建筑物智能化CA业务集成方案.docxVIP

建筑物智能化CA业务集成方案方案建设目标关于智能化集成系统据结合权威CA业务，从技术上保障用户的身份认证、权限访问控制管理、数据的保密性和不可抵赖性要求；在业务上满足业务流程的实用性、安全性和高效性的要求；从政策层面上保障各信息系统对于数字证书的权威性要求和法律举证要求。从根本上解决互联网工作人员、设备等身份的可信认证、敏感数据的私密性和完整性保护，以及对各种操作行为进行有效的责任追溯和认定。平台架构该方案主要是针对智能化、拥有大量重要机密信息的行业设计的，设计中将数据的使用权和所有权分离，防止内部人员、离职人员造成泄密。采用软硬件一体的设计，同时集合防泄密内核、进程控制、透明加解密等核心技术保障数据的安全和稳定。是一款集文档集中管理，文档防泄密控制于一体的安全解决方案。1.1架构图以CA业务集成平台作为安全服务的核心调度中心，硬件上采用“4路工控机+存储”设计，软件上采用16路不间断服务设计；服务接口采用符合国密规范的统一接口方式，同时提供了验签取证服务模块，以保障平台的稳定性、规范性及合法性。将需要传输重要信息的终端设备结合CA业务集成平台，对数据在传输终端进行数字签名、时间戳签名、传输加密操作，保证数据的机密性、完整性和可用性，杜绝管理人员对数据的修改，保障了数据来源可靠。对需要展示在服务端的数据进行签名验签服务，只有通过验签的数据、文件才能在服务端上显示。对能登入后台的管理人员使用数字证书登入，基于PKI安全设施体系结合数字证书安全登入，能保障身份的唯一性且具有法律效益。证书登录认证过程中，应完成以下安全认证工作：证书保护口令校验；每次登录认证是基于随机数的签名和验证，防止重放攻击；验证用户证书的信任链；验证用户证书有效期；基于最新的黑名单文件，验证用户证书是否被吊销；验证证书信息是否在信息系统具有对应的用户账户及操作权限。安全服务2.1身份认证保障传统的用户名+口令存在巨大安全隐患，无法有效识别身份问题，对系统管理员提供身份认证服务，基于PKI安全设施体系结合数字证书安全登入，能保障身份的唯一性且具有法律效益。证书登录认证过程中，应完成以下安全认证工作：证书保护口令校验；每次登录认证是基于随机数的签名和验证，防止重放攻击；验证用户证书的信任链；验证用户证书有效期；基于最新的黑名单文件，验证用户证书是否被吊销；验证证书信息是否在信息系统具有对应的用户账户及操作权限。2.2关键数据的安全保障传统互联网数据传输无法保障重要数据的完整性、可用性及保密性，平台提供加解密服务，基于PKI安全设施下采用高密算法加解密可有效保证终端重要数据的来源可信、传输可信，对敏感数据的私密性和完整性保护，以及对各种操作行为进行有效的责任追溯和认定。2.3时间戳服务对终端设备或传统业务系统无法保障签名数据的时间有效性。平台提供时间戳服务，可为业务系统提供可信时间签名服务，通过权威精准时间源，确保关键操作和信息的时效性，确保操作和信息存在时间有据可查，不可抵赖。技术指标符合GB/T20520-2006《信息安全技术 公钥基础设施 时间戳规范》，提供可信时间源，符合国家授时中心的时间精度标准，并且经国家授时中心的权威鉴定测试，具有公安部颁发的《计算机信息安全系统专用产品销售许可证》。2.4电子签章服务关于智能化建筑系统需要管理人员签名确认，平台将提供对应的数字证书应用产品和数字签名可视化（即电子印章）软件，从最大的程度上优化信息系统的流程，既保证业务数据安全又兼顾软件业务流程的顺畅和运行效率。在工作人员使用的业务系统中加载CA中心提供的数字证书应用控件和接口技术，系统软件通过调用控件接口，使用数字证书进行数字签名、电子盖章和打印等，通过加载CA中心提供的控件接口技术。工作人员可以调用数字证书对文件进行数字签名和电子盖章以及打印等操作。2.5签名验签安全保障为了规避了业务厂商因没有按照标准规范流程进行集成改造，而给公司带来法律取证合法性风险，平台为电子签名应用提供签名验签服务，为有效的实施电子签名提供法律有效性保障。服务接口采用符合国密规范的统一接口方式，同时提供了验签取证服务模块，以保障平台的稳定性、规范性及合法性。设备投入产品名称描述身份认证设备提供身份认证服务、支持国密最新SM2算法。功能描述：设备基于PKI体系架构设计和建设；采用证书验证，支持CRL查询；支持符合X.509标准的证书，系统使用的证书经国家密码管理局批准的从事数字证书的制作、颁发和管理的第三方电子认证服务机构制作颁发与授权；认证服务支持RSA和SM2算法进行身份有效性验证；支持针对不同应用独立提供用户红名单服务；签名验签设备该设施是电子签名的核心服务，为电子签名应用提供签名验签服务，为有效的实施电子签名提供法律有效性保障。该产品严格按照国密规范GM/T0029-2014标准实现。