1、紫光順風公司的解決方案在這里我們們介紹一套北北京清華紫光光順風信息安安全有限公司司的安全電子子商務解決方方案。一一、系統(tǒng)網(wǎng)絡絡結構11廣域網(wǎng)絡絡廣域網(wǎng)網(wǎng)絡的拓撲圖圖如圖1所示示。圖112分分公司網(wǎng)絡分公司網(wǎng)網(wǎng)絡拓撲圖如如圖2所示。圖2二、網(wǎng)絡安全方案1網(wǎng)絡存在的安全問題計算機網(wǎng)絡的安全應包含以下三方面的內容：(1)保密性：防止網(wǎng)絡中信息泄漏或被非授權實體使用，確保信息只能由授權實體知曉和使用；(2)完整性：系統(tǒng)的數(shù)據(jù)不被無意或蓄意刪除、修改、偽造、亂序、重放、插入或破壞，數(shù)據(jù)只能由授權實體修改；(3)可用性：數(shù)據(jù)和通信服務在需要時允許授權個人或實體使用，網(wǎng)絡資源在需要時即可使用。通過以上兩圖，

2、我們可以看到在公司內部的OA系統(tǒng)中，各部門所傳輸?shù)臄?shù)據(jù)均通過Internet完成。移動用戶和上下游廠商也是經(jīng)過Internet進行電子交易。網(wǎng)絡存在的安全隱患主要體現(xiàn)在以下幾個方面：(1)信息的泄漏。公用網(wǎng)絡存在安全漏洞，無法保證網(wǎng)絡中信息的隱秘性。例如：電信從業(yè)人員可能利用工作之便，很容易地獲取網(wǎng)絡中傳輸?shù)男畔?；網(wǎng)絡攻擊者也可以通過搭線等方法，從傳輸信道竊取網(wǎng)絡中傳輸?shù)男畔ⅰ?2)假冒通信。公用電信網(wǎng)提供了靈活的數(shù)據(jù)交換機制，同時，也給進行通信假冒創(chuàng)造了可乘之機。網(wǎng)絡外的用戶，只要將他的設備配置設置成與網(wǎng)絡內的設備配置相同，就可能欺騙總部，與其進行通信。如果網(wǎng)絡外的用戶將他的設備配置得與總部

3、的設備相同，并采取一些措施將總部的設備進行阻塞，則他也可以假冒總部，欺騙網(wǎng)絡內的所有網(wǎng)點。(3)信息假冒。由于攻擊者可以竊取網(wǎng)絡中傳輸?shù)男畔?，使得攻擊者采用一些并不復雜的技術，尤其是在內部人員的配合下，就可能進行信息的假冒。例如，重復進行一些本已完成的業(yè)務等。2網(wǎng)絡安全方案應遵循的原則根據(jù)安全網(wǎng)絡系統(tǒng)的特殊性，方案將嚴格遵循以下原則：(1)設計中所采用的所有安全產品、所有的操作手段和方法，均符合國家的有關法律和法規(guī)；(2)在充分保證網(wǎng)絡安全性的前提下，盡量減少安全產品對原系統(tǒng)效率、可靠性等方面的影響；(3)提供安全、完善和方便的安全管理手段和方法；(4)最大程度地發(fā)揮安全產品的性能、減少安全產

4、品的配置數(shù)量和費用；(5)安全系統(tǒng)具有較好的網(wǎng)絡兼容性和可擴展性，總體設計具有一定的預見性。(6)安全系統(tǒng)本身應具有極高的運行穩(wěn)定性，充分考慮系統(tǒng)備份問題。3系統(tǒng)應具備的功能系統(tǒng)投入運行后，將具有以下功能：(1)信息安全保密：通過密碼技術，對敏感信息提供加/解密服務，保證信息的保密性；同時提供數(shù)據(jù)的完整性和準確性服務。有效地防止信息被竊取、篡改和假冒等。(2)高效的安全管理：安全系統(tǒng)是否能真正有效地發(fā)揮其安全作用，很大程度上取決于安全管理手段是否安全、有效和完善。本安全系統(tǒng)將提供證書管理中心進行管理，管理員可根據(jù)用戶的實際情況完成證書分發(fā)、權限設定等安全管理功能。4網(wǎng)絡安全解決方案根據(jù)以上的分

5、析，此處給出一種基于北京清華紫光順風信息安全有限公司研制的系列網(wǎng)絡安全產品的解決方案，如圖3所示。在圖3中，在總部添加SfeCA 2.0證書服務器、SecServer 1.0安全服務器，以及在Web服務器中安裝WebGate Server 1.0 服務器端軟件，使用SJW01路由器加密機與Internet相連。圖3在客戶端安裝SecMail1.5安全電子郵件、PKManager集成密鑰管理系統(tǒng)、SecFile 1.0文件加密系統(tǒng)。分公司局域網(wǎng)通過SJW01路由器加密機與Internet相連。廣域網(wǎng)中，系統(tǒng)管理員可以在總部的SJW01上指定到上海和廣州兩地的數(shù)據(jù)都要進行加密處理。同樣兩地分公司也

6、需指定到總部的數(shù)據(jù)進行加密，這樣在廣域網(wǎng)上傳輸?shù)墓緝炔繑?shù)據(jù)均是經(jīng)過加密處理，避免了信息在傳輸過程中的泄露、篡改、重放、假冒等安全隱患。可以通過KDMC密鑰管理中心對SJW01路由器加密機進行密鑰管理。局域網(wǎng)中，通過紫光UF3100防火墻實現(xiàn)內網(wǎng)與外網(wǎng)的隔離。每臺機器均安裝SecMail1.5安全電子郵件、PKManager 集成密鑰管理系統(tǒng)、SecFile 1.0文件加密系統(tǒng)。其中SecFile可以保護單機的數(shù)據(jù)不被非法訪問、篡改。用戶可以使用SecMail進行安全的電子郵件通信，SecMail可以防止郵件偽冒、發(fā)送方抵賴和郵件被篡改等。PKManager用來管理SecFile與SecMai

7、l使用者的私鑰與證書。對于移動用戶和上下游廠商，需安裝PKManager集成密鑰管理系統(tǒng)，用戶可通過PKManager到SfeCA申請數(shù)字證書，在SfeCA驗證用戶的合法性后，簽發(fā)證書文件。以后當用戶在基于Web的電子交易中，訪問交易頁面時，安裝了WebGate SRV 服務器軟件的Web會要求用戶提交ID、Password，當用戶提交正確的ID與Password后，Web服務器會根據(jù)ID號所對應的證書與SfeCA進行溝通以獲得用戶的數(shù)字證書，然后通過用戶用私鑰加密隨機數(shù)來驗證用戶的真實身份，WebGate根據(jù)該用戶ID所對應的權限來開放相應頁面。這些頁面在下載到用戶的瀏覽器前，由WebSRV

8、送往SecSRV，經(jīng)SecSRV加密處理后再下傳，只有擁有與證書相對應的私鑰的用戶才能瀏覽這些頁面，進行相應的商務操作。通過以上安全措施，能夠保證在交易前系統(tǒng)對用戶身份識別，交易中數(shù)據(jù)在Internet上傳輸?shù)耐暾?、正確性，交易完成后，防止用戶抵賴。三、產品簡介以上安全方案中所涉及的安全產品均系北京清華紫光信息安全有限公司研制開發(fā)。附：SJW01系列路由器加密機用于實現(xiàn)網(wǎng)絡安全和網(wǎng)絡路由功能，可在鏈路層、IP層和TCP層提供數(shù)據(jù)信息的安全保密。SJW01系列加密機支持多種網(wǎng)絡協(xié)議，如TCP/IP、X.25、FR、HDLC、IEEE802.3、IEEE802.5等，可在內部完成協(xié)議轉換，實現(xiàn)不

9、同網(wǎng)絡的連接，可根據(jù)需要提供鏈路層、網(wǎng)絡層和傳輸層數(shù)據(jù)信息的安全保密，并具有地址過濾功能。* 密碼算法：分組密碼算法，密鑰長度128位。* 路由協(xié)議：靜態(tài)路由、RIP；對其他路由協(xié)議透明。* 端口協(xié)議：X.25、FR（NNI/UNI）、TCP/IP-PPP、TCP/IP-SLIP、HDLC、ISDN、IBM3270仿真等。* 電氣接口：X.21(V.11)、V.24、V.35、V.36、RS422、G.703。* 網(wǎng)管協(xié)議：SNMP協(xié)議，支持Open View、Net View等網(wǎng)管平臺的應用。附：SfeCA數(shù)字證書管理系統(tǒng)SFeCA數(shù)字證書管理系統(tǒng)是基于PKI的企業(yè)網(wǎng)（Intranet）及電

10、子商務（E-business）安全解決方案框架的核心組成部分。SFeCA可用于組成完整的數(shù)字證書管理中心(CA)。SFeCA集成了公鑰引擎、證書引擎、LDAP證書及作廢證書列表發(fā)布等功能，可為用戶提供完整的信息安全服務。它同紫光順風的其他產品，如SecFile、SecMail和WebGate等配合使用，可構成網(wǎng)絡和信息系統(tǒng)的全面安全解決方案。* 支持X.509 V2/V3、PKCS系列、PKIx、S/MIME、SSL/TLS、PEM等協(xié)議標準。* 除支持國家批準的專有加密算法以外，還支持DES/3DES、IDEA、RC2/RC4/RC6等對稱加密算法和MD4、MD5、SHA、SHA-1等信息摘

11、要算法。* 支持可變長度(可以高達5000位或以上)RSA/DSA公鑰體制算法。* 適用于Windows NT、Linux等系統(tǒng)平臺。附：WebGate安全訪問控制系統(tǒng)WebGate安全控制訪問軟件系統(tǒng)是基于PKI的企業(yè)網(wǎng)(Intranet)及電子商務(E-business)安全解決方案的一部分。它為用戶提供對Web訪問的強身份認證、訪問控制和審計跟蹤功能。對于公共信息，WebGate允許一般用戶訪問。對于敏感信息，WebGate在允許用戶訪問之前進行基于數(shù)字證書和數(shù)字簽名的身份認證和訪問授權檢查。對所有的訪問，WebGate可進行完整的審計跟蹤。* 嚴格遵循X.509、PKCS、PKIx、S

12、SL/TLS和HTTP/1.1等標準，可以接收任何基于上述標準的數(shù)字證書和數(shù)字簽名。* 支持的RSA簽名算法密鑰長度可達2048位。* 適用于Windows NT+IIS 3.0以上、IE 4.0以上的網(wǎng)絡環(huán)境。附：SecMail安全電子郵件系統(tǒng)SecMail安全電子郵件系統(tǒng)是基于PKI的企業(yè)網(wǎng)(Intranet)及電子商務(E-business)安全解決方案的一部分。它作為一個獨立完整的郵件客戶端軟件，除可執(zhí)行常規(guī)收發(fā)電子郵件功能之外，還可實現(xiàn)郵件加密、郵件數(shù)字簽名及郵件自動回執(zhí)等安全功能。* 操作系統(tǒng)：中、英文Window 95/NT 4.0或以上版本。* 支持POP3、SMTP、PEM和

13、S/MIME等通用Internet電子郵件協(xié)議。* 支持HTML格式的郵件。* 支持通用POP3、SMTP郵件服務器。* 可與Outlook、Netscape等通用郵件客戶端軟件互通。* 支持3DES、IDEA等標準加密算法和國家審批的專用密碼算法。附：SecSRV 安全服務器SecSRV 安全服務器集成了PCI總線的SEM安全保密模塊，主要用于高速環(huán)境下的加密認證，典型對稱分組加密算法速率為100Mb/s，1024位私鑰簽名為40次/秒，驗證為650次/秒。集對稱分組加密算法、公鑰體制簽名/驗證算法、信息摘要(Hash)算法等于一體，可充分保證加密和數(shù)字簽名等運算的安全性和高性能。* 除支持

14、由國家審批的高強度專有對稱分組密碼算法之外，還支持三重DES、IDEA、RC5等標準對稱算法和RSA、DSA等公開密碼體制算法，* 信息摘要則支持MD2、MD5、SHA-1、RIPEMD160等多種標準算法，用戶可靈活的選擇。* 適用于Windows 95/98/NT、Unix、Linux等平臺。附：SecFile文件加密系統(tǒng)SecFile文件加密系統(tǒng)通過對數(shù)據(jù)文件的加密，保證信息不被泄漏。在提供文件加、解密功能的同時，SecFile文件加密系統(tǒng)也提供靈活的密鑰管理和訪問控制功能。* 獨立運行的集成化環(huán)境，提供標準類Windows資源管理器程序界面供用戶操作。* OLE的方式與Windows

15、95/98/NT系統(tǒng)shell集成，已加密的文件擴展名為.mmw，且圖標統(tǒng)一；對擴展名為.mmw的文件，用鼠標雙擊可執(zhí)行解密操作（由密鑰控制）。* 自動配置加密：對指定需加密的路徑和目錄，SecFile會在文件存取時自動進行加密或解密。* 高效的文件壓縮/解壓功能:文件壓縮比率指標與Winzip相當。* 高強度的文件加密/解密功能:軟件提供128位高強度加密算法。* 適用Windows 95/98/NT以上系統(tǒng)平臺。附：PKManager集成密鑰管理系統(tǒng)KManager集成密鑰管理系統(tǒng)負責紫光順風系列安全產品的密鑰及證書管理，只需在PKManager中一次配置RSA密鑰對，就可非常容易地通過文件加密系統(tǒng)SecFile實現(xiàn)文件本地加密及數(shù)字簽名、通過安全電子郵件系統(tǒng)SecMail發(fā)送安全電子郵件、通過WWW服務認證系統(tǒng)WebGate實現(xiàn)Web的用戶安全認證。* 私鑰存放支持硬盤、軟盤和IC卡三種存儲介質。* 適用與Windows 95/98/NT以上系統(tǒng)平臺。附：KDMC密鑰管理中