网络和通信安全

身份鉴别和通信数据机密性、完整性

满足网络和通信安全的总体要求需要通过国密SSL VPN安全网关配合VPN客户端构建虚拟专用通道来保证对各通道的安全：

• 平台管理员通过CN2网络访问平台的业务通道：部署国密SSL VPN安全网关（配备数字证书），以及为平台管理员用户配备USBKey（配备数字证书）和VPN客户端，建立安全的国密加密通道，在此通道内访问平台；
• 平台运维人员通过CN2网络对平台的运维通道：部署国密SSL VPN安全网关（配备数字证书），以及为运维人员配备USBKey（配备数字证书）和VPN客户端，建立安全的国密加密通道，在此通道内对平台中的各设备和服务器、操作系统等进行运维和管理。

网络边界访问控制

网络边界访问控制信息存储在国密SSL VPN安全网关中，完整性已得到保护。国密SSL VPN安全网关设备取得国家密码检测部门颁发的商用密码产品认证证书，通过国密SSL VPN安全网关自身机制实现访问控制信息的保护，该密码应用要求指标可复用商用密码产品检测结果。

设备与计算安全

概述

系统的设备和计算安全层面，主要涉及业务服务器、数据库服务器、网络设备、安全设备。因此采用合规的SSL VPN安全网关、服务器密码机、智能密码钥匙、数字证书实现各项商用密码技术功能。

身份鉴别

通过专用SSL VPN安全网关结合运维堡垒机（或者4A安全系统）提供设备和计算层面的身份鉴别，结合智能密码钥匙（内置数字证书），运维人员Ukey数字证书由身份认证系统（CA）签发，并且与堡垒机分配给运维管理员的账户一一对应和绑定。

1.运维人员首先使用VPN客户端调用智能密码钥匙，通过远程（CN2网络）连通合规SSL VPN安全网关进行双向强身份认证，验证运维人员USBKey证书与SSL VPN服务的双方身份，握手成功后建立国密SSL VPN隧道。

2.再通过UKey方式登录堡垒机。用户通过智能密码钥匙登录堡垒机，采用挑战/应答机制，采用服务器密码机对登录签名进行验证，实现运维管理用户登录堡垒机的身份鉴别实现。具体过程如下：

• 用户插入智能密码钥匙访问堡垒机登录页面时，终端将签名数据、证书发送至堡垒机；
• 堡垒机将签名数据服务器密码机；
• 服务器密码机对签名数据进行验签，并返回验证结果至堡垒机；
• 堡垒机完成证书有消息验证，综合签名数据验证结果，将验证结果返回至终端。

基于密码技术的用户登录堡垒机的身份鉴别中，涉及的密钥为SM2签名算法公私钥，涉及的设备为智能密码钥匙和服务器密码机，不存在出现私钥明文情况。

3.通过堡垒机登录到服务器/虚机进行维护（SSH V2.0协议），实现对服务器/虚机的管理和维护。

访问控制信息完整性

通过建立基于商用密码算法的SSL VPN安全通道，实现了对网络中的服务器、数据库、安全设备和密码设备等设备资产的集中管理。运维人员通过SSL VPN和堡垒机进行远程维护，首先用户使用VPN客户端登录SSL VPN（运维通道），在运维终端和运维SSL VPN之间建立基于商用密码算法的SSL VPN集中管理通道，再通过堡垒机管理页面选择不同的管理协议和工具对设备进行管理，实现远程管理通道安全。