天益信息安全平台构建安全网上报税系统(解决方案).docVIP

天益信息安全平台构建安全的网上报税系统 目前网上报税应用中存在的主要信息安全隐患有： 身份认证机制不强 由于非法用户可以伪造、假冒网上报税系统和纳税户的身份，因此登录到网上报税系统的纳税户无法知道他们所登录的系统是否是可信的网上报税系统，网上报税系统也无法验证登录的纳税户是否是经过认证的合法纳税户，非法用户可以借机进行破坏。用户名＋口令的传统认证方式安全性较弱，纳税户口令易被窃取而导致损失。 无法实现事件的防否认 如果纳税户与税务部门间进行的税务申报行为一旦被其中的一方所否认，另一方没有已签名的记录来作为仲裁的依据。对于报税业务来说，就是企业要对自己呈报的税务数据负责，由技术手段保证企业不能事后否认自己的行为。由于现有的报税系统没有使用数字证书，无法通过数字签名技术来实现不可抵赖性。 缺乏有效的访问控制机制 现有的访问控制都需要开发人员通过编码方式实现，例如针对某一个目录或是文件的访问控制，就需要开发人员编辑动态脚本来保护某一目录或是单个文件。既对服务器资源产生了损耗，又增加了系统的管理和维护成本，无法实现用户权限的集中管理。 传输加密强度不够 大多数企业或个人使用的浏览器加密强度不够，无法保证信息以足够的加密强度在Internet上传输。以IE为例，虽然微软在新版本的IE浏览器中已经允许用户升级到128位的加密强度，但对于大多数用户来说，他们所使用的都还是56位或者40位的加密强度。通常情形下，对称加密算法的加密强度不得低于128位，非对称的不能低于1024位。对于有特殊需求的场合，江苏天益网络信息有限公司还可以在解决方案中使用国产的加密算法。从而保证信息的机密性与完整性。 针对以上提出的需求，我们选择了江苏天益网络信息有限公司的天益FREELINK信息安全平台系列产品，为一个B/S结构的网上报税系统设计安全加强方案。基于该产品可以实现基于数字证书的身份认证、授权和访问控制。并实现信息的加密传输和数字签名，从而保证存储和传输的机密性、完整性真实性和不可抵赖性。并可以对所有的报税企业实现统一的用户管理、权限管理和数据管理。具体在后面有详细的产品介绍。 下图以Domino服务器作为后端的Web服务器为例，说明江苏天益网络信息有限公司系列产品如何实现身份认证和权限管理的功能。 图表 21 普通网上报税系统结构 而天益的具有安全的、可认证的网上报税系统的结构是： 图表 22 改造后的网上报税系统结构 我们的方案是： 客户端 采用TO-KEY电子钥匙作为客户端数字证书存储的工具并实现加密算法和数字签名。 服务器端 使用天益FREELINK信息安全平台作为身份认证、授权和访问控制的网关，对申报系统服务器实现安全的防护。同时与客户端之间建立SSL加密通讯。天益FREELINK信息安全平台能将通过认证的用户信息映射成：“用户名+口令”传送到后台的应用系统中。 天益FREELINK信息安全平台将PKI、PMI以及防火墙有效的结合在一起，能真正实现应用层认证而在IP层实现控制。是国内唯一能将认证、授权和访问控制真正结合的产品。 采用物理隔离网闸在内部和外部网络之间进行数据的传输，确保内部网络的安全性。 内部同样采用天益FREELINK信息安全平台作为内部身份认证的设备。 改造带来的影响 实现数字签名 天益FREELINK信息安全平台收到来自客户端的数字签名后，将签名放入http协议的头域之中，后端的Web服务器收到后将http头域中的签名取出，并将其存储在相应数据库内。在需要时将签名和原数据取出，发给天益FREELINK信息安全平台作签名验证，返回验证结果。 建立加密通信 在用户和天益FREELINK信息安全平台建立基于SSL的加密通信。 实现集中统一的用户管理和权限管理以及数据资源的管理 可以对所有的纳税企业实现基于统一格式的数字证书的用户管理、权限管理等。 实现身份认证、授权和访问控制 建立基于数字证书的强身份认证、授权和基于IP层的访问控制，天益FREELINK信息安全平台通过对IP包的转发来实现访问控制，只有通过身份认证的用户，其访问的IP包才能得到转发，其他任何访问均被拦截！ 对于报税企业来说，只需到税务局一次性领取一个TO-KEY，里面包含了能证明其身份的数字证书。在安装好TO-KEY的驱动后，即可直接访问网上报税系统，进行登录和其他操作。 无锡市国税局网上税务安全解决方案 2 江苏天益网络信息有限公司 无锡市国税局网上税务安全解决方案 1 江苏天益网络信息有限公司