數字認證解決方案

1、金山信息委移動終端安全接入平臺-擴建方案 廣西低保信息管理平臺數字認證解決方案北廣萬通信息技術有限公司2015年11月目 錄1項目背景12電子認證的作用13建設方案33.1建設目標33.2建設內容33.3建設步驟34總體設計54.1方案思路54.2設計原則54.3總體架構74.4身份認證實現84.5數字簽名實現84.6電子簽章實現95證書服務保障方案105.1服務體系105.1.1服務宗旨105.1.2服務組織架構105.1.3服務原則115.1.4故障級別115.1.5服務內容115.2培訓服務135.3售后服務146建設規(guī)劃與預算156.1建設規(guī)劃156.2建設清單及預算16171 項目背

2、景2014年，國務院以649號令頒布了社會救助暫行辦法，并于5月1日起施行。社會救助暫行辦法為民政部門以及各地低保管理和平臺建設提供了依據。低保管理工作中救助對象管理、保障社會救助制度公平公正實施、提升救助工作效率和工作水平具有十分重要的意義。而低保管理更需要先進的信息化手段予以支撐，因此廣西低保信息管理平臺建設應運而生。信息化手段大大提高了低保管理工作的效率的同時，不容忽視也帶來了信息安全風險，居民低保信息屬于個人隱私敏感數據，很有可能遭到惡意攻擊使得居民敏感數據泄露甚至被不法分子竊取用于牟利。因此需要信息化的安全手段對廣西低保信息管理平臺進行安全保護。結合我公司在安全領域的專業(yè)優(yōu)勢與成熟的

3、數字證書身份認證案例，針對廣西低保信息管理平臺的實際需求，建立一套以基于數字證書的安全認證機制，保障廣西低保信息管理平臺的安全、穩(wěn)定運行。2 電子認證的作用電子認證以電子簽名法為依據，其采用數字證書出具的電子簽名具有和傳統介質簽名同等的法律效力，符合司法取證的要求，可有效保障系統操作數據的合法性。數字證書技術以符合國家最新規(guī)定的SM2算法為保密手段，由國家密碼管理總局制訂規(guī)范，相對其它采用RSA算法的安全產品，SM2不僅安全性高、簽名速度快，同時SM2國密算法為我國自行研究的安全算法，保證了無國外可利用的后門。在現有技術條件下，密碼被破解的可能性幾乎為零（在數字證書技術誕生以來，從未發(fā)生過因證

4、書密碼被破解而發(fā)生的信息安全事件），是現階段最為可靠地信息安全防護手段。（1）防假冒身份。數字證書持有單位或人和現實生活中的單位或自然人一一對應，在現有技術條件下，數字證書無法被復制。因數字證書持有單位或人和信息系統合法使用者一一對應，即只有擁有合法權限的數字證書持有單位或人，才有可能登錄系統并擁有相應的操作業(yè)務權限，可以有效防止身份假冒。（2）防系統信息泄露。系統承載大量用戶信息、項目信息、系統信息，如信息泄露，可能對項目申報單位利益造成損害。利用數字證書對數據或附件簽名后，數據或附件通過網絡傳輸時，只有擁有證書和合法權限的工作人員才能看到相關數據或附件，確保數據或附件內容不為無關人獲取，有

5、效防止系統內容泄露。（3）防竊取系統信息。數字證書的一項重要功能是信息加密，其加密算法在現有技術條件下尚無法破解。即使入侵者（包括非法入侵者和非擁有合法權限的工作人員）突破系統防火墻獲取了數據或附件，但在通過數字證書加密后，只有擁有合法權限的工作人員利用其持有的數字證書解密才可讀取相關內容，對于非擁有合法權限的侵入者，內容不可讀，可以有效防止數據被竊取。（4）防非法修改系統信息。工作人員使用數字證書對數據或附件簽名后，原數據或附件即為不可修改狀態(tài)，確保信件完整，不被不具有相應權限的人員（含非法入侵者和不具相應權限的內部人員）篡改。（5）防系統操作抵賴。數字證書可以對系統操作進行數據簽名，結合系

6、統實際操作，對于重要操作時可通過使用數字證書對數據進行簽名，系統將自動保留簽名數據，一旦出現否認系統相關操作時，通過調出簽名數據進行還原比對。（6）防項目處理進度篡改。對于業(yè)務辦理有時限要求時，為杜絕延遲辦理而修改進度的行為，需在操作的同時獲取時間，且此時間點應為可信時間點。電子認證系統通過時間源服務器獲取標準時間，可準確記錄工作人員的業(yè)務辦理時間節(jié)點且不可修改，有效防止篡改辦理進度。3 建設方案3.1 建設目標廣西低保信息管理平臺數字證書身份認證解決方案的建設目標是：構建廣西低保信息管理平臺安全認證平臺，利用基于數字證書的高強度身份認證加固系統的應用安全，保障廣西低保信息管理平臺安全、可靠、

7、穩(wěn)定運行。3.2 建設內容本方案的主要建設內容為簽名驗證服務器、數字證書電子認證服務支撐平臺、USB-Key數字證書。簽名驗證服務器：簽名驗證服務器是提供數字簽名服務并對數據簽名結果進行真實性、有效性驗證的系統。系統可對關鍵敏感數據進行簽名并驗證，保證數據的真實性、完整性、合法性。數字證書電子認證服務支撐平臺：我公面向信息系統集成應用數字證書的需要，自主研發(fā)的“數字證書電子認證服務支撐平臺”，提供便捷的證書業(yè)務，證書在線驗證服務，以及數據加密等密碼服務功能的軟件平臺，具有“易部署、易配置，易維護”的特點，可廣泛應用于滿足電子政務、電子商務、社會公共服務等領域，有助于解決信息系統應用數字證書的瓶

8、頸，滿足信息安全保障的迫切需要。USB-Key數字證書：USB-Key數字證書是將數字證書簽發(fā)到帶獨立密碼芯片的USB型Key中，簽名私鑰由Key自行產生。USB-Key主要用于具有USB接口的PC終端，是用戶訪問業(yè)務系統的身份令牌。3.3 建設步驟安全體系的建立，可以分步、分系統的逐步實施，可根據用戶的應用系統成熟情況，靈活方便的接入，結合用戶實際需求進行分批次上數字證書。縣一級審批工作人員具備安全認證登錄、審批數據簽名、審批數據簽章等功能。鄉(xiāng)鎮(zhèn)、社區(qū)數據錄入工作人員具備安全認證登錄功能。當用戶業(yè)務擴展，其他工作人員也需要上數字證書或者鄉(xiāng)鎮(zhèn)、社區(qū)工作人員需要上簽名、簽章功能時，數字證書電子認

9、證服務支撐平臺遵循了開放式的設計理念，可支持平滑擴展。4 總體設計4.1 方案思路結合現狀和需求，基于數字證書的身份認證解決方案遵循以下設計思路：1符合國家安全部門的相關要求作為政府部門的安全認證設計，首先考慮安全的合法性，需要使用國家相關安全部門認可的標準、技術和產品。CA簽名驗證服務器、審計服務器、網關等設備，通過了國家密碼管理局的相關鑒定，并取得了產品銷售許可證，并且安全認證產品已經在許多政府單位使用，通過了相關分級保護、等級保護審核。2不改變原有網絡架構和業(yè)務系統功能數字證書身份認證獨立式設計應盡量不改變原有的網絡架構，以及需整合的業(yè)務系統功能也無需調整，只需在業(yè)務系統中嵌入證書接口增

10、加少量系統代碼。充分考慮到客戶可能出現內外網隔離的安全需求，采用網關式獨立設計，通過獨立的安全認證和業(yè)務代理模式，解決了基于數字證書的安全接入中網絡改造、業(yè)務調整的問題，使數字證書身份認證真正能做到快速部署、易于維護。3滿足現有性能需求以及平滑擴展數字證書身份認證解決方案應能滿足目前證書認證用戶的訪問需求，并且在將來業(yè)務擴展時能夠支持平滑擴展。隨著辦公業(yè)務的增加，通過增加設備數量或啟動雙機熱備、負載均衡模式，即可實現數字證書身份認證性能的平滑擴展。4.2 設計原則n 政策性原則全國信息安全工作會議明確了我國信息安全工作的指導思想，我們在設計本方案時認真貫徹27號文件和中華人民共和國電子簽名法的

11、精神，嚴格按照國家規(guī)定的政策法規(guī)及技術要求進行了設計和部署。n 可靠性原則方案中采用的安全產品均通過了國家有關部門的認證和審核，旨在保證政府部門對于涉密信息的完整性、安全性和嚴肅性的整體要求。n 穩(wěn)定性原則系統中采用的所有設備均可滿足7*24*365全天候運行狀態(tài)。n 實用性原則實用性是本方案的特色，我們只根據用戶網絡狀況和現有應用需求進行了設計，脫離需求和應用需要的均未作考慮。n 可擴展性原則為了便于系統的升級和擴展需要，方案遵循了開放式的設計理念，充足的系統冗余有效的保護了用戶的投資。n 分級分步實施原則安全體系的建立，可以分步、分系統的逐步實施，可根據用戶的應用系統成熟情況，靈活方便的接

12、入。4.3 總體架構廣西低保信息管理平臺數字認證架構圖整個架構分為客戶端和服務器端兩個部分。服務端是由數字認證服務支撐平臺軟件、SVS簽名驗證服務器組成；客戶端組件包括證書應用客戶端，包括CSP加密模塊以及數字簽名模塊。數字認證服務支撐平臺軟件集成SVS簽名驗證服務器，統一對廣西低保信息管理平臺提供基于數字證書的身份認證、數字簽名等服務。終端用戶安裝數字認證客戶端后使用USB-Key數字證書登錄系統，系統通過調用數字認證服務支撐平臺提供的身份認證服務完成用戶身份認證，同時在需要進行數字簽名的環(huán)節(jié)調用數字認證服務支撐平臺的數字簽名服務即可。4.4 身份認證實現用戶身份認證方式是通過采用基于PKI

13、體系的數字證書進行用戶身份驗證，其實現方式為：廣西低保信息管理平臺系統嵌入數字證書電子認證服務支撐平臺提供的簽名控件，用戶使用證書登錄時用調用控件中的接口函數，讀取證書信息，生成數字簽名，然后以表單的方式將簽名信息（簽名信息由用戶證書私鑰加密，保證簽名信息安全且無法被篡改或偽造）提交給后臺應用服務器，再由后臺應用服務器請求電子認證服務支撐平臺的身份認證服務交由SVS驗簽服務器進行簽名驗證。驗證未通過則拒絕訪問，驗證通過后則允許用戶登錄。4.5 數字簽名實現如上圖所示：Ø 簽名客戶端是一個數字簽名模塊，針對IE瀏覽器和Netscape瀏覽器，可以選用ActiveX控件和Plug-in插

14、件，數字簽名模塊提供必要的接口函數，應用程序用這些接口實現對關鍵數據的簽名。Ø 驗證服務器是數字證書電子認證服務支撐平臺中的一個簽名驗證模塊，應用系統調用平臺的簽名驗證模塊，而平臺后臺下載證書信息和CRL列表，通過調用SVS簽名驗證服務器對客戶端簽名的關鍵數據簽名進行驗證。4.6 電子簽章實現電子簽章是用來做為身份驗證的一種手段，可用以辨識電子文件簽署者身份，保證文件的完整性，并表示簽署者同意電子文件所陳述事實的內容。電子簽章可分為單位章和個人章，根據用戶實際需求把電子章制作在USB-Key數字證書中。當系統中的文件需要蓋上電子章時，通過調用USB-Key數字證書中的電子簽章功能，則

15、可以在電子文件指定位置蓋上電子章。電子簽章具有法律效應，蓋章后的文件不可修改。電子簽章是電子簽名的一種表現形式，利用圖像處理技術將電子簽名操作轉化為與紙質文件蓋章操作相同的可視效果，同時利用電子簽名技術保障電子信息的真實性和完整性以及簽名人的不可否認性。5 證書服務保障方案5.1 服務體系5.1.1 服務宗旨服務理念：用戶至上，客戶滿意；如果我們的服務使一個客戶不滿意，我們將可能失去一群潛在的客戶；如果我們的服務多次贏得客戶的贊譽，我們將會引來更多的潛在客戶。對客戶服務的專注，讓客戶獲得最大的滿意，就是我們對企業(yè)最大的忠誠。發(fā)展戰(zhàn)略：創(chuàng)建服務平臺，提升品牌形象；建立“規(guī)范、專業(yè)、方便、滿意”的

16、特色服務體系，搭建終端用戶的服務與交流的信息平臺，充分體現我公司品牌競爭、服務競爭及綜合競爭實力。服務方針：售前“全面”、售中“周到”、售后“完善”；做好產品服務平臺，通過客戶的驗證，讓其享受主人般的服務，服務細致入微、以誠相待，以此創(chuàng)造我們的服務美譽度和品牌忠誠度。服務質量是企業(yè)穩(wěn)住老客戶，吸引新客戶的法寶，我們要做好售前、售中、售后的全方位服務。5.1.2 服務組織架構5.1.3 服務原則l 客戶滿意原則“以客戶為本”，讓客戶百分之百的滿意，全心全意為客戶著想，為客戶提供全方位的服務保障，使客戶從證書使用中獲得更大的便利。l 就地服務原則客戶在使用證書產品及享受服務時，遇到相關各類問題，可

17、直接在當地享受CA分中心的服務。在排除用戶后顧之憂的同時，讓用戶真正體驗CA“以客戶為本”的服務理念。把服務人性化轉化為市場的競爭優(yōu)勢。5.1.4 故障級別根據故障設備對用戶業(yè)務造成的影響，將故障劃分為四級：一級故障：產品在運行中出現系統癱瘓或服務中斷，導致產品的基本功能不能實現或全面退化的故障二級故障：產品在運行中出現的故障具有潛在的系統癱瘓或服務中斷的危險，并可能導致產品的基本功能不能實現或全面退化三級故障：產品在運行中出現的直接影響服務、導致系統性能或服務部分退化的故障四級故障：產品在運行中出現的斷續(xù)或間接地影響系統功能和服務的故障。5.1.5 服務內容5.1.5.1 硬件換修服務保修期

18、內，我公司將對工程中所包含的所有硬件設備及其部件提供硬件換修服務，并不再另外收取任何費用。在保修期結束之后，我公司在用戶提出需求的情況下將以不高于本次合同成交價，提供給買方或最終用戶必要的備件儲備。硬件換修服務將由客戶提出申請，針對上述四級故障，響應時間為：故障級別確認時間響應時間更換備件115分鐘30分鐘24 小時230分鐘12小時3天31 小時1個工作日5天41 小時1 個工作日5天對我方提供的軟、硬件，沒有特別說明的，保修服務期限原則上自驗收之日起1年。最終保修期限的確定，以簽定的合同要求為準。5.1.5.2 緊急支持服務緊急支持服務對技術方面的緊急情況提供一天二十四小時，一年三百六十五

19、天不間斷的專業(yè)技術幫助。緊急支持服務只適用于優(yōu)先級別為1級的故障申請或簽定高級服務協議的用戶。在正常工作時間內，可通過“售后服務支持熱線”申請緊急支持服務。在非工作時間，最終用戶可以用我們提供的專用號碼與我們聯系。5.1.5.3 現場支持服務本服務是指在網絡或系統發(fā)生問題，且無法遠程解決時，我公司的支持工程師將親自前往最終用戶現場解決問題。用戶可通過“售后服務支持熱線”申請現場支持服務。該項服務的響應時間指的是支持工程師在收到一個有效的申請之后出發(fā)去故障現場的時間。如果是1級故障，我公司將派一位系統專家在4小時內出發(fā)去故障現場。5.1.5.4 現場培訓服務我公司人員在完成現場支持服務后，實施現

20、場培訓服務。培訓對象為買方產品維護人員，培訓內容為與日常維護有關的知識。現場培訓服務在完成現場支持服務后一天之內完成，課時在不少于4小時。5.1.5.5 投訴受理服務我公司設有用戶投訴中心，提供投訴熱線電話，每周5天、每天8小時受理買方對賣方服務質量的投訴。賣方保證買方的投訴在一周內得到處理。5.2 培訓服務（1）現場培訓：系統開發(fā)完成后，組織相關的證書使用工作人員集中進行現場培訓，我公司配合廣西壯族自治區(qū)民政局，由民政局相關工作人員安排所有的用戶進行培訓，選擇場地、通知用戶、組織會場。我公司準備培訓材料并派技術人員進行現場培訓。 （2）隨CA證書配送操作教程：用戶領取證書時，以光盤形式隨證書

21、配送相關操作教程。 教程包括結合了廣西低保信息管理平臺實際應用的操作說明、視頻教程以及現場培訓資料等。（3）電話培訓：由于用戶使用電腦水平參差不齊，對于參加了現場培訓，看了配送的教程依然不懂得操作的部分用戶或者未能參與培訓的用戶，我們可以通過電話培訓的方式進行一對一指導用戶使用。（4）QQ遠程操作以及培訓：如電話培訓后用戶依然不會使用，我們提供QQ遠程操作培訓。在用戶的電腦上實際操作、指導用戶使用。（5）在互聯網中提供培訓材料：根據廣西壯族自治區(qū)民政局實際情況，如需在廣西低保信息管理平臺外網中增加證書操作以及辦理流程的公告時，我公司將積極配合提供相關培訓以及流程資料。（6）實地培訓：當以上培訓

22、均未能讓用戶清楚使用證書時，我們將提供技術人員進行用戶工作現場培訓。5.3 售后服務當最終用戶的系統中出現了問題，我們公司的售后服務支持中心將幫助、建議或指導我們的最終用戶找出問題原因，并解決問題。如最終用戶無法自行解決該問題，售后支持中心將通過電話、傳真或電子郵件向最終用戶詢問有關情況，以幫助最終用戶立即采取措施糾正錯誤，或者及時進行隔離預防。提供電話、郵件、網站、在線工具等技術維護與支持，現承諾如下：l 為用戶提供7×24小時售后電話服務熱線；l 為用戶提供7×8小時的在線技術支持服務，時時響應用戶；同時提供用戶投訴平臺，監(jiān)督我們的服務； 通過在各地設立的維護點為用戶提

23、供及時、周到的本地化服務。6 建設規(guī)劃與預算6.1 建設規(guī)劃根據本項目的需求分析，建議本次方案建設分兩期進行：第一期：（1）完成系統數字認證平臺建設，縣級用戶使用證書登錄系統、審批數據數字簽名以及電子簽章，用戶數為120用戶。（2）建設驗證服務器，實現通過調用SVS簽名驗證服務器對客戶端簽名的關鍵數據簽名進行驗證。（3）完成數字證書客戶端軟件。該軟件可以解決以往應用數字證書時需要用戶自行下載驅動，并且調整用戶機本地配置等問題。軟件集成了證書驅動以及用戶本地環(huán)境自動配置功能。軟件存放在光盤等介質中，隨USB-Key數字證書一起配發(fā)給證書使用用戶。第二期：推廣至鄉(xiāng)鎮(zhèn)和社區(qū)用戶信息錄入工作人員使用證書登錄系統進行數據填報。用戶數為1380用戶，由民政廳統一安排通知、培訓、協調工作。6.2 建設清單及預算第一期建設清單及預算：（一）應用安全產品 單位：元編號產品名稱功能用途單位數量單價合計1數字簽名驗證服務器IGuardsvs6501U機架式設備，千兆以太網接口 * 4，RS232管理接口 * 1，數字簽名制作 566次/秒,簽名驗