞 則采取數(shù)據(jù)重傳的機(jī)制 ； 對于存儲的數(shù)據(jù)則應(yīng)采取多個備份的方式，防止單一數(shù)據(jù)損壞造成的損 失。 （三）、部署方式 1、針對應(yīng)用數(shù)據(jù)的其他完整性保護(hù)可以采用Hash 校驗，在進(jìn)行安全編程 時采用； 2、針對應(yīng)用存儲數(shù)據(jù)進(jìn)行完整性保護(hù)時，應(yīng)當(dāng)采用多種備份機(jī)制進(jìn)行恢 復(fù)。 六、數(shù)據(jù)保密性 （一）、基本要求 1、應(yīng)采用加密或其他保護(hù)措施實現(xiàn)鑒別信息的存儲保密性； 1、應(yīng)

6、采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù) 據(jù)傳輸保密性 ； 2、應(yīng)采用加密或其他保護(hù)措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù) 據(jù)存儲保密性 ； （二）、實現(xiàn)方式 無論在身份驗證階段還是數(shù)據(jù)傳輸階段都使用加密的形式傳輸數(shù)據(jù)，通常 的方法可以使用SSL或 TLS 等方式，也可以使用 VPN 或?qū)Ｓ脜f(xié)議傳輸 。 對存儲的重要數(shù)據(jù)需要采取加密手段進(jìn)行保存。對于本身就是加密方式存 儲和使用的數(shù)據(jù) ，在傳輸過程中可以適當(dāng)降低對傳輸過程中加密的要求。 .專業(yè)學(xué)習(xí)資料. . （三）、部署方式 通過部署 CA、 VPN 方式實現(xiàn) 通過采用支持 MD5 方式的本地存儲實現(xiàn) 七、應(yīng)用安全支撐系

7、統(tǒng)設(shè)計 應(yīng)用安全支撐平臺是面向電子政務(wù)應(yīng)用，構(gòu)建在網(wǎng)絡(luò)基礎(chǔ)設(shè)施、系統(tǒng)平臺 以及安全保障體系基礎(chǔ)之上，為電子政務(wù)系統(tǒng)提供一體化的政務(wù)應(yīng)用安全支 撐。 1、應(yīng)用安全支撐系統(tǒng)整體結(jié)構(gòu) 應(yīng)用安全支撐系統(tǒng)基于數(shù)字證書構(gòu)建安全認(rèn)證、加密傳輸 、加密存儲系 統(tǒng)，并為政務(wù)應(yīng)用系統(tǒng)、網(wǎng)絡(luò)提供安全支撐服務(wù)，如可信網(wǎng)站 、遠(yuǎn)程應(yīng)用訪 問、網(wǎng)上業(yè)務(wù)安全服務(wù) 、數(shù)據(jù)保護(hù) 、安全電子郵件應(yīng)用等 。 應(yīng)用安全支撐系統(tǒng)設(shè)計以安全認(rèn)證網(wǎng)關(guān)、安全存儲控制服務(wù)器、簽名驗證 模塊接口等組成 ，其組成邏輯結(jié)構(gòu)如下圖所示： .專業(yè)學(xué)習(xí)資料. . CA 中心 公眾服務(wù) 移動辦公 遠(yuǎn)程辦公 應(yīng)用安全支撐系統(tǒng) 網(wǎng)絡(luò) 網(wǎng)絡(luò) 內(nèi)部用戶 安全認(rèn)證網(wǎng)

8、關(guān) 應(yīng)用服務(wù)器 安全存儲 控制服務(wù)器 政府部門 數(shù)據(jù)庫 安全接口 企業(yè)服務(wù) 圖表 1 應(yīng)用安全支撐系統(tǒng)結(jié)構(gòu) 如圖所示 ，應(yīng)用系統(tǒng)通過引入應(yīng)用安全支撐系統(tǒng)來利用數(shù)字證書服務(wù) ，為 各類應(yīng)用系統(tǒng)提供具有特定安全功能服務(wù) 。如上圖所示 ，應(yīng)用安全支撐系統(tǒng)是 實現(xiàn)應(yīng)用安全的基礎(chǔ) ，是實現(xiàn)基于 CA 中心數(shù)字證書安全建設(shè)的橋梁 。 2、可信網(wǎng)站的數(shù)字證書解決方案 基于應(yīng)用安全支撐系統(tǒng)結(jié)合數(shù)字證書實現(xiàn)可信網(wǎng)站保障，具體實現(xiàn)是設(shè)計 采用安全認(rèn)證網(wǎng)關(guān)實現(xiàn)網(wǎng)站https 訪問 。 加入安全認(rèn)證網(wǎng)關(guān)的系統(tǒng)結(jié)構(gòu)如下： .專業(yè)學(xué)習(xí)資料. . 網(wǎng)站系統(tǒng) SSL設(shè)備 圖表2可信網(wǎng)站應(yīng)用結(jié)構(gòu)示意 網(wǎng)站向權(quán)威的證書中心申請站

9、點證書后便可以采用https 方式進(jìn)行訪問 ，用 戶在瀏覽器中通過驗證站點證書來判別網(wǎng)站的真實性。 3、應(yīng)用遠(yuǎn)程訪問 （B/S 、 C/S ）安全設(shè)計 基于安全認(rèn)證網(wǎng)關(guān)的應(yīng)用遠(yuǎn)程訪問，實現(xiàn)安全的身份認(rèn)證及數(shù)據(jù)安全傳 輸。 對于 B/S 應(yīng)用系統(tǒng) ，瀏覽器自帶 SSL模塊，因此只需要在服務(wù)端部署安全認(rèn) 證網(wǎng)關(guān)，而對于 C/S 應(yīng)用系統(tǒng) ，則必須在客戶端與服務(wù)端同時部署安全認(rèn)證網(wǎng) 關(guān)及相應(yīng)的客戶端安全接口，為了使C/S 應(yīng)用也能夠真正獲取用戶證書信息， 客戶端還需要部署簽名模塊，服務(wù)端部署簽名驗證模塊。對應(yīng)用系統(tǒng)進(jìn)行防護(hù) 后的系統(tǒng)結(jié)構(gòu)如下 ： .專業(yè)學(xué)習(xí)資料. . C/S應(yīng)用B/S 應(yīng)用 安全認(rèn)證

10、網(wǎng)關(guān) ( 簽名驗證模塊) 數(shù)字認(rèn)證中心 安全連接 圖表3應(yīng)用遠(yuǎn)程訪問用結(jié)構(gòu)示意 經(jīng)過安全防護(hù)的 B/S 應(yīng)用訪問流程如下 ： 用戶使用瀏覽器訪問應(yīng)用系統(tǒng)。 安全認(rèn)證網(wǎng)關(guān)要求用戶提交用戶數(shù)字證書。 用戶登錄 USBKEY提交個人證書 。 安全認(rèn)證網(wǎng)關(guān)驗證用戶證書，包括證書自身有效性，信任證書鏈 ，黑 名單。 驗證通過后 ，安全認(rèn)證網(wǎng)關(guān)將請求發(fā)送給真正應(yīng)用服務(wù)器，并將用戶 證書信息添加到HTTP 請求中 。 應(yīng)用服務(wù)器從 HTTP 請求中獲取用戶的身份 ，進(jìn)行訪問控制并為用戶提 供服務(wù)。 經(jīng)過安全防護(hù)的 C/S 應(yīng)用訪問流程如下 ： 客戶端向服務(wù)端發(fā)起連接請求。 安全認(rèn)證網(wǎng)關(guān)要求用戶提交用戶數(shù)字證

11、書。 .專業(yè)學(xué)習(xí)資料. . 用戶登錄 USBKEY提交個人證書 。 安全認(rèn)證網(wǎng)關(guān)驗證用戶證書，包括證書自身有效性，信任證書鏈 ，黑 名單。 驗證通過后 ，安全認(rèn)證網(wǎng)關(guān)將請求發(fā)送給真正應(yīng)用服務(wù)器。 服務(wù)端返回此會話的特征數(shù)據(jù)。 客戶端調(diào)用簽名控件，使用用戶私鑰對此數(shù)據(jù)進(jìn)行簽名，并將簽名后 的數(shù)據(jù)和證書發(fā)送給服務(wù)端。 服務(wù)端接收后 ，將特征數(shù)據(jù) 、用戶證書以及用戶簽名后的特征數(shù)據(jù)一 起傳送給簽名驗證模塊請求驗證。 簽名驗證模塊驗證簽名的有效性，給服務(wù)端返回驗證結(jié)果 。 服務(wù)端根據(jù)驗證結(jié)果做出判斷，若驗證出錯 ，則斷開連接 ；若驗證通 過，則獲取證書中的信息作為用戶標(biāo)志，并給用戶賦予相應(yīng)權(quán)限進(jìn)行 操

12、作。 4、網(wǎng)上業(yè)務(wù) （辦公、交易 ）安全設(shè)計 基于應(yīng)用安全支撐系統(tǒng)實現(xiàn)政務(wù)網(wǎng)上業(yè)務(wù)的高強(qiáng)度身份認(rèn)證 、數(shù)據(jù)傳輸保 密、數(shù)據(jù)完整性保障 、不可抵賴性 、數(shù)字證書的全面支持 、用戶的一致性認(rèn)證 進(jìn)行安全防護(hù)后的應(yīng)用系統(tǒng)結(jié)構(gòu)如下： .專業(yè)學(xué)習(xí)資料. . 簽名驗證系統(tǒng) 時間戳服務(wù)器 （電子印章系統(tǒng)） 應(yīng)用系統(tǒng) 安全認(rèn)證網(wǎng)關(guān) 數(shù)字認(rèn)證中心 OA系統(tǒng) 用戶 1用戶2用戶3 圖表4網(wǎng)上業(yè)務(wù)安全應(yīng)用示意 系統(tǒng)的訪問流程如下 ： 用戶訪問應(yīng)用系統(tǒng) 。 安全認(rèn)證網(wǎng)關(guān)要求用戶提交用戶數(shù)字證書。 用戶登錄 USBKEY提交個人證書 。 安全認(rèn)證網(wǎng)關(guān)驗證用戶證書，包括證書自身有效性，信任證書鏈 ，黑 名單。 驗證通過后

13、 ，安全認(rèn)證網(wǎng)關(guān)將請求發(fā)送給真正的應(yīng)用服務(wù)器，并將用 戶證書信息添加請求中 。 應(yīng)用服務(wù)器從請求中獲取用戶的身份，進(jìn)行訪問控制并為用戶提供服 務(wù)。 系統(tǒng)不可抵賴性流程下 ： 系統(tǒng)交易開始 （用戶撰寫公文 ） .專業(yè)學(xué)習(xí)資料. . 用戶使用自己的數(shù)字證書對交易數(shù)據(jù)進(jìn)行數(shù)字簽名（用戶可以使用與 自己數(shù)字證書管理的電子印跡“加蓋 ”到公文上 ） 系統(tǒng)將數(shù)字簽名數(shù)據(jù) （可以是加有電子印跡的公文）傳送到服務(wù)端 服務(wù)端通過簽名驗證服務(wù)器驗證簽名數(shù)據(jù)（通過電子印跡系統(tǒng)驗證“加 蓋 ”電子印跡公文的有效性 ） 驗證成功后 ，保存簽名數(shù)據(jù)（可以是加有電子印跡的公文）作為證 據(jù)。 5、數(shù)據(jù)保護(hù)設(shè)計 基于應(yīng)用安全支

14、撐平臺以數(shù)字信封技術(shù)實現(xiàn)數(shù)據(jù)網(wǎng)絡(luò)集中安全存儲系統(tǒng)， 在文件服務(wù)器上開辟私有空間，對存放其中的文件進(jìn)行嚴(yán)格的授權(quán)驗證，使存 儲的資料能夠安全的集中管理，進(jìn)行統(tǒng)一有效的備份，到達(dá)資料更為安全的存 儲。同時系統(tǒng)可以實現(xiàn)靈活而安全的授權(quán)，從而達(dá)到數(shù)據(jù)共享的需求。 基于應(yīng)用安全支撐系統(tǒng)的數(shù)據(jù)保護(hù)實現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示： .專業(yè)學(xué)習(xí)資料. . 文件存儲服務(wù)器 安全存儲處理器 證書發(fā)布服務(wù)器 安全存儲客戶端 圖表5基于網(wǎng)絡(luò)的安全存儲系統(tǒng)架構(gòu) 如圖中所示的應(yīng)用安全支持平臺可以實現(xiàn)如下數(shù)據(jù)保護(hù)功能， 其實現(xiàn)的過程包括文件的加密保存過程和文件的使用過程。 6、文件的加密保存 （ 1）系統(tǒng)中加密保存文件的過程 ：生成隨機(jī)的加密密鑰 ； 使用該密鑰對明文進(jìn)行加密 ； 下載有權(quán)使用該文件的用戶證書 ，并制作數(shù)字信封 ；將密文文件和數(shù)字信封上傳到文件服務(wù)器 ； 向控制器中增上記錄 。 .專業(yè)學(xué)習(xí)資料. . 文件服務(wù)