典型商用密碼應(yīng)用方案

1政務(wù)網(wǎng)站系統(tǒng)國(guó)產(chǎn)密碼應(yīng)用方案1.概述根據(jù)有關(guān)資料，截止2018年6月1日，我國(guó)正在運(yùn)行的政府網(wǎng)站有22206家。截止2019年3月18日，天津市在線運(yùn)行政府網(wǎng)站共113個(gè)。根據(jù)CNCERT/CC2018年年報(bào)，2018年，CNCERT/CC自主監(jiān)測(cè)發(fā)現(xiàn)約5.3萬(wàn)個(gè)針對(duì)我國(guó)境內(nèi)網(wǎng)站的仿冒頁(yè)面，頁(yè)面數(shù)量較2017年增長(zhǎng)了7.2%。其中，仿冒政務(wù)類(lèi)網(wǎng)站數(shù)量明顯上升，占比高達(dá)25.2%。2018年，被篡改的政府網(wǎng)站216個(gè)（2017年為618個(gè)）。由此可見(jiàn)，政務(wù)類(lèi)網(wǎng)站的安全性不容忽視。政務(wù)類(lèi)網(wǎng)站建設(shè)可參照GB/T31506-2015《信息安全技術(shù)政府門(mén)戶網(wǎng)站系統(tǒng)安全技術(shù)指南》，其安全基礎(chǔ)設(shè)施包括可信路徑、公鑰基礎(chǔ)設(shè)施等。2.政務(wù)網(wǎng)站密碼安全需求對(duì)存儲(chǔ)的網(wǎng)頁(yè)進(jìn)行完整性保護(hù)，避免非法篡改對(duì)訪問(wèn)系統(tǒng)的管理員身份進(jìn)行鑒別，以確保管理員身份的真實(shí)性，避免非法管理員進(jìn)入系統(tǒng)；對(duì)系統(tǒng)重要日志進(jìn)行完整性保護(hù)，避免非法人員篡改日志記錄。3.政務(wù)網(wǎng)站密碼應(yīng)用方案3.1總體架構(gòu)3.2部署示例3.3密碼應(yīng)用技術(shù)方案物理和環(huán)境安全依托于現(xiàn)有的機(jī)房環(huán)境和辦公環(huán)境的安全措施，利用電子門(mén)禁系統(tǒng)對(duì)人員身份進(jìn)行確認(rèn)，防止非法人員進(jìn)入；利用視頻監(jiān)控系統(tǒng)對(duì)人員行為進(jìn)行記錄。選用符合GM/T0036標(biāo)準(zhǔn)的電子門(mén)禁系統(tǒng)，并對(duì)人員進(jìn)出記錄等數(shù)據(jù)進(jìn)行完整生保護(hù)。在視頻監(jiān)控系統(tǒng)中部署視頻采集加密系統(tǒng)，對(duì)視頻監(jiān)控音像記錄等數(shù)據(jù)進(jìn)行保護(hù)。網(wǎng)絡(luò)和通信安全網(wǎng)絡(luò)與通信的安全防護(hù)實(shí)施要點(diǎn)是保證信意內(nèi)容的完整性。安全接入網(wǎng)關(guān)(SSLVPN產(chǎn)品)對(duì)網(wǎng)絡(luò)通信進(jìn)行保護(hù)，實(shí)現(xiàn)對(duì)網(wǎng)站自身身份的認(rèn)證，防止網(wǎng)站系統(tǒng)的內(nèi)容在傳輸過(guò)程中網(wǎng)站內(nèi)容被篡改。設(shè)備和計(jì)算安全部署終端安全防護(hù)系統(tǒng)，結(jié)合管理員USBKey+數(shù)字證書(shū)方式，對(duì)登錄計(jì)算機(jī)終端操作系統(tǒng)的用戶身份進(jìn)行鑒別，對(duì)用戶登錄的日志信息進(jìn)行完整生保護(hù)，并對(duì)終端操作系統(tǒng)進(jìn)行防護(hù)。應(yīng)用與數(shù)據(jù)安全管理員身份鑒別、可信內(nèi)容發(fā)布用戶訪問(wèn)密鑰管理方案采用某電子政務(wù)電子認(rèn)證服務(wù)機(jī)構(gòu)提供的電子認(rèn)證服務(wù)。密鑰均由商用密碼產(chǎn)品負(fù)責(zé)全生命周期管理。網(wǎng)站管理員在安全接入網(wǎng)關(guān)投入使用前，按照密碼操作規(guī)程在用戶環(huán)境中對(duì)設(shè)備進(jìn)行初始化，完成密鑰生成。在密碼產(chǎn)品運(yùn)維管理過(guò)程中，按照密碼操作規(guī)程對(duì)密鑰進(jìn)行備份(恢復(fù))、歸檔、銷(xiāo)毀等管理操作。密碼管理人員應(yīng)按照密碼操作規(guī)程對(duì)密鑰存儲(chǔ)介質(zhì)進(jìn)行安全管理。安全管理方案密碼安全管理制度和操作規(guī)范執(zhí)行記錄應(yīng)急處置方案4.密碼設(shè)備和系統(tǒng)的選擇應(yīng)選擇具有國(guó)家密碼管理局頒發(fā)的商用密碼產(chǎn)品型號(hào)證書(shū)的USBKey、SSLVPN安全網(wǎng)關(guān)、安全瀏覽器等。5.密碼算法配置與使用使用的密碼產(chǎn)品需配置使用國(guó)產(chǎn)密碼算法SM2/SM3/SM4。

2政務(wù)云系統(tǒng)國(guó)產(chǎn)密碼應(yīng)用方案1.概述政務(wù)云用于承載各級(jí)政務(wù)部門(mén)公共服務(wù)、社會(huì)管理業(yè)務(wù)信息和數(shù)據(jù)，并滿足跨部門(mén)業(yè)務(wù)協(xié)同、數(shù)據(jù)交換與共享的需要，提供IaaS、PaaS和SaaS云計(jì)算服務(wù)。政務(wù)云建設(shè)涉及云建設(shè)單位、密碼建設(shè)單位、政務(wù)云運(yùn)營(yíng)單位、政務(wù)云使用單位、云服務(wù)提供商、政務(wù)云監(jiān)管以及云上的角色(黨政機(jī)關(guān)用戶及其業(yè)務(wù)使用者等)。政務(wù)云平臺(tái)以建設(shè)和提供方的需求與服務(wù)能力，分為以提供基礎(chǔ)設(shè)施即服務(wù)(IaaS)的政務(wù)云平臺(tái)、提供平臺(tái)即服務(wù)(PaaS)的政務(wù)云平臺(tái)以及提供軟件即服務(wù)(SaaS)的政務(wù)云平臺(tái)。本方案以選擇提供PaaS能力的政務(wù)云平臺(tái)建設(shè)和提供方為示例2.密碼安全需求設(shè)備和計(jì)算安全不同虛擬機(jī)之間、虛擬機(jī)與宿主機(jī)之間應(yīng)進(jìn)行安全隔離。虛擬機(jī)的鏡像和快照應(yīng)進(jìn)行安全保護(hù)，保證數(shù)據(jù)的完整性。數(shù)據(jù)與應(yīng)用安全數(shù)據(jù)資源及所在的網(wǎng)絡(luò)、系統(tǒng)平臺(tái)等需要具備詳細(xì)的訪問(wèn)控制和審計(jì)措施來(lái)防止數(shù)據(jù)泄露。對(duì)文件系統(tǒng)、存儲(chǔ)和數(shù)據(jù)庫(kù)等采用加密措施，保證數(shù)據(jù)的機(jī)密性。網(wǎng)絡(luò)、系統(tǒng)平臺(tái)自身需要具備足夠的控制和監(jiān)視手段來(lái)防止信息被篡改。管理安全基礎(chǔ)設(shè)施、密碼設(shè)施的管理和使用，采用基于密碼技術(shù)的多因素身份鑒別機(jī)制。采用安全的網(wǎng)絡(luò)通信協(xié)議，保證數(shù)據(jù)的保密性和完整性。制度和人員安全云平臺(tái)需具有相關(guān)的制度保證操作的規(guī)范性，避免因非法操作或誤操作導(dǎo)致的密鑰刪除、密鑰泄露等重大安全問(wèn)題產(chǎn)生。3.密碼應(yīng)用簡(jiǎn)要方案物理和環(huán)境安全依托于現(xiàn)有的機(jī)房環(huán)境的安全措施，利用電子門(mén)禁系統(tǒng)對(duì)人員身份進(jìn)行確認(rèn)，防止非法人員進(jìn)入；利用視頻監(jiān)控系統(tǒng)對(duì)人員行為進(jìn)行記錄。選用符合GM/T0036標(biāo)準(zhǔn)的電子門(mén)禁系統(tǒng)，并對(duì)人員進(jìn)出記錄等數(shù)據(jù)進(jìn)行完整性保護(hù)。在視頻監(jiān)控系統(tǒng)中部署視頻采集加密系統(tǒng)，對(duì)視頻監(jiān)控音像記錄等數(shù)據(jù)進(jìn)行保護(hù)。網(wǎng)絡(luò)和通信安全遠(yuǎn)程管理采用VPN建立安全通道實(shí)現(xiàn)安全遠(yuǎn)程管理。VPN設(shè)備遵循GM/T0024《SSLVPN技術(shù)規(guī)范》或GM/T0022《IPSecVPN技術(shù)規(guī)范》等標(biāo)準(zhǔn)。設(shè)備和計(jì)算安全基礎(chǔ)防護(hù)利用密碼技術(shù)對(duì)登錄虛擬化操作系統(tǒng)用戶的身份鑒別(采用數(shù)字證書(shū)+USBKey)和訪問(wèn)控制以及對(duì)日志數(shù)據(jù)的完整性等進(jìn)行保護(hù)。對(duì)安全能力要求高的政務(wù)云平臺(tái)，應(yīng)采用基于商密系列算法設(shè)計(jì)的政務(wù)云平臺(tái)。密碼計(jì)算資源池以實(shí)體機(jī)或利用虛擬化技術(shù)的虛擬機(jī)，為信息系統(tǒng)提供數(shù)據(jù)加解密、簽名驗(yàn)簽、雜湊等密碼運(yùn)算服務(wù)，實(shí)現(xiàn)信息的機(jī)密性、完整性、真實(shí)性和不可否認(rèn)性保護(hù)。密碼機(jī)與云密碼機(jī)管理需要采用安全瀏覽器，可基于SM2標(biāo)準(zhǔn)SSLVPN協(xié)議，實(shí)現(xiàn)身份鑒別及通信的保密性和完整性。設(shè)備管理與業(yè)務(wù)管理分開(kāi)，采用各級(jí)管理員基于角色的管理體系，各自具有不交叉的權(quán)限，提供證書(shū)加智能密碼鑰匙/智能IC卡等多因素認(rèn)證手段。提供可追溯的審計(jì)記錄，使用密碼技術(shù)保證審計(jì)記錄的完整性；保證管理員利用網(wǎng)絡(luò)對(duì)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)的身份鑒別，防止身份信息泄露。應(yīng)用和數(shù)據(jù)安全數(shù)據(jù)庫(kù)加密采用數(shù)據(jù)庫(kù)加密系統(tǒng)或數(shù)據(jù)庫(kù)加密網(wǎng)關(guān)解決數(shù)據(jù)庫(kù)加密問(wèn)題，并對(duì)數(shù)據(jù)庫(kù)操作日志進(jìn)行保護(hù)。加解密密鑰由硬件密碼卡/密碼機(jī)產(chǎn)生。若采用數(shù)據(jù)庫(kù)加密網(wǎng)關(guān)會(huì)極大的影響網(wǎng)絡(luò)性能，涉及安全性要求較高的數(shù)據(jù)庫(kù)環(huán)境，采用HSM和數(shù)據(jù)庫(kù)加密軟件共同完成對(duì)主密鑰的保護(hù)；采用SM4算法和隨機(jī)密鑰對(duì)數(shù)據(jù)或字段進(jìn)行加密。采用密鑰管理系統(tǒng)實(shí)現(xiàn)對(duì)云中多租戶、多存儲(chǔ)類(lèi)型加密需求的密碼保護(hù)和管理能力。數(shù)據(jù)存儲(chǔ)加密操作系統(tǒng)中部署存儲(chǔ)加密系統(tǒng)軟件或直接部署存儲(chǔ)加密網(wǎng)關(guān)，實(shí)現(xiàn)對(duì)存儲(chǔ)資源、虛擬存儲(chǔ)、文件系統(tǒng)、文件數(shù)據(jù)等的加解密功能。對(duì)不同的文件和目錄/文件系統(tǒng)/云磁盤(pán)應(yīng)采用不同的加密密鑰進(jìn)行加密；采用SM4算法和隨機(jī)密鑰對(duì)數(shù)據(jù)或字段進(jìn)行加密。采用密鑰管理系統(tǒng)實(shí)現(xiàn)對(duì)云中多租戶、多存儲(chǔ)類(lèi)型加密需求的密碼保護(hù)和管理能力。應(yīng)用安全在代碼和應(yīng)用設(shè)計(jì)部分采用符合國(guó)家相關(guān)要求的商密算法以保證其自身的安全性和健壯性。需要采用密碼技術(shù)對(duì)信息系統(tǒng)的訪問(wèn)控制策略（如安全策略、資源訪問(wèn)控制列表等）、重要信息資源（如數(shù)據(jù)標(biāo)簽）等進(jìn)行保護(hù)，防止被非法篡改。對(duì)重要應(yīng)用程序（如重要業(yè)務(wù)系統(tǒng)、關(guān)鍵應(yīng)用系統(tǒng)）的加載和卸載，需要采用密碼技術(shù)進(jìn)行控制，防止重要應(yīng)用程序在加載過(guò)程中被非法篡改。密鑰管理方案數(shù)字證書(shū)均通過(guò)外部電子認(rèn)證服務(wù)機(jī)構(gòu)統(tǒng)一發(fā)放和管理。密碼管理人員在密碼設(shè)備投入使用前，按照密碼操作規(guī)程在用戶環(huán)境中對(duì)設(shè)備進(jìn)行初始化，完成密鑰生成。在密碼產(chǎn)品運(yùn)維管理過(guò)程中，按照密碼操作規(guī)程對(duì)密鑰進(jìn)行備份(恢復(fù))、歸檔、銷(xiāo)毀等管理操作。密鑰管理系統(tǒng)為云計(jì)算平臺(tái)、云密碼功能服務(wù)、云密碼業(yè)務(wù)服務(wù)、密碼系統(tǒng)、應(yīng)用終端等提供密鑰管理相關(guān)的支持活動(dòng)，如加密密鑰托管、密鑰安全隔離和存儲(chǔ)、密鑰安全訪問(wèn)、密鑰高可用等服務(wù)的一種密鑰管理基礎(chǔ)設(shè)施。密碼管理人員應(yīng)按照密碼操作規(guī)程對(duì)密鑰存儲(chǔ)介質(zhì)進(jìn)行安全管理。用戶/終端私鑰：用戶/終端私鑰可采用智能密碼鑰匙等硬件密碼產(chǎn)品或軟件密碼產(chǎn)品進(jìn)行保護(hù)。云服務(wù)端私鑰：云服務(wù)端密鑰存放在云密碼資源池的硬件密碼設(shè)備中。密鑰加密密鑰：密鑰加密密鑰存放在安全的硬件密碼設(shè)備中或受密碼設(shè)備內(nèi)其他密鑰加密密鑰加密保護(hù)。數(shù)據(jù)加密密鑰：數(shù)據(jù)加密密鑰指用于數(shù)據(jù)加密存儲(chǔ)或數(shù)據(jù)加密傳輸?shù)膶?duì)稱(chēng)密鑰。數(shù)據(jù)加密密鑰包括會(huì)話密鑰和存儲(chǔ)加密密鑰。安全管理方案密碼安全管理制度和操作規(guī)范執(zhí)行記錄應(yīng)急處置方案4.密碼設(shè)備和系統(tǒng)的選擇應(yīng)選擇具有國(guó)家密碼管理局頒發(fā)的商用密碼產(chǎn)品型號(hào)證書(shū)的服務(wù)器密碼機(jī)、云密碼機(jī)、密鑰管理系統(tǒng)、USBKey、SSLVPN安全網(wǎng)關(guān)、數(shù)據(jù)庫(kù)加密系統(tǒng)、安全瀏覽器等。5.密碼算法配置與使用使用的密碼產(chǎn)品需配置使用國(guó)產(chǎn)密碼算法SM2/SM3/SM4。

3政府機(jī)關(guān)移動(dòng)辦公安全解決方案1.方案背景隨著Internet技術(shù)和移動(dòng)技術(shù)的不斷發(fā)展，越來(lái)越多的政府機(jī)關(guān)已依托互聯(lián)網(wǎng)組建了自己的網(wǎng)上辦公系統(tǒng)與業(yè)務(wù)應(yīng)用系統(tǒng)，多數(shù)單位也已應(yīng)用了移動(dòng)APP使移動(dòng)辦公成為可能。在此過(guò)程中，如何解決基于開(kāi)放系統(tǒng)互聯(lián)下的移動(dòng)辦公數(shù)據(jù)及文件的安全性、個(gè)人身份認(rèn)證、以及網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)陌踩猿蔀檎畽C(jī)關(guān)首要考慮的迫切問(wèn)題。2.安全需求分析根據(jù)政府機(jī)關(guān)對(duì)網(wǎng)絡(luò)信息系統(tǒng)建設(shè)的需要，在實(shí)現(xiàn)移動(dòng)辦公安全接入的同時(shí)，結(jié)合國(guó)家政策對(duì)相關(guān)網(wǎng)絡(luò)通訊協(xié)議和加密算法的要求，其安全接入需求主要如下所述：業(yè)務(wù)系統(tǒng)機(jī)密數(shù)據(jù)安全保密性需求在移動(dòng)辦公或移動(dòng)業(yè)務(wù)操作過(guò)程中，因終端的種類(lèi)較多，有各種移動(dòng)PC、移動(dòng)平板和移動(dòng)手機(jī)，對(duì)于辦公系統(tǒng)或業(yè)務(wù)系統(tǒng)的敏感機(jī)密數(shù)據(jù)的安全保密性要求較高。要保障這些數(shù)據(jù)對(duì)移動(dòng)終端是隔離的、安全的，并且不在移動(dòng)終端設(shè)備上存儲(chǔ)敏感機(jī)密信息（一旦存儲(chǔ)即存在被竊取或主動(dòng)/被動(dòng)數(shù)據(jù)泄露的可能）。網(wǎng)絡(luò)通訊協(xié)議及加密算法的合規(guī)性需求

網(wǎng)絡(luò)傳輸通訊協(xié)議必須符合國(guó)家密碼管理局頒布的相關(guān)國(guó)家技術(shù)標(biāo)準(zhǔn)，符合《SSLVPN技術(shù)規(guī)范》的要求。加密算法必須使用國(guó)家密碼管理局頒布的加密算法。對(duì)數(shù)據(jù)加密的對(duì)稱(chēng)算法應(yīng)使用SM1或SM4算法；用于證書(shū)認(rèn)證的非對(duì)稱(chēng)算法應(yīng)使用SM2算法，摘要算法應(yīng)使用SM3算法。移動(dòng)設(shè)備、網(wǎng)關(guān)設(shè)備與用戶的管理與安全性需求對(duì)所有移動(dòng)設(shè)備、網(wǎng)關(guān)設(shè)備和移動(dòng)用戶采用統(tǒng)一、嚴(yán)格的身份認(rèn)證和集中管理；需實(shí)現(xiàn)實(shí)時(shí)監(jiān)控網(wǎng)關(guān)設(shè)備及用戶工作狀態(tài)，并進(jìn)行詳細(xì)日志記錄；對(duì)移動(dòng)設(shè)備上的用戶操作進(jìn)行詳細(xì)記錄；整個(gè)系統(tǒng)安裝方便、快捷，便于維護(hù)和管理。3.方案綜述3.1移動(dòng)辦公安全解決方案說(shuō)明根據(jù)政府機(jī)關(guān)的移動(dòng)辦公及移動(dòng)業(yè)務(wù)操作的實(shí)際需求，我們采用經(jīng)國(guó)密局鑒定通過(guò)的VPN密碼機(jī)、支持SM2證書(shū)的CA服務(wù)器，以及虛擬手機(jī)服務(wù)器的組合應(yīng)用解決方案，解決政府機(jī)關(guān)在移動(dòng)辦公及移動(dòng)業(yè)務(wù)操作過(guò)程中的數(shù)據(jù)及文件的安全保密、網(wǎng)絡(luò)傳輸安全保密、人員身份認(rèn)證、設(shè)備集中管理及訪問(wèn)控制等。具體的網(wǎng)絡(luò)拓?fù)鋱D及解決方案如下（本方案旨在表述“移動(dòng)安全接入”，整體完備的信息安全解決方案不再此表述）：圖3-1

移動(dòng)辦公安全解決方案網(wǎng)絡(luò)拓?fù)鋱D在政府機(jī)關(guān)內(nèi)網(wǎng)的互聯(lián)網(wǎng)出口處部署高端IPSEC/SSLVPN綜合網(wǎng)關(guān)作為安全接入網(wǎng)關(guān)。VPN密碼機(jī)內(nèi)置硬件加密卡，支持SM1、SM2、SM3、SM4等國(guó)產(chǎn)密碼算法，符合國(guó)密局VPN技術(shù)規(guī)范要求。同時(shí)，VPN綜合安全網(wǎng)關(guān)集成的防火墻功能可進(jìn)行網(wǎng)絡(luò)訪問(wèn)控制及網(wǎng)絡(luò)安全防護(hù)。VPN綜合安全網(wǎng)關(guān)對(duì)移動(dòng)用戶提供統(tǒng)一的基于SM2證書(shū)的身份認(rèn)證、訪問(wèn)授權(quán)及隧道通訊服務(wù)。當(dāng)用戶通過(guò)身份認(rèn)證后，根據(jù)其角色確定相應(yīng)的訪問(wèn)控制列表，并向終端推送授權(quán)的虛擬手機(jī)設(shè)備連接配置以訪問(wèn)不同的業(yè)務(wù)系統(tǒng)。在政府機(jī)關(guān)內(nèi)網(wǎng)部署CA服務(wù)器，為所有移動(dòng)用戶簽發(fā)SM2算法的證書(shū)，使用證書(shū)方式對(duì)移動(dòng)用戶的遠(yuǎn)程接入進(jìn)行身份認(rèn)證。CA服務(wù)器需符合國(guó)密局《SM2數(shù)字證書(shū)規(guī)范》。在政府機(jī)關(guān)內(nèi)網(wǎng)部署虛擬手機(jī)服務(wù)器，提供虛擬手機(jī)池為移動(dòng)用戶接入使用。支持虛擬手機(jī)設(shè)備的統(tǒng)一管理，移動(dòng)應(yīng)用的統(tǒng)一管理，移動(dòng)用戶使用虛擬手機(jī)的行為安全策略管理。可根據(jù)策略讓虛擬手機(jī)池中的虛擬手機(jī)設(shè)備安裝不同的應(yīng)用，根據(jù)角色分配虛擬手機(jī)設(shè)備的連接配置，虛擬手機(jī)服務(wù)器符合等保要求中對(duì)移動(dòng)信息系統(tǒng)建設(shè)的要求。移動(dòng)用戶在平板、手機(jī)上安裝安全虛擬手機(jī)客戶端，在使用SM1或SM4算法加密的隧道中連接虛擬手機(jī)池中的虛擬手機(jī)來(lái)進(jìn)行遠(yuǎn)程安全接入訪問(wèn)，使用寫(xiě)入SM2證書(shū)的安全TF卡進(jìn)行身份認(rèn)證。移動(dòng)用戶在移動(dòng)PC終端上安裝SSLVPN客戶端，在使用SM1或SM4算法加密的隧道中連接內(nèi)網(wǎng)的RDP服務(wù)器的遠(yuǎn)程桌面或應(yīng)用進(jìn)行遠(yuǎn)程安全接入訪問(wèn)，使用寫(xiě)入SM2證書(shū)的USBKey進(jìn)行身份認(rèn)證。安全TF卡及USBKey均自帶加密芯片，支持SM1、SM2、SM3、SM4國(guó)產(chǎn)加密算法。部署方案設(shè)備清單：

3.2移動(dòng)辦公安全解決方案優(yōu)勢(shì)及特點(diǎn)（1）移動(dòng)辦公應(yīng)用及業(yè)務(wù)的數(shù)據(jù)和文件與個(gè)人終端徹底分離，在個(gè)人終端數(shù)據(jù)0留存，個(gè)人終端上看見(jiàn)的僅是圖像，而工作數(shù)據(jù)及文件集中在政府機(jī)關(guān)內(nèi)部數(shù)據(jù)中心。數(shù)據(jù)在內(nèi)部網(wǎng)絡(luò)存儲(chǔ)，易于機(jī)關(guān)單位集中防護(hù)；手機(jī)端只展示虛擬手機(jī)畫(huà)面，0數(shù)據(jù)留存，手機(jī)丟失也不用擔(dān)心數(shù)據(jù)流失；工作場(chǎng)景數(shù)據(jù)在內(nèi)網(wǎng)備份，更換手機(jī)后可快速恢復(fù)工作環(huán)境。（2）政府機(jī)關(guān)相關(guān)的移動(dòng)應(yīng)用始終在內(nèi)網(wǎng)運(yùn)行，外網(wǎng)的移動(dòng)終端上僅傳輸屏幕圖像和觸控操作。無(wú)需擔(dān)心網(wǎng)絡(luò)安全攻擊造成的數(shù)據(jù)泄露，即使被攔截獲取，也是一些加密的圖像數(shù)據(jù)，無(wú)意義；對(duì)移動(dòng)設(shè)備的網(wǎng)絡(luò)攻擊（惡意WIFI，ARP、DNS欺騙等），木馬病毒等無(wú)法威脅到運(yùn)行在企業(yè)內(nèi)網(wǎng)的移動(dòng)應(yīng)用；

拷屏操作將被系統(tǒng)審計(jì)機(jī)制記錄并報(bào)警。（3）運(yùn)維簡(jiǎn)單：政府機(jī)關(guān)相關(guān)的移動(dòng)應(yīng)用在內(nèi)網(wǎng)統(tǒng)一管理、部署、升級(jí)，無(wú)需對(duì)移動(dòng)用戶的移動(dòng)設(shè)備進(jìn)行復(fù)雜管理。（4）移動(dòng)設(shè)備兼容性好，安全虛擬手機(jī)客戶端可在主流的Android手機(jī)、平板上運(yùn)行。4.應(yīng)用案例某信息中心為實(shí)現(xiàn)移動(dòng)辦公及移動(dòng)業(yè)務(wù)操作，提出需求，既要能方便地進(jìn)行遠(yuǎn)程移動(dòng)辦公和移動(dòng)業(yè)務(wù)操作，又希望工作數(shù)據(jù)在個(gè)人的移動(dòng)終端上的安全性要得以保障。根據(jù)某信息中心的需求，我們?cè)谛畔⒅行木W(wǎng)絡(luò)的互聯(lián)網(wǎng)出口處部署了高端SJJ1209IPSEC/SSLVPN綜合安全網(wǎng)關(guān)，用于移動(dòng)用戶的遠(yuǎn)程安全接入。在信息中心內(nèi)網(wǎng)中部署了虛擬手機(jī)服務(wù)器，提供虛擬手機(jī)池，其中的虛擬手機(jī)為遠(yuǎn)程接入的移動(dòng)用戶提供辦公APP和業(yè)務(wù)APP來(lái)進(jìn)行遠(yuǎn)程辦公和業(yè)務(wù)操作。在需要進(jìn)行移動(dòng)辦公和移動(dòng)業(yè)務(wù)操作的移動(dòng)終端上安裝安全虛擬手機(jī)客戶端及寫(xiě)入了SM2證書(shū)的安全TF卡，移動(dòng)終端使用安全TF卡內(nèi)的SM2證書(shū)進(jìn)行身份驗(yàn)證，并與VPN網(wǎng)關(guān)建立國(guó)密隧道，通過(guò)國(guó)密隧道訪問(wèn)虛擬手機(jī)池內(nèi)的虛擬手機(jī)進(jìn)行遠(yuǎn)程移動(dòng)辦公和移動(dòng)業(yè)務(wù)操作。

對(duì)于信息中心而言，我們提供了一個(gè)集中化的易于維護(hù)和管理的高效工作平臺(tái)，所有的虛擬手機(jī)都托管在信息中心內(nèi)網(wǎng)數(shù)據(jù)中心服務(wù)器上由管理員統(tǒng)一維護(hù)管理，管理員對(duì)信息中心的移動(dòng)辦公應(yīng)用進(jìn)行統(tǒng)一的發(fā)布管理，對(duì)安全漏洞進(jìn)行統(tǒng)一的處理應(yīng)對(duì)。同時(shí)移動(dòng)應(yīng)用和數(shù)據(jù)均不離開(kāi)數(shù)據(jù)中心，始終限制在內(nèi)網(wǎng)，與外網(wǎng)完全隔離，移動(dòng)終端設(shè)備零數(shù)據(jù)留存，只是展示操作畫(huà)面，工作數(shù)據(jù)安全得以保障。

對(duì)于移動(dòng)用戶而言，通過(guò)安全虛擬手機(jī)客戶端，可以隨時(shí)隨地通過(guò)安全的國(guó)密隧道訪問(wèn)信息中心分配給自己的虛擬手機(jī)，進(jìn)行移動(dòng)辦公和移動(dòng)業(yè)務(wù)操作，大大提升工作效率。并且安全虛擬手機(jī)客戶端只是一個(gè)展示遠(yuǎn)程虛擬手機(jī)畫(huà)面的瘦客戶端軟件，不會(huì)對(duì)移動(dòng)用戶手機(jī)進(jìn)行強(qiáng)有力的管控，信息中心在確保移動(dòng)辦公信息安全的同時(shí)又很好的兼顧了移動(dòng)用戶個(gè)人隱私。

4安全電子郵件系統(tǒng)國(guó)產(chǎn)密碼應(yīng)用方案1.概述安全電子郵件系統(tǒng)由安全郵件客戶端、安全郵件服務(wù)器端和密碼服務(wù)管理平臺(tái)組成。安全郵件客戶端一般包含Web端、PC客戶端和移動(dòng)客戶端三種類(lèi)型，為用戶收/發(fā)郵件的操作界面，其中PC客戶端與移動(dòng)客戶端加載安全郵件SDK，Web客戶端加載安全加密插件。安全郵件服務(wù)器端主要包含郵件接入網(wǎng)關(guān)、服務(wù)器密碼機(jī)、密碼服務(wù)管理平臺(tái)接入服務(wù)器、郵件服務(wù)器、Web服務(wù)器、管理服務(wù)器等。2.密碼安全需求2.1通信安全需求為防止郵件在網(wǎng)絡(luò)傳輸中被竊聽(tīng)，需要采用商密算法對(duì)郵件進(jìn)行機(jī)密性保護(hù)。為了防止郵件在傳輸?shù)倪^(guò)程中被修改，需要對(duì)郵件進(jìn)行雜湊計(jì)算，確保其內(nèi)容的完整性。為了保證郵件傳輸過(guò)程通道的機(jī)密性，需采用商密SSL通道保護(hù)，對(duì)傳輸內(nèi)容進(jìn)行加密。2.2存儲(chǔ)安全需求為了保證郵件信息、個(gè)人信息在本地存儲(chǔ)的機(jī)密性，需要采用加密技術(shù)確保本地信息的安全。為了保證用戶賬戶安全，需要采用密碼技術(shù)保證用戶賬號(hào)信息在后臺(tái)存儲(chǔ)的安全，確保用戶口令、個(gè)人信息不被泄露。為了用戶數(shù)據(jù)信息安全，需要采用三員分立機(jī)制和訪問(wèn)控制技術(shù)，確保管理、運(yùn)維人員無(wú)法查看用戶郵件明文內(nèi)容，無(wú)法竊取用戶隱私。2.3網(wǎng)絡(luò)信任需求為了確保郵件在網(wǎng)絡(luò)傳輸?shù)陌踩?，需要基于證書(shū)技術(shù)實(shí)現(xiàn)通信雙方的身份鑒別。對(duì)郵件系統(tǒng)使用者、管理者的身份合法性進(jìn)行驗(yàn)證，確保用戶信息不被仿冒者訪問(wèn)。3.密碼應(yīng)用需求3.1密碼和環(huán)境安全依托現(xiàn)有的機(jī)房環(huán)境的安全措施，利用電子門(mén)禁系統(tǒng)對(duì)人員身份進(jìn)行確認(rèn)，防止非法人員進(jìn)入；利用視頻監(jiān)控系統(tǒng)對(duì)人員行為進(jìn)行記錄。選用符合GM/T0036標(biāo)準(zhǔn)的電子門(mén)禁系統(tǒng)，并對(duì)人員進(jìn)出記錄等數(shù)據(jù)進(jìn)行完整性保護(hù)。在視頻監(jiān)控系統(tǒng)中部署視頻采集加密系統(tǒng)，對(duì)視頻監(jiān)控音像記錄等數(shù)據(jù)進(jìn)行保護(hù)。3.2網(wǎng)絡(luò)和通信安全在安全接入?yún)^(qū)網(wǎng)絡(luò)邊界部署SSLVPN網(wǎng)關(guān)，為郵件客戶端建立安全的信息傳輸通道。SSLVPN網(wǎng)關(guān)采用SSL協(xié)議進(jìn)行設(shè)備間的身份鑒別和密鑰協(xié)商，建立安全傳輸信道。SSLVPN網(wǎng)關(guān)采用SSL協(xié)議對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行機(jī)密性和完整性的保護(hù)。3.3設(shè)備和計(jì)算安全結(jié)合密碼中間件、TF密碼卡或USBKey+數(shù)字證書(shū)方式，對(duì)登錄計(jì)算機(jī)終端及移動(dòng)終端的用戶身份進(jìn)行鑒別對(duì)用戶登錄的日志信息進(jìn)行完整性保護(hù)，結(jié)合終端防護(hù)措施進(jìn)行防護(hù)。3.4應(yīng)用和數(shù)據(jù)安全郵件內(nèi)容安全安全用戶間的郵件交互安全用戶與非安全用戶間的郵件郵件傳輸安全采用基于SSL安全通道來(lái)保證安全郵件客戶端到郵件服務(wù)器之間的傳輸通道安全；安全郵件服務(wù)器與其它郵件系統(tǒng)之間采用商密算法建立安全傳輸通道。用戶賬戶安全用戶登錄安全賬戶信息存儲(chǔ)安全3.5密鑰管理方案數(shù)字證書(shū)均通過(guò)電子政務(wù)電子認(rèn)證服務(wù)機(jī)構(gòu)統(tǒng)一發(fā)放和管理。密鑰均由商用密碼產(chǎn)品負(fù)責(zé)全生命周期管理。密碼管理人員在密碼設(shè)備投入使用前，按照密碼操作規(guī)程在用戶環(huán)境中對(duì)設(shè)備進(jìn)行初始化，完成密鑰生成。在密碼產(chǎn)品運(yùn)維管理過(guò)程中，按照密碼操作規(guī)程對(duì)密鑰進(jìn)行備份(恢復(fù))、歸檔、銷(xiāo)毀等管理操作。密碼管理人員應(yīng)按照密碼操作規(guī)程對(duì)密鑰存儲(chǔ)介質(zhì)進(jìn)行安全管理。3.6安全管理方案密碼安全管理制度和操作規(guī)范執(zhí)行記錄應(yīng)急處置方案4.密碼設(shè)備和系統(tǒng)的選擇應(yīng)選擇具有國(guó)家密碼管理局頒發(fā)的商用密碼產(chǎn)品型號(hào)證書(shū)的密碼中間件、TF卡/USBKey、服務(wù)器密碼機(jī)、SSLVPN安全網(wǎng)關(guān)等。5.密碼算法配置與使用使用的密碼產(chǎn)品需配置使用國(guó)產(chǎn)密碼算法SM2/SM3/SM4。

5機(jī)關(guān)電子公文系統(tǒng)國(guó)產(chǎn)密碼應(yīng)用方案電子公文是指各地區(qū)、各部門(mén)通過(guò)由國(guó)務(wù)院辦公廳統(tǒng)一配置的電子公文傳輸系統(tǒng)處理后形成的具有規(guī)范格式的公文的電子數(shù)據(jù)。1.概述參照GB/T33482-2016《黨政機(jī)關(guān)電子公文系統(tǒng)建設(shè)規(guī)范》電子公文系統(tǒng)的運(yùn)行依托統(tǒng)一的基礎(chǔ)設(shè)施，包括網(wǎng)絡(luò)/通道、公鑰基礎(chǔ)設(shè)施、目錄服務(wù)等。電子公文標(biāo)準(zhǔn)化套件運(yùn)行于系統(tǒng)的客戶端，包含文字處理、版式閱讀、電子簽章等組件。

電子公文處理系統(tǒng)實(shí)現(xiàn)電子公文的收發(fā)文管理和公文歸檔等功能。電子公文交換系統(tǒng)支持電子公文處理系統(tǒng)間或收發(fā)文單位之間的電子公文傳輸。2.電子公文系統(tǒng)典型應(yīng)用模式

如上圖所示，簡(jiǎn)單解釋如下：

1）基礎(chǔ)設(shè)施：包括通個(gè)信網(wǎng)絡(luò)/通道、公鑰基礎(chǔ)設(shè)施、目錄服務(wù)等；

2）在一個(gè)地區(qū)（如省市），整個(gè)系統(tǒng)由服務(wù)端、客戶端組成，通過(guò)電子公文交換系統(tǒng)與其他省市節(jié)點(diǎn)（Ni）實(shí)現(xiàn)電子公文安全數(shù)據(jù)交換；3.電子公文系統(tǒng)密碼安全需求3.1電子公文處理系統(tǒng)

對(duì)訪問(wèn)系統(tǒng)的用戶身份進(jìn)行鑒別，以確保用戶身份的真實(shí)性，避免非法用戶進(jìn)入系統(tǒng)。

對(duì)存儲(chǔ)的大量電子文件進(jìn)行加密保護(hù)，以確保電子文件的機(jī)密性，避免被非授權(quán)人員竊取。

對(duì)用戶權(quán)限信息進(jìn)行簽名處理，以確保權(quán)限信息的真實(shí)性和完整性，避免非授權(quán)人員偽造權(quán)限信息。

對(duì)系統(tǒng)日志進(jìn)行完整性保護(hù)，避免非法人員篡改日志記錄。3.2公文處理終端

配合電子公文處理系統(tǒng)，完成對(duì)用戶身份的鑒別，以確保用戶身份的真實(shí)性。

對(duì)用戶關(guān)鍵操作進(jìn)行簽名處理，以確保關(guān)鍵業(yè)務(wù)操作的不可否認(rèn)性。

對(duì)成文的電子公文加蓋電子簽章，確保文件的真實(shí)性和不可否認(rèn)性。3.3電子公文交換系統(tǒng)

對(duì)訪問(wèn)系統(tǒng)的用戶身份進(jìn)行鑒別，以確保用戶身份的真實(shí)性，避免非法用戶進(jìn)入系統(tǒng)。

對(duì)用戶權(quán)限信息進(jìn)行簽名處理，以確保權(quán)限信息的真實(shí)性和完整性，避免非授權(quán)人員偽造權(quán)限信息。

對(duì)應(yīng)用間傳遞的交換數(shù)據(jù)進(jìn)行簽名處理，作為數(shù)據(jù)來(lái)源真實(shí)性的證明。

對(duì)系統(tǒng)日志進(jìn)行完整性保護(hù)，避免非法人員篡改日志記錄。3.4公文交換終端

配合電子公文交換系統(tǒng)，完成對(duì)用戶身份的鑒別，以確保用戶身份的真實(shí)性。

對(duì)待發(fā)的電子公文進(jìn)行源數(shù)據(jù)加密，在接收方進(jìn)行解密處理，以確保電子文件的機(jī)密性，避免內(nèi)外部用戶對(duì)文件的非法訪問(wèn)。4密碼應(yīng)用方案總體架構(gòu)4.1物理和環(huán)境安全

依托于現(xiàn)有的機(jī)房環(huán)境和辦公環(huán)境的安全措施，利用電子門(mén)禁系統(tǒng)對(duì)人員身份進(jìn)行確認(rèn)，防止非法人員進(jìn)入；利用視頻監(jiān)控系統(tǒng)對(duì)人員行為進(jìn)行記錄。

選用符合GM/T0036標(biāo)準(zhǔn)的電子門(mén)禁系統(tǒng)，并對(duì)人員進(jìn)出記錄等數(shù)據(jù)進(jìn)行完整性保護(hù)。

在視頻監(jiān)控系統(tǒng)中部署視頻采集加密系統(tǒng)，對(duì)視頻監(jiān)控音像記錄等數(shù)據(jù)進(jìn)行保護(hù)。4.2網(wǎng)絡(luò)和通信安全

在網(wǎng)絡(luò)邊界部署VPN安全網(wǎng)關(guān)，為通過(guò)互聯(lián)網(wǎng)訪問(wèn)系統(tǒng)的終端或應(yīng)用系統(tǒng)之間建立安全的信息傳輸通道，對(duì)網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)進(jìn)行加密保護(hù)，保障網(wǎng)絡(luò)和通信安全。

VPN安全網(wǎng)關(guān)之間采用IPSec協(xié)議或SSL協(xié)議進(jìn)行設(shè)備間的身份鑒別和密鑰協(xié)商，建立安全傳輸信道。

VPN安全網(wǎng)關(guān)采用IPSec協(xié)議或SSL協(xié)議對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行機(jī)密性和完整性的保護(hù)。4.3設(shè)備和計(jì)算安全

部署終端安全防護(hù)系統(tǒng)，結(jié)合身份鑒別USBKey，基于數(shù)字證書(shū)+USBKey方式，對(duì)登錄計(jì)算機(jī)終端操作系統(tǒng)的用戶身份進(jìn)行鑒別，對(duì)用戶登錄的日志信息進(jìn)行完整性保護(hù)，并對(duì)終端操作系統(tǒng)進(jìn)行保護(hù)。4.4應(yīng)用和數(shù)據(jù)安全

電子公文處理系統(tǒng)

終端用戶身份鑒別

電子公文加密存儲(chǔ)

電子公文簽章

系統(tǒng)重要數(shù)據(jù)簽名及驗(yàn)簽

電子公文交換系統(tǒng)

終端用戶身份鑒別

電子公文元數(shù)據(jù)加解密

系統(tǒng)重要數(shù)據(jù)簽名及驗(yàn)簽4.5密鑰管理方案

選擇現(xiàn)有電子政務(wù)電子認(rèn)證基礎(chǔ)設(shè)施統(tǒng)一發(fā)放和管理數(shù)字證書(shū)。

密鑰均由商用密碼產(chǎn)品負(fù)責(zé)全生命周期管理。

密碼管理人員在密碼設(shè)備投入使用前，按照密碼操作規(guī)程在用戶環(huán)境中對(duì)設(shè)備進(jìn)行初始化，完成密鑰生成。

在密碼產(chǎn)品運(yùn)維管理過(guò)程中，按照密碼操作規(guī)程對(duì)密鑰進(jìn)行備份(恢復(fù))、歸檔、銷(xiāo)毀等管理操作。

密碼管理人員應(yīng)按照密碼操作規(guī)程對(duì)密鑰存儲(chǔ)介質(zhì)進(jìn)行安全管理。4.6安全管理方案密碼安全管理制度和操作規(guī)范電子公文系統(tǒng)密碼應(yīng)用方案執(zhí)行記錄應(yīng)急處置方案5密碼設(shè)備和系統(tǒng)的選擇應(yīng)選擇具有國(guó)家密碼管理局頒發(fā)的商用密碼產(chǎn)品型號(hào)證書(shū)的服務(wù)器密碼機(jī)/密碼卡/USBKey、安全接入VPN網(wǎng)關(guān)、簽名驗(yàn)簽服務(wù)器、電子簽章系統(tǒng)等。6密碼算法配置與使用使用的密碼產(chǎn)品需配置使用國(guó)產(chǎn)密碼算法SM2/SM3/SM4。

6電子證照系統(tǒng)國(guó)產(chǎn)密碼應(yīng)用方案

1應(yīng)用背景隨著社會(huì)不斷發(fā)展，各種證照層出不窮，五花八門(mén)的證照給公眾辦證用證造成了諸多不便，而紙質(zhì)證照的使用和管理存在不便于保存、偽證假證泛濫、難以驗(yàn)證等問(wèn)題，造成資源嚴(yán)重浪費(fèi)，不利于提高政府辦事效率與服務(wù)水平。2016年9月29日，國(guó)務(wù)院印發(fā)《關(guān)于加快推進(jìn)“互聯(lián)網(wǎng)+政務(wù)服務(wù)”工作的指導(dǎo)意見(jiàn)》指出，凡是能通過(guò)網(wǎng)絡(luò)共享復(fù)用的材料，不得要求企業(yè)和群眾重復(fù)提交；凡是能通過(guò)網(wǎng)絡(luò)核驗(yàn)的信息，不得要求其他單位重復(fù)提供；凡是能實(shí)現(xiàn)網(wǎng)上辦理的事項(xiàng)，不得要求必須到現(xiàn)場(chǎng)辦理。這些要求的核心是通過(guò)歸集各部門(mén)電子證照數(shù)據(jù)，實(shí)現(xiàn)證照信息的復(fù)用與核驗(yàn)。推廣電子證照應(yīng)用，將減輕群眾辦理證件負(fù)擔(dān)、減少證件社會(huì)運(yùn)行成本，提升政府服務(wù)能力，從根本上杜絕假證泛濫，進(jìn)一步優(yōu)化經(jīng)濟(jì)社會(huì)發(fā)展環(huán)境。電子證照的成功應(yīng)用應(yīng)滿足以下兩方面需求：一是電子證照的合法性。如何讓辦事部門(mén)認(rèn)可電子證照的合法性，進(jìn)而實(shí)現(xiàn)部門(mén)間證照互認(rèn)，是電子證照得到應(yīng)用的關(guān)鍵。通過(guò)引入電子印章、電子簽名等技術(shù)手段，對(duì)電子證照文件內(nèi)容進(jìn)行數(shù)字簽名，可以確保電子證照的合法性。二是電子證照的安全性。電子證照在表現(xiàn)形式上與紙質(zhì)證照相同，如果缺少安全管理機(jī)制，更容易滋生假證、假照。在證照的發(fā)放、查詢、核驗(yàn)、入庫(kù)等環(huán)節(jié)，要建立電子證照數(shù)據(jù)安全傳輸、防篡改、完整性校驗(yàn)等安全保護(hù)機(jī)制。2密碼應(yīng)用總體架構(gòu)電子證照密碼應(yīng)用體系包含CA證書(shū)認(rèn)證系統(tǒng)、安全接入系統(tǒng)、數(shù)子簽名系統(tǒng)、電子印章系統(tǒng)，電子證照系統(tǒng)密碼應(yīng)用總體架構(gòu)如圖2所示。圖2

電子證照系統(tǒng)密碼應(yīng)用總體架構(gòu)

CA證書(shū)認(rèn)證系統(tǒng)采用密碼技術(shù)，為證照簽發(fā)部門(mén)、證照使用部門(mén)、電子證照中心發(fā)放數(shù)字證書(shū)，解決電子證照參與各方的身份可信，防止身份假冒；安全接入系統(tǒng)(VPN)解決各接入部門(mén)與電子證照中心之間傳輸信息的機(jī)密性和完整性，防止非法竊取和非法篡改。數(shù)字簽名系統(tǒng)將各部門(mén)發(fā)送的數(shù)據(jù)進(jìn)行數(shù)字簽名，解決數(shù)據(jù)來(lái)源不可靠、非法替換等問(wèn)題。電子印章系統(tǒng)采用電子印章技術(shù)，依據(jù)證照簽發(fā)部門(mén)提供的有效證照數(shù)據(jù)，生成電子證照模板，并加蓋電子印章。密碼技術(shù)在電子證照系統(tǒng)中的使用包括電子證照的簽發(fā)過(guò)程和電子證照的使用過(guò)程。2.1電子證照的簽發(fā)對(duì)列入電子證照目錄的證照，證照簽發(fā)部門(mén)通過(guò)加密通道把證照信息傳遞給電子證照庫(kù)系統(tǒng)，電子證照庫(kù)系統(tǒng)對(duì)電子證照數(shù)據(jù)進(jìn)行數(shù)字簽名，調(diào)用證照模板，生成電子證照版式文件并返回簽發(fā)部門(mén)，簽發(fā)部門(mén)在電子證照版式文件上加蓋電子印章，完成電子證照制作。該過(guò)程中產(chǎn)生的簽名數(shù)據(jù)保存在電子證照庫(kù)中，為驗(yàn)證證照真?zhèn)翁峁┗A(chǔ)支撐。電子證照簽發(fā)過(guò)程中的密碼應(yīng)用如下圖所示。圖3

電子證照簽發(fā)密碼應(yīng)用示意圖2.2電子證照的使用政府部門(mén)在進(jìn)行行政審批等事項(xiàng)時(shí)需要在線查驗(yàn)證照，業(yè)務(wù)系統(tǒng)通過(guò)加密通道從電子證照庫(kù)按需調(diào)取電子證照，通過(guò)驗(yàn)證電子證照數(shù)字簽名確認(rèn)電子證照信息的真?zhèn)?，杜絕偽造假冒證照的行為。整個(gè)過(guò)程準(zhǔn)確高效，無(wú)須手工錄人，減少紙質(zhì)申報(bào)材料，提高了業(yè)務(wù)審批效率。電子證照使用過(guò)程中的密碼應(yīng)用如下圖所示。圖4

電子證照使用過(guò)程密碼應(yīng)用示意圖密碼產(chǎn)品的選擇CA證書(shū)管理系統(tǒng)：應(yīng)采用第三方CA的證書(shū)服務(wù)或自建CA數(shù)字證書(shū)管理系統(tǒng)，其中第三方CA應(yīng)具備國(guó)家密碼管理局與工信部頒發(fā)的相關(guān)資質(zhì)，CA數(shù)字證書(shū)管理系統(tǒng)應(yīng)具備國(guó)家密碼管理局頒發(fā)的商用密碼產(chǎn)品型號(hào)證書(shū)。安全接入系統(tǒng)VPN、數(shù)字簽名系統(tǒng)（簽名驗(yàn)簽服務(wù)器系統(tǒng)）、電子印章系統(tǒng)應(yīng)具備國(guó)家密碼管理局頒發(fā)的商用密碼產(chǎn)品型號(hào)證書(shū)。密碼算法配置與使用使用的密碼產(chǎn)品需配置使用國(guó)產(chǎn)密碼算法SM2/SM3/SM4/ZUC。

7電子政務(wù)密碼應(yīng)用解決方案1.概述國(guó)家密碼管理局在《關(guān)于做好公鑰密碼算法升級(jí)工作的函》中要去2011年7月1日以后建立并使用公鑰密碼的信息系統(tǒng)，應(yīng)當(dāng)使用SM2算法；以建設(shè)完成的系統(tǒng)，應(yīng)盡快進(jìn)行系統(tǒng)