XX系統(tǒng)身份認(rèn)證方案2001

1、 XX 信息網(wǎng)絡(luò)身份認(rèn)證系統(tǒng)設(shè)計方案1 系統(tǒng)建設(shè)的目標(biāo)XX 信息系統(tǒng)是重要的涉密計算機信息系統(tǒng)，因此其對安全保密的要求非常高，在有必要對該系統(tǒng)的身份認(rèn)證機制采用強化措施。XX 系統(tǒng)安全方案的目的是：解決用戶口令、數(shù)據(jù)通過網(wǎng)絡(luò)時容易被截獲、竊取、篡改的安全風(fēng)險；用戶與涉密服務(wù)器在網(wǎng)上有可能無法正確確認(rèn)對方的身份，從而被假冒訪問的風(fēng)險；訪問完成后用戶的抵賴行為等安全危害。XX 系統(tǒng)安全方案的建設(shè)目標(biāo)：是建立一個符合國家安全保密規(guī)定和技術(shù)要求、安全可靠、技術(shù)先進成熟、運行穩(wěn)定、適用于多種運行環(huán)境的、統(tǒng)一的身份認(rèn)證體系。XX 系統(tǒng)身份認(rèn)證安全方案至少應(yīng)可實現(xiàn)以下安全功能： 強的身份認(rèn)證、鑒別機制 數(shù)據(jù)

2、處理、傳輸、訪問的安全可信 數(shù)據(jù)處理、傳輸、訪問的機密保護 數(shù)據(jù)處理、傳輸、訪問的完整性 完善的安全審計功能 完善的 CA 證書及密鑰管理 2XX 信息系統(tǒng)安全風(fēng)險分析建議在具體方案實施時，結(jié)合組織人事信息系統(tǒng)開發(fā)商、管理員一同進行。具體包括：21 系統(tǒng)安全風(fēng)險分析22 系統(tǒng)安全需求分析3常見身份認(rèn)證、鑒別技術(shù)簡要介紹31 口令字口令字是最常用且最經(jīng)濟的鑒別、認(rèn)證方法，但口令字也是最不安全的方法，絕大部分的攻擊都是從猜口令開始的，同時未經(jīng)加密處理的口令字在傳輸過程中，也極易被截獲，因而，口令字的身份認(rèn)證機制對安全強度要求較高的系統(tǒng)是遠(yuǎn)遠(yuǎn)不夠的。32 IC 卡其基本原理是基于非對稱加密體制，使用

3、較低位 RSA 算法來實現(xiàn)的，因而其安全強度也不夠高，且我國自身在 IC 方面自主技術(shù)還較落后，不可完全依賴 IC 卡來作為較強安全手段使用。33 動態(tài)口令（Sec ID）動態(tài)口令牌，目前國內(nèi)較多使用于銀行等部門，且大部分是國外 為主的產(chǎn)品。其在技術(shù)上的優(yōu)點是：采用時戳同步技術(shù)，使客戶端與服務(wù)器端隨機數(shù)同步，進行驗證，確認(rèn)身份，一次一口令。其弱點是依然存在較大安全漏洞，最近的研究表明，只要對服務(wù)器時鐘系統(tǒng)進行攻擊，就會給安全認(rèn)證體系以毀滅性打擊。此外，動態(tài)口令本身僅僅是對身份進行鑒別，鑒別以外的安全問題，如：信息竊取、篡改、泄密等無能為力。34 基于密碼技術(shù)的證書系統(tǒng)現(xiàn)行流行較廣的一種電子商務(wù)

4、安全方案，一般使用與 INTERNET互聯(lián)因特網(wǎng)，以標(biāo)準(zhǔn)X.509 格式發(fā)放證書，但其密鑰管理部分，必須符合國家有關(guān)規(guī)定，尤其在黨政系統(tǒng)。35 生理生物特征主要有眼紋、指紋等，這類技術(shù)驗證唯一性高，但成本費用較大，技術(shù)成熟度尚有一定距離。4衛(wèi)士通強鑒別、身份認(rèn)證安全技術(shù)方案衛(wèi)士通公司建議采用標(biāo)準(zhǔn)證書與專用密碼設(shè)備相結(jié)合的方案：41 本系統(tǒng)須實現(xiàn)的安全要素本方案須解決的安全要素：信息的機密性 即通過使用公開密鑰算法或?qū)ΨQ密鑰算法對信息加密，防止非法用戶竊聽，做到即使能竊取數(shù)據(jù)也無法讀懂。 信息的完整性確保數(shù)據(jù)在傳送過程中不被篡改和偽造，為此需利用單向算法對數(shù)據(jù)進行計算，將結(jié)果附在消息后提供給對方

5、，接收方用相同的算法和密鑰對數(shù)據(jù)進行驗證，以確定數(shù)據(jù)的完整性。 信息的不可否認(rèn)性保證信息的發(fā)送方不能否認(rèn)其發(fā)送的信息，采用數(shù)字簽名的方式實現(xiàn)，當(dāng)發(fā)生糾紛時，通過驗證數(shù)字簽名，為解決糾紛提供依據(jù)。 對等實體鑒別由于通信雙方不能直接確認(rèn)對方身份，必須采用必要的技術(shù)手段進行相互驗證，這是實現(xiàn)信息安全的基礎(chǔ)，通常在建立連接或進行登錄時進行，以防假冒合法用戶。 密鑰保護和管理從信息加密、完整性、不可否認(rèn)性到對等實體鑒別，均是采用密碼技術(shù)實現(xiàn)，在密碼體制中，密鑰保護和管理是安全系統(tǒng)的核心。 安全審計安全系統(tǒng)必須采用嚴(yán)格的安全審計、監(jiān)控技術(shù)，提供事前告警、事后追蹤的能力。42 本方案采用的主要密碼和安全技術(shù)

6、針對以上安全要素，本方案采用以下技術(shù)。 對稱密鑰體系也稱作約定密鑰加密體系。對稱密鑰體系采用相同的密鑰即可對信息進行加密和解密。本系統(tǒng)使用的對稱算法采用計算機安全?？煜盗忻艽a方案，密鑰長度為 256 位，用于對傳輸數(shù)據(jù)進行加解密。 公開密鑰加密體系公開密鑰加密體系采用兩個密鑰：公開密鑰和秘密密鑰。使用公開密鑰加密，只能用對應(yīng)的秘密密鑰解密；或使用秘密密鑰簽名，只能用對應(yīng)的公開密鑰進行驗證。本系統(tǒng)使用的公開密鑰算法采用 RSA，用于對等實體鑒別、數(shù)字簽名和抗抵賴。 證書及密鑰管理系統(tǒng)技術(shù)證書是一個經(jīng)證書授權(quán)機構(gòu) CA 數(shù)字簽名的包含私鑰持有者身份信息及其公開密鑰信息的數(shù)字文件。CA 的簽名使得攻

7、擊者不能偽造和篡改證書，證書的作用是向接收者證明某人或某個機構(gòu)對公開密鑰的擁有。本方案使用的證書系統(tǒng)是衛(wèi)士通公司專業(yè)面向某個行業(yè)各類安全應(yīng)用系統(tǒng)的密鑰管理解決方案。 IDS 入侵監(jiān)測防范技術(shù)本方案中使用了 30 所自行開發(fā)研制的網(wǎng)絡(luò)安全入侵檢測防范技術(shù)。 43 方案設(shè)計的安全設(shè)備及功能431 客戶端設(shè)備客戶端設(shè)備包括： 桌面密碼機：負(fù)責(zé)對用戶數(shù)據(jù)進行加、解密及簽名，讀取 IC卡中的私鑰及證書信息并進行運算處理 IC 卡：攜帶用戶證書和私鑰，供桌面密碼機使用 安全動態(tài)庫：負(fù)責(zé)驅(qū)動桌面密碼機并提供開發(fā)接口 SSL 安全代理（視具體用戶情況可選，使用IE 瀏覽器時使用）432 服務(wù)器端設(shè)備服務(wù)器端設(shè)

8、備包括： 服務(wù)器密碼機：負(fù)責(zé)對用戶數(shù)據(jù)進行加、解密，驗證，保存用戶公鑰、證書庫。 CA 發(fā)卡及密鑰管理系統(tǒng)：發(fā)放用戶證書、私鑰，用戶IC 卡制作，證書及密鑰管理（黒名單、注銷、掛失等）。 安全審計機：保存歷史數(shù)據(jù)和用戶簽名碼，進行安全審計 入侵監(jiān)測儀：對非法攻擊進行監(jiān)測，對系統(tǒng)安全漏洞進行檢查 安全代理服務(wù)器（使用 WEB 服務(wù)器時使用，可選）433 桌面密碼機功能介紹桌面密碼機是衛(wèi)士通公司開發(fā)的可供 PC 機使用的、便攜式安全設(shè)備，可以保證存放在計算機中信息安全保密和完整，保證用戶間通信的安全保密、身份認(rèn)證和信息的真實、安全、完整。 功能特征： 計算機通信數(shù)據(jù)的加密/解密 計算機保密文件柜的

9、實現(xiàn) 信息完整性鑒別 MAC、真實性鑒別、數(shù)字簽名，認(rèn)證、散列算法 高速智能 IC 卡密鑰管理，CBC 加密方式 經(jīng)國家主管部門測試審查通過的安全保密體系結(jié)構(gòu)，經(jīng)國家主管部門審定通過的密碼算法 自身安全保護：打開機盒，密鑰、密碼算法自毀；DSP 程序不可讀出；434 服務(wù)器密碼機功能介紹服務(wù)器密碼機是本系統(tǒng)核心設(shè)備，主要提供數(shù)據(jù)加 /解密；MAC產(chǎn)生、驗證；支持單向散列；數(shù)字簽名；對等實體鑒別；用戶權(quán)限控制；安全日志；基于非對稱密碼體制的對稱密鑰協(xié)商。435 鷹眼入侵監(jiān)測儀簡介鷹眼網(wǎng)絡(luò)安全監(jiān)測儀通過實時收集網(wǎng)絡(luò)通信數(shù)據(jù)，實時分析和識別網(wǎng)絡(luò)攻擊模式，根據(jù)用戶自定義的網(wǎng)絡(luò)安全策略對網(wǎng)絡(luò)活動進行檢查

10、，捕獲網(wǎng)絡(luò)安全違規(guī)事件，提供實時報警，自動生成審計報告。 44 安全設(shè)計網(wǎng)絡(luò)拓樸圖（見附件）45 方案設(shè)計的工作原理及流程1、 通過 IC 卡、桌面密碼機和服務(wù)器密碼機完成客戶端與服務(wù)器間的身份認(rèn)證和密鑰協(xié)商（密鑰的保護由桌面密碼機完成）；2、 由桌面密碼機完成對用戶數(shù)據(jù)的簽名，服務(wù)器密碼機完成對交易數(shù)據(jù)的驗證；3、 使用桌面密碼機完成對鏈路數(shù)據(jù)的硬件級的加密（算法使用通過國家鑒定的算法），服務(wù)器密碼機完成相應(yīng)的解密功能；4、 審計機保存審計數(shù)據(jù)完成審計功能；5、 CA 完成證書的統(tǒng)一發(fā)放和管理；6、 入侵監(jiān)測設(shè)備對漏洞進行掃描及非法攻擊監(jiān)測；7、 由衛(wèi)士通提供統(tǒng)一的安全 API 接口，實現(xiàn)與

11、辦公應(yīng)用系統(tǒng)無縫連結(jié)。46 方案的特色 方便可擴展性：30 所是國家普密、商密產(chǎn)品的定點研制、生產(chǎn)單位，同時也是國家 863 計劃信息安全產(chǎn)業(yè)基地的主承建單位，本方案可實現(xiàn)商密、普密技術(shù)的擴展更換，符合國家有關(guān)保密規(guī)定。 與應(yīng)用業(yè)務(wù)無關(guān)，可以開發(fā)需要的新業(yè)務(wù)，我們的系統(tǒng)不需要做任何更改。 標(biāo)準(zhǔn)化，系統(tǒng)符合 SSL3.0 標(biāo)準(zhǔn)、證書符合 X.509v3 無縫升級，由專線、撥號網(wǎng)絡(luò)可以無縫升級到Internet。我們的系統(tǒng)不做任何改動，節(jié)約投資。 安全性更高。我們采用的經(jīng)過國家有關(guān)部門鑒定的產(chǎn)品服務(wù)器密碼機和桌面密碼機對數(shù)據(jù)進行安全保護。密鑰長度256bit，遠(yuǎn)遠(yuǎn)超過國內(nèi)算法所使用的密鑰長度128

12、bit。同時采用硬件加密方式和完善的密鑰保護方式，更加增強了安全性。 熱備份與負(fù)載均衡功能。采用多臺服務(wù)器密碼機可以實現(xiàn)負(fù)載均衡和熱備份功能，對業(yè)務(wù)系統(tǒng)的影響更小。 易維護性?？蛻舨捎?IE 等瀏覽器，直接從 WEB 服務(wù)器下載應(yīng)用程序，方便了維護工作。 終端系列化?？梢愿鶕?jù)客戶的需求提供多種終端。目前的終端有：桌面密碼機（RS232）、桌面密碼機（USB）、PCI 卡、PCMCIA 卡、服務(wù)器密碼機等設(shè)備。可以根據(jù)業(yè)務(wù)的多少、繁忙程度、移動辦公等配置不同的終端。 具有完全自主知識產(chǎn)權(quán)，本系統(tǒng)所有產(chǎn)品均為國內(nèi)自行研制，是 30 所積數(shù)十年信息安全科研成果的結(jié)晶，且已在國家建設(shè)眾多領(lǐng)域廣泛運用。

13、 5衛(wèi)士通安全方案報價6信息產(chǎn)業(yè)部三十所及衛(wèi)士通公司概貌61 所情簡介：電子部第三十研究所，創(chuàng)建于 1965 年。經(jīng)過三十多年的發(fā)展，目前已成為國內(nèi)設(shè)施最先進、人才最集中、成果最豐碩、規(guī)模最宏大的信息安全產(chǎn)品研究開發(fā)中心。三十多年來，取得科技成果 300 多項，95 項獲國家級和部級成果獎，其中國家科技進步一等獎 2 項、二等獎 4 項，部級特等獎 2 項、一等獎 6 項。1991 年，江澤民總書記親臨 30 所視察，揮毫題下“通信衛(wèi)士”四個大字，對該所的成就給予了最高贊譽。30 所擁有一支高素質(zhì)的職工隊伍，這是事業(yè)發(fā)展的根本保證。全所現(xiàn)有職工 1300 余人，其中百分之七十以上具有高等學(xué)歷，

14、研究員和高級工程師 150 人。該所是西南地區(qū)唯一具有碩士學(xué)位授予權(quán)的電子類研究所，并與電子科大聯(lián)合培養(yǎng)博士生，能為科研第一線源源不斷地輸送高層次人才。30 所與國內(nèi)外學(xué)術(shù)團體聯(lián)系廣泛，與多家海外科研機構(gòu)有長期合作關(guān)系，能夠緊緊扣住世界相關(guān)科技發(fā)展的脈搏，及時開發(fā)出具有國際領(lǐng)先水平的產(chǎn)品。30 所視產(chǎn)品質(zhì)量為企業(yè)的生命，1990 年通過了“軍工產(chǎn)品質(zhì)量體系考核”，1994 年首批獲得國家“軍工產(chǎn)品質(zhì)量保證體系認(rèn)證”證書，1995 年又獲得國家 ISO9001 認(rèn)證證書。這一系列完善的質(zhì)量監(jiān) 控體系，為生產(chǎn)高品質(zhì)產(chǎn)品提供了保障。30 所擁有各種安全保密信息網(wǎng)絡(luò)和應(yīng)用系統(tǒng)開發(fā)建設(shè)的豐富經(jīng)驗，已先后

15、開發(fā)建設(shè)了安全保密綜合業(yè)務(wù)數(shù)字網(wǎng)、安全分組數(shù)據(jù)網(wǎng)、無線數(shù)據(jù)網(wǎng)、智能網(wǎng)、安全會議電視系統(tǒng)、安全電子郵政系統(tǒng)、網(wǎng)間互連互通系統(tǒng)等，這些網(wǎng)系中的各種程控交換、分組數(shù)據(jù)交換、幀中繼交換、圖象控制切換、綜合網(wǎng)絡(luò)管理，復(fù)接/分接、終端、安全保密等設(shè)備均由 30 所自行開發(fā)生產(chǎn)。30 所在數(shù)十個安全保密信息網(wǎng)系開發(fā)建設(shè)中的豐富經(jīng)驗。62 公司簡介深圳市衛(wèi)士通信息安全技術(shù)有限公司由三十所發(fā)起成立并控股。以三十所技術(shù)人才及質(zhì)保體系為依托，以現(xiàn)代公司先進靈活的運轉(zhuǎn)機制參與市場競爭，為國防、黨政、金融、國民經(jīng)濟各部門及各行各業(yè)提供了優(yōu)質(zhì)的產(chǎn)品和完善的售后服務(wù)，提供信息網(wǎng)絡(luò)安全全面解決方案。63 中辦機要局（89）4

16、02 號發(fā)文，三十所被批準(zhǔn)為首批普密科研生產(chǎn)單位。7 已承擔(dān)典型重要黨政信息安全工程（一）黨政政務(wù)類 中共中央紀(jì)律檢查委員會辦公網(wǎng)安全工程 中共中央組織部辦公網(wǎng)安全工程 信息產(chǎn)業(yè)部辦公網(wǎng)安全工程 交通部安全網(wǎng)安全工程 國家計劃生育委員會安全工程 鐵道部辦公網(wǎng)安全工程 國家冶金工業(yè)局信息網(wǎng)安全工程 最高人民檢察院辦公網(wǎng)安全工程 新華社衛(wèi)星網(wǎng)安全工程 中國民航管理局金航網(wǎng)絡(luò)安全工程 國家計劃委員會信息系統(tǒng)安全工程 公安部會議電視安全加密系統(tǒng) 國家郵政總局內(nèi)聯(lián)網(wǎng)安全工程 四川省人民政府政務(wù)信息網(wǎng)安全解決方案 成都市人民政府電子政務(wù)信息系統(tǒng)工程 上海市人民政府密鑰管理中心及安全證書中心工程（二）銀行金融類 全國金卡工程：人民銀行北京總中心、上海、廈門、杭州、福州、昆明、石家莊、深圳等中心安全工程 光大銀行陽光卡網(wǎng)絡(luò)安全