信息安全解决方案

河南CA信息安全解决方案河南省数字证书认证中心一、身份认证(一)、基本要求1 .提供专用登录控制模块以识别和认证登录用户2 .必须提供登录失败处理功能，以终止会话，限制非法登录次数，并采取自动注销等措施3、启用身份认证、用户身份唯一性检查、用户身份信息复杂性检查、登录失败处理功能，根据安全策略配置相关参数。4 .必须提供用户识别信息的唯一性和认证信息的复杂性的检查功能，确保应用系统中不存在重复的用户识别信息，且确保认证信息不易被恶意使用5 .同一用户应采用两种以上组合的认证技术，实现用户认证(二)、实现方式将PKI/CA与应用程序系统结合使用以实现此技术要求。(3)、配置方式有关详细部署方法，请参见应用安全支持系统设计。二、访问控制(一)、基本要求1 .必须提供访问控制功能，以控制用户组/用户的系统功能和对用户数据的访问2 .授权主体必须配置访问控制策略，严格限制默认用户的访问权限。3 .提供访问控制功能，并根据安全策略控制对用户文件、数据库表等对象的访问4、访问控制的垄断范围应该包括资源访问中涉及的主体、对象及其之间的操作5、给予不同账户履行各自责任所需的最小权限，必须在它们之间形成相互制约的关系。6 .必须具有为重要信息资源设置敏感标志的功能7 .根据安全策略，必须严格控制用户敏感标记的重要信息资源的操作(二)、实现方式将PKI/CA与应用程序系统结合使用以实现此技术要求。(3)、配置方式有关详细部署方法，请参见应用安全支持系统设计。三、通信的完整性、机密性(一)、基本要求1 .应采用约束通信会话方案的方法来保证正在通信的数据的完整性。2 .应采用密码技术保证通信中数据的完整性。3 .在通信双方建立连接之前，应用系统应当使用密码技术对会话初始化进行验证4 .加密正在通信的消息和整个谈话过程。(二)、实现方式应用数据加密，实现数据的完整性和机密性的安全性。四、防止否认(一)、基本要求1、在被要求的情况下，具有向数据的始发者或接收者提供数据的始发证据的功能2、在被要求的情况下，具有向数据的发起者或接收者提供数据的接收证据的功能。(二)、实现方式防止否认功能的最普遍的实现方式是通过PKI、数字签名、数字水印和CA等技术来实现的。(3)、配置方式通过引入CA，实现了防止否认的功能。五、数据完整性(一)、基本要求1 .重要的用户数据可以在传输过程中检测到完整性受损。2 .能够检测出认证信息和重要业务数据在传输过程中完整性受到损害3 .在传输系统管理数据、认证信息和重要业务数据的过程中，完整性受到损害，在检测到完整性错误时可以采取必要的恢复措施4 .系统管理数据、认证信息和重要业务数据在保存过程中完整性受损，在检测出完整性错误时可采取必要的恢复措施(二)、实现方式用Hash检查的方法确保数据完整性。 在传输过程完整性受损的情况下，采用数据重传机制存储的数据必须采用多种备份方法，以防止单个数据因损坏而丢失。(3)、配置方式1 .对应用数据的其他完整性保护可以采用Hash校验，在进行安全编程时采用2 .要保护应用程序的存储数据的完整性，必须使用多种备份机制进行恢复。六、数据机密性(一)、基本要求1 .应采取加密和其他保护措施，实现认证信息的保密性1 .应采取加密和其他有效措施，实现系统管理数据、认证信息和重要业务数据的传输机密性2、应采取加密和其他保护措施，实现系统管理数据、认证信息和重要业务数据的保存机密性(二)、实现方式在验证阶段和数据传输阶段都以加密格式传输数据的方法通常可以使用SSL或TLS方法，也可以使用VPN或专用协议进行传输。必须对保存的重要数据进行加密和保存。 对于其本身加密和存储要使用的数据，在传送期间可适当地减少对加密的要求。(3)、配置方式通过实施lca、VPN实现通过采用支持MD5方式的本地存储来实现七、应用安全支撑系统设计应用安全支持平台面向电子政务应用，基于网络基础设施、系统平台和安全保障系统，为电子政务系统提供一体的政务应用安全支持。1 .应用整个安全支撑系统的结构应用安全支持系统基于数字证书构建安全认证、加密传输和加密存储系统，包括可信网站、远程应用程序访问、在线业务安全服务、数据保护和安全电子邮件应用程序应用安全支持系统设计，由安全认证网关、安全存储控制服务器、签名验证模块接口等构成，其逻辑结构如下图所示图表1安全支撑系统结构的应用如图所示，应用系统通过引入应用安全支援系统来利用数字证书服务，对各种应用系统提供具有特定安全功能的服务。 如上图所示，应用安全支持系统是实现应用安全的基础，是基于CA中心数字证书实现安全建设的桥梁。2 .信任网站的数字证书解决方案在安全支持系统与数字证书结合实现可信网站保障的基础上，具体实现就是采用安全认证网关实现网站https访问。参与安全认证网关的系统构成如下所示图2受信任网站的应用程序结构概述站点向权威证书中心申请站点证书后，可以通过https方式访问，用户通过在浏览器中验证站点证书来判断站点的真实性。3 .应用远程接入(B/S、C/S )安全设计通过安全认证网关进行应用程序远程访问，实现安全认证和数据的安全传输。在B/S应用系统的情况下，浏览器附带有SSL模块，因此，只需在服务器侧配置安全认证网关，在C/S应用系统的情况下， 为了确保C/S应用程序也能够获取用户证书信息，需要在客户端和服务端同时部署对应于安全认证网关的客户端安全界面，客户端将签名模块部署在服务端保护了应用系统的系统构成如下所示图表3应用远程访问结构图要访问安全的B/S应用程序，请执行以下操作l用户通过浏览器访问应用程序。l安全认证网关请求用户提交用户数字证书。l用户登录USBKEY并提交个人证书。l安全认证网关验证用户证书，包括证书本身的有效性、受信任证书链和黑名单。l通过认证后，安全认证网关将请求发送到真正的应用服务器，并将用户证书信息添加到HTTP请求中。l应用服务器从HTTP请求取得用户的身份，进行访问控制，向用户提供服务。要访问安全的C/S应用程序，请执行以下操作l客户机向服务器发起连接请求。l安全认证网关要求用户提交用户数字证书。l用户登录USBKEY并提交个人证书。l安全认证网关验证用户证书，包括证书本身的有效性、受信任证书链和黑名单。l通过认证后，安全认证网关将请求发送给真正的应用服务器。l服务器端返回此会话的特征数据。l客户端调用签名控件，使用用户的私钥签名数据，并将签名的数据和证书发送到服务器端。在l服务侧接收时，特征数据、用户证书和用户签名之后的特征数据被转发给签名验证模块以请求验证。l签名验证模块验证签名的有效性，并将验证结果返回给服务方。l服务器根据验证结果进行判断，如果验证错误则切断验证合格，则取得证明书中的信息作为用户标志，给予用户适当的权限进行操作。4、网络业务(事务、交易)的安全设计应用安全支持系统实现政务网络业务高强度身份认证、数据传输秘密、数据完整性保障、不可否认、数字证书全面支持和用户一致性认证进行安全防护后的应用系统结构如下图表4web上的业务安全应用概述要访问系统，请执行以下操作l用户访问应用程序。l安全认证网关请求用户提交用户数字证书。l用户登录USBKEY并提交个人证书。l安全认证网关验证用户证书，包括证书本身的有效性、受信任证书链和黑名单。l通过认证后，安全认证网关将请求发送到真正的应用服务器，并将用户证书信息添加到请求中。l应用服务器从请求中取得用户身份，进行访问控制，向用户提供服务。在系统不可否认流程下：l系统交易开始(用户写文件)l用户使用自己的数字证书在交易数据上进行数字签名(用户可以使用自己的数字证书和管理的电子印影在文件上“盖章”)。l系统将数字签名数据(也可以是带电子印影的文件)发送到服务器端l服务器端通过签名验证服务器验证签名数据(通过电子印影系统验证“盖章”的电子印影文件的有效性)。l验证成功后，将签名数据(也可以是带电子印刷的文件)作为证据保存。5 .数据保护设计应用安全支持平台以数字信封技术实现数据网络的集中安全存储系统，在文件服务器上打开专用空间，严格认证其中存储的文件，安全集中管理存储的资料，实现统一、高效的备份同时，系统可以实现灵活安全的授权，满足数据共享的需要。下图显示了采用安全支持系统的数据保护网络配置图5基于网络的安全存储系统体系结构示出的应用程序安全支持平台可实现包括文件的加密存储过程和使用文件过程的数据保护功能。6 .文件的加密保存(1)在系统中加密保存文件的过程：l生