身份認(rèn)證與授權(quán)管理系統(tǒng)國產(chǎn)密碼算法升級實施方案

--2---7-財政身份認(rèn)證與授權(quán)治理系統(tǒng)國產(chǎn)密碼算法升級實施方案一、前言〔一〕文檔說明本文檔的目的是依據(jù)《財政部信息網(wǎng)絡(luò)中心關(guān)于財政身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級核心軟硬件產(chǎn)品和效勞預(yù)算〔財信〔2023〕29號《四川省財政廳關(guān)于開展市州財政身份認(rèn)證與授權(quán)治理系統(tǒng)國產(chǎn)密碼算法升級方〔川財網(wǎng)信辦〔2023〕2號《四川省財政身份認(rèn)證與授權(quán)治理系統(tǒng)國產(chǎn)密碼算法升級實施方案》，結(jié)合我縣財政身份認(rèn)證與授權(quán)治理系統(tǒng)〔以下簡稱為“身份認(rèn)證〕實際狀況，制定本方案，為工程實施供給參考和依據(jù)?！捕尘帉懩康臑楸ＷC我縣財政身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級工程順當(dāng)實施，讓工程組成員了解和把握本工程實施內(nèi)容及實施標(biāo)準(zhǔn)，特編寫本方案?！踩彻こ滔嚓P(guān)方項 目 建 設(shè) 方：縣財政局辦公室集 成 商：托付市財政局全權(quán)負(fù)責(zé)身份認(rèn)證系統(tǒng)廠商：托付市財政局全權(quán)負(fù)責(zé)二、工程概述〔一〕工程背景2023〔以下簡稱身份認(rèn)證系統(tǒng)財政部外網(wǎng)分別建設(shè)了一套身份認(rèn)證系統(tǒng)，該系統(tǒng)承受國際通用密碼算法。財政身份認(rèn)證系統(tǒng)作為財政業(yè)務(wù)系統(tǒng)安全的重要保障手段，在財政系統(tǒng)得到廣泛應(yīng)用，截至目前，全國財政業(yè)務(wù)專網(wǎng)身份認(rèn)證系統(tǒng)發(fā)證超過133萬張，外網(wǎng)身份認(rèn)證系統(tǒng)發(fā)證超過6萬張，證書用戶數(shù)已超過70萬人，掩蓋全國各級財政部門、預(yù)算單位、代理銀行等部門。通過財政身份認(rèn)證系統(tǒng)的建設(shè)以及證書的簽發(fā)和應(yīng)用，不僅保證了各業(yè)務(wù)系統(tǒng)中用戶的強身份鑒別，同時對業(yè)務(wù)系統(tǒng)關(guān)鍵、敏感操作供給抗抵賴功能，并對重要的數(shù)據(jù)進(jìn)展了加密及完整性保護(hù)，有效提高了應(yīng)用的安全水平。20232碼算法升級工作的函》的通知，要求已配備使用商用密碼的部委組織落實本單位身份認(rèn)證系統(tǒng)支持國產(chǎn)密碼算法升級工作。身份認(rèn)證系統(tǒng)作為財政的重要安全根底設(shè)施，其安全性關(guān)系到國家資金安全，國產(chǎn)密碼算法升級對提升財政系統(tǒng)網(wǎng)絡(luò)安全具有實際意義。另外，現(xiàn)有財政身份認(rèn)證系統(tǒng)根底環(huán)境已運行超過5-8年，局部設(shè)備也已開頭漸漸消滅問題，運行維護(hù)本錢逐年增加，需要進(jìn)展更。為滿足國家相關(guān)政策要求以及財政業(yè)務(wù)安全的實際需要，部中心啟動了對現(xiàn)有身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級改造工作。我縣財政局依據(jù)省財政廳和市財政局的整體規(guī)劃，開展了財政身份認(rèn)證系統(tǒng)的建設(shè)工作,截至目前，我縣財政發(fā)證量近155張，全縣26個鄉(xiāng)鎮(zhèn)完成了身份認(rèn)證系統(tǒng)的建設(shè)工作，接入的應(yīng)用系統(tǒng)主要包括大平臺、OT系統(tǒng)、債務(wù)監(jiān)控平臺、國庫庫款系統(tǒng)等。我縣預(yù)備于2023年啟動了省本級身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級改造工作，目前正在穩(wěn)步推進(jìn)實施。〔二〕升級目標(biāo)本次財政身份認(rèn)證系統(tǒng)升級主要目標(biāo)是：將財政身份認(rèn)證系統(tǒng)、USBKEY等升級到支持國產(chǎn)密碼算法的軟硬件產(chǎn)品，到達(dá)國家主管部門要求。通過升級，進(jìn)一步優(yōu)化設(shè)備配置和性能，提高系統(tǒng)的強健性，強化治理力氣，提升系統(tǒng)整體的安全性、穩(wěn)定性。同時，為財政業(yè)務(wù)應(yīng)用系統(tǒng)推廣國產(chǎn)密碼算法奠定根底。〔三〕升級原則國產(chǎn)化原則國密算法升級在實現(xiàn)身份認(rèn)證系統(tǒng)密碼算法國產(chǎn)化的同時，效勞器、操作系統(tǒng)、數(shù)據(jù)庫等根底軟硬件環(huán)境也要同步使用國產(chǎn)化產(chǎn)品。牢靠性原則為保證財政業(yè)務(wù)系統(tǒng)的安全穩(wěn)定運行，建身份認(rèn)證系統(tǒng)實行關(guān)鍵部件冗余、集群策略等多種措施，確保系統(tǒng)運行更加穩(wěn)定牢靠。連續(xù)性原則升級后的身份認(rèn)證系統(tǒng)沿用原有網(wǎng)絡(luò)和安全體系構(gòu)造，用戶無需轉(zhuǎn)變使用習(xí)慣，現(xiàn)有應(yīng)用無需改動，可連續(xù)使用身份認(rèn)證系統(tǒng)相關(guān)功能，建身份認(rèn)證系統(tǒng)在一段時間內(nèi)確保兼容本省以下財政部門原有的身份認(rèn)證系統(tǒng)。擴展性原則升級后的身份認(rèn)證系統(tǒng)不僅要求滿足現(xiàn)階段的業(yè)務(wù)需求，而且能夠滿足將來業(yè)務(wù)的增長需求。隨著業(yè)務(wù)系統(tǒng)規(guī)模擴大，網(wǎng)絡(luò)、效勞器、存儲等系統(tǒng)根底環(huán)境能靈敏擴展。〔四〕升級內(nèi)容我縣財政身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級工作，整體遵循市財政局規(guī)定原則，嚴(yán)格依據(jù)市財政局要求執(zhí)行。統(tǒng)一部署兼容國際通用算法和國密算法的應(yīng)用安全組件，把原身份認(rèn)證系統(tǒng)中的用戶數(shù)據(jù)、密鑰數(shù)據(jù)等數(shù)據(jù)平滑遷移到升級后的系統(tǒng)中，使得升級后的系統(tǒng)既可以治理原有的國際通用算法的證書又可以支持發(fā)放國密算法的證書，對于證書用戶整體升級工作透亮，已經(jīng)發(fā)放的數(shù)字證書不需要重發(fā)放，至2023年業(yè)務(wù)應(yīng)用全面升級支持國產(chǎn)密碼算法。〔五〕升級要求國家政策要求財政身份認(rèn)證系統(tǒng)作為財政信息網(wǎng)的重要安全根底設(shè)施，須準(zhǔn)時對其進(jìn)展改造、升級，承受安全、牢靠、受控的國產(chǎn)密碼算法確保財政應(yīng)用信息資源安全。安全性設(shè)計要求本次升級需要承受符合國家密碼局認(rèn)證過的產(chǎn)品和設(shè)備，并在財政部進(jìn)展了相關(guān)的測試驗證，各個系統(tǒng)的部署也需要符合國家密碼治理局相關(guān)設(shè)計要求。整體建設(shè)需遵循已通過國家密碼治理局審核的財政身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級建設(shè)方案。機房物理環(huán)境要求機房物理環(huán)境需遵循GM／T0034—2023《基于SM2密主機安全性要求操作系統(tǒng)本次升級所用操作系統(tǒng)需具備自主可控高安全的特性；應(yīng)適用于等級保護(hù)或分級保護(hù)系統(tǒng)以及政府關(guān)鍵部門的信安裝業(yè)務(wù)效勞器的操作系統(tǒng)時，對于操作系統(tǒng)自帶的軟件包和效勞承受最小化安裝原則，只安裝和運行操作系統(tǒng)的根本軟件包。最小安裝原則為單一目的效勞器或者桌面設(shè)備供給根本需要，并可在這樣的安裝中最大化性能和安全性。設(shè)置業(yè)務(wù)效勞器操作系統(tǒng)的用戶時，需要為日常使用創(chuàng)建一個非root帳戶，來降低操作風(fēng)險。root帳戶是用來安裝root賬戶登錄可完全把握系統(tǒng)，務(wù)必只有在執(zhí)行系統(tǒng)維護(hù)或治理時使用rootroot賬戶登錄。病毒防治本工程涉及的設(shè)備需安裝防病毒系統(tǒng)，對涉及的不同應(yīng)用類型的設(shè)備都需要安裝病毒防護(hù)系統(tǒng)，實現(xiàn)全面的病毒防護(hù)。我省財政業(yè)務(wù)專網(wǎng)均統(tǒng)一部署亞信防病毒系統(tǒng)，本工程中須嚴(yán)格使用。財政相關(guān)標(biāo)準(zhǔn)和標(biāo)準(zhǔn)工程建設(shè)需要遵循財政部相關(guān)的建設(shè)標(biāo)準(zhǔn)和標(biāo)準(zhǔn)。工程實施前需向市財政局完成實施方案報審工作，工程實施完畢需將工程驗收報告同市財政局進(jìn)展報備。升級實施過程需嚴(yán)格依據(jù)部機關(guān)具體的標(biāo)準(zhǔn)和標(biāo)準(zhǔn)及相關(guān)指導(dǎo)文件進(jìn)展。三、升級實施打算我縣級財政身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級實施工作打算于市身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級實施工作工程初驗后正式分批開展，我縣財政身份認(rèn)證系統(tǒng)國產(chǎn)密碼算法升級實施工作任務(wù)打算時間表如下：任務(wù)名稱古藺縣財政局方案上報省廳產(chǎn)品選購工程實施工程初驗工程試運行工程終驗備案部署應(yīng)用系統(tǒng)使用國密算法際通用算法

完成時間202311日~202331日202351日2023530日202361日202381日~20231031日2023121日2023121日20231231日四、升級建設(shè)方案〔一〕現(xiàn)有拓?fù)錁?gòu)造我縣財政業(yè)務(wù)專網(wǎng)現(xiàn)有身份認(rèn)證系統(tǒng)拓?fù)錁?gòu)造如以以下圖所示：-6---7-財政專網(wǎng)四川省區(qū)縣級業(yè)務(wù)專網(wǎng)應(yīng) LRA系統(tǒng)區(qū)縣版用 用戶屬性治理系統(tǒng)UMS區(qū)縣版 路由器效勞區(qū)交換機我縣財政局拓?fù)錁?gòu)造圖〔二〕升級擴容內(nèi)容部署證書綜合治理系統(tǒng)區(qū)縣版客戶端，并與地市證書整合治理系統(tǒng)對接，證書的全部業(yè)務(wù)操作均在證書綜合治理系統(tǒng)中進(jìn)展，可實現(xiàn)對證書發(fā)放各環(huán)節(jié)進(jìn)展統(tǒng)一治理。USBKEY需要同時支持雙算法、32位高速USBKEY在USBKEY中發(fā)放兩套算法證書，在使用過程中自動適配使用哪類證書。之前已經(jīng)發(fā)出的USBKEY，在證書到期后USBKEY。〔三〕升級后拓?fù)錁?gòu)造我縣財政業(yè)務(wù)專網(wǎng)升級后身份認(rèn)證系統(tǒng)拓?fù)錁?gòu)造如下圖所示：財政專網(wǎng)二類區(qū)縣財政業(yè)務(wù)專網(wǎng)應(yīng) 證書綜合治理系統(tǒng)縣級版用戶屬性治理系統(tǒng) UMS縣級版用 〔購〕 路由器效勞區(qū)交換機注：紅色字體代表增系統(tǒng)升級后縣財政局拓?fù)錁?gòu)造圖PC效勞器上部署證書綜合治理系統(tǒng)區(qū)縣版和用UMS區(qū)縣版，用戶授權(quán)治理和證書簽發(fā)治理工作。地市名稱：四川省區(qū)縣級地市名稱：四川省區(qū)縣級序號設(shè)備名稱品牌型號和主要配置數(shù)量單位備注1證書綜合治理系統(tǒng)區(qū)縣版用戶屬性治理系統(tǒng)授權(quán)許可FCMS2.11套供給證書全生命周期治理2JITUMS6.01套供給用戶屬性信息統(tǒng)一治理效勞3USBKEYKEY假設(shè)干套KEY假設(shè)干套4集成實施1項Haikey3000