摘要：高速公路联网ETC应用采用近距离无线通讯技术完成车辆识别及缴费计算，整个过程需通过前端识别计算生成有效数据后加密传输到后台清结算平台完成计量扣费。需要采用密码加密处理，以保障交易数据的机密性、防篡改、不可抵赖性等整体安全措施。关键词：ETC、机密性、防篡改、不可抵赖 1.概述近年来，我国高速公路发展迅速，公路网交通流量急剧增加，部分公路因停车收费造成交通拥堵的现象时有发生。 “十二五”期间，实现了全国高速公路电子不停车收费系统（ETC）联网运行，截止2016年10月全国共有ETC车道1.3万条，ETC用户2515万，共有23187个服务网点，2万多个各类服务终端遍布联网省市，极大缓解了公路交通拥堵的同时又实现了节能减排，高速公路出行服务水平显著提升。高速公路联网ETC应用采用近距离无线通讯技术完成车辆识别及缴费计算，整个过程需通过前端识别计算生成有效数据后加密传输到后台清结算平台完成计量扣费。需要采用密码加密处理，以保障交易数据的机密性、防篡改、不可抵赖性等整体安全措施。2.密码应用总体架构全国高速公路联网ETC领域密码应用主要在ETC卡的发行和交易环节，整体密码应用情况示意图如下：高速公路联网ETC领域在以下主要环节应用商密算法：发卡环节1.IC卡业务系统生成制卡原始数据库，通过密码机加密用户敏感信息下发至数据准备系统。2.密钥管理系统通过密码机产生ETC用户卡密钥数据，通过密码机传输密钥加密下发数据准备系统。3.数据准备系统通过密码机解密密钥数据及IC卡业务系统原始制卡数据，根据制卡模板形成最终制卡文件。4.卡片个人化系统通过密码机解密最终制卡文件，分组制卡数据通过密钥运算完成卡片个人化。交易环节1.车载OBU内的ETC卡片在经过ETC车道时，由RSU内置PSAM通过密码运算完成通行车辆计费及扣费。2.省/市结算中心通过签名验签服务器加密结算报文数据上传至部级清分结算中心完成全国各地ETC跨省市资金结算。3.应用成效随着内蒙古、黑龙江、广西、新疆并入高速公路电子不停车（ETC）联网区域，全国ETC联网目标成功实现，纵贯南北、互通东西的全国ETC联网格局形成，实现了高速公路ETC全国联网。在商用密码应用方面，主要体现在ETC卡片的发行和卡片充值消费等环节。当前，全国高速公路ETC领域所采用的密码全部为国际通用的DES、3DES算法。根据《交通运输信息化十三五规划》指导精神，需强化信息化顶层设计，建立健全网络与信息安全保障体系，组织开展高速公路ETC系统的商密算法迁移和应用工作，包含升级改造部级密钥管理及发行、部级清分结算等系统，各省（区、市）升级改造省级密钥管理及发行、清分结算等系统等工作内容。   成都卫士通信息产业股份有限公司联系人：蔡志雄 电  话：13982166728

摘要：随着城市一体化脚步的加快，各大城市相继开启了城市一卡通的发展，促进城市生活更便捷。交通一卡通国家标准规定了城市一卡通互联互通系统技术要求，用户卡发卡密码技术要求，业务流程、数据清分、数据接口密码技术要求。通过密码技术保障交通一卡通发卡及交易安全。关键词：一卡通、业务流程、数据清分、数据接口、密码技术要求1.概述随着城市一体化脚步的加快，各大城市相继开启了城市一卡通的发展，促进城市生活更便捷。2013年初，国务院颁布《关于城市优先发展公共交通的指导意见》，文件提出，进一步完善城市公共交通移动支付体系建设，全面推广普及城市公共交通"一卡通"，加快其在城市不同交通方式中的应用。加快完善标准体系，逐步实现跨市域公共交通"一卡通"的互联互通。到2015年底已初步实现41个城市互联互通；2016年底实现110个城市的互联互通；截止到2017年7月，全国已有158个城市实现了互联互通，发行联合卡共计500万张。交通一卡通国家标准规定了城市一卡通互联互通系统技术要求，用户卡发卡密码技术要求，业务流程、数据清分、数据接口密码技术要求。通过密码技术保障交通一卡通发卡及交易安全。2.密码应用总体架构交通一卡通互联互通采用符合金融PBOC3.0标准发卡体系、密码应用体系，包括非对称密钥体系和对称密钥体系。因为在交通一卡通密码卡片发行和交易应用场景涉及个人资金安全问题，所以在用户卡发行和交易环节通过密码加密技术实现资金安全和交易数据安全。交通一卡通密码应用场景如下图：图1 交通一卡通密码应用场景交通一卡通互联互通主要在以下环节应用到了商密算法：发卡环节1.省/市级密钥管理系统通密码机产生的非对称密钥公钥向部级跟CA申请发卡机构公钥证书。2.省/市级密钥管理系统通过密码机生成一卡通卡片密钥，生成密钥数据通过加密机加密下发数据准备系统。3.数据准备系统通过密码机解密密钥数据，通过本地卡片基础数据模板生成制卡文件。4.卡片个人化系统通过密码机完成制卡文件敏感数据解密，根据制卡数据分组，完成卡片初始化及写卡。交易环节1.乘坐公交交通工具刷卡时，卡片内置密钥和读卡器预制证书及密钥进行认证计算实现乘车计费及扣费。2.省/市结算中心通过签名验签服务器加密结算报文数据，上传至部级清分结算中心完成全国各地一卡通公司跨省市资金结算，实现跨区域互联互通。3.应用成效伴随着区域经济融合和一体化综合交通运输进程的加快，交通智能卡的区域乃至全国互联互通已成为突破行政界限、推进城际交通与城市交通的对接融合、增强区域快速通行能力的重要载体，交通智能卡的支付内涵也由城市内交通领域拓展至城际间道路客运、城际轨道等领域，实现区域乃至全国交通出行方式的全覆盖和无缝衔接，从而为公众提供统一便捷、舒适、安全的支付环境，方便大众出行。交通一卡通互联互通IC卡发行系统已广泛部署于北京、上海、重庆等各大城市。2016年底前全国大中型城市已初步实现一卡通的跨市域、跨交通方式使用，预计2020年基本实现全国范围内跨市域、跨省域互联互通。主要是为广大人民群众出行提供便捷、高效、安全的公共服务，对于促进落实公交优先发展战略、提升政府基本公共服务水平起到了重要意义。成都卫士通信息产业股份有限公司联系人：蔡志雄 电  话：13982166728

摘要：迈普翼动IoT商密解决方案，使用SM2、SM3、SM4等国密标准算法，在移动办公、专线备份、视频采集、IoT物联网连接等场景，保障数据传输安全。组网灵活、通过高性能、高安全、简洁易用的方案服务各行业和领域。关键词：5G接入、移动办公、专线备份、视频采集、IoT物联网、国密应用1.概述1.1背景没有网络安全就没有国家安全。密码是网络安全的核心支撑，是构建网络信任体系的重要基石，是保护国家安全的战略性资源。党中央高度重视密码工作。近年来，中央办公厅、国务院办公厅多次印发通知，就金融及重要领域的密码应用作出部署。在党政：自《关于加快推进"互联网+政务服务"工作的指导意见》印发至今，我国政务服务水平得到迅速提升，政府办事效率显著提高。新的时期下，我国政府要继续深入推进"互联网＋政务"进程，把握关键，利用现代互联网技术，以加快政务信息化建设支撑"放改服"改革向纵深推进，构建高效有序的"服务型政府"。 符合工作流程、提升办公效率、保障信息安全，作为高效智慧型政府的三条基本保障，迈普通信专注服务政府、大型企业及组织机构的安全高效支撑，通过使用移动互联网技术，帮助组织提升工作和管理效率、降低工作成本、信息安全传输，助力"互联网＋移动政务"有效落地。在金融：随着互联网金融异军突起，彻底打破了传统金融行业独占大量资本的格局。加之互联网金融通过一些营销活动可以大量、快速的增加用户数量，对传统金融行业带来了巨大的冲击。所以传统金融行业都开始了各自的转型。普华永道在2019年3月发布的《2018年中国银行业回顾与展望》中提到，在2018年银行业进行业务转型后，上市银行基本都实现了增长和增速的双提升，归结其增长最终一定是来源于两个重要的方面，"开源"和"节流"。2018年的转型给传统金融行业带来了增长，因此金融行业在2019年提出来了"业务转型，科技创收"的战略思路。金融行业除了继续坚定的进行信贷投放侧重零售业务、理财业务净值化转型和积极发展小微企业和个人贷款等业务转型外，还会加大金融科技投入，通过科技来实现"智慧金融"、"移动金融"、"节能金融"，从而实现科技创收。1.2目标安全加密、高效传输：采用商用密码算法加密数据实现业务安全保障，同时也要达成高效加密传输的目的，保障业务在安全的情况下低延迟、高效率的传输，为移动办公、关键业务承载、IoT物联网数据采集奠定安全、可靠、高效的网络基础。"双线"部署保障业务安全：满足行业规范和通信网络的建设要求，关键业务承载必须采用双线路，任何一条线路故障时，都会有备份线路自动切换，保障业务的安全性、永续性；降低成本，保护投资：采用线+4G/5G，双线部署，同时支持专线+4/5G，正常走有线，故障时切换到4/5G,在业务不中断的情况下兼顾了4/5G线路的低成本。避免双专线同时部署，投资成本高，运营成本高的问题。加快部署速度，降低建网成本：满足现有敏捷性移动办公、智慧城市管理的数据采集或行业IoT物联网的大规模、快速部署的需求，加快部署速度，不需要繁琐的布线，只需SIM卡插上，网络即可开通，可以实现业务快速上线。简单运维、高效管理：高效整合的一套平台，完成整网设备的统一纳管，操作逻辑简单、页面交互清晰，实现轻松运维。2.需求分析2.1需求分析随着办公自动化系统的普及，电子化、数据化的办公方式已进入越来越多的政府和企事业单位，信息化的办公系统在企事业内部编织起一套高效、畅通的信息互联体系，极大推动了企事业单位生产力的发展。 而移动信息化的出现，使得信息化摆脱了对固定办公环境，固定工作时间，固定电脑设备和网络的依赖，将信息化无缝延展到每个人手中，使得信息化从此可以随时随地的跟随着人走。它是对原有信息化的补充，也是对信息化本身的发展和跃变。 随着电子政务、IoT物联网、移动办公和多点信息采集的需求逐渐增加，需求变化的不断发展，随之而来的工作越来越多、越来越繁重，为此，对基层移动信息化问题有必要作进一步的探讨，如何提高服务质量、如何提高内部办公和信息采集德尔效率已成为当务之急。• 使用无线代替专线，数据传输信号是否稳定：移动办公使用4/5G线路代替有线专线后，用户担心无线传输信号是否稳定、承载多业务时能否完成多4/5G的传输负载、无线传输数据是否稳定等问题。• 部署大量无线设备，无法通过统一管理平台进行运维，管理工作难以开展：大量的移动办公终端并发使用，带来的是传统运维难以管控的复杂局面，如：设备上下线管理、设备丢失、非授权用户非法接入，等等运维安全问题。• 移动终端办理业务、承载政务信息的形式出现，无法保障数据和业务安全：政府职能部门的现场办公、公检法的现场数据采集、党建信息的安全承载、移动信访信息的受理传输等等数据和业务安全保障，如何获得安全合规的技术保障？通过对政府客户的以上困境和难点进行调查分析后，迈普结合自身多年在全行业积累的经验和先进的技术平台开发出了一套全新的翼动4/5G解决方案，该方案很好的解决了"互联网+政务"行业客户在服务转型，效率提升、业务安全中的痛点。3.方案架构3.1 技术架构/产品架构图1 技术架构/产品架构3.2 部署说明部署要点如下：• 在中心机房新增3G/4/5G无线接入区，通过向运营商申请4/5G VPDN专线方式进行4/5G的业务的汇聚，各分部或者网点可以根据当地运营商的无线覆盖情况，自由选择申请运营商的4/5G接入SIM卡服务。最好在中心部署2台LNS路由器，可以实现中心LNS汇聚设备的热备冗余。• 在LNS路由器上配置高性能国密加密业务板卡，既可以实现高性能的国密加密，实现对无线数据传输的高安全性加密，符合国家对商用密码采用国密的要求。• 在服务器区部署相关配套安全设备：AAA认证服务器、E4/5G网管平台。AAA认证服务器可以实现对接入4/5G设备的"拨号账号+密码+SIM卡+IP地址+时间域"的五元素绑定。E4/5G网管平台可以实现对4/5G接入设备的全面管控，设备配置、设备开通、设备位置管理、设备位置锁定、4/5G流量管理、无线信号管理，实现轻松运维。4.方案特色4.1 灵活的接入网络迈普路由器均可插入全网通4/5G板卡，支持TD-LTE、FDD-LTE、TD-SCDMA、WCDMA、 EVDO、CDMA 1x、GSM七种网络制式，无需有线连接，通过全网通4/5G模块即可方便快速的接入网络。如果在需要移动的室外场景该方案还可以配置4/5G移动路由器，支持双卡单待，可通过硬件拨码开关进行运营商网络选择，也支持双卡双待，一台设备当两台用，可做双活和主备4/5G。另一方面，迈普4/5G路由器WiFi版，支持AP和STA方式，既可以将4/5G转成WiFi信号提供给各种无线终端接入，还可以做STA链接安全的无线网络。图2 产品样图迈普移动4/5G路由器支持了移动电源供电，电子政务办公经常要下到基层去开展工作，在无法提供交流电源的场景下，迈普1800X系列移动4/5G路由器仅需一个充电宝即可方便快速的进行业务开展。10000mA的移动可支持设备5小时的正常使用。迈普4/5G路由器还支持多4/5G根据信号切换，保障在其中一路4/5G由于某些原因无法拨号成功的情况下，可以自动切换至另外的4/5G线路，最大可支持3路4/5G的信号切换功能。极大提升了4/5G线路数据传输的可靠性。同时，迈普系列加密路由器具有非常高的4/5G视频业务传输性能，可同时支持多路1080P超高清视频的实时传输。图3 传输示意图4.2 移动设备丢失不用怕，设备挂失来帮你在移动办公、物联网数据采集中使用的移动设备，可能存在丢失的风险。如果丢失和数据泄露可能会给客户带来安全隐患。翼动4/5G解决方案很好的解决了这一问题，迈普的路由器配合迈普4/5G综合业务管理平台软件，可对丢失的设备进行挂失处理，将设备所有信息全部清除，确保数据零泄露，保障资产安全。图4 设备安全性同时，迈普4/5G解决方案负责数据传输部分的关键组件，全部支持国家最新标准的商用密码（SM1/2/3/4），具备国密最新资质，4/5G路由器与CA证书服务器进行国密双证书的在线申请和更新，支持证书过期自动检测，强化的认证体系和加密算法，保障传输安全。4.3 4/5G按需拨号，节省中的节省如果4/5G备份线路一直在线，则持续发送4/5G保活报文，即使全年未启用业务，无效流量也可能产生额外费用。但是如果启用了翼动4/5G解决方的按需拨号功能，只有在确保所有有线专线均中断后，才会启动4/5G拨号，建立IPSEC隧道，在专线未断时不会拨号，不产生流量，防止产生额外费用，而且专线恢复后，流量会切换回专线断掉IPESC隧道，节省4/5G流量。图5 传输示意图4.4 超高灵活：移动电源供电迈普加密路由器标配12V外置电源输入，通常情况下，需要220V电源供电才可以正常运行，为了提高产品的灵活性，迈普加密路由器为了满足电子政务应急办公需求，支持9V或12V输出的移动电源，使用USB转DC的连接线连接到设备电源即可正常使用。10000mA的移动电源可以保障MP1800X系列路由器运行超过5个小时。图6 超高灵活性4.5 简易维护：0配置开通，故障快速定位随着4/5G设备部署的规模逐渐增大，位置也越来越分散，因此部署工作量和运维工作量都变得非常大，如果无法通过统一的管理平台进行设备的管理和运维， 数以万计的设备根本无法正常管理。迈普作为业界唯一拥有4/5G设备管理平台的厂商。该可对无线设备进行配置下发、版本升级、强制下线、位置锁定、故障排除，资产管理极大的减轻管理人员的运维工作量。同时遇到大量无线设备新部署上线时，E4/5G支持支持U盘、短信"零配置"部署，化繁为简，极大减轻管理人员部署的工作量，真正做到即插即用。图7 简易维护图8 维护示意图5.    适用领域迈普翼动IoT商密解决方案适用于金融、能源、水利/自然资源、国防和工业、公共通信、交通、公共服务、电子政务领域的移动办公、专线备份、视频采集、IoT物联网连接等场景。6.企业分工/产品清单/接口说明迈普通信技术股份有限公司（简称迈普）创立于1993年，是中国领先的网络产品及解决方案供应商，同时也是工信部重点支持的四大国产网络设备厂商之一。公司于2015年加入中国电子信息产业集团有限公司（CEC），是CEC网络安全与信息化领域的战略核心企业。迈普一直坚持自主创新、产业报国。经过27年的发展，目前拥有路由、交换、WLAN、安全、分流器、融合通信，SDN智能软件及应用7大产品系列，以及业内完善的信创网络产品和整网解决方案。迈普积极响应国家信息安全战略需求，于2012 年在业内率先布局信创网络领域，采用国产核心智能元器件、国产操作系统及自主研发的软件系统进行整机设计，确保网络本质安全。目前在中国已拥有完善的信创网络产品系列，可提供从接入、汇聚、核心到数据中心级应用的全系列信创网络产品和整网解决方案，是中国信创网络设备领导品牌。7.应用案例迈普是业内最早开始研究商用密码加密路由器的厂家，2004成功研制参出业内第一台商用密码加密路由器SJW12。迈普也是业内加密路由器型号最完整的厂家，解决方案最成熟的厂家之一。2011年迈普率先推出基于国密的3G安全解决方案，大量应用于银行、保险、证券行业，在金融行业3G/4G市场中占有率超过70%，是3G/4G接入首选品牌。迈普通信技术股份有限公司联系人：向长春 电  话：18160018842

摘要：物联网加密安全解决方案，采用国产标识密码算法和基于椭圆曲线公钥密码算法的高效无证书密码系统ECS构建，形成物联网安全管理平台解决方案，可满足物联网平台各项业务应用的安全需求。物联网安全管理平台通过数据加解密、签名验签、随机数生成、安全传输密钥，以及敏感数据加密存储、访问控制和快速销毁等技术手段为物联网系统提供安全支撑。平台还提供安全设备管理、安全策略配置、密钥管理、安全事件监测、行为安全审计等功能。关键词：标识密码、无证书、物联网控制、数据安全、国密应用、5G应用1.概述1.1背景在国家政策大力扶持下，中国物联网行业迅速兴起。并随着5G时代的来临，物联网应用呈现爆发式增长态势，但针对物联网基础设施的攻击频发，物联网正在面临着严重的安全挑战。伴随着恶意攻击手段不断提升，传统的网络安全、平台安全等防护措施已无法适应新安全形势的要求。特别是贯穿云、管、端三个层面都没有应用可信身份安全认证机制，这是目前物联网安全最核心的问题，是亟需研究解决的现实问题。1.2目标通过物联网密码应用的建设，达到如下建设目标：（1）实现基于国产密码算法的身份认证实现物联网基于国产密码算法从设备到设备、设备到网络、设备到平台、平台到后端应用系统等全网的身份认证。（2）实现物联网传输加密基于国产密码算法，实现物联网在整个使用过程中的传输加密，包括设备到网络，网络到应用的传输加密，打造可信物联网网络。（3）实现物联网数据存储加密基于国产密码算法，使物联网在整个使用周期内的数据受到保护，实现存储加密、调用解密。1.3依据《GM/T 0018-2012 密码设备应用接口规范》《GM/T 0030-2014 服务器密码机技术规范》《GM/T 0026-2014安全认证网关产品规范》《GM/T 0027-2014 智能密码钥匙技术规范》《GM/T 0022-2014 IPSEC VPN技术规范》《GM/T 0024-2014 SSL VPN技术规范》《GM/T 0054-2018 信息系统密码应用基本要求》2.需求分析2.1现状分析物联网是在计算机互联网的基础上建立起来的，互联网的安全问题早已被人们重视并采取各种措施来防止信息的丢失，物联网也不可避免的伴随着安全问题，物联网将社会经济活动、战略性基础设施资源和人们生活全面架构在全球互联网上，所有活动和设施理论上透明化。物联网的特点是无处不在的数据感知，已无线为主的信息传输、智能化的信息处理，在实际生产和使用中很容易被窃取，这将直接影响物联网体系的安全。随着物联网的不断发展与应用系统自身所隐藏的安全问题日渐显现，主要存在以下安全问题。（一）物联网前端设备安全问题由于物联网应用的多样性，其前端设备也多种多样，常见的有传感器节点、RFID标签、无线通信终端、移动通信终端、摄像头、传感设备及抓拍设备等，在物联网实际使用过程中，容易出现被非法入侵、前端设备采集的数据被截获和破解、收到网络的攻击等等安全问题。（二）网络层安全问题物联网的传输层主要用于把前端收集的信息安全和可靠的传输到信息处理层，然后进入相关应用系统，进行系统应用。在信息传输中，可能经过一个或多个不同架构的网络进行信息交换，来自不可信网络的传输容易造成网络攻击、截取数据及修改传输协议等传输安全问题。（三）应用层安全问题物联网应用层主要用于对接收的信息加以处理，要对接收的信息进行判断，分辨其实有用信息、垃圾信息还是恶意信息，处理数据有一般性数据和操作指令，对应用系统的攻击会造成系统瘫痪、处理能力下降等安全问题。（四）数据存储安全问题物联网与人们日常生活紧密相关，使用物联网系统的个人或单位，都将自身的关键性数据、敏感性数据通过应用系统存储在物联网云端，在个人隐私极其重要的背景下，保证物联网数据存储的安全，是物联网发展的重要基石，物联网也暴露出数据存储安全的问题。2.2需求分析综合分析各类物联网安全事件，主要存在以下安全需求：（一）安全身份认证在物联网系统中，需保障包括设备之间的认证、设备与用户、设备与平台之间的安全认证。（二）数据传输加密大量终端设备采集的数据通过互联网，以明文形式传输到云端，易被拦截、篡改和窃取，需对传输通道进行加密保护。（三）数据存储加密数据在云端和终端存储中，易被暴力攻击和破解，一旦数据被窃取，将造成数据泄露风险，需对数据存储进行加密保护。3.方案架构3.1技术架构/产品架构物联网加密安全解决方案，采用国产标识密码算法和基于椭圆曲线公钥密码算法的高效无证书密码系统ECS构建，形成物联网安全管理平台解决方案，可满足物联网平台各项业务应用的安全需求。物联网安全管理平台通过数据加解密、签名验签、随机数生成、安全传输密钥，以及敏感数据加密存储、访问控制和快速销毁等技术手段为物联网系统提供安全支撑。平台还提供安全设备管理、安全策略配置、密钥管理、安全事件监测、行为安全审计等功能。图：方案拓扑图3.2主要功能1.基于国密算法，实现物联网系统"云、管、端"的身份认证；2.基于国密算法，实现物联网系统传输"云、管、端"的传输加密3.基于国密算法，实现物联网系统的数据存储加密，保障数据的完整性。3.3技术指标《GM/T 0018-2012 密码设备应用接口规范》《GM/T 0030-2014 服务器密码机技术规范》《GM/T 0026-2014安全认证网关产品规范》《GM/T 0027-2014 智能密码钥匙技术规范》《GM/T 0022-2014 IPSEC VPN技术规范》《GM/T 0024-2014 SSL VPN技术规范》3.4关键技术标识密码算法是一种区别于传统公钥算法的标识密码算法。基于该算法的密码系统可使用具有唯一性的各类标识作为公钥，即可以使用如：邮件地址、手机号、身份证号、组织机构代码、物联网设备标识等作为用户或设备的公钥，进行数据加密和身份认证。标识密码算法因其算法特点，非常适合电子邮件保护、公文安全流转、多媒体融合安全通讯、身份认证、物联网安全通讯、云数据保护等应用。基于标识密码算法的密码系统可方便地进行集中管控，实现方式简洁、成本低廉、应用场景广泛，具备快速推广的条件。标识密码算法采用椭圆曲线上的双线性对作为基础数学工具，基于相关的计算复杂性假设构建安全性证明。其算法的理论基础、算法构造都经受住了安全考验。我国也正在积极推动将标识密码算法纳入相应国际标准。经过十年发展， 标识密码算法在电子政务安全、移动终端安全、工业控制安全、物联网连接安全、税务票据安全、个人隐私保护等诸多领域已经有了众多应用。相关密码系统充分体现了算法的易于使用、便于管理的特色，为应用系统的安全运行发挥了重要作用。伴随着算法对社会正式公开，可以预见将有更多的应用系统将会采用该算法进行安全防护，进而提高我国信息安全的防护水平。4.方案特色4.1支持海量用户轻量级管理中心，无需颁发和管理数字证书，大大节约管理成本，一套中心可轻松支持亿级海量设备管理。4.2全方位安全保障使用国密算法实现通讯加密、强身份认证、本地加密，让数据在传输、存储过程中都保持加密状态，支持实时语音、视频数据的保护。4.3开放接口，高兼容性支持产业链各个环节的国密算法实现，包括SE、TE、MCU、NB等，提供丰富的SDK，封装各种接口。4.4短签名，无证书应用提供轻量级的标识密码算法体系，签名长度短，便于芯片加载，支持CL-PKC下实现椭圆曲线公钥算法的无证书应用。5.适用领域（1）智慧城市：智慧交通、智慧交通、智慧医疗、智慧教育等；（2）金融行业：银行卡、无人银行等；（3）智能制造：智能家居、智慧酒店、智慧公租房等；（4）民生安全：天网系统、视频监控等；6.产品清单/产品优势1.产品清单物联网密码应用的系统产品清单如下。名称设备名称密码服务安全接入网关统一身份认证服务平台软件密码模块密码基础设施密码管理服务平台密钥管理系统标识密码机联合签名系统2.产品优势安全性标识密码算法结合挑战应答机制实现用户强身份认证；认证过程无口令交互，可避免弱口令、撞库攻击等安全风险；用户端密钥采用分片技术加密保护；应用系统安全隔离防护，不直接开发到外网。易用性扫码即可完成用户身份确认，无需账号口令，无需安装控件；一次认证可安全登录多个业务系统，无需记忆多套账号口令。完整性采用Https加密传输协议保证传输过程安全；采用杂凑/对称算法对平台存储的数据进行加密保护；实现身份认证、传输保护、存储保护、日志审计全方位的安全设计。标准化采用国密标准算法，密码设备具备国家商密型号证书。先进性及时采用国际、国内信息安全最新研究成果，如标识密码、密钥分片等技术，能够适应未来的技术发展趋势。7.应用案例 T3出行 中国福彩 数字中国 海南信息安全基地 复旦微电子集团 中国南车……中安网脉（北京）技术股份有限公司联系人：华夕良 电  话：15881055115

摘要：系统在设计上借鉴了欧洲工业4.0数据共享设计理念和"中国智能制造-工业数据空间参考模型"，通过边缘计算工业边缘网关虚拟化、基于数据所有权的混合安全多方计算协议及服务等技术关键，提供边缘计算数据共享与远程协作安全即服务新保障手段，保护工业数据价值和拥有者权益，实现数据不出企业满足交换计算的方式来降低数据流通成本,提高企业数据共享意愿。关键词：多方计算、数据隐私安全1.概述近年来，在国家大数据战略、数据经济战略的背景下，我国工业大数据应用迈出关键步伐，数据驱动的工业新模式新业态不断涌现，工业企业对于跨企业、跨行业数据共享合作的需求正在快速增加。然而，由于缺乏数据流通合作基础设施、数据出域后安全保障不足、数据滥用追责困难等原因，目前企业普遍对向外共享数据比较谨慎，跨企业、跨行业的数据共享流通难以真正开展，工业大数据合作与应用处在局部、较低水平。为进一步促进工业数字化转型，激发工业数据资源要素潜力，加快工业大数据产业发展，近期工信部印发《关于工业大数据发展的指导意见》，部署了推动工业数据开放共享、激发工业数据市场活力、推动工业数据深度应用、开展工业数据应用示范、提升数据平台支撑作用、打造工业数据应用生态等多项任务，着力打造资源富集、应用繁荣、产业进步、治理有序的工业大数据生态体系。2.需求分析安全多方计算是无可信第三方，安全地进行多方协同的计算的密码技术，即多个参与实体各自持有秘密或敏感输入，共同完成对函数f(,)计算，而每个参与实体除计算结果外,不能得到其他参与实体的任何输入以及计算过程中间数据。工业大数据分析，当前采用数据脱敏非精确数据，流程复杂、效率低，数据价值低，难以满足工业互联网高效能需求。需要为大数据分析提供企业真实数据，采用基于安全多方计算的数据托管服务，即企业数据存储在边缘，云端部署安全多方计算服务和企业数据目录开放服务，开发人员可以直接使用企业存储在边缘的共享数据、基于数据托管服务系统进行大数据应用开发，由该系统背后实现企业数据可用不可见，保证开发人员和最终用户无法获取原始数据，杜绝数据泄露，最大化数据价值。数据托管服务系统，数据托管上云而安全性不降低，可在多家工业企业之间建设多方数据合作共享基础设施，聚集工业上下游企业、第三方机构及其他数据共享相关方，推动多方协作的工业数据深度应用，形成示范带动效应，助力工业大数据深度应用在四川落地实践，支撑企业在整体层面、在产业链维度推动全局性数字化转型。3.方案构架工业边缘多方计算数据托管及应用平台，以"数据可用不可见、计算靠近数据"，"原始数据不出企业、交互数据采用加密保护"的数据价值保护原则，可聚集数据提供方、数据使用方、算法开发方、市场运营方等数据共享生态利益相关方，共同促进形成合作、开放、安全的工业数据资源开放、计算安全防护新局面。具体方案框架如下图1所描述：图1 方案框架4.主要功能指标软件系统主要功能指标：●基于云的数据托管出租服务，数据存储在边缘，数据目录在云端发布●在企业边缘计算侧，部署企业边缘数据存储服务器●云端部署安全多方计算服务，企业托管数据目录服务，数据共享大数据分析、机器学习开发环境和数据共享应用市场●开发人员可以直接使用企业存储在边缘的共享数据的进行大数据，应用部署，安全多方计算服务负责数据安全防护计算，实现企业数据可用不可见，使用开发人员和用户无法获取原始数据。5.方案特色上述共享模式具有如下特点：（一）可用不可见，实现工业数据资源安全共享不同于传统数据共享时数据提供方直接将明细数据交换到数据需求方，新型共享模式采用计算靠近数据的原则，企业私有数据不出本地，尽量在边缘进行计算，需要交互的数据加密以后提交云端的安全多方计算后台进行处理，最后将最终结果安全发送给数据使用方，实现数据可用不可见，保障流通中企业对数据的权利和数据资源的安全。（二）边缘和云协同计算，保障工业数据流通透明可信数据信息公在云端进行公开数据发布、可和云端可部署的使用的存证、授权、计费等子系统无缝对接 ，实现计算数据使用计费、过程的验证审计等，确保计算过程利用合法合规、同时为数据提供方提供经济激励通道。（三）多方潜能释放，促进工业大数据深度应用新型共享模式在传统数据提供方、数据需求方的基础上引入算法开发提供方，提供专业的数据处理挖掘能力，为工业数据应用在供给端注入动能，降低工业企业数据应用的成本投入和专业壁垒，解决不会用、不用好的问题。6.适用领域基于商业模式的工业数据安全社区生态示范建设，对现有的云架构数据共享体系进行安全升级，集成网络支付功能，建立可保障产权、数据存储于边缘、数据目录云端发布，探索可数据出租等新模式，确保数据提供方，计算模型开发方、应用APP开发方等各方利益。四川省工业信息安全创新中心联系人：王忻怡 电  话 19180920954

摘要：以网络安全等级保护、关键信息基础设施保护为基础，通过安全网管、商用密码网关、认证中心、安全管理中心等密码产品，配合密钥管理与认证中心，为工业互联网提供从边缘层到应用层的终端接入认证、数据传输认证、数据完整性与安全防护性、不同安全区域隔离等安全防护功能与可信计算支撑。关键词：工业互联网、接入认证、数据保护、国密应用1.概述1.1背景当前工业控制系统领域安全事件频发，工业控制系统安全又关系着国家安全、社会稳定以及人民利益，因此工业控制系统安全面临着重大挑战。随着"中国制造2025"的提出以及2018年工信部发布的《工业互联网发展行动计划（2018-2020年）》和《工业互联网专项工作组2018年工作计划》，中国工业互联网的建设与发展稳步推进，将互联网、5G通信、云计算、物联网等技术引入了工业控制和制造领域，在提升工控行业的生产效率和技术含量意外，也引入了新的风险和挑战。1.2目标以密码技术作为工业互联网安全防护的核心技术和基石，强化纵深防御体系，保障工业控制系统运行高安全性。2.需求分析工业互联网在架构上包含了传统互联网和传统工业控制网络的特性，需要兼顾工业控制网络特点、各层面终端认证、数据通信传输存储完整性和安全防护性以及不同安全等级区域边界的横向隔离等。本解决方案适用于解决工业互联网场景下终端认证、横向隔离、纵向加密以及存储3.方案架构3.1技术架构以网络安全等级保护、关键信息基础设施保护为基础，从安全物理环境、安全区域边界、安全通信网络、安全计算环境和安全管理中心等方面构建工业互联网技术方案。图1 技术架构通过安全网管、商用密码网关、认证中心、安全管理中心等密码产品，配合密钥管理与认证中心，为工业互联网提供从边缘层到应用层的终端接入认证、数据传输认证、数据完整性与安全防护性、不同安全区域隔离等安全防护功能与可信计算支撑。3.2主要功能1. 实现边缘层的设备接入认证2. 实现各层间数据传输的完整性和安全防护性3. 实现各层间的正反向隔离3.3技术指标序号指标项指标1支持算法SM1、SM2、SM3、SM42支持终端连接数大于5000个终端用户4.方案特色方案基于网络安全等级保护和关键信息基础设施保护进行设计，基于商用密码构建了纵深防御体系。5.适用领域该方案可适用于各工业控制领域。6.企业分工由具备相关资质的设备厂商提供相应设备，安美勤进行参数和功能把关和整体部署设计。7.应用案例无成都安美勤信息技术股份有限公司联系人：武女士 电  话：18080050335

摘要：安全即时通讯服务平台提供的加密即时通讯、加密VoIP通话、组织通讯录等拥有商密认证资质的核心业务功能在配合安全终端的形式下，提供用户从终端到应用、从信源加密到通道加密多维度的一站式解决方案。解决了即时通讯软件的合规性，培养用户对信息发布的责任意识，约束恶意传播违法信息的行为。关键词：安全即时通讯、非密敏感信息、 APP自我保活1.概述对于党、政、军、企事业单位等对信息化和安全需求都非常迫切的组织而言，如何在高度信息化环境下进行安全有效的治理和管理、信息有效的流通以及资源和知识共享成为新时期的挑战。作为组织沟通必备的工具，企业级的即时通讯软件不仅解决实时沟通问题，提高工作效率和部门业务协同能力。它有利于实现各组织办公自动化智能化，同时对组织内部管理、 信息安全、业务集成方面都可以发挥重要作用。所以企业级即时通讯软件给组织管理带来全新的沟通解决方案。但企业级的即时通讯在给组织带来诸多便利的同时，也带来一些问题。如随着组织扩张，人员迅速增长，传统的即时通讯无法保证其可用性和稳定性；黑客可以通过即时通讯软件漏洞窃取组织人员信息和重要沟通信息等。日常工作涉及大量非密敏感信息的跨境沟通协作。这些信息如果选择无合规国产商用密码保护措施的即时通讯应用进行传递，会给业务开展带来重大的安全隐患。因此，有必要采用安全的即时通讯服务实现即时消息安全传递，安全即时通讯服务的设计需要符合国家网络安全和密码管理的相关法律、标准和规范的要求。2.需求分析安全即时通讯服务平台需支持主流即时通讯工具的基本功能，还应从身份认证、传输加密、存储加密、密钥管理等方面进行密码应用设计，依托国产商用密码技术和密码产品构建合规的密码保护体系，保证即时通讯数据的真实性、机密性和完整性。3.方案架构3.1技术架构平台由客户端、基础设施、安全平台、服务平台和应用平台组成，其产品结构如图所示：图1 即时通讯平台产品结构基于基础设施、安全平台、密码服务平台及应用平台，构建应用系统。客户端可以在专用终端或者自带终端上安装使用，支持主流的Android移动终端及Windows桌面终端，支持移动端和桌面端同时登录、消息同步收发。3.2产品部署图平台可提供电信级公有云（SaaS）、入驻式部署、私有云部署等多种部署方式，客户端可在通用终端和专用终端上承载使用，满足不同行业不同客户的个性化需求。图2 系统部署示意图3.3主要功能1) 平台客户端在移动终端上提供即时消息、VOIP语音、通讯录等安全功能，通过调用密码模块实现各种加密功能，包括加密/解密、签名/验签、 HASH 运算等。2) 平台安全通信平台提供即时消息、VOIP语音、通讯录等安全服务。3) 密码服务管理平台负责对整个系统进行密钥的全生命周期的管理，包括密钥的产生、分发、更新、销毁等。4) 数字证书认证管理系统负责整个系统所需的数字证书的全生命周期管理和维护。3.4主要技术指标1) 主要功能指标                ● 平台支持Android、Windows平台客户端；                            ● 平台支持点对点和群组即时消息；                            ● 平台支持文字、图片、文件、语音和短视频的加密传输；                            ● 平台支持打开常见格式的文档，包括doc、docx、xls、xlsx、ppt、pptx、txt、pdf，以及常见类型图片和视频；                            ● 平台支持加密VOIP电话拨打功能；                            ● 平台支持安全水印、防截屏、阅后即焚等功能；                            ● 平台支持公开消息和私人消息模式；                            ● 平台支持对历史聊天信息的加密存储功能；                            ● 平台支持组织通讯录查询；                    ● 平台支持基于组织架构的分级、分层、分角色权限管理功能；2) 主要性能指标 ● 平台支持在线用户数最大为10000个；                            ● 平台支持通讯录联系人数最大为10000个；                            ● 平台支持普通群用户数最大为500 个，内部群用户数最大为1000个；                            ● 平台支持传输图片/文件大小≤20M字节；                            ● 平台支持消息送达时间(网络正常情况下)≤5s；                            ● 平台支持短视频拍摄时长≤10秒；                            ● 平台支持语音消息时长≤60秒。4.方案特色1）自主高安全密码协议及技术在系统软件架构上，采用包括用户接入安全、用户数据安全、信息传输保护等措施，基于国家密码管理局认可的密钥协商协议、安全通信协议和密码算法，采用多层次密码密钥体系来保证信息通信安全，实现用户身份认证和通信的端端加密保护，防止非法用户进行窃听、仿冒、篡改、重放等操作。2）高质量语音QoS保证技术加密VoIP语音通话从音频采集、处理、编解码、调度传输、服务器部署、链路优化等方面进行整体考虑，统一优化。采用包括：自适应编解码方式、改进的媒体调度机制、自适应速率控制、丢包补偿机制、QoS保证策略，以及服务器端调度机制，优化语音音质和提高语音质量稳定性。3)密钥协商的可靠传输技术自主设计密钥协商可靠保证技术，根据不同延时、抖动、丢包网络下的密钥协商表现，优化密钥协商流程，实现密钥协商的高效性、可靠性及同步性。通过该机制的改进，极大提高了密钥协商成功率，特别是在较大延时及丢包等不良网络情况下的密钥协商成功率。4)APP自我保活技术采用多种保活机制，如服务自启动、开启"前台服务"等，提高服务进程优先级，从而减提升APP保活率。同时，开启NAT的保活功能，采用智能心跳机制并辅助其他手段增强用户长连接保活。自主研究心跳对齐机制，在保证应用保活率的情况下，降低电量损耗及网络流量。通过完善注册状态机、注册重试机制及注册失败的退让机制，提高在深度休眠及NAT环境下的VoIP呼通率。5)通讯录增量更新技术采用数据增量同步技术、节点结构体优化技术，基于版本号、阈值分片拉取实现通讯录增量更新。同时采用对超过阈值大小的数据进行灵活切片、压缩，提高移动端同步数据的时效率。6)自主消息同步设计技术基于瘦客户端设计思想，创新性地研发设计自主消息同步协议。服务端按队列方式存储消息，当有新消息到达时，服务端推送消息到达通知，由终端决定拉取消息的位置。同时，创新性地采用预先发送同步字符的机制，提高数据的传输速率。该协议大大简化客户端消息同步机制复杂度，同时满足Android、IOS、PC等各个平台的不同需求。7)微服务架构设计技术后端服务按业务功能和领域模型实现微服务拆分，采用先进的服务治理框架、统一配置中心、API网关、日志监控和链路跟踪组件，实现微服务注册、发现、配置等的统一管理。各业务服务器均为分布式冗余部署，并对用户请求进行统一认证授权，配置负载均衡、动态路由、缓存数据、流量控制、熔断降级、日志监控、链路跟踪等功能，任意业务单元挂死后，将自动切换到其他实例。采用Docker容器化技术及提供的弹性伸缩PaaS平台，通过Jenkins实现持续集成和持续发布能力，系统具备快速扩容、弹性伸缩、灵活发布、高并发支持等能力。5.适用领域平台面向政府、企业、事业单位等有安全需求的行业用户，打造具有安全边界的组织沟通协作平台。例如：政府：掌握着关乎国计民生的方方面面信息，其中存在大量敏感数据和资料，人员涉及广、信息边界模糊、信息化建设系统繁多。军工：掌握大量涉及国家安全的情报及技术，敏感信息众多。鉴于军工企业的特殊性，是境外黑客团队主要攻击对象。金融：行业涉及大量经济来往，行业内容办公、业务往来都依赖于即时通讯作为媒介。教育科研：涉及众多国家新方向及新技术研究，且教育科研行业的特殊性往往会让从业者疏于防范。能源、制造、地产：掌握关于国计民生的重要资源信息，敏感信息众多。6.企业分工安全即时通讯服务平台客户端可以在专用终端或者自带终端上安装使用，支持主流的Android移动终端及Windows桌面终端，支持移动端和桌面端同时登录、消息同步收发，提供电信级公有云（SaaS）、入驻式部署、私有云部署等多种部署方式。业务平台硬件服务器华为交换机华为防火墙华为台式机通用平台软件操作系统Centos.org虚拟化环境VMware虚拟机管理VMware消息服务Apach推送服务EMQ数据库Oracle内存数据库Redis Lab安全密管软件应用服务器华为管理服务器华为密码软卡私有化卫士通saas化密码机　CA　7.应用案例目前安全即时通讯服务平台提供的加密即时通讯、加密VoIP通话、组织通讯录等拥有商密认证资质的核心业务功能在配合安全终端的形式下，提供用户从终端到应用、从信源加密到通道加密多维度的一站式解决方案。成功保障了中央网信办、中国石油、中国电科等用户敏感信息的沟通及文件的传递，同时也解决了即时通讯软件的合规性，培养用户对信息发布的责任意识，约束恶意传播违法信息的行为。成都卫士通信息产业股份有限公司联系人：吴晓鹏电  话：13981810123

摘要：黑晶芯7芯手机卡可搭载M1/CPU门禁应用，使用手机即可实现门禁刷卡、身份识别等场景。CPU卡相比传统M1/白卡具有防止非法复制的优势，有效保障了居民出入的安全。同时搭配数字钱包、地铁公交应用，打造个人数字化的生活服务。配套智慧社区管理平台，可实现门禁权限管理，人员进出记录，通过数据中心可为政府提供社区高效治理的决策依据。关键词：智慧社区，国密算法，智能门禁，物联网1.概述1.1背景政府层面：从2013年起，国家相继出台《国家高新技术产业开发区创新驱动战略提升行动实施方案》、《智慧社区建设指南》、《关于加强和完善城乡社区治理的意见》等一系列政策措施。其中《国家高新技术产业开发区创新驱动战略提升行动实施方案》是我国国家层面首次提及智慧社区的文件，《智慧社区建设指南》为全面推动智慧社区提供了明晰的建设框架。社会层面：年初，新冠肺炎的爆发，对我国社会治理体系和能力是一次大考，领导层在调研指导新冠肺炎疫情防控时，也多次强调"社区是‘外防输入、内防扩散’最有效的防线"。面对突如其来的疫情威胁与高规格疫情防控措施，如何满足居民正常生活物资需求、保障安全有序筛查就医、精准实施联防联控、建设畅达信息沟通渠道等，都对智慧社区建设提出新的要求。技术层面：随着国家和地方城市的重要发展战略部署，5G、智能家居、智慧养老等不断探索落地应用场景，加快技术升级和产业完善。智慧社区作为天然、动态的试验场，不仅有效推动社区智能化升级，提升社区治理服务效能，还能充分发挥智慧社区的示范效应，带动和赋能城市相关产业发展。比如，2019年北京海淀区太平庄街道至强北园社区作为全国首个"5G+AIoT新型智慧社区"正式亮相，该社区以5G网络为基础、运用各种智能物联网技术，实现社区环境更安全、居民生活更便捷、社区管理更高效，多项公共服务水平得到显著提升。1.2目的传统的机械门锁结构复杂，管理麻烦，随着门禁的发展，出现了各种电子磁卡锁、电子密码锁，社区通道管理进入电子时代。随着电子锁广泛应用，安全漏洞逐渐暴露：电子锁门卡容易出现密码泄露、失磁、丢卡、非法复制、被捡等，造成了大量财产损失，甚至还威胁到人身安全，系统性的升级门禁安全体系已迫在眉睫。新时代的智慧门禁则提供了全新的门禁方式，通过卡片识别、生物识别等功能实现多样化的智能开门方式，利用数据网关上传至配套智慧社区平台，可以有效的实现人员的进出管理，在疫情等非常期间可以掌握进出情况，统一进行数据管理，高效地控制人员流动。搭载于SIM卡上的国密门禁应用提供了更为安全的CPU门禁卡模式，难以复制且与个人身份绑定；此外可通过卡片搭载的公交地铁、金融消费等应用实现个人用户更安全便捷的数字化生活。2.方案架构2.1方案设计图1 方案架构如上图所示：    1.黑晶芯TSM平台提供智慧社区平台应用空发能力；    2.智慧社区平台向黑晶芯TSM平台提供用户数据；    3.数据网关将收集的人员进出信息上传至智慧社区平台；    4.智慧社区平台提供快速部署与远程管理功能；    5.微信小程序作为黑晶芯APP功能补充，模块化应用实现自由插入式选择；     6. 门禁设备录采集人员进出信息并上传数据网关后发送至平台；     7. 数据网关发放注册人员门禁权限至门禁设备；2.2产品说明2.2.1.国密SIM卡：黑晶芯-7芯手机卡"黑晶芯系列-7芯手机卡"是四川科道芯国智能技术股份有限公司（以下简称KEYDOM）自主知识产权的【NANO形态多芯集成物联网微芯片组】，用于替代传统SIM卡，广泛用于安全移动支付、身份识别认证等。黑晶芯-NANO形态多芯集成物联网微芯片组是综合了集成天线技术、智能卡技术、13.56MHz 近场通讯技术的复杂SIM 卡产品。将通信 SE 芯片、数据安全 SE 芯片、蓝牙芯片、NFC芯片和微天线芯片集成在一颗NANO形态的SIM卡上。通过先进的架构设计及独特的SIP（System In Package）封装工艺，满足通信需求的同时，也满足各行业的非接触应用场景，如公交、门禁、居民健康卡、银行卡等。通过蓝牙实现上层应用同SE安全芯片的数据交互，由APP对卡应用进行管理，满足了各类卡应用空开、空充等在线使用场景，"把各种卡装进手机"，为用户带来更为便捷的数字应用生活。图2 SIM卡应用示例本建设方案中，通过向SIM卡上加载基于国密算法的CPU门禁应用，实现任何一部手机即可轻松刷卡开门。国密门禁应用的设计架构：图3 设计架构2.2.2.智慧社区管理平台图4 管理平台智慧社区平台，针对智慧城市的特点，打造实现智慧物业管理、电子商务服务、信息交流平台、智慧养老服务、智能设备控制等聚类智慧社区创新服务。以大数据平台的形式，提供直观、高效的数据统计以及社区、小区管理功能。 目前打造的场景中主要提供有以下功能：门禁管理：通过门禁设备实现人员流动管理，管控人员进出；实现人员身份审核与门禁权限下发；信息发布：解决传统社区信息孤岛问题，有效保证社区公告信息传递的有效性；终端管理：实现远程对各物业设备的监控与管理；此外，平台可实现信息反馈处理，解决传统社区居民与物业信息反馈不流畅，问题解决缓慢等问题；日后借助于社区平台，可实现更多物业增值服务，例如家政预约、车位管理等。本方案采用加载国密算法安全芯片的CPU SIM卡产品，有效防止卡片被复制或密钥破解。配合智慧社区平台以及物联网门禁设备实现多个场景应用：1）人员数据库记录小区相关人员的信息库，包括住户、物业管理人员等。实现功能：根据APP端提供的人员注册信息，收录并保存等待审核；物业可对注册信息进行审核，对各类注册人员进行标签分配，应包含有住户、访客、租户、物管、管理员。已通过审核认证的人员将会收录进库，可根据注册时间，居住信息，人员标签进行筛选查找；物业对门禁权限的管理，包括对各注册人员的进出权限的下发与解绑等；2）门禁管理实现对门禁设备的安装、运行与维护状况的记录与监控，并提供标签筛选功能；实现门禁设备对人员进出状况的记录与留档，并提供标签筛选功能与大屏展示的数据输出。实现功能：各个社区的门禁设备信息收录，包括设备型号（设备名称、设备类型、设备编码），安装情况（安装时间，安装负责人，安装社区，安装位置），运行状态（正常/异常），并可根据型号与安装情况定位到具体设备；设备采集的人员流动信息，应包括：进出时间（精准到分），进出对象（注册人员包含人员类型，非注册人员以访客身份记录），进出方式（白卡、七芯卡、人脸识别）；设备巡检机制，程序自动固定时间巡检一次设备运行情况，出现异常将设备信息平台将推送信息至运维人员；通过可复制的整体解决方案，提供疫情期间的安全管理，流动人口管理，物业管理等多类信息化建设场景，为智慧城市中核心要地--社区信息化提供有力解决路径。3.典型应用黑晶芯7芯手机卡，基于芯片及国密的应用设计，可以广泛运用在各类NFC移动支付、身份认证以及蓝牙物联网的应用场景。作为智慧城市的用户入口，广泛运用于交通、金融、安防、医疗等应用场景。图5 应用场景1）智慧社区：7芯手机卡可搭载M1/CPU门禁应用，使用手机即可实现门禁刷卡、身份识别等场景。CPU卡相比传统M1/白卡具有无法复制的优势，有效保障了居民出入的安全性。同时搭配数字钱包、地铁公交应用打造个人数字化的生活服务。搭配智慧社区管理平台，可实现门禁权限管理，人员进出记录，连接数据中心可为政府提供社区高效治理的决策依据，连接天府"蓉易办"平台可为社区居民提供更为全面的一体化服务。目前已在成都市内建设200余个小区，进一步扩大规模计划正在实施中。2）公众出行7芯手机卡可根据各区域的通卡标准规范，加载标准通卡应用，即可直接实现公交地铁的刷卡。当前在成都地区，黑晶芯7芯手机卡内置了本地通卡应用-天府通，用户手持7芯手机卡即可在成都市范围内进行公交、地铁的乘坐。出行统计数据可由数据中心管理分析，为公众交通资源调度与未来规划提供可信数据。3）数字电子身份认证7芯手机卡搭载电子身份认证应用，以国产自主密码技术为基础、以智能安全芯片为载体，采用空中开通或临柜面审的方式，依据对法定身份证件核验的结果，由"公民网络身份识别系统"签发给公民的网络电子身份标识，不仅能够在不泄露身份信息的前提下在线识别自然人主体，还能用于线下身份证明。本产品已提交并通过公安第三研究所电特性与物理特性测验，通过加载于SIM卡上的数字身份认证应用，即可使用手机进行线上线下身份验证，签名验签等功能。目前正在参与打造数字身份认证试点工作。届时将通过SIM卡的身份识别功能，联合公安部，打造身份识别新应用场景。4）DCEP数字货币硬钱包7芯手机卡搭载DCEP硬钱包应用，可作为数字货币硬钱包直接进行近场支付交易。拥有以下的特点：无需网络，黑屏即刷，离线交易全终端覆盖：iPhone、安卓非NFC手机、功能机均可实现近场支付硬件加密+国密算法保障资金安全符合国际标准，让中国支付走向世界科道芯国是成都试点政府唯一指定参与数字货币试点的民营企业，目前正在积极参与试点工作。基于国密技术打造的安全芯片可以有效保证资金安全。此外，针对特殊人群的专项定向补助款项，借助DCEP的特性与区块链平台，可以实现款项精准高效发放，满足当下精准扶贫的要求，也能实现发放资金的使用流动监管。DC/EP的可溯源性，加强了央行对整体金融的管控能力，提升了资金流的发放管理能力；DC/EP推广使用后，对专项资金的监管也会变得强而有力，这有利于维护金融与社会稳定，打击贪腐洗钱，制止偷税漏税等金融违法犯罪。DC/EP对于老百姓来说，它提供了一种更为安全便利的支付方式--不同于传统电子支付，DC/EP将会拥有更低的使用门槛：不依托智能手机；来自央行的信用背书也使其拥有更高的信用效力。离线支付与匿名交易的特点让日常的使用上更贴近生活场景。对于国际金融形势来说，经济全球化的当下，DC/EP将会成为重要的全球经济竞争手段，为人民币国际化提供了更方便的支付手段。海外用户在DC/EP的使用上拥有着更便利可靠的优势。DC/EP的推广使用是人民币走出国门国际化，打击美元霸权的重要举措。5）蓝牙物联网7芯手机卡可作为蓝牙物联网的身份认证解决方案。通过卡片自身蓝牙芯片，不间断进行蓝牙数据广播。通过网关对蓝牙广播数据进行采集，并上传进行过滤、认证鉴权等逻辑处理。平台最后通过以太网、NB-IoT网络向各类智能设备传输指令，实现门禁、考勤、反向定位等上层应用。4.主要技术1、基于国产芯片及国密算法；2、NANO形态多芯集成物联网微芯片的封装技术国际领先；3、全球率先解决将微天线封装在SIM卡中的信号放大的问题，极大的提升了NFC刷卡效率；4、自动阻抗匹配和调谐电路，高增益带自动增益控制的接收机电路，新颖的功率发射电路和高压隔离开关技术国际领先；5、实现对融合芯片的安全控制，敏感信息的加解密的技术填补国际空白；6、有效解决了蓝牙信息传递的安全问题，填补国际空白；四川科道芯国智能技术股份有限公司联系人：李俊璇  电  话：18030817955

摘要：建设完整的企业可信身份管理首先需要对接入到信息化环境的人员进行统一的标识，确保人员身份可信；其次是需要对身份进行集中管理，如统一认证管理、统一账户管理、统一授权管理、统一终端管理等等，确保身份行为可信；在此基础上还需要具备通过对人员身份的监控及对其行为痕迹进行审计，确保人员身份结果的可信。以此实现企业整体信息化环境的可信身份管理，实现企业信息化的集中管控。关键词：电子签章、电子合同、司法存证、安全邮件1.概述信息化是关系我国现代化建设全局的战略举措，企业作为我国国民经济的重要支柱，无疑是实施国家信息化发展战略的主力军。加强企业信息化工作，不仅对我国企业信息化建设可以发挥积极作用，从整体上提升我国经济信息化的发展水平，对于企业转变发展方式、提高发展质量、增强核心竞争力、应对日趋剧烈的国际竞争，具有极其重要的意义。随着信息化建设的迅速发展，以及业务信息化应用的不断深化、普及与提高，对企业的信息安全问题也提出了更高的要求，如身份可信、数据安全等问题越来越受到关注与重视。虽然网络访问控制、入侵检测与防御等基于网络层面的安全防御系统，有效地解决了网络层面的安全问题。但是现有的安全技术手段对于用户身份的可信性鉴定、信息的加密防篡改、关键操作的防抵赖、责任认定等环节均存在一定的局限性。无论是网络系统、业务系统、办公系统，其最终的主体将是企业内外的人员，因此对于人员的可信身份的管理在信息化及工业化发展中越发显得重要，只有加强人员的管理及其可信身份管理，才能为企业的管理、业务发展构建可信的信息化环境。信息的管理和使用，最终将归根于人来管理及对人的管理，而对于人的管理，也必须是建立在可信安全的基础之上的，因此人的"可信身份管理"将成为企业管理信息化到达一定程度的关键环节和必然阶段。人在信息化中担当着重要的建设、管理、应用、维护等角色，由此信息化的建设与管理将以人员为核心渗透企业整个信息化，已经成为必然。一个完整的企业可信身份管理首先需要对接入到信息化环境的人员进行统一的标识，确保人员身份可信；其次是需要对身份进行集中管理，如统一认证管理、统一账户管理、统一授权管理、统一终端管理等等，确保身份行为可信；在此基础上还需要具备通过对人员身份的监控及对其行为痕迹进行审计，确保人员身份结果的可信。以此实现企业整体信息化环境的可信身份管理，实现企业信息化的集中管控。2.需求分析为了加快建设集团企业综合管理信息系统，强化科学管理和集中控制，企业需要通过一系列的技术和管理措施建设企业的安全认证平台，实现企业信息化向整个企业集成、共享、协同转变，实现集团企业信息系统的统一集成。具体需求如下：2.1用户身份真实性需求目前企业业务应用系统大多采用"用户名+密码"的方式来验证用户的身份。这时用户所输入的信息和密码都是通过明文的方式，传输给系统服务器，服务器再根据所提交的信息和密码，查询数据库，来判断用户身份是否真实。这样的方式其实存在巨大的安全隐患，非法用户可以通过口令攻击，猜测、窃取等方式获得口令，假冒合法用户，登录系统获取机密信息。因此必须采用安全的手段，解决信息系统身份认证的需求。如果不解决身份真实、有效识别问题，各类办公软件，系统集成或自动化设备都无法正常开展，甚至带来不可估量的其他负面影响。2.2统一身份认证需求企业业务系统较多并且业务系统间分散独立，用户登录计算机后，使用不同的"账号+密码"登录各个业务系统，缺乏统一的用户身份标识和身份认证，因此亟需建立统一的身份认证系统，统一的用户管理系统，实现"单点登录，全网通行"，便捷、安全地满足业务和管理的需求。2.3移动端安全性需求目前基于公钥密码学的数字签名和加解密技术已经广泛应用在企业信息系统建设中，成为保证信息安全的重要工具，而私钥的安全性及使用是保障这些应用安全的基础。传统PC端的私钥安全可以通过USBKey来保护。但在移动应用环境中，用户终端通常以软件的形式存储和使用私钥，因此安全防护能力较差。比如，如果私钥完整的存储在智能手机的单个文件中，那么攻击者通过权限提升则可获得私钥，另外，如果私钥完整的出现在每次的签名计算中，那么攻击者则可以有很多方式将其从智能手机内存中导出。即移动终端既有私钥的安全性需求，又需满足移动互联网低延迟、少交互的特点。2.4数据传输存储安全性需求企业信息系统终端与服务器间的信息传输安全往往被忽视，明文传输，非法用户很容易监听甚至篡改相关数据，或者直接入侵应用系统，窃取相关资料。对数据而言，在面临来自外部的病毒、木马、网络攻击等种种网络安全威胁的同时，来自内部的数据泄露也是一个更需要重视的问题。在当今竞争日趋激烈的商业社会，到处存在着陷阱和诱惑。为了达到目的，一些不良企业或个人会不择手段来谋取自身利益的最大化。他们有可能窥探数据的研发、生产、收入数据、客户数据、销售数据等核心信息。这些信息关系企业生存与发展的命脉，一旦流失将会让数据面临信誉、经济、运营、隐私和法规遵从方面的威胁。2.5操作行为或责任可追溯需求随着系统信息化高速发展，各项传统线下业务逐步向线上转换；用户需对纸质签字或盖章负责转向对一段数据电文描述内容的认可，数据电文的责任归属是否明确直接关系到信息化流程能否完全取代传统的纸质流程。在用户身份真实可信的前提下，需要结合可靠的电子签名，建立信息系统中的责任认定机制，保障数据电文的操作行为可追溯，使信息化的高效率优势充分发挥。3.方案架构3.1系统架构系统总体架构图基于PKI/CA技术（身份认证、数字签名、电子签章、加解密等），通过采用签名服务器、时间戳服务器、电子签章系统等产品，结合企业具体业务需求，建设企业安全认证平台，通过为信息系统各方用户发放数字证书来对其进行身份标识，并且在信息系统业务执行过程中通过集成电子认证相关应用功能，最终满足信息系统的安全需求，为企业用户提供办公流程生命周期的安全保障。（1）企业员工、供应商、合作伙伴等用户使用Ukey、手机盾的数字证书通过身份认证，登录统一身份认证管理系统，根据各自不同的权限访问企业内部应用系统；（2）企业用户客户端通过安全认证网关，与业务应用服务器建立SSL连接，保证数据传输的安全；（3）使用电子合同管理系统，企业与上下游供应链厂商签订电子合同；（4）使用电子证明系统，对企业业务过程中各个业务系统产生的关键数据进行签名，建立责任认定机制。3.2网络拓扑结构网络拓扑图4.方案特色总体设计图根据上述需求分析及企业实际需求，实现企业办公流程全生命周期的管理，拟建设内容如下：1) 建立企业CA服务账户，提供证书生命周期管理，包括：证书注册、证书服务功能、系统管理功能、帐号管理功能、策略管理功能、统计审计与日志功能和密钥管理功能等。2) 建立统一身份认证平台，为企业提供单点登录、统一身份认证、统一授权、统一用户管理、统一审计监控等服务；3) 建立基于电子签名应用的电子证明系统，对企业业务过程中各个业务系统产生的关键数据进行签名保存；4) 建立SSL安全通道，保证企业客户端和服务器间数据传输安全。5) 建立面向企业上下游供应链厂商的电子合同管理平台；5.适用领域5.1企业统一身份认证为满足业务需求，统一身份认证平台设计如下图所示：统一身份认证平台架构图如上图所示，部署统一身份认证平台，实现企业用户单点登录、用户管理、身份认证、访问控制和审计监控等功能。5.2企业无纸化应用：电子合同（一）企业内部：采用电子合同进行人事合同签署，节省了大量的人力、物力成本。员工在手机端即可完成实名认证，手写签名，签署合同。（二）企业外部：使用电子合同云平台服务，助力企业节省签署时间成本，释放企业竞争力。5.3企业无纸化应用：电子招投标本方案主要为招投标的网络化提供安全、可信的保障，利用数字证书认证体系与招标单位业务系统进行应用结合，从而实现采购、招投标平台的认证安全、敏感文件加密等。招标方/投标方/评标专家参与在线招投标交易活动的各方主体使用数字证书进行强身份认证，确保用户身份真实性和唯一性。对招标公告、招标文件、投标文件、开标记录、评标报告、中标通知书等电文实施可靠电子签名，确保招投标业务各个环节可被记录，不可篡改，保障数据完整。对运营单位通过可靠的数字签名等安全保障技术，保障招投标过程和结果具有法律上的不可否认性，避免招投标纠纷，提高自身信誉和经营收益。5.4企业数据安全传输企业用户访问后台应用服务采取SSL加密方式，避免了用户信息的泄露，及用户资料被窃取；双向及单向SSL加密方式，保证了用户身份安全认证及访问信息的加密；证书信息的快速分析、解析，支持直接以URL、Header方式向后台应用传送证书字段；多样化的后台服务器支持包含FTP，WEB，SNMP/POP3的网络协议。并可根据访问权限的控制，为用户设定不同的访问策略。5.5移动安全办公采用移动安全认证系统，实现在不依靠外部硬件设备存储的前提下实现对用户个人证书的保存，同时支持国密算法应用。提供完善的安全策略保证客户个人证书安全，客户端集成插件具备加壳、加固、抗逆向分析和防反编译等安全条件；符合运行过程安全，包括证书申请传输和交易加签验签过程都不存在任何与客户个人证书相关的临时数据，由此防范内存分析攻击风险；加密服务支持国密算法。6.应用案例四川CA是权威公正的第三方电子认证服务提供商，是四川省统一数字认证体系的重要组成部分、四川省信息安全的重要基础设施，经过13年的发展，我们的成功案例如下：▪ 大数据1) 崇州大数据应用项目▪ 智慧交通1) 成都交警业务离柜办理平台▪ 电子商务1) 宏信证券网上交易系统2) 中房北辰评估电子商务平台3) 四川天府银行网银系统▪ 移动应用1) 成都市社保医保便民服务平台2) 成都市电视台手机移动认证应用▪ 企业内部信息化1) 成都市工投集团协同办公系统2) 成都市劳保局办公自动化系统3) 成都市区域卫生平台四川省数字证书认证管理中心有限公司联系人：江鹏电  话：18516298723

摘要：采用数字证书来进行身份验证，数字签名实现防抵赖、伪造，使用时间戳技术保障时效性，采用数字信封等加解密技术实现数据安全存储，使用电子签章技术实现开标会签，废标会签等功能。在这些技术保障下，实现一个安全在线招投标系统。关键词：数字证书、电子签名、时间戳服务1.概述1.1背景电子化交易的产生与发展 随着科技的发展，尤其是以计算机技术为基础的互联网技术的发展，信息技术逐渐融入人们生产生活的各个方面，提高了生产效率，为人们的生活节约了时间和金钱。基于网络计算和交互特性进行网上招投标，也逐渐成为招投标发展的趋势，很多的招投标单位都在开始着手将整套的招投标的流程搬到网上，开始体验网上招投标的优势。网上招投标有独到的优势：由于不需要租用场地进行信息发布和答疑工作，节省了供应商及招标单位的会务费用和交通费用；不需要为了报价、投标的出差和异地办公，大大降低企业的成本，最终也会以更低廉的采购成本回馈采购单位和招标单位；通过网络进行沟通，大大提高了办事效率，缩短了采购和招投标的时间；通过网络进行的采购和招投标活动，过程中双方人员可以不见面，减少可能发生的暗箱操作。更加透明，体现了公开、公平、公正的理念。正是因为这些可见的电子化交易所能带来的这些好处，我国很多的单位企业都开始着手将整套的采购和招投标的流程搬到网上。网上交易中的信息安全问题网上电子交易系统是一种网络信息系统，因此具有其他的信息系统类似的安全隐患和安全问题，但是作为一种实现特殊业务的特有系统，也具有一些其自身特点的安全需求，以及满足这些特殊需求的特有的解决方案。2004年8月28日，中华人民共和国第十届全国人民代表大会常务委员会第十一次会议通过了《中华人民共和国电子签名法》，并于2005年4月1日起施行。电子签名法的制定和实施解决了电子商务、电子政务当中最为重要的数据电文原件、电子签名的法律效力等问题。重要的商务活动要求提供和保存相关原件，在发生纠纷提起仲裁或诉讼时，要求以原件作为证据。而电子商务以数据电文在计算机网络间传递信息，电子数据都记录在计算机内，输入到打印机打印出来的都只能算是"副本"。那么，如何确定数据电文的"原件"，什么样的数据电文可以视为符合法律要求的书面形式，需要明确。另外，传统商务活动中，交易双方在纸质文件上手书签名或盖章，一是为了证明身份，二是表示对所签名盖章的书面文件的认可，受其约束，不得反悔。鉴于签名盖章对保证交易安全极为重要，有关法律规定，书面合同等重要的商务文件，须经当事人签名盖章始生效力。而在电子商务中，通过计算机网络以数据电文传递交易信息，不可能采用传统的手书签名、盖章方式，为此人们创造了在数据电文中用电子数据"签名"的技术，以其作为保证网上交易安全的重要手段。这种签名的可靠性如何?是否具有与手写签名同等的法律效力?也需要法律予以明确。电子签名法第十四条规定:"可靠的电子签名与手写签名或者盖章具有同等的法律效力。"电子签名法第五条规定:"符合下列条件的数据电文，视为满足法律、法规规定的原件形式要求:(一)能够有效地表现所载内容并可供随时调取查用...电子签名法没有规定采用哪一种技术的电子签名是可靠的电子签名。但是目前为止能够达到电子签名法要求的技术实现手段只有基于PKI技术的电子签名手段。《电子招标投标系统技术规范》则明确规定： 招标 投标当事人对版式文件等数据电文进行电子签名或加盖电子印章，并应用数字证书绑定数据电文与主题身份的关联，与纸质文件签名或盖章具有同等法律效力。2.功能介绍基本安全功能：通过CA系统为最终用户颁发数字证书，数字证书能够很好的应用于招投标系统中，提供下列最基本的应用安全功能：身份认证CA系统颁发的数字证书可以作为系统对用户进行身份认证的依据，为系统提供基于数字证书的身份认证解决方案。在用户访问系统时，需要用户出示从数字证书，系统完成对证书的验证（包括是否可信、是否有效和是否被吊销等验证），来实现对用户的身份认证。访问控制CA系统颁发的数字证书的应用，还为系统提供了访问控制解决方案。在系统中，可以使用数字证书作为访问控制的机制。在系统完成对用户的身份认证之后，系统解析用户证书，从证书上获取用户信息，然后查询访问控制列表，获取用户的访问授权，实现对用户的访问控制。数据加/解密CA系统颁发的数字证书的应用，为系统提供了数据加/解密的解决方案。在进行通信时，可以使用对方的证书（公钥）对通信的数据进行加密传输，接收方接收到数据之后，使用自己的证书私钥对数据进行解密，得到信息的明文。这样，可以实现信息在传输过程中是机密，保证信息机密性需求。数据签名/验证CA系统颁发的数字证书的应用，为系统提供了数据签名/验证的解决方案。在进行通信时，使用发送方的证书私钥对通信的数据进行数据签名，接收方接收到数据之后，使用发送方的证书对数据签名进行有效性验证，验证通过，则认为信息在传输过程中是没有被窜改的、的确由发送方发送的。这样，保证了信息传输的完整性和抗抵赖性需求。3.方案优势3.1传统电子招投标系统业务流程传统电子招投标系统整体的业务流程如下：流程中特有的安全需求： 1、身份合法性：必须能够确认招投标人身份，保证只有适当的人才能访问适当的业务； 2、权限的控制：招标方操作人员、主管领导，投标方操作人员，评标专家各司其职，每个角色只能完成自己份内的工作，查看自己份内的信息； 3、不可抵赖性：投标企业在发送投标书后不能抵赖，不能否认自己的投标行为和投标书内容； 4、安全传输：投标信息在网络上传输时，要不能被其他投标人了解和窜改，要能够证明投标信息的真实性和完整性； 5、时效性：招标信息要在同一时间通知投标方，投标资料需要在同一时间被打开，防止有人从中舞弊； 6、安全存储：即使网络主机被黑客攻破，存储的投标文件被竞争对手获取，由于招标文件是加密信息，竞争对手也无法获得招标文件的内容。所以在这些标注节点可以采用数字证书来进行身份验证，数字签名实现防抵赖、伪造，使用时间戳技术保障时效性，采用数字信封等加解密技术实现数据安全存储，使用电子签章技术实现开标会签，废标会签等功能。在这些技术保障下，实现一个安全在线招投标系统。3.2数字证书在电子招投标系统业务流程中的应用电子招投标系统引入数字证书以后，整体的业务流程不变，在某些操作上做一些调整。身份验证、数字证书申请招标方、投标方、专家、公证人员等携带必要的证件到四川CA申请个人数字证书或者单位数字证书。招标信息制定预发布阶段制定招标信息摘要，招标申请报主管部门审批；业务人员和主管领导持有的数字证书双向身份认证进行登录进入招投标平台，拟定审批招标公告信息，实现认证、权限控制、加密传输、抗抵赖。投标方申请投标资格、招标文件招标方利用四川CA签发的数字证书向招标方申请投标资格，招标方在审核投标方的身份后，同意投标方参与投标，并允许投标方下载招标文件。投标方提交投标文件投标方填写投标文件，系统将投标文件以数字信封形式发送到网上采购招投标系统，该文件同时包含时间戳信息与投标方数字签名，投标文件被招投标系统加密成多个加密文件保存，投标时间截止（时间戳），招投标系统不再接受新提交的投标文件。形成开标到达开标时间（时间戳），招标人、投标人、公证人、专家等开标相关人员登录招投标系统，利用数字证书验证身份，可以有两种方式形成开标条件，一种是用技术方法控制开标条件，如果登录数达到开标要求，调用门限共享秘密方法重构标书，标书解密完成，交付评标，如果人数达不到开标条件招投标系统不会将标书解密，这种以技术作为开标条件的方法在于能够已最严格的方式保证开标的公正、公开，在条件不达标的情况下无论如何此次开标都不能成功，相对而言，以门限技术作为开标条件也有其缺点，如果在人数不足，但是招标方、投标方都意愿开标的情况下无法完成此次开标，只能重新招投标，极大浪费了招标人、投标人的时间和精力。另一种开标方式取决于参与开标的招标方、投标方的意愿，如果参与此次开标的招标方、投标方都同意开标，则招投标系统在取得招标方、投标方授权以后解密标书，进入评标流程，这种开标方式的优点在于开标的灵活性，避免由于参与开标人数的不达标导致开标无法完成而带来的损失，但是这种开标方式也有其自身缺陷，这种方式与门限技术开标方式相比较在公正、公开方面相对不足，以进入投标系统人员的意愿作为开标条件，有可能损害因为某些原因未及时登陆招投标系统的投标方的利益。评标澄清根据《政府采购货物和服务招标投标管理办法》，对投标文件中含义不明确、同类问题表述不一致或者有明显文字和计算错误的内容，评标委员会可以书面形式（应当由评标委员会专家签字）要求投标人作出必要的澄清、说明或者纠正。投标人的澄清、说明或者补正文件以数字信封形式发送到招投标系统，该文件同时包含投标方数字签名，评标委员解开数字信封接收到澄清文件。评标流程评标专家使用个人证书登录招投标系统，实现双向身份认证，并利用加密通道下载投标文件进行技术评审。评审专家首先对技术标进行评比，筛选出符合技术标的投标方，随后评审专家再对符合技术标的投标方进行商务标的评审，最后与招标方一起评选出中标的投标方。中标通知在招标方、公证方、专家的共同确认下，招标方选出合适的投标方，中标通知以数字信封形式发送到投标方，该文件同时包含时间戳信息与招标方数字签名。4.应用价值有了CA系统的保护，解决了一直妨碍着互联网应用系统发展的用户身份确认、访问权限的控制、数据的私密性、完整性和抗抵赖性的问题，确保了信息在数据交互过程中的安全。主要体现在以下几个方面：●引入第三方认证机制四川CA为四川省政府相关部门指导下成立的全省唯一的、专业的数字认证机构，为相关各方提供专业的、公平的、权威的第三方信任平台，满足了《电子签名法》对信任机构性质的要求。●安全站点访问应用服务器通过服务器证书标示自己的真实身份，供证书用户验证站点的真实性和有效性，杜绝了仿冒服务器的威胁，实现与证书用户的双向认证；●实现系统的安全登录证书用户使用数字证书安全的登录系统，系统通过查询CA中心的CRL列表，验证用户证书的真实性和有效性，确认用户身份，通过后才能进入系统；●实现数据的加密传输证书用户通过身份验证后，与服务器建立SSL加密通道，进行加密通讯，防止数据被窃听，保证了信息的机密性；●实现数字签名，提供了具有法律效力的电子证据证书用户对上传的资料、数据进行数字签名，防止数据被篡改，保证数据的完整性、真实性，并具有抗抵赖性。《电子签名法》为电子签名数据的合法性和有效性，提供了法律上的保障。四川省数字证书认证管理中心有限公司联系人：江鹏  电  话：18516298723

摘要：综合应用SM1、SM2、SM3、SM4等国密标准算法，为企业、机关单位、政府机构提供，远程访问和移动办公。并提供接入身份统一认证与细粒度安全访问控制。保障业务到用户端到端的安全性，对用户的APP安全接入需求提出的安全、简单、易用的解决方案。关键词：安全通信，国密应用，权限控制，远程访问，移动办公1.概述1.1背景随着经济全球化的进程逐步加快，企业为了提高工作效率和竞争能力，远程访问、移动办公已经成了各种社会组织的普遍需要。由于Internet的普及和发展，通过 IPSec VPN技术实现大量数据的远程访问为人们提供了一种低运行成本、高生产效率的远程访问方式。但是，IPSec VPN也有不足，它使用十分复杂，必须安装和维护客户端软件。另外，从远程通过IPSec通道连接到企业内部网络可能会增加局域网受到攻击或被病毒感染的可能。SSL VPN（安全套接层虚拟专网）技术的出现刚好解决了这一问题。 SSL VPN技术帮助用户通过标准的Web浏览器就可以访问重要的企业应用。这使得部门员工出差时不必再携带自己的笔记本电脑，仅仅通过一台接入了 Internet的计算机就能访问企业资源，这为企业提高了效率也带来了方便，同时很好的解决了安全性问题。1.2目标为了满足各行业对远程安全接入产品的迫切的应用需求，我公司制定了SSL VPN解决方案。解决方案包含一系列的IPSec VPN产品，具有安全、合规、高性能、多规格、部署灵活、管理方便、网络适应性强等特点。2.需求分析2.1应用需求通过加密实现安全接入的SSL VPN技术提供了一种安全机制，保护公司的内部网络不被攻击，内部资源不被窃取。SSL VPN是以https为基础的VPN技术，它利用SSL协议提供的基于证书的身份认证、数据加密和消息完整性验证机制，为用户远程访问公司内部网络提供了安全保障。一级功能名称二级功能名称功能描述运行状态系统状态SSL VPN运行状态显示在线用户SSL VPN客户端在线用户信息展示系统管理设备重启SSL VPN设备重启恢复出厂设置SSL VPN设备恢复到出厂配置，所有用户配置会被清空配置管理提供SSL VPN所有配置的导出导入功能软件升级SSL VPN设备固件包进行升级管理参数管理员登录的限制管理员管理管理员账户提供管理员账户增删改查功能网络管理物理接口提供管理口，心跳口和业务口的管理ARP设置接口上ARP的设置路由设置接口上静态路由配置SSL VPN选项部署模式支持单臂双臂模式配置接入选项支持用户接入端口修改，空闲超时时间和会话超时时间设置内网域名解析支持内网DNS服务器配置虚拟地址池支持默认虚拟地址池设置时间计划支持设置用户使用时间段终端安全支持对客户端操作系统及版本、注册表、文件、进程、登陆IP、接入线路IP、登陆时间终端的域组合检查，并根据检查结果进行安全等级评估。SSL VPN管理用户管理支持用户/用户组的增删改查功能，目前一个用户只能绑定一个用户组。资源管理支持资源/资源组的增删改查功能。角色授权基于角色实现用户组用户、资源组/组员的对应绑定，进行细粒度授权；支持B/S应用的URL级别授权证书管理证书请求录入设备信息导出设备证书请求功能设备证书设备证书的管理功能密钥备份与恢复设备密钥备份到USBKEY中和从USBKEY中恢复设备密钥日志管理日志设置日志记录开关，远程日志开关和日志基本的配置操作日志提供管理操作记录查看系统日志提供系统程序启动，系统自检等日志查看及导出通信日志提供用户访问通信等日志查看以及导出功能客户端功能系统托盘/悬浮窗口支持系统托盘悬浮窗口,关闭浏览器以任务栏系统托盘悬浮窗口形式最小化 SSL VPN,防止浏览器误关操作造成的 SSL VPN中断断线自动重连支持客户端自动探测SSL VPN连接状态并进行自动重连SDK功能(windows/android/ios)登录认证提供用户登录认证接口隧道建立提供隧道建立接口隧道断开提供隧道断开接口注销登录提供注销接口隧道状态检查提供隧道状态检查接口日志接口提供隧道日志接口具体需求如上表所示：2.2技术优点1. 支持各种应用协议SSL位于传输层和应用层之间，任何一个应用程序都可以直接享受SSL VPN提供的安全性而不必理会具体细节。2. 支持多种软件平台SSL VPN的客户端基于SSL协议，绝大多数的软件运行环境都可以作为SSL VPN客户端。3. 支持对客户端主机进行安全检查SSL VPN可以对远程主机的安全状态进行评估，可以判断远程主机是否安全，以及安全程度的高低。4. 支持动态授权传统的权限控制主要是根据用户的身份进行授权，同一身份的用户在不同的地点登录，具有相同的权限，称之为静态授权。而动态授权是指在静态授权的基础上，结合用户登录时远程主机的安全状态，对所授权利进行动态地调整。当发现远程主机不够安全时，开放较小的访问权限；在远程主机安全性较高时，则开放较大的访问权限。5. SSL VPN网关支持多种用户认证方式和细粒度的资源访问控制，实现了外网用户对内网资源的受控访问。6. SSL VPN的部署不会影响现有的网络SSL协议工作在传输层之上，不会改变IP报文头和TCP报文头，因此，SSL报文对NAT来说是透明的；SSL固定采用443号端口，只需在防火墙上打开该端口，不需要根据应用层协议的不同来修改防火墙上的设置，不仅减少了网络管理员的工作量，还可以提高网络的安全性。7. 支持多个域之间独立的资源访问控制为了使多个企业或一个企业的多个部门共用一个SSL VPN网关，减少SSL VPN网络部署的开销，SSL VPN网关上可以创建多个域，企业或部门在各自域内独立地管理自己的资源和用户。通过创建多个域，可以将一个实际的SSL VPN网关划分为多个虚拟的SSL VPN网关。3.方案架构3.1产品架构根据分支规模、种类的不同，SSL VPN系列包含以下产品：国产化SSL VPN：采用国产自主可控平台，低延时高性能，支持可收缩性主备和集群架构，适用于中大型分支机构。通用SSL VPN：采用X86平台，多核架构，低延时高性能，支持可收缩性主备和集群架构，适用于中大型的分支机构。3.2产品部署图下图为常用可扩展组网方式。图1 网关模式（双臂模式）SSL VPN网关跨接在内网和外网之间，对内网的保护最完全。但是，此时网关处在内外通讯的关键路径上，其性能和稳定性对内外网之间的数据传输有很大的影响。图2 单臂模式SSL VPN网关只相当于一台代理服务器，代理远程的请求，与内部服务器进行通讯。此时SSL VPN网关不在网络通讯的关键路径上，不会造成单点故障。3.3主要功能作为一款SSL VPN网关设备，VPN安全网关必须具备基于SSL技术的安全封装及密钥协商功能。同时，VPN安全网关还应具有较强的网络适应性和可扩展性。图3以适应复杂的网络应用环境，增加产品的竞争力。SSL VPN有以下技术优点：1) 支持各种应用协议。SSL位于传输层和应用层之间，任何一个应用程序都可以直接享受SSL VPN提供的安全性而不必理会具体细节。2) 支持多种软件平台。目前SSL已经成为网络中用来鉴别网站和网页浏览者身份，在浏览器使用者及Web服务器之间进行加密通信的全球化标准。3) 支持自动安装和卸载客户端软件。在某些需要安装额外客户端软件的应用中，SSL VPN提供了自动下载并安装客户端软件的功能，退出SSL VPN时，还可以自动卸载并删除客户端软件，极大地方便了用户的使用。4) 支持对客户端主机进行安全检查。SSL VPN可以对远程主机的安全状态进行评估，可以判断远程主机是否安全，以及安全程度的高低。5) 支持动态授权。传统的权限控制主要是根据用户的身份进行授权，同一身份的用户在不同的地点登录，具有相同的权限，称之为静态授权，而动态授权是指在静态授权的基础上，结合用户登录时远程主机的安全状态，对所授权利进行动态的调整。6) SSL VPN网关支持多种用户认证方式和细粒度的资源访问控制，实现了外网用户对内网资源的受控访问。7) SSL VPN的部署不会影响现有网络。SSL协议工作在传输层之上，不会改变IP报文头和TCP报文头，因此，SSL报文对NAT来说是透明的。8) 支持多个域之间独立的资源访问控制。为了使多个企业或一个企业的多个部门共用一个SSL VPN网关，减少相应的开销，SSL VPN网关上可以创建多个域，企业或部门在各自域内独立的管理自己的资源和用户。3.4主要技术指标（1） 并发用户:20000；（2） 并发会话数:60000；（3） 每秒新建会话:600。4. 型号及资质产品资质名称测评机构符合标准\规范国密局产品型号证书国家密码管理局GM/T 0024 《SSL VPN技术规范》GM/T 0025 《SSL VPN网关产品规范》电磁兼容等级证书GB/T 2423-2008 《电工电子产品环境试验》环境适应性证书GB/T 15153.1-1998 《远动设备及系统 工作条件 电源和电磁兼容》公安部检测证书公安部第三研究所GAT 686-2007《信息安全技术  虚拟专用网安全技术要求》5 .方案特色5.1 合规    1.符合GM/T 0024-2014《SSL VPN技术规范》、GM/T 0025-2014《SSL VPN网关产品规范》、GM/T 0028-2014 《密码模块安全技术要求》等相关规范要求。    2.具备商密产品型号证书。5.2 超高的安全性    1.使用SM1、SM2、SM3、SM4商密算法；    2.基于数字证书的密钥协商；    3.使用硬件身份令牌进行身份鉴别。5.3 领先的性能    系统数据传输在链路层、传输层、数据层、应用层都进行了深度优化，访问速度得到极大提升，达到业界领先水平。5.4 更灵活的部署    1.支持双臂模式、单臂模式部署；    2.能适应复杂的网络应用场景。5.5 跨平台    本系统客户端支持Windows、Android、IOS和Linux平台，同时也提供SDK集成到自己的应用中，无需用户安装客户端来实现数据安全传输，多种选择提供很好的跨平台支撑。5.6 便捷的管理    1.支持接入集中管控，方便维护升级；    2.B/S架构的管理系统，支持多种操作系统和浏览器。5.7 柔性主备集群    支持主备模式和集群模式部署，支持不同需求客户，集群规模柔性适配，可大可小灵活方便。    集群部署中，管理员只需要在任意一台设备上进行部署配置，即可自动同步到当前集群的所有节点中，实现了快速部署和维护操作，极大的减少了管理成本和运营成本。6 .适用领域SSL VPN指的是基于安全套接层协议(Security Socket Layer-SSL)建立远程安全访问通道的VPN技术。它是近年来兴起的VPN技术，其应用随着Web的普及和电子商务、远程办公的兴起而发展迅速。7. 企业分工/产品清单/接口说明VPN安全网关发布时使用B/S模式的管理界面作为唯一的管理接口，不提供其它配置接口。在维护过程中还可以使用console口进行命令行管理或使用ssh，telnel等远程登录手段进行管理。8. 应用案例申万宏源证券有限公司申万宏源证券有限公司（后文统称"证券公司"），是由新中国第一家股份制证券公司--申银万国证券股份有限公司与国内资本市场第一家上市证券公司--宏源证券股份有限公司，于2015年1月16日合并组建而成。我公司与上述两家较有代表性的证券公司合作，解决在证券交易过程中的传输安全。证券公司交易APP集成我公司提供的SDK（Windows版本、Android版本、IOS版本和Linux版本），SDK和后台采用用安全等级与USB KEY相当的协同签名实现用户认证，安装使用更为灵活的密码模块，配合公司的SSL VPN集群方案，解决了交易终端和交易平台间的安全通信，并符合国家密码标准。集群方案提供高可用负载均衡和业务易扩展等解决方案，很好的适配了现有证券交易系统的国产化改造。中创为（成都）量子通信技术有限公司联系人：晋冲 电  话：18602860543

摘要：采用SM1、SM2、SM3、SM4算法，为企业、政府等提供通信加密服务。方案具有产品形态丰富、性能高、易部署等特点。依托于多年的IPSec VPN行业经验，可以提供灵活、安全、可定制的通信加密解决方案。关键词：安全通信，国密应用，远程访问1.概述1.1背景随着网络开放性，终端复杂性的提升，开放网络面临更多网络攻击和威胁。近一年来，发生了多起针对基础设施或大型企业的网络攻击事件。2019年10月，全球大型云服务提供商AWS受到了一系列DDoS攻击的攻击，导致部分服务瘫痪。2020年2月伊朗通信网络基础设施遭遇黑客网络攻击，造成连续多小时中断。2020年4月，我国多个涉外机构受到半岛黑客攻击。2020年5月，委内瑞拉国家电网干线遭到攻击，造成全国大面积停电。IPSec VPN作为一种成熟、安全的远程接入技术，能有效的抵御窃听、伪造、篡改等网络攻击。同时，相较于搭建物理专用网络所需要的昂贵的经济和人力成本，IPSec VPN技术具有更廉价、更灵活的优势。国家高度重视网络安全，国家密码管理局发布了GM/T 0022-2014《IPSec VPN技术规范》和GM/T 0023-2014《IPSec VPN网关产品规范》行业标准，对国内商用VPN产品在技术上和安全性上提出了指导和要求。1.2目标为了满足各行业对远程安全接入产品的迫切的应用需求，我公司制定了IPSec VPN解决方案。解决方案包含一系列的IPSec VPN产品，具有安全、合规、高性能、多规格、部署灵活、管理方便、网络适应性强等特点。2.需求分析近年来，网络安全事件频发，网络安全已经成为国家博弈的战场。2018年4月20日至21日，习近平在全国网络安全和信息化工作会议上发表讲话时提出，没有网络安全就没有国家安全。当前，各行各业都在大力进行网络安全建设。VPN技术作为保障网络通信安全的有力手段，已经成为网络安全建设中的必不可少的一环。目前市面上已有大量的网络安全产品，但仍然远远满足不了全面建设网络安全的需求。尤其是随着网络开发性和终端复杂性的提升、通过移动网络实现安全接入的需求也越来越大，市场渴望有更高效、灵活的移动接入方案。所以，我公司提出IPSec VPN安全接入解决方案，是迎合市场发展，顺应时代潮流的，必将带来良好的社会效益和经济效益。3.方案架构3.1产品架构根据分支规模、种类的不同，IPSec VPN系列包含以下产品：国产化IPSec VPN：采用国产自主可控平台，千兆级加密性能，适用于中大型分支机构。通用IPSec VPN：采用X86平台，多核架构，提供超千兆的加密性能，适用于中大型的分支机构。5G移动IPSec VPN：具有有线、5G和WIFI等多种接口，体积小，功耗低，适用于小型分支、移动分支等。3.2部署说明国产化IPSec VPN和通用IPSec VPN通常部署在中大型分支的网络出口处，与部署在小型分支或移动分支的5G移动IPSec VPN构建远程安全传输通道来保障用户网络通信数据安全。图1 部署图3.2.1  主要功能配用国密SM1、SM2、SM3、SM4算法为用户通信数据提供机密性和完整性保护；图形化管理界面，支持集中监控，便于运维；支持双机热备，具有高可靠性；采用隧道内NAT，匿名协商等技术实现动态NAT环境的接入；支持在开放网络上建立端到端的安全隧道。3.2.2技术指标1) 国产化IPSec VPN安全网关设备概况处理器龙芯 4核 3A3000处理器芯片组龙芯 7A1000操作系统中标麒麟V7.0国产化操作系统内存板贴DDR3内存，标配8GB存储接口标准SATA接口 ×1M.2接口 ×1网络电口10/100/1000 GE ×6光口SFP ×4USBUSB 2.0 ×2控制口RJ45 ×1机型1U机架式尺寸（宽×深×高）482㎜ × 320㎜ × 44㎜重量＜7Kg最大功率120W电源220V AC冗余电源加密模块国产化PCIE商密加密卡工作温度-5℃～50℃存储温度-40℃～70℃性能指标算法支持SM1/SM2/SM3/SM4加密性能SM1：1GbpsSM3、SM4：3Gbps最大并发隧道数>10000条策略数>20000条每秒新建隧道数>300条并发网络流>70万条2) 通用型IPSec VPN安全网关设备概况处理器X86 4核处理器机型1U机架式操作系统嵌入式Linux操作系统内存16 GB存储接口标准SATA接口 ×2mSATA接口 ×1网络电口10/100/1000 GE ×6 光口SFP×2USBUSB 2.0 ×2控制口RJ45 ×1重量＜5Kg尺寸（宽×深×高）480㎜ × 450㎜ × 44㎜电源220V AC冗余电源（选配）最大功率80W工作温度-5℃～50℃存储温度-40℃～70℃性能指标算法支持SM1/SM2/SM3/SM4加密性能SM1：1GbpsSM3、SM4：3Gbps最大并发隧道数>20000条策略数>40000条每秒新建隧道数>500条并发网络流>100万条3) 5G移动IPSec VPN终端设备概况处理器ARM 双核处理器机型非机架式操作系统嵌入式Linux操作系统内存板载1 GB存储接口板载SSD 256M网络电口10/100/1000 GE ×2USBUSB 2.0 ×1无线全网通3G/4G ×1WIFI ×1 可选ST模式或AP模式重量＜1Kg尺寸（宽×深×高）110㎜ × 85㎜ × 40㎜电源12V DC最大功耗5W工作温度-25℃～50℃存储温度-40℃～70℃性能指标算法支持SM1/SM2/SM3/SM4吞吐率SM1：10MSM3、SM4：20M最大并发隧道数>100条策略数>100条每秒新建隧道数>5条并发网络流>3000条4.方案特色4.1 合规1. 符合GM/T 0022-2014《IPSec VPN技术规范》、GM/T 0023-2014《IPSec VPN网关产品规范》、GM/T 0028-2014 《密码模块安全技术要求》等相关规范要求；2. 具备商密产品型号证书。4.2 超高的安全性1.使用SM1、SM2、SM3、SM4商密算法；2.基于数字证书的密钥协商；3.使用硬件身份令牌进行身份鉴别；4.领先的性能；5.采用DPDK+VPP高性能数据平面，在同规格产品中具有明显性能优势；6.支持5G高速无线通信。4.3 更灵活的部署1.支持网关模式、桥模式、单臂模式部署；2.5G移动IPSec VPN具有有线、5G和WIFI等多种接口，能通过不同的网络进行VPN互联；3.支持匿名协商、隧道内NAT等技术，能适应复杂的网络应用场景。4.4 便捷的管理1.支持接入集中管控，方便维护升级；2.B/S架构的管理系统，支持多种操作系统和浏览器。5.适用领域本解决方案适用于能源、交通、水利、制造、金融、医疗、教育、政务、军工等多个领域，并已经在交通、政务、军工、公安、医疗等多个领域有了成功案例。6.应用案例6.1 成都武侯区卫计局实现武侯区内公立医院、私立医院、卫生站与数据中心间数据传输安全。项目覆盖了武侯区内1个数据中心、13家公立医院、17个卫生站、30多家私立医院以及若干个诊所。项目作为成都市医疗系统网络安全建设示范性项目，将在全成都范围内进行产业化推广。6.2 陕西烽火通信集团有限公司实现维修站与总部之间的实时音视频安全接入。移动5G安全接入系统的应用，使得专家不用到现场也能及时了解待维修设备的故障情况，对现场的维修工程师给予技术指导。基于IPSec VPN技术的通信保护技术，能够保证音视频信息在传输过程中不被攻击者窃取，防止秘密泄露。     中创为（成都）量子通信技术有限公司联系人：李磊  电  话：17711358862

摘要：应用SHA256、RSA和SM2、SM3、SM4算法，为CRM系统提供电子签章应用。保证电子文件、审批内容的安全性、完整性。确认电子作业下个人身份的真实性。保障签订电子文件的数据不被篡改和伪造。关键词：云平台、电子商务、国密应用1.概述郎酒集团电子商务建设的高速发展想将传统的线下模式移植到互联网上，全方位服务为企业提供更高效、更便捷、更安全的互联网商务体验。1.1背景郎酒集团（全称为四川郎酒集团有限责任公司），是一个以生产销售中国名酒-郎酒为主业的大型现代化企业集团，厂区所在地地处四川古蔺县二郎镇。 郎酒始于1903年，产自川黔交界有"中国美酒河"之称的赤水河畔。从"絮志酒厂"、"惠川糟房"到"集义糟房"的"回沙郎酒"开始，已有百年悠久历史。随着产业的不断发展，郎酒集团在全国已有一级代理商超过5000家，二级代理商超过20000家，原有的线下代理商管理模式已不能满足业务发展，现需要将传统的线下模式合理的升级到线上模式。1.2 目标郎酒集团的CRM系统中集成电子印章应用，为郎酒集团下属一级代理商提供线上合同、协议签署服务。郎酒集团的CRM系统中集成电子印章云签服务，为郎酒集团下二级代理和各代理商库管提供线上三方协议签署和收货确认单服务。2.需求分析2.1 现状分析截止2020年9月郎酒集团全国一级经销商超过5000家，经销商代理合同为10页4份，按照无修改、作废和每年只签一次合同来计算，实际签订合同一项就将使用200000页以上的纸张。郎酒集团经销商遍布天南地北，东至上海，南至海南三亚，西至新疆喀什，北至黑龙江漠河，几乎全国各市都有。纸质合同的签订快则两天慢则一周，严重的影响了郎酒集团各部门的工作协作性及客户的满意度。合同签订后，经销商需打款订货，收到货款后由郎酒配送部门配送到店。经销商收到货物核实后签署纸质签收单，签收单需由郎酒配送员送回到总部移交财务部门，财务部门需根据签收单进行入账续而核算为市场销售金额，由于物流时间的不确定性最长遇到过1个月才入账。根据郎酒集团规定，目前集团的普通合同需要保留15年以上，重大合同需永久保存，以前使用纸质合同由公司档案管理处统一保管，并单独设立合同仓库。2.2 需求分析郎酒集团业务系统集成电子印章应用为企业、个人提供B2P和B2B电子合同签署服务，对系统内部传递的各类电子文件进行签章/签名，识别签名者的身份，确保内容不被非法篡改，收发方对签署文档不可抵赖，确保文件的权威性和有效性。并配套数字水印服务平台，为郎酒集团内部、分公司、子公司需要打印的电子文档提供防伪打印功能。签署后的电子合同通过电子印章云签服务提供的接口直接入库与集团对应的对应业务系统中，做到电子合同由各自的业务系统管理，最大的程度上保证了签署后的合同安全性和安全防护性。3.方案架构3.1 技术架构/产品架构电子印章管理平台基于JAVA开发，是C/S与B/S架构的混合体系。实现两套Hash与签名算法：SHA256和RSA，SM3和SM2，支持电子印章分散式应用，并支持与B/S架构的业务系统无缝结合。Web应用采用HTTP+XML技术，保证在不同操作系统上使用。 功能模块：系统管理、单位管理、用户管理、印章管理、证书管理、日志管理 图1：红鼎电子印章管理平台模块图2：红鼎电子印章云签服务模块1. 高可用：系统架构中的每一个节点都无状态化，都可采用集群的方式进行部署，集群中的任何一台故障都不会影响其它节点对外提供服务，服务仍然可以对外提供服务。2. 高扩展：各集群与注册中心配合实现客户端负载均衡，在性能提升方面，只需增加服务器即可，注册中心即可将新增服务器加入路由队列，实现提升性能。3. 自动化：整个平台采用docker+kubernates实现自动化服务管理，服务器的新增与剔除可更加业务量的变化而自动调整。3.2 工作原理1. 电子签名技术原理a. 真实身份：对签章方真实身份的确定，是通过各种实名认证方式来进行保证，所以实名认证是电子签名产品设计中必不可少的一环。本系统中通过颁发CA证书或者系统数字证书进行身份认证。b. 真实意愿：意愿认证是指在每一次签署前对用户的身份进行确认，保证是用户本人操作的认证方式。本系统中采用登录名密码、短信验证码、UKEY方式进行意愿认证。c. 签名未改及原文未改：签名未改及原文未改是通过数字签名技术+数字证书一起保证和实现的。通过对签署数据进行数字签名来实现防篡改与保证完整性。3.2签章流程图3 签章流程电子签章签章流程如下：a. 准备电子签章，验证电子签章的正确性和有效性b. 对原文进行电子签章图4：签章逻辑2. 验签流程图5 验签流程电子签章验流程如下：a. 验证 电子签章数据格式的正确性 b. 验证电子签章签名值是否正确c. 验证电子签章所有者证书是否存在于电子签章所有者列表中d. 验证电子签章的有效性e. 验证电子签章所有者数字证书有效性f. 验证原文杂凑g. 验证时间戳有效性图6：验签逻辑注意：以上流程图，不包含验证失败情况说明，以上步骤中任何步骤验证失败都将认为验章失败。3.3 主要功能盖章时：印章使用次数可由印章持有者设定，在用户使用次数用完后可通过管理端自动在线被重新授权（授权前需通过系统验证签章和数字证书的有效性，否则不会被授权），也可在签章管理端手工授权。所盖印记清晰，图像边缘无锯齿。加盖印章时所采用的相关算法应为国密局、公安部等国家安全机构所认可的安全算法。并保证当某些算法出现漏洞时能无偿进行算法的更换。支持文件的联合签署，持PDF、 OFD文件等可引入DLL数据格式文件印章、签名应用。文件验证时：要求可以支持在线及离线验证。客户端提供自动和手动连线验证两种功能选择，能准确的对签章、证书合法性、有效性进行验证。如证书未经过验证或验证无法通过均要以显著的标记标出。可以查看签章颁发人的合法身份、颁发时间、签章的准确时间。签章内容是否篡改、文件是否被破坏，签章本身的防伪水印，即签章本身是否被篡改。3.4 技术指标分类功能模块功能需求描述   电子印章管理服务平台（服务器端）部署模式采用平台集中部署，印章属地管理的模式，并支持多级权限进行管理。即在甲方搭建平台，终端用户单位可根据授权直接登录到平台上分别自行管理（包括电子印章的制作、颁发、注销、更新等）单位/部门内的电子印章。系统部署支持跨平台部署，支持Linux/Windows Server /Unix操作系统。平台结构、容量及功能平台支持B/S模式。电子印章管理服务平台包括电子印章管理模块、系统管理模块和用户自助平台模块、日志管理模块、报表统计模块。印章制作和发放管理员可以通过已有图片和选择模板制作印章，并且根据用户权限进行印章发放。印章存储和管理印章可以导出到USBKEY的安全外设中；也可以导出并存放在服务器端统一监管。系统对电子印章的制作、管理、发放、授权、挂失、停用、更新、重新生成颁发的全过程的记录和管理。平台实行印章集中控制，统一监管、印章使用期限可控。各单位独立管理各自单位及其下属部门的电子印章，并且系统会自动记录各类与印章有关的操作日志。印章/用户一体化管理通过在单一界面完成印章制作和发放印章给用户，降低管理员制章负担。印章申请和审核用户可自行申请印章，由相关人员审核后才可以颁发。单位管理系统支持对单位的浏览、添加、修改和导出打印功能。并支持对单位树形结构管理。用户管理系统支持对用户的浏览、添加、设置、修改和导出打印功能。并支持对用户树形结构管理。日志管理对用户管理、单位管理、印章管理等操作进行日志记录。记录的内容包括操作用户，被操作单位，操作方式，操作时间，ip地址，操作描述等。      电子签章应用系统（客户端）应用环境电子签章软件客户端支持WINXP、VISTA、WIN7、WIN8、WIN10等操作系统。客户端软件主要功能支持对PDF、OFD文件格式进行签章，能在单个文档、多文档中使用，支持骑缝章、奇、偶页签章。查看印章信息、查看证书、文档打印份数控制等功能。多人会签功能支持联合发文时多个单位或部门在同一个公文中加盖电子签章，签章完全透明。离线签章支持客户端在不联网情况下进行签章，签章信息可在联网后上传服务器日志。印章的使用方式支持密码分层协议，可以同时支持多种硬件载体在一台机器上使用，如USB-KEY、指纹设备、手写板等；支持在线签章和本地USBKEY。采取非在线签章方式时，会对印章的使用次数和时间进行授权控制。撤章功能系统可支持撤销印章功能，只有盖章者用户通过身份认证后才有权限撤消自己所盖的印章。透明印章功能系统支持透明印章，印章在被签内容上面，并不覆盖被签内容，效果如同纸质盖章或签名。数字水印拥有数字水印技术，通过数字水印算法对印章数据进行保护，在印章数据被篡改时水印破坏。（提供该技术可靠性的相关证明材料）文档保护文档盖章后可以锁定，主要用于保护文档不被编辑或篡改。一旦文档被锁定，则文档将不可更改。若文档被修改，则提示"文档已被篡改"等字样。印鉴信息查看系统中可以对文档中的印鉴信息进行验证查看。包括验证结果，盖章时间，盖章人，所使用的数字证书以及印章外观，印章名称，印章来源，制印时间，制印人，所属单位等印章信息。自动定位系统支持指定位置处自动印章功能，位置可以事先设置，实现在系统中自动加盖电子印章的功能。客户端自动更新功能实现电子印章应用客户端自动更新功能，即：客户端程序能自动与平台进行通讯，当有新版本程序时，提醒用户并自动下载更新。4.方案特色先进性：电子印章管理平台采用通过国家相关权威机构认证的数字签名、数字水印、光学水印等先进技术，平台采用通用的组件标准体系结构，具有很好的可维护性、先进性；实用性：电子印章管理平台所用数字证书、电子印章不仅可以用于电子商务签章应用需要，还能应用于其它的业务中如：电子政府签章应用；开放性：电子印章管理平台基于JAVA开发，是C/S与B/S架构的混合体系。实现两套Hash与签名算法：SHA256和RSA，SM3和SM2，支持电子印章分散式应用，并支持与B/S架构的业务系统无缝结合。Web应用采用HTTP+XML技术，保证在不同操作系统上使用。易操作：电子印章管理平台界面设计将充分考虑人体结构特征及视觉特征进行优化设计，界面友好、美观，操作符合日常工作流程需要，易学习、易操作，系统提示和帮助信息准确、及时；符合标准：电子印章管理平台取得国家商用密码管理办公室的立项资质认定，且已经通过国家信息安全测评认证中心的产品测评认证，符合国家标准GB/T18336-2001《信息技术、安全技术、信息技术安全性评估准则》和GB/T17903-1999《信息技术、安全技术、抗抵赖》， 《商用密码管理条例》、《中华人民共和国电子签名法》、《国家政务服务平台统一签章技术要求C0119-2018》、《国家政务服务平台统一电子签章印章技术要求C 0120-2018》、《国家政务服务平台统一印章系统技术要求C 0121-2018》、《国家政务服务平台统一电子签章系统接口要求C 0122-2018》、《信息安全技术安全电子签章密码技术规范GB/T 38540-2020》等相关法规、标准。安全性：电子印章管理平台基于CA安全体系，确保平台与数据的安全身份访问、使用、传输、信息加密安全，保障对平台与数据的身份认证唯一性、可追溯、不可否认、数据加密安全。电子印章的申请、制作、发放、使用与CA管理体系同步，证书与签章对应，不可随意导入、导出，不可盗用，从管理与技术双结合保障电子签章分散式使用；扩展性：电子印章管理平台采用了完全安全控件化技术，分散式与集中式应用并存的应用模式，因此不仅可以应用于电子公文交换，还可以应用于电子合同、协议中签盖，实现系统内办公全面无纸化，如：行政审批、人事管理、电子档案等，最大限度的发挥电子签章的作用。5.适用领域 行业：供应链行业解决问题：如何保证电子文件的安全性、电子作业下个人身份的真实性、审批内容的安全性，如何保障签订合同的数据不被篡改和伪造。行业：人力资源行业解决问题：员工流动性大，无法为每一位基础员工办理一枚个人签名章。线下协议不仅耗时，而且每年的快递费用过高。在人事管理系统中也无法直接统计协议的情况，需要手动录入系统，存在遗录忘录的风险。行业：房地产行业解决问题：卖房、买房多方纸质合同流程复杂、效率低，容易丢失意向客户，加之房地产公司下级分公司、门店多，客户及合同管理不便。行业：金融行业解决问题：线上签署过程中，如何确保客户的真实意愿、是客户本人签署，如何保证电子文档签署后的完整性和安全性。如何保证入库电子文档的安全防护性等。6.企业分工/产品清单 产品清单：产品名称描述备注电子印章管理平台实现电子公章/电子签名的制作、颁发、废除、权限控制、统一认证等功能；电子印章授权电子印章制作授权USB-KEY电子印章存储设备电子印章云服务实现服务器签章应用，对业务系统推送的PDF文件进行签章操作提供签署服务接口，支持业务系统控制印章选择、签署位置确定电子签章客户端PC端电子印章应用软件，支持单独签署、批量签署、骑缝章提供网页接口和chrom demo成都红鼎云签科技有限公司联系人：宋海兰 电  话：15882053829

摘要：满足《GB+35114公共安全视频监控联网信息安全技术要求》中的对称密钥以及非对称密钥的功能、管理、安全要求，实现管理平台内各功能实体的签名公私钥和加密公私钥、FDWSF的签名公私钥、用户终端的签名公私钥的安全管理，实现视频加密密钥的安全管理。全面支持SM1/SM2/SM3/SM4算法，其中，SM1/SM4算法支持OFB模式，用于视频数据的加密保护，SM4算法同时还需支持 ECB模式，用于密钥协商数据的加密保护。关键词：视频安全、物联网、数据加密、国密应用1.概述1.1背景近年来，随着"平安城市"、"智慧城市"、"雪亮工程"等重大项目的推进，越来越多的视频监控系统在全国各地广泛部署，对加强治安防控、优化交通出行、服务城市管理、创新社会治理等方面起到了积极的推动作用，但现有的视频监控系统普遍缺乏安全防护机制，导致视频监控系统安全事件频发，严重威胁到国家、社会、企业和家庭的安全，如何保证视频数据不被窃取或篡改，如何保证接入设备的合法性是建设公共安全视频监控系统需要解决的重要问题。1.2目标本方案主要讲述如何对现有公共安全视频监控系统进行改造以满足《GB+35114公共安全视频监控联网信息安全技术要求》的安全要求。2.需求分析针对公共安全视频监控系统面临的安全问题，国家推出首个关于视频监控联网信息安全方面的技术标准《GB+35114公共安全视频监控联网信息安全技术要求》，对公共安全视频监控的信息安全提出明确规范要求，是全面加强公共安全视频监控领域信息安全的技术依据。《GB+35114公共安全视频监控联网信息安全技术要求》的主要安全要求如下：针对现有的公共安全视频监控系统架构，提供有效的认证体系。根据《GB+35114公共安全视频监控联网信息安全技术要求》的规范要求，需要对公共安全视频监控系统的以下部件进行认证，主要包括有：用户使用的身份认证，包括各级的调度人员、维护人员等使用视频监控安全管理平台（简称为：SMPIVS）、公共安全视频监控联网信息安全系统（简称为：ISSIVNS）以及各类管理查询APP端的人员身份认证。对公共安全视频监控系统的各核心组件提供身份认证，主要包括有：前端设备（FDWSF）、用户终端（UTWSF）、中心信令控制服务器（CCSWSF）、媒体服务器（MSWSF）提供接入网络、授权访问的身份认证。对各类应用系统提供身份认证，主要包括有：GIS应用管理平台、大数据平台、解码显示系统、人脸抓拍系统、视频结构化系统、车辆微卡口应用系统等应用系统进行身份认证。3.方案架构3.1技术架构图1 平台安全技术架构3.2部署说明3.2.1平台侧安全方案各视频监控服务平台调用省级平台的数字证书认证平台进行数字证书的签发，同时，各视频监控服务平台部署签名验签服务器，实现各平台内的数字证书的本地化验证。部署统一的密钥管理服务平台，实现各类密钥的全生命周期安全管理，主要包括：证书的公私密钥对、视频数据加密密钥、视频数据密钥加密密钥的生成、安全存储、分发、使用、备份、恢复、销毁等功能。3.2.2前端设备安全方案对于前端设备，根据《GB+35114公共安全视频监控联网信息安全技术要求》的安全要求，可分为A级、B级、C级的三个安全等级，提供不同的安全方案，总体方案如下：安全等级智能摄像头A级终端安全SDK包B级终端安全SDK包加密SD卡加密芯片C级终端安全SDK包加密SD卡加密芯片3.2.3安全视频监控系统拓扑图引入商用密码产品保障视频监控系统安全运行的系统拓扑图如下：图2 系统拓扑说明： ●  数字证书认证中心由公安部统一构建，各视频监控服务平台与数字证书认证中心平台对接，实现数字证书的签发，因此，在视频监控服务平台需要部署证书认证平台的RA服务器，实现证书申请文件的提交以及证书的签发。 ●  在视频监控服务平台部署东进签名验签服务器，实现本地的数字证书认证。3.3主要功能 ●  提供完善的视频流传输加密、前端设备（FDWSF）的视频流数据签名功能，并可根据前端设备（FDWSF）的安全等级要求（A级、B级、C级）分别提供不同安全级别的解决方案。 ●  建立完善的平台证书生命周期管理体系和管理规范，实现用户、前端设备、服务器、管理平台等各类数字证书的签发、分发、安全存储、认证等功能，证书格式符合《GB+35114公共安全视频监控联网信息安全技术要求》附录A规范，支持GM/T 0015-2012中对证书格式以及CRL的规定。 ●  建立完善的密钥生命周期管理体系和管理规范，满足《GB+35114公共安全视频监控联网信息安全技术要求》中的对称密钥以及非对称密钥的功能、管理、安全要求，实现管理平台内各功能实体的签名公私钥和加密公私钥、FDWSF的签名公私钥、用户终端的签名公私钥的安全管理，实现视频加密密钥、视频密钥加密密钥的安全管理。 ●  满足《GB+35114公共安全视频监控联网信息安全技术要求》中的国密算法的要求，全面支持SM1/SM2/SM3/SM4算法，其中，SM1/SM4算法支持OFB模式，用于视频数据的加密保护，SM4算法同时还需支持 ECB模式，用于密钥协商数据的加密保护。3.4技术指标 ●  支持国密SM1/SM2/SM3/SM4算法。 ●  支持DES、3DES、IDEA、AES对称算法。 ●  支持MD5、SHA-1、SHA-256散列算法。 ●  支持1024位和2048位RSA非对称算法。 ●  对称算法支持ECB、CBC多种算法模式。3.5型号及资质4.方案特色 ●  安全合规：满足公安部GB35114-2017《公共安全视频监控联网信息安全技术要求》规定的安全保护要求。 ●  兼容性：方案中使用的商密产品都支持国密算法和国际密码算法。 ●  扩展性：所有提供的硬件均支持自主集群(包括热备、双活和负载均衡)。 ●  稳定可靠：软件系统支持集中部署和分布式部署。5.适用领域适用于不同的应用领域的视频监控系统，可对用户提供安全的身份认证。6.产品清单系统/设备功能说明东进密钥管理服务平台提供密钥集中管理和分发服务东进签名验签服务器提供签名、验签服务东进服务器密码机提供密钥生成、安全存储、加密解密服务东进SSL VPN网关提供国密SSL功能，保证数据传输安全安全TF/SD卡为终端设备提供密码运算和密钥存储服务东进终端安全SDK包为终端设备提供密码运算服务7.应用案例主流的视频监控系统采用的都是层级系统架构，对于单个系统来讲，一般分为两层，即由各类高清摄像头、前端智能摄像机组成的视频数据采集子系统以及后端的联网平台层组成，各联网平台除了完成本平台内的视频摄像头的管理、调度以及各类应用功能外，还实现与主管上级部门的视频监控系统的联网互动功能，系统拓扑图如下：图3 案例系统拓扑深圳市东进技术股份有限公司成都分公司联系人：刘 宇 电  话：13981944002

摘要:充分整合电子认证综合技术，汇聚电子凭证服务、电子签名验签服务、电子签章服务、时间戳服务、证据保全服务、手机盾服务、电子签约服务能力打造政务可信服务平台，聚合政务行业大数据，面向各类电子政务业务系统提供信息化安全保障，通过数据汇聚打破行业壁垒，避免群众跑腿。从而解决了网络身份认证、访问控制和责任认定等问题，是“互联网+政务服务”的重要基础设施。关键词：数字证书、CA系统、统一身份认证、电子证照 1.概述党的十九大报告提出，转变政府职能，深化简政放权，创新监管方式，增强政府公信力和执行力，建设人民满意的服务型政府。2016年12月，国办发布〔2016〕108号文，针对互联网＋政务服务技术和服务体系的整体设计提供了建设指南。近年来，我国在电子政务领域建设了一系列信息化系统，极大简化了工作流程、提高了办事效率。但与此同时，互联网的虚拟性和开放性也为在线政务办理带来了不可忽视的安全隐患。国家对此高度重视，早在2005年便出台《电子签名法》，规范电子签名行为，确立电子签名的法律效力。近年来，更是颁布、出台了《国务院关于在线政务服务的若干规定》、《信息安全技术网络安全等级保护要求》、《密码法》等一系列的法规政策，明确了数字证书、电子认证技术及密码安全技术在保障网络安全、解决网络信任问题、提高网络与信息安全水平、推进网络保障体系建设的重要地位。2.需求分析实现可信数字身份是“互联网＋政务服务”应用的关键，也是实现“一号、一窗、一网”的首要基础条件，可信应用支撑体系将面临以下问题亟待解决：非见面场景下如何鉴证数字身份的真实性？如何满足个人、法人和政府公务员等各类用户对数字身份的不同诉求？如何兼顾安全性和体验性进行身份认证？如何在多业务场景下实现统一控制、一次认证、多点互联？如何管理数字身份的全生命周期？如何保障电子证照的防篡改、防伪造、可验证？3.方案架构3.1系统架构  充分整合电子认证综合技术，汇聚电子凭证服务、电子签名验签服务、电子签章服务、时间戳服务、证据保全服务、手机盾服务、电子签约服务能力打造政务可信服务平台，聚合政务行业大数据，面向各类电子政务业务系统提供信息化安全保障，通过数据汇聚打破行业壁垒，避免群众跑腿。从而解决了网络身份认证、访问控制和责任认定等问题，是“互联网+政务服务”的重要基础设施。3.21电子凭证服务数字证书也称公钥证书，由证书认证机构（CA）签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。是网上业务办理的有效电子凭证，按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。电子凭证服务是指四川CA作为权威、公正的第三方电子认证服务机构依据《电子签名法》向各类用户进行身份认证并发放数字证书。数字证书基于国产密码算法，符合国家密码管理局要求，能帮助用户实现身份认证、电子签名、数据加密、防篡改、抗抵赖等安全保障。用户只需办理一张“易证通”就可以在包括网上社保、网上招投标、政府采购、工商年检等多达十几个政府职能部门的网上办事系统中使用，而且还有许多新的应用渠道在不断的扩展中，从而实现数字证书的“一证通用”，节省成本，提高证书使用效率。3.22电子签名验签服务四川CA电子签名验签服务基于PKI安全体系并全面支持国密算法，为业务应用提供高性能、高可靠的数字签名、签名验证和证书验证服务的服务。对于不同部署模式，提供云空间、纯软件、软硬一体多种服务形式，能够高性能、高效率地保障用户关键和敏感数据的真实性、完整性、合法性，现已广泛应用于电子政务（人社、税务、公积金等）、电子商务（银行、网上交易平台等）、企业信息化等多个领域。 3.23电子签章服务电子签章服务是将传统印章图片与可靠的电子签名技术相结合，利用图像处理技术将电子签名操作转化为与纸质文件盖章操作相同的可视效果，在电子文档中实现可视化电子签名的专用产品，帮助客户真正实现无纸化应用，可有效确认电子文档来源、确保文档的完整性、防止对文档未经授权的篡改、确保签名行为的不可否认。3.24电子证照服务电子证照是以数字方式存储、传输的证件、执照、批文等审批结果信息，是支撑政务服务运行的重要基础数据。 作为汇聚各类证照信息并提供服务的电子证照库应采用统一平台，分级建库，向顶层集中汇集的方式部署，借此提供统一标准接口供各级应用系统调用。方案充分整合技术资源，通过配合数字证书、统一身份认证体系、统一电子证照库、统一签批体系推动跨部门、跨地区数据共享和业务流程优化，促使信息流的互联互通、资源共享、解决信息孤岛问题，是提高跨应用、跨单位业务办理效率，促进业务应用之间互联，全面实现跨部门在线审批的整合。3.25时间戳服务时间戳服务能够提供国家授时中心权威时间源和第三方权威认证机构的时间戳服务，对网上交互中各方交互数据产生的时间点提供第三方时间戳认证,为数据产生时间点提供公正可信的认证支持,有效解决信息的时效性和操作行为的时效性。3.26证据保全服务以《电子签名法》为依托，以电子签名和电子认证技术为手段，四川CA通过分析客户应用系统对电子证据的产生、传输、保存和取证等具体需求，以各类活动、行为中产生的电子记录为依据，开发了证据保全系统，实现基于电子签名的电子证据采集、处理、保全和取证等证据链环节和功能，通过第三方安全存储为相关活动、行为的存在、参与各方实体及操作内容提供具有法律效力的电子证据，确保了证据保全生命周期的身份可信、来源可信、传输可信、存储可信。 3.27手机盾服务手机盾服务是面向移动端的安全认证服务，能够适应移动互联网的发展，满足目前移动应用APP的安全认证需求。通过将数字签名、生物识别、电子签章、密钥分割、协同签名等多种技术手段相结合形成移动用户安全认证服务，满足移动端应用可信身份、可信身份标识、可信签名、可信证据等安全需求。业务系统将安全认证托管到第三方移动安全认证服务，可将更多的资源放在业务流程优化和改造上面。移动安全认证服务基于国家商用密码型号产品（SRT1713）,采用密钥分割技术，手机端与服务器端分别存储计算密钥因子，保障用户私钥的安全性。手机端密钥因子绑定用户的生物特征或者用户自行设置的密码，确保用户、手机、业务应用三者一一对应，确保用户身份的唯一性。3.28电子签约服务电子签约服务能够满足互联网应用场景下，对需要进行合同签署类似业务的签约过程和结果进行合法合规性的保障，以及基于互联网特性，提供更为高效便捷的互联网在线签约操作的一种服务。服务遵循《电子签名法》、《合同法》以及相关法律法规的要求，使得各网络应用场景下的人、行为、结果得到法律认可。其次，电子签约服务能够根据实际生活中，签署合同、订单、协议等各类业务流程和逻辑方式，进行基于信息系统的优化、简化，提供非常良好的在线操作体验，使得所有业务能快速完成。4.方案特色4.1方案优势1、省内唯一权威机构。四川CA是全省唯一一家取得《电子认证服务许可证》和《电子认证服务使用密码许可证》的第三方电子认证服务机构，是四川省统一数字认证体系承建者和技术支撑单位，能够提供权威、专业的属地化服务保障。2、统一数字认证体系承建商。川办函〔2007〕211号，川府信〔2008〕1号等文件指出，四川CA是在省信息化工作领导小组主导下成立的我省唯一的数字证书认证机构，是全省统一数字认证体系的重要组成部分，面向全省提供合法的认证服务。各地区、各部门、各行业已使用的数字认证系统要尽快纳入全省统一的数字认证体系。数字认证体系是我省信息化建设的重要基础设施，统一的数字认证体系是避免重复建设、资源浪费，一户多证、互不联通，提高证书使用效率的重要保障。3、一证通用优势。按照政府统一身份认证体系要求，四川CA一直坚持“一证通用”原则，即一个主体一张数字证书就能够在四川CA覆盖的各网上经办业务系统中使用。截至目前，四川CA面向各类法人、自然人发放数字证书100余万张（其中企业（含机构）用户50余万，个人用户60万），四川CA数字证书的一证通用优势能够大大节约电子认证应用、建设成本，不仅能够快速响应支撑各部门建设需求，又能够为提升企业服务能力提供便利性、集约性支持。4、属地化、线上下一体化服务优势。四川CA通过十余年的积累，打造出了一支行业经验丰富、技术实力雄厚，服务响应迅速、管理精细的人才队伍。建立了覆盖全省21个地州的30个本地化数字认证服务窗口，提供本地化一站式服务。同时在线上服务、远程服务方面建立了四川CA自助网厅、呼叫中心、400热线、Web-CallCenter、网站服务、短信服务、邮件服务等7*24h全方位的客户服务体系。无论何处何时，用户均可通过一体化服务体系享受到高效便捷的服务响应。5、经验技术优势。自四川CA建立以来，就一直致力于电子政务领域的电子认证服务，多年来，四川CA数字证书发放规模、证书应用范围和服务体系方面取得了长足发展。目前，用户可以通过四川CA颁发的数字证书安全的在网上办理人社、医保、住房公积金、公共资源交易电子招投标、多种涉税事项、以及几十个业务部门100多个网上应用中使用。以成都社保为例，四川CA数字证书与网上经办、自助办理紧密结合，促使了全国首张社会保险缴存电子证明诞生，日均支持市民打印量近1.5万份。助力电子政务业务办理全程网办，“一次不用跑”，提供了可靠的安全保障。6、创新能力优势。近年来，四川CA大力发展创新，结合最新资源技术，不断推陈出新。2017年推出多CA互认功能并制定了多CA互认标准，让多种数字证书在业务系统中互认互通实现可能，并成功地应用在省级、成都市及其他地市公共资源交易中心，稳定运行至今，收到了一致好评。2018年推出统一身份认证技术，并成功应用在四川省一体化政务服务平台、成都市统一身份认证平台、四川省组织部信息化体系等，对接打通9大认证源，累积为1000余万自然人、500余万党员干部、20余万企业用户、百余个业务系统提供统一身份认证服务。2019年推出钜证云系列产品，联合公证机关，革新性开创了线上存证、线上公证篇章。不断探索、不断创新是四川CA作为可信、可靠的网络安全服务供应商的前进动力。4.2应用价值1、集约化统一建设充分利用电子政务电子认证技术设施，联合四川CA数字证书及电子认证体系成果，充分发挥数字证书的一证通用、分角色可信授权，在多业务系统提供统一可信身份认证的服务能力，有效利旧，避免重复建设，实现集约化统一建设。2、增强风险防控水平通过数字证书及电子认证服务体系的整合，进一步提升各业务系统各类用户身份、角色的可鉴别性，提升业务数据的安全性、完整性、不可抵赖性，从而提升各项电子政务工作业务流程的事前、事中、事后风险防范能力，综合增强电子政务信息化风险防控水平。3、加强辅助领导决策充分发挥CA数字证书及电子认证体系的可信认证效力，结合电子政务后端业务监控体系，对电子政务业务办理的关键节点信息、人员信息等进行签名、加密，为全局管理、数据分析提供基础支撑，实现各项在线业务工作“看得见、管得着、控得住”。同时能够可信、动态感知服务过程中的办理效能、群众满意度、高热业务、高需求群体、高关注地域等，落地可靠专题数据统计、数据分析，为领导决策提供辅助支撑。   四川省数字证书认证管理中心有限公司联系人：江鹏电    话：18516298723

摘要:综合应用SM系列算法，为政务云平台自身及云平台租户提供PaaS层及IaaS层密码服务，包括数字证书签发服务、密钥管理服务、签名验签服务、数字信封服务、电子签章服务、动态密码服务、移动认证服务、加解密服务、SSL服务、时间戳服务、弱密码分析服务、密码应用态势感知服务等，给云平台客户提供全面的密码体系服务，适用于多业务场景，包括移动业务、物联网业务、传统PC业务等。关键词：政务云、国密、PaaS层密码服务、IaaS层密码服务 1. 概述1.1 背景政务云用于承载各级政务部门公共服务、社会管理的业务信息和数据，并满足跨部门业务协同、数据交换与共享的需要，提供IaaS、PaaS和SaaS云计算服务。政务云以解决信息孤岛、资源整合难等问题为目的，提高信息中心资源利用率，简化业务系统建设步骤，实现政务系统的信息化整合。2017年4月，工信部发布《云计算发展三年行动计划（2017－2019年）》（以下简称《行动计划》），具体的在多个方面提出要求，包括提升技术水平、增强产业能力、推动行业应用、保障网络安全、营造产业环境等，推动云计算健康快速发展。中共中央办公厅国务院办公厅关于印发《金融和重要领域密码应用与创新发展工作规划（2018-2022年）》的通知中明确说明，密码是保障网络安全的核心技术和基础支撑，在维护国家安全、促进经济社会发展、保护人民群众利益中发挥着不可替代的重要作用。政务云平台作为关键基础设施，应遵从《信息系统密码应用基本要求》（GM/T 0054-2018）、《中华人民共和国密码法》相关规范要求，进行整体设计，保证信息系统的安全，解决数据存储、网络传输、身份认证、数据完整性等安全问题。1.2 目标政务云平台密码应用体系建设的设计目标是：依据国家相关法律、法规及技术标准，按照国家密码管理部门要求的统一技术方案和管理规定，结合政务云实际情况，建设统一管理、配置合理、安全可控、经济适用的密码应用平台，为用户提供集中化、虚拟化、透明化的密码应用服务，解决数据存储、网络传输、身份认证、数据完整性等安全问题。政务云平台密码服务将以云密码服务池的方式进行整体规划和建设，提供全套的密码服务，包括加解密、签名验签、数字信封、HMAC、动态密码、SSL、时间戳、电子签章、数字证书、移动数字证书、移动认证等，支持SM2、SM3、SM4等密码算法。1.3 依据密码应用相关设计依据包括：密码领域重要法律法规、重要领域密码应用相关政策、商用密码相关标准、等保体系相关要求的密码应用部分，主要包含如下：Ø  《云计算密码应用指南》（征求意见稿）；Ø  《中华人民共和国网络安全法》；Ø  《中华人民共和国密码法》；Ø  《商用密码管理条例》；Ø  《证书认证系统密码及其相关安全技术规范》；Ø  《金融和重要领域密码应用与创新发展工作规划（2018-2022年）》；Ø  《电子认证业务规则规范》；Ø  《信息安全技术网络安全等级保护基本要求》（GBT22239-2019）;Ø  《信息系统密码应用基本要求》（ GM/T 0054-2018 ）；Ø  ……2. 需求分析政务云平台作为政务服务综合平台，承载着绝大多数政务系统，构建了政务云平台支撑体系，实现了统一建设、统一管理、统一服务，政务云平台整体架构分为物理资源层、资源抽象控制层、云服务层，每层各司其职，承载着政务云平台全部功能。通常云平台底层采用OpenStack云计算管理平台，上层由各个云厂商提供封装的云系统。但无论从当前云平台本身的安全建设，还是为租户提供的安全服务而言，均偏向传统的网络安全。对于云平台自身及各业务系统的数据安全均未提供完善的解决方案，无法保证重要数据的安全防护性、完整性，身份信息的安全性，业务关键操作的抗抵赖性。3. 方案架构3.1 技术架构根据政务云平台现有业务整体架构，符合政务云设计思路及未来可持续发展、可持续扩容理念，同时本着资源充分有效利用价值观进行整体设计云密码服务框架。整体云密码服务将实现PaaS及IaaS层的密码资源对外服务能力，针对SaaS层应用将直接高度集成密码服务，以整体服务对外提供。最终实现基于PKI体系和动态密码体系的用户身份认证，在SM2、SM3、SM4的算法基础上，基于SSL技术、签名验签技术、电子签章技术、协同签名技术、MAC/HMAC技术等的实现通道加密、防篡改、抗抵赖、数据完整性等安全功能，为云端业务、PC端业务、移动端业务、物联网业务等提供安全防护。 整体密码应用框架如下图所示：图 1应用框架3.2 部署说明部署架构整体设计符合行业信息化发展趋势，同时兼顾了当前业务系统密码应用需求。整体设计思路按照政务云平台整体框架进行设计，从密码物理资源层、密码资源抽象控制层、云密码服务层进行搭建。密码物理资源层包括政务云密码服务平台所需要的基础支撑物理环境，包括计算资源、存储资源、网络资源等。密码资源抽象控制层通过虚拟化技术，负责对底层密码硬件资源进行抽象，对底层密码硬件故障进行屏蔽，统一调度密码运算资源，并提供密码资源的统一部署和监控。云密码服务层提供完整的laaS(Infrastructure as a service,基础设施即服务）、PaaS（Platform as a Service,平台即服务）密码服务，为政务云平台自身及云上业务提供密码服务。3.3 主要功能IaaS（基础设施即服务）密码设计IaaS层云密码服务平台的实现方式是在专用的密码物理服务器上运行密码虚拟化软件（hypervisor），通过在虚拟化软件上调用支持虚拟化技术的密码卡运行分布式密码服务。图 2IaaS支持的虚拟机：云密码服务平台支持配置和管理虚拟机上运行的多个虚拟应用，如SSL安全网关服务、SSL VPN服务、数字签名服务、动态密码服务、电子印章服务、移动接入服务等。PaaS（平台即服务）密码设计政务云平台云密码服务PaaS层将以微服务的方式对外提供密码服务；密码微服务是一种细粒度（Fine-Grain）的SOA。PaaS层密码安全服务平台提供对称算法、非对称算法、摘要算法等密码算法的综合安全计算服务，保证客户业务数据的完整性、机密性和可用性。Ø  基础密码计算安全服务单个的密码计算安全服务，如密钥生成、计算摘要、MAC、HMAC、对称加密、对称解密、非对称加密、非对称解密、数字签名、数字签名验证等。Ø  组合密码计算安全服务Ø  场景密码计算安全服务Ø  数字证书认证服务Ø  动态口令认证服务Ø  短信口令认证服务Ø  生物识别认证服务Ø  弱密码、弱口令分析服务Ø  时间戳服务Ø  电子签章服务Ø  PaaS层安全数据态势感知服务3.4 技术指标计算资源虚拟化：云密码服务平台内置多核心CPU，可根据业务需求，自由选择预先定义的虚拟机配置模板，这些虚拟机配置模板已根据分析测试情况，预先设置了合理的CPU、内存、网络和密码设备的规格，用户无须担心如何合理配置相关资源。用户也可以完全根据业务需求自定义虚拟机的各种配置。网络资源虚拟化：云密码服务平台支持网络资源虚拟化功能，配备的所有网卡均原生支持SR-IOV特性。密码资源虚拟化：云密码服务平台支持密码资源虚拟化，可根据需要采取SR-IOV或普通IO虚拟化的方式与虚拟机相连，SR-IOV能够让虚拟机与物理的密码运算单元直接进行I/O操作，具有较高的性能。资源隔离：每一个虚拟机创建完成后，都会绑定固定的资源，包括处理器（CPU）、内存、硬盘存储空间等。此外，每一个虚拟机还会独享网络资源（如：网卡端口）；独享密码硬件资源等。高性能：云密码服务平台具有优异的数据包处理能力，完全摆脱由于数据包经过内核处理时带来的额外资源开销。高可用性：支持应用级和平台级的高可用性部署。可管理性：支持与OpenStack云管理平台的集成，利用OpenStack可直接管理云密码服务平台。4. 方案特色Ø  利于商密改造的全面推广目前在政务体系中，大量的业务系统在向云端进行建设，通过统一建设密码服务平台，各个需要完成商用密码改造的厅局机构即可完成商用密码的改造工作，将极大的提高商用密码改造在全省范围内的推进。Ø  统一标准，统一建设当前《信息系统密码应用基本要求》正处于不断完善状态，通过在云端部署云密码服务平台作为统一的密码服务入口。在建立平台后，只需与国家最新标准保持同步即可完成所有接入机构的同步推进。Ø  云化架构不同于各类型密码机的“虚拟化”，云化密码服务平台具备与各类云厂商的云管理平台提供无缝对接，一方面，可将云密码平台所提供的各类的服务以租户的方式对外提供。另一方面，拥有云架构典型的弹性扩容特征具备无限的扩展性。5. 适用领域各类云服务提供商。6. 产品清单序号设备名称描述数量1云密码服务平台基础硬件平台云密码服务平台采用密码超融合架构将计算、网络、密码的虚拟化整合到同一个设备中，对外提供云化的密码应用服务12云签名服务器（授权）支持签名验签功能，支持数字信封功能。若干3云动态密码服务器（授权）系统具备动态密码种子生成、管理、验证服务，支持多种终端的验证，主要包括：时间型令牌，事件形令牌，多键令牌，手机软件、手机短信、二维矩阵等多种方式。若干4云电子签章服务器（授权）提供多种电子签章服务，提供基于数字证书的电子印章的制作、管理、签盖、验证和审计等功能。若干5云SSL VPN服务器（授权）建立网络隧道，支持国密算法若干6云SSL安全网关（授权）提供前端SSL卸载；支持单双向SSL，支持国密算法。若干7云移动认证服务器（授权）保障移动平台安全认证、安全防护通信、数据输入安全、数据存储安全、数据完整性、机密性、移动威胁感知等专业完整的移动安全平台若干8云时间戳服务器（授权）提供国密时间戳服务。若干9云数字证书签发服务器（授权）由证书签发系统、注册审核系统、证书状态查询系统、目录服务系统、证书管理系统等组成，支持国密算法，具有用户注册管理、证书签发、CRL签发、证书更新、证书状态查询、日志管理等功能。若干10云统一身份管理服务器（授权）实现系统的单点登陆、统一的身份认证、统一的帐号管理、统一的访问授权、统一的访问审计、统一的安全管理功能若干11密码服务中台基础平台提供统一密码服务、密码资源统一管理、业务运行态势、平台运行态势、设备运行态势、设备状态监控等功能，提供大数据分析，实时监测密码应用状态。112功能模块基本密码服务签名验签服务、对称加解密服务、非对称加解密服务、数字信封服务、计算摘要服务、数字证书签发服务、SSL通道加解密服务、时间戳服务、电子签章服务13认证类密码服务动态口令认证服务、指纹认证服务、二维码扫码认证服务、数字证书认证服务14移动安全密码服务移动证书签发服务、移动电子签章服务、移动SSL通道加密服务、移动证书认证服务15辅助类密码服务弱密码分析服务、统一身份管理服务、单点登录服务、密码资源态势感知服务16终端密码产品安全浏览器提供基于国密算法的SSL数据通道加密，保障数据传输的机密性若干17USB-KEY智能密码钥匙，用于数字证书存储介质若干18动态令牌动态密码终端硬件设备若干19移动安全组件支持对证书的下载和管理功能，二维码扫描认证、扫码签章、数字签章、数字签名功能，密码软键盘，安全SSL若干20PC端安全组件支持PC端签名验签、数字信封等安全功能若干21移动安全APP支持Android和IOS，支持对证书的下载和管理功能，对用户的管理功能，二维码扫描认证、扫码签章、数字签章验证、数字证书认证、及数字签名功能，密码软键盘，安全通信SSL若干22动态密码APP支撑Android和IOS，用于客户端产生动态密码。若干     成都信安世纪科技有限公司联系人：卢锐君电    话：15308094400