Transcript 国家统计局身份安全认证系统介绍和工作要求20111215

国家统计局企业一套表身份认证系统
介绍和工作要求
国家统计局数据管理中心
安全管理处
张杰
2011年12月
目录
一、信息安全形势
二、统计信息系统身份认证体系情况介绍
三、身份认证系统原理和操作步骤
四、工作要求
一、信息安全形势
• （一）信息化持续快速发展：云计算、物联网----马局长：展开双臂，迎接信息化！
• （二）伴随着风险和威胁：
1.传统：拒绝服务、病毒、蠕虫、黑客入侵、漏洞……
2.云风险：云服务的恶意使用、数据丢失或泄漏、恶意内部人员
•
账户/服务劫持、不安全的云软件、未知风险预测……
•
3.物联网主要风险：无线安全、不安全的芯片/软件、企业、公民隐
私问题、ID真实性问题……
（三）国际：
美国政府高度重视美国的国家网络安全， 5月发布《网络
空间国际战略》、7月发布《网络空间军事行动战略》提出战
略倡议，加快美国在网络空间的军事扩张步伐；北约8月发布
新的《网络安全战略》；英国、印度、新西兰等------网络空间
安全已为越来越多的国家和政府所重视。
（四）国内：
近几年密集出台信息安全政策（如等级保护、分级保护
等），发布多项信息安全国家标准，加快信息安全保障能力的
建设。
（五）面对风险、形势，技术解决的基础----身份认证
• 信息安全、认证为先。你是谁？这是信息安全
可查
首要解决的问题。通过数字证书，可以实现强
身份认证，解决信息系统中“你是谁”的问题
。
可信
• 在身份认证的基础上，基于数字证书可以进一
步解决保密性、完整性和防抵赖等问题。
问题
可控
• 身份认证系统是信息安全的基础设施。
身份可信、资源可控、行为可查
为什么说数字证书系统是信息安全的基础设施？
三类身份认证方式：
1、密码识别
根据所知道的信息来证明身份
用户名+密码、动态口令
2、生物识别
根据独一无二的身体特征
指纹、虹膜、人脸识别等
3、证物识别
根据所拥有的物品来证明身份
数字证书（Ukey）、智能卡
身份认证方式比较
比对项
数字证书
用户名/口令
生物特征
口令
动态口令
安全性
高
低
中
中
认证范围
用户、设备认证
只认证用户
只认证用户
只认证用户
加解密/防篡改/防抵赖
可以实现
不能实现
不能实现
不能实现
技术可靠性
高
高
高
不高，误识别
可扩展性
高
低
低
低
标准化程度
高
低
低
低
管理与维护成本
中
较高
高
高
投资规模
中
低
中
高
数字证书是国际和国内主流的电子认证方式；
数字证书是网络世界唯一合法（电子签名法）的身份证。
（六）法律法规的要求
1. 《中华人民共和国电子签名法》(中华人民共和国主席令第十八号)
2004年8月28日颁布，明确了电子签名的法律地位；
2. 《电子认证服务密码管理办法》（国家密码管理局公告第2号）2005
年3月31日国家密码管理局；
3. 《证书认证系统密码及其相关安全技术规范》 国家密码管理局2005
年6月23日发布，明确了PKI技术在安全认证领域的基础地位；
4. 《信息安全技术
信息系统安全等级保护基本要求》中对第三级应用
系统必须使用双因素进行用户认证，并有九项要求：身份鉴别、访问
控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖
、软件容错、资源控制。由身份认证系统（ＰＫＩ／ＣＡ）实现上述
（红色字体）五项安全要求。
（七）身份认证应用现状
1. 国际：美国联邦、日本等均建设了基于PKI/CA技术
的身份认证系统，实现信息系统的身份认证。
2. 国内：电子政务内网、外网电子认证系统；税务、
海关、统计等行业认证系统；银行业认证系统（证
书KEY）等。
二、统计信息系统身份认证体系情况介绍
•
（一）背景：企业一套表系统是在公安部备案
的信息安全等级三级的应用系统，是“四大工程”
的核心。受到了统计系统和社会各界的广泛关注，
对系统的安全保障能力也提出了更高的要求。
•
尤其上报数据的企业用户，经济数据是企业的
最高机密，直接关系经济利益，因此更关心报送系
统是否可信、上报的数据是否被第三方窃取等。
•
身份认证系统是保障信息安全的基础。
（二）统计信息系统身份认证系统现状
1.
国家统计局身份认证系统始建于2000年，是专门为统计业务系统提供安
全认证服务的系统。已应用身份认证的联网直报系统：工业企业联网直
报、企业和服务业调查信息网、3000家房地产企业直报网、贸易外经统
计信息网、三农数据网、服务业调查系统等。已签发证书14万张。
2.
随着第二次全国经济普查项目的实施，目前已建设完成国家—省两级分
布式身份安全认证系统。每省节点证书容量5000张。
3.
可实现《信息系统安全等级保护基本要求》三级标准中对企业一套表应
用系统身份鉴别、访问控制、通信完整性、通信保密性、抗抵赖要求。
经联调测试，目前在大并发访问压力下，国家局身份认证每秒可签
发证书300张以上。
（三）逻辑部署图：
（四）系统架构图：
认证中心
国家局
身
份
认
证
系
统
应用安全服务系统
管理中心
密钥管理中心
签名验证网关系统
注册审核中心
安全认证网关系统
在线服务系统
认证审计系统
企业一套
表系统
目录服务系统
省局
身
份
认
证
系
统
应用安全服务系统
管理中心
注册审核中心
安全认证网关系统
应用安全服务系统
企业一套
表系统
……
企业一套
表系统
管理中心
安全认证网关系统
注册审核中心
在线服务系统
在线服务系统
目录服务系统
目录服务系统
32个省级统计局
身
份
认
证
系
统
（五）身份认证系统可以解决哪些安全问题
• 1.保护企业数据（可信、防窃取、防篡改等）；
• 2.保障应用系统安全；
• 3.满足国家公安部等信息安全主管部门的要求。
三、身份认证系统原理和操作
（一）业务模式示意图
国家统计局内网
身份
认证
发证
系统
企
业
一
套
表
安
全
认
证
网
关
1 .申 请
2.返回
证书
网络
证书
认证
3.身份 输
全传
和安
 管理员操作：
1. 应用系统管理员提供需注册的用户信息。
2. 身份认证系统管理员将用户信息在身份认证系统中进行注册、审核。
3. 系统维护和技术支持。
 用户操作：
1. 首次访问企业一套表应用系统时，到指定页面下载本企业证书。
2. 访问企业一套表应用系统，安全认证网关验证用户证书有效性。
3. 用户填写统计报表，并报送。
（二）身份认证系统证书下载流程
用户
１.用户登录应用系统
企业一套表
应用系统
２.首次登录用户，点击”
申请证书”按钮
３.在证书下载的页面下载安装“根证书及配置文件”，并输入
用户名和口令，下载用户证书。

用户流程描述：
1.
企业用户登录企业一套表应用系统；
2.
首次登录系统的用户，需下载安装“根证书和配置文件”，输入用
户名、口令，下载证书；
3.
证书自动安装。
本次培训演示环境:http://10.6.133.240:6001/dr/
http://ytbtestca.stats.gov.cn/ytbonline
219.235.129.113/ytbonline;
;
10.6.156.14/ytbonline;
（三）使用证书，登录应用系统数据报送流程
国家统计局
用户
安全认证网关
企业一套表
应用系统
1，在系统首页输入用户名口令，点
击“登录”，提交证书
2、验证证书颁发者和
证书起止日期
3、验证通过后，
传递用户证书信息
5、返回相应
业务操作界面
6、显示相应业务操作界面
7、建立安全传输通道，开始数据报送
4、读取用户
证书信息，确
定用户权限
流程描述：
1.
用户在一套表系统首页输入用户名口令，点击“登录”，并选择本
用户证书；
2.
（后台服务）安全认证网关验证用户证书的颁发者是否合法以及证书是否在有效期限内；
3.
（后台服务）用户证书验证通过后，安全认证网关将用户证书信息传递给企业一套表系统；
4.
（后台服务）企业一套表系统从安全认证网关传递的数据中读取用户证书信息，并确定用户权限；
5.
（后台服务）企业一套表系统根据用户权限，向安全认证网关返回相应业务操作界面；
6.
用户计算机显示相应业务操作界面；
7.
开始数据报送，安全认证网关保障数据传输的安全。
本次培训演示：http://10.6.133.240:6001/dr
（四）常见问题
1、每张证书有效期为三年，到期后需重新申请证书；
2、在一套表系统中注册了子账户的用户，多个子账户可以同时
使用其主账户的证书登录系统，进行报送；
3、支持口令同步：在应用系统中修改账户口令后，再到身份认
证系统下载证书时，使用修改后的口令。（与应用系统程序接
合实现，各自建应用节点可自行实现）
4、问题解答手册（可在门户网站下载）
四、工作要求
• 1、原则：本地发证，各单位应于12月30日前准备好本地身份
认证系统发证环境。
• 2、各单位应组织所属企业于1月31日前，完成证书下载工作。
工作顺利！