《紫光顺风公司的解决方案》由会员分享，可在线阅读，更多相关《紫光顺风公司的解决方案（8页珍藏版）》请在金锄头文库上搜索。
1、紫光顺风公司的解决方案紫光顺风公司的解决方案在这里我们介绍一套北京清华紫光顺风信息安全有限公司的安全电子商务解决方案。一、系统网络结构一、系统网络结构1广域网络广域网络的拓扑图如图 1 所示。图 12分公司网络分公司网络拓扑图如图 2 所示。图 2二、网络安全方案二、网络安全方案1网络存在的安全问题计算机网络的安全应包含以下三方面的内容：(1)保密性：防止网络中信息泄漏或被非授权实体使用，确保信息只能由授权实体知晓和使用；(2)完整性：系统的数据不被无意或蓄意删除、修改、伪造、乱序、重放、插入或破坏，数据只能由授权实体修改；(3)可用性：数据和通信服务在需要时允许授权个人或实体使用，网络资源在
2、需要时即可使用。通过以上两图，我们可以看到在公司内部的 OA 系统中，各部门所传输的数据均通过Internet 完成。移动用户和上下游厂商也是经过 Internet 进行电子交易。网络存在的安全隐患主要体现在以下几个方面：(1)信息的泄漏。公用网络存在安全漏洞，无法保证网络中信息的隐秘性。例如：电信从业人员可能利用工作之便，很容易地获取网络中传输的信息；网络攻击者也可以通过搭线等方法，从传输信道窃取网络中传输的信息。(2)假冒通信。公用电信网提供了灵活的数据交换机制，同时，也给进行通信假冒创造了可乘之机。网络外的用户，只要将他的设备配置设置成与网络内的设备配置相同，就可能欺骗总部，与其进行通信
3、。如果网络外的用户将他的设备配置得与总部的设备相同，并采取一些措施将总部的设备进行阻塞，则他也可以假冒总部，欺骗网络内的所有网点。(3)信息假冒。由于攻击者可以窃取网络中传输的信息，使得攻击者采用一些并不复杂的技术，尤其是在内部人员的配合下，就可能进行信息的假冒。例如，重复进行一些本已完成的业务等。2网络安全方案应遵循的原则根据安全网络系统的特殊性，方案将严格遵循以下原则：(1)设计中所采用的所有安全产品、所有的操作手段和方法，均符合国家的有关法律和法规；(2)在充分保证网络安全性的前提下，尽量减少安全产品对原系统效率、可靠性等方面的影响；(3)提供安全、完善和方便的安全管理手段和方法；(4)
4、最大程度地发挥安全产品的性能、减少安全产品的配置数量和费用；(5)安全系统具有较好的网络兼容性和可扩展性，总体设计具有一定的预见性。(6)安全系统本身应具有极高的运行稳定性，充分考虑系统备份问题。3系统应具备的功能系统投入运行后，将具有以下功能：(1)信息安全保密：通过密码技术，对敏感信息提供加/解密服务，保证信息的保密性；同时提供数据的完整性和准确服务。有效地防止信息被窃取、篡改和假冒等。(2)高效的安全管理：安全系统是否能真正有效地发挥其安全作用，很大程度上取决于安全管理手段是否安全、有效和完善。本安全系统将提供证书管理中心进行管理，管理员可根据用户的实际情况完成证书分发、权限设定等安全管
5、理功能。4网络安全解决方案根据以上的分析，此处给出一种基于北京清华紫光顺风信息安全有限公司研制的系列网络安全产品的解决方案，如图 3 所示。在图 3 中，在总部添加 SfeCA 2.0 证书服务器、SecServer 1.0 安全服务器，以及在 Web服务器中安装 WebGate Server 1.0 服务器端软件，使用 SJW01 路由器加密机与 Internet 相连。图 3在客户端安装 SecMail1.5 安全电子邮件、PKManager 集成密钥管理系统、SecFile 1.0 文件加密系统。分公司局域网通过 SJW01 路由器加密机与 Internet 相连。广域网中，系统管理员可
6、以在总部的 SJW01 上指定到上海和广州两地的数据都要进行加密处理。同样两地分公司也需指定到总部的数据进行加密，这样在广域网上传输的公司内部数据均是经过加密处理，避免了信息在传输过程中的泄露、篡改、重放、假冒等安全隐患。可以通过 KDMC 密钥管理中心对 SJW01 路由器加密机进行密钥管理。局域网中，通过紫光 UF3100 防火墙实现内网与外网的隔离。每台机器均安装 SecMail1.5安全电子邮件、PKManager 集成密钥管理系统、SecFile 1.0 文件加密系统。其中 SecFile 可以保护单机的数据不被非法访问、篡改。用户可以使用 SecMail 进行安全的电子邮件通信，S
7、ecMail 可以防止邮件伪冒、发送方抵赖和邮件被篡改等。PKManager 用来管理 SecFile 与SecMail 使用者的私钥与证书。对于移动用户和上下游厂商，需安装 PKManager 集成密钥管理系统，用户可通过PKManager 到 SfeCA 申请数字证书，在 SfeCA 验证用户的合法性后，签发证书文件。以后当用户在基于 Web 的电子交易中，访问交易页面时，安装了 WebGate SRV 服务器软件的 Web 会要求用户提交 ID、Password，当用户提交正确的 ID 与 Password 后，Web 服务器会根据 ID 号所对应的证书与 SfeCA 进行沟通以获得用户
8、的数字证书，然后通过用户用私钥加密随机数来验证用户的真实身份，WebGate 根据该用户 ID 所对应的权限来开放相应页面。这些页面在下载到用户的浏览器前，由 WebSRV 送往 SecSRV，经 SecSRV 加密处理后再下传，只有拥有与证书相对应的私钥的用户才能浏览这些页面，进行相应的商务操作。通过以上安全措施，能够保证在交易前系统对用户身份识别，交易中数据在 Internet 上传输的完整性、正确性，交易完成后，防止用户抵赖。三、产品简介三、产品简介以上安全方案中所涉及的安全产品均系北京清华紫光信息安全有限公司研制开发。附：附：SJW01SJW01 系列路由器加密机系列路由器加密机用于实
9、现网络安全和网络路由功能，可在链路层、IP 层和 TCP 层提供数据信息的安全保密。SJW01 系列加密机支持多种网络协议，如 TCP/IP、X.25、FR、HDLC、IEEE802.3、IEEE802.5 等，可在内部完成协议转换，实现不同网络的连接，可根据需要提供链路层、网络层和传输层数据信息的安全保密，并具有地址过滤功能。* 密码算法：分组密码算法，密钥长度 128 位。* 路由协议：静态路由、RIP；对其他路由协议透明。* 端口协议：X.25、FR（NNI/UNI）、TCP/IP-PPP、TCP/IP-SLIP、HDLC、ISDN、IBM3270仿真等。* 电气接口：X.21(V.11
10、)、V.24、V.35、V.36、RS422、G.703。* 网管协议：SNMP 协议，支持 Open View、Net View 等网管平台的应用。附：附：SfeCASfeCA 数字证书管理系统数字证书管理系统SFeCA 数字证书管理系统是基于 PKI 的企业网（Intranet）及电子商务（E-business）安全解决方案框架的核心组成部分。SFeCA 可用于组成完整的数字证书管理中心(CA)。SFeCA 集成了公钥引擎、证书引擎、LDAP 证书及作废证书列表发布等功能，可为用户提供完整的信息安全服务。它同紫光顺风的其他产品，如 SecFile、SecMail 和 WebGate 等配合
11、使用，可构成网络和信息系统的全面安全解决方案。* 支持 X.509 V2/V3、PKCS 系列、PKIx、S/MIME、SSL/TLS、PEM 等协议标准。* 除支持国家批准的专有加密算法以外，还支持 DES/3DES、IDEA、RC2/RC4/RC6 等对称加密算法和 MD4、MD5、SHA、SHA-1 等信息摘要算法。* 支持可变长度(可以高达 5000 位或以上)RSA/DSA 公钥体制算法。* 适用于 Windows NT、Linux 等系统平台。附：附：WebGateWebGate 安全访问控制系统安全访问控制系统WebGate 安全控制访问软件系统是基于 PKI 的企业网(Intr
12、anet)及电子商务(E-business)安全解决方案的一部分。它为用户提供对 Web 访问的强身份认证、访问控制和审计跟踪功能。对于公共信息，WebGate 允许一般用户访问。对于敏感信息，WebGate 在允许用户访问之前进行基于数字证书和数字签名的身份认证和访问授权检查。对所有的访问，WebGate 可进行完整的审计跟踪。* 严格遵循 X.509、PKCS、PKIx、SSL/TLS 和 HTTP/1.1 等标准，可以接收任何基于上述标准的数字证书和数字签名。* 支持的 RSA 签名算法密钥长度可达 2048 位。* 适用于 Windows NT+IIS 3.0 以上、IE 4.0 以上
13、的网络环境。附：附：SecMailSecMail 安全电子邮件系统安全电子邮件系统SecMail 安全电子邮件系统是基于 PKI 的企业网(Intranet)及电子商务(E-business)安全解决方案的一部分。它作为一个独立完整的邮件客户端软件，除可执行常规收发电子邮件功能之外，还可实现邮件加密、邮件数字签名及邮件自动回执等安全功能。* 操作系统：中、英文 Window 95/NT 4.0 或以上版本。* 支持 POP3、SMTP、PEM 和 S/MIME 等通用 Internet 电子邮件协议。* 支持 HTML 格式的邮件。* 支持通用 POP3、SMTP 邮件服务器。* 可与 Out
14、look、Netscape 等通用邮件客户端软件互通。* 支持 3DES、IDEA 等标准加密算法和国家审批的专用密码算法。附：附：SecSRVSecSRV 安全服务器安全服务器SecSRV 安全服务器集成了 PCI 总线的 SEM 安全保密模块，主要用于高速环境下的加密认证，典型对称分组加密算法速率为 100Mb/s，1024 位私钥签名为 40 次/秒，验证为 650 次/秒。集对称分组加密算法、公钥体制签名/验证算法、信息摘要(Hash)算法等于一体，可充分保证加密和数字签名等运算的安全性和高性能。* 除支持由国家审批的高强度专有对称分组密码算法之外，还支持三重 DES、IDEA、RC5
15、 等标准对称算法和 RSA、DSA 等公开密码体制算法，* 信息摘要则支持 MD2、MD5、SHA-1、RIPEMD160 等多种标准算法，用户可灵活的选择。* 适用于 Windows 95/98/NT、Unix、Linux 等平台。附：附：SecFileSecFile 文件加密系统文件加密系统SecFile 文件加密系统通过对数据文件的加密，保证信息不被泄漏。在提供文件加、解密功能的同时，SecFile 文件加密系统也提供灵活的密钥管理和访问控制功能。* 独立运行的集成化环境，提供标准类 Windows 资源管理器程序界面供用户操作。* OLE 的方式与 Windows 95/98/NT 系
16、统 shell 集成，已加密的文件扩展名为.mmw，且图标统一；对扩展名为.mmw 的文件，用鼠标双击可执行解密操作（由密钥控制）。* 自动配置加密：对指定需加密的路径和目录，SecFile 会在文件存取时自动进行加密或解密。* 高效的文件压缩/解压功能:文件压缩比率指标与 Winzip 相当。* 高强度的文件加密/解密功能:软件提供 128 位高强度加密算法。* 适用 Windows 95/98/NT 以上系统平台。附：附：PKManagerPKManager 集成密钥管理系统集成密钥管理系统KManager 集成密钥管理系统负责紫光顺风系列安全产品的密钥及证书管理，只需在PKManager 中一次配置 RSA 密钥对，就可非常容易地通过文件加密系统 SecFile 实现文件本地加密及数字签名、通过安全电子邮件系统 SecMail 发送安全电子邮件、通过 WWW 服务认证系统WebGate 实现 Web 的用户安全认证。* 私钥存放支持硬盘、软盘和 IC 卡三种存储介质。* 适用与 Windows 95/98/NT 以上系统平台。附：附：KDMCKDMC 密钥管理中
