信息安全二CARALRA信息认证解决方案集样本

资料内容仅供您学习参考，如有不当或者侵权，请联系改正或者删除。

LARA

电子政务是一国的各级政府机关或有关机构借助电子信息技术而进行的政务活动,其实质是经过应用信息技术转变政府传统的集中管理、分层结构运行模式,以适应数字化社会的需要。电子政务主要由政府部门内部的数字化办公、政府部门之间经过计算机网络而进行的信息共享和实时通信、政府部门经过网络与公众进行的双向信息交流三部分组成。

由于电子政务具有提高行政效率,节约财政开支,增强政府透明度,拉动信息化投资与消费需求,促进对外开放,促进政府和百姓实时沟通等优点,因此,电子政务得到了各国政府的响应。美国、日本、加拿大、新加坡等国相继实施了电子政务计划,已经取得了很好的效果。中国自1999年实施"政府上网计划"以来,中国各级政府的电子政务建设发展很快,所有省、市、自治区、直辖市均已有自己的政府网站(包括港澳台地区在内),800多个国家级政府部门申请了域名,在网上可查的各级政府站点达457个,其中最小区划已达区(乡),电子政务应用也已扩展到公文电子化、电子招标与采购、电子福利支付、电子资料库、网上报税、网上报关、电子身份证、电子统计报表报送等领域。

电子政务是依赖于计算机和网络技术而存在的,这就意味着电子政务应用不可避免地存在着由Internet的自由、开放所带来的信息安全隐患。这些信息安全隐患主要有:身份认证

由于非法用户能够伪造、假冒政府网站、社会团体、企业和个人身份,因此登录到网上政务站点的政府内部人员、社会团体、企业、个人无法知道她们所登录的网站是否是可信的政府网站,政府网站也无法验证登录到网站上的客户是否是经过政府部门认证的合法用户,非法用户能够借机进行破坏。"用户名＋口令"的传统认证方式安全性较弱,用户口令易被窃取而导致损失。信息的机密性

传输在各政府部门间、政府与企业间、外出的领导与办公室之间的敏感、机密信息和数据有可能在传输过程中被非法用户截取。信息的完整性

敏感、机密信息和数据在传输过程中有可能被恶意篡改。信息的不可抵赖性

网上行为一旦被否认,政府部门、机构或个人没有已签名的记录来作为仲裁的依据。

为了消除上述安全问题,保障电子政务的顺利实施,北京天威诚信电子商务服务有限公司(iTruschina)推出了基于PKI技术的、易于实施的电子政务安全认证解决方案,向所有参与电子政务活动的客户和电子政务网站提供身份认证,保证了信息传输过程中的信息及密性和完整性,提供数字签名功能保证网上行为的不可抵赖性,最终有效防止各种电子政务安全隐患。

另外,天威诚信的电子政务安全认证解决方案还能够实现访问控制、文件加密保存等功能,保证不同的人员在网上应用中具有不同的权限,控制其所浏览的信息,防止政府内部人员窃取企业、个人敏感信息;保证存放在本地计算机上的文件她人无法打开。天威诚信的电子政务安全认证解决方案支持交叉认证,并能够与MSExchange、LotusNotes等办公自动化软件无缝集成。网上办公安全方案"积极推进网上办公。有行政审批权的政府部门要进一步扩大网上政务公开的范围,更多地实现网上申报、登记、审批等行政管理工作。……要将面向社会的行政审批项目的审批权限、条件、标准、程序、时限等内容全部上网公开,并在网上开展有关的行政审批(包括注册、登记、核查、认证、年检和备案等)。"--《北京市人民政府关于加快政务信息化建设的意见》京政发[]1号政府部门开展政务信息化,实行网上办公,能够大大简化办事程序、提高办公效率,也增强了政府工作透明度,有助于廉政建设,因此,近年来,国内外的政府机构都在致力于政务信息化建设。可是,基于开放性计算机互联网上的政府网上办公,首要考虑的是网上办公系统的安全性问题,从信息安全角度来看,网上办公需要考虑的安全问题主要有:身份鉴别:确认系统中用户身份的真实性;授权控制:根据鉴别的真实身份来确定对其信息资源或应用的访问权限;机密性:确保信息在存贮和传输中的机密性,不被非授权用户访问;完整性:确保信息不被非授权用户恶意或无意窜改;抗否认性:建立责任机制,使任何用户能够对其所进行的操作不可否认。BJCA安全认证技术能够有效解决网上办公系统的信息安全问题,经过数字证书来进行身份鉴别,结合加密、数字签名等安全技术实现信息的机密性、完整性以及不可否认性。中关村科技园区海淀园结合BJCA安全技术推出网上办公系统,为园区内的高新技术企业提供入园申请、注册登记、网上报表等服务,园区内的企业经过申请使用BJCA数字证书,能够在网上安全地办理相关事务。北京市电子政务试点工程中的市级平台和15家试点委办局的网上审批系统建设中,采用了BJCA安全认证技术和单点登录技术,任何单位或个人,经过使用其数字证书在市级平台注册登录一次,就能够安全通行于15家委办局而无需另外注册,实现"一次登录、全网通行"。客户链接:中关村科技园区海淀园管理委员会北京市电子政务在线服务平台若您对本方案感兴趣,请与我们业务部门联系。版权所有北京数字证书认证中心有限公司安全eG怎么建:eG安全方案展(作者:尧秋根.06.2510:31:56)本文选自:中国计算机报——赛迪网--------------------------------------------------------------------------------电子政务关系到国家安全和政府工作的正常运转,积极采用安全技术、认真研究防范措施、预防病毒感染和黑客入侵等安全问题,是电子政务建设中的关键。电子政务的安全大部分归属于网络安全,但电子政务的安全又有其特殊性的一面,电子政务为政府、民众服务既要求相当的保密性又要求一定的公开度,这就给电子政务的安全性提出了更高的要求。中国电子政务的安全现状从当前已进行的电子政务安全建设的现状来看,我认为还普遍存在以下问题:由于使用物理隔离技术,建立两套网络系统,造成投入巨大;由于部分采用国外技术和产品,构成安全隐患等问题,具体表现为以下三点。当前许多政府机构采用了公开的Internet与内部的Intranet相结合又彼此独立的网络方案。不同系统之间相对隔离的方案要建立两套网络系统,因此投资较大,而Internet部分虽然设有防火墙,但并不能保证100%的安全,而且这种内外分离的做法并不符合电子政务开放性的特点。因此从技术上解决问题才是关键。国内一些单位和机构在实施电子政务的过程中,常常将电子政务方案架建在大量国外技术和产品的基础上,这也给中国信息安全构成极大的威胁。当前各行业各省市的电子政务系统大都是以某一厂家的操作系统与集成技术为基础,形成彼此隔离的信息孤岛式的信息系统,严重影响了电子政务的正常发展。为此,应由政府出面组织协调,在操作系统之上建立全国统一的较高层的包括电子政务在内的信息应用平台,最大限度地实现系统资源共享,解决信息安全的瓶颈问题。建立安全的电子政务要注意四点由于电子政务系统的安全隐患主要来自于外部侵入和内部破坏,系统的安全包含技术的安全、法律和制度的保障等,安全建设包括认证体系、信息安全处理体系、信息安全传输等方面,在具体实施中有四点要特别注意。一、可靠的安全保障体系是建设电子政务的必要条件。其中包括:安全策略制定规范、物理层安全建设规范、网络安全规范、信息安全规范、数字证书管理规范、应用系统安全规范、系统管理规范、应急系统构建规范等内容。二、安全与应用要并行。电子政务安全体系的建设非常重要,必须本着安全与应用并行的原则,将安全体系建设纳入电子政务总体规划中进行统一的和宏观上的安排,不能过分强调各部门或业务的独立性。三、信息内容传输要有高度安全性。电子政务系统中的信息比商业信息更为敏感,对信息传输过程的安全性要求特别高。由于电子政务系统服务发布层、内部安全应用层、核心安全应用层等网络之间存在着信息资源、服务对象、数据通信等方面的不同,因此电子政务信息内容有一定的差异,也要采取不同的安全对策。四、要注意操作系统的安全。为保护防火墙自身的安全,要在防火墙的底座架构上采用安全操作系统,在使用中加强认证、加密传输等安全措施。安全操作系统主要经过增强的身份标识与验证、细化的自主访问控制、特权用户职责划分、强制访问控制、审计跟踪以及安全管理等方面措施增强对基本安全功能的支持。由于中国没有掌握CPU等核心技术,被国外所垄断,充分考虑电子政务操作系统的安全性是中国的国情所决定的。做政务安全要从四方面入手针对电子政务安全性的上述特点,选择电子政务系统中所使用产品和技术,应该从四个层次考虑。第一,对于核心应用系统和关键政务环节,必须确保在各类实施方案中的技术自主性;第二,对于位于核心层外部,但又与其它外部信息系统(如国际互联网)存在一定可监控的隔绝层的层次,能够尽量采用先进技术以提高系统的效率和可靠性;第三,对于直接与外部信息系统相连的部分,也要针对不同情况分别加以考虑,对于其中安全监控系统,需要在其中的核心部分(如核心加密算法)确保技术自主;第四,其余部分,由于所承载的信息基本都属于非关键信息,而且需要与其它信息系统的接口保持通信协议、数据格式甚至软件体系的一致性,安全问题相对较小。因此,电子政务应用领域中经常会涉及国家机密或国家安全,这类应用最好由国内企业去做,而不应该交给国外企业去做,此领域很多需求非常具有中国特色,如红头文件制度,外国技术和产品很难与之相适应。由于行政事务流程基本上没有标准化,个性化的服务要求很高,需求变动也很频繁,国外技术和产品拿来就能用的可能性不大,国内企业更容易贴近用户,发挥优势;即使有国外的先进技术产品进入此应用领域,她们也需要借助国内企业完成本地化工作并提供本地服务。电子政务安全方案精选eTrust三面出击打造安全税务网CA电子税收系统安全解决方案从安全防御、安全访问以及安全管理三个方面入手,利用防火墙保障不同级别系统与外系统互联的安全性;利用内容检测过虑恶意代码;利用CA认证提供身份管理、在线证书管理和目录管理...中科网威整体布局政务安全中科网威电子政务系统解决方案根据整体性、动态性、经济性、可扩展性和适应性等原则,由”长城”防火墙负责边界防御,在网络出口管理内外网数据交换,关闭不必要的服务;由”天眼”入侵检测系统实现不间断检测...案例参考将求职信拒于门外:浙江科技厅防毒系统浙江科技为摆脱病毒的侵袭,选择趋势科技防毒墙系列,在网关设置防毒关卡,拦截从SMTP、HTTP和FTP等Internet管道进入的计算机病毒与恶性程序;桌面防毒集中管理,以最低成本收到佳效果;电子邮件管理系统全面把关电子邮件...Cisco搭建黑龙江电子政府网黑龙江省政府要求省政务信息网络是一个高速宽带网络平台,以在安全的基础上适应不同应用的需要。这就需要建立一个专用／公共的网络平台,统一实现纵向网与横向网的信息交互,达到每个政府部门只需建设一个局域网、经过一条通信线路,就能实现全部通信需要。Cisco搭建黑龙江电子政府网

(作者:陈文.04.2600:13:00)

本文选自:中国计算机报-赛迪网黑龙江省政府要求省政务信息网络是一个高速宽带网络平台,以适应多媒体信息等不同应用的需要,安全保密则是政府信息化建设的核心。其纵横交错的立体网络结构,种类繁多的业务应用(视频会议、IP语音、办公自动化、数据库查询等),需要建立一个专用／公共的网络平台,统一实现纵向网与横向网的信息交互,达到每个政府部门只需建设一个局域网、经过一条通信线路,就能实现全部通信需要。

当前大多数政府部门和企业的网络都建立在帧中继或ATM网络基础上,经过虚电路(VC)连接各个网络节点。对于黑龙江政务信息网络的立体交叉拓扑网络来说,如果想在这种模式中实现最佳路由,any-to-any网状结构,这意味着整个网络需要n*(n-1)/2(n为政府单位的数量)条VC。VC数量的剧增将进一步增加网络和路由的复杂性。同时,正确地设置VC需要了解端到端的业务信息,这使得流量工程也变得更加困难。简单地说,这种模式不适应黑龙江政务信息系统大型拓扑结构的良好扩展性和灵活性。而MPLS-VPN能非常好地满足黑龙江政府信息网络对灵活机动性和any-to-any连接等的广泛需求。

与专线媲美的安全性

寻址空间分离:MPLS核心采用”VPN-IPv4地址”路由,经过在IPv4路由上添加一个路由分辨符(RD),确保在VPN中独一无二的地址在MPLS核心中同样是独一无二的。因此,每个政府部门纵网具有保持自己寻址方案的灵活性和使用公共或专用地址空间的自由。

路由分离:PE路由器为每一个VPN保持一个分离的路由表(VRF)。这些VRF不但彼此独立,而且与全局路由表独立。即使有两个政府部门的纵向网络使用相同的地址空间,彼此之间也是完全隔离的。

核心隐藏:在MPLS内部连接到VPN的接口是BGP,没有必要透露关于核心的任何信息给用户,即使是对每个政府单位的CE路由器。如果在PE和CE之间使用动态路由协议,CE唯一知道的信息是PE路由器的地址;如果不需要此信息,能够在PE和CE之间配置静态路由,彻底隐藏MPLS核心,正如Cisco在黑龙江政府信息网络中所做的。

CiscoIOS建立端到端的QoS

由于政务信息网络业务应用、数据性质的丰富多样,网络必须拥有良好的拥塞控制能力和对不同性质数据流的处理能力。

CiscoIOS增强的QoS功能为设备提供了按优先级处理业务的智能。在黑龙江政务信息网络中,所有的设备均采用统一的IOS操作系统,因此QoS已经不但仅是一种简单的设备特征,而是整个网络端到端体系结构——网管人员能够完全控制网络带宽分配、延迟、抖动和数据包丢弃等。黑龙江省政府网络拓扑图

MPLS核心经过为相应的服务级别专门分配一组标签,显著地减少了QoS的处理工作量,使网络提高效率而不丢失功能。

另外,CiscoMPLS还提供了流量管理机制——资源预留路由选择(RRR)。管理人员能够显式配置路由,沿特定的路径发送选择的业务,进行拥塞控制和负载均衡。PKI支撑网络安全

张雪琳、马跃

由于互联网所具有的广泛性和开放性,使其不可避免地存在着信息安全的隐患。人们迫切需要能够对网上传输的数据提供机密性、完整性、有效性保证。为了防范这种隐患,许多新的安全技术和规范不断涌现,PKI便是其中之一。

PKI(PublicKeyInfrastructure,公开密钥基础设施)是一种遵循既定标准的密钥管理平台,它能够为各种网络应用透明地提供采用加密和数字签名等密码服务所必须的密钥和证书管理,从而达到保证网上传递信息的安全、真实、完整和不可抵赖的目的。PKI能够提供会话保密、认证、完整性、访问控制、源不可否认、目的不可否认、安全通信、密钥恢复和安全时间戳九项信息安全所需要的服务。在这个结构中,公开密钥密码算法居于中心地位,称其为PKI。利用PKI,人们方便地建立和维护一个可信的网络计算环境,无需直接见面就能够确认彼此的身份,安全地进行信息交换。

基本组成

完整的PKI系统有权威认证机构(CA)、数字证书库、密钥备份及恢复系统、证书撤销系统、应用接口(API)等基本构成部分。

权威认证机构CACA是PKI的核心,主要职责是颁发证书、验证用户身份的真实性。一般情况下,证书必须由一个可信任的第三方权威机构——CA认证中心实施数字签名以后才能发布。而获得证书的用户经过对CA的签名进行验证,从而确定了公钥的有效性。

数字证书库数字证书库是证书集中存贮的地方,用户能够从此处获得其它用户可用的证书和公钥信息。数字证书库一般是基于LDAP或是基于X.500系列的,也能够基于其它平台。

密钥备份及恢复系统密钥可能会由于一些原因而使密钥的所有者无法访问。密钥的丢失将导致那些被密钥加过密的数据无法恢复。为避免这种情况的出现,就需要PKI提供密钥备份与恢复的机制。

证书撤销处理系统CA签发证书来把用户的身份和密钥绑定在一起。那么,当用户的身份改变或密钥遭到破坏时,就必须存在一种机制来撤销这种认可。

PKI应用接口系统一个完整的PKI必须提供良好的应用接口系统,以便各种应用都能够以安全、一致、可信的方式与PKI交互,确保所建立起来的网络环境的可信性,降低管理和维护的成本。

应用前景

IDC调查显示,世界PKI市场将达到13亿美元。而英国市场调查公司Datamonitor对PKI市场的估计则更为乐观,该公司预计包括产品、集成、专业服务、维护和PKI服务在内的PKI市场到将达到35亿美元。由此能够断言,PKI技术正在日趋成熟,其应用已覆盖了安全电子邮件、虚拟专用网络(VPN)、Web交互安全、电子数据交换、Internet上的信用卡交易等,涉及电子商务、电子政务、电子事务安全等诸多领域。

美国在就有了《全球及全国商业电子签名法》。作为美国历史上第一部联邦级的电子签名法,它意味着网上炒股、网上签约、政府网上采购等大宗交易都能够经过电子签名来完成,而不再需要传统的纸笔签名。德国、日本、新加坡和韩国等国家也已经相继经过电子签名法。随着Internet应用的不断普及和深入,政府部门将利用PKI来支持管理;商业企业内部、企业与企业之间、区域性服务网络、电子商务网站将使用PKI的技术和解决方案。在不久的将来,政府以及大企业将会建立自己的PKI平台,而中小企业以及个人则会需要社会提供的商业性PKI服务,PKI的市场需求是非常巨大的。

许多PKI新技术都在不断地涌现,CA之间的信任模型、使用的加解密算法、密钥管理的方案等也在不断地变化之中。网络,特别是Internet网络的安全应用离不开PKI技术的支持。网络应用中的机密性、真实性、完整性、不可否认性和存取控制等安全需求,只有PKI技术才能满足。作为一个网络发展大国,中国的PKI市场方兴未艾,未来必将大有可为。

相关链接

·Microsoft

WindowsServer包括一个标准的PKI,用户能够将一个集成的PKI配置成她们服务器和桌面基础结构的一部分,并能够经过采用管理其它Windows安全特性同样的方式来管理它。

·Sun

Solaris操作系统集成了PKI服务。由于Solaris支持LDAP,第三方的PKI产品也能和该操作系统集成。同时,Solaris的PKI服务还将支持用于认证的智能卡。

·CA

eTrustPKI2．0是一个全面的安全解决方案,它能帮助企业部署PKI这一构成安全电子商务的重要组件。经过简化PKI的实施,eTrustPKI能够降低使用和管理电子证书的成本,同时加速基于PKI的电子商务交易的激活和终止。

·RSASecurity

RSAKeon系列PKI产品是在当今主要的电子邮件、Web浏览器、Web服务器和VPN应用程序中实现、管理和简化公开密钥身份验证和加密安全性的解决方案。

·VeriSign

VeriSignDocumentSignerforAcrobat5．0．使用数字签名技术保障Acrobat文档的安全,用户能够经过在PDF文件上进行数字签名经过VeriSignGlobalTrustNetwork来保障其互操作性。

·Entrust

EntrustWebPortalSolutions是Web门户站点解决方案,它涵盖了一个Web门户站点的许多安全性需求,从登录和访问控制要求到为具有法律约束力的高额交易提供保密和数字签名。

安全、可靠、可管理的电子政务方案

(作者:深圳华为技术有限公司.08.2009:13:42)

本文选自:赛迪网21世纪,是知识经济的时代,信息化程度的高低已经成为一个国家现代化水平和综合国力的重要标志。从世界范围来看,推进政府部门办公自动化、网络化、电子化,全面信息共享已是大势所趋。

推动电子政务的核心是建设电子政务网络。电子政务网络实质上是政府上网全面启动前期构建的一个电子政务平台,该平台利用信息网络和通信技术,有效地实现行政、服务及内部管理等职能,在政府、社会和公众之间有机服务系统的集合。同时网络的建设将推动和加速政府的信息化发展。华为公司利用自身完备的技术及市场平台在提供卓越的产品、完整的产品线的同时,提出了"构建安全、可靠、可管理的电子政务网络平台"的理念,并推出其全方位构建电子政务网络平台的系列产品及其解决方案。

电子政务应用平台建设的主要目标

电子政务系统的建设目标是,建立一个开放的、基于标准的电子政务统一应用平台,实现信息交换和资源共享,面向公众提供服务,增强各部门工作的透明度。分别支持数据、语音和视频业务,运行各部门的业务系统,实现各网间的信息交换和资源共享,同时建立完善的信息安全体系和相应的备份系统。华为电子政务网络解决方案

电子政务网由核心政务网(涉密网),政务专网和政府公众信息网(外网)构成(如图所示),核心政务网(涉密网)与其它网络之间物理断开,政务专网与外网之间物理隔离;支持数据,语音和视频业务,承担相应的业务系统运行和信息交换,配备完善是网络管理和认证授权等功能,作为跨部门,跨地区业务系统的互联和资源共享的网络基础发挥作用。为保证多种基于宽带的服务和新型IP技术服务,本方案还将从多种业务服务的角度出发,建立多层次的服务业务平台。具体介绍如下:

一、核心网解决方案

根据网络建设目标,核心网互联支撑网络组成部分如下图

图中核心网广域网和各市(地)、县城域网(没有条件的县能够不建设城域网,各县级单位的局域网经过广域网互联),是核心政务网的运行支撑网,需统一规划构建;而各厅局、单位局域网则可在统一标准的基础上分布构建。为使核心网网络构建及维护简单、层次清晰,对于核心网统一构建运行部分,其层次结构分为核心网广域网、城域网、局域网。

核心网的网络系统有其自身的显著特点,如网络规模较大,设备类型和所提供服务复杂,网络的可用性要求高等等。因此核心网用户对其网络管理系统也有很高的要求,不但要求能管理网络中的所有设备、服务,还要符合电信标准并能适应其网络规模,并提供极高的系统和管理稳定性。

针对核心网用户的上述网络管理需求,管理系统在管理特性上具有下列特点:基于公共的管理框架;模块化设计;高系统强壮性;优秀的规模可扩展性;高容错性;支持多种网络和设备管理标准;在网络层支持SNMPv3管理标准;提供安全认证和用户分权的管理机制。

核心网网络设备选择要求具有先进性、可扩展性、可管理性等优点。既考虑当前的需求由能为网络将来的扩展做好准备。

二、政务专网解决方案

政务专网涉及的问题较核心网(涉密网)更为复杂,涉及语音业务,视频业务,IP地址冲突,VPN私网,Internet出口(经过外网)等问题。华为电子政务专网解决方案的设计思想如下:

1.利用MPLS技术,在政务专网的网络平台上为各个机关部门提供虚拟专用网(VPN)服务。

2．利用宽带IP技术,实现网络对语音和视频业务的良好支持。

3．利用有效的网络管理平台,保证网络运行可靠,并为接入单位提供多业务服务。

根据以上政务专网设计思想及应用需求,鉴于各部门的特殊安全性要求,在总体建设上采用业务与网络分层构建、逐层保护的指导原则,在逻辑层次及业务上,核心网的构建实施如下分配:

三、三网融合的解决方案

电子政务的基础网络是由包括交换机、路由器、IP语音设备、视频设备等多种设备组合在一起形成的综合网络平台。一体化端到端的综合解决方案能够为电子政务网络的规划、建设、维护以及升级提供便利的运行、管理基础。

具体建设中,语音网应全网互通,全网语音设备网关、网守、软交换中心等设置为统一的VPN组成员,实现互通。视频则需按照各系统的互通需求,有选择的安排互通;对无需互通的系统,能够将相应视频设备直接与各系统数据位于相同的VPN组;对需互通的视频设备,建议设置单独的VPN组。三网融合业务特性---QoS策略

政务信息网络的各类数据、语音、图象的数据量会随着业务系统的应用范围扩大而急剧增长,因此需要引入QoS策略。

MPLSVPN能够直接利用MPLS的流量工程和QoS能力。对于具有不同的QoS要求的业务,能够使用不同的技术组合来提供实现。比如,对于没有特别服务质量要求的业务,能够使用MPLS中的DIFSERV技术;对于严格的业务参数要求的业务则能够合用MPLS中的INTSERV技术。三网融合业务特性---IP组播技术

IP组播路由技术实现了IP网络中点到多点的高效数据传送。由于能够有效的节约网络带宽、降低网络负载,IP组播路由技术在资源发现、多媒体会议、数据拷贝、实时数据传送、游戏和仿真等诸多方面都有广泛应用。IP组播技术需要支持PIM-SM、PIM-DM、IGMPv1、IGMPv2等协议。

四、外网解决方案

外网上将建有面向公共服务的信息发布平台(政府网站);建立连接Internet的电子邮件服务。各类服务器分别提供Web服务、数据库服务、全文检索、域名和邮件服务、代理等服务。

外网与政务专网是物理隔离的,因此在网络的结构上有一套独立的网络体系结构:外网(政府公众信息网)首先是一个局域网,作为Internet浏览和对外信息发布的平台,外网在结构上相对简单,经过物理隔离设备和防火墙与政务专网连接,经过路由交换设备与Internet连接;政务专网则承担了电子政务主要业务和办公的网络。

外网涉及到的网络设备比较简单,包含核心交换机、汇聚交换机、出口路由器以及防火墙等设备。在网络安全性上,则根据不同部门划分出不同的VLAN对不同的部门进行隔离;对于有的VLAN之间的交互,则经过在中心交换机做路由来保证VLAN之间的互通。

外网主要用于访问Internet,因此需要在局域网对外的出口处设置一台路由器作为网关,考虑到随着党政业务的发展,外网与Internet的交互将会不断增多,对于作为网关的路由器的处理性能也就会不断提升,因此建议采用高端路由器作为对外接入路由器。

外网的访问首要考虑的是如何保证局域网的安全性,访问控制列表(ACL)或者地址转换(NAT)等功能特性来保证网络的安全,ACL能够经过对进出路由器的数据包按照IP地址、端口号和协议进行过滤以保证网络的安全,NAT则能够用来实现私有网络地址与公有网络地址之间的转换。地址转换的优点在于屏蔽了内部网络的实际地址,外部网络基本不可能穿过地址转换层直接访问内部网络。地址转换能够将网内用户发出的报文的源地址全部映射成一个接口的地址。地址转换与按需拨号相结合,使局域网内用户经过路由器轻松上网的同时保证内部网络的安全性。另外随着网络的发展还能够在出口处增加一台硬件防火墙来充分保证网络的安全。对于网络来说,当前的病毒种类层出不穷,种类繁多,因此在局域网内部使用防病毒软件如病毒防火墙、在计算机上安装杀毒软件等以保证网络不受病毒的侵害。

总之,华为电子政务网络解决方案由核心政务网、政务专网和政府公众信息网共同组成。以华为的网络产品、视讯产品、业务网关和呼叫中心为基础,华为提供了包括电子政务内外网络平台、视频会议、IP语音电话系统、电子政府服务业务等在内的一系列解决方案,为国内的电子政务建设提供了全面支持。在安全性方面,华为的解决方案中采用了物理隔离、MPLSVPN等技术;在可靠性、扩展性上,华为的系列解决方案强调网络结构清楚、网络运行速度加快、网络可靠性增加、扩展性强;另外,华为提供的所有解决方案都提供了丰富的管理功能和方便好用的管理工具,大大增加了网络的可管理性。

华为推出的"安全、可靠、可管理的电子政务网络平台"解决方案很好地满足了当前国内电子政务建设过程中的需求。

信息化动态一切尽在掌握数据中心安全防护解决方案

(作者:佚名.11.2710:44:24)

本文选自:《中国计算机报》作为向用户提供网络资源、服务器和主机专业化托管、宽带接入等多项网络应用增值服务的数据中心,是信息交换中心枢纽,而且也是安全事件的多发地带,其系统安全的防护必然是各项工作的重中之重。

首先,保证数据中心运营体系的网络安全是奠定自身稳定高质量服务的首要前提,同时这也是数据中心得以顺利发展的基础;其次,数据中心的安全关系着所有客户的网络安全,如果数据中心存在安全隐患,那么将对客户造成非常大的安全威胁。因此,确保数据中心的网络安全势在必行。

世纪互联作为国内唯一经过ISO9002认证的数据中心服务提供商,国内电信级独立商业数据中心,同时也是首批经过国信安办审核的安全服务试点单位之一,凭借精湛的技术队伍和丰富的网络安全经验,铸就了其数据中心高效严密的安全防护体系。

数据中心的安全隐患分析

数据中心的网络结构具备骨干网、网络管理系统、网络服务系统、远程接入系统和客户托管系统五大部分。其常见逻辑结构如下图所示。数据中心网络逻辑结构图

鉴于数据中心网络体系的各个层面都有可能面临安全风险,因此,世纪互联将数据中心的安全目标分为两大部分:一是保证骨干网络和支持系统(包括网络管理系统、网络服务系统、远程接入系统)的安全稳定运行;二是确保客户网络系统的稳定运行以及维护客户信息的安全,力求从各个层面消除安全隐患,极大限度保护整个网络体系的安全。

数据中心的安全措施

根据数据中心的网络结构和可能出现的安全隐患,世纪互联制定的数据中心安全措施,包括技术手段和安全管理规范两大部分:

◆物理安全——采用生物识别技术,结合门禁系统,进行严格的身份控制,对不同的功能区和不同的客户系统进行物理隔离,同时加以严格的管理制度;对环境(温度、湿度)进行严格的指标限制,有完善的环境控制系统;配备极早期火灾报警系统和消防系统。

◆核心骨干网络的安全——网络设计中要充分考虑到链路的冗余备份,主要设备的双机热备进行路由备份,其路由协议考虑使用两种协议互为备份,分布层和核心层路由配置考虑双路由备份;保护网络节点的自身安全,路由器、交换机必须做安全配置;解决网络节点管理中的安全问题。

◆管理网络系统的安全——隔离管理网络与其它网络系统,采用防火墙进行访问控制;服务器系统进行全面的系统优化配置,以消除安全隐患;采用IDS技术进行入侵监控;针对具体应用进行安全优化;管理信息的传输采用加密通道;数据库信息和相关重要信息进行备份。

◆网络服务系统的安全——网络服务系统与其它网络系统隔离,采用防火墙进行访问控制;服务器系统进行全面的系统安全优化,消除安全隐患;采用IDS技术进行入侵监控;对发布服务器的远程访问进行严格的限制,使用双因子认证机制;使用DNS服务器达到负载均衡;E-Mail服务器、文件服务器采用防病毒技术;应用服务器进行相应应用安全优化。

◆托管客户系统的安全优化——实施防火墙技术控制对客户网络系统的访问;系统安全优化技术对客户的路由/交换/服务器系统进行全面的安全评估和安全优化;IDS技术对客户系统进行全面的入侵监控;提供安全紧急响应;提供防病毒措施;提供VPN,保证客户网络维护和异地数据传输的安全;提供数据备份。

◆管理措施——完善机房出入管理制度,包括对内部人员的权限管理,外部客户和参观人员的出入管理、制定网络运营规范,包括设备访问权限设置、安全事故分级和汇报制度、安全紧急事件响应流程和处理规范;实行对客户的安全服务规范,包括安全服务内容、服务流程、服务品质保证(SLA)。

实施效果

经过全方位实施网络安全解决方案,世纪互联构筑出一个结合优质安全产品和动态人员管理的安全服务体系,不但有效地保障了整个数据中心的网络安全,同时也成功地为多个行业的用户提供专业高效的一站式网络安全解决方案,奠定了世纪互联在业界的坚实地位。基于PKI的CA认证

上海CA中心高级工程师陈荦祺PKI是以密码学为基础的。在公钥密码学中,经过使用一对密钥(公钥和私钥),再采用一些数学上的加解密算法,就能够很好地进行安全的数据传输。公钥密码学在PKI中的两个最基本的典型应用就是加密与数字签名。PKI需要建立一个信任关系。一般需要建立一个受信任的机构,为体系中其它实体产生、分发、更新、撤销证书(公私钥对)。其它实体经过信任此机构,来互相信任。证书是PKI的一种密钥管理媒介。它是一种权威性的电子文档,形同网络计算环境中的一种身份证,用于证明某一主体(如人、服务器等)的身份以及其公开密钥的合法性。PKI有以下五个基本组成部分:1．认证机构(CA)CA(CertificateAuthority)是受信任的证书的签发机构,是PKI体系的核心。CA负责为PKI体系中所有的实体发放证书,更新证书,废除发放的证书。2．证书库集中了CA发布的所有证书。提供方便,高效的证书查询功能。方便用户查找其它用户的证书。一般采用支持LDAP协议的目录服务系统来发布证书。3．密钥备份及恢复系统对于由CA代为生成的密钥对,能够在用户授权的情况下为用户备份密钥。在用户证书损坏或遗失时,能够给用户恢复密钥。密钥备份与恢复应该只针对解密密钥,而不能用在签名密钥。4．证书作废处理系统在用户证书遗失,泄密等情况下,需要证书作废系统及时把证书作废信息发布出去,把用户的损失减到最小。一般CA经过发布证书废除列表(CRL)来发布作废信息。CRL是由CA签名的一组电子文档,包括了被废除证书的唯一标识(证书序列号)。5．应用接口系统PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务,因此一个完整的PKI必须提供良好的应用接口系统,使得各种各样的应用能够以安全、一致、可信的方式与PKI交互,确保所建立起来的网络环境的可信性,同时降低管理维护成本。PKI应用接口系统应该是跨平台的。协卡认证体系(.com)1．协卡认证体系结构及各模块职能根CA职能:发布证书策略;对下属CA进行身份认证和鉴别;产生和管理下属CA证书;发布自身证书;废除它所签发的证书;为它所签发的证书产生CRL;保存证书,CRL,审计信息,和它所签发的政策;发布它所签发的证书和CRL;密钥安全生成及管理;实现交叉认证;各级子CA职能:发布本地CA对根CA政策的增补部分;对下属CA及直属RA等成员进行身份认证和鉴别;产生和管理下属证书;发布自身证书;证实RA的证书申请请求;向RA返回证书制作的确认信息或已制定好的证书;接收和认证对它所签发的证书的作废申请请求;为它所签发的证书产生CRL;保存证书、CRL、审计信息和它所签发的政策;发布它所签发的证书和CRL;密钥安全生成及管理;实现交叉认证;RA职能:自身密钥的管理(更新、保存、使用、销毁等);审核用户信息;登记黑名单;受理点的全面管理;接收并处理来自受理点的各种请求;受理点职能:受理用户的证书申请及废除请求;录入用户的证书申请及废除请求;审核用户的证书申请及废除请求资料;对用户的证书申请及废除请求进行批准或否决;提供证书制作。2．协卡认证体系(.com)各中心的功能协卡认证体系各中心现在提供个人身份证书,个人email证书,个人代码签名证书,企业身份证书,企业email证书,企业代码签名证书,服务器身份证书,WebServer证书,SET证书等各种类型的证书。证书存储介质支持软盘,IC卡、USB棒、加密卡、加密机等。提供证书废除功能,并经过CRL、OCSP等方式对外发布已被作废的证书。支持用户自己用即将过期的证书更新成新的证书。完善的密钥产生、备份、恢复、管理系统。严格保证产生密钥的质量,保证密钥从协卡到用户手中前的安全。在需要的时候提供密钥恢复。强大,易用的用户端证书管理工具。对交易数据的举证功能。在交易中保存原始的经签名的数据,一旦产生纠纷,能够经过向CA中心提交相关数据,由CA中心负责验证,并出据相关证明。企业CA方案。SHECA提供的企业CA系统是针对企业用户开发的,具有低成本,运行管理简便,高效率,高安全的特点。企业既能够选择成为协卡认证体系的一部分,保证签发的证书在体系内的通用性,也能够选择成为独立的CA系统,在企业范围内使用证书服务。今天,网络已经成为我们日常生活的一部分,电子商务、电子政务、网上银行、网上炒股等,这些活动的顺利进行都依赖于安全的网络基础设施,而PKI(公开密钥基础设施)就是构建网络安全和信任的基础设施。本期专题从PKI的实际应用出发,讨论中国PKI系统建设当前存在的主要问题,探索解决问题的方法和途径,同时还介绍了一些成功的PKI/CA应用案例。PKI应用体系架构■中国PKI论坛关振胜由于电子商务、电子政务、网上银行、网上证券等金融业网上交易业务的飞速发展,网络安全,特别是互联网通信的安全性令人瞩目。为此,越来越多的安全协议如SSL、SET、S/MIME等得到了广泛的应用。可是,最新发展起来的网络安全技术和安全服务规范却是公钥基础设施PKI(PublickeyInfrastructure)。应用架构一个标准的PKI域必须具备以下主要内容。1．认证机构CA(CertificateAuthority)CA是PKI的核心执行机构,是PKI的主要组成部分,业界人士一般称它为认证中心。从广义上讲,认证中心还应该包括证书申请注册机构RA(RegistrationAuthority),它是数字证书的申请注册、证书签发和管理机构。图1是中国金融CA和RA结构图。CA的主要职责包括:验证并标识证书申请者的身份。对证书申请者的信用度、申请证书的目的、身份的真实可靠性等问题进行审查,确保证书与身份绑定的正确性。确保CA用于签名证书的非对称密钥的质量和安全性。为了防止被破译,CA用于签名的私钥长度必须足够长而且私钥必须由硬件卡产生,私钥不出卡。管理证书信息资料。管理证书序号和CA标识,确保证书主体标识的惟一性,防止证书主体名字的重复。在证书使用中确定并检查证书的有效期,保证不使用过期或已作废的证书,确保网上交易的安全。发布和维护作废证书列表(CRL),因某种原因证书要作废,就必须将其作为”黑名单”发布在证书作废列表中,以供交易时在线查询,防止交易风险。对已签发证书的使用全过程进行监视跟踪,作全程日志记录,以备发生交易争端时,提供公正依据,参与仲裁。由此可见,CA是保证电子商务、电子政务、网上银行、网上证券等交易的权威性、可信任性和公正性的第三方机构。2．证书和证书库证书是数字证书或电子证书的简称,它符合X.509标准,是网上实体身份的证明。证书是由具备权威性、可信任性和公正性的第三方机构签发的,因此,它是权威性的电子文档。证书库是CA颁发证书和撤消证书的集中存放地,它像网上的”白页”一样,是网上的公共信息库,可供公众进行开放式查询。一般来说,查询的目的有两个:其一是想得到与之通信实体的公钥;其二是要验证通信对方的证书是否已进入”黑名单”。证书库支持分布式存放,即能够采用数据库镜像技术,将CA签发的证书中与本组织有关的证书和证书撤消列表存放到本地,以提高证书的查询效率,减少向总目录查询的瓶颈。3．密钥备份及恢复密钥备份及恢复是密钥管理的主要内容,用户由于某些原因将解密数据的密钥丢失,从而使已被加密的密文无法解开。为避免这种情况的发生,PKI提供了密钥备份与密钥恢复机制:当用户证书生成时,加密密钥即被CA备份存储;当需要恢复时,用户只需向CA提出申请,CA就会为用户自动进行恢复。4．密钥和证书的更新一个证书的有效期是有限的,这种规定在理论上是基于当前非对称算法和密钥长度的可破译性分析;在实际应用中是由于长期使用同一个密钥有被破译的危险,因此,为了保证安全,证书和密钥必须有一定的更换频度。为此,PKI对已发的证书必须有一个更换措施,这个过程称为”密钥更新或证书更新”。证书更新一般由PKI系统自动完成,不需要用户干预。即在用户使用证书的过程中,PKI也会自动到目录服务器中检查证书的有效期,当有效期结束之前,PKI/CA会自动启动更新程序,生成一个新证书来代替旧证书。5.证书历史档案从以上密钥更新的过程,我们不难看出,经过一段时间后,每一个用户都会形成多个旧证书和至少一个当前新证书。这一系列旧证书和相应的私钥就组成了用户密钥和证书的历史档案。记录整个密钥历史是非常重要的。例如,某用户几年前用自己的公钥加密的数据或者其它人用自己的公钥加密的数据无法用现在的私钥解密,那么该用户就必须从她的密钥历史档案中,查找到几年前的私钥来解密数据。6.客户端软件为方便客户操作,解决PKI的应用问题,在客户装有客户端软件,以实现数字签名、加密传输数据等功能。另外,客户端软件还负责在认证过程中,查询证书和相关证书的撤消信息以及进行证书路径处理、对特定文档提供时间戳请求等。7.交叉认证交叉认证就是多个PKI域之间实现互操作。交叉认证实现的方法有多种:一种方法是桥接CA,即用一个第三方CA作为桥,将多个CA连接起来,成为一个可信任的统一体;另一种方法是多个CA的根CA(RCA)互相签发根证书,这样当不同PKI域中的终端用户沿着不同的认证链检验认证到根时,就能达到互相信任的目的。PKI服务PKI作为安全基础设施,能为不同的用户按不同安全需求提供多种安全服务。这些服务主要包括认证、数据完整性、数据保密性、不可否认性、公正及时间戳服务。1．认证认证服务即身份识别与鉴别,就是确认实体即为自己所声明的实体,鉴别身份的真伪。我们以甲乙双方的认证为例:甲首先要验证乙的证书的真伪,当乙在网上将证书传送给甲时,甲首先要用CA的公钥解开证书上CA的数字签名,如果签名经过验证,则证明乙持有的证书是真的;接着甲还要验证乙身份的真伪,乙能够将自己的口令用自己的私钥进行数字签名传送给甲,甲已经从乙的证书中或从证书库中查得了乙的公钥,甲就能够用乙的公钥来验证乙的数字签名。如果该签名经过验证,乙在网上的身份就确凿无疑(图2)。2．数据完整性服务数据完整性服务就是确认数据没有被修改。实现数据完整性服务的主要方法是数字签名,它既能够提供实体认证,又能够保障被签名数据的完整性,这是由密码哈希算法和签名算法提供的保证。哈希算法的特点是输入数据的任何变化都会引起输出数据不可预测的极大变化,而签名是用自己的私钥将该哈希值进行加密,然后与数据一道传送给接受方。如果敏感数据在传输和处理过程中被篡改,接受方就不会收到完整的数据签名,验证就会失败。反之,如果签名经过了验证,就证明接收方收到的是未经修改的完整数据。3．数据保密性服务PKI的保密性服务采用了”数字信封”机制,即发送方先产生一个对称密钥,并用该对称密钥加密敏感数据。同时,发送方还用接收方的公钥加密对称密钥,就像把它装入一个”数字信封”。然后,把被加密的对称密钥(”数字信封”)和被加密的敏感数据一起传送给接收方。接收方用自己的私钥拆开”数字信封”,并得到对称密钥,再用对称密钥解开被加密的敏感数据。4．不可否认性服务不可否认性服务是指从技术上保证实体对其行为的认可。在这中间,人们更关注的是数据来源的不可否认性、接收的不可否认性以及接收后的不可否认性。另外还有传输的不可否认性、创立的不可否认性和同意的不可否认性。5．公证服务PKI中的公证服务与一般社会公证人提供的服务有所不同,PKI中支持的公证服务是指”数据认证”,也就是说,公证人要证明的是数据的有效性和正确性,这种公证取决于数据验证的方式。例如,在PKI中被验证的数据是基于哈希值的数字签名、公钥在数学上的正确性和签名私钥的合法性。应用模式上述PKI提供的安全服务恰好能满足电子商务、电子政务、网上银行、网上证券等金融业交易的安全需求,是确保这些活动顺利进行必备的安全措施,没有这些安全服务,电子商务、电子政务、网上银行、网上证券等都无法正常运作。模式1:电子商务应用电子商务的参与方一般包括买方、卖方、银行和作为中介的电子交易市场。买方经过自己的浏览器上网,登录到电子交易市场的Web服务器并寻找卖方。当买方登录服务器时,互相之间需要验证对方的证书以确认其身份,这被称为双向认证。在双方身份被互相确认以后,建立起安全通道,并进行讨价还价,之后向商场提交订单。订单里有两种信息:一部分是订货信息,包括商品名称和价格;另一部分是提交银行的支付信息,包括金额和支付账号。买方对这两种信息进行”双重数字签名”,分别用商场和银行的证书公钥加密上述信息。当商场收到这些交易信息后,留下订货单信息,而将支付信息转发给银行。商场只能用自己专有的私钥解开订货单信息并验证签名。同理,银行只能用自己的私钥解开加密的支付信息、验证签名并进行划账。银行在完成划账以后,通知起中介作用的电子交易市场、物流中心和买方,并进行商品配送。整个交易过程都是在PKI所提供的安全服务之下进行,实现了安全、可靠、保密和不可否认性。模式2:电子政务电子政务包含的主要内容有:网上信息发布、办公自动化、网上办公、信息资源共享等。按应用模式也可分为G2C、G2B、G2G,PKI在其中的应用主要是解决身份认证、数据完整性、数据保密性和不可抵赖性等问题。例如,一个保密文件发给谁或者哪一级公务员有权查阅某个保密文件等,这些都需要进行身份认证,与身份认证相关的还有访问控制,即权限控制。认证经过证书进行,而访问控制经过属性证书或访问控制列表(ACL)完成。有些文件在网络传输中要加密以保证数据的保密性;有些文件在网上传输时要求不能被丢失和篡改;特别是一些保密文件的收发必须要有数字签名等。只有PKI提供的安全服务才能满足电子政务中的这些安全需求。模式3:网上银行网上银行是指银行借助于互联网技术向客户提供信息服务和金融交易服务。银行经过互联网向客户提供信息查询、对账、网上支付、资金划转、信贷业务、投资理财等金融服务。网上银行的应用模式有B2C个人业务和B2B对公业务两种。网上银行的交易方式是点对点的,即客户对银行。客户浏览器端装有客户证书,银行服务器端装有服务器证书。当客户上网访问银行服务器时,银行端首先要验证客户端证书,检查客户的真实身份,确认是否为银行的真实客户;同时服务器还要到CA的目录服务器,经过LDAP协议查询该客户证书的有效期和是否进入”黑名单”;认证经过后,客户端还要验证银行服务器端的证书。双向认证经过以后,建立起安全通道,客户端提交交易信息,经过客户的数字签名并加密后传送到银行服务器,由银行后台信息系统进行划账,并将结果进行数字签名返回给客户端。这样就做到了支付信息的保密和完整以及交易双方的不可否认性。模式4:网上证券网上证券广义地讲是证券业的电子商务,它包括网上证券信息服务、网上股票交易和网上银证转账等。一般来说,在网上证券应用中,股民为客户端,装有个人证书;券商服务器端装有Web证书。在线交易时,券商服务器只需要认证股民证书,验证是否为合法股民,是单向认证过程,认证经过后,建立起安全通道。股民在网上的交易提交同样要进行数字签名,网上信息要加密传输;券商服务器收到交易请求并解密,进行资金划账并做数字签名,将结果返回给客户端。(计算机世界报第23期B4、B5)Copyright(C),Allrightsreserved中国计算机世界出版服务公司版权所有走,网上办公去!——基于PKI技术的电子政务应用■中国PKI论坛孙伯龙通俗地讲,电子政务(E-government)就是政府部门办公事务的网络化和电子化,它以计算机技术和Internet技术为基础,经过政府网站将大量行政管理和日常事务按照设定的程序在网上实施,是电子政府的物化形式。电子报税从当前国内电子政务的发展情况来看,真正做到与广大人民群众和广大企业互动的电子政务内容还是非常有限的,网上报税能够说是这些有限的电子政务互动应用中最具推广价值的项目。网上报税不但能够大大节省企事业单位的时间,也节省了大量单据成本,具有明显的经济效益和社会效益。上海财税与上海CA的合作是该领域中一个成功的应用。上海财税从起就开始着手考虑在网上接受纳税户的税务申报工作,在上海财税的网上税务申报业务中,上海CA提供的PKI技术和产品起到了保驾护航的作用。上海市电子商务安全证书管理中心有限公司(简称SHECA或上海CA)是中国第一家专业的第三方网络安全和信任服务提供商。针对上海财税网上报税业务流程的具体情况,上海CA与上海财税共同讨论,设计了一整套与之相适应的数字证书发放和管理流程,它包括以下内容:流程1:在网上报税软件中,上海CA与负责该项目的软件开发商通力合作,提供了一套完整的安全通信接口软件UnitrustAPI,简化了应用CA证书的难度。流程2:在证书的存储介质上,除了原有的磁盘形式证书存储介质外,上海CA还专门开发了基于IC卡的证书存储介质,提供多种私钥安全存储级别供纳税用户选择。纳税户在进行网上电子报税时,只要按照电脑屏幕的提示,插入IC卡,就能够实现对税务申报信息的加密和数字签名操作。流程3:上海市财税局统计处与各银行国库处之间的银税联网数据交换从开始使用SHECA的”方舟——文件安全宝”,对电子文件进行签名、加密,这样就确保了私密信息的安全性和不可篡改性。流程4:根据《中华人民共和国会计法》和《企业财务会计报告条例》的规定,企业单位应向财政部门报送财务会计报告。为方便本市企业编报年度会计报表,提高办事效率,上海市财政局提供了企业会计报表编制格式和所需的软件下载功能,附有企业会计报表格式和报表参数(报表类型)。企业可下载上述会计报表软件并根据各自的类型下载相应的报表参数,按填报说明要求填写后,经过网络报送到上海财税网。整个项目从6月开始启动,至今,上海市已经有宝山、闸北、第一和第四分局4个税务分局开展了网上报税业务,不久,将向整个上海铺开。当前,使用该项服务的企事业单位已经超过千家,使用结果表明,证书使用简单、可靠,未发生电子申报的税务信息在网上传输过程中有被篡改和泄密现象。整个网上报税系统运行稳定,未出现加重服务器负担或任何由于使用数字证书而导致系统出现故障的问题。今后,上海财税与上海CA将进一步紧密配合,将PKI技术在电子报税中的应用向更深更广的领域推进。在个人退税方面,将尝试经过网络直接将个人用户的退税款项直接打入用户指定的退税账户中(图1)。区县信息化与PKI在区县信息化过程中,由于需要实现政府与企业、政府与百姓之间的互动,因此,也同样不可缺少PKI,因为只有PKI才能确保区县在信息化推广过程中的平稳发展,才能减少使用信息化手段可能带来的纠纷,并维护政府职能部门的形象。在上海,区县信息化和PKI技术结合的例子屡见不鲜,这里我们以徐汇区信息办网上企业年检为例。徐汇区信息办负责徐汇区电子政务平台的建设,目的在于运用网络信息技术,优化和拓展区政府的业务管理模式和服务功能,切实实现网上办事功能,经过网络渠道向各类企业提供多层次、高质量的服务,进而促进企业在电子商务发展格局中充分发挥主体作用。网上电子政务一期工程主要实现企业年检及统计报表报送等办事功能。由于企业面正确年检种类较多,内容纷繁复杂,同时任何一项年检都需要企业准备一定的书面材料,领取表单、填写后提交审查,如果中间出现任何差错,企业办事人员必须往返于多个政府职能部门。对政府部门来说,由于内部资源未能充分共享,因而存在重复劳动、影响办事效率和效果等问题。针对这些问题,上海CA建议徐汇区网上企业年检系统经过建立CA代理系统,实现对授权用户的身份认证及数据的安全交换。在上海市徐汇区网上企业年检系统的安全事务/业务处理过程中,必须实现对客户进行认证和安全的通信机制,这就必须采用PKI体系结构。然而,在实现上述目标时,面临以下问题:如何建立或利用CA中心?如何得到证书?如何对客户进行身份认证和客户配置信息的管理?为了解决这些问题,上海CA建议采用如下方式:用户直接向上海市徐汇区网上企业年检CA代理提出证书申请,由徐汇区网上年检CA代理根据网络系统的特性以及用户的特点,向上海CA提交包含该用户特定信息的证书申请。这种方式屏蔽了复杂的证书申请过程,用户只需在上海市徐汇区网上企业年检系统中对身份认证提出申请(物理方式提出申请,非网络方式提出申请)即可。徐汇区网上企业年检CA代理系统在获得上海CA对用户身份认证的数字证书之后,将证书存储并转发给相应的最终用户。同时,最终用户的身份信息经过CA代理的存储,也就等于经过了上海市徐汇区年检办公室的用户认证,具备了访问徐汇区网上企业年检的权限(图2)。上海市徐汇区网上企业年检CA代理系统投入运行之后,极大地方便了企业,增加了统计数据的可靠性,同时也提高了工商行政管理机关的办公效率,降低了行政成本。(计算机世界报第23期B7比较CA认证的两种模式

■北京天威诚信电子商务服务有限公司林雪焰

互联网改变了世界,它以高效率、低成本、客户广泛的特点,成为了商务活动的载体。但电子商务全面发展的关键因素是安全问题。在线交易、供应链管理、安全邮件、电子商务、虚拟专网等应用系统中,需要一个安全的分布式平台,公钥基础设施(PKI)正是作为这样一个平台出现。PKI使用公开密钥技术建立和维护一个可信的网络计算环境,解决了互联网的主要安全问题,即通信和交易传输的身份认证、保密、完整和不可抵赖。

PKI的信任网络是在数字证书的基础上建立起来的,因此PKI的核心是颁发和管理数字证书的认证中心(CA中心)。许多证券、银行、保险等开展电子商务的企业,都已建立或预备建立自己的CA中心和PKI系统。如何成功建设一个PKI/CA,是摆在这些企业决策者面前的一个重要问题。

两种建设模式

当前主要有两种不同的PKI/CA建设方式:面向产品的和面向服务的。

1.面向产品,即自建CA方式

企业购买整套的PKI/CA软件,然后自行建立一整套相关的服务体系。在这种模式下,企业参与建立、维护、培训和运营整个PKI过程并对PKI软件所有事务负全责,其中包括系统、通信、数据库、物理安全、网络安全配置、高可靠性的冗余设计、灾难恢复等方面,还包括运营系统需要的PKI专家、法律、资金等方面。

2.面向服务,即购买CA服务的建设模式

企业利用第三方CA服务提供商的集成PKI平台,经过配置和管理,将企业端的前台与第三方高可靠性、高安全性的PKI后台组合在一起,对外提供证书服务。此模式下,企业的CA被托管在可信的第三方,复杂、专业的PKI核心服务及维护将交与专业的第三方CA完成,企业复杂的设备以及PKI专家、法律专家,不需要单独承担全部的投资与风险。

面向产品的自建CA与面向服务的托管CA代表着两种不同的建设模式。针对PKI/CA的建设,企业需要仔细研究后选择其所采取的模式。下面我们从成本及成功运行两个方面来比较两种模式。

总体拥有成本

PKI/CA是网络安全的基础设施,是一个系统而不是一个软件。因此建设并运营一个PKI/CA系统所需的成本,并不是单一的初期建设成本,而是一个综合的拥有总成本,包括购买的直接和间接成本之和。

建设运营CA需要哪些直接、间接成本呢?

1.初期建设成本

自建PKI/CA的企业所计算的建设成本往往仅包括PKI软件以及运行软件的机器。其实,运营一个安全可靠的PKI平台还包括系统软件、加密设备、网络设备、防火墙、入侵检测软件、机房以及