6.1.1

監(jiān)所應(yīng)用安全概念主講教師：0

i

D110中110

0110

01

10中

見

DD10

D1舊00n00110nm?i0

Di10□D1101監(jiān)所應(yīng)用安全的三張網(wǎng)2.監(jiān)所應(yīng)用安全邏輯架構(gòu)10DI1D0110

00

110目錄01100110DI

10

D110監(jiān)所。信息安全

6.1.1監(jiān)所應(yīng)用安全概念?

監(jiān)所應(yīng)用安全：指監(jiān)所各類應(yīng)用系統(tǒng)的開發(fā)、部署和使用安全。?

監(jiān)所應(yīng)用系統(tǒng)的安全和其自身的設(shè)計(jì)和實(shí)現(xiàn)技術(shù)密切相關(guān)，其存在的漏洞也

會(huì)給系統(tǒng)的安全帶來嚴(yán)重的隱患，因此通過應(yīng)用安全技術(shù)和應(yīng)用系統(tǒng)相結(jié)合是防

護(hù)應(yīng)用層安全的重要手段。1監(jiān)所應(yīng)用安全的三張網(wǎng)

監(jiān)所應(yīng)用系統(tǒng)01監(jiān)所綜合信息網(wǎng)02教育改造網(wǎng)03互聯(lián)網(wǎng)監(jiān)所。

信息安全監(jiān)所綜合信息網(wǎng)是監(jiān)所的核心應(yīng)用承載網(wǎng)絡(luò)，主要承載：01監(jiān)所綜合信息網(wǎng)企業(yè)

業(yè)務(wù)辦公

業(yè)務(wù)安防

業(yè)務(wù)監(jiān)所。

信息安全生活衛(wèi)生系統(tǒng)協(xié)同辦案系統(tǒng)監(jiān)所辦公業(yè)務(wù)財(cái)務(wù)裝備

獄偵

管理監(jiān)所

辦公獄政管理。01監(jiān)所綜合信息網(wǎng)。監(jiān)所辦公業(yè)務(wù)的主要類型：警務(wù)管理

與警務(wù)督

察系統(tǒng)勞動(dòng)改造

系統(tǒng)計(jì)分考

核系統(tǒng)監(jiān)所醫(yī)療系統(tǒng)監(jiān)所辦公業(yè)務(wù)的主要類型：離退休干部管理系統(tǒng)共青團(tuán)綜合管理系統(tǒng)紀(jì)檢監(jiān)察管理系統(tǒng)績(jī)效考核系統(tǒng)各項(xiàng)業(yè)務(wù)管

理系統(tǒng)監(jiān)所辦公業(yè)務(wù)輿情采集與分析系統(tǒng)

OA辦公系統(tǒng)。01監(jiān)所綜合信息網(wǎng)。后勤保障與資產(chǎn)管理系統(tǒng)視頻會(huì)議

系統(tǒng)監(jiān)所安防業(yè)務(wù)的主要類型：視頻監(jiān)控系統(tǒng)監(jiān)所安防業(yè)務(wù)廣播系統(tǒng)報(bào)警系統(tǒng)

應(yīng)急指揮系統(tǒng)01

監(jiān)所綜合信息網(wǎng)。監(jiān)倉(cāng)對(duì)講系統(tǒng)門禁系統(tǒng)01

監(jiān)所綜合信息網(wǎng)。監(jiān)所企業(yè)業(yè)務(wù)的主要類型：監(jiān)所企業(yè)生產(chǎn)管理

勞動(dòng)工具管理監(jiān)所企業(yè)業(yè)務(wù)資產(chǎn)管理

安全管理概

念：教育改造網(wǎng)是面向罪犯服務(wù)的一張專用網(wǎng)絡(luò)。對(duì)服刑人員開展心理咨詢、云課堂、健康指導(dǎo)、網(wǎng)上圖書館、網(wǎng)上購(gòu)物等業(yè)務(wù)應(yīng)用，為服刑人員提供監(jiān)所新聞、獄務(wù)公開、法律法規(guī)、規(guī)章制度等信息的瀏覽，教育改造、勞動(dòng)改造、生活衛(wèi)生等信息查詢，提供情況反饋、意見箱、投訴舉報(bào)的渠道。02教育改造網(wǎng)監(jiān)所。

信息安全主要用于監(jiān)所民警職工和服刑人員家屬接入互聯(lián)網(wǎng)。遠(yuǎn)程會(huì)見預(yù)約政務(wù)信息公開03

互聯(lián)網(wǎng)滿意度評(píng)價(jià)互聯(lián)網(wǎng)訪問信息查詢監(jiān)所綜合信息網(wǎng)互聯(lián)網(wǎng)1監(jiān)所應(yīng)用安全的三張網(wǎng)基于“三張網(wǎng)”的各類應(yīng)用都需要進(jìn)行安全開發(fā)、部署和使用。教育改造網(wǎng)監(jiān)所。

信息安全監(jiān)所信息安全需要構(gòu)建信息系統(tǒng)的安全技術(shù)體系、安全管理

體系，形成集防護(hù)、檢測(cè)、響

應(yīng)、恢復(fù)于一體的安全保障體

系，以滿足信息系統(tǒng)全方位的

安全保護(hù)需求。由于安全的動(dòng)態(tài)性，還需要建立安全風(fēng)險(xiǎn)評(píng)估機(jī)制，在

安

全

風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上，調(diào)整和完

善安全策略，改進(jìn)安全措施，

以適應(yīng)新的安全需求，保證長(zhǎng)

期、穩(wěn)定、可靠運(yùn)行。2監(jiān)所應(yīng)用安全邏輯架構(gòu)云架構(gòu)由下向上分為IaaS

層(基礎(chǔ)設(shè)施即服務(wù))、PaaS

層(平臺(tái)即服務(wù))、

SaaS

層(

軟

件即服務(wù)),應(yīng)用安全主要業(yè)務(wù)范圍包括SaaS層的業(yè)務(wù)應(yīng)用安全和PaaS

層技術(shù)體系中的應(yīng)用

安

全。系統(tǒng)專網(wǎng)

身份認(rèn)證

laaS層應(yīng)用安全支撐架構(gòu)示意圖業(yè)務(wù)應(yīng)用技術(shù)體系應(yīng)用安全系統(tǒng)安全網(wǎng)絡(luò)安全系統(tǒng)支撐環(huán)境2監(jiān)所應(yīng)用安全邏輯架構(gòu)運(yùn)維體系運(yùn)

維

支

持容災(zāi)備份應(yīng)急響應(yīng)安

全

管

理

設(shè)

施物理環(huán)境安全PaaS層管理體系SaaS層概念：監(jiān)所應(yīng)用服務(wù)SaaS是建立在PaaS層之上，通過網(wǎng)絡(luò)提供軟件的服務(wù)模式。應(yīng)用服務(wù)提供商將應(yīng)用軟件統(tǒng)一部署在PaaS

層上，用戶可以根據(jù)自己實(shí)際需求，通過網(wǎng)絡(luò)向應(yīng)用服務(wù)提供方定購(gòu)所需的軟件服務(wù)，并通過網(wǎng)絡(luò)獲得廠商提供的服務(wù)。01

SaaS服務(wù)監(jiān)所。

信息安全D110監(jiān)所云應(yīng)用服務(wù)SaaS

直觀的讓最終用戶感受到了云計(jì)算帶來的便利。用戶不用再開發(fā)軟件，而改用向提供方租用基于Web的軟件，來管理部門活動(dòng)，且無需對(duì)軟件進(jìn)行維護(hù)。監(jiān)所應(yīng)用服務(wù)PaaS

和基礎(chǔ)資源服務(wù)IaaS

降低開發(fā)者

的難度，提高開發(fā)效率的同時(shí)提供了彈性擴(kuò)展和高可用性。。01SaaS服務(wù)。SaaS提供的服務(wù)：監(jiān)所業(yè)務(wù)管理系統(tǒng)02

SaaS服務(wù)建設(shè)內(nèi)容

。監(jiān)所服務(wù)為民平臺(tái)監(jiān)所行政管理系統(tǒng)搭建信息化所需要的網(wǎng)絡(luò)基礎(chǔ)設(shè)施及軟件、硬件運(yùn)作平臺(tái)，并負(fù)責(zé)前

期實(shí)施、后期維護(hù)等一系列服務(wù)，部門無需采

購(gòu)軟硬件、建設(shè)機(jī)房、即可通過網(wǎng)絡(luò)使用信息

系統(tǒng)。將應(yīng)用軟件統(tǒng)一部署在統(tǒng)一的平臺(tái)上，各部門

可以根據(jù)自己的實(shí)際需

求，通過網(wǎng)絡(luò)訪問同一

平臺(tái)的應(yīng)用軟件服務(wù)。各

部

門不用再購(gòu)買軟件，且

無需對(duì)軟件進(jìn)行維護(hù)。SaaS

服務(wù)模式下建設(shè)的監(jiān)所云應(yīng)用服務(wù)將應(yīng)

用軟件部署在統(tǒng)一的云

平臺(tái)上，節(jié)約了各級(jí)職

能部門在服務(wù)器硬件、網(wǎng)絡(luò)安全設(shè)備和軟件升

級(jí)維護(hù)方面的支出。02

SaaS服務(wù)建設(shè)內(nèi)容SaaS服務(wù)建設(shè)的優(yōu)勢(shì)：030201SaaS

位于底層的IaaS

和PaaS之上，SaaS

能提供獨(dú)立的運(yùn)行環(huán)境，用以交付完整的用戶體驗(yàn)，包括內(nèi)容、展現(xiàn)、應(yīng)用和管理能力。SaaS

層

的安全應(yīng)用安全數(shù)據(jù)安全加密和密鑰管理

身份識(shí)別和訪問管理03

SaaS應(yīng)用安全思路。安全事件管理業(yè)務(wù)連續(xù)性SaaS層安全技術(shù)實(shí)現(xiàn)措施：◆是讓監(jiān)所云平臺(tái)結(jié)合防火墻、IPS

等網(wǎng)絡(luò)安全防護(hù)，通過

認(rèn)證服務(wù)器、動(dòng)態(tài)身份認(rèn)證服務(wù)器實(shí)現(xiàn)用戶身份的強(qiáng)認(rèn)

證、訪問控制以及數(shù)據(jù)的加解密；◆通過網(wǎng)頁(yè)防篡改增強(qiáng)web

應(yīng)用服務(wù)器安全；◆通過不同層次的高可用解決方案實(shí)現(xiàn)業(yè)務(wù)連續(xù)性。03

SaaS應(yīng)用安全思路

。6.2.1

Web應(yīng)用安全(加固和防篡改)主講教師：

2.網(wǎng)頁(yè)防篡改目錄1Web

應(yīng)用加固云服務(wù)推動(dòng)了網(wǎng)絡(luò)的Web化趨勢(shì)。>與傳統(tǒng)的操作系統(tǒng)、數(shù)據(jù)庫(kù)、C/S系統(tǒng)的安全漏洞相對(duì)，010多客戶、虛擬化、動(dòng)態(tài)、業(yè)務(wù)邏輯服務(wù)復(fù)雜、用戶參與等，這些Web2.0和云服務(wù)的特點(diǎn)，對(duì)網(wǎng)絡(luò)安全來說意味著巨

大的挑戰(zhàn)，甚至面臨災(zāi)難性威脅。>在云計(jì)算中，對(duì)于應(yīng)用安全，尤其需要注意的是Web

應(yīng)用1

Web應(yīng)用加固一

是Web應(yīng)用漏洞，即Web應(yīng)用層的各項(xiàng)漏洞，包括Web

應(yīng)用主流的安全漏洞、網(wǎng)頁(yè)掛馬、惡意代碼利用的漏洞等；01二是Web

代碼漏洞，即Web應(yīng)用系統(tǒng)在開發(fā)階段遺留下來的代碼漏洞，包括SQL

注入漏洞、跨

站腳本漏洞、CGI漏洞和無效鏈

接

等

。Web

系統(tǒng)漏洞層出不窮的原因：。1Web應(yīng)用加固。監(jiān)所云平臺(tái)SaaS

應(yīng)用在開發(fā)之初，應(yīng)充分考慮到安全性，制定并遵循適合SaaS

模式的SDL

(安全開發(fā)生命周期)規(guī)范和流程，從整個(gè)生命周期上去考慮應(yīng)用安全。1Web應(yīng)用加固011Web應(yīng)用加固Web應(yīng)用系統(tǒng)的防護(hù)：導(dǎo)致系統(tǒng)可用性問題的其他類型黑客攻擊等應(yīng)對(duì)網(wǎng)頁(yè)篡改DDoS攻擊監(jiān)所云計(jì)算網(wǎng)數(shù)據(jù)中心采用的技術(shù)防護(hù)措施身份認(rèn)證訪問控制

Web

應(yīng)用防護(hù)抗攻擊系統(tǒng)Web

應(yīng)用配置加固

漏洞管理1Web應(yīng)用加固2

網(wǎng)頁(yè)防篡改◆監(jiān)所政務(wù)公開云平臺(tái)對(duì)公眾提供的服務(wù)網(wǎng)站因需要被公眾

訪問而暴露于因特網(wǎng)上，因此容易成為黑客的攻擊目標(biāo)。◆雖然目前已有防火墻、入侵防御等安全防范手段，但現(xiàn)代

操作系統(tǒng)的復(fù)雜性和多樣性導(dǎo)致系統(tǒng)漏洞層出不窮、防不

勝防，黑客入侵和篡改頁(yè)面的事件時(shí)有發(fā)生。網(wǎng)頁(yè)防篡改通過Web服務(wù)器核心內(nèi)嵌技術(shù)，使用密碼技術(shù)，為每個(gè)需保護(hù)的對(duì)象(靜態(tài)網(wǎng)頁(yè)、執(zhí)行腳

本、二進(jìn)制文件)計(jì)算出具有唯一性的數(shù)字水印。2網(wǎng)頁(yè)防篡改監(jiān)所。

信息安全公眾每次訪問網(wǎng)頁(yè)時(shí)，

都將網(wǎng)頁(yè)內(nèi)容與數(shù)字水

印進(jìn)行對(duì)比計(jì)算

，一旦

發(fā)現(xiàn)網(wǎng)頁(yè)被非法修改，

則立即進(jìn)行自動(dòng)恢復(fù)，

從而徹底地保證了非法

網(wǎng)頁(yè)內(nèi)容不被公眾瀏覽。0110輔助使用了增強(qiáng)型事件

觸發(fā)式技術(shù)，從而能夠

在部分操作系統(tǒng)上防止

常規(guī)的篡改行為。2

網(wǎng)頁(yè)防篡改2

網(wǎng)頁(yè)防篡改◆網(wǎng)頁(yè)防篡改系統(tǒng)的優(yōu)勢(shì)：綜合考慮了廣泛使用的IIS/Apache服務(wù)器對(duì)于Web攻擊的特

殊防護(hù)需求，基于最為穩(wěn)定和高效的IIS/Apache模塊技術(shù)構(gòu)建，穩(wěn)定性好、效率高、透明化，與IIS/Apache內(nèi)核完美集成。SQL注入攻擊特殊的URL攻擊對(duì)危險(xiǎn)文件類型的訪問網(wǎng)頁(yè)防篡改系統(tǒng)能對(duì)以下風(fēng)險(xiǎn)進(jìn)行不問斷的有效的檢測(cè)、阻止與保護(hù)，并根據(jù)自動(dòng)化攻擊工具和手工攻擊方式靈活調(diào)整安全保護(hù)策略。構(gòu)造危險(xiǎn)的Cookie對(duì)危險(xiǎn)文件路徑的訪問2網(wǎng)頁(yè)防篡改對(duì)系統(tǒng)文件的訪問DD1100110D110溢出代碼攻擊跨站攻擊6.2.2

Web應(yīng)用安全(用戶管理

)主講教師：

1

統(tǒng)一用戶管理目錄統(tǒng)一用戶管理通過建立統(tǒng)一用戶管理系統(tǒng)，為監(jiān)所各業(yè)務(wù)部門信息化的各應(yīng)用子系統(tǒng)提供通用的、支撐性的用戶管理；實(shí)現(xiàn)可靠訪問控制，提供用戶管理的高效性，降低后臺(tái)管

理人員的維護(hù)工作量；>并通過共享的用戶信息服務(wù)，將各應(yīng)用系統(tǒng)有機(jī)的整合在一起

，實(shí)現(xiàn)互聯(lián)互通，消除“信息孤島”。監(jiān)所。信息安全

統(tǒng)一用戶管理統(tǒng)一用戶管理采用基于角色的訪問控制(RBAC)

授權(quán)管理模型，通過角色信息與應(yīng)用系統(tǒng)內(nèi)部權(quán)限信息的映射，形成用戶一角色一權(quán)限”三元對(duì)應(yīng)關(guān)系，對(duì)各類用戶進(jìn)行嚴(yán)格的訪問控制，以確保應(yīng)用系統(tǒng)不被非法或越權(quán)訪問，防止信息泄漏。權(quán)限permission1permission1permission1user1user1用

戶user1role1role1角色role1多對(duì)多多對(duì)多01用戶管理02角色管理03權(quán)限管理

04統(tǒng)一身份認(rèn)證統(tǒng)一用戶管理統(tǒng)一用戶管理06數(shù)據(jù)同步管理05單點(diǎn)登錄■

為了避免密碼泄露，

系統(tǒng)在進(jìn)行密碼存儲(chǔ)和傳輸時(shí)，

一律采用

不可逆加密的方式。

為了防止對(duì)簡(jiǎn)單密碼

的猜測(cè)，初始密碼隨

機(jī)生成，隨機(jī)密碼為

大寫字母、數(shù)字和小

寫字母的隨機(jī)組合?！?/p>

為監(jiān)所各業(yè)務(wù)部門信息

化項(xiàng)目提供統(tǒng)一管理用

戶的界面。用戶管理集

中統(tǒng)一后，每個(gè)用戶帳

號(hào)只申請(qǐng)一次，可減少

用戶身份的副本，增加

安全性，用戶數(shù)據(jù)只維

護(hù)一次即可到處使用?！?/p>

用戶管理中可以通過維護(hù)用戶與角色的關(guān)

系，來增加或撤銷用

戶已有的角色，然后通過“用戶一角色一權(quán)限”三元對(duì)應(yīng)關(guān)系，可以獲取用戶具有的權(quán)限?！?/p>

用戶管理除了提供單個(gè)錄入的方式外，還提供方便的批量

導(dǎo)入方式，批量導(dǎo)

入的數(shù)據(jù)經(jīng)校驗(yàn)后

直接進(jìn)入到系統(tǒng)中。01

用戶管理在基于角色的訪問控制(RBAC)權(quán)限模型中

，角

色處于核心的

位置。角色與用戶關(guān)聯(lián)、與權(quán)

限關(guān)聯(lián)，在有用戶組的模型中，

角色還可以和用戶組關(guān)聯(lián)，在

更靈活的基于角色的訪問控制

(RBAC)

模型中，角色還可以

和組織機(jī)構(gòu)關(guān)聯(lián)。訪問控制都集中在角色與權(quán)限的關(guān)聯(lián)上，不同用戶擁有不同

的角色，不同角色擁有不同的

權(quán)限。通過獲取用戶的角色合

集

，最終可以得到用戶擁有的權(quán)限合集，從而可以對(duì)用戶能

訪問的內(nèi)容進(jìn)行控制，不同權(quán)限擁有不同的訪問。02

角色管理權(quán)限管理包括功能權(quán)限和數(shù)據(jù)權(quán)限管理。功能權(quán)限主要是控

制菜單、按鈕等某項(xiàng)具體功能。

數(shù)據(jù)權(quán)限主要是控制在同一個(gè)

功能下，能夠看到的數(shù)據(jù)范圍

(包括數(shù)據(jù)項(xiàng)和數(shù)據(jù)記錄集的

數(shù)目)。與用戶管理相似，權(quán)限管理中可以通過維護(hù)權(quán)限(包括功能

權(quán)限和數(shù)據(jù)權(quán)限)與角色的關(guān)

系

，來增加或撤銷角色已有的

權(quán)限，然后通過”用戶一角色—權(quán)限”三元對(duì)應(yīng)關(guān)系，可

以獲取用戶具有的權(quán)限。03權(quán)限管理中央認(rèn)證提供多種接口的方式，可以提供關(guān)系數(shù)據(jù)庫(kù)(RDBMS)、輕量級(jí)目錄訪問協(xié)議(LDAP)

和

Web服務(wù)(WebService)等多

種方式。也可以兼容多種不同系

統(tǒng)，可以與PHP、ASP.NET等系

統(tǒng)進(jìn)行集成以提供統(tǒng)一身份認(rèn)證服

務(wù)

。身份認(rèn)證采用中央認(rèn)證服務(wù)的方式來完成，每個(gè)系統(tǒng)不再需要自己的身份認(rèn)證，實(shí)際的身份認(rèn)證都自動(dòng)轉(zhuǎn)發(fā)到中央認(rèn)證服務(wù)，由中央認(rèn)證服務(wù)來完成。在項(xiàng)目建設(shè)中，為了保證現(xiàn)有系統(tǒng)的已有風(fēng)格，統(tǒng)

一

認(rèn)證可以保留原有的認(rèn)證界面，對(duì)原有系統(tǒng)做適當(dāng)?shù)呐渲眉纯赏瓿山y(tǒng)一身份認(rèn)證。04

統(tǒng)一身份認(rèn)證05單點(diǎn)登錄◆用戶經(jīng)統(tǒng)一身份認(rèn)證之后，如果需要進(jìn)入其它系統(tǒng)，不需

要再次登錄認(rèn)證，從而為用戶提供多應(yīng)用系統(tǒng)方便的單點(diǎn)

登錄功能，實(shí)現(xiàn)“一點(diǎn)登陸、多點(diǎn)漫游”的功能。數(shù)據(jù)同步分為全量和增量?jī)煞N方式，同步可以配置定時(shí)觸發(fā)

來實(shí)現(xiàn)。對(duì)于用戶、角色和組織機(jī)構(gòu)等信息的修改，可以以

增量的方式自動(dòng)同步到其它各

系統(tǒng)。用戶、角色和組織機(jī)構(gòu)

等信息也可以通過手工或定時(shí)全量同步到其它各系統(tǒng)中。每個(gè)應(yīng)用系統(tǒng)可能會(huì)需要與用戶管理相關(guān)的數(shù)據(jù)，統(tǒng)一用戶

管理提供了數(shù)據(jù)同步功能可以

滿足這種需求。06

數(shù)據(jù)同步管理6.2.3

Web應(yīng)用安全(日志、審計(jì)和接口安全主講教師：2

審計(jì)與監(jiān)督3

接口安全性1

日志監(jiān)控

10011000011001100110mi

D

a110

D110目錄f

10

0

日志監(jiān)控是系統(tǒng)安全的重要措施之一。作為應(yīng)用系統(tǒng)提供的日志監(jiān)控功能，每一個(gè)系統(tǒng)的日志監(jiān)控功能僅提供針對(duì)應(yīng)用操作的日志監(jiān)控，只實(shí)現(xiàn)到應(yīng)用功能級(jí)的監(jiān)控。

日志監(jiān)控的完整體系結(jié)構(gòu)如下圖所示。執(zhí)行各種操作信息瀏覽者是否需要日態(tài)監(jiān)控?日志配置信息是記錄日志信息日志監(jiān)控信息系統(tǒng)管理者日志配置日志查詢?nèi)罩緜浞?轉(zhuǎn)移1

日志監(jiān)控1.日志記錄將需要進(jìn)行日志監(jiān)控的應(yīng)用操作進(jìn)行日志記錄，此功能由應(yīng)用程序完成，具體記錄的內(nèi)容包括：IP地址，用戶名，時(shí)間，功能編號(hào)等。2

.

日志配置對(duì)日志監(jiān)控所需要的參

數(shù)進(jìn)行配置4.日志備份/轉(zhuǎn)移進(jìn)行日志的備份和轉(zhuǎn)移工作3.日志查詢查詢已經(jīng)保存的日志記錄1

日志監(jiān)控

平臺(tái)中每一項(xiàng)與安全相關(guān)的操作都要有記錄，記錄下操作的人、時(shí)間、操作對(duì)象、操作結(jié)果(成功、失敗)等屬性，形成審計(jì)記錄，保留必要的時(shí)限以供審查。審計(jì)記錄用于分析平臺(tái)的安全狀態(tài)，在沒有發(fā)

生事故時(shí)可及時(shí)發(fā)現(xiàn)安

全隱患，采取補(bǔ)救措施。對(duì)于要修改的數(shù)據(jù)，修改前要記錄歷史，以便在誤操作后可以從歷史數(shù)據(jù)得到恢復(fù)。PART

01PART

02發(fā)生事故時(shí)可用于追查責(zé)任人，防止責(zé)任人抵賴應(yīng)負(fù)的責(zé)任。2

審計(jì)與監(jiān)督PART

033

接口安全性◆對(duì)外接口一定要約定雙方認(rèn)可的安全協(xié)議，安全協(xié)議中的

參數(shù)采用DES或MD5的方式加密，安全協(xié)議參數(shù)中一定

要有時(shí)間戳，并在一定范圍內(nèi)失效，以防止以某個(gè)鏈接頻

繁發(fā)起對(duì)系統(tǒng)的惡意攻擊。接口中必須要有安全頭參數(shù)，

認(rèn)證通過后才允許連接。6.3.1

郵件安全主講教師：00110011001

102

郵件安全防護(hù)1

電子郵件的安全問題目錄0i

11000110郵件安全◆監(jiān)所中的互聯(lián)網(wǎng)郵件系統(tǒng)用于與服刑人員家屬進(jìn)行信息溝通監(jiān)所綜合信息網(wǎng)郵件系統(tǒng)用于內(nèi)部辦公活動(dòng)中的

信

息

互

動(dòng)

，因此，郵件系統(tǒng)安全在監(jiān)所應(yīng)用安全中顯得較為重要。一、郵件病毒“郵件病毒”一般是通過郵件中的”附件”進(jìn)行擴(kuò)散。郵件病毒已成

為病毒發(fā)展的主流，目前多數(shù)蠕蟲

病毒都可以通過郵件方式傳播。郵

件蠕蟲病毒使用自己的SMTP

,將病毒郵件發(fā)送給搜索到的郵件地址，

一旦用戶打開帶有病毒的或運(yùn)行病

毒程序，計(jì)算機(jī)馬上被感染病毒。三、密碼問題密碼為抵御對(duì)郵件系統(tǒng)的非法訪問構(gòu)筑了第一道防線，但是卻經(jīng)常被

人們低估甚至忽略。如果要想設(shè)置

一個(gè)好的密碼，就要站在破解者的角度思考。密碼應(yīng)由大寫字母、小

寫字母、數(shù)字、特殊符號(hào)組成，密

碼長(zhǎng)度大于或等于12位，并定期

修改變更，提升密碼的安全性。二、郵件炸彈炸彈攻擊的基本原理是利用特殊工具軟件，在短時(shí)間內(nèi)向目標(biāo)機(jī)，集中發(fā)送大量超出系統(tǒng)接收范圍的信息，目的在于使對(duì)方目標(biāo)機(jī)出現(xiàn)超負(fù)荷、網(wǎng)絡(luò)堵塞等狀況，從而造成目標(biāo)的系統(tǒng)崩潰及拒絕服務(wù)。1電子郵件的安全問題

。、病毒郵件防護(hù)◆由于電子郵件常常附帶文件，而這些文件可能是應(yīng)用程序、文

檔或者是病毒。因此，當(dāng)接收郵件時(shí)，應(yīng)及時(shí)對(duì)其進(jìn)行病毒掃

描

，特別是當(dāng)這些郵件來自一個(gè)可疑的或匿名的發(fā)送者時(shí)。◆在很多情況下，郵件和所附文件存放于郵件服務(wù)器中，大部分

防毒程序不能訪問這些信息文件，或者無法有效地檢測(cè)和清除

內(nèi)藏于消息文件中的病毒。即使一些常駐內(nèi)存的防毒程序在打開被感染文件時(shí)能檢測(cè)到，但仍不能自動(dòng)清除。2郵件安全防護(hù)監(jiān)所。

信息安全2.使用特定的簡(jiǎn)單郵件傳輸協(xié)議(SMTP)

殺

毒軟件。SMTP

殺毒軟件具有獨(dú)特的功能，它能在那些從Internet

或局域網(wǎng)上下載的被感染郵件到達(dá)本地郵件服務(wù)器之前攔截它們，從而保持本地網(wǎng)絡(luò)的無毒狀態(tài)。1.

使用防毒軟件同時(shí)保護(hù)客戶機(jī)和服務(wù)器。一方面，只有服務(wù)器

的防毒軟件才能訪問

個(gè)人目錄，并且防止

病毒從外部入侵。另

一方面，只有服務(wù)器

的防毒軟件才能進(jìn)行

全局檢測(cè)和清除病毒。5.保護(hù)整個(gè)網(wǎng)絡(luò)而不是其中

一

部分。對(duì)于整個(gè)網(wǎng)絡(luò)的病毒防護(hù)，建議使用特定的殺毒軟件對(duì)服務(wù)器和工作站進(jìn)行全方位的保護(hù)。3.保護(hù)所有的服務(wù)器。即使它們沒有與外界連接。4.用優(yōu)秀的防毒軟件對(duì)郵件系統(tǒng)進(jìn)行專門的防護(hù)。防護(hù)電子郵件病毒的方法2

郵件安全防護(hù)二

、防范郵件炸彈1.解除電子郵件炸彈威脅重在預(yù)防◆郵件炸彈的原理：向有限容量的信箱投入足夠多或足夠大的郵件使郵箱崩潰。這類郵件炸彈很多，如Nimingxin,Quickfyre、雪崩等，◆炸彈郵件的使用：(1)填上收信人的E-mail地址；(2)輸

入要發(fā)送的次數(shù)；(3)選擇簡(jiǎn)單郵件傳輸協(xié)議SMTP

主機(jī)；(4)隨意填上自己的地址；(5)按"發(fā)信"就開始發(fā)送炸彈了。2郵件安全防護(hù)監(jiān)所。

信息安全二、防范郵件炸彈1.解除電子郵件炸彈威脅重在預(yù)防◆避免郵件炸彈襲擊的方法：(1)不隨意公開自己的信箱地址；(2)隱藏自己的電子郵件地址；(3)謹(jǐn)慎使用自動(dòng)回信功能。2郵件安全防護(hù)監(jiān)所。

信息安全

防范郵件炸彈2.公用密匙系統(tǒng)◆公開密鑰加密技術(shù)需要使用一對(duì)密鑰來分別完成加密和解密操

作，以保證電子郵件的完整性和真實(shí)性。這對(duì)密鑰中的一個(gè)公

開發(fā)布，稱為公開密鑰，另一個(gè)由用戶自己安全保存，稱為私有密鑰

。2郵件安全防護(hù)監(jiān)所。

信息安全二、防范郵件炸彈2.公用密匙系統(tǒng)◆信息發(fā)送者首先用公開密鑰去加密信息，而信息接收者則用相

應(yīng)的私有密鑰去解密。通過數(shù)學(xué)的手段保證加密過程是一個(gè)不

可逆過程，即用公鑰加密的信息只能用于該公鑰配對(duì)的私有密

鑰才能解密。用戶利用自己的私有密鑰簽名的消息就只能被相

應(yīng)的公鑰驗(yàn)證(解密)

,從而可以確信消息來自特定的用戶，

因?yàn)橹挥性撚脩舨艙碛性撍借€的使用權(quán)。2郵件安全防護(hù)監(jiān)所。

信息安全(3)郵件系統(tǒng)是網(wǎng)絡(luò)安全中的一個(gè)重要環(huán)節(jié)，單靠純粹的技術(shù)手段是無

法解決的，還是應(yīng)當(dāng)采用管理與技術(shù)

相結(jié)合的方式，以先進(jìn)的技術(shù)手段為

基礎(chǔ)，以完善的管理制度和法律法規(guī)

為依托，依靠各運(yùn)營(yíng)商和郵件服務(wù)商

的協(xié)調(diào)合作，對(duì)社會(huì)各主體的郵件活動(dòng)進(jìn)行規(guī)范，才能達(dá)到理想的目標(biāo)。(1)郵件應(yīng)用中許多基于Web

的電子郵件系統(tǒng)都提供了一個(gè)“記住”

用戶名和密碼的功能。如果在公用計(jì)算機(jī)上錯(cuò)誤地選擇了簡(jiǎn)易登錄選

項(xiàng)，那么其他人都會(huì)很容易地訪問

到用戶的密碼和賬號(hào)。所以要確保

系統(tǒng)不會(huì)把用戶的登錄證書保存在緩存中；不使用電子郵件系統(tǒng)時(shí)，要確保退出登錄。(2)郵件協(xié)議在發(fā)送郵件時(shí)，電子郵件并不是直接發(fā)送到了對(duì)方的電子郵件信箱里，而是會(huì)經(jīng)過數(shù)量不可預(yù)知的中

間服務(wù)器。電子郵件的傳送也與距離有關(guān)，電子郵件信箱之間的中間服務(wù)器節(jié)點(diǎn)越少，被人偷看的可能性就越低。因此對(duì)于需要保密的郵件，采用數(shù)字證書幫助安全發(fā)送是最常見的方法。二、防范郵件炸彈——3.預(yù)防監(jiān)聽2

郵件安全防護(hù)6.4.1

內(nèi)容過濾主講教師：01100110

1

內(nèi)容過濾種類10D1100110

n

ai10□110001

舊

0110

01102

內(nèi)容過濾方法00

110內(nèi)容過濾動(dòng)作”4

內(nèi)容過濾處理流程中110011001

10中

見

DD10

D1舊00n00110n?n0Dni

0目錄3110I100110◆2.內(nèi)容過濾的作

用：(1)阻止機(jī)密信息的傳播，降低監(jiān)所機(jī)密泄漏的風(fēng)險(xiǎn)。(2)降低非授權(quán)人員瀏覽、發(fā)布、傳播敏感

信息而給監(jiān)所帶來的法律風(fēng)險(xiǎn)。(3)阻止非授權(quán)人員瀏覽和

搜索與工作無關(guān)的內(nèi)容，保證工作效率?！?.內(nèi)容過濾的概念：是一種對(duì)通過文件防火墻(FW)

工具對(duì)文件或應(yīng)用的內(nèi)容進(jìn)行過濾的安全機(jī)制。內(nèi)容過濾10011001

10□口

1

0

0

1

10·(2)應(yīng)用內(nèi)容過濾是對(duì)應(yīng)用協(xié)議中包含的關(guān)鍵

字進(jìn)行過濾。針對(duì)不同應(yīng)用，設(shè)備過濾的內(nèi)容不同。(1)文件內(nèi)容過濾是對(duì)用戶上傳和下載的文件內(nèi)容中包含的關(guān)鍵字進(jìn)

行過濾。管理員可以控制

對(duì)哪些應(yīng)用傳輸?shù)奈募?/p>

及哪種類型的文件進(jìn)行文件內(nèi)容過濾。D1DD110D10舊

T

舊

D11001

101

內(nèi)容過濾種類內(nèi)容過濾

種類犯PT001102

內(nèi)容過濾方法◆方法：通常采用關(guān)鍵字過濾，關(guān)鍵字是內(nèi)容過濾時(shí)設(shè)備需要識(shí)

別的內(nèi)容，如果在文件或應(yīng)用中識(shí)別出關(guān)鍵字，設(shè)備會(huì)對(duì)此文

件或應(yīng)用執(zhí)行響應(yīng)動(dòng)作?！絷P(guān)鍵字通常為機(jī)密信息(如標(biāo)注了保密級(jí)別的文檔、民警個(gè)人

信息或服刑人員個(gè)人信息的報(bào)告)或違規(guī)信息(不文明用語(yǔ)、業(yè)務(wù)敏感或監(jiān)所規(guī)定的違規(guī)信息等)。2

內(nèi)容過濾方法關(guān)鍵字類型(1)預(yù)定義關(guān)鍵字系統(tǒng)默認(rèn)存在的可以識(shí)別的

關(guān)鍵字，包括：銀行卡號(hào)、

信用卡號(hào)、社會(huì)安全號(hào)、身份證號(hào)、手機(jī)號(hào)、機(jī)密關(guān)鍵字(包括“秘密”、“機(jī)密”、“絕密”)。·(2)自定義關(guān)鍵字信息安全管理員自定義的需要識(shí)別的關(guān)鍵字，有文本和正則表達(dá)式兩種定義方式。(1)文本方式使用文本的方式表示需要識(shí)別的關(guān)鍵字，例如信息安全管理員想要識(shí)別關(guān)鍵字“機(jī)密文件”,只

需要自定義文本方式的關(guān)鍵字“機(jī)密文件”即可。文本方式配置簡(jiǎn)單，匹配精確。例如，關(guān)鍵字可

以匹配到“abc”、

“中國(guó)”、"a中”,但是不能匹配“a”、“ab”、“中”,這一類屬于嚴(yán)格匹

配

。(2)正則表達(dá)式方式使用正則表達(dá)式的方式表示需要識(shí)別的關(guān)鍵字。與文本方式不同的是一個(gè)正則表達(dá)式可以表示多

個(gè)關(guān)鍵字。例如正則表達(dá)式

“abc*de”中的“*”

可以匹配任意單個(gè)字符，所以

“abc*de”可以表

示“abcxde”

、“abcyde”

、“abc8de”等等。響應(yīng)動(dòng)作是當(dāng)設(shè)備在內(nèi)容過濾檢測(cè)時(shí)識(shí)別出關(guān)鍵字，設(shè)備會(huì)執(zhí)行響應(yīng)動(dòng)作。自定義關(guān)鍵字

的定義方式2

內(nèi)容過濾方法(二)阻斷是指識(shí)別出關(guān)鍵字后，阻斷內(nèi)容傳輸并記錄日志并以適當(dāng)方式發(fā)送給信息安全管理員或特定人員。在用戶看來則是無法顯示網(wǎng)頁(yè)、上傳或下

載文件失敗、郵件發(fā)送或接收失敗。(三)自識(shí)別分類處置是按權(quán)重操作，每個(gè)關(guān)鍵字都存在一個(gè)權(quán)重值，當(dāng)設(shè)備檢測(cè)的內(nèi)容中出現(xiàn)關(guān)鍵字時(shí)，設(shè)備會(huì)將這些關(guān)鍵字的權(quán)重值按出現(xiàn)次數(shù)累加。如果權(quán)重值的和大于等于“告警閾值”小于“阻斷閾值”,則設(shè)備會(huì)執(zhí)行“告警”動(dòng)作，“告警”動(dòng)作僅執(zhí)行一次；如果權(quán)重值的和大于等于“阻斷閾值”,

則設(shè)備會(huì)執(zhí)行“阻斷”動(dòng)作。(一)告警是指識(shí)別出關(guān)鍵字后，記錄日志并以適當(dāng)方式發(fā)送給信息安全管理員或特定人員，但不阻斷內(nèi)容傳輸。0

QI10m

rin

ID

n010□1100110011001

t0內(nèi)容過濾動(dòng)作類型D1100110D1

103

內(nèi)容過濾動(dòng)作0

D1100110如果所有條件都匹

配，則此內(nèi)容成功

匹配此規(guī)則。如果

其中有一個(gè)條件不

匹配，則繼續(xù)執(zhí)行

下一條規(guī)則。以此。

類推，如果所有內(nèi)容過濾規(guī)則都不匹

配，則設(shè)備允許此 內(nèi)容通過。如果內(nèi)容成功匹

配一條內(nèi)容過濾

規(guī)則，則設(shè)備會(huì)

對(duì)此內(nèi)容進(jìn)行關(guān)

鍵字檢測(cè)，檢測(cè)內(nèi)容中是否存在

內(nèi)容過濾規(guī)則定

義的關(guān)鍵字。05如果檢測(cè)時(shí)識(shí)別

出關(guān)鍵字，則設(shè)

備會(huì)執(zhí)行響應(yīng)動(dòng)

作。如果沒有識(shí)別出關(guān)鍵字，則

設(shè)備允許此內(nèi)容

通過。06如果是應(yīng)用內(nèi)容則

識(shí)別出應(yīng)用的類型、

應(yīng)用內(nèi)容傳輸?shù)姆?/p>

向。如果是文件內(nèi)

容則識(shí)別出承載文

件的應(yīng)用類型，文件的類型和文件傳輸?shù)姆较颉ＴO(shè)備對(duì)流量的內(nèi)

容進(jìn)行檢測(cè)，識(shí)

別出流量的內(nèi)容屬性。01。4

內(nèi)容過濾處理流程

。設(shè)備將流量的內(nèi)

容屬性與內(nèi)容過濾規(guī)則的條件進(jìn)

行匹配。6.5.1

上網(wǎng)行為審計(jì)主講教師：上網(wǎng)行為審計(jì)◆監(jiān)所信息化建設(shè)是將傳統(tǒng)的線下辦公轉(zhuǎn)變?yōu)榫W(wǎng)絡(luò)化辦公，民

警

的工作記錄、執(zhí)法文書辦理形式由線下轉(zhuǎn)移到了線上，監(jiān)所的

管理方式也發(fā)生了改變。◆很多監(jiān)所為保障應(yīng)用安全都選擇使用上網(wǎng)行為監(jiān)控軟件進(jìn)行管

理，那么它都可以審計(jì)到哪些內(nèi)容，是如何幫助監(jiān)所應(yīng)用安全

進(jìn)行管理的呢?局域網(wǎng)下的上網(wǎng)行為監(jiān)控能夠透明的審計(jì)每一

個(gè)網(wǎng)絡(luò)用戶一切上網(wǎng)行為?！裟軌?qū)τ脩綦娔X的屏幕快照進(jìn)行保存記錄，可以實(shí)時(shí)

查看終端電腦當(dāng)前電腦屏幕，右鍵菜單可以實(shí)時(shí)追蹤?！羝聊豢煺找悦霝閱挝贿M(jìn)行，管理者通過屏幕快照可以

直觀的了解網(wǎng)絡(luò)用戶在工作過程中的辦公情況。1屏幕快照截圖監(jiān)所。

信息安全◆可以查看終端用戶對(duì)文件的所有操作，支持操作動(dòng)作、源文件、目的路徑、類型和審計(jì)時(shí)間，同時(shí)支持右鍵

導(dǎo)出數(shù)據(jù)、復(fù)制和刪除操作。2

文件操作日志監(jiān)所。

信息安全◆支持顯示終端計(jì)算機(jī)運(yùn)行程序的記錄，支持進(jìn)程名、大小、描述和版本，管理者可以了解網(wǎng)絡(luò)用戶在上班

時(shí)間內(nèi)應(yīng)用程序的使用詳情。3

應(yīng)用程序日志監(jiān)所。

信息安全◆支持審計(jì)終端用戶瀏覽網(wǎng)站的記錄，支持網(wǎng)址URL、網(wǎng)站標(biāo)題和時(shí)間。4瀏覽網(wǎng)站日志監(jiān)所。

信息安全◆顯示終端計(jì)算機(jī)通過搜索引擎搜索的內(nèi)容，支持百度、搜狗、360、淘寶、京東等搜索引擎。5

網(wǎng)絡(luò)搜索監(jiān)所。

信息安全◆顯示終端計(jì)算機(jī)插拔USB

存儲(chǔ)設(shè)備的記錄，支持盤符、卷標(biāo)、容量、USB

標(biāo)識(shí)及管控動(dòng)作，以及終端計(jì)算機(jī)

對(duì)USB存儲(chǔ)設(shè)備的操作文件記錄，支持操作動(dòng)作、源

文件、目的路徑、類型和審計(jì)時(shí)間的記錄。6

U盤使用記錄監(jiān)所。

信息安全支持發(fā)件人、收件人、主題、正文及附件，同時(shí)支持雙擊查看郵件具體內(nèi)容。7

電子郵件◆顯示終端用戶郵件客戶端或WEB

郵箱發(fā)送的郵件，監(jiān)所。

信息安全◆顯示終端用戶通過聊天工具、瀏

覽

器

、迅雷和百度網(wǎng)盤等上傳下載的文件，支持文件內(nèi)容、文件大小、動(dòng)

作、途徑和詳情的審計(jì)。8

上傳下載UPLOAD監(jiān)所。

信息安全◆顯示終端用戶通過聊天工具的聊天內(nèi)容審計(jì)，支持微信

、QQ、

釘釘和企業(yè)微信等聊天工具，支持聊天軟件名稱、發(fā)送者、聊天對(duì)象、聊天內(nèi)容和時(shí)間。9聊天內(nèi)容監(jiān)所。

信息安全6.6.1

CA電子認(rèn)證服務(wù)主講教師：001100110

1CA電子認(rèn)證服務(wù)原理1001100110

0

口

102

數(shù)字證書00

110001D

D110中110011001

10中

見

DD10D1舊00n00110n?n0

Dni

03

數(shù)字簽名0110i

t?0100110目錄001

舊

0110

0110◆1.CA

電子認(rèn)證服務(wù)的概念：指為電子簽名相關(guān)各方提供真實(shí)性、可靠性驗(yàn)證的活動(dòng)?！?.CA電子認(rèn)證服務(wù)的設(shè)計(jì)思路：以PKI

公鑰基礎(chǔ)設(shè)施為基礎(chǔ)，以數(shù)字證書為媒介，通過CA

安全組件為橋梁將PKI

公鑰基礎(chǔ)設(shè)施安全體系與業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行有效結(jié)合，以滿足系統(tǒng)的應(yīng)用安全需求。。1

CA電子認(rèn)證服務(wù)原理

?！?.CA

電子認(rèn)證服務(wù)的概念：指為電子簽名相關(guān)各方提供真實(shí)性、可靠性驗(yàn)證的活動(dòng)?！?.CA

電子認(rèn)證服務(wù)的設(shè)計(jì)思路：以PKI公鑰基礎(chǔ)設(shè)施為基礎(chǔ)，以數(shù)字證書為媒介，

通過CA

安全組件為橋梁將PKI公鑰基礎(chǔ)設(shè)施安全體系與業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行有效結(jié)合，1100110以滿足系統(tǒng)的應(yīng)用安全需求。第三方的權(quán)威認(rèn)證機(jī)構(gòu)是整個(gè)認(rèn)證體系的基礎(chǔ)，擁有完整的PKI基礎(chǔ)設(shè)施證書認(rèn)證服務(wù)系統(tǒng)，為用戶和應(yīng)用系統(tǒng)之間搭建了雙方互信的平臺(tái)。0102CA安全組件則是以PKI/CA

技術(shù)為基礎(chǔ)，全面支持基于數(shù)字證書應(yīng)用技術(shù)，為應(yīng)用系統(tǒng)提供豐富的PKI公鑰基礎(chǔ)設(shè)施技術(shù)服務(wù)。。1

CA電子認(rèn)證服務(wù)原理

。圖1

.CA

電子認(rèn)證原理示意圖internet用戶

防火墻

三層交換機(jī)

業(yè)務(wù)系統(tǒng)

簽名服務(wù)器終端用戶憑數(shù)字證書登陸，進(jìn)行身份驗(yàn)證。1

CA電子認(rèn)證服務(wù)原理。CA對(duì)平臺(tái)用戶進(jìn)

行身份認(rèn)證并提供

全方面的客戶服務(wù)國(guó)際標(biāo)準(zhǔn)化的證書驗(yàn)證、黑名單服務(wù)證書服務(wù)系統(tǒng)客戶服務(wù)系統(tǒng)CA02其次利用PKI公鑰基礎(chǔ)設(shè)施技術(shù)基于數(shù)字證書的應(yīng)用，在跟業(yè)務(wù)系統(tǒng)緊密結(jié)合后確保

用戶的身份認(rèn)證，統(tǒng)

一授權(quán)等問題，替代

以往用戶名+密碼等形式的不安全身份認(rèn)證

模式，打造一個(gè)高強(qiáng)度的身份認(rèn)證平臺(tái)。03第三利用CA

安全組件實(shí)現(xiàn)對(duì)關(guān)鍵步驟的關(guān)

鍵數(shù)據(jù)進(jìn)行數(shù)字簽名

和數(shù)據(jù)加密，實(shí)現(xiàn)數(shù)

據(jù)交換過程中的安全

傳輸、存儲(chǔ)以及責(zé)任認(rèn)定。04第四利用電子簽章技

術(shù)，保證公文信息的

完整性和不可抵賴性，確保公文流轉(zhuǎn)的安全

性，從而實(shí)現(xiàn)真正的

無紙化辦公，不再需

要收發(fā)紙質(zhì)公文，歸

檔所需要的紙質(zhì)公文

可以通過收文方直接

打印電子公文獲取。01首先基于CA合法的第三方電子認(rèn)證機(jī)構(gòu)對(duì)平臺(tái)上的用戶、機(jī)構(gòu)和設(shè)備的身份進(jìn)行可

靠認(rèn)證，為平臺(tái)應(yīng)用安全奠定基礎(chǔ)。最后利用符合電子簽名法規(guī)定的數(shù)字簽名、電子簽章技術(shù)，確保了網(wǎng)上行為的法律效

力，有效建立了網(wǎng)上

行為的責(zé)任認(rèn)定機(jī)制。1

CA電子認(rèn)證服務(wù)原理?！舴桨冈O(shè)計(jì)充分考慮了監(jiān)所信息系統(tǒng)的業(yè)務(wù)特點(diǎn)，在數(shù)字證書服務(wù)體系的基礎(chǔ)上，利用應(yīng)用安全支撐平臺(tái)為監(jiān)所信息系統(tǒng)提供基于數(shù)字證書的認(rèn)證、加密、簽名、

簽名驗(yàn)證等安全功能，形成電子認(rèn)證服務(wù)和安全應(yīng)用支撐體系。

01100110。1

CA電子認(rèn)證服務(wù)原理。簽名

驗(yàn)證2

數(shù)字證書◆1.數(shù)字證書的概念：即標(biāo)志網(wǎng)絡(luò)用戶身份信息的一系列數(shù)據(jù)，用來在網(wǎng)絡(luò)通訊中識(shí)別通訊各方的身份，即要在網(wǎng)絡(luò)上解決"我是誰”的問題，就如同現(xiàn)實(shí)中我們每一個(gè)人都要擁有一張證明個(gè)人身份的身份證或駕駛執(zhí)照一樣，以表明我們的身份或某種資格，相當(dāng)于網(wǎng)上的身份證?！?.數(shù)字證書是由一個(gè)由權(quán)威機(jī)構(gòu)——CA

機(jī)構(gòu)，又稱為證書授權(quán)(CertificateAuthority)中心發(fā)行的，人們可以在網(wǎng)上用它來識(shí)別對(duì)方的身份。數(shù)字證書是一個(gè)經(jīng)證書授權(quán)中心數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件。最簡(jiǎn)單的證書包含一個(gè)公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名?！粢话闱闆r下證書中還包括密鑰的有效時(shí)間、發(fā)證機(jī)關(guān)(證書授權(quán)中心)的名稱、證書的序列號(hào)等信息，證書的格式遵循X.509國(guó)際標(biāo)準(zhǔn)。HBCA國(guó)家信息產(chǎn)業(yè)部CA中心提交企業(yè)資料順發(fā)企業(yè)或服務(wù)器證書2數(shù)字證書國(guó)家商用密碼

管理辦公室企業(yè)個(gè)人數(shù)字證書為一種軟件實(shí)體，需要特殊的存儲(chǔ)介質(zhì)進(jìn)行保存，CA

提供證書存儲(chǔ)介質(zhì)(

簡(jiǎn)

稱“USBKey”)

用于裝載數(shù)字證書及其私鑰，USBKey

是目前廣泛使用的數(shù)字證書存儲(chǔ)介質(zhì)，CA

在制作雙證書的過程中結(jié)合了USBKey

的

功能特點(diǎn)，實(shí)現(xiàn)了私鑰的安全保護(hù)，不

泄

露

，防篡改，保證數(shù)字證書及其私鑰的安全，并方便用戶隨身攜帶。為了保護(hù)數(shù)字證書及其私鑰的安全，每一個(gè)USBKey都有一個(gè)保護(hù)密碼(PIN碼),

只

有

輸入正確的PIN碼，才能正常使用數(shù)字證書及其私鑰。每個(gè)USBKey出廠時(shí)都有一個(gè)默認(rèn)的

密碼，用戶可自行修改。為防止暴力破解，在連續(xù)輸入幾次錯(cuò)誤口令后，

USBKey

會(huì)自動(dòng)鎖死，無法使用，如需繼續(xù)使用，需持有效證件到發(fā)證機(jī)構(gòu)進(jìn)行解鎖操作。2數(shù)字證書0102◆1.數(shù)字簽名的概念：

指證書用戶(甲)用自己的簽名私鑰對(duì)原始數(shù)據(jù)的雜湊變換后所得消息摘要進(jìn)行加密所得的數(shù)據(jù)。信息接收者(乙)使用信息發(fā)送者的簽名證書對(duì)附在原始信息后的數(shù)字簽名進(jìn)行解密后獲得消息摘要，并對(duì)收到的原始數(shù)據(jù)采用相同的雜湊算法計(jì)算其消息摘要，將二者進(jìn)行對(duì)比，即可校驗(yàn)

原始信息是否被篡改。3數(shù)字簽名03當(dāng)出現(xiàn)業(yè)務(wù)糾紛的情況下，取出數(shù)字簽名記錄

進(jìn)行驗(yàn)證。CA提供標(biāo)準(zhǔn)并滿足數(shù)字簽名驗(yàn)證方法，能夠有效的判斷簽名信息的有效性、簽名者證書真實(shí)性，從而明

確業(yè)務(wù)糾紛的責(zé)任歸屬。02由于數(shù)字簽名的完整性和不可抵賴性，可以確

保系統(tǒng)信息數(shù)據(jù)完整性

和操作的不可抵賴性。對(duì)于監(jiān)所信息系統(tǒng)中，用戶需要承擔(dān)法律責(zé)任

的所有信息都需要采用

數(shù)字簽名來保護(hù)。0

1數(shù)字簽名可以完成對(duì)數(shù)據(jù)完整性的保護(hù)，和