国家外汇管理局统一身份认证安全平台.doc

1、招 标 文 件项目编号：GC-HG070225项目名称：国家外汇管理局统一身份认证安全平台项目中央国家机关政府采购中心二OO七年目 录 12中央国家机关政府采购中心 招标文件-投标文件格式1项目概述1.1项目背景随着近年来我国对外贸易的快速发展，进出口规模不断扩大，外贸交易主体增加，相应的外汇业务量也急剧上升，传统的现场及手工处理方式已经很难适应经济发展及管理需要。为提高效率，国家外汇管理局（以下简称外汇局）于年初开始建设互联网服务平台，通过互联网远程办理业务解决了异地办理业务的难题。近年来，随着外汇局网上核销系统、直接投资系统、档案管理系统等业务与管理系统建成并陆续投入运行，使外汇局各项业务

2、在技术水平、管理水平和服务能力上有了很大的提高。与业务系统的快速发展相比，目前外汇局的信息安全管理水平显得相对滞后，虽有一些专用的安全设施，但没有形成统一的、规范的信息安全管理基础系统，安全程度比较低，急需建立安全度高的信息安全基础平台。基于以上背景，外汇局决定建立统一身份认证安全平台，构建一个可控、可管、安全的网络环境，集中管理和控制各级系统用户，实现重要数据的安全交换，提高整体的信息化应用与管理水平。1.2项目目标1.2.1总体目标外汇局统一身份认证安全平台项目最终将达到以下目标：l以先进成熟的计算机技术和通信技术为主要手段，把外汇局公钥基础设施建成一个覆盖外汇局包括核心业务系统、专业管理

3、系统在内的安全业务支撑辅助系统，建立一个网络安全运作支持综合平台，以提高网络安全性、办公效率和管理水平，提高信息分析处理能力。l采用自建CA的方式建立统一的认证中心、CA管理系统，实现数据加密、传输加密、身份验证平台，为核心业务系统、专业管理系统的建设提供基础设施，避免重复建设，节省建设投资和维护费用，便于集中管理，提高系统服务质量。自建CA系统兼容第三方CA证书。l基于互联网服务平台建立外汇局统一身份认证安全平台，此安全平台应与业务应用系统相互配合，完成业务支撑作用，能够进行综合数据加密，传输加密和身份验证。l为外汇局的员工以及银行、企业用户提供各种方便快捷安全的信息交流形式，提高服务质量。

4、1.2.2具体目标l为互联网服务平台搭建CA认证系统，实现CA发证中心、RA管理中心的基本架构，能够签发管理根证书，能够对用户证书进行有效管理。lRA管理中心采用分级管理，总局负责管理总局所属用户的证书，分局负责管理本分局所属用户的证书。l使用主流技术实现用户端与服务器端的数据加密传输，加密强度可调。l实现数字签名功能，保护关键数据的完整性，对用户行为进行审计和责任认定。l满足当前互联网应用系统，如一站式服务系统、网上核销系统、企业档案系统、直接投资系统等系统的认证需求。1.3建设任务根据总体建设目标的要求，外汇局统一身份认证安全平台项目的主要建设任务包括：l完成外汇局的公钥基础设施（PKI）

5、的建设，实现PKI体系下所有用户的数字证书管理、发布、注册以及密码管理，制定与之相关的各类管理办法、政策与制度。l实现外汇局的公钥基础设施（PKI）的应用，数字证书在互联网服务平台、核心业务系统、管理应用系统中的结合与使用。l实现外汇局敏感数据的加密与传输，保证数据的完整性、保密性、不可抵赖性。l在总局建设CA中心和RA中心，分局技术人员通过外汇局内部骨干网登陆总局RA中心进行用户管理。1.4建设原则根据外汇局领导建立统一身份认证安全平台的指导精神，结合外汇局的实际情况，项目在建设过程中应遵循以下原则：l统一规划、分步实施。统一身份认证安全平台的建设涉及外汇局总局各部门和各省分局、支局，规模较

6、大，具有一定的实施难度，需要实施全网统一的技术标准和比较统一的软硬件平台，并在运行中不断完善和改进，才能最终建成一个高可靠性的、高效运行的、安全的数据平台。这在客观上要求工程建设中做到全网统一领导、统一规划、统一技术标准、分步实施。l规范业务、协调合作。由于统一身份认证安全平台最终将与互联网服务平台、核心业务等系统实现互连，因此有必要规范各种类型的业务，统一接口标准，在各个部门协调合作的基础上，顺利完成系统的建设并投入使用。l兼顾先进性、开放性与安全性的需要，建成一个高性能、高可靠、高可用的安全管理平台。l系统应配置灵活、易于管理，并具有较大的可升级空间和可扩展性。2系统配置方案要求2.1软硬

7、件情况说明2.1.1应用系统现状l 核心业务目前，根据核心业务的需求，外汇局规划并开发了一系列的业务应用系统，为银行、企业等用户服务。l 日常管理外汇局已建设办公自动化管理系统，作为日常管理的主要支持。2.1.2网络环境现状外汇局网络分为总局、省分局、中心支局和支局。业务系统分布在总局和各省分局，每个业务系统针对所辖范围的企业、银行服务。总局的互联网服务平台为B/S架构，为银行和各级企业用户服务，互联网服务平台与内网业务服务器通过安全隔离网闸进行数据交换。银行和企业通过Internet网连接到总局业务服务器。总局员工直接访问相应服务器进行业务操作。2.2系统资源配置投标人应该专设章节阐述在外汇

8、局中部署的证书服务需要多少网络、计算和设备资源。在估计资源时，应考虑支持短期及长期成长需要的资源。 投标人在系统配置方案中应包括但不限于对以下网络和计算资源的详细说明：l 运行证书服务及相关应用程序的服务器计算机l 证书数据库及相关应用程序的存储l CA 及相关应用程序备份资源l 灾难恢复资源，如恢复工具包和热备份替换服务器2.3发布CA的负载投标人应考虑发布CA的负载，虽然CA很少经历高负载，但有时能够达到负载高峰。CA的最高负载典型地发生在登录高峰时，或者一个新的证书启动时。同样的，如果有大量证书被吊销，或者CA证书被吊销时，用户进行证书的重新注册时也会发生比较大的负载。根据外汇局目前的用

9、户数规模以及对未来发展的预测，预计最高用户数量将为30万人。2.4发布CA的存储投标人应考虑证书、日志、目录的存储与备份的容量要求，提出相应的服务器配置方案。外汇局对数字证书的管理与存储要求为：l 30万个用户；l 每天进行证书数据库的全备份；l 每年大约最多有10%的证书被吊销。3总体设计原则3.1符合国家有关规定的原则投标人应提供自主开发的、享有完全自主知识产权的数字证书系统，并且应通过公安部和国密办的技术鉴定，是完全符合国家政策和相关法律法规的CA系统。投标人应遵循中华人民共和国计算机信息系统安全保护条例的有关规定，对CA系统进行系统设计和安全性设计。3.2整体安全原则外汇局CA系统作为

10、外汇局构建的安全身份认证系统的主要部分，除了为外汇局目前现有系统提供安全保障，还是外汇局今后各种业务应用的安全基础，因此CA系统的设计必须从一个完整的安全体系结构出发，综合考虑CA系统及其相关的各种实体和环节，综合使用不同层次的不同的安全手段，为外汇局CA提供全方位的安全管理和安全服务。3.3标准化、开放性原则外汇局CA系统应完全遵循系列的国际、国内技术和行业标准，并能保证它所服务的实体之间能够安全地互联互通，不会造成互操作问题。3.4模块化、可扩展原则PKI/CA体系功能强大、标准众多，投标人应根据外汇局CA系统的安全应用需求，本着实用、高效的原则有选择地设计和部署CA系统。可以肯定的是，安

11、全技术在不断发展，业务应用对安全的需求也会产生变化，系统的安全设计必须能适应这种变化：在系统实施过程中，系统的结构、配置也会发生这样或那样的变化。在安全系统设计上要求做到层次化、模块化的结构，既能够根据需求进行灵活配置，同时也使系统具有可扩展能力。另外，外汇局如果未来需要增加若干新的系统， CA系统应能够根据需要满足未来新增应用的安全要求。3.5高可用、可靠、健壮性原则外汇局CA系统的基础平台应成熟稳定可靠，能够提供不间断的服务，具有很好的健壮性，差错处理能力和抗干扰能力。3.6高效、易用、可互操作原则系统所选用的产品容易使用，方便操作员和用户操作；便于系统兼容，方便和其他系统互联互通；系统设

12、计遵循模块化设计的原则，具有良好的可伸缩性。投标人在进行外汇局CA系统设计时，应充分考虑用户的易用性问题，从证书生命周期管理和证书管理，以及证书应用等各个角度，为用户着想，提供操作简单易用的系统。3.7需求、风险、成本平衡折衷原则外汇局CA系统是业务应用的安全基础，其自身也存在着被攻击的风险，理论上其自身的设计要做到绝对安全，但是随着安全等级的提高，所付出的成本也会呈几何级增长。鉴于这种情况，投标人在设计CA系统自身的安全时，要排除脱离实际的安全需求、夸大的安全风险，在安全需求、安全风险和安全成本之间进行平衡和折衷。3.8技术与管理相结合原则从以往发生的信息安全事件的统计结果可以看出，安全管理

13、在信息安全的实现上比安全技术本身起着更重要的作用。作为信息安全的基础设施之一，CA系统的设计与实现是社会大环境下的一个系统工程，单靠技术或管理都不可能实现，必须从社会系统工程的角度综合考虑，在安全技术实现的基础上配合必要的运行管理机制、安全规章制度的建设。投标人除了考虑系统设计，还应针对外汇局CA系统的运行管理，提供建设内容和咨询服务。4统一身份认证安全平台技术要求4.1证书签发系统二级CA中心主要完成以下功能：l 执行根CA制定的策略；l 签发通过RA中心提交的证书请求，为证书用户和服务器及网络设备签发数字证书；l 发布证书到目录服务数据库上，管理并维护所签发的证书；l 创建和维护证书吊销列

14、表(CRL，Certificate Revocation List)；l CA中心系统采用在线操作方式，以满足其直接面向最终用户大量、经常发证的需求，以及经常更新CRL和频繁查询的需求。RA中心在线接受LRA或用户的证书申请和查询。证书的分发和CRL的发布亦都采用在线方式。l 实现证书用户的统一管理。l 支持单证书、双证书体系。l 可以灵活定制证书模板。4.2证书注册系统RA系统主要是完成用户证书的注册申请等功能，提供灵活的B/S证书（包括双证书）申请、审核和制作流程。RA中心功能如下：l 数据输入：接受并录入用户的申请，支持批量导入用户申请；l 审核：负责审核用户的证书申请,以决定是否为用户

15、发放证书；l 证书制作：为用户制作证书,可以以USB Key或软证书的方式制作证书,并向用户发放。支持批量制证；l 管理和审计：负责监督、管理用户申请以及审核的工作。4.3密钥管理中心密钥管理是一项既重要又复杂的工作，是整个密码体系的核心。密钥的管理包括密钥的产生、分发、存储备份、更换及销毁等。密钥管理系统的建设就是要实现能够对全网的密钥进行集中管理的目标。密钥管理中心功能如下：l 密钥的生成：密钥管理中心可以利用加密机批量生成高强度的用户加密密钥；l 用户加密私钥的分发：证书是密钥分发的一种有效方式，用户加密私钥生成后发送给CA中心，由CA中心完成用户加密证书的签发和管理；l 密钥的备份与恢复：帮助用户安全备份用户密钥，防止因用户密钥丢失等原因给用户造成损失，可以利用备份的密钥进行恢复；l 密钥归档：密钥更新时需将旧密钥归档，形成用户密钥的历史信息。发生纠纷时，可以根据系