碩碩士士學學位位論論文文 一個電子政務信息安全方案 的設計與實現 學位申請人學位申請人 學科專業學科專業 計算機應用技術 計算機應用技術 指導教師指導教師 答辯日期答辯日期 A Thesis Submitted in Partial Fulfillment of the Requirements for the Degree of Master of Engineering The Design and Realization of an Information Security Scheme for Electronic Government Candidate Tian Tao Major Computer Application Technology Supervisor Prof Ouyang Xingming Huazhong University of Science and Technology Wuhan Hubei 430074 P R China November 2006 獨獨創創性性聲聲明明 本人聲明所呈交的學位論文是我個人在導師指導下進行的研究工作及取得的 研究成果 盡我所知 除文中已經標明引用的內容外 本論文不包含任何其他個 人或集體已經發表或撰寫過的研究成果 對本文的研究做出貢獻的個人和集體 均已在文中以明確方式標明 本人完全意識到本聲明的法律結果由本人承擔 學位論文作者簽名 日期 年 月 日 學位論文版權使用授權書學位論文版權使用授權書 本學位論文作者完全了解學校有關保留 使用學位論文的規定 即 學校有權 保留并向國家有關部門或機構送交論文的復印件和電子版 允許論文被查閱和借閱 本人授權華中科技大學可以將本學位論文的全部或部分內容編入有關數據庫進行檢 索 可以采用影印 縮印或掃描等復制手段保存和匯編本學位論文 保密 在 年解密后適用本授權書 不保密 請在以上方框內打 學位論文作者簽名 指導教師簽名 日期 年 月 日 日期 年 月 日 本論文屬于 摘摘 要要 隨著電子政務建設的不斷發展 電子政務建設和應用過程中的信息安全問題已 經成為電子政務建設中的急待解決的一個突出問題 信息安全是建設電子政務的基 礎和關鍵 電子政務信息安全方案要確保信息內容的存取 處理和傳輸各個環節中 的保密性 完整性和可用性 確保電子政務系統的合理應用和有序運行 圍繞 國家電子政務信息安全試點城市濟源市電子政務建設方案 這一應用主 題 通過對濟源市電子政務信息安全系統進行研究和分析 給出了一個電子政務信 息安全方案 該方案采用基于互聯網的地市級電子政務安全架構 具體由互聯網 電子政務安全支撐平臺和電子政務應用系統三部分組成 互聯網是實現政務網絡互 聯的網絡基礎設施 安全支撐平臺和電子政務應用都建立在互聯網之上 電子政務 安全支撐平臺是電子政務運行的安全保障 依靠 VPN 技術 PKI 技術 信息分級分 域存儲 等級化訪問控制 網絡入侵檢測等技術進行搭建 依托河南省電子政務基 礎設施所頒發的數字證書 保證域內 域間的網絡安全 保證與應用相關的信息和 數據安全 在電子政務安全支撐平臺基礎上提供安全的電子政務應用服務 在方案 實現中 給出了有關設備或系統主要安全技術要求 并對應用系統的安全屬性進行 分級 對潛在的安全風險進行分析 對安全系統的實施提出了網絡部署要求 通過探索基于互聯網的地市級電子政務建設及信息安全保障新方法和新模式 為今后基于互聯網的地市級電子政務系統建設提供了可借鑒的經驗 關鍵詞 電子政務 信息安全 等級保護 虛擬專網 公鑰基礎設施 Abstract With the development of electronic government construction the system security becomes an urgent problem Especially the information security is the foundation of e government construction The e government information security scheme ensures the secrecy the integrity and the usability in the information storage processing and transmission ensures e government reasonable application and has the orderly running Focusing on the application topic of national experimental city Jiyuan e government construction scheme this article thoroughly analyzes its security system and put forward an e government security scheme The scheme is a municipal e government security architecture on the basis of the internet It is made up of three parts the Internet the security supporting platform and the application system The Internet offers the system interconnections The e government security supporting platform and application system is on the basis of the Internet The security supporting platform guarantees e government running It is built by the technologies such as VPN PKI the different degree and area store technology grading access control and network invading detection relies on digital Certification Authority issued by Henan provincial e government infrastructure and ensures network security in the domains and inter domains information and data security The application system is on the basis of the security supporting platform In the scheme s realization the article also puts forward the technological demands of related equipments and system ranks the system security properties analyzes the potential security risk and puts forward network deploy demands on system applications This article explores a new mode and method of municipal e government security on the basis of the internet and provides some experiences for other municipal e government constructions in the future Key words E government Information Security Ranking Protection Virtual Private Network Public Key Infrastructure 目目 錄錄 摘摘 要要 I Abstract II 1 緒論緒論 1 1 課題背景 1 1 2 國內外研究概況 2 1 3 論文的主要研究內容 5 2 電子政務信息安全相關理論和技術電子政務信息安全相關理論和技術 2 1 虛擬專網 VPN 6 2 2 公鑰基礎設施 PKI 9 2 3 加密技術 12 2 4 信息安全等級保護 16 2 5 信息分級分域存儲 17 2 6 入侵檢測技術 17 2 7 小結 19 3 系統方案的設計系統方案的設計 3 1 設計的目標和原則 20 3 2 電子政務系統體系結構 22 3 3 安全支撐平臺體系結構 23 3 4 系統組成框圖 25 3 5 互聯網 25 3 6 電子政務安全支撐平臺 26 3 7 電子政務應用系統 29 3 8 小結 29 4 系統方案的實現系統方案的實現 4 1 電子政務系統網絡部署 31 4 2 有關設備或系統主要安全技術要求 35 4 3 應用系統信息安全等級劃分 38 4 4 安全風險 43 4 5 小結 47 5 總結總結 致致 謝謝 49 參考文獻參考文獻 50 1 緒論緒論 1 1 課題背景課題背景 電子政務 Electronic Government 是政府在其管理和服務職能中運用現代信息 和通信技術 實現政府組織結構和工作流程的優化重組 超越時間 空間和部門分 隔的制約 全方位地向社會提供優質 規范 透明的服務 是管理政府手段的變革 1 電子政務己經被全世界都認為是有效提升政府職能部門管理 服務 協調的手 段之一 2 也是打造透明 廉潔 高效的服務型政府的最佳途徑之一 3 我國的電子政務的建設 將有利于政府樹立形象 精簡人員與機構 提高辦事 效率 進行迅速有力的科學決策等 對于國家的經濟繁榮和社會進步有著深遠的意 義 隨著電子政務建設的不斷發展 電子政務建設和應用過程中的信息安全問題已 經成為電子政務建設中的急待解決的一個突出問題 中辦發 2003 27 號文件 國家 信息化領導小組關于加強信息安全保障工作的意見 出臺以來 國信辦就文件的宣 傳貫徹做了大量的工作 為我國各地做好信息安全保障工作提供了很好的政策和技 術支撐 特別是 2004 年 8 月至 2005 年 6 月的北京市東城區和廣東省江門市的 開 放互聯環境下的電子政務信息安全保障 探索性試點的成功 電子政務信息安全 等級保護實施指南 試行 的出臺 為下一步電子政務信息安全建設和管理提供了 借鑒的經驗和建設的指南 為深入探索總結不同業務模式電子政務的信息安全保障方法 探討解決電子政 務信息安全建設和管理中出現的一些共性問題 2005 年 10 月 國信辦下發了決定 在廣東 河南 天津 重慶等四個省市開展電子政務信息安全試點工作 河南選擇 濟源市作為基于互聯網電子政務信息安全試點 濟源市位于河南省西北部 是 18 個省轄市之一 近幾年 濟源市把信息化作 為促進經濟發展的重要舉措 信息化建設取得了長足進展 開通了 濟源之窗 政 府門戶網站和 12315 便民熱線 政務部門全部接入了互聯網 70 的部門建有內 部局域網 20 余個部門建有縱向業務系統 由于各部門之間網絡相對獨立 互不聯 通 導致資源不能共享 辦事效率不高 針對這些問題 濟源市決定建設全市統一 的網絡辦公和應用平臺 濟源市轄 8 鎮 4 鄉 4 個街道辦事處 整體規模較小 每年傳遞的涉密信息不到 總信息量的 3 若專門建設電子政務網絡 不僅投資大 覆蓋面小 而且與電子 政務建設的初衷相違背 濟源市信息化基礎設施較好 村村通電話 光纖已鋪設到 鄉鎮 互聯網走進了 尋常百姓家 積極利用互聯網資源進行電子政務建設 既 可以節約資源 節省成本 又能提高服務的覆蓋面 在國外已有成功的先例 互聯網作為一個開放的網絡環境 在安全方面先天不足 存在著諸多隱患 數 億網民成分十分復雜 基于互聯網的電子政務建設面臨著政務信息失泄密 非法篡 改 身份假冒等安全威脅 所以在濟源市電子政務建設中 必須高度重視信息安全 問題 明確規定涉密信息不上網 通過綜合運用以密碼技術為基礎的信息安全技術 合理配置信息安全設備 保證基于互聯網電子政務的信息安全 在此基礎上 全面 依托互聯網 建設由 政務辦公 項目審批管理 12345 便民熱線 新農村信息 服務 等系統組成電子政務應用平臺 信息安全是建設電子政務的基礎和關鍵 通過本次試點項目 綜合運用多種信 息安全技術 為電子政務搭建更合理 更方便 更完善的安全平臺 我們的經驗 可以為其他市級電子政務安全建設提供借鑒和參考 1 2 國內外國內外研究概況研究概況 1 2 1 國外電子政務信息安全的研究現狀及發展趨勢國外電子政務信息安全的研究現狀及發展趨勢 近年來 世界發達國家都在積極進行電子政務的建設 電子政務已成為國際公 共行政管理改革的新動向 如 2000 年 3 月 日本政府宣布實施電子政府工作 并 計劃 2005 全面進入 辦公電子化階段 美國在 2000 年 6 月 6 日 6 月 30 日 用了二十天的時間完成了建設電子政府的全部立法程序 被喻為 第二次美國獨立 革命 并將在 2005 年前后最終進入電子政府時代 英國也在 2000 年提出 要建設 最適應知識經濟發展的 電子英國 并把全面開通電子政府的時間從 2008 年提前 到 2005 年 歐盟 東盟均提出 電子歐盟 和 電子東盟 計到 總之 電子政 府己成為新世紀國際公共行政管理改革和衡量國家競爭力的顯著標志之一 4 6 國外電子政務信息安全的主要發展趨勢歸納如下 1 網絡攻擊將是西方國家必須重點防范的恐怖方式 國際合作會更加緊密 9 11 恐怖襲擊事件的發生改變了人們思考安全問題的方式 對于信息化程度較 高的西方國家來說 防止恐怖分子發動網絡攻擊將成為重點防范的對象 各國將采 取的一系列網絡防范措施上 進一步采取行動保護網絡基礎設施的安全 2 管理措施將在信息安全政策中占據主導地位 各國對網絡空間的監管能力 不斷增強 從國外近幾年的實踐情況來看 各國政府紛紛采取了應對網絡攻擊的 管理舉措 預計世界各國將進一步完善管理層面的改革 將其作為國家信息安全政 策的 重中之重 3 信息安全即將進入綜合研究時期 信息安全逐漸演變成一個綜合 交叉的 學科領域 不再僅僅限于對傳統意義上的網絡和計算機技術進行研究 必須要綜合 利用數學 物理 通信 計算機以及經濟學等諸多學科的長期知識積累和最新發展 成果 進行自主創新研究 并提出系統的 完整的 協同的解決方案 4 信息安全產品日趨成熟 防病毒 防黑客依然是網絡與信息安全的技術主 流 近年來 網絡病毒和黑客給全球帶來了數千億美元的經濟損失 作為兩個 傳統 的全球性信息安全問題 在過去的幾年中仍然是信息安全領域的兩大熱點 雖然各國將致力于發展新型的信息安全技術 如生物鑒別技術 電子簽名技術等等 但防病毒和防黑客仍然將占據信息安全技術的主流地位 7 5 信息保障進入實際運用 系統的質量 可靠性與安全性一并受到重視 時 至今日 由于信息系統的攻擊日趨頻繁 安全的概念已經不局限于對信息的保護 人們更需要的是整個信息系統運行的安全 具體包括了對信息及系統進行保護 檢 測 響應和恢復 PDRR 的能力 各國的信息保障概念將融入實際應用當中 各國 建立的各種具體信息安全保障體系和體制將進一步落到實處 進入實際運轉狀態 不僅系統的安全性 其運行的質量和可靠性將隨著信息安全保障的實施一并受到重 視 1 2 2 我國電子政務信息安全的研究現狀及趨勢我國電子政務信息安全的研究現狀及趨勢 我國 國民經濟和社會發展十五計劃綱要 又明確了 以信息化帶動工業化 的主張 今后我國將會進一步明確電子政務在信息化建設中的作用和地位 通過電 子政務促進電子商務和數字城市的發展 以電子政務帶動信息化 已被看作是國 民經濟和社會信息化的一項基本策略 8 9 國內電子政務信息安全發展趨勢歸納如下 1 國家對網絡與信息安全管理將作戰略性的選擇 近幾年的網絡與信息安全 事件徹底改變了我國信息安全狀況 促進了全社會對該問題的重視和關注 并極大 地刺激了政府對網絡與信息安全的管理 從而徹底改變了國家對網絡與信息安全的 認識和策略 2 電子政務將帶動信息安全產業的發展 由于政務信息的特殊性和敏感性 電子政務的安全當然會要求高 需求大 持續的電子政務熱潮將帶動信息安全產業 的發展 從而 以信息資源管理為核心的信息安全保障可能成為電子政務安全的主 流 3 信息安全服務和電子政務的安全評估成為市場熱點 社會信息化的飛速發 展帶動了網絡與信息安全需求的不斷提高 人們開始認識到安全不僅要靠產品實現 服務也是重要手段 保障信息安全是一個動態的過程 在快速增長的信息安全市場 中 安全服務占據著越來越重要的位置 根據市場的發展趨勢 可預測對電子政務 和其他領域的安全評估會成為市場熱點 4 地方保護和行業行為對信息安全管理和產業發展的影響將更加顯現 雖然 2002 年成立了權威的國家網絡與信息安全協調小組 負責統一協調跨部門的網絡與 信息安全工作 但我國網絡與信息安全多頭管理的歷史和現實 決定了多頭管理的 現象仍會繼續存在 因此地方保護和行業行為對信息安全管理和產業發展的影響將 更加顯現 國家從大局出發 嚴格把握宏觀管理尺度 避免新的重復建設和地主保 護門檻林立 造成國家資源浪費 產業元氣大傷 5 協調將成為信息化進程中安全管理的重要方式和手段 2002 年 7 月成立了 國家網絡與信息安全協調小組 負責統一協調跨部門的網絡與信息安全工作 根據 信息安全問題發展趨勢和成功經驗 協調將成為信息化進程中安全管理的重要方式 和手段 1 3 論文的主要研究內容論文的主要研究內容 本文圍繞 2005 國家電子政務信息安全試點城市濟源市電子政務建設方案 這 一應用主題 對基于互聯網的電子政務網絡安全進行深入研究 完成如下工作 1 深入地研究基于互聯網的電子政務信息安全相關理論和技術 分析他們在電 子政務中的作用 2 在分析濟源市實際應用系統安全需求的基礎之上 給出一個總體安全架構方 案 該方案依靠 VPN 技術 PKI 技術 信息分級分域存儲 等級化訪問控制等技術 搭建電子政務安全支撐平臺 在安全平臺的基礎上提供電子政務應用服務 3 對上述安全系統的實施提出網絡部署要求 對相關設備給出安全技術規范 并對應用系統的安全屬性進行分級 對潛在的安全風險進行分析 4 積極探索基于互聯網地市級電子政務建設及信息安全保障新方法和新模式 為今后基于互聯網建設地市級電子政務系統提供可供借鑒的經驗 本文的組織結構如下 第 1 章 主要概述課題的研究的背景 國內外研究概況 并對論文的主要研究 內容進行概括 第 2 章 詳細論述信息安全方面采用的主要技術和理論 如 VPN PKI 信息分級 分域存儲 等級化訪問控制等 分析他們在電子政務建設中起的作用 第 3 章 系統方案的設計 該方案由互聯網 電子政務安全支撐平臺和電子政 務應用系統三部分組成 互聯網是本次安全試點的網絡基礎設施 在電子政務安全 支撐平臺基礎上提供安全的電子政務應用服務 第 4 章 系統方案的實現 對系統的實施提出網絡部署要求 給出有關設備或 系統主要安全技術要求 并對應用系統的安全屬性進行分級 對潛在的安全風險進 行分析 第 5 章 對論文所做的工作進行總結 2 電子政務信息安全相關理論和技術電子政務信息安全相關理論和技術 電子政務依賴于計算機和網絡技術 對于計算機網絡來說 資源共享和信息安全 始終是一對矛盾體 這就意味著電子政務應用不可避免地存在著由 Internet 的自由 開放所帶來的信息安全隱患 電子政務中的網絡與信息安全不僅關系到電子政務本 身的健康發展 而且關系到國家的政治安全 經濟安全 國防安全 社會穩定和政府 工作的正常運轉 因此 網絡和信息安全是電子政務系統建設中的核心問題 也是 電子政務建設中的關鍵所在 10 電子政務中的安全保障體系就是要確保信息內容的 存取 處理和傳輸各個環節中的保密性 完整性和可用性 確保電子政務系統的合 理應用和有序運行 11 13 濟源試點系統依托互聯網 通過構建電子政務安全支撐平臺 保障了電子政務 應用系統的安全運行 其中電子政務安全支撐平臺的搭建最為關鍵 使用了虛擬專 網 VPN 公鑰基礎設施 PKI 信息安全等級保護 信息分級分域存儲 入侵檢測等 關鍵技術 下面進行一下介紹 2 1 虛擬專網虛擬專網 VPN 虛擬專網 VPN Virtual Private Network 是一種通過對網絡數據進行封包和 加密 在公網上傳輸私有數據 同時保證私有網絡的安全 從而利用公網構筑企 業專用的組網技術 14 15 簡單地說 VPN 就是通過 Internet 實現低成本通訊的 一種技術 16 從客觀上可以認為 VPN 就是一種具有私有和專用特點網絡通信環境 它是通 過虛擬的組網技術 而非構建物理的專用網絡的手段來達到的 17 2 1 1 VPN 的構成的構成 一個典型 VPN 的組成部分如圖 2 1 所示 18 19 圖 2 1 VPN 的組成 VPN 服務器 接受來自 VPN 客戶機的連接請求 對客戶機進行身份驗證 VPN 客戶機 發出連接請求的設備 可以是終端計算機也可以是路由器 隧道 由隧道協議形成的數據傳輸通道 在其中傳輸的數據必須經過封裝 VPN 連接 在 VPN 連接中 數據必須經過加密 隧道協議 封裝數據 管理隧道的通信標準 傳輸數據 經過封裝 加密后在隧道上傳輸的數據 公共網絡 如 Internet 也可以是其他共享型網絡 2 1 2 VPN 工作原理工作原理 虛擬專網 VPN 采用了一種稱之為隧道的技術 使得企業網內一個局域網的數 據透明地穿過公用網到達另一個局域網 其基本過程是在原局域網與公用網的接口 處將局域網發送的數據作為負載封裝在一種可以在公用網上傳輸的數據格式中 在 目的局域網與公用網的接口處將公用網的數據解封裝后 取出負載在目的局域網傳 輸 由于封裝與解封裝只在兩個接口處由設備按照隧道協議配置進行 在此過程中 被封裝的數據包在隧道的兩個端點之間通過公共互聯網絡進行路郵 而被封裝的數 據包在公共互聯網絡上傳遞時所經過的邏輯路徑就被稱為隧道 20 2 1 3 VPN 關鍵技術關鍵技術 VPN 具有專線連接的安全 保密 專用 高性能等特點 構建一個 VPN 需 要解決的關鍵技術包括隧道技術 Tunneling 加解密技術 Encryption Decryption 密鑰管理技術 Key Management 和身份認證技術 Authentication 1 隧道技術 VPN 的核心就是隧道技術 隧道技術主要負責將待傳輸的原始數據包進行加 密 協議封裝 再嵌套裝入另一種協議數據包中進入網絡 像普通數據包一樣傳輸 只有該虛擬專用網絡授權的用戶才能對隧道中的數據包進行解釋和處理 而其他用 戶無法處理這些信息 從而保證 VPN 的遠程用戶或主機和專用網絡的安全連接 該技術就像在公用網上為信息交換的雙方開辟一條專有的 隱蔽的數據通道一樣 隧道是由一系列的協議組成 根據通訊協議的分層模型 可分為第二層隧道協議和 第三層隧道協議 第二層隧道協議主要有 PPTP L2F L2TP 等 第三層隧道協議 主要有 IPSec GRE 等 2 加密技術 為了保證數據傳輸安全 對在公開信道上傳輸的 VPN 流量必須進行加密 從 而確保網絡上未授權的用戶無法讀取信息 其過程是發送者在發送數據之前對數據 加密 當數據到達接收者時由接收者對數據進行解密 密碼技術可以分為兩類 對稱加解密和非對稱加解密技術 對稱加解密技術簡 單易用 處理效率比較高 易于用硬件實現 缺點是密鑰管理較困難 常用的有 DES 3DES 非對稱加解密技術安全系數更高 可以公開加密密鑰 對密鑰的更新 也很容易 易于管理 缺點是效率低 難于用硬件實現 常用的有 Diffie Hellman RSA 通常用非對稱加密進行身份認證和密鑰交換 對稱密鑰用于數據 加密 3 密鑰管理技術 其主要任務是解決公用數據網上安全傳遞密鑰而不被竊取的問題 現行密鑰管 理技術又分為 SKIP 與 ISAKMP OAKLEY 兩種 SKIP 主要是利用 Diffie Hellman 的演算法則 在網絡上傳輸密鑰 在 ISAKMP 中 雙方都有兩把密鑰 分別作公用 私用 4 身份認證技術 身份認證技術是一種用來驗證通訊雙方是否真的是他所聲稱的身份的手段 目 前通用的方法是使用數字證書或非對稱密鑰算法來鑒定用戶的身份 通訊雙方交換 資料前 須先確認彼此的身份 接著出示彼此的數字證書 雙方將此證書進行比較 只有比較結果正確 雙方才開始交換資料 否則 不能進行后續的通信 21 23 2 2 公鑰基礎設施公鑰基礎設施 PKI 2 2 1 PKI 簡介簡介 PKI 采用證書進行公鑰管理 通過第三方的可信任機構 認證中心 即 CA 把 用戶的公鑰和用戶的其他標識信息捆綁在一起 其中包括用戶名和電子郵件地址等 信息 以在 Internet 網上驗證用戶的身份 PKI 把公鑰密碼和對稱密碼結合起來 在 Internet 網上實現密鑰的自動管理 保證網上數據的安全傳輸 24 26 因此 從大的方面來說 所有提供公鑰加密和數字簽名服務的系統 都可歸結 為 PKI 系統的一部分 PKI 的主要目的是通過自動管理密鑰和證書 為用戶建立起 一個安全的網絡運行環境 使用戶可以在多種應用環境下方便的使用加密和數字簽 名技術 從而保證網上數據的機密性 完整性和有效性 一個有效的 PKI 系統必須 是安全的和透明的 用戶在獲得加密和數字簽名服務時 不需要詳細地了解 PKI 的 內部運作機制 在一個典型 完整和有效的 PKI 系統中 除證書的創建 發布和撤 銷外 一個可用的 PKI 產品還必須提供相應的密鑰管理服務 包括密鑰的備份 恢 復和更新等 沒有一個好的密鑰管理系統 將極大地影響一個 PKI 系統的規模 可 伸縮性和在協同網絡中的運行成本 27 29 PKI 發展的一個重要方面就是標準化問題 它也是建立互操作性的基礎 PKI 標準化主要有兩個方面 一是 RSA 公司的公鑰加密標準 PKCS Public Key Cryptography Standards 它定義了許多基本 PKI 部件 包括數字簽名和證書請求格 式等 二是由 Internet 工程任務組 IETF Internet Engineering Task Force 和 PKI 工作 組 PKIX Public Key Infrastructure Working Group 所定義的一組具有互操作性的公鑰 基礎設施協議 在今后很長的一段時問內 PKCS 和 PKIX 將會并存 大部分的 PKI 產品為保持兼容性 也會對這兩種標準進行支持 30 PKI 的發展非常快 己經從幾年前的理論階段過渡到目前的產品階段 并且出 現了大量成熟技術 產品和解決方案 正逐步走向成熟 目前 PKI 產品的生產廠 家很多 比較有代表性的主要有 VeriSign 和 Entrust 另外 一些大的廠商 如 Microsoft Netscape 和 Novell 等 都開始在自己的網絡基礎設施產品中增加 PKI 功 能 31 2 2 2 PKI 的組成及各部分的功能的組成及各部分的功能 PKIX 工作組 PKIX Working Group 給 PKI Public Key Infrastructure 的定義為 是一組建立在公開密鑰算法基礎上的硬件 軟件 人員和應用程序的集合 它應具 備產生 管理 存儲 分發和廢止證書的能力 32 PKI 在實際應用上是一套軟硬件系統和安全策略的集合 一個典型的 PKI 系統 如圖 2 2 所示 其中包括 PKI 策略 軟硬件系統 認證中心 CA 注冊機構 RA 證 書發布系統和 PKI 應用等 PKI 應用 證書認證機構 CA注冊機構 RA證書發布系統 PKI 策略軟硬件系統 圖 2 2 PKI 基本組成架構 PKI 的主要目的是通過自動密鑰管理和證書 為用戶建立起一個安全的網絡運 行環境 使用戶可以在多種應用環境下方便的使用加密和數字簽名技術 從而保證 網上數據的機密性 完整性 有效性 數據的機密性是指數據在傳輸過程中 不能 被非授權者偷看 數據的完整性是指數據在傳輸過程中不能被非法篡改 數據的有 效性是指數據不能被否認 PKI 安全策略建立和定義了一個組織信息安全方面的指導方針 同時也定義了 密碼系統使用的處理方法和原則 它包括一個組織怎樣處理密鑰和有價值的信息 根據風險的級別定義安全控制的級別 一般情況下 在 PKI 中有兩種類型的策略 一是證書策略 用于管理證書的使用 比如 可以確認某一 CA 是在 Internet 上的 公有 CA 還是某一企業內部的私有 CA 另外一個就是 CPS Certificate Practice Statement 一些由商業證書發放機構 CCA 或者可信的第三方操作的 PKI 系統需要 CPS 這是一個包含如何在實踐中增強和支持安全策略的一些操作過程的詳細文檔 它包括 CA 是如何建立和運作的 證書是如何發行 接收和廢除的 密鑰是如何產 生 注冊的 以及密鑰是如何存儲的 用戶是如何得到它的等等 33 認證中心 CA 是 PKI 的信任基礎 它管理公鑰的整個生命周期 其作用包括 發放證書 規定證書的有效期和通過發布證書廢除列表 CRL 確保必要時可以廢除 證書 注冊機構 RA 提供用戶和 CA 之間的一個接口 RA 接受用戶的注冊申請 審 查用戶的申請資格 并決定是否同意 CA 給其簽發數字證書 注冊機構并不給用戶 簽發證書 而只是對用戶進行資格審查 因此 RA 可以設置在直接面對客戶的業 務部門 如銀行的營業部 機構認證部門等 對于一個規模較小的 PKI 應用系統來 說 可把注冊管理的職能由認證中心 CA 來完成 而不設立獨立運行的 RA 但這 并不是取消了 PKI 的注冊功能 而只是將其作為 CA 的一項功能而己 34 36 PKI 國 際標準推薦由一個獨立的 RA 來完成注冊管理的任務 可以增強應用系統的安全 證書發布系統負責證書的發放 如可以通過用戶自己或是通過目錄服務 目錄 服務器可以是一個組織中現存的 也可以是 PKI 方案中提供的 PKI 的應用非常廣泛 包括在 web 服務器和測覽器之間的通訊 電子郵件 電 子數據交換 EDI 在 Internet 上的信用卡交易和虛擬私有網 VPN 等 一個簡單的 PKI 只需包含一個 CA 和一個證書庫 如圖 2 3 所示 LDAP ServerCA 端實體端實體 證書 CRL 證書 CRL 下載 查詢 由證書保護 的安全通信 各種申請 離線 SSL 方式 圖 2 3 最簡單的 PKI 2 3 加密技術加密技術 加密技術是數字證書的核心 所采用的加密技術應考慮先進性 業界標準和普 遍性 加密技術在 CA 認證中應用的目的有兩個 一個是身份認證 即 Proof of possession of key 利用加密技術的身份鑒別 另一個目的是保證傳輸數據的機密性 即 Encryption of information 加密是指使用密碼算法對數據作變換 使得只有密 鑰持有人才能恢復數據面貌 現代密碼學的基本原則是 一切密碼寓于密鑰之中 即算法公開 密鑰保密 密碼算法分為兩類 對稱密鑰算法和非對稱密鑰算法 2 3 1 對稱密碼算法對稱密碼算法 對稱密碼算法的加密密鑰和解密密鑰相同 Ke kd 密鑰必須特殊保管 它的 優點是保密強度高 計算開銷小 處理速度快 缺點是密鑰管理困難 加解密過程 如圖 2 4 所示 對稱加密 對稱解密 明文 明文 密文 圖 2 4 對稱加密算法 常用的對稱加密算法是 DES 除此之外還有 TRIPLE DES IDEA RC2 RC4 RC5 等對稱算法 DES Data Encryption Standard 算法是 美國政府機關為了保護信息處理中的計算機數據而使用的一種加密方式 是一種常 規密碼體制的密碼算法 目前已廣泛用于電子商務系統中 64 位 DES 的算法詳細 情況已在美國聯邦信息處理標準 FIPS PUB46 上發表 隨著研究的發展 DES 算 法在基本不改變加密強度的條件下 發展了許多變形 DES Triple DES 是 DES 算 法擴展其密鑰長度的一種方法 可使加密密鑰長度擴展到 128 比特 112 比特有效 或 192 比特 168 比特有效 37 DES 是一種對二元數據進行加密的算法 數據分組長度為 64bit 8bytes 密文 分組長度也是 64bit 沒有數據擴展 密鑰長度為 64 位 其中有 8bit 奇偶校驗位 有效密鑰長度為 56bit 算法的構成框圖在圖 2 5 中給出 初始置換 IP 輸入 64 比特明文數據 初始逆置換 IP 1 交換左 右 32 比特 在密鑰控制下 16 輪 迭代 輸出 64 比特密文數據 圖 2 5 DES 加密 初始置換 IP 將 64bit 明文的位置進行置換 得到一個亂序的 64bit 明文組 而 后分成左右兩段 每段為 32bit 以 L0和 R0表示 乘積變換 是 DES 算法的核心部分 將經過 IP 置換后的數據分成 32bit 的左右 兩組 在迭代過程中彼此左右交換位置 每次迭代時只對右邊的 32bit 進行一系列 的加密變換 在此輪迭代即將結束時 把左邊的 32bit 與右邊的 32bit 逐位模 2 相加 作為下一輪迭代時右邊的段 并將原來右邊未經變換的段直接送到左邊的寄存器中 作為下一輪迭代時左邊的段 逆初始置換 IP 1 將 16 輪迭代后給出的 64bit 組進行置換 得到輸出的密文組 加密過程 L0R0 IP 輸入碼 Li Ri 1 i 1 16 Ri Li 1 f Ri 1 Ki i 1 16 IP 1 R16L16 解密過程是加密過程的逆過程 R16L16 IP 密文 Ri 1 Li i 1 16 Li 1 f Ri 1 Ki Ri i 1 16 IP 1 L0R0 2 3 2 非對稱密碼算法非對稱密碼算法 非對稱密碼算法的加密密鑰與解密密鑰不同 不可能由加密密鑰解出解密密鑰 每個用戶都有兩個密鑰 一個在信息團體內公開 稱為公鑰 一個由用戶秘密保存 稱為私鑰 非對稱密碼算法的優點是便于密鑰管理 分發 便于數字簽名 它的缺 點是計算開銷大 處理速度慢 加解密過程如圖 2 6 所示 非對稱加密 非對稱解密明文明文 密文 圖 2 6 非對稱加密算法 目前 較流行的是 RSA 數據安全加密技術 它既可用于加密 又可用于數字 簽字 但由于 RSA 算法的運算速度較慢 因此 在實際的應用中通常不采用這一 算法對信息量大的信息 如大的 EDI 交易 進行加密 RSA 算法的安全性是基于數論 中大整數分解的困難性 即兩個大素數 p 和 q 的乘積 n 其歐拉函數值為 n p 1 q 1 2 1 隨機選一整數 e 1 e n e 1 因而在模 n 下 e 有逆元 d e 1 mod n 2 2 取公鑰為 n e 私鑰為 d p q 不再需要 可以銷毀 加密信息 m 二進 制表示 時 首先把 m 分成等長數據塊 m1 m2 mi塊長 s 其中 2s20 的委辦局 在網絡出口處部署 VPN 安全設備 作為邊界防護 設備 提供網絡接入 傳輸加密和分域控制功能 域內的單個機器安裝桌面安全防 護套件 進行安全隔離和病毒防護 域內的用戶采取證書方式進行身份認證 2 用戶數量 20 的委辦局 單個機器上安裝 VPN 客戶端 提供網絡接入和傳 輸加密功能 并安裝增強型桌面安全防護套件 提供數據存儲保護 郵件加密 安 全隔離和病毒防護功能 域內的用戶采取證書方式進行身份認證 4 鄉鎮 辦事處域 在處理電子政務的終端上安裝 VPN 客戶端 提供網絡接入 和傳輸加密功能 并安裝增強型桌面安全防護套件 提供數據存儲保護 郵件加密 安全隔離和病毒防護功能 采用證書方式進行身份認證 5 移動辦公用戶 安裝 VPN 客戶端 提供移動接入和傳輸加密功能 并安裝 增強型桌面安全防護套件 進行數據存儲保護 郵件加密 安全隔離和病毒防護 采用證書方式進行身份認證 6 企業用戶 安裝 VPN 客戶端 采用證書或口令方式進行身份認證 7 注冊公眾用戶 采用口令方式進行身份認證 8 公眾用戶 不采取防護措施 4 2 有關設備有關設備或系統或系統主要安全技術要求主要安全技術要求 為了確保試點技術方案得到有效的實施 實現既定的建設目標 現對本次試點 建設所涉及的有關安全設備或系統 在安全功能和性能上提出如下主要技術要求 4 2 1 VPN 與安全接入主要技術要求與安全接入主要技術要求 1 VPN 密碼機的技術要求 1 支持基于數字證書的設備認證 2 支持基于用戶的接入控制和分域訪問控制 3 VPN 密碼機應同時具有防火墻功能 4 應同時支持移動安全接入 VPN 安全互聯 互聯網訪問等功能 5 中心 VPN 密碼機端口數 7 滿足行政區的分域控管要求 6 VPN 密碼機具有雙向 DNS 等功能 7 VPN 密碼機自身具有入侵檢測與攻擊防護能力 2 VPN 客戶端的技術要求 1 VPN 客戶端應支持 LAN ADSL WLAN PSTN CDMA GPRS 等多種 互聯網接入方式 2 客戶端接入應基于數字證書和統一身份認證系統實施認證 4 2 2 VPN 安全管理主要技術要求安全管理主要技術要求 1 支持系統中所有 VPN 密碼機的統一管理 包括策略的統一設置和系統配置 2 支持 VPN 客戶端的統一管理 包括在線監視和接入審計 3 支持 VPN 客戶端的分域接入控制的配置管理 4 2 3 統一身份認證主要技術要求統一身份認證主要技術要求 1 具有統一的用戶管理功能 應支持河南 CA 頒發的證書導入 2 支持證書和口令兩種認證方式 3 具有單點登錄功能 4 實現安全認證 能有效防止用戶口重放 竊取等攻擊 5 和應用系統之間應具有如下三種接口 1 認證信息的同步接口 2 認證的調用接口 3 認證結果動態信息查詢接口 6 應具有如下三種編程接口 1 COM 接口 2 J2EE 接口 3 C 語言接口 LINUX 和 UNIX 平臺 4 2 4 統一授權管理主要技術要求統一授權管理主要技術要求 1 具有統一的授權管理功能 包括統一的角色定義 資源描述和權限分配 2 授權粒度要求 具有授權到子系統 即功能模塊 的功能 子系統劃分不小 于 3 級 3 具有多級授權管理功能 4 和應用系統之間應具有如下三種接口 1 應用系統模塊信息的同步接口 2 授權信息的同步接口 3 授權信息的在線查詢接口 5 應具有如下三種編程接口 1 COM 接口 2 J2EE 接口 4 2 5 應用安全主要技術要求應用安全主要技術要求 本技術要求主要是指應用系統應具有的安全功能要求 1 基于統一身份認證系統實現用戶的單點登錄認證 2 基于統一的授權管理實現子系統的訪問控制 基于工作流的操作授權實現 工作流的訪問控制 3 支持數據分級與分域存放 應具有在信息分域物理存儲的條件下的基于等 級保護的訪問控制功能 4 要求關鍵操作 如公文簽發 必須實施證書方式認證 5 對歸檔后的公文按照完全公開 內部公開 內部受控三個級別實施等級保 護 6 和統一身份認證系統之間應具有應用系統模塊信息的同步接口 4 2 6 網頁防篡改主要技術要求網頁防篡改主要技術要求 1 具有惡意攻擊檢測功能 能夠實時檢測出被篡改的網頁 2 網站快速恢復功能 能夠在較短時間內使網站恢復正常運行 4 2 7 桌面安全防護主要技術要求桌面安全防護主要技術要求 1 基本桌面安全防護功能要求 具有主機病毒防護 PC 防火墻功能 2 增強桌面安全防護功能要求 具有主機病毒防護 PC 防火墻 桌面存儲安 全 安全電子郵件等功能 3 PC 防火墻的配置與管理要求 當啟用配置 Windows 自帶配置防火墻功能 時 應提供一個實用程序進行統一的策略配置和導入 4 2 8 防病毒主要技術要求防病毒主要技術要求 1 具有主機和網絡防病毒功能 2 能夠通過 VPN 進行遠程病毒升級 4 2 9 安全審計主要技術要求安全審計主要技術要求 1 具有網絡審計功能 2 具有對 VPN 密碼機等安全設備審計信息的集中管理功能 4 2 10 密碼配用要求密碼配用要求 試點系統中凡是涉及密碼的部分必須符合國家密碼管理政策 1 用于認證 傳輸加密 存儲加密的算法均使用國密辦批準的算法 2 使用密碼的認證系統 VPN 客戶端 VPN 密碼機等均應通過國密辦認證 4 3 應用系統信息安全等級劃分應用系統信息安全等級劃分 4 3 1 應用系統應用系統 1 濟源市政務辦公系統 濟源市政務辦公系統部署于濟源市行政區內的電子政務管理中心 主要為濟源 市的日常辦公提供服務 系統的服務對象包括市委 政府 人大和政協各機關的工 作人員 系統網絡環境由行政區局域網和移動用戶接入網構成 系統的信息資產包 括各類公文和日常辦公文件 濟源市政務辦公系統按照功能可以劃分為發文管理 收文管理 會議管理 公 告管理 領導活動安排 領導分管部門和檔案管理等七個子系統組成 不同的子系 統擁有不同類型的信息資產 根據系統調研結果 下面列出了部分子系統的信息資 產 1 發文管理 各種類型的公文 如議案 決定 公告 通知 通報 報告 請示 批復 函 會議紀要等 2 收文管理 同發文管理 3 會議管理 會議預告 會場安排 4 公告管理 部門公告 單位公告 5 領導活動安排 領導日程安排 6 領導分管部門 分管部門的工作匯報 7 檔案管理 發文管理和收文管理中最終形成的公文 2 濟源市項目審批管理系統 主要服務于企業 完成各類項目網上數據采集 各種企業網上數據申報 項目 審批和管理 包括項目審批 項目核準 項目備案 項目管理和辦理結果反饋 項目審批子系統實現對政府投資建設項目審批的處理過程 項目核準子系統實現的是項目核準制的辦公自動化 核準制指政府投資主管部 門 發改委 按照 政府核準的投資項目目錄 對企業投資建設的重大項目和限制 類項目 從維護經濟安全 合理開發利用資源 保護生態環境 優化重大布局 保 障公共利益 防止出現壟斷等方面實行核準的制度 對于外商投資項目 政府還要 從市場準入 資本項目管理等方面實行核準 項目備案子系統實現的是項目備案制的辦公自動化 備案制是指對 政府核準 的投資項目目錄 之外的 企業不使用政府投資 總投資在 50 萬元及以上的擬建 項目 均實行備案制 由企業按照屬地原則向地方政府投資主管部門 發改委 備案 根據系統調研結果 按子系統的列出了保護資產 1 項目審批 項目建議書 可信性研究報告 招標方案 初步設計方 案 和 投資計劃 2 項目核準 外商投資項目申請報告 項目申請報告 和 項目招標方 案 境外投資項目申請報