网上招标CA计划.doc

网上招标CA数字 应用方案 江苏省电子商务证书认证中心有限责任公司 2011年3月 目录 目录 2 1 应用背景 3 1.1 网上招标优势如下： 3 1.2 网上招标问题如下： 4 2 江苏CA解决方案 4 2.1 典型招标流程图： 4 2.2 流程节点安全问题： 5 2.3 江苏CA解决方案： 6 3 实施方案 7 3.1 改造网络前后： 7 3.2 改造后系统说明: 8 4 方案优势 8 4.1 身份认证性 8 4.2 不可抵赖性 9 4.3 数据安全性 9 4.4 数据完整性 10 4.5 记录可追溯性 10 5 网络及系统要求 10 6 典型案例 11 6.1 苏州市及常州市劳动和社会保障局 11 6.2 江苏省省级行政机关政府采购中心 11 6.3 江苏省地税局： 11 6.4 江苏省建设厅： 12 应用背景 招投标是一个复杂的过程，传统的招投标方式要耗费大量的人力和物力，而且由于地域上的限制，使得招投标的信息传播范围狭窄，限制了招标方的选择空间，也制约了投标方业务发展。互联网的开放性和覆盖面的广泛性可以弥补传统的招投标方式的不足。为招标方和投标方提供招投标的信息平台可以使招投标过程在互联网上实现，凭借互联网的运行成本低、覆盖面广的优势，将传统的招投标过程转变为一个简单、方便、快捷的过程，并通过无处不在的网络将招投标信息传送到各行各业，力争为招标方和投标方节约成本，带来最大的利益。 网上招投标是指通过专用招投标电子商务平台，将招投标过程中的各个角色，如供应商、招标机构、评标专家、政府监督机构等连接起来，企业、机关和个人在网上传递投标数据，评标、开标均采用电子手段，中标结果再从网上返回到企业以及公众的一种招投标方式。与传统的招投标方式相比，在网上进行招投标使企业降低了成本，减轻了负担。在网上进行招投标大大提高了招标的工作效率。网上招标还能体现“公正，公平”的招标原则，减少人为因素影响。????然而，网络在带来便利的同时也带来了不安全因素。网络的开放性，使人们可以自由自在地与网络的另一端进行交流，可是另一端是否是自己真正想交流的对象成为一种新的担忧。网络上信息的传输过程是否安全将直接影响到企业、国家乃至整个社会的利益。 因此，网上招标投标系统必须将安全提高到与业务相同的高度来对待。在网上电子商务中，如果不解决身份认证和信息加密等安全问题，就不可能使电子商务真正的发展。a）口令易被猜测；（b）口令在传输被截获；（c）CA解决方案 典型招标流程图： 流程节点安全问题： 招标文件 招标文件发布错误 招标文件发布错误，无法追究发布人的法律责任 招标文件泄密 招标文件泄密后，即使查询到来源也无法追究泄密人的事故责任，无法做到公平，公正。 标书下载 供应商下载的标书，在中途是否被修改 下载的标书如出现问题是否可追究相关的人的责任 传输的标书是否安全 供应商投标 标书传输是否安全 供应商的身份是否是真实的 标书正确投标后，是否可定位到投标人 中标供应商是否会抵赖自己的投标行为 中标通知书 供应商收到的中标通知书是否可界定是由采购人发出 通知书传输是否安全 江苏CA解决方案： 招标文件 江苏CA颁发采购人相关CA证书，在制定招标文件后，采购人需对招标文件做签名，在产生纠纷时即可追究采购人责任。 供应商投标 供应商分别颁发证书，在登陆服务器时，首先认定供应商身份，如是合法供应商，则允许其登陆招标系统，如不是，则直接断开。在服务器和用户客户端认证完以后，双方采用SSL加密协议传输，已保证数据传输的安全性。供应商投标时，对投标书做签名后，传输给应用服务器。供应商签名后的标书具有法律效应，在产生法律纠纷时，可作为电子证据。 中标通知书 中标通知书由局方证书做签名，已保证供应商在产生疑问时，对对应的法律证据。 实施方案 在网上招标系统中使用的数字证书，符合X.509国际标准，采用双证书体系，即一对签名证书和一对加密证书。 改造网络前后： 图表 1 原系统B/S结构应用系统结构图 图表 2 安全改造后系统B/S结构应用系统结构图 改造后系统说明: 改造过程无需改变现有网络。 改造后的系统对用户是透明。 黑名单透明下载，维护量小。 完整的日志档案，出现问题时，能快速定位。 方案优势 身份认证性 在系统的使用中首先需要确认用户的身份，因为只有确认了用户的身份才能开放相应的权限和提供针对个人的服务，并能够有效的防止非法用户的侵入。 对于用户身份认证常见的解决方法是采用口令的方式。这种方式简便易行但是存在着诸多的隐患，首先口令在公开网络上以明文的方式传送容易被截获，其次一旦口令泄密，所有安全机制即失效，最后企业内部网方面需要维护庞大的用户口令列表并负责口令保存的安全，所以采用口令的方式对于网上应用系统是不可取的。 用户身份方式是通过采用基于PKI体