信息安全安全二：CA-RA-LRA信息认证解决方案集

1、PAGE31LARA电子政务是一国的各级政府机关或有关机构借助电子信息技术而进行的政务活动，其实质是通过应用信息技术转变政府传统的集中管理、分层结构运行模式，以适应数字化社会的需要。电子政务主要由政府部门内部的数字化办公、政府部门之间通过计算机网络而进行的信息共享和实时通信、政府部门通过网络与公众进行的双向信息交流三部分组成。由于电子政务具有提高行政效率，节约财政开支，增强政府透明度，拉动信息化投资与消费需求，促进对外开放，促进政府和百姓实时沟通等优点，因此，电子政务得到了各国政府的响应。美国、日本、加拿大、新加坡等国相继实施了电子政务计划，已经取得了很好的效果。我国自1999年实施政府上网计

2、划以来，我国各级政府的电子政务建设发展很快，所有省、市、自治区、直辖市均已有自己的政府网站（包括港澳台地区在内），800多个国家级政府部门申请了域名，在网上可查的各级政府站点达457个，其中最小区划已达区（乡），电子政务应用也已扩展到公文电子化、电子招标与采购、电子福利支付、电子资料库、网上报税、网上报关、电子身份证、电子统计报表报送等领域。电子政务是依赖于计算机和网络技术而存在的，这就意味着电子政务应用不可避免地存在着由Internet的自由、开放所带来的信息安全隐患。这些信息安全隐患主要有：身份认证由于非法用户可以伪造、假冒政府网站、社会团体、企业和个人身份，因此登录到网上政务站点的政府内

3、部人员、社会团体、企业、个人无法知道他们所登录的网站是否是可信的政府网站，政府网站也无法验证登录到网站上的客户是否是经过政府部门认证的合法用户，非法用户可以借机进行破坏。用户名口令的传统认证方式安全性较弱，用户口令易被窃取而导致损失。信息的机密性传输在各政府部门间、政府与企业间、外出的领导与办公室之间的敏感、机密信息和数据有可能在传输过程中被非法用户截取。信息的完整性敏感、机密信息和数据在传输过程中有可能被恶意篡改。信息的不可抵赖性网上行为一旦被否认，政府部门、机构或个人没有已签名的记录来作为仲裁的依据。 为了消除上述安全问题，保障电子政务的顺利实施，北京天威诚信电子商务服务有限公司（iTru

4、schina）推出了基于PKI技术的、易于实施的电子政务安全认证解决方案，向所有参与电子政务活动的客户和电子政务网站提供身份认证，保证了信息传输过程中的信息及密性和完整性，提供数字签名功能保证网上行为的不可抵赖性，最终有效防止各种电子政务安全隐患。此外，天威诚信的电子政务安全认证解决方案还能够实现访问控制、文件加密保存等功能，保证不同的人员在网上应用中具有不同的权限，控制其所浏览的信息，防止政府内部人员窃取企业、个人敏感信息；保证存放在本地计算机上的文件他人无法打开。天威诚信的电子政务安全认证解决方案支持交叉认证，并可以与MS Exchange、Lotus Notes等办公自动化软件无缝集成。

5、网上办公安全方案 积极推进网上办公。有行政审批权的政府部门要进一步扩大网上政务公开的范围，更多地实现网上申报、登记、审批等行政管理工作。要将面向社会的行政审批项目的审批权限、条件、标准、程序、时限等内容全部上网公开，并在网上开展有关的行政审批（包括注册、登记、核查、认证、年检和备案等）。 -北京市人民政府关于加快政务信息化建设的意见 京政发20011号政府部门开展政务信息化，实行网上办公，可以大大简化办事程序、提高办公效率，也增强了政府工作透明度，有助于廉政建设，因此，近年来，国内外的政府机构都在致力于政务信息化建设。但是，基于开放性计算机互联网上的政府网上办公，首要考虑的是网上办公系统的安全

6、性问题，从信息安全角度来看，网上办公需要考虑的安全问题主要有： 身份鉴别：确认系统中用户身份的真实性； 授权控制：根据鉴别的真实身份来确定对其信息资源或应用的访问权限； 机密性：确保信息在存贮和传输中的机密性，不被非授权用户访问； 完整性：确保信息不被非授权用户恶意或无意窜改； 抗否认性：建立责任机制，使任何用户能够对其所进行的操作不可否认。 BJCA安全认证技术可以有效解决网上办公系统的信息安全问题，通过数字证书来进行身份鉴别，结合加密、数字签名等安全技术实现信息的机密性、完整性以及不可否认性。 中关村科技园区海淀园结合BJCA安全技术推出网上办公系统，为园区内的高新技术企业提供入园申请、注

7、册登记、网上报表等服务，园区内的企业通过申请使用BJCA数字证书，可以在网上安全地办理相关事务。 北京市电子政务试点工程中的市级平台和15家试点委办局的网上审批系统建设中，采用了BJCA安全认证技术和单点登录技术，任何单位或个人，通过使用其数字证书在市级平台注册登录一次，就可以安全通行于15家委办局而无需另外注册，实现一次登录、全网通行。 客户链接： 中关村科技园区海淀园管理委员会 北京市电子政务在线服务平台 若您对本方案感兴趣，请与我们业务部门联系。 版权所有 北京数字证书认证中心有限公司 安全eG怎么建：eG安全方案展（ 作者：尧秋根 10:31:56 ） 本文选自：中国计算机报赛迪网电子

8、政务关系到国家安全和政府工作的正常运转，积极采用安全技术、认真研究防范措施、预防病毒感染和黑客入侵等安全问题，是电子政务建设中的关键。 电子政务的安全大部分归属于网络安全，但电子政务的安全又有其特殊性的一面，电子政务为政府、民众服务既要求相当的保密性又要求一定的公开度，这就给电子政务的安全性提出了更高的要求。 我国电子政务的安全现状 从目前已进行的电子政务安全建设的现状来看，我认为还普遍存在以下问题：由于使用物理隔离技术，建立两套网络系统，造成投入巨大；由于部分采用国外技术和产品，构成安全隐患等问题，具体表现为以下三点。目前许多政府机构采用了公开的Internet与内部的Intranet相结合

9、又彼此独立的网络方案。不同系统之间相对隔离的方案要建立两套网络系统，所以投资较大，而Internet部分虽然设有防火墙，但并不能保证100%的安全，而且这种内外分离的做法并不符合电子政务开放性的特点。所以从技术上解决问题才是关键。国内一些单位和机构在实施电子政务的过程中，常常将电子政务方案架建在大量国外技术和产品的基础上，这也给我国信息安全构成极大的威胁。目前各行业各省市的电子政务系统大都是以某一厂家的操作系统与集成技术为基础，形成彼此隔离的信息孤岛式的信息系统，严重影响了电子政务的正常发展。为此，应由政府出面组织协调，在操作系统之上建立全国统一的较高层的包括电子政务在内的信息应用平台，最大限

10、度地实现系统资源共享，解决信息安全的瓶颈问题。 建立安全的电子政务要注意四点 由于电子政务系统的安全隐患主要来自于外部侵入和内部破坏，系统的安全包含技术的安全、法律和制度的保障等，安全建设包括认证体系、信息安全处理体系、信息安全传输等方面，在具体实施中有四点要特别注意。一、可靠的安全保障体系是建设电子政务的必要条件。其中包括：安全策略制定规范、物理层安全建设规范、网络安全规范、信息安全规范、数字证书管理规范、应用系统安全规范、系统管理规范、应急系统构建规范等内容。二、安全与应用要并行。电子政务安全体系的建设非常重要，必须本着安全与应用并行的原则，将安全体系建设纳入电子政务总体规划中进行统一的和

11、宏观上的安排，不能过分强调各部门或业务的独立性。三、信息内容传输要有高度安全性。电子政务系统中的信息比商业信息更为敏感，对信息传输过程的安全性要求特别高。由于电子政务系统服务发布层、内部安全应用层、核心安全应用层等网络之间存在着信息资源、服务对象、数据通信等方面的不同，因此电子政务信息内容有一定的差异，也要采取不同的安全对策。四、要注意操作系统的安全。为保护防火墙自身的安全，要在防火墙的底座架构上采用安全操作系统，在使用中加强认证、加密传输等安全措施。安全操作系统主要通过增强的身份标识与验证、细化的自主访问控制、特权用户职责划分、强制访问控制、审计跟踪以及安全管理等方面措施增强对基本安全功能的

12、支持。由于我国没有掌握CPU等核心技术，被国外所垄断，充分考虑电子政务操作系统的安全性是我国的国情所决定的。 做政务安全要从四方面入手 针对电子政务安全性的上述特点，选择电子政务系统中所使用产品和技术，应该从四个层次考虑。第一，对于核心应用系统和关键政务环节，必须确保在各类实施方案中的技术自主性；第二，对于位于核心层外部，但又与其他外部信息系统（如国际互联网）存在一定可监控的隔绝层的层次，可以尽量采用先进技术以提高系统的效率和可靠性；第三，对于直接与外部信息系统相连的部分，也要针对不同情况分别加以考虑，对于其中安全监控系统，需要在其中的核心部分（如核心加密算法）确保技术自主；第四，其余部分，由

13、于所承载的信息基本都属于非关键信息，并且需要与其他信息系统的接口保持通信协议、数据格式甚至软件体系的一致性，安全问题相对较小。所以，电子政务应用领域中经常会涉及国家机密或国家安全，这类应用最好由国内企业去做，而不应该交给国外企业去做，此领域很多需求非常具有中国特色，如红头文件制度，外国技术和产品很难与之相适应。由于行政事务流程基本上没有标准化，个性化的服务要求很高，需求变动也很频繁，国外技术和产品拿来就能用的可能性不大，国内企业更容易贴近用户，发挥优势；即使有国外的先进技术产品进入此应用领域，他们也需要借助国内企业完成本地化工作并提供本地服务。 电子政务安全方案精选 eTrust三面出击打造安

14、全税务网CA电子税收系统安全解决方案从安全防御、安全访问以及安全管理三个方面入手，利用防火墙保障不同级别系统与外系统互联的安全性；利用内容检测过虑恶意代码；利用CA认证提供身份管理、在线证书管理和目录管理. 中科网威整体布局政务安全中科网威电子政务系统解决方案根据整体性、动态性、经济性、可扩展性和适应性等原则，由“长城”防火墙负责边界防御，在网络出口管理内外网数据交换，关闭不必要的服务；由“天眼”入侵检测系统实现不间断检测. 案例参考 将求职信拒于门外：浙江科技厅防毒系统浙江科技为摆脱病毒的侵袭，选择趋势科技防毒墙系列，在网关设置防毒关卡，拦截从SMTP、HTTP和FTP等Internet管道

15、进入的计算机病毒与恶性程序；桌面防毒集中管理，以最低成本收到佳效果；电子邮件管理系统全面把关电子邮件. Cisco搭建黑龙江电子政府网黑龙江省政府要求省政务信息网络是一个高速宽带网络平台，以在安全的基础上适应不同应用的需要。这就需要建立一个专用公共的网络平台，统一实现纵向网与横向网的信息交互，达到每个政府部门只需建设一个局域网、通过一条通信线路，就能实现全部通信需要。 Cisco搭建黑龙江电子政府网（ 作者：陈文 00:13:00 ） 本文选自：中国计算机报-赛迪网黑龙江省政府要求省政务信息网络是一个高速宽带网络平台，以适应多媒体信息等不同应用的需要，安全保密则是政府信息化建设的核心。其纵横交

16、错的立体网络结构，种类繁多的业务应用（视频会议、IP语音、办公自动化、数据库查询等)，需要建立一个专用公共的网络平台，统一实现纵向网与横向网的信息交互，达到每个政府部门只需建设一个局域网、通过一条通信线路，就能实现全部通信需要。 目前大多数政府部门和企业的网络都建立在帧中继或ATM网络基础上，通过虚电路(VC)连接各个网络节点。对于黑龙江政务信息网络的立体交叉拓扑网络来说，如果想在这种模式中实现最佳路由，any-to-any网状结构，这意味着整个网络需要n*(n-1)/2(n为政府单位的数量)条VC。VC数量的剧增将进一步增加网络和路由的复杂性。同时，正确地设置VC需要了解端到端的业务信息，这

17、使得流量工程也变得更加困难。简单地说，这种模式不适应黑龙江政务信息系统大型拓扑结构的良好扩展性和灵活性。而MPLS-VPN能非常好地满足黑龙江政府信息网络对灵活机动性和any-to-any连接等的广泛需求。 与专线媲美的安全性寻址空间分离：MPLS核心采用“VPN-IPv4地址”路由，通过在IPv4路由上添加一个路由分辨符(RD)，确保在VPN中独一无二的地址在MPLS核心中同样是独一无二的。因此，每个政府部门纵网具有保持自己寻址方案的灵活性和使用公共或专用地址空间的自由。 路由分离：PE路由器为每一个VPN保持一个分离的路由表(VRF)。这些VRF不仅彼此独立，而且与全局路由表独立。即使有两

18、个政府部门的纵向网络使用相同的地址空间，彼此之间也是完全隔离的。 核心隐藏：在MPLS内部连接到VPN的接口是BGP，没有必要透露关于核心的任何信息给用户，即使是对每个政府单位的CE路由器。如果在PE和CE之间使用动态路由协议，CE唯一知道的信息是PE路由器的地址；如果不需要此信息，可以在PE和CE之间配置静态路由，彻底隐藏MPLS核心，正如Cisco在黑龙江政府信息网络中所做的。 Cisco IOS建立端到端的QoS由于政务信息网络业务应用、数据性质的丰富多样，网络必须拥有良好的拥塞控制能力和对不同性质数据流的处理能力。 Cisco IOS增强的QoS功能为设备提供了按优先级处理业务的智能。

19、在黑龙江政务信息网络中，所有的设备均采用统一的IOS操作系统，因此QoS已经不仅仅是一种简单的设备特征，而是整个网络端到端体系结构网管人员能够完全控制网络带宽分配、延迟、抖动和数据包丢弃等。 黑龙江省政府网络拓扑图MPLS核心通过为相应的服务级别专门分配一组标签，显著地减少了QoS的处理工作量，使网络提高效率而不丢失功能。 此外，Cisco MPLS还提供了流量管理机制资源预留路由选择(RRR)。管理人员能够显式配置路由，沿特定的路径发送选择的业务，进行拥塞控制和负载均衡。PKI支撑网络安全 张雪琳、马跃 由于互联网所具有的广泛性和开放性，使其不可避免地存在着信息安全的隐患。人们迫切需要能够对

20、网上传输的数据提供机密性、完整性、有效性保证。为了防范这种隐患，许多新的安全技术和规范不断涌现，PKI便是其中之一。PKI（Public Key Infrastructure，公开密钥基础设施）是一种遵循既定标准的密钥管理平台，它可以为各种网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理，从而达到保证网上传递信息的安全、真实、完整和不可抵赖的目的。PKI可以提供会话保密、认证、完整性、访问控制、源不可否认、目的不可否认、安全通信、密钥恢复和安全时间戳九项信息安全所需要的服务。在这个结构中，公开密钥密码算法居于中心地位，称其为PKI。利用PKI，人们方便地建立和维护一个可信的

21、网络计算环境，无需直接见面就能够确认彼此的身份，安全地进行信息交换。基本组成完整的PKI系统有权威认证机构(CA)、数字证书库、密钥备份及恢复系统、证书撤销系统、应用接口（API）等基本构成部分。权威认证机构CA CA是PKI的核心，主要职责是颁发证书、验证用户身份的真实性。一般情况下，证书必须由一个可信任的第三方权威机构CA认证中心实施数字签名以后才能发布。而获得证书的用户通过对CA的签名进行验证，从而确定了公钥的有效性。数字证书库 数字证书库是证书集中存贮的地方,用户可以从此处获得其他用户可用的证书和公钥信息。数字证书库一般是基于LDAP或是基于系列的，也可以基于其他平台。密钥备份及恢复系

22、统 密钥可能会由于一些原因而使密钥的所有者无法访问。密钥的丢失将导致那些被密钥加过密的数据无法恢复。为避免这种情况的出现,就需要PKI提供密钥备份与恢复的机制。证书撤销处理系统 CA签发证书来把用户的身份和密钥绑定在一起。那么，当用户的身份改变或密钥遭到破坏时，就必须存在一种机制来撤销这种认可。PKI应用接口系统 一个完整的PKI必须提供良好的应用接口系统，以便各种应用都能够以安全、一致、可信的方式与PKI交互，确保所建立起来的网络环境的可信性，降低管理和维护的成本。应用前景IDC调查显示，2003年世界PKI市场将达到13亿美元。而英国市场调查公司Datamonitor对PKI市场的估计则更

23、为乐观，该公司预计包括产品、集成、专业服务、维护和PKI服务在内的PKI市场到2003年将达到35亿美元。由此可以断言，PKI技术正在日趋成熟，其应用已覆盖了安全电子邮件、虚拟专用网络（VPN）、Web交互安全、电子数据交换、Internet上的信用卡交易等，涉及电子商务、电子政务、电子事务安全等诸多领域。美国在2000年就有了全球及全国商业电子签名法。作为美国历史上第一部联邦级的电子签名法，它意味着网上炒股、网上签约、政府网上采购等大宗交易都可以通过电子签名来完成，而不再需要传统的纸笔签名。德国、日本、新加坡和韩国等国家也已经相继通过电子签名法。随着Internet应用的不断普及和深入，政府

24、部门将利用PKI来支持管理；商业企业内部、企业与企业之间、区域性服务网络、电子商务网站将使用PKI的技术和解决方案。在不久的将来，政府以及大企业将会建立自己的PKI平台，而中小企业以及个人则会需要社会提供的商业性PKI服务，PKI的市场需求是非常巨大的。许多PKI新技术都在不断地涌现，CA之间的信任模型、使用的加解密算法、密钥管理的方案等也在不断地变化之中。网络，特别是Internet网络的安全应用离不开 PKI技术的支持。网络应用中的机密性、真实性、完整性、不可否认性和存取控制等安全需求，只有PKI技术才能满足。作为一个网络发展大国，我国的PKI市场方兴未艾，未来必将大有可为。相关链接Mic

25、rosoftWindows 2000 Server包括一个标准的PKI，用户可以将一个集成的PKI配置成他们服务器和桌面基础结构的一部分，并可以通过采用管理其它Windows 2000安全特性同样的方式来管理它。SunSolaris操作系统集成了PKI服务。由于Solaris支持LDAP，第三方的PKI产品也能和该操作系统集成。同时，Solaris的PKI服务还将支持用于认证的智能卡。CAeTrust PKI 20是一个全面的安全解决方案，它能帮助企业部署PKI这一构成安全电子商务的重要组件。通过简化PKI的实施，eTrust PKI可以降低使用和管理电子证书的成本，同时加速基于PKI的电子商

26、务交易的激活和终止。RSA SecurityRSA Keon 系列 PKI 产品是在当今主要的电子邮件、Web浏览器、Web服务器和VPN应用程序中实现、管理和简化公开密钥身份验证和加密安全性的解决方案。VeriSignVeriSign Document Signer for Acrobat 50使用数字签名技术保障Acrobat文档的安全，用户可以通过在PDF文件上进行数字签名通过 VeriSign Global Trust Network来保障其互操作性。Entrust Entrust Web Portal Solutions是Web门户站点解决方案，它涵盖了一个Web门户站点的许多安全性

27、需求，从登录和访问控制要求到为具有法律约束力的高额交易提供保密和数字签名。 安全、可靠、可管理的电子政务方案（ 作者：深圳华为技术有限公司 09:13:42 ） 本文选自：赛迪网21世纪，是知识经济的时代，信息化程度的高低已经成为一个国家现代化水平和综合国力的重要标志。从世界范围来看，推进政府部门办公自动化、网络化、电子化，全面信息共享已是大势所趋。 推动电子政务的核心是建设电子政务网络。电子政务网络实质上是政府上网全面启动前期构建的一个电子政务平台，该平台利用信息网络和通信技术,有效地实现行政、服务及内部管理等职能，在政府、社会和公众之间有机服务系统的集合。同时网络的建设将推动和加速政府的信

28、息化发展。华为公司利用自身完备的技术及市场平台在提供卓越的产品、完整的产品线的同时，提出了构建安全、可靠、可管理的电子政务网络平台的理念，并推出其全方位构建电子政务网络平台的系列产品及其解决方案。 电子政务应用平台建设的主要目标电子政务系统的建设目标是，建立一个开放的、基于标准的电子政务统一应用平台，实现信息交换和资源共享，面向公众提供服务，增强各部门工作的透明度。分别支持数据、语音和视频业务，运行各部门的业务系统，实现各网间的信息交换和资源共享，同时建立完善的信息安全体系和相应的备份系统。 华为电子政务网络解决方案电子政务网由核心政务网(涉密网)，政务专网和政府公众信息网(外网)构成（如图所

29、示），核心政务网(涉密网)与其它网络之间物理断开，政务专网与外网之间物理隔离；支持数据，语音和视频业务，承担相应的业务系统运行和信息交换，配备完善是网络管理和认证授权等功能，作为跨部门，跨地区业务系统的互联和资源共享的网络基础发挥作用。为保证多种基于宽带的服务和新型IP技术服务，本方案还将从多种业务服务的角度出发，建立多层次的服务业务平台。具体介绍如下： 一、核心网解决方案 根据网络建设目标，核心网互联支撑网络组成部分如下图 图中核心网广域网和各市(地)、县城域网(没有条件的县可以不建设城域网，各县级单位的局域网通过广域网互联)，是核心政务网的运行支撑网，需统一规划构建；而各厅局、单位局域网则

30、可在统一标准的基础上分布构建。为使核心网网络构建及维护简单、层次清晰，对于核心网统一构建运行部分，其层次结构分为核心网广域网、城域网、局域网。 核心网的网络系统有其自身的显著特点，如网络规模较大，设备类型和所提供服务复杂，网络的可用性要求高等等。因此核心网用户对其网络管理系统也有很高的要求，不但要求能管理网络中的所有设备、服务，还要符合电信标准并能适应其网络规模，并提供极高的系统和管理稳定性。 针对核心网用户的上述网络管理需求，管理系统在管理特性上具有下列特点：基于公共的管理框架；模块化设计；高系统强壮性；优秀的规模可扩展性；高容错性；支持多种网络和设备管理标准；在网络层支持SNMPv3管理标

31、准；提供安全认证和用户分权的管理机制。 核心网网络设备选择要求具有先进性、可扩展性、可管理性等优点。既考虑当前的需求由能为网络将来的扩展做好准备。 二、政务专网解决方案 政务专网涉及的问题较核心网(涉密网)更为复杂，涉及语音业务，视频业务，IP地址冲突，VPN私网，Internet出口(通过外网)等问题。华为电子政务专网解决方案的设计思想如下： 1.利用MPLS技术，在政务专网的网络平台上为各个机关部门提供虚拟专用网(VPN)服务。 2利用宽带IP技术，实现网络对语音和视频业务的良好支持。 3利用有效的网络管理平台，保证网络运行可靠，并为接入单位提供多业务服务。 根据以上政务专网设计思想及应用

32、需求，鉴于各部门的特殊安全性要求，在总体建设上采用业务与网络分层构建、逐层保护的指导原则，在逻辑层次及业务上，核心网的构建实施如下分配： 三、三网融合的解决方案 电子政务的基础网络是由包括交换机、路由器、IP语音设备、视频设备等多种设备组合在一起形成的综合网络平台。一体化端到端的综合解决方案能够为电子政务网络的规划、建设、维护以及升级提供便利的运行、管理基础。 具体建设中，语音网应全网互通，全网语音设备网关、网守、软交换中心等设置为统一的VPN组成员，实现互通。视频则需按照各系统的互通需求，有选择的安排互通；对无需互通的系统，可以将相应视频设备直接与各系统数据位于相同的VPN组；对需互通的视频

33、设备，建议设置单独的VPN组。 三网融合业务特性QoS策略政务信息网络的各类数据、语音、图象的数据量会随着业务系统的应用范围扩大而急剧增长，所以需要引入QoS策略。 MPLS VPN可以直接利用MPLS的流量工程和QoS能力。对于具有不同的QoS要求的业务，可以使用不同的技术组合来提供实现。比如，对于没有特别服务质量要求的业务，可以使用MPLS中的DIFSERV技术；对于严格的业务参数要求的业务则可以合用MPLS中的INTSERV技术。 三网融合业务特性IP组播技术IP组播路由技术实现了IP网络中点到多点的高效数据传送。由于能够有效的节约网络带宽、降低网络负载，IP组播路由技术在资源发现、多媒

34、体会议、数据拷贝、实时数据传送、游戏和仿真等诸多方面都有广泛应用。IP组播技术需要支持PIM-SM、PIM-DM、IGMPv1、IGMPv2等协议。 四、外网解决方案 外网上将建有面向公共服务的信息发布平台(政府网站)；建立连接Internet的电子邮件服务。各类服务器分别提供Web服务、数据库服务、全文检索、域名和邮件服务、代理等服务。 外网与政务专网是物理隔离的，所以在网络的结构上有一套独立的网络体系结构：外网(政府公众信息网)首先是一个局域网，作为Internet浏览和对外信息发布的平台，外网在结构上相对简单，通过物理隔离设备和防火墙与政务专网连接，通过路由交换设备与Internet连接

35、；政务专网则承担了电子政务主要业务和办公的网络。 外网涉及到的网络设备比较简单，包含核心交换机、汇聚交换机、出口路由器以及防火墙等设备。在网络安全性上，则根据不同部门划分出不同的VLAN对不同的部门进行隔离；对于有的VLAN之间的交互，则通过在中心交换机做路由来保证VLAN之间的互通。 外网主要用于访问Internet，因此需要在局域网对外的出口处设置一台路由器作为网关，考虑到随着党政业务的发展，外网与Internet的交互将会不断增多，对于作为网关的路由器的处理性能也就会不断提升，因此建议采用高端路由器作为对外接入路由器。 外网的访问首要考虑的是如何保证局域网的安全性，访问控制列表（ACL）

36、或者地址转换（NAT）等功能特性来保证网络的安全，ACL可以通过对进出路由器的数据包按照IP地址、端口号和协议进行过滤以保证网络的安全，NAT则可以用来实现私有网络地址与公有网络地址之间的转换。地址转换的优点在于屏蔽了内部网络的实际地址，外部网络基本不可能穿过地址转换层直接访问内部网络。地址转换能够将网内用户发出的报文的源地址全部映射成一个接口的地址。地址转换与按需拨号相结合，使局域网内用户通过路由器轻松上网的同时保证内部网络的安全性。另外随着网络的发展还可以在出口处增加一台硬件防火墙来充分保证网络的安全。对于网络来说，目前的病毒种类层出不穷，种类繁多，因此在局域网内部使用防病毒软件如病毒防火

37、墙、在计算机上安装杀毒软件等以保证网络不受病毒的侵害。 总之，华为电子政务网络解决方案由核心政务网、政务专网和政府公众信息网共同组成。以华为的网络产品、视讯产品、业务网关和呼叫中心为基础，华为提供了包括电子政务内外网络平台、视频会议、IP语音电话系统、电子政府服务业务等在内的一系列解决方案，为国内的电子政务建设提供了全面支持。在安全性方面，华为的解决方案中采用了物理隔离、MPLS VPN等技术；在可靠性、扩展性上，华为的系列解决方案强调网络结构清楚、网络运行速度加快、网络可靠性增加、扩展性强；另外，华为提供的所有解决方案都提供了丰富的管理功能和方便好用的管理工具，大大增加了网络的可管理性。 华

38、为推出的安全、可靠、可管理的电子政务网络平台解决方案很好地满足了当前国内电子政务建设过程中的需求。 HYPERLINK t _blank 信息化动态 一切尽在掌握数据中心安全防护解决方案（ 作者：佚名 10:44:24 ） 本文选自：中国计算机报作为向用户提供网络资源、服务器和主机专业化托管、宽带接入等多项网络应用增值服务的数据中心，是信息交换中心枢纽，并且也是安全事件的多发地带，其系统安全的防护必然是各项工作的重中之重。 首先，保证数据中心运营体系的网络安全是奠定自身稳定高质量服务的首要前提，同时这也是数据中心得以顺利发展的基础；其次，数据中心的安全关系着所有客户的网络安全，如果数据中心存在

39、安全隐患，那么将对客户造成非常大的安全威胁。因此，确保数据中心的网络安全势在必行。 世纪互联作为国内唯一通过ISO9002认证的数据中心服务提供商，国内电信级独立商业数据中心，同时也是首批经过国信安办审核的安全服务试点单位之一，凭借精湛的技术队伍和丰富的网络安全经验，铸就了其数据中心高效严密的安全防护体系。 数据中心的安全隐患分析数据中心的网络结构具备骨干网、网络管理系统、网络服务系统、远程接入系统和客户托管系统五大部分。其常见逻辑结构如下图所示。 数据中心网络逻辑结构图鉴于数据中心网络体系的各个层面都有可能面临安全风险，因此，世纪互联将数据中心的安全目标分为两大部分：一是保证骨干网络和支持系

40、统（包括网络管理系统、网络服务系统、远程接入系统）的安全稳定运行；二是确保客户网络系统的稳定运行以及维护客户信息的安全，力求从各个层面消除安全隐患，极大限度保护整个网络体系的安全。 数据中心的安全措施根据数据中心的网络结构和可能出现的安全隐患，世纪互联制定的数据中心安全措施，包括技术手段和安全管理规范两大部分： 物理安全采用生物识别技术，结合门禁系统，进行严格的身份控制，对不同的功能区和不同的客户系统进行物理隔离，同时加以严格的管理制度；对环境（温度、湿度）进行严格的指标限制，有完善的环境控制系统；配备极早期火灾报警系统和消防系统。 核心骨干网络的安全网络设计中要充分考虑到链路的冗余备份，主要

41、设备的双机热备进行路由备份，其路由协议考虑使用两种协议互为备份，分布层和核心层路由配置考虑双路由备份；保护网络节点的自身安全，路由器、交换机必须做安全配置；解决网络节点管理中的安全问题。 管理网络系统的安全隔离管理网络与其它网络系统，采用防火墙进行访问控制；服务器系统进行全面的系统优化配置，以消除安全隐患；采用IDS技术进行入侵监控；针对具体应用进行安全优化；管理信息的传输采用加密通道；数据库信息和相关重要信息进行备份。 网络服务系统的安全网络服务系统与其他网络系统隔离，采用防火墙进行访问控制；服务器系统进行全面的系统安全优化，消除安全隐患；采用IDS技术进行入侵监控；对发布服务器的远程访问进

42、行严格的限制，使用双因子认证机制；使用DNS服务器达到负载均衡；E-Mail服务器、文件服务器采用防病毒技术；应用服务器进行相应应用安全优化。 托管客户系统的安全优化实施防火墙技术控制对客户网络系统的访问；系统安全优化技术对客户的路由/交换/服务器系统进行全面的安全评估和安全优化；IDS技术对客户系统进行全面的入侵监控；提供安全紧急响应；提供防病毒措施；提供VPN，保证客户网络维护和异地数据传输的安全；提供数据备份。 管理措施完善机房出入管理制度，包括对内部人员的权限管理，外部客户和参观人员的出入管理、制定网络运营规范，包括设备访问权限设置、安全事故分级和汇报制度、安全紧急事件响应流程和处理规

43、范；实行对客户的安全服务规范，包括安全服务内容、服务流程、服务品质保证（SLA）。 实施效果通过全方位实施网络安全解决方案，世纪互联构筑出一个结合优质安全产品和动态人员管理的安全服务体系，不仅有效地保障了整个数据中心的网络安全，同时也成功地为多个行业的用户提供专业高效的一站式网络安全解决方案，奠定了世纪互联在业界的坚实地位。基于PKI的CA认证 上海CA中心高级工程师陈荦祺 PKI是以密码学为基础的。在公钥密码学中，通过使用一对密钥（公钥和私钥），再采用一些数学上的加解密算法，就可以很好地进行安全的数据传输。公钥密码学在PKI中的两个最基本的典型应用就是加密与数字签名。PKI需要建立一个信任关

44、系。通常需要建立一个受信任的机构，为体系中其他实体产生、分发、更新、撤销证书（公私钥对）。其他实体通过信任此机构，来互相信任。证书是PKI的一种密钥管理媒介。它是一种权威性的电子文档，形同网络计算环境中的一种身份证，用于证明某一主体（如人、服务器等）的身份以及其公开密钥的合法性。PKI有以下五个基本组成部分： 1认证机构（CA）CA(CertificateAuthority)是受信任的证书的签发机构，是PKI体系的核心。CA负责为PKI体系中所有的实体发放证书，更新证书，废除发放的证书。 2证书库集中了CA发布的所有证书。提供方便，高效的证书查询功能。方便用户查找其他用户的证书。通常采用支持L

45、DAP协议的目录服务系统来发布证书。 3密钥备份及恢复系统对于由CA代为生成的密钥对，可以在用户授权的情况下为用户备份密钥。在用户证书损坏或遗失时，可以给用户恢复密钥。密钥备份与恢复应该只针对解密密钥，而不能用在签名密钥。 4证书作废处理系统在用户证书遗失，泄密等情况下，需要证书作废系统及时把证书作废信息发布出去，把用户的损失减到最小。一般CA通过发布证书废除列表（CRL）来发布作废信息。CRL是由CA签名的一组电子文档，包括了被废除证书的唯一标识（证书序列号）。 5应用接口系统PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的PKI必须提供良好的应用接口系统，使得各

46、种各样的应用能够以安全、一致、可信的方式与PKI交互，确保所建立起来的网络环境的可信性，同时降低管理维护成本。PKI应用接口系统应该是跨平台的。 协卡认证体系 1协卡认证体系结构及各模块职能 根CA职能： 发布证书策略； 对下属CA进行身份认证和鉴别； 产生和管理下属CA证书； 发布自身证书； 废除它所签发的证书； 为它所签发的证书产生CRL； 保存证书，CRL，审计信息，和它所签发的政策； 发布它所签发的证书和CRL； 密钥安全生成及管理； 实现交叉认证； 各级子CA职能： 发布本地CA对根CA政策的增补部分； 对下属CA及直属RA等成员进行身份认证和鉴别； 产生和管理下属证书； 发布自身证

47、书； 证实RA的证书申请请求； 向RA返回证书制作的确认信息或已制定好的证书； 接收和认证对它所签发的证书的作废申请请求； 为它所签发的证书产生CRL； 保存证书、CRL、审计信息和它所签发的政策； 发布它所签发的证书和CRL； 密钥安全生成及管理； 实现交叉认证； RA职能： 自身密钥的管理（更新、保存、使用、销毁等）； 审核用户信息; 登记黑名单; 受理点的全面管理； 接收并处理来自受理点的各种请求； 受理点职能： 受理用户的证书申请及废除请求； 录入用户的证书申请及废除请求； 审核用户的证书申请及废除请求资料; 对用户的证书申请及废除请求进行批准或否决; 提供证书制作。 2协卡认证体系（

48、）各中心的功能 协卡认证体系各中心现在提供个人身份证书，个人email证书，个人代码签名证书，企业身份证书，企业email证书，企业代码签名证书，服务器身份证书，WebServer证书，SET证书等各种类型的证书。证书存储介质支持软盘，IC卡、USB棒、加密卡、加密机等。 提供证书废除功能，并通过CRL、OCSP等方式对外发布已被作废的证书。 支持用户自己用即将过期的证书更新成新的证书。 完善的密钥产生、备份、恢复、管理系统。严格保证产生密钥的质量，保证密钥从协卡到用户手中前的安全。在需要的时候提供密钥恢复。 强大，易用的用户端证书管理工具。 对交易数据的举证功能。在交易中保存原始的经签名的数

49、据，一旦产生纠纷，可以通过向CA中心提交相关数据，由CA中心负责验证，并出据相关证明。 企业CA方案。SHECA提供的企业CA系统是针对企业用户开发的，具有低成本，运行管理简便，高效率，高安全的特点。企业既可以选择成为协卡认证体系的一部分，保证签发的证书在体系内的通用性，也可以选择成为独立的CA系统，在企业范围内使用证书服务。 今天，网络已经成为我们日常生活的一部分，电子商务、电子政务、网上银行、网上炒股等，这些活动的顺利进行都依赖于安全的网络基础设施，而PKI（公开密钥基础设施）就是构建网络安全和信任的基础设施。本期专题从PKI的实际应用出发，讨论我国PKI系统建设目前存在的主要问题，探索解

50、决问题的方法和途径，同时还介绍了一些成功的PKI/CA应用案例。PKI应用体系架构 中国PKI论坛 关振胜 由于电子商务、电子政务、网上银行、网上证券等金融业网上交易业务的飞速发展，网络安全，特别是互联网通信的安全性令人瞩目。为此，越来越多的安全协议如SSL、SET、S/MIME 等得到了广泛的应用。但是，最新发展起来的网络安全技术和安全服务规范却是公钥基础设施PKI（Public key Infrastructure）。 应用架构 一个标准的PKI域必须具备以下主要内容。 1 认证机构CA（Certificate Authority） CA是PKI的核心执行机构，是PKI的主要组成部分，业界

51、人士通常称它为认证中心。从广义上讲，认证中心还应该包括证书申请注册机构RA（Registration Authority），它是数字证书的申请注册、证书签发和管理机构。图1是中国金融CA和RA结构图。 CA的主要职责包括： 验证并标识证书申请者的身份。对证书申请者的信用度、申请证书的目的、身份的真实可靠性等问题进行审查，确保证书与身份绑定的正确性。 确保CA用于签名证书的非对称密钥的质量和安全性。为了防止被破译，CA用于签名的私钥长度必须足够长并且私钥必须由硬件卡产生，私钥不出卡。 管理证书信息资料。管理证书序号和CA标识，确保证书主体标识的惟一性，防止证书主体名字的重复。在证书使用中确定并检

52、查证书的有效期，保证不使用过期或已作废的证书，确保网上交易的安全。发布和维护作废证书列表（CRL），因某种原因证书要作废，就必须将其作为“黑名单”发布在证书作废列表中，以供交易时在线查询，防止交易风险。对已签发证书的使用全过程进行监视跟踪，作全程日志记录，以备发生交易争端时，提供公正依据，参与仲裁。 由此可见，CA是保证电子商务、电子政务、网上银行、网上证券等交易的权威性、可信任性和公正性的第三方机构。 2 证书和证书库 证书是数字证书或电子证书的简称，它符合标准，是网上实体身份的证明。证书是由具备权威性、可信任性和公正性的第三方机构签发的，因此，它是权威性的电子文档。 证书库是CA颁发证书和

53、撤消证书的集中存放地，它像网上的“白页”一样，是网上的公共信息库，可供公众进行开放式查询。一般来说，查询的目的有两个：其一是想得到与之通信实体的公钥;其二是要验证通信对方的证书是否已进入 “黑名单”。证书库支持分布式存放，即可以采用数据库镜像技术，将CA签发的证书中与本组织有关的证书和证书撤消列表存放到本地，以提高证书的查询效率，减少向总目录查询的瓶颈。 3 密钥备份及恢复 密钥备份及恢复是密钥管理的主要内容，用户由于某些原因将解密数据的密钥丢失，从而使已被加密的密文无法解开。为避免这种情况的发生，PKI提供了密钥备份与密钥恢复机制：当用户证书生成时，加密密钥即被CA备份存储；当需要恢复时，用

54、户只需向CA提出申请，CA就会为用户自动进行恢复。 4 密钥和证书的更新 一个证书的有效期是有限的，这种规定在理论上是基于当前非对称算法和密钥长度的可破译性分析；在实际应用中是由于长期使用同一个密钥有被破译的危险，因此，为了保证安全，证书和密钥必须有一定的更换频度。为此，PKI对已发的证书必须有一个更换措施，这个过程称为“密钥更新或证书更新”。 证书更新一般由PKI系统自动完成，不需要用户干预。即在用户使用证书的过程中，PKI也会自动到目录服务器中检查证书的有效期，当有效期结束之前，PKI/CA会自动启动更新程序，生成一个新证书来代替旧证书。 5.证书历史档案 从以上密钥更新的过程，我们不难看

55、出，经过一段时间后，每一个用户都会形成多个旧证书和至少一个当前新证书。这一系列旧证书和相应的私钥就组成了用户密钥和证书的历史档案。 记录整个密钥历史是非常重要的。例如，某用户几年前用自己的公钥加密的数据或者其他人用自己的公钥加密的数据无法用现在的私钥解密，那么该用户就必须从他的密钥历史档案中，查找到几年前的私钥来解密数据。 6.客户端软件 为方便客户操作，解决PKI的应用问题，在客户装有客户端软件，以实现数字签名、加密传输数据等功能。此外，客户端软件还负责在认证过程中，查询证书和相关证书的撤消信息以及进行证书路径处理、对特定文档提供时间戳请求等。 7.交叉认证 交叉认证就是多个PKI域之间实现

56、互操作。交叉认证实现的方法有多种：一种方法是桥接CA，即用一个第三方CA作为桥，将多个CA连接起来，成为一个可信任的统一体；另一种方法是多个CA的根CA（RCA）互相签发根证书，这样当不同PKI域中的终端用户沿着不同的认证链检验认证到根时，就能达到互相信任的目的。 PKI服务 PKI作为安全基础设施，能为不同的用户按不同安全需求提供多种安全服务。这些服务主要包括认证、数据完整性、数据保密性、不可否认性、公正及时间戳服务。 1 认证 认证服务即身份识别与鉴别，就是确认实体即为自己所声明的实体，鉴别身份的真伪。我们以甲乙双方的认证为例:甲首先要验证乙的证书的真伪，当乙在网上将证书传送给甲时，甲首先

57、要用CA的公钥解开证书上CA的数字签名，如果签名通过验证，则证明乙持有的证书是真的;接着甲还要验证乙身份的真伪，乙可以将自己的口令用自己的私钥进行数字签名传送给甲，甲已经从乙的证书中或从证书库中查得了乙的公钥，甲就可以用乙的公钥来验证乙的数字签名。如果该签名通过验证，乙在网上的身份就确凿无疑（图2）。 2 数据完整性服务 数据完整性服务就是确认数据没有被修改。实现数据完整性服务的主要方法是数字签名，它既可以提供实体认证，又可以保障被签名数据的完整性，这是由密码哈希算法和签名算法提供的保证。哈希算法的特点是输入数据的任何变化都会引起输出数据不可预测的极大变化，而签名是用自己的私钥将该哈希值进行加

58、密，然后与数据一道传送给接受方。如果敏感数据在传输和处理过程中被篡改，接受方就不会收到完整的数据签名，验证就会失败。反之，如果签名通过了验证，就证明接收方收到的是未经修改的完整数据。 3 数据保密性服务 PKI的保密性服务采用了“数字信封”机制，即发送方先产生一个对称密钥，并用该对称密钥加密敏感数据。同时，发送方还用接收方的公钥加密对称密钥，就像把它装入一个“数字信封”。然后，把被加密的对称密钥（“数字信封”）和被加密的敏感数据一起传送给接收方。接收方用自己的私钥拆开“数字信封”，并得到对称密钥，再用对称密钥解开被加密的敏感数据。 4 不可否认性服务 不可否认性服务是指从技术上保证实体对其行为

59、的认可。在这中间，人们更关注的是数据来源的不可否认性、接收的不可否认性以及接收后的不可否认性。此外还有传输的不可否认性、创建的不可否认性和同意的不可否认性。 5 公证服务 PKI中的公证服务与一般社会公证人提供的服务有所不同，PKI中支持的公证服务是指“数据认证”，也就是说，公证人要证明的是数据的有效性和正确性，这种公证取决于数据验证的方式。例如，在PKI 中被验证的数据是基于哈希值的数字签名、公钥在数学上的正确性和签名私钥的合法性。 应用模式 上述PKI提供的安全服务恰好能满足电子商务、电子政务、网上银行、网上证券等金融业交易的安全需求，是确保这些活动顺利进行必备的安全措施，没有这些安全服务

60、，电子商务、电子政务、网上银行、网上证券等都无法正常运作。 模式1：电子商务应用 电子商务的参与方一般包括买方、卖方、银行和作为中介的电子交易市场。买方通过自己的浏览器上网，登录到电子交易市场的Web服务器并寻找卖方。当买方登录服务器时，互相之间需要验证对方的证书以确认其身份，这被称为双向认证。 在双方身份被互相确认以后，建立起安全通道，并进行讨价还价，之后向商场提交订单。订单里有两种信息:一部分是订货信息，包括商品名称和价格；另一部分是提交银行的支付信息，包括金额和支付账号。买方对这两种信息进行“双重数字签名”，分别用商场和银行的证书公钥加密上述信息。当商场收到这些交易信息后，留下订货单信息