1、河南CA信息安全解決方案河南省數(shù)字證書認證中心一、身份鑒別（一）、基本要求1、應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別； 2、應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施； 3、應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關參數(shù)。4、應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用； 5、應對同一用戶采用兩種或兩種以上組合的鑒別技術實現(xiàn)用戶身份鑒別； （二）、實現(xiàn)方式通過部署PKI/CA與應用系統(tǒng)相結合實現(xiàn)該項技術要求。（三）、部署

2、方式詳細部署方式參見應用安全支撐系統(tǒng)系統(tǒng)設計。二、訪問控制（一）、基本要求1、應提供訪問控制功能控制用戶組/用戶對系統(tǒng)功能和用戶數(shù)據(jù)的訪問；2、應由授權主體配置訪問控制策略，并嚴格限制默認用戶的訪問權限。3、應提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問； 4、訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們之間的操作； 5、應授予不同賬戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系。6、應具有對重要信息資源設置敏感標記的功能；7、應依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作； （二）、實現(xiàn)方式通過部署PKI/CA與應用系統(tǒng)相結合實

3、現(xiàn)該項技術要求。（三）、部署方式詳細部署方式參見應用安全支撐系統(tǒng)系統(tǒng)設計。三、通信完整性、保密性（一）、基本要求1、應采用約定通信會話方式的方法保證通信過程中數(shù)據(jù)的完整性。2、應采用密碼技術保證通信過程中數(shù)據(jù)的完整性。3、在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證； 4、應對通信過程中的整個報文或會話過程進行加密。（二）、實現(xiàn)方式應通過應用數(shù)據(jù)加密實現(xiàn)對于數(shù)據(jù)的完整性和保密性安全。四、抗抵賴（一）、基本要求1、應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能； 2、應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。（二）、實現(xiàn)方式抗抵賴功能最常

4、見的實現(xiàn)方式是通過PKI、數(shù)字簽名、數(shù)字水印和CA等技術實現(xiàn)。（三）、部署方式通過部署CA實現(xiàn)應用抗抵賴功能。五、數(shù)據(jù)完整性（一）、基本要求1、應能夠檢測到重要用戶數(shù)據(jù)在傳輸過程中完整性受到破壞。2、應能夠檢測到鑒別信息和重要業(yè)務數(shù)據(jù)在傳輸過程中完整性受到破壞； 3、應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施； 4、應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)在存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施； （二）、實現(xiàn)方式通過使用Hash校驗的方法確保數(shù)據(jù)的完整性。傳輸過程的完整性受到損壞則采

5、取數(shù)據(jù)重傳的機制；對于存儲的數(shù)據(jù)則應采取多個備份的方式，防止單一數(shù)據(jù)損壞造成的損失。（三）、部署方式1、針對應用數(shù)據(jù)的其他完整性保護可以采用Hash校驗，在進行安全編程時采用；2、針對應用存儲數(shù)據(jù)進行完整性保護時，應當采用多種備份機制進行恢復。六、數(shù)據(jù)保密性（一）、基本要求1、應采用加密或其他保護措施實現(xiàn)鑒別信息的存儲保密性； 1、應采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)傳輸保密性； 2、應采用加密或其他保護措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)存儲保密性； （二）、實現(xiàn)方式無論在身份驗證階段還是數(shù)據(jù)傳輸階段都使用加密的形式傳輸數(shù)據(jù)，通常的方法可以使用SSL或TL

6、S等方式，也可以使用VPN或專用協(xié)議傳輸。對存儲的重要數(shù)據(jù)需要采取加密手段進行保存。對于本身就是加密方式存儲和使用的數(shù)據(jù)，在傳輸過程中可以適當降低對傳輸過程中加密的要求。（三）、部署方式l 通過部署CA、VPN方式實現(xiàn)l 通過采用支持MD5方式的本地存儲實現(xiàn)七、應用安全支撐系統(tǒng)設計應用安全支撐平臺是面向電子政務應用，構建在網(wǎng)絡基礎設施、系統(tǒng)平臺以及安全保障體系基礎之上，為電子政務系統(tǒng)提供一體化的政務應用安全支撐。1、應用安全支撐系統(tǒng)整體結構應用安全支撐系統(tǒng)基于數(shù)字證書構建安全認證、加密傳輸、加密存儲系統(tǒng)，并為政務應用系統(tǒng)、網(wǎng)絡提供安全支撐服務，如可信網(wǎng)站、遠程應用訪問、網(wǎng)上業(yè)務安全服務、數(shù)據(jù)保

7、護、安全電子郵件應用等。應用安全支撐系統(tǒng)設計以安全認證網(wǎng)關、安全存儲控制服務器、簽名驗證模塊接口等組成，其組成邏輯結構如下圖所示：圖表 1 應用安全支撐系統(tǒng)結構如圖所示，應用系統(tǒng)通過引入應用安全支撐系統(tǒng)來利用數(shù)字證書服務，為各類應用系統(tǒng)提供具有特定安全功能服務。如上圖所示，應用安全支撐系統(tǒng)是實現(xiàn)應用安全的基礎，是實現(xiàn)基于CA中心數(shù)字證書安全建設的橋梁。2、 可信網(wǎng)站的數(shù)字證書解決方案基于應用安全支撐系統(tǒng)結合數(shù)字證書實現(xiàn)可信網(wǎng)站保障，具體實現(xiàn)是設計采用安全認證網(wǎng)關實現(xiàn)網(wǎng)站https訪問。加入安全認證網(wǎng)關的系統(tǒng)結構如下：圖表 2 可信網(wǎng)站應用結構示意網(wǎng)站向權威的證書中心申請站點證書后便可以采用ht

8、tps方式進行訪問，用戶在瀏覽器中通過驗證站點證書來判別網(wǎng)站的真實性。3、 應用遠程訪問（B/S、C/S）安全設計基于安全認證網(wǎng)關的應用遠程訪問，實現(xiàn)安全的身份認證及數(shù)據(jù)安全傳輸。對于B/S應用系統(tǒng)，瀏覽器自帶SSL模塊，因此只需要在服務端部署安全認證網(wǎng)關，而對于C/S應用系統(tǒng)，則必須在客戶端與服務端同時部署安全認證網(wǎng)關及相應的客戶端安全接口，為了使C/S應用也能夠真正獲取用戶證書信息，客戶端還需要部署簽名模塊，服務端部署簽名驗證模塊。對應用系統(tǒng)進行防護后的系統(tǒng)結構如下：圖表 3 應用遠程訪問用結構示意經過安全防護的B/S應用訪問流程如下：l 用戶使用瀏覽器訪問應用系統(tǒng)。l 安全認證網(wǎng)關要求用

9、戶提交用戶數(shù)字證書。l 用戶登錄USBKEY提交個人證書。l 安全認證網(wǎng)關驗證用戶證書，包括證書自身有效性，信任證書鏈，黑名單。l 驗證通過后，安全認證網(wǎng)關將請求發(fā)送給真正應用服務器，并將用戶證書信息添加到HTTP請求中。l 應用服務器從HTTP請求中獲取用戶的身份，進行訪問控制并為用戶提供服務。經過安全防護的C/S應用訪問流程如下：l 客戶端向服務端發(fā)起連接請求。l 安全認證網(wǎng)關要求用戶提交用戶數(shù)字證書。l 用戶登錄USBKEY提交個人證書。l 安全認證網(wǎng)關驗證用戶證書，包括證書自身有效性，信任證書鏈，黑名單。l 驗證通過后，安全認證網(wǎng)關將請求發(fā)送給真正應用服務器。l 服務端返回此會話的特征

10、數(shù)據(jù)。l 客戶端調用簽名控件，使用用戶私鑰對此數(shù)據(jù)進行簽名，并將簽名后的數(shù)據(jù)和證書發(fā)送給服務端。l 服務端接收后，將特征數(shù)據(jù)、用戶證書以及用戶簽名后的特征數(shù)據(jù)一起傳送給簽名驗證模塊請求驗證。l 簽名驗證模塊驗證簽名的有效性，給服務端返回驗證結果。l 服務端根據(jù)驗證結果做出判斷，若驗證出錯，則斷開連接；若驗證通過，則獲取證書中的信息作為用戶標志，并給用戶賦予相應權限進行操作。4、 網(wǎng)上業(yè)務（辦公、交易）安全設計基于應用安全支撐系統(tǒng)實現(xiàn)政務網(wǎng)上業(yè)務的高強度身份認證、數(shù)據(jù)傳輸保密、數(shù)據(jù)完整性保障、不可抵賴性、數(shù)字證書的全面支持、用戶的一致性認證進行安全防護后的應用系統(tǒng)結構如下：圖表 4 網(wǎng)上業(yè)務安全

11、應用示意系統(tǒng)的訪問流程如下：l 用戶訪問應用系統(tǒng)。l 安全認證網(wǎng)關要求用戶提交用戶數(shù)字證書。l 用戶登錄USBKEY提交個人證書。l 安全認證網(wǎng)關驗證用戶證書，包括證書自身有效性，信任證書鏈，黑名單。l 驗證通過后，安全認證網(wǎng)關將請求發(fā)送給真正的應用服務器，并將用戶證書信息添加請求中。l 應用服務器從請求中獲取用戶的身份，進行訪問控制并為用戶提供服務。系統(tǒng)不可抵賴性流程下：l 系統(tǒng)交易開始（用戶撰寫公文）l 用戶使用自己的數(shù)字證書對交易數(shù)據(jù)進行數(shù)字簽名（用戶可以使用與自己數(shù)字證書管理的電子印跡“加蓋”到公文上）l 系統(tǒng)將數(shù)字簽名數(shù)據(jù)（可以是加有電子印跡的公文）傳送到服務端l 服務端通過簽名驗證

12、服務器驗證簽名數(shù)據(jù)（通過電子印跡系統(tǒng)驗證“加蓋”電子印跡公文的有效性）l 驗證成功后，保存簽名數(shù)據(jù)（可以是加有電子印跡的公文）作為證據(jù)。5、 數(shù)據(jù)保護設計基于應用安全支撐平臺以數(shù)字信封技術實現(xiàn)數(shù)據(jù)網(wǎng)絡集中安全存儲系統(tǒng)，在文件服務器上開辟私有空間，對存放其中的文件進行嚴格的授權驗證，使存儲的資料能夠安全的集中管理，進行統(tǒng)一有效的備份，到達資料更為安全的存儲。同時系統(tǒng)可以實現(xiàn)靈活而安全的授權，從而達到數(shù)據(jù)共享的需求?；趹冒踩蜗到y(tǒng)的數(shù)據(jù)保護實現(xiàn)網(wǎng)絡結構如下圖所示：圖表 5基于網(wǎng)絡的安全存儲系統(tǒng)架構 如圖中所示的應用安全支持平臺可以實現(xiàn)如下數(shù)據(jù)保護功能，其實現(xiàn)的過程包括文件的加密保存過程和文件的使用過程。6、 文件的加密保存（1）系統(tǒng)中加密保存文件的過程：l 生成隨機的加密密鑰；l 使用該密鑰對明文進行加密；l 下載有權使用