一個電子政務信息安全方案的設計與實現(xiàn).doc

碩碩士士學學位位論論文文 一個電子政務信息安全方案 的設計與實現(xiàn) 學位申請人學位申請人 學科專業(yè)學科專業(yè) 計算機應用技術 計算機應用技術 指導教師指導教師 答辯日期答辯日期 A Thesis Submitted in Partial Fulfillment of the Requirements for the Degree of Master of Engineering The Design and Realization of an Information Security Scheme for Electronic Government Candidate Tian Tao Major Computer Application Technology Supervisor Prof Ouyang Xingming Huazhong University of Science and Technology Wuhan Hubei 430074 P R China November 2006 獨獨創(chuàng)創(chuàng)性性聲聲明明 本人聲明所呈交的學位論文是我個人在導師指導下進行的研究工作及取得的 研究成果 盡我所知 除文中已經(jīng)標明引用的內(nèi)容外 本論文不包含任何其他個 人或集體已經(jīng)發(fā)表或撰寫過的研究成果 對本文的研究做出貢獻的個人和集體 均已在文中以明確方式標明 本人完全意識到本聲明的法律結(jié)果由本人承擔 學位論文作者簽名 日期 年 月 日 學位論文版權使用授權書學位論文版權使用授權書 本學位論文作者完全了解學校有關保留 使用學位論文的規(guī)定 即 學校有權 保留并向國家有關部門或機構(gòu)送交論文的復印件和電子版 允許論文被查閱和借閱 本人授權華中科技大學可以將本學位論文的全部或部分內(nèi)容編入有關數(shù)據(jù)庫進行檢 索 可以采用影印 縮印或掃描等復制手段保存和匯編本學位論文 保密 在 年解密后適用本授權書 不保密 請在以上方框內(nèi)打 學位論文作者簽名 指導教師簽名 日期 年 月 日 日期 年 月 日 本論文屬于 摘摘 要要 隨著電子政務建設的不斷發(fā)展 電子政務建設和應用過程中的信息安全問題已 經(jīng)成為電子政務建設中的急待解決的一個突出問題 信息安全是建設電子政務的基 礎和關鍵 電子政務信息安全方案要確保信息內(nèi)容的存取 處理和傳輸各個環(huán)節(jié)中 的保密性 完整性和可用性 確保電子政務系統(tǒng)的合理應用和有序運行 圍繞 國家電子政務信息安全試點城市濟源市電子政務建設方案 這一應用主 題 通過對濟源市電子政務信息安全系統(tǒng)進行研究和分析 給出了一個電子政務信 息安全方案 該方案采用基于互聯(lián)網(wǎng)的地市級電子政務安全架構(gòu) 具體由互聯(lián)網(wǎng) 電子政務安全支撐平臺和電子政務應用系統(tǒng)三部分組成 互聯(lián)網(wǎng)是實現(xiàn)政務網(wǎng)絡互 聯(lián)的網(wǎng)絡基礎設施 安全支撐平臺和電子政務應用都建立在互聯(lián)網(wǎng)之上 電子政務 安全支撐平臺是電子政務運行的安全保障 依靠 VPN 技術 PKI 技術 信息分級分 域存儲 等級化訪問控制 網(wǎng)絡入侵檢測等技術進行搭建 依托河南省電子政務基 礎設施所頒發(fā)的數(shù)字證書 保證域內(nèi) 域間的網(wǎng)絡安全 保證與應用相關的信息和 數(shù)據(jù)安全 在電子政務安全支撐平臺基礎上提供安全的電子政務應用服務 在方案 實現(xiàn)中 給出了有關設備或系統(tǒng)主要安全技術要求 并對應用系統(tǒng)的安全屬性進行 分級 對潛在的安全風險進行分析 對安全系統(tǒng)的實施提出了網(wǎng)絡部署要求 通過探索基于互聯(lián)網(wǎng)的地市級電子政務建設及信息安全保障新方法和新模式 為今后基于互聯(lián)網(wǎng)的地市級電子政務系統(tǒng)建設提供了可借鑒的經(jīng)驗 關鍵詞 電子政務 信息安全 等級保護 虛擬專網(wǎng) 公鑰基礎設施 Abstract With the development of electronic government construction the system security becomes an urgent problem Especially the information security is the foundation of e government construction The e government information security scheme ensures the secrecy the integrity and the usability in the information storage processing and transmission ensures e government reasonable application and has the orderly running Focusing on the application topic of national experimental city Jiyuan e government construction scheme this article thoroughly analyzes its security system and put forward an e government security scheme The scheme is a municipal e government security architecture on the basis of the internet It is made up of three parts the Internet the security supporting platform and the application system The Internet offers the system interconnections The e government security supporting platform and application system is on the basis of the Internet The security supporting platform guarantees e government running It is built by the technologies such as VPN PKI the different degree and area store technology grading access control and network invading detection relies on digital Certification Authority issued by Henan provincial e government infrastructure and ensures network security in the domains and inter domains information and data security The application system is on the basis of the security supporting platform In the scheme s realization the article also puts forward the technological demands of related equipments and system ranks the system security properties analyzes the potential security risk and puts forward network deploy demands on system applications This article explores a new mode and method of municipal e government security on the basis of the internet and provides some experiences for other municipal e government constructions in the future Key words E government Information Security Ranking Protection Virtual Private Network Public Key Infrastructure 目目 錄錄 摘摘 要要 I Abstract II 1 緒論緒論 1 1 課題背景 1 1 2 國內(nèi)外研究概況 2 1 3 論文的主要研究內(nèi)容 5 2 電子政務信息安全相關理論和技術電子政務信息安全相關理論和技術 2 1 虛擬專網(wǎng) VPN 6 2 2 公鑰基礎設施 PKI 9 2 3 加密技術 12 2 4 信息安全等級保護 16 2 5 信息分級分域存儲 17 2 6 入侵檢測技術 17 2 7 小結(jié) 19 3 系統(tǒng)方案的設計系統(tǒng)方案的設計 3 1 設計的目標和原則 20 3 2 電子政務系統(tǒng)體系結(jié)構(gòu) 22 3 3 安全支撐平臺體系結(jié)構(gòu) 23 3 4 系統(tǒng)組成框圖 25 3 5 互聯(lián)網(wǎng) 25 3 6 電子政務安全支撐平臺 26 3 7 電子政務應用系統(tǒng) 29 3 8 小結(jié) 29 4 系統(tǒng)方案的實現(xiàn)系統(tǒng)方案的實現(xiàn) 4 1 電子政務系統(tǒng)網(wǎng)絡部署 31 4 2 有關設備或系統(tǒng)主要安全技術要求 35 4 3 應用系統(tǒng)信息安全等級劃分 38 4 4 安全風險 43 4 5 小結(jié) 47 5 總結(jié)總結(jié) 致致 謝謝 49 參考文獻參考文獻 50 1 緒論緒論 1 1 課題背景課題背景 電子政務 Electronic Government 是政府在其管理和服務職能中運用現(xiàn)代信息 和通信技術 實現(xiàn)政府組織結(jié)構(gòu)和工作流程的優(yōu)化重組 超越時間 空間和部門分 隔的制約 全方位地向社會提供優(yōu)質(zhì) 規(guī)范 透明的服務 是管理政府手段的變革 1 電子政務己經(jīng)被全世界都認為是有效提升政府職能部門管理 服務 協(xié)調(diào)的手 段之一 2 也是打造透明 廉潔 高效的服務型政府的最佳途徑之一 3 我國的電子政務的建設 將有利于政府樹立形象 精簡人員與機構(gòu) 提高辦事 效率 進行迅速有力的科學決策等 對于國家的經(jīng)濟繁榮和社會進步有著深遠的意 義 隨著電子政務建設的不斷發(fā)展 電子政務建設和應用過程中的信息安全問題已 經(jīng)成為電子政務建設中的急待解決的一個突出問題 中辦發(fā) 2003 27 號文件 國家 信息化領導小組關于加強信息安全保障工作的意見 出臺以來 國信辦就文件的宣 傳貫徹做了大量的工作 為我國各地做好信息安全保障工作提供了很好的政策和技 術支撐 特別是 2004 年 8 月至 2005 年 6 月的北京市東城區(qū)和廣東省江門市的 開 放互聯(lián)環(huán)境下的電子政務信息安全保障 探索性試點的成功 電子政務信息安全 等級保護實施指南 試行 的出臺 為下一步電子政務信息安全建設和管理提供了 借鑒的經(jīng)驗和建設的指南 為深入探索總結(jié)不同業(yè)務模式電子政務的信息安全保障方法 探討解決電子政 務信息安全建設和管理中出現(xiàn)的一些共性問題 2005 年 10 月 國信辦下發(fā)了決定 在廣東 河南 天津 重慶等四個省市開展電子政務信息安全試點工作 河南選擇 濟源市作為基于互聯(lián)網(wǎng)電子政務信息安全試點 濟源市位于河南省西北部 是 18 個省轄市之一 近幾年 濟源市把信息化作 為促進經(jīng)濟發(fā)展的重要舉措 信息化建設取得了長足進展 開通了 濟源之窗 政 府門戶網(wǎng)站和 12315 便民熱線 政務部門全部接入了互聯(lián)網(wǎng) 70 的部門建有內(nèi) 部局域網(wǎng) 20 余個部門建有縱向業(yè)務系統(tǒng) 由于各部門之間網(wǎng)絡相對獨立 互不聯(lián) 通 導致資源不能共享 辦事效率不高 針對這些問題 濟源市決定建設全市統(tǒng)一 的網(wǎng)絡辦公和應用平臺 濟源市轄 8 鎮(zhèn) 4 鄉(xiāng) 4 個街道辦事處 整體規(guī)模較小 每年傳遞的涉密信息不到 總信息量的 3 若專門建設電子政務網(wǎng)絡 不僅投資大 覆蓋面小 而且與電子 政務建設的初衷相違背 濟源市信息化基礎設施較好 村村通電話 光纖已鋪設到 鄉(xiāng)鎮(zhèn) 互聯(lián)網(wǎng)走進了 尋常百姓家 積極利用互聯(lián)網(wǎng)資源進行電子政務建設 既 可以節(jié)約資源 節(jié)省成本 又能提高服務的覆蓋面 在國外已有成功的先例 互聯(lián)網(wǎng)作為一個開放的網(wǎng)絡環(huán)境 在安全方面先天不足 存在著諸多隱患 數(shù) 億網(wǎng)民成分十分復雜 基于互聯(lián)網(wǎng)的電子政務建設面臨著政務信息失泄密 非法篡 改 身份假冒等安全威脅 所以在濟源市電子政務建設中 必須高度重視信息安全 問題 明確規(guī)定涉密信息不上網(wǎng) 通過綜合運用以密碼技術為基礎的信息安全技術 合理配置信息安全設備 保證基于互聯(lián)網(wǎng)電子政務的信息安全 在此基礎上 全面 依托互聯(lián)網(wǎng) 建設由 政務辦公 項目審批管理 12345 便民熱線 新農(nóng)村信息 服務 等系統(tǒng)組成電子政務應用平臺 信息安全是建設電子政務的基礎和關鍵 通過本次試點項目 綜合運用多種信 息安全技術 為電子政務搭建更合理 更方便 更完善的安全平臺 我們的經(jīng)驗 可以為其他市級電子政務安全建設提供借鑒和參考 1 2 國內(nèi)外國內(nèi)外研究概況研究概況 1 2 1 國外電子政務信息安全的研究現(xiàn)狀及發(fā)展趨勢國外電子政務信息安全的研究現(xiàn)狀及發(fā)展趨勢 近年來 世界發(fā)達國家都在積極進行電子政務的建設 電子政務已成為國際公 共行政管理改革的新動向 如 2000 年 3 月 日本政府宣布實施電子政府工作 并 計劃 2005 全面進入 辦公電子化階段 美國在 2000 年 6 月 6 日 6 月 30 日 用了二十天的時間完成了建設電子政府的全部立法程序 被喻為 第二次美國獨立 革命 并將在 2005 年前后最終進入電子政府時代 英國也在 2000 年提出 要建設 最適應知識經(jīng)濟發(fā)展的 電子英國 并把全面開通電子政府的時間從 2008 年提前 到 2005 年 歐盟 東盟均提出 電子歐盟 和 電子東盟 計到 總之 電子政 府己成為新世紀國際公共行政管理改革和衡量國家競爭力的顯著標志之一 4 6 國外電子政務信息安全的主要發(fā)展趨勢歸納如下 1 網(wǎng)絡攻擊將是西方國家必須重點防范的恐怖方式 國際合作會更加緊密 9 11 恐怖襲擊事件的發(fā)生改變了人們思考安全問題的方式 對于信息化程度較 高的西方國家來說 防止恐怖分子發(fā)動網(wǎng)絡攻擊將成為重點防范的對象 各國將采 取的一系列網(wǎng)絡防范措施上 進一步采取行動保護網(wǎng)絡基礎設施的安全 2 管理措施將在信息安全政策中占據(jù)主導地位 各國對網(wǎng)絡空間的監(jiān)管能力 不斷增強 從國外近幾年的實踐情況來看 各國政府紛紛采取了應對網(wǎng)絡攻擊的 管理舉措 預計世界各國將進一步完善管理層面的改革 將其作為國家信息安全政 策的 重中之重 3 信息安全即將進入綜合研究時期 信息安全逐漸演變成一個綜合 交叉的 學科領域 不再僅僅限于對傳統(tǒng)意義上的網(wǎng)絡和計算機技術進行研究 必須要綜合 利用數(shù)學 物理 通信 計算機以及經(jīng)濟學等諸多學科的長期知識積累和最新發(fā)展 成果 進行自主創(chuàng)新研究 并提出系統(tǒng)的 完整的 協(xié)同的解決方案 4 信息安全產(chǎn)品日趨成熟 防病毒 防黑客依然是網(wǎng)絡與信息安全的技術主 流 近年來 網(wǎng)絡病毒和黑客給全球帶來了數(shù)千億美元的經(jīng)濟損失 作為兩個 傳統(tǒng) 的全球性信息安全問題 在過去的幾年中仍然是信息安全領域的兩大熱點 雖然各國將致力于發(fā)展新型的信息安全技術 如生物鑒別技術 電子簽名技術等等 但防病毒和防黑客仍然將占據(jù)信息安全技術的主流地位 7 5 信息保障進入實際運用 系統(tǒng)的質(zhì)量 可靠性與安全性一并受到重視 時 至今日 由于信息系統(tǒng)的攻擊日趨頻繁 安全的概念已經(jīng)不局限于對信息的保護 人們更需要的是整個信息系統(tǒng)運行的安全 具體包括了對信息及系統(tǒng)進行保護 檢 測 響應和恢復 PDRR 的能力 各國的信息保障概念將融入實際應用當中 各國 建立的各種具體信息安全保障體系和體制將進一步落到實處 進入實際運轉(zhuǎn)狀態(tài) 不僅系統(tǒng)的安全性 其運行的質(zhì)量和可靠性將隨著信息安全保障的實施一并受到重 視 1 2 2 我國電子政務信息安全的研究現(xiàn)狀及趨勢我國電子政務信息安全的研究現(xiàn)狀及趨勢 我國 國民經(jīng)濟和社會發(fā)展十五計劃綱要 又明確了 以信息化帶動工業(yè)化 的主張 今后我國將會進一步明確電子政務在信息化建設中的作用和地位 通過電 子政務促進電子商務和數(shù)字城市的發(fā)展 以電子政務帶動信息化 已被看作是國 民經(jīng)濟和社會信息化的一項基本策略 8 9 國內(nèi)電子政務信息安全發(fā)展趨勢歸納如下 1 國家對網(wǎng)絡與信息安全管理將作戰(zhàn)略性的選擇 近幾年的網(wǎng)絡與信息安全 事件徹底改變了我國信息安全狀況 促進了全社會對該問題的重視和關注 并極大 地刺激了政府對網(wǎng)絡與信息安全的管理 從而徹底改變了國家對網(wǎng)絡與信息安全的 認識和策略 2 電子政務將帶動信息安全產(chǎn)業(yè)的發(fā)展 由于政務信息的特殊性和敏感性 電子政務的安全當然會要求高 需求大 持續(xù)的電子政務熱潮將帶動信息安全產(chǎn)業(yè) 的發(fā)展 從而 以信息資源管理為核心的信息安全保障可能成為電子政務安全的主 流 3 信息安全服務和電子政務的安全評估成為市場熱點 社會信息化的飛速發(fā) 展帶動了網(wǎng)絡與信息安全需求的不斷提高 人們開始認識到安全不僅要靠產(chǎn)品實現(xiàn) 服務也是重要手段 保障信息安全是一個動態(tài)的過程 在快速增長的信息安全市場 中 安全服務占據(jù)著越來越重要的位置 根據(jù)市場的發(fā)展趨勢 可預測對電子政務 和其他領域的安全評估會成為市場熱點 4 地方保護和行業(yè)行為對信息安全管理和產(chǎn)業(yè)發(fā)展的影響將更加顯現(xiàn) 雖然 2002 年成立了權威的國家網(wǎng)絡與信息安全協(xié)調(diào)小組 負責統(tǒng)一協(xié)調(diào)跨部門的網(wǎng)絡與 信息安全工作 但我國網(wǎng)絡與信息安全多頭管理的歷史和現(xiàn)實 決定了多頭管理的 現(xiàn)象仍會繼續(xù)存在 因此地方保護和行業(yè)行為對信息安全管理和產(chǎn)業(yè)發(fā)展的影響將 更加顯現(xiàn) 國家從大局出發(fā) 嚴格把握宏觀管理尺度 避免新的重復建設和地主保 護門檻林立 造成國家資源浪費 產(chǎn)業(yè)元氣大傷 5 協(xié)調(diào)將成為信息化進程中安全管理的重要方式和手段 2002 年 7 月成立了 國家網(wǎng)絡與信息安全協(xié)調(diào)小組 負責統(tǒng)一協(xié)調(diào)跨部門的網(wǎng)絡與信息安全工作 根據(jù) 信息安全問題發(fā)展趨勢和成功經(jīng)驗 協(xié)調(diào)將成為信息化進程中安全管理的重要方式 和手段 1 3 論文的主要研究內(nèi)容論文的主要研究內(nèi)容 本文圍繞 2005 國家電子政務信息安全試點城市濟源市電子政務建設方案 這 一應用主題 對基于互聯(lián)網(wǎng)的電子政務網(wǎng)絡安全進行深入研究 完成如下工作 1 深入地研究基于互聯(lián)網(wǎng)的電子政務信息安全相關理論和技術 分析他們在電 子政務中的作用 2 在分析濟源市實際應用系統(tǒng)安全需求的基礎之上 給出一個總體安全架構(gòu)方 案 該方案依靠 VPN 技術 PKI 技術 信息分級分域存儲 等級化訪問控制等技術 搭建電子政務安全支撐平臺 在安全平臺的基礎上提供電子政務應用服務 3 對上述安全系統(tǒng)的實施提出網(wǎng)絡部署要求 對相關設備給出安全技術規(guī)范 并對應用系統(tǒng)的安全屬性進行分級 對潛在的安全風險進行分析 4 積極探索基于互聯(lián)網(wǎng)地市級電子政務建設及信息安全保障新方法和新模式 為今后基于互聯(lián)網(wǎng)建設地市級電子政務系統(tǒng)提供可供借鑒的經(jīng)驗 本文的組織結(jié)構(gòu)如下 第 1 章 主要概述課題的研究的背景 國內(nèi)外研究概況 并對論文的主要研究 內(nèi)容進行概括 第 2 章 詳細論述信息安全方面采用的主要技術和理論 如 VPN PKI 信息分級 分域存儲 等級化訪問控制等 分析他們在電子政務建設中起的作用 第 3 章 系統(tǒng)方案的設計 該方案由互聯(lián)網(wǎng) 電子政務安全支撐平臺和電子政 務應用系統(tǒng)三部分組成 互聯(lián)網(wǎng)是本次安全試點的網(wǎng)絡基礎設施 在電子政務安全 支撐平臺基礎上提供安全的電子政務應用服務 第 4 章 系統(tǒng)方案的實現(xiàn) 對系統(tǒng)的實施提出網(wǎng)絡部署要求 給出有關設備或 系統(tǒng)主要安全技術要求 并對應用系統(tǒng)的安全屬性進行分級 對潛在的安全風險進 行分析 第 5 章 對論文所做的工作進行總結(jié) 2 電子政務信息安全相關理論和技術電子政務信息安全相關理論和技術 電子政務依賴于計算機和網(wǎng)絡技術 對于計算機網(wǎng)絡來說 資源共享和信息安全 始終是一對矛盾體 這就意味著電子政務應用不可避免地存在著由 Internet 的自由 開放所帶來的信息安全隱患 電子政務中的網(wǎng)絡與信息安全不僅關系到電子政務本 身的健康發(fā)展 而且關系到國家的政治安全 經(jīng)濟安全 國防安全 社會穩(wěn)定和政府 工作的正常運轉(zhuǎn) 因此 網(wǎng)絡和信息安全是電子政務系統(tǒng)建設中的核心問題 也是 電子政務建設中的關鍵所在 10 電子政務中的安全保障體系就是要確保信息內(nèi)容的 存取 處理和傳輸各個環(huán)節(jié)中的保密性 完整性和可用性 確保電子政務系統(tǒng)的合 理應用和有序運行 11 13 濟源試點系統(tǒng)依托互聯(lián)網(wǎng) 通過構(gòu)建電子政務安全支撐平臺 保障了電子政務 應用系統(tǒng)的安全運行 其中電子政務安全支撐平臺的搭建最為關鍵 使用了虛擬專 網(wǎng) VPN 公鑰基礎設施 PKI 信息安全等級保護 信息分級分域存儲 入侵檢測等 關鍵技術 下面進行一下介紹 2 1 虛擬專網(wǎng)虛擬專網(wǎng) VPN 虛擬專網(wǎng) VPN Virtual Private Network 是一種通過對網(wǎng)絡數(shù)據(jù)進行封包和 加密 在公網(wǎng)上傳輸私有數(shù)據(jù) 同時保證私有網(wǎng)絡的安全 從而利用公網(wǎng)構(gòu)筑企 業(yè)專用的組網(wǎng)技術 14 15 簡單地說 VPN 就是通過 Internet 實現(xiàn)低成本通訊的 一種技術 16 從客觀上可以認為 VPN 就是一種具有私有和專用特點網(wǎng)絡通信環(huán)境 它是通 過虛擬的組網(wǎng)技術 而非構(gòu)建物理的專用網(wǎng)絡的手段來達到的 17 2 1 1 VPN 的構(gòu)成的構(gòu)成 一個典型 VPN 的組成部分如圖 2 1 所示 18 19 圖 2 1 VPN 的組成 VPN 服務器 接受來自 VPN 客戶機的連接請求 對客戶機進行身份驗證 VPN 客戶機 發(fā)出連接請求的設備 可以是終端計算機也可以是路由器 隧道 由隧道協(xié)議形成的數(shù)據(jù)傳輸通道 在其中傳輸?shù)臄?shù)據(jù)必須經(jīng)過封裝 VPN 連接 在 VPN 連接中 數(shù)據(jù)必須經(jīng)過加密 隧道協(xié)議 封裝數(shù)據(jù) 管理隧道的通信標準 傳輸數(shù)據(jù) 經(jīng)過封裝 加密后在隧道上傳輸?shù)臄?shù)據(jù) 公共網(wǎng)絡 如 Internet 也可以是其他共享型網(wǎng)絡 2 1 2 VPN 工作原理工作原理 虛擬專網(wǎng) VPN 采用了一種稱之為隧道的技術 使得企業(yè)網(wǎng)內(nèi)一個局域網(wǎng)的數(shù) 據(jù)透明地穿過公用網(wǎng)到達另一個局域網(wǎng) 其基本過程是在原局域網(wǎng)與公用網(wǎng)的接口 處將局域網(wǎng)發(fā)送的數(shù)據(jù)作為負載封裝在一種可以在公用網(wǎng)上傳輸?shù)臄?shù)據(jù)格式中 在 目的局域網(wǎng)與公用網(wǎng)的接口處將公用網(wǎng)的數(shù)據(jù)解封裝后 取出負載在目的局域網(wǎng)傳 輸 由于封裝與解封裝只在兩個接口處由設備按照隧道協(xié)議配置進行 在此過程中 被封裝的數(shù)據(jù)包在隧道的兩個端點之間通過公共互聯(lián)網(wǎng)絡進行路郵 而被封裝的數(shù) 據(jù)包在公共互聯(lián)網(wǎng)絡上傳遞時所經(jīng)過的邏輯路徑就被稱為隧道 20 2 1 3 VPN 關鍵技術關鍵技術 VPN 具有專線連接的安全 保密 專用 高性能等特點 構(gòu)建一個 VPN 需 要解決的關鍵技術包括隧道技術 Tunneling 加解密技術 Encryption Decryption 密鑰管理技術 Key Management 和身份認證技術 Authentication 1 隧道技術 VPN 的核心就是隧道技術 隧道技術主要負責將待傳輸?shù)脑紨?shù)據(jù)包進行加 密 協(xié)議封裝 再嵌套裝入另一種協(xié)議數(shù)據(jù)包中進入網(wǎng)絡 像普通數(shù)據(jù)包一樣傳輸 只有該虛擬專用網(wǎng)絡授權的用戶才能對隧道中的數(shù)據(jù)包進行解釋和處理 而其他用 戶無法處理這些信息 從而保證 VPN 的遠程用戶或主機和專用網(wǎng)絡的安全連接 該技術就像在公用網(wǎng)上為信息交換的雙方開辟一條專有的 隱蔽的數(shù)據(jù)通道一樣 隧道是由一系列的協(xié)議組成 根據(jù)通訊協(xié)議的分層模型 可分為第二層隧道協(xié)議和 第三層隧道協(xié)議 第二層隧道協(xié)議主要有 PPTP L2F L2TP 等 第三層隧道協(xié)議 主要有 IPSec GRE 等 2 加密技術 為了保證數(shù)據(jù)傳輸安全 對在公開信道上傳輸?shù)?VPN 流量必須進行加密 從 而確保網(wǎng)絡上未授權的用戶無法讀取信息 其過程是發(fā)送者在發(fā)送數(shù)據(jù)之前對數(shù)據(jù) 加密 當數(shù)據(jù)到達接收者時由接收者對數(shù)據(jù)進行解密 密碼技術可以分為兩類 對稱加解密和非對稱加解密技術 對稱加解密技術簡 單易用 處理效率比較高 易于用硬件實現(xiàn) 缺點是密鑰管理較困難 常用的有 DES 3DES 非對稱加解密技術安全系數(shù)更高 可以公開加密密鑰 對密鑰的更新 也很容易 易于管理 缺點是效率低 難于用硬件實現(xiàn) 常用的有 Diffie Hellman RSA 通常用非對稱加密進行身份認證和密鑰交換 對稱密鑰用于數(shù)據(jù) 加密 3 密鑰管理技術 其主要任務是解決公用數(shù)據(jù)網(wǎng)上安全傳遞密鑰而不被竊取的問題 現(xiàn)行密鑰管 理技術又分為 SKIP 與 ISAKMP OAKLEY 兩種 SKIP 主要是利用 Diffie Hellman 的演算法則 在網(wǎng)絡上傳輸密鑰 在 ISAKMP 中 雙方都有兩把密鑰 分別作公用 私用 4 身份認證技術 身份認證技術是一種用來驗證通訊雙方是否真的是他所聲稱的身份的手段 目 前通用的方法是使用數(shù)字證書或非對稱密鑰算法來鑒定用戶的身份 通訊雙方交換 資料前 須先確認彼此的身份 接著出示彼此的數(shù)字證書 雙方將此證書進行比較 只有比較結(jié)果正確 雙方才開始交換資料 否則 不能進行后續(xù)的通信 21 23 2 2 公鑰基礎設施公鑰基礎設施 PKI 2 2 1 PKI 簡介簡介 PKI 采用證書進行公鑰管理 通過第三方的可信任機構(gòu) 認證中心 即 CA 把 用戶的公鑰和用戶的其他標識信息捆綁在一起 其中包括用戶名和電子郵件地址等 信息 以在 Internet 網(wǎng)上驗證用戶的身份 PKI 把公鑰密碼和對稱密碼結(jié)合起來 在 Internet 網(wǎng)上實現(xiàn)密鑰的自動管理 保證網(wǎng)上數(shù)據(jù)的安全傳輸 24 26 因此 從大的方面來說 所有提供公鑰加密和數(shù)字簽名服務的系統(tǒng) 都可歸結(jié) 為 PKI 系統(tǒng)的一部分 PKI 的主要目的是通過自動管理密鑰和證書 為用戶建立起 一個安全的網(wǎng)絡運行環(huán)境 使用戶可以在多種應用環(huán)境下方便的使用加密和數(shù)字簽 名技術 從而保證網(wǎng)上數(shù)據(jù)的機密性 完整性和有效性 一個有效的 PKI 系統(tǒng)必須 是安全的和透明的 用戶在獲得加密和數(shù)字簽名服務時 不需要詳細地了解 PKI 的 內(nèi)部運作機制 在一個典型 完整和有效的 PKI 系統(tǒng)中 除證書的創(chuàng)建 發(fā)布和撤 銷外 一個可用的 PKI 產(chǎn)品還必須提供相應的密鑰管理服務 包括密鑰的備份 恢 復和更新等 沒有一個好的密鑰管理系統(tǒng) 將極大地影響一個 PKI 系統(tǒng)的規(guī)模 可 伸縮性和在協(xié)同網(wǎng)絡中的運行成本 27 29 PKI 發(fā)展的一個重要方面就是標準化問題 它也是建立互操作性的基礎 PKI 標準化主要有兩個方面 一是 RSA 公司的公鑰加密標準 PKCS Public Key Cryptography Standards 它定義了許多基本 PKI 部件 包括數(shù)字簽名和證書請求格 式等 二是由 Internet 工程任務組 IETF Internet Engineering Task Force 和 PKI 工作 組 PKIX Public Key Infrastructure Working Group 所定義的一組具有互操作性的公鑰 基礎設施協(xié)議 在今后很長的一段時問內(nèi) PKCS 和 PKIX 將會并存 大部分的 PKI 產(chǎn)品為保持兼容性 也會對這兩種標準進行支持 30 PKI 的發(fā)展非?？?己經(jīng)從幾年前的理論階段過渡到目前的產(chǎn)品階段 并且出 現(xiàn)了大量成熟技術 產(chǎn)品和解決方案 正逐步走向成熟 目前 PKI 產(chǎn)品的生產(chǎn)廠 家很多 比較有代表性的主要有 VeriSign 和 Entrust 另外 一些大的廠商 如 Microsoft Netscape 和 Novell 等 都開始在自己的網(wǎng)絡基礎設施產(chǎn)品中增加 PKI 功 能 31 2 2 2 PKI 的組成及各部分的功能的組成及各部分的功能 PKIX 工作組 PKIX Working Group 給 PKI Public Key Infrastructure 的定義為 是一組建立在公開密鑰算法基礎上的硬件 軟件 人員和應用程序的集合 它應具 備產(chǎn)生 管理 存儲 分發(fā)和廢止證書的能力 32 PKI 在實際應用上是一套軟硬件系統(tǒng)和安全策略的集合 一個典型的 PKI 系統(tǒng) 如圖 2 2 所示 其中包括 PKI 策略 軟硬件系統(tǒng) 認證中心 CA 注冊機構(gòu) RA 證 書發(fā)布系統(tǒng)和 PKI 應用等 PKI 應用 證書認證機構(gòu) CA注冊機構(gòu) RA證書發(fā)布系統(tǒng) PKI 策略軟硬件系統(tǒng) 圖 2 2 PKI 基本組成架構(gòu) PKI 的主要目的是通過自動密鑰管理和證書 為用戶建立起一個安全的網(wǎng)絡運 行環(huán)境 使用戶可以在多種應用環(huán)境下方便的使用加密和數(shù)字簽名技術 從而保證 網(wǎng)上數(shù)據(jù)的機密性 完整性 有效性 數(shù)據(jù)的機密性是指數(shù)據(jù)在傳輸過程中 不能 被非授權者偷看 數(shù)據(jù)的完整性是指數(shù)據(jù)在傳輸過程中不能被非法篡改 數(shù)據(jù)的有 效性是指數(shù)據(jù)不能被否認 PKI 安全策略建立和定義了一個組織信息安全方面的指導方針 同時也定義了 密碼系統(tǒng)使用的處理方法和原則 它包括一個組織怎樣處理密鑰和有價值的信息 根據(jù)風險的級別定義安全控制的級別 一般情況下 在 PKI 中有兩種類型的策略 一是證書策略 用于管理證書的使用 比如 可以確認某一 CA 是在 Internet 上的 公有 CA 還是某一企業(yè)內(nèi)部的私有 CA 另外一個就是 CPS Certificate Practice Statement 一些由商業(yè)證書發(fā)放機構(gòu) CCA 或者可信的第三方操作的 PKI 系統(tǒng)需要 CPS 這是一個包含如何在實踐中增強和支持安全策略的一些操作過程的詳細文檔 它包括 CA 是如何建立和運作的 證書是如何發(fā)行 接收和廢除的 密鑰是如何產(chǎn) 生 注冊的 以及密鑰是如何存儲的 用戶是如何得到它的等等 33 認證中心 CA 是 PKI 的信任基礎 它管理公鑰的整個生命周期 其作用包括 發(fā)放證書 規(guī)定證書的有效期和通過發(fā)布證書廢除列表 CRL 確保必要時可以廢除 證書 注冊機構(gòu) RA 提供用戶和 CA 之間的一個接口 RA 接受用戶的注冊申請 審 查用戶的申請資格 并決定是否同意 CA 給其簽發(fā)數(shù)字證書 注冊機構(gòu)并不給用戶 簽發(fā)證書 而只是對用戶進行資格審查 因此 RA 可以設置在直接面對客戶的業(yè) 務部門 如銀行的營業(yè)部 機構(gòu)認證部門等 對于一個規(guī)模較小的 PKI 應用系統(tǒng)來 說 可把注冊管理的職能由認證中心 CA 來完成 而不設立獨立運行的 RA 但這 并不是取消了 PKI 的注冊功能 而只是將其作為 CA 的一項功能而己 34 36 PKI 國 際標準推薦由一個獨立的 RA 來完成注冊管理的任務 可以增強應用系統(tǒng)的安全 證書發(fā)布系統(tǒng)負責證書的發(fā)放 如可以通過用戶自己或是通過目錄服務 目錄 服務器可以是一個組織中現(xiàn)存的 也可以是 PKI 方案中提供的 PKI 的應用非常廣泛 包括在 web 服務器和測覽器之間的通訊 電子郵件 電 子數(shù)據(jù)交換 EDI 在 Internet 上的信用卡交易和虛擬私有網(wǎng) VPN 等 一個簡單的 PKI 只需包含一個 CA 和一個證書庫 如圖 2 3 所示 LDAP ServerCA 端實體端實體 證書 CRL 證書 CRL 下載 查詢 由證書保護 的安全通信 各種申請 離線 SSL 方式 圖 2 3 最簡單的 PKI 2 3 加密技術加密技術 加密技術是數(shù)字證書的核心 所采用的加密技術應考慮先進性 業(yè)界標準和普 遍性 加密技術在 CA 認證中應用的目的有兩個 一個是身份認證 即 Proof of possession of key 利用加密技術的身份鑒別 另一個目的是保證傳輸數(shù)據(jù)的機密性 即 Encryption of information 加密是指使用密碼算法對數(shù)據(jù)作變換 使得只有密 鑰持有人才能恢復數(shù)據(jù)面貌 現(xiàn)代密碼學的基本原則是 一切密碼寓于密鑰之中 即算法公開 密鑰保密 密碼算法分為兩類 對稱密鑰算法和非對稱密鑰算法 2 3 1 對稱密碼算法對稱密碼算法 對稱密碼算法的加密密鑰和解密密鑰相同 Ke kd 密鑰必須特殊保管 它的 優(yōu)點是保密強度高 計算開銷小 處理速度快 缺點是密鑰管理困難 加解密過程 如圖 2 4 所示 對稱加密 對稱解密 明文 明文 密文 圖 2 4 對稱加密算法 常用的對稱加密算法是 DES 除此之外還有 TRIPLE DES IDEA RC2 RC4 RC5 等對稱算法 DES Data Encryption Standard 算法是 美國政府機關為了保護信息處理中的計算機數(shù)據(jù)而使用的一種加密方式 是一種常 規(guī)密碼體制的密碼算法 目前已廣泛用于電子商務系統(tǒng)中 64 位 DES 的算法詳細 情況已在美國聯(lián)邦信息處理標準 FIPS PUB46 上發(fā)表 隨著研究的發(fā)展 DES 算 法在基本不改變加密強度的條件下 發(fā)展了許多變形 DES Triple DES 是 DES 算 法擴展其密鑰長度的一種方法 可使加密密鑰長度擴展到 128 比特 112 比特有效 或 192 比特 168 比特有效 37 DES 是一種對二元數(shù)據(jù)進行加密的算法 數(shù)據(jù)分組長度為 64bit 8bytes 密文 分組長度也是 64bit 沒有數(shù)據(jù)擴展 密鑰長度為 64 位 其中有 8bit 奇偶校驗位 有效密鑰長度為 56bit 算法的構(gòu)成框圖在圖 2 5 中給出 初始置換 IP 輸入 64 比特明文數(shù)據(jù) 初始逆置換 IP 1 交換左 右 32 比特 在密鑰控制下 16 輪 迭代 輸出 64 比特密文數(shù)據(jù) 圖 2 5 DES 加密 初始置換 IP 將 64bit 明文的位置進行置換 得到一個亂序的 64bit 明文組 而 后分成左右兩段 每段為 32bit 以 L0和 R0表示 乘積變換 是 DES 算法的核心部分 將經(jīng)過 IP 置換后的數(shù)據(jù)分成 32bit 的左右 兩組 在迭代過程中彼此左右交換位置 每次迭代時只對右邊的 32bit 進行一系列 的加密變換 在此輪迭代即將結(jié)束時 把左邊的 32bit 與右邊的 32bit 逐位模 2 相加 作為下一輪迭代時右邊的段 并將原來右邊未經(jīng)變換的段直接送到左邊的寄存器中 作為下一輪迭代時左邊的段 逆初始置換 IP 1 將 16 輪迭代后給出的 64bit 組進行置換 得到輸出的密文組 加密過程 L0R0 IP 輸入碼 Li Ri 1 i 1 16 Ri Li 1 f Ri 1 Ki i 1 16 IP 1 R16L16 解密過程是加密過程的逆過程 R16L16 IP 密文 Ri 1 Li i 1 16 Li 1 f Ri 1 Ki Ri i 1 16 IP 1 L0R0 2 3 2 非對稱密碼算法非對稱密碼算法 非對稱密碼算法的加密密鑰與解密密鑰不同 不可能由加密密鑰解出解密密鑰 每個用戶都有兩個密鑰 一個在信息團體內(nèi)公開 稱為公鑰 一個由用戶秘密保存 稱為私鑰 非對稱密碼算法的優(yōu)點是便于密鑰管理 分發(fā) 便于數(shù)字簽名 它的缺 點是計算開銷大 處理速度慢 加解密過程如圖 2 6 所示 非對稱加密 非對稱解密明文明文 密文 圖 2 6 非對稱加密算法 目前 較流行的是 RSA 數(shù)據(jù)安全加密技術 它既可用于加密 又可用于數(shù)字 簽字 但由于 RSA 算法的運算速度較慢 因此 在實際的應用中通常不采用這一 算法對信息量大的信息 如大的 EDI 交易 進行加密 RSA 算法的安全性是基于數(shù)論 中大整數(shù)分解的困難性 即兩個大素數(shù) p 和 q 的乘積 n 其歐拉函數(shù)值為 n p 1 q 1 2 1 隨機選一整數(shù) e 1 e n e 1 因而在模 n 下 e 有逆元 d e 1 mod n 2 2 取公鑰為 n e 私鑰為 d p q 不再需要 可以銷毀 加密信息 m 二進 制表示 時 首先把 m 分成等長數(shù)據(jù)塊 m1 m2 mi塊長 s 其中 2s20 的委辦局 在網(wǎng)絡出口處部署 VPN 安全設備 作為邊界防護 設備 提供網(wǎng)絡接入 傳輸加密和分域控制功能 域內(nèi)的單個機器安裝桌面安全防 護套件 進行安全隔離和病毒防護 域內(nèi)的用戶采取證書方式進行身份認證 2 用戶數(shù)量 20 的委辦局 單個機器上安裝 VPN 客戶端 提供網(wǎng)絡接入和傳 輸加密功能 并安裝增強型桌面安全防護套件 提供數(shù)據(jù)存儲保護 郵件加密 安 全隔離和病毒防護功能 域內(nèi)的用戶采取證書方式進行身份認證 4 鄉(xiāng)鎮(zhèn) 辦事處域 在處理電子政務的終端上安裝 VPN 客戶端 提供網(wǎng)絡接入 和傳輸加密功能 并安裝增強型桌面安全防護套件 提供數(shù)據(jù)存儲保護 郵件加密 安全隔離和病毒防護功能 采用證書方式進行身份認證 5 移動辦公用戶 安裝 VPN 客戶端 提供移動接入和傳輸加密功能 并安裝 增強型桌面安全防護套件 進行數(shù)據(jù)存儲保護 郵件加密 安全隔離和病毒防護 采用證書方式進行身份認證 6 企業(yè)用戶 安裝 VPN 客戶端 采用證書或口令方式進行身份認證 7 注冊公眾用戶 采用口令方式進行身份認證 8 公眾用戶 不采取防護措施 4 2 有關設備有關設備或系統(tǒng)或系統(tǒng)主要安全技術要求主要安全技術要求 為了確保試點技術方案得到有效的實施 實現(xiàn)既定的建設目標 現(xiàn)對本次試點 建設所涉及的有關安全設備或系統(tǒng) 在安全功能和性能上提出如下主要技術要求 4 2 1 VPN 與安全接入主要技術要求與安全接入主要技術要求 1 VPN 密碼機的技術要求 1 支持基于數(shù)字證書的設備認證 2 支持基于用戶的接入控制和分域訪問控制 3 VPN 密碼機應同時具有防火墻功能 4 應同時支持移動安全接入 VPN 安全互聯(lián) 互聯(lián)網(wǎng)訪問等功能 5 中心 VPN 密碼機端口數(shù) 7 滿足行政區(qū)的分域控管要求 6 VPN 密碼機具有雙向 DNS 等功能 7 VPN 密碼機自身具有入侵檢測與攻擊防護能力 2 VPN 客戶端的技術要求 1 VPN 客戶端應支持 LAN ADSL WLAN PSTN CDMA GPRS 等多種 互聯(lián)網(wǎng)接入方式 2 客戶端接入應基于數(shù)字證書和統(tǒng)一身份認證系統(tǒng)實施認證 4 2 2 VPN 安全管理主要技術要求安全管理主要技術要求 1 支持系統(tǒng)中所有 VPN 密碼機的統(tǒng)一管理 包括策略的統(tǒng)一設置和系統(tǒng)配置 2 支持 VPN 客戶端的統(tǒng)一管理 包括在線監(jiān)視和接入審計 3 支持 VPN 客戶端的分域接入控制的配置管理 4 2 3 統(tǒng)一身份認證主要技術要求統(tǒng)一身份認證主要技術要求 1 具有統(tǒng)一的用戶管理功能 應支持河南 CA 頒發(fā)的證書導入 2 支持證書和口令兩種認證方式 3 具有單點登錄功能 4 實現(xiàn)安全認證 能有效防止用戶口重放 竊取等攻擊 5 和應用系統(tǒng)之間應具有如下三種接口 1 認證信息的同步接口 2 認證的調(diào)用接口 3 認證結(jié)果動態(tài)信息查詢接口 6 應具有如下三種編程接口 1 COM 接口 2 J2EE 接口 3 C 語言接口 LINUX 和 UNIX 平臺 4 2 4 統(tǒng)一授權管理主要技術要求統(tǒng)一授權管理主要技術要求 1 具有統(tǒng)一的授權管理功能 包括統(tǒng)一的角色定義 資源描述和權限分配 2 授權粒度要求 具有授權到子系統(tǒng) 即功能模塊 的功能 子系統(tǒng)劃分不小 于 3 級 3 具有多級授權管理功能 4 和應用系統(tǒng)之間應具有如下三種接口 1 應用系統(tǒng)模塊信息的同步接口 2 授權信息的同步接口 3 授權信息的在線查詢接口 5 應具有如下三種編程接口 1 COM 接口 2 J2EE 接口 4 2 5 應用安全主要技術要求應用安全主要技術要求 本技術要求主要是指應用系統(tǒng)應具有的安全功能要求 1 基于統(tǒng)一身份認證系統(tǒng)實現(xiàn)用戶的單點登錄認證 2 基于統(tǒng)一的授權管理實現(xiàn)子系統(tǒng)的訪問控制 基于工作流的操作授權實現(xiàn) 工作流的訪問控制 3 支持數(shù)據(jù)分級與分域存放 應具有在信息分域物理存儲的條件下的基于等 級保護的訪問控制功能 4 要求關鍵操作 如公文簽發(fā) 必須實施證書方式認證 5 對歸檔后的公文按照完全公開 內(nèi)部公開 內(nèi)部受控三個級別實施等級保 護 6 和統(tǒng)一身份認證系統(tǒng)之間應具有應用系統(tǒng)模塊信息的同步接口 4 2 6 網(wǎng)頁防篡改主要技術要求網(wǎng)頁防篡改主要技術要求 1 具有惡意攻擊檢測功能 能夠?qū)崟r檢測出被篡改的網(wǎng)頁 2 網(wǎng)站快速恢復功能 能夠在較短時間內(nèi)使網(wǎng)站恢復正常運行 4 2 7 桌面安全防護主要技術要求桌面安全防護主要技術要求 1 基本桌面安全防護功能要求 具有主機病毒防護 PC 防火墻功能 2 增強桌面安全防護功能要求 具有主機病毒防護 PC 防火墻 桌面存儲安 全 安全電子郵件等功能 3 PC 防火墻的配置與管理要求 當啟用配置 Windows 自帶配置防火墻功能 時 應提供一個實用程序進行統(tǒng)一的策略配置和導入 4 2 8 防病毒主要技術要求防病毒主要技術要求 1 具有主機和網(wǎng)絡防病毒功能 2 能夠通過 VPN 進行遠程病毒升級 4 2 9 安全審計主要技術要求安全審計主要技術要求 1 具有網(wǎng)絡審計功能 2 具有對 VPN 密碼機等安全設備審計信息的集中管理功能 4 2 10 密碼配用要求密碼配用要求 試點系統(tǒng)中凡是涉及密碼的部分必須符合國家密碼管理政策 1 用于認證 傳輸加密 存儲加密的算法均使用國密辦批準的算法 2 使用密碼的認證系統(tǒng) VPN 客戶端 VPN 密碼機等均應通過國密辦認證 4 3 應用系統(tǒng)信息安全等級劃分應用系統(tǒng)信息安全等級劃分 4 3 1 應用系統(tǒng)應用系統(tǒng) 1 濟源市政務辦公系統(tǒng) 濟源市政務辦公系統(tǒng)部署于濟源市行政區(qū)內(nèi)的電子政務管理中心 主要為濟源 市的日常辦公提供服務 系統(tǒng)的服務對象包括市委 政府 人大和政協(xié)各機關的工 作人員 系統(tǒng)網(wǎng)絡環(huán)境由行政區(qū)局域網(wǎng)和移動用戶接入網(wǎng)構(gòu)成 系統(tǒng)的信息資產(chǎn)包 括各類公文和日常辦公文件 濟源市政務辦公系統(tǒng)按照功能可以劃分為發(fā)文管理 收文管理 會議管理 公 告管理 領導活動安排 領導分管部門和檔案管理等七個子系統(tǒng)組成 不同的子系 統(tǒng)擁有不同類型的信息資產(chǎn) 根據(jù)系統(tǒng)調(diào)研結(jié)果 下面列出了部分子系統(tǒng)的信息資 產(chǎn) 1 發(fā)文管理 各種類型的公文 如議案 決定 公告 通知 通報 報告 請示 批復 函 會議紀要等 2 收文管理 同發(fā)文管理 3 會議管理 會議預告 會場安排 4 公告管理 部門公告 單位公告 5 領導活動安排 領導日程安排 6 領導分管部門 分管部門的工作匯報 7 檔案管理 發(fā)文管理和收文管理中最終形成的公文 2 濟源市項目審批管理系統(tǒng) 主要服務于企業(yè) 完成各類項目網(wǎng)上數(shù)據(jù)采集 各種企業(yè)網(wǎng)上數(shù)據(jù)申報 項目 審批和管理 包括項目審批 項目核準 項目備案 項目管理和辦理結(jié)果反饋 項目審批子系統(tǒng)實現(xiàn)對政府投資建設項目審批的處理過程 項目核準子系統(tǒng)實現(xiàn)的是項目核準制的辦公自動化 核準制指政府投資主管部 門 發(fā)改委 按照 政府核準的投資項目目錄 對企業(yè)投資建設的重大項目和限制 類項目 從維護經(jīng)濟安全 合理開發(fā)利用資源 保護生態(tài)環(huán)境 優(yōu)化重大布局 保 障公共利益 防止出現(xiàn)壟斷等方面實行核準的制度 對于外商投資項目 政府還要 從市場準入 資本項目管理等方面實行核準 項目備案子系統(tǒng)實現(xiàn)的是項目備案制的辦公自動化 備案制是指對 政府核準 的投資項目目錄 之外的 企業(yè)不使用政府投資 總投資在 50 萬元及以上的擬建 項目 均實行備案制 由企業(yè)按照屬地原則向地方政府投資主管部門 發(fā)改委 備案 根據(jù)系統(tǒng)調(diào)研結(jié)果 按子系統(tǒng)的列出了保護資產(chǎn) 1 項目審批 項目建議書 可信性研究報告 招標方案 初步設計方 案 和 投資計劃 2 項目核準 外商投資項目申請報告 項目申請報告 和 項目招標方 案 境外投資項目申請報