信息安全與解決方案

河南CA信息安全解決方案河南省數(shù)字證書認證中心一、身份鑒別（一）、基本規(guī)定1、應(yīng)提供專用的登錄控制模塊對登錄顧客進行身份標(biāo)記和鑒別；2、應(yīng)提供登錄失敗解決功效，可采用結(jié)束會話、限制非法登錄次數(shù)和自動退出等方法；3、應(yīng)啟用身份鑒別、顧客身份標(biāo)記唯一性檢查、顧客身份鑒別信息復(fù)雜度檢查以及登錄失敗解決功效，并根據(jù)安全方略配備有關(guān)參數(shù)。4、應(yīng)提供顧客身份標(biāo)記唯一和鑒別信息復(fù)雜度檢查功效，確保應(yīng)用系統(tǒng)中不存在重復(fù)顧客身份標(biāo)記，身份鑒別信息不易被冒用；5、應(yīng)對同一顧客采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)顧客身份鑒別；（二）、實現(xiàn)方式通過布署PKI/CA與應(yīng)用系統(tǒng)相結(jié)合實現(xiàn)該項技術(shù)規(guī)定。（三）、布署方式具體布署方式參見應(yīng)用安全支撐系統(tǒng)系統(tǒng)設(shè)計。二、訪問控制（一）、基本規(guī)定1、應(yīng)提供訪問控制功效控制顧客組/顧客對系統(tǒng)功效和顧客數(shù)據(jù)的訪問；2、應(yīng)由授權(quán)主體配備訪問控制方略，并嚴格限制默認顧客的訪問權(quán)限。3、應(yīng)提供訪問控制功效，根據(jù)安全方略控制顧客對文獻、數(shù)據(jù)庫表等客體的訪問；4、訪問控制的覆蓋范疇?wèi)?yīng)涉及與資源訪問有關(guān)的主體、客體及它們之間的操作；5、應(yīng)授予不同賬戶為完畢各自承當(dāng)任務(wù)所需的最小權(quán)限，并在它們之間形成互相制約的關(guān)系。6、應(yīng)含有對重要信息資源設(shè)立敏感標(biāo)記的功效；7、應(yīng)根據(jù)安全方略嚴格控制顧客對有敏感標(biāo)記重要信息資源的操作；（二）、實現(xiàn)方式通過布署PKI/CA與應(yīng)用系統(tǒng)相結(jié)合實現(xiàn)該項技術(shù)規(guī)定。（三）、布署方式具體布署方式參見應(yīng)用安全支撐系統(tǒng)系統(tǒng)設(shè)計。三、通信完整性、保密性（一）、基本規(guī)定1、應(yīng)采用商定通信會話方式的辦法確保通信過程中數(shù)據(jù)的完整性。2、應(yīng)采用密碼技術(shù)確保通信過程中數(shù)據(jù)的完整性。3、在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)運用密碼技術(shù)進行會話初始化驗證；4、應(yīng)對通信過程中的整個報文或會話過程進行加密。（二）、實現(xiàn)方式應(yīng)通過應(yīng)用數(shù)據(jù)加密實現(xiàn)對于數(shù)據(jù)的完整性和保密性安全。四、抗抵賴（一）、基本規(guī)定1、應(yīng)含有在請求的狀況下為數(shù)據(jù)原發(fā)者或接受者提供數(shù)據(jù)原發(fā)證據(jù)的功效；2、應(yīng)含有在請求的狀況下為數(shù)據(jù)原發(fā)者或接受者提供數(shù)據(jù)接受證據(jù)的功效。（二）、實現(xiàn)方式抗抵賴功效最常見的實現(xiàn)方式是通過PKI、數(shù)字簽名、數(shù)字水印和CA等技術(shù)實現(xiàn)。（三）、布署方式通過布署CA實現(xiàn)應(yīng)用抗抵賴功效。五、數(shù)據(jù)完整性（一）、基本規(guī)定1、應(yīng)能夠檢測到重要顧客數(shù)據(jù)在傳輸過程中完整性受到破壞。2、應(yīng)能夠檢測到鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞；3、應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采用必要的恢復(fù)方法；4、應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采用必要的恢復(fù)方法；（二）、實現(xiàn)方式通過使用Hash校驗的辦法確保數(shù)據(jù)的完整性。傳輸過程的完整性受到損壞則采用數(shù)據(jù)重傳的機制；對于存儲的數(shù)據(jù)則應(yīng)采用多個備份的方式，避免單一數(shù)據(jù)損壞造成的損失。（三）、布署方式1、針對應(yīng)用數(shù)據(jù)的其它完整性保護能夠采用Hash校驗，在進行安全編程時采用；2、針對應(yīng)用存儲數(shù)據(jù)進行完整性保護時，應(yīng)當(dāng)采用多個備份機制進行恢復(fù)。六、數(shù)據(jù)保密性（一）、基本規(guī)定1、應(yīng)采用加密或其它保護方法實現(xiàn)鑒別信息的存儲保密性；1、應(yīng)采用加密或其它有效方法實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；2、應(yīng)采用加密或其它保護方法實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲保密性；（二）、實現(xiàn)方式無論在身份驗證階段還是數(shù)據(jù)傳輸階段都使用加密的形式傳輸數(shù)據(jù)，普通的辦法能夠使用SSL或TLS等方式，也能夠使用VPN或?qū)Ｓ煤贤瑐鬏?。對存儲的重要?shù)據(jù)需要采用加密手段進行保存。對于本身就是加密方式存儲和使用的數(shù)據(jù)，在傳輸過程中能夠適宜減少對傳輸過程中加密的規(guī)定。（三）、布署方式通過布署CA、VPN方式實現(xiàn)通過采用支持MD5方式的本地存儲實現(xiàn)七、應(yīng)用安全支撐系統(tǒng)設(shè)計應(yīng)用安全支撐平臺是面對電子政務(wù)應(yīng)用，構(gòu)建在網(wǎng)絡(luò)基礎(chǔ)設(shè)施、系統(tǒng)平臺以及安全保障體系基礎(chǔ)之上，為電子政務(wù)系統(tǒng)提供一體化的政務(wù)應(yīng)用安全支撐。1、應(yīng)用安全支撐系統(tǒng)整體構(gòu)造應(yīng)用安全支撐系統(tǒng)基于數(shù)字證書構(gòu)建安全認證、加密傳輸、加密存儲系統(tǒng)，并為政務(wù)應(yīng)用系統(tǒng)、網(wǎng)絡(luò)提供安全支撐服務(wù)，如可信網(wǎng)站、遠程應(yīng)用訪問、網(wǎng)上業(yè)務(wù)安全服務(wù)、數(shù)據(jù)保護、安全電子郵件應(yīng)用等。應(yīng)用安全支撐系統(tǒng)設(shè)計以安全認證網(wǎng)關(guān)、安全存儲控制服務(wù)器、簽名驗證模塊接口等構(gòu)成，其構(gòu)成邏輯構(gòu)造以下圖所示：圖表SEQ圖表\*ARABIC17應(yīng)用安全支撐系統(tǒng)構(gòu)造如圖所示，應(yīng)用系統(tǒng)通過引入應(yīng)用安全支撐系統(tǒng)來運用數(shù)字證書服務(wù)，為各類應(yīng)用系統(tǒng)提供含有特定安全功效服務(wù)。如上圖所示，應(yīng)用安全支撐系統(tǒng)是實現(xiàn)應(yīng)用安全的基礎(chǔ)，是實現(xiàn)基于CA中心數(shù)字證書安全建設(shè)的橋梁?？尚啪W(wǎng)站的數(shù)字證書解決方案基于應(yīng)用安全支撐系統(tǒng)結(jié)合數(shù)字證書實現(xiàn)可信網(wǎng)站保障，具體實現(xiàn)是設(shè)計采用安全認證網(wǎng)關(guān)實現(xiàn)網(wǎng)站https訪問。加入安全認證網(wǎng)關(guān)的系統(tǒng)構(gòu)造以下：圖表SEQ圖表\*ARABIC18可信網(wǎng)站應(yīng)用構(gòu)造示意網(wǎng)站向權(quán)威的證書中心申請站點證書后便能夠采用https方式進行訪問，顧客在瀏覽器中通過驗證站點證書來鑒別網(wǎng)站的真實性。應(yīng)用遠程訪問（B/S、C/S）安全設(shè)計基于安全認證網(wǎng)關(guān)的應(yīng)用遠程訪問，實現(xiàn)安全的身份認證及數(shù)據(jù)安全傳輸。對于B/S應(yīng)用系統(tǒng)，瀏覽器自帶SSL模塊，因此只需要在服務(wù)端布署安全認證網(wǎng)關(guān)，而對于C/S應(yīng)用系統(tǒng)，則必須在客戶端與服務(wù)端同時布署安全認證網(wǎng)關(guān)及對應(yīng)的客戶端安全接口，為了使C/S應(yīng)用也能夠真正獲取顧客證書信息，客戶端還需要布署簽名模塊，服務(wù)端布署簽名驗證模塊。對應(yīng)用系統(tǒng)進行防護后的系統(tǒng)構(gòu)造以下：圖表SEQ圖表\*ARABIC19應(yīng)用遠程訪問用構(gòu)造示意通過安全防護的B/S應(yīng)用訪問流程以下：顧客使用瀏覽器訪問應(yīng)用系統(tǒng)。安全認證網(wǎng)關(guān)規(guī)定顧客提交顧客數(shù)字證書。顧客登錄USBKEY提交個人證書。安全認證網(wǎng)關(guān)驗證顧客證書，涉及證書本身有效性，信任證書鏈，黑名單。驗證通過后，安全認證網(wǎng)關(guān)將請求發(fā)送給真正應(yīng)用服務(wù)器，并將顧客證書信息添加到HTTP請求中。應(yīng)用服務(wù)器從HTTP請求中獲取顧客的身份，進行訪問控制并為顧客提供服務(wù)。通過安全防護的C/S應(yīng)用訪問流程以下：客戶端向服務(wù)端發(fā)起連接請求。安全認證網(wǎng)關(guān)規(guī)定顧客提交顧客數(shù)字證書。顧客登錄USBKEY提交個人證書。安全認證網(wǎng)關(guān)驗證顧客證書，涉及證書本身有效性，信任證書鏈，黑名單。驗證通過后，安全認證網(wǎng)關(guān)將請求發(fā)送給真正應(yīng)用服務(wù)器。服務(wù)端返回此會話的特性數(shù)據(jù)。客戶端調(diào)用簽名控件，使用顧客私鑰對此數(shù)據(jù)進行簽名，并將簽名后的數(shù)據(jù)和證書發(fā)送給服務(wù)端。服務(wù)端接受后，將特性數(shù)據(jù)、顧客證書以及顧客簽名后的特性數(shù)據(jù)一起傳送給簽名驗證模塊請求驗證。簽名驗證模塊驗證簽名的有效性，給服務(wù)端返回驗證成果。服務(wù)端根據(jù)驗證成果做出判斷，若驗證出錯，則斷開連接；若驗證通過，則獲取證書中的信息作為顧客標(biāo)志，并給顧客賦予對應(yīng)權(quán)限進行操作。網(wǎng)上業(yè)務(wù)（辦公、交易）安全設(shè)計基于應(yīng)用安全支撐系統(tǒng)實現(xiàn)政務(wù)網(wǎng)上業(yè)務(wù)的高強度身份認證、數(shù)據(jù)傳輸保密、數(shù)據(jù)完整性保障、不可抵賴性、數(shù)字證書的全方面支持、顧客的一致性認證進行安全防護后的應(yīng)用系統(tǒng)構(gòu)造以下：圖表SEQ圖表\*ARABIC20網(wǎng)上業(yè)務(wù)安全應(yīng)用示意系統(tǒng)的訪問流程以下：顧客訪問應(yīng)用系統(tǒng)。安全認證網(wǎng)關(guān)規(guī)定顧客提交顧客數(shù)字證書。顧客登錄USBKEY提交個人證書。安全認證網(wǎng)關(guān)驗證顧客證書，涉及證書本身有效性，信任證書鏈，黑名單。驗證通過后，安全認證網(wǎng)關(guān)將請求發(fā)送給真正的應(yīng)用服務(wù)器，并將顧客證書信息添加請求中。應(yīng)用服務(wù)器從請求中獲取顧客的身份，進行訪問控制并為顧客提供服務(wù)。系統(tǒng)不可抵賴性流程下：系統(tǒng)交易開始（顧客撰寫公文）顧客使用自己的數(shù)字證書對交易數(shù)據(jù)進行數(shù)字簽名（顧客能夠使用與自己數(shù)字證書管理的電子印跡“加蓋”到公文上）系統(tǒng)將數(shù)字簽名數(shù)據(jù)（能夠是加有電子印跡的公文）傳送到服務(wù)端服務(wù)端通過簽名驗證服務(wù)器驗證簽名數(shù)據(jù)（通過電子印跡系統(tǒng)驗證“加蓋”電子印跡公文的有效性）驗證成功后，保存簽名數(shù)據(jù)（能夠是加有電子印跡的公文）作為證據(jù)。數(shù)據(jù)保護設(shè)計基于應(yīng)用安全支撐平臺以數(shù)字信封技術(shù)實現(xiàn)數(shù)據(jù)網(wǎng)絡(luò)集中安全存儲系統(tǒng)，在文獻服務(wù)器上開辟私有空間，對寄存其中的文獻進行嚴格的授權(quán)驗證，使存儲的資料能夠安全的集中管理，進行統(tǒng)一有效的備份，達成資料更為安全的存儲。同時系統(tǒng)能夠?qū)崿F(xiàn)靈活而安全的授權(quán)，從而達成數(shù)據(jù)共享的需求?；趹?yīng)用安全支撐系統(tǒng)的數(shù)據(jù)保護實現(xiàn)網(wǎng)絡(luò)構(gòu)造以下圖所示：圖表SEQ圖表\*ARABIC19基于網(wǎng)絡(luò)的安全存儲系統(tǒng)架構(gòu)如圖中所示的應(yīng)用安全支持平臺能夠?qū)崿F(xiàn)以下數(shù)據(jù)保護功效，其實現(xiàn)的過程涉及文獻的加密保存過程和文獻的使用過程。文獻的加密保存（1）系統(tǒng)中加密保存文獻的過程：生成隨機的加密密鑰；使用該密鑰對明文進行加密；下載有權(quán)使用該文獻的顧客證書，并制作數(shù)字信封；將密文文獻和數(shù)字信封上傳到文獻服務(wù)器；向控制器中增上統(tǒng)計。圖表SEQ圖表\*ARABIC22文獻加密保存過程（2）文獻的使用下列為系統(tǒng)