芜湖市财政身份认证与授权管理系统国产密码算法升级项目单

1、 芜湖市财政身份认证与授权管理系统国 产密码算法升级项目单一来源采购需求一 、项目提出的背景和依据2015年，芜湖市财政局按照财政部及省财政厅的要求， 在财政业 务专网内建设了一套身份认证与授权管理系统， 该系统采用国际通用 密码算法。财政身份认证与授权管理系统作为财政业务系统安全的重 要保障手段，再财政系统得到广泛应用，截止目前，全市财政业务专 网身份认证系统发证超过 1131 张左右，覆盖全市各级财政部门、预 算单位、 代理银行等部门。 通过财政身份认证与授权管理系统的建设 以及证书的签发和应用， 不仅保证了财政主要业务系统中用户的强身 份鉴别，同时对业务系统关键、敏感操作提供抗抵赖功能，

2、并对重要 数据进行了加密及完整性保护，有效提高了应用的安全水平。2017年，省财政厅信息化工作领导小组办公室下发了 安徽省财 政厅信息化工作领导小组办公室转发财政部信息网络中心关于开展 地方财政身份认证与授权管理系统国产密码算法升级工作的通知 （财信办【 2017】12 号）文件，要求切实做好我市财政身份认证与授 权管理系统国产密码算法升级工作。 身份认证与授权管理系统作为财 政的重要安全基础设施， 其安全性关系到财政资金安全， 国产密码算 法升级对提升财政系统网络安全具有实际意义。 为满足国家相关政策 要求以及财政业务安全的实际需要， 芜湖市财政局信息中心启动了对 现有身份认证与授权管理系统

3、国产密码算法升级改造工作。二、现有信息系统装备和信息化应用状况2015年，芜湖市财政局按照财政部及省财政厅的要求， 在财政业 务专网内建设了一套身份认证与授权管理系统， 该系统采用国际通用 密码算法。身份认证与授权管理系统作为财政的重要安全基础设施， 其安全性关系到财政资金安全， 国产密码算法升级对提升财政系统网 络安全具有实际意义。 为满足国家相关政策要求以及财政业务安全的 实际需要，芜湖市财政局信息中心启动了对现有身份认证与授权管理 系统国产密码算法升级改造工作。三、项目建设的意义和必要性1、国家政策要求2010年，国家密码管理局为满足新形势下提高网络信任体系安全 性的应用需求，公开发布了

4、 SM2 椭圆曲线公钥密码算法，并于 2011 年 2 月下发 关于做好公钥密码算法升级工作的函， 2015年，中央 办公厅、国务院办公厅下发国产密码算法升级和应用的相关文件， 要 求已配备使用商用密码的部门组织落实本单位身份认证与授权管理 系统支持国产密码算法的升级工作。2、系统安全需求目前财政身份认证与授权管理系统采用国际采用了国际通用的 RSA算法，但近年来随着“ RSA 后门事件”的不断被披露，基于其算 法的应用暴露出安全隐患， 考虑到目前网络安全的严峻形势以及财政 信息网络应用资源的重要性， 财政身份认证与授权管理系统作为财政信息网络的重要安全基础设施，须及时对其进行改造、 升级，采

5、用安 全、可靠、受控的国产密码算法，确保财政应用信息资源安全。四、需求分析 本次项目是将原有的财政身份认证与授权管理系统软硬件升级 到支持国产密码算法， 完成财政身份认证与授权管理系统核心组件的 整体升级，达到国家主管部门要求。 同时遵照 关于开展地方财政身 份认证与授权管理系统国产密码算法升级工作的通知 （财信【 2017】 17）的要求，实施部署的主要基础平台产品和安全产品要求全部国产 化产品，包括加密机、操作系统、数据库等。五、项目建设目标 本次国密算法升级的主要目标是： 将现有的财政身份认证与授权 管理系统、 USB KEY 等升级到支持国产密码算法的软硬件产品，完 成财政身份认证与授

6、权管理系统核心组件的整体升级， 达到国家主管 部门要求。通过升级，进一步优化设备配置和性能，提高系统的健壮 性，强化管理能力，提升系统整体的安全性、稳定性。同时，为财政 业务应用系统推广国产密码算法奠定基础。六、建设原则1、国产化原则国密算法升级在实现身份认证与授权管理系统算法国产化的同 时，服务器、操作系统、数据库等基础软硬件环境也要同步使用国产 化产品。2、可靠性原则为保证财政身份认证与授权管理系统的安全稳定运行， 新建身份 认证与授权管理系统采取关键部件冗余、 集群策略等多种措施， 确保 系统运行更加稳定可靠。3、延续性原则升级后的身份认证与授权管理系统沿用原有网络和安全体系机 构，用户

7、无需改变使用习惯，现有应用无需改动，可继续使用身份认 证与授权管理系统相关功能， 新建身份认证与授权管理系统在一段时 间内确保兼容原有的身份认证与授权管理系统。4、扩展性原则升级后的身份认证与授权管理系统不仅要求满足现阶段的业务 需求，而且能够满足未来业务的增长需求。随着业务系统规模扩大， 网络、服务器、存储等系统基础环境能灵活扩展。七、相关依据身份认证系统国产密码算法升级工作应遵循以下国家标准和规范：GM/T 0034-2014基于 SM2 密码算法的证书认证系统密码及 其相关安全技术规范GM/T 0002-2012 SM4 分组密码算法GM/T 0003-2012SM2 椭圆曲线公钥密码算

8、法GM/T 0004-2012 SM3 密码杂凑算法 GM/T 0006-2012 密码应用标识规范GM/T 0009-2012SM2 密码算法使用规范GM/T 0010-2012SM2 密码算法加密签名消息语法规范GM/T 0014-2012数字证书认证系统密码协议规范GM/T 0015-2012 基于 SM2 密码算法的数字证书格式规范GM/T 0016-2012智能密码钥匙密码应用接口规范GM/T 0017-2012 智能密码钥匙密码应用接口数据格式规范GM/T 0018-2012密码设备应用接口规范GM/T 0019-2012通用密码服务接口规范GM/T 0027-2014智能密码钥匙

9、技术规范GM/T 0030-2014服务器密码技术规范同时，身份认证系统国产密码算法升级工作应遵循财政部近期修订并即将颁发的以下财政相关标准和规范：财政信息系统安全应用接口标准财政身份认证与授权管理系统-系统建设标准财政省的认证与授权管理系统-目录服务建设标准财政省的认证与授权管理系统-应用开发接口标准财政省的认证与授权管理系统-授权策略标准财政省的认证与授权管理系统-数字证书格式标准财政省的认证与授权管理系统 -系统命名标准 财政省的认证与授权管理系统-应用系统分类编码标准财政省的认证与授权管理系统-用户机构编码标准财政省的认证与授权管理系统-职称编码标准财政省的认证与授权管理系统-职级编码

10、标准财政省的认证与授权管理系统-职务编码标准财政省的认证与授权管理系统-属性证书格式标准财政省的认证与授权管理系统-数字证书管理规范财政省的认证与授权管理系统-应用系统接入规范财政省的认证与授权管理系统-运行管理规范、建设内容与系统框架将现有的财政身份认证与授权管理系统、 USB KEY 等升级到支 持国产密码算法的软硬件产品。 同时为保证财政身份认证与授权管理 系统连续、稳定运行，在系统升级过程中，新系统对外提供服务的端 口、地址和原有系统要保持一致，实现无缝网络连接。1、 系统架构 2、 网络结构 3、 系统流程图 九、升级工作内容1、部署支持双算法的身份认证模块和最新版本的授权管理模块，

11、 原有服务器可利旧，也可新购服务器部署。2、部署证书综合管理系统，通过数据迁移工具将已有的 LRA 系 统里的数据， 迁移至证书综合管理系统。 证书的所有业务操作均在证 书综合管理系统中进行，可实现对证书发放各环节进行统一管理。3、已接入 CA 的应用系统均需要严格按照最新发布的财政信 息系统安全应用接口标准、财政身份认证与授权管理系统 -应用 系统接入规范进行接口替换、安全改造。4、后续新采购的 USB KEY 需要同时支持双算法。 国密算法没有 完全取代国际通用算法之前， 需要在 USB KEY 中植入两套算法证书， 在使用过程中自动适配使用哪类证书。之前已经发放的 USB KEY， 可在

12、证书到期后进行更换。5、身份认证系统软件部署基础软硬件平台建设完成后， 部署同时支持老算法和国产密码算 法的身份认证模块， 并保持原有的国际通用算法根密钥不变； 新部署 同时支持国际通用算法和国产密码算法的应用安全组件， 包括身份认 证网关和数字签名服务器（带时间戳功能）；部署最新版本的授权管 理模块和安全审计模块。6、数据迁移把原身份认证系统中的用户数据、 密钥数据平滑迁移到新建的身 份认证系统中，使得新系统既可以管理原有的国际通用算法的证书又 可以支持国产密码算法的证书。 身份认证模块的数据迁移采用将原有 系统的数据完全迁移到新系统中的方式实现； 身份认证系统安全组件 的数据迁移采用将原有

13、应用安全组件的配置复制到新组件上的方式 实现；授权管理模块和安全审计模块的数据迁移采用将原有老系统的 配置导入到新系统中的方式实现。 数据迁移后进行身份认证系统各组 件及其它相关测试， 主要测试数据迁移后是否一致， 系统的各项功能 是否正常。7、系统割接及验证在完成数据迁移工作、 相关的测试验证工作、 系统割接上线准备 工作后，择定时间进行系统割接。系统割接后，对已发放国际通用算 法证书以及新发放国产密码算法证书进行验证， 具体内容包括证书是 否可以正常管理、 证书是否可以正常应用两个部分。 对于已发放的国 际通用算法证书， 在新的认证系统中进行管理，查看证书的冻结、解 冻、注销、 更新等业务

14、操作是否正常， 同时在原有的业务系统之中验 证该证书是否可以正常使用。 对新发放的兼容国际通用密码算法和国 产密码算法证书， 按照正常的管理流程进行证书的申请、 注销、更新、 冻结、解冻等操作， 查看系统运行是否正常，同时需要在新的应用安 全组件的环境下对国产密码算法证书进行测试， 查看国际通用密码算法和国产密码算法证书是否都可以正常应用8、试运行期检查系统初步验收后进入试运行期， 在试运行期对项目的建设成果进 行全面检查，检查系统经过初验上线运行后， 是否还存在问题和隐患。 针对发现的问题和隐患及时进行处理， 例如对设备的配置调优、 对软 件策略细化、对系统安全进行加固等。十、硬件设备和软件

15、购置清单单位：万元序号设备及软件名 称主要性能指标单价数量总价总计：421国密算法密码机1.产品须具备国家密码管理局颁发 的商用密码产品型号证书， 产品须在国 家密码管理局发布的支 持 SM2/SM3/SM4 密码算法的商用密 码产品目录名单中。（须提供证书、名 单截图等相应证明材料扫描件或影印 件）2. 产品须与财政证书综合管理系统进 行无缝对接。3. 要求系统遵循国家标准， 并基于标准 的 PKI 体系架构。4. 支持多种操作系统： 应用服务器与密 码机之间采用 TCP/IP 协议进行通信， 可支持多种主流的操作系统，如 Windows 系列， Linux 系列， Solaris 、 AI

16、X、HP-UX等 Unix 操作系统。5. 三层密钥结构： 采用“设备保护密钥- 用户密钥（内部密钥对或 KEK）- 会话 密钥”的三层密钥保护结构， 保证用户 密钥及应用系统的安全性。6. 安全密钥存储： 保证关键密钥在任何 时候不以明文形式出现在设备外， 密钥 备份文件也受到主密钥的保护。7. 支持连接密码及白名单： 通过连接密 码和白名单的支持， 实现了密码机对应 用服务器的授权认证， 进一步提高了系 统的安全性8. 支持多机并行： 多机并行可以提供容 错功能， 当有密码机出现故障时不影响 业务运算。 多机并行还可以提高密码运 算性能9. 密钥使用授权： 每对用户密钥对对应 一个授权保护

17、码， 以保证不同密码应用 系统调用同一台密码设备时的密钥安 全性10. 全面支持国产算法： SM2 非对称算 法、 SM3杂凑算法、 SM4对称算法、 SM1 对称算法，具有更好的可扩展性11. 性能要求SM2密钥对生成 3000 对/ 秒； 加密速度 1400 次/ 秒；10110序号设备及软件名 称主要性能指标单价数量总价解密速度 2500 次/ 秒。12. 供货须前向采购人提供原厂3 年质保服务承诺函原件。13.为保证所提供设备为原厂正品， 供货前须向采购人提供原厂授权原件。2操作系统(国产)1、产品符合 POSIX标准； 2、具有良好的兼容主流处理器和服务 器，全面兼容国产数据库及中间

18、件软 件，能实现基于国产处理器架构的高可 用集群和负载均衡集群使用要求； 3 、可运行在 x86 (32-bit) 、 x86_64 (64-bit) 、MIPS、SPARC等 架构的处理 器上，满足高可用性、高可靠性以及可 扩展性的应用需求； 4、具有良好的数据库软件兼容性，兼 容国内外主流的数据库软件产品，包 括：人大金仓、 达梦、神通、 南大通用、 Oracle 、 IBM、SYBASE、 PostgreSQL 、 Mysql 等； 5、具有良好的中间件兼容性，兼容国 内外主流的中间件软件产品，包括：东 方通、中创、金蝶、Oracle 、IBM、Apache 等； 6、提供图形化软件包升

19、级工具，支持 外网远程升级或本地升级服务； 7 、支持最新国家标准字符集(如： GB18030-2005)，支持多种中文输入法； 8、支持基于本地网络和异地网络的数 据备份工具，包括：支持计划任务、增 量差分备份；基于 B/S 架构的配置管理； 支持对备份结果进行短信、邮件通知； 9、提供图形化的 SELinux 、防火墙以及 VPN的配置管理工具； 10、提供常用的系统工具， 包括：VsFtpd 图形配置工具、日志查看工具、系统运 行图形分析工具( LKST、KSar 等)、内 核崩溃转储工具；11 、 SELinux 多级安全支持，基 于 Targeted 策略可以为所有服务提供安 全保障

20、；提供安全增强模块，可实现用 户账号与强口令机制、 强制存取控制功 能 MAC、安全审计等功能； 12、支持对整个已安装操作系统及数据 分区的镜像备份和恢复； 13、支持高可用集群软件产品； 14、对业务系统提供多层次保护； 15、负载过大或服务异常时可以根据策 略进行智能切换； 16、提供丰富的开发工具和完整的 Linux 开发环境，集成 Eclipse 开发环 境， C/C+(CDT)和 Java(JDT) 开发工具 包；集成 Qt 开发框架及基于 Qt 的 KDE 开发框架；支持 GCC包含的 C、 C+、 Objective C、 Chill 、 Fortran 和 java 等；支持

21、 Python, Perl ， Shell ， Ruby，144序号设备及软件名 称主要性能指标单价数量总价PHP等脚本语言； 17、提供系统补丁包的及时更新； 18、基于开源 yum/pup 升级器，提供强 大、灵活、可定制的软件包管理环境， 支持对公共、私有软件仓库的访问，确 保高效、便捷的软件升级服务； 19、提供中文化的图形操作界面，支持 多种安装方式，可采用光盘安装，网络 安装，硬盘安装等； 资质要求： 1、生产厂商通过能力成熟度集成模 型 CMMI3级及以上认证， 投标文件中须 提供认证证书扫描件或影印件。 （提供 证书扫描件或影印件， 采购人保留中标 后核查原件的权利，如有虚假，

22、由此造 成的后果由投标供应商自行承担） 2、投标文件中须提供该产品的软件著 作权证书扫描件或影印件。 （提供证书 扫描件或影印件， 采购人保留中标后核 查原件的权利，如有虚假，由此造成的 后果由投标供应商自行承担） 3、提供 1 年免费质保；3数据库软件（国产）功能要求 : 1、支持事务提交、回滚的管理功能， 具备 ACID 特性； 2、具备完善的事务处理机制，支持高 并发场景下的事务处理； 3、支持用户应用系统所需隔离级别， 支持隔离级别的设置； 4、支持锁等待时间设置，以防止由于 锁等待超时而影响到整个应用， 一旦锁 等待超时， 数据库会将返回错误给应用 系统；支持自动解死锁功能； 5、支持通用的数据库对象，包括：表、 视图、触发器、索引、序列、数据库链 接、约束、同义词、存储过程； 6、支持用户应用自定义函数索引、用 户自定义存储过程 / 函数、用户自定义 数据类型； 7、应具备完善的备份和恢复能力； 8、数据库建表支持分区功能； 9、支持基于图形化和字符界面的监控 功