XX信息网络身份认证系统设计方案1．系统建设的目标XX信息系统是重要的涉密计算机信息系统，因此其对安全保密的要求非常高，在有必要对该系统的身份认证机制采用强化措施。

XX系统安全方案的目的是：解决①用户口令、数据通过网络时容易被截获、窃取、篡改的安全风险；②用户与涉密服务器在网上有可能无法正确确认对方的身份，从而被假冒访问的风险；③访问完成后用户的抵赖行为等安全危害。

XX系统安全方案的建设目标：是建立一个符合国家安全保密规定和技术要求、安全可靠、技术先进成熟、运行稳定、适用于多种运行环境的、统一的身份认证体系。

XX系统身份认证安全方案至少应可实现以下安全功能：●强的身份认证、鉴别机制●数据处理、传输、访问的安全可信●数据处理、传输、访问的机密保护●数据处理、传输、访问的完整性●完善的安全审计功能●完善的CA证书及密钥管理2．XX信息系统安全风险分析建议在具体方案实施时，结合组织人事信息系统开发商、管理员一同进行。

具体包括：2．1系统安全风险分析2．2系统安全需求分析3．常见身份认证、鉴别技术简要介绍3．1口令字口令字是最常用且最经济的鉴别、认证方法，但口令字也是最不安全的方法，绝大部分的攻击都是从猜口令开始的，同时未经加密处理的口令字在传输过程中，也极易被截获，因而，口令字的身份认证机制对安全强度要求较高的系统是远远不够的。

3．2 IC卡其基本原理是基于非对称加密体制，使用较低位RSA算法来实现的，因而其安全强度也不够高，且我国自身在IC方面自主技术还较落后，不可完全依赖IC卡来作为较强安全手段使用。

3．3动态口令（Sec ID）动态口令牌，目前国内较多使用于银行等部门，且大部分是国外为主的产品。

其在技术上的优点是：采用时戳同步技术，使客户端与服务器端随机数同步，进行验证，确认身份，一次一口令。

其弱点是依然存在较大安全漏洞，最近的研究表明，只要对服务器时钟系统进行攻击，就会给安全认证体系以毁灭性打击。

此外，动态口令本身仅仅是对身份进行鉴别，鉴别以外的安全问题，如：信息窃取、篡改、泄密等无能为力。

3．4基于密码技术的证书系统现行流行较广的一种电子商务安全方案，一般使用与INTERNET 互联因特网，以标准X.509格式发放证书，但其密钥管理部分，必须符合国家有关规定，尤其在党政系统。

3．5生理生物特征主要有眼纹、指纹等，这类技术验证唯一性高，但成本费用较大，技术成熟度尚有一定距离。

4．卫士通强鉴别、身份认证安全技术方案卫士通公司建议采用标准证书与专用密码设备相结合的方案：4．1本系统须实现的安全要素本方案须解决的安全要素：信息的机密性即通过使用公开密钥算法或对称密钥算法对信息加密，防止非法用户窃听，做到即使能窃取数据也无法读懂。

●信息的完整性确保数据在传送过程中不被篡改和伪造，为此需利用单向算法对数据进行计算，将结果附在消息后提供给对方，接收方用相同的算法和密钥对数据进行验证，以确定数据的完整性。

●信息的不可否认性保证信息的发送方不能否认其发送的信息，采用数字签名的方式实现，当发生纠纷时，通过验证数字签名，为解决纠纷提供依据。

●对等实体鉴别由于通信双方不能直接确认对方身份，必须采用必要的技术手段进行相互验证，这是实现信息安全的基础，通常在建立连接或进行登录时进行，以防假冒合法用户。

●密钥保护和管理从信息加密、完整性、不可否认性到对等实体鉴别，均是采用密码技术实现，在密码体制中，密钥保护和管理是安全系统的核心。

●安全审计安全系统必须采用严格的安全审计、监控技术，提供事前告警、事后追踪的能力。

4．2本方案采用的主要密码和安全技术针对以上安全要素，本方案采用以下技术。

●对称密钥体系也称作约定密钥加密体系。

对称密钥体系采用相同的密钥即可对信息进行加密和解密。

本系统使用的对称算法采用计算机安全模快系列密码方案，密钥长度为256位，用于对传输数据进行加解密。

●公开密钥加密体系公开密钥加密体系采用两个密钥：公开密钥和秘密密钥。

使用公开密钥加密，只能用对应的秘密密钥解密；或使用秘密密钥签名，只能用对应的公开密钥进行验证。

本系统使用的公开密钥算法采用RSA，用于对等实体鉴别、数字签名和抗抵赖。

●证书及密钥管理系统技术证书是一个经证书授权机构CA数字签名的包含私钥持有者身份信息及其公开密钥信息的数字文件。

CA的签名使得攻击者不能伪造和篡改证书，证书的作用是向接收者证明某人或某个机构对公开密钥的拥有。

本方案使用的证书系统是卫士通公司专业面向某个行业各类安全应用系统的密钥管理解决方案。

●IDS入侵监测防范技术本方案中使用了30所自行开发研制的网络安全入侵检测防范技术。

4．3方案设计的安全设备及功能4．3．1客户端设备客户端设备包括：●桌面密码机：负责对用户数据进行加、解密及签名，读取IC卡中的私钥及证书信息并进行运算处理●IC卡：携带用户证书和私钥，供桌面密码机使用●安全动态库：负责驱动桌面密码机并提供开发接口●SSL安全代理（视具体用户情况可选，使用IE浏览器时使用）4．3．2服务器端设备服务器端设备包括：●服务器密码机：负责对用户数据进行加、解密，验证，保存用户公钥、证书库。

●CA发卡及密钥管理系统：发放用户证书、私钥，用户IC卡制作，证书及密钥管理（黒名单、注销、挂失等）。

●安全审计机：保存历史数据和用户签名码，进行安全审计●入侵监测仪：对非法攻击进行监测，对系统安全漏洞进行检查●安全代理服务器（使用WEB服务器时使用，可选）4．3．3桌面密码机功能介绍桌面密码机是卫士通公司开发的可供PC机使用的、便携式安全设备，可以保证存放在计算机中信息安全保密和完整，保证用户间通信的安全保密、身份认证和信息的真实、安全、完整。

功能特征：●计算机通信数据的加密/解密●计算机保密文件柜的实现●信息完整性鉴别MAC、真实性鉴别、数字签名，认证、散列算法●高速智能IC卡密钥管理，CBC加密方式●经国家主管部门测试审查通过的安全保密体系结构，经国家主管部门审定通过的密码算法●自身安全保护：打开机盒，密钥、密码算法自毁；DSP程序不可读出；4．3．4服务器密码机功能介绍服务器密码机是本系统核心设备，主要提供数据加/解密；MAC 产生、验证；支持单向散列；数字签名；对等实体鉴别；用户权限控制；安全日志；基于非对称密码体制的对称密钥协商。

4．3．5鹰眼入侵监测仪简介鹰眼网络安全监测仪通过实时收集网络通信数据，实时分析和识别网络攻击模式，根据用户自定义的网络安全策略对网络活动进行检查，捕获网络安全违规事件，提供实时报警，自动生成审计报告。

4．4安全设计网络拓朴图（见附件）4．5方案设计的工作原理及流程1、通过IC卡、桌面密码机和服务器密码机完成客户端与服务器间的身份认证和密钥协商（密钥的保护由桌面密码机完成）；2、由桌面密码机完成对用户数据的签名，服务器密码机完成对交易数据的验证；3、使用桌面密码机完成对链路数据的硬件级的加密（算法使用通过国家鉴定的算法），服务器密码机完成相应的解密功能；4、审计机保存审计数据完成审计功能；5、CA完成证书的统一发放和管理；6、入侵监测设备对漏洞进行扫描及非法攻击监测；7、由卫士通提供统一的安全API接口，实现与办公应用系统无缝连结。

4．6方案的特色●方便可扩展性：30所是国家普密、商密产品的定点研制、生产单位，同时也是国家863计划信息安全产业基地的主承建单位，本方案可实现商密、普密技术的扩展更换，符合国家有关保密规定。

●与应用业务无关，可以开发需要的新业务，我们的系统不需要做任何更改。

●标准化，系统符合SSL3.0标准、证书符合X.509v3●无缝升级，由专线、拨号网络可以无缝升级到Internet。

我们的系统不做任何改动，节约投资。

●安全性更高。

我们采用的经过国家有关部门鉴定的产品服务器密码机和桌面密码机对数据进行安全保护。

密钥长度256bit，远远超过国内算法所使用的密钥长度128bit。

同时采用硬件加密方式和完善的密钥保护方式，更加增强了安全性。

●热备份与负载均衡功能。

采用多台服务器密码机可以实现负载均衡和热备份功能，对业务系统的影响更小。

●易维护性。

客户采用IE等浏览器，直接从WEB服务器下载应用程序，方便了维护工作。

●终端系列化。

可以根据客户的需求提供多种终端。

目前的终端有：桌面密码机（RS232）、桌面密码机（USB）、PCI卡、PCMCIA卡、服务器密码机等设备。

可以根据业务的多少、繁忙程度、移动办公等配置不同的终端。

●具有完全自主知识产权，本系统所有产品均为国内自行研制，是30所积数十年信息安全科研成果的结晶，且已在国家建设众多领域广泛运用。

5．卫士通安全方案报价6．信息产业部三十所及卫士通公司概貌6．1所情简介：电子部第三十研究所，创建于1965年。

经过三十多年的发展，目前已成为国内设施最先进、人才最集中、成果最丰硕、规模最宏大的信息安全产品研究开发中心。

三十多年来，取得科技成果300多项，95项获国家级和部级成果奖，其中国家科技进步一等奖2项、二等奖4项，部级特等奖2项、一等奖6项。

1991年，江泽民总书记亲临30所视察，挥毫题下“通信卫士”四个大字，对该所的成就给予了最高赞誉。

30所拥有一支高素质的职工队伍，这是事业发展的根本保证。

全所现有职工1300余人，其中百分之七十以上具有高等学历，研究员和高级工程师150人。

该所是西南地区唯一具有硕士学位授予权的电子类研究所，并与电子科大联合培养博士生，能为科研第一线源源不断地输送高层次人才。

30所与国内外学术团体联系广泛，与多家海外科研机构有长期合作关系，能够紧紧扣住世界相关科技发展的脉搏，及时开发出具有国际领先水平的产品。

30所视产品质量为企业的生命，1990年通过了“军工产品质量体系考核”，1994年首批获得国家“军工产品质量保证体系认证”证书，1995年又获得国家ISO9001认证证书。

这一系列完善的质量监控体系，为生产高品质产品提供了保障。

30所拥有各种安全保密信息网络和应用系统开发建设的丰富经验，已先后开发建设了安全保密综合业务数字网、安全分组数据网、无线数据网、智能网、安全会议电视系统、安全电子邮政系统、网间互连互通系统等，这些网系中的各种程控交换、分组数据交换、帧中继交换、图象控制切换、综合网络管理，复接/分接、终端、安全保密等设备均由30所自行开发生产。

30所在数十个安全保密信息网系开发建设中的丰富经验。

6．2公司简介深圳市卫士通信息安全技术有限公司由三十所发起成立并控股。

以三十所技术人才及质保体系为依托，以现代公司先进灵活的运转机制参与市场竞争，为国防、党政、金融、国民经济各部门及各行各业提供了优质的产品和完善的售后服务，提供信息网络安全全面解决方案。

6．3中办机要局（89）402号发文，三十所被批准为首批普密科研生产单位。