數(shù)據(jù)安全路由支撐平臺產(chǎn)品規(guī)格及方案設(shè)計(jì)

1、數(shù)據(jù)安全路由支撐平臺產(chǎn)品規(guī)格及方案設(shè)計(jì)2015-1-9目 錄 TOC o 1-3 h z u HYPERLINK l _Toc408948097 一 引言 PAGEREF _Toc408948097 h 3 HYPERLINK l _Toc408948098 1.1編寫目的 PAGEREF _Toc408948098 h 3 HYPERLINK l _Toc408948099 1.2適用范圍 PAGEREF _Toc408948099 h 3 HYPERLINK l _Toc408948100 1.3文檔概述 PAGEREF _Toc408948100 h 3 HYPERLINK l _Toc

2、408948101 1.4參考資料 PAGEREF _Toc408948101 h 3 HYPERLINK l _Toc408948102 二 總體概述 PAGEREF _Toc408948102 h 4 HYPERLINK l _Toc408948103 2.1 系統(tǒng)建設(shè)目標(biāo) PAGEREF _Toc408948103 h 4 HYPERLINK l _Toc408948104 2.2 需求概述 PAGEREF _Toc408948104 h 4 HYPERLINK l _Toc408948105 2.3 系統(tǒng)功能 PAGEREF _Toc408948105 h 4 HYPERLINK l

3、_Toc408948106 三 系統(tǒng)設(shè)計(jì) PAGEREF _Toc408948106 h 5 HYPERLINK l _Toc408948107 3.1 系統(tǒng)開發(fā)環(huán)境 PAGEREF _Toc408948107 h 5 HYPERLINK l _Toc408948108 3.2 系統(tǒng)基本架構(gòu) PAGEREF _Toc408948108 h 5 HYPERLINK l _Toc408948109 3.3 業(yè)務(wù)流程 PAGEREF _Toc408948109 h 6 HYPERLINK l _Toc408948110 3.4 系統(tǒng)模塊設(shè)計(jì) PAGEREF _Toc408948110 h 8 HYP

4、ERLINK l _Toc408948111 3.4.1 業(yè)務(wù)端web服務(wù)模塊 PAGEREF _Toc408948111 h 9 HYPERLINK l _Toc408948112 3.4.2 業(yè)務(wù)端web服務(wù)接口定義 PAGEREF _Toc408948112 h 9 HYPERLINK l _Toc408948113 3.4.3 內(nèi)網(wǎng)web服務(wù)模塊 PAGEREF _Toc408948113 h 10 HYPERLINK l _Toc408948114 3.4.4 業(yè)務(wù)數(shù)據(jù)庫web服務(wù)和核心征管web服務(wù)接口定義 PAGEREF _Toc408948114 h 10 HYPERLINK

5、l _Toc408948115 四 運(yùn)行環(huán)境規(guī)定 PAGEREF _Toc408948115 h 11 HYPERLINK l _Toc408948116 4.1 設(shè)備 PAGEREF _Toc408948116 h 11 HYPERLINK l _Toc408948117 4.2 支持軟件 PAGEREF _Toc408948117 h 11一 引言編寫目的本文檔作為項(xiàng)目雙方對數(shù)據(jù)安全路由支撐平臺（以下簡稱支撐平臺）系統(tǒng)需求理解達(dá)成一致共識的基礎(chǔ)文件，作為雙方界定項(xiàng)目范圍、簽定合同的主要基礎(chǔ)，也作為本項(xiàng)目驗(yàn)收的主要依據(jù)。同時，本文檔也作為路由平臺后繼工作開展的基礎(chǔ)，供雙方項(xiàng)目主管負(fù)責(zé)人、項(xiàng)目

6、經(jīng)理、技術(shù)開發(fā)人員、測試人員等理解需求之用。適用范圍本文檔適用于所有與本項(xiàng)目有關(guān)的軟件開發(fā)階段及其相關(guān)人員，其中：項(xiàng)目負(fù)責(zé)人、項(xiàng)目經(jīng)理、技術(shù)開發(fā)人員（包括分析人員、設(shè)計(jì)人員、程序人員）、測試人員應(yīng)重點(diǎn)閱讀本文檔各部分，其他人員可選擇性閱讀本文檔。文檔概述本文檔主要描述了支撐平臺系統(tǒng)項(xiàng)目的軟件總體設(shè)計(jì)思路。本文檔首先從業(yè)務(wù)背景、系統(tǒng)功能、運(yùn)行環(huán)境等方面概要描述系統(tǒng)，其次從設(shè)計(jì)原則、功能設(shè)計(jì)、數(shù)據(jù)結(jié)構(gòu)設(shè)計(jì)等方面描述系統(tǒng)的總體設(shè)計(jì)情況，然后進(jìn)一步詳細(xì)描述系統(tǒng)技術(shù)實(shí)現(xiàn)策略、項(xiàng)目實(shí)施以及待確定的問題。參考資料數(shù)據(jù)安全路由支撐平臺需求分析。二 總體概述2.1 系統(tǒng)建設(shè)目標(biāo)本系統(tǒng)在業(yè)務(wù)端采用jar包形式向業(yè)

7、務(wù)系統(tǒng)提供加解密及簽名驗(yàn)簽服務(wù)，v4內(nèi)網(wǎng)端采用weblogic10部署Java應(yīng)用服務(wù)器與業(yè)務(wù)端jar對接，服務(wù)器提供訪問控制、加解密及簽名驗(yàn)簽功能。本系統(tǒng)的部署改變以往業(yè)務(wù)系統(tǒng)直連核心內(nèi)網(wǎng)的現(xiàn)狀，安全可控的保障內(nèi)網(wǎng)數(shù)據(jù)交互的安全。2.2 需求概述根據(jù)公安部對發(fā)展改革委2012年下一代互聯(lián)網(wǎng)信息安全專項(xiàng)有關(guān)事項(xiàng)的確認(rèn)文件要求,確定國家稅務(wù)總局作為試點(diǎn)單位，開展“過渡期網(wǎng)站安全防護(hù)研發(fā)與應(yīng)用試點(diǎn)工程”（以下簡稱“本項(xiàng)目”），國家稅務(wù)總局確定湖北省地方稅務(wù)局（以下簡稱“湖北地稅”）作為項(xiàng)目試點(diǎn)實(shí)施單位。本項(xiàng)目將實(shí)現(xiàn)在混合環(huán)境下數(shù)據(jù)的安全路由，完成IPv6和IPv4網(wǎng)絡(luò)之間以及各自內(nèi)部不同系統(tǒng)之間的

8、數(shù)據(jù)調(diào)用和數(shù)據(jù)交換。數(shù)據(jù)安全路由支撐平臺，是混合環(huán)境下系統(tǒng)建設(shè)的核心支撐平臺。2.3 系統(tǒng)功能本支撐平臺主要包含以下幾個方面的功能：鏈路數(shù)據(jù)加密，使鏈路上傳輸?shù)臄?shù)據(jù)被截獲后不可用。數(shù)據(jù)簽名，防止鏈路種傳輸?shù)臄?shù)據(jù)被非法篡改。應(yīng)用訪問控制，阻止不可信應(yīng)用直接訪問內(nèi)網(wǎng)數(shù)據(jù)庫或核心征管系統(tǒng)，保證內(nèi)網(wǎng)數(shù)據(jù)的受控訪問。三 系統(tǒng)設(shè)計(jì)3.1 系統(tǒng)開發(fā)環(huán)境操作系統(tǒng)：windows。開發(fā)語言：Java。開發(fā)平臺：Eclipse 3.7 JDK1.6。3.2 系統(tǒng)基本架構(gòu)支撐平臺，由兩部分組成：業(yè)務(wù)端web服務(wù)和內(nèi)網(wǎng)web服務(wù)。業(yè)務(wù)端web服務(wù)部署在IPv6網(wǎng)段，被業(yè)務(wù)端調(diào)用；內(nèi)網(wǎng)web服務(wù)部署在IPv4內(nèi)網(wǎng)端，連

9、接核心征管系統(tǒng)和部署在內(nèi)網(wǎng)的業(yè)務(wù)數(shù)據(jù)庫web服務(wù)。兩部分通過匯聚交換機(jī)、核心路由器及IVI設(shè)備連接一起（見結(jié)構(gòu)圖）。業(yè)務(wù)端web服務(wù)，是供業(yè)務(wù)系統(tǒng)調(diào)用的應(yīng)用服務(wù)器，負(fù)責(zé)將業(yè)務(wù)數(shù)據(jù)加密、簽名、組包和應(yīng)用可信檢查，將組包數(shù)據(jù)發(fā)送到內(nèi)網(wǎng)web服務(wù)；同時負(fù)責(zé)接收內(nèi)網(wǎng)web服務(wù)下發(fā)的數(shù)據(jù)，傳遞給指定的業(yè)務(wù)系統(tǒng)。業(yè)務(wù)端web服務(wù)連接加密機(jī)完成相應(yīng)的加解密和簽名驗(yàn)簽功能。內(nèi)網(wǎng)web服務(wù)，是負(fù)責(zé)接收并處理業(yè)務(wù)端web服務(wù)請求的一個web服務(wù)。內(nèi)網(wǎng)web服務(wù)接收到數(shù)據(jù)以后，先解密數(shù)據(jù)，然后根據(jù)業(yè)務(wù)檢查規(guī)則，檢查數(shù)據(jù)包格式是否合法，不合法直接返回錯誤，合法數(shù)據(jù)發(fā)送到業(yè)務(wù)數(shù)據(jù)庫web服務(wù)或者核心征管系統(tǒng)web服務(wù)。

10、業(yè)務(wù)數(shù)據(jù)庫web服務(wù)是連接業(yè)務(wù)數(shù)據(jù)庫一個web服務(wù)，負(fù)責(zé)處理業(yè)務(wù)系統(tǒng)對數(shù)據(jù)庫操作的請求。核心征管系統(tǒng)web服務(wù)是處理業(yè)務(wù)系統(tǒng)對核心征管系統(tǒng)請求的一個web服務(wù)。該服務(wù)收到對核心征管系統(tǒng)的業(yè)務(wù)請求以后，負(fù)責(zé)處理業(yè)務(wù)請求并返回結(jié)果。結(jié)構(gòu)圖3.3 業(yè)務(wù)流程業(yè)務(wù)的處理過程如下（業(yè)務(wù)請求流程圖）：業(yè)務(wù)系統(tǒng)向業(yè)務(wù)端web服務(wù)發(fā)起請求。業(yè)務(wù)端web服務(wù)根據(jù)數(shù)據(jù)來源、數(shù)據(jù)格式做可信審查，非可信應(yīng)用則返回錯誤。業(yè)務(wù)端web服務(wù)將數(shù)據(jù)先計(jì)算哈希值，然后簽名。業(yè)務(wù)端web服務(wù)將簽名值連同數(shù)據(jù)明文一起加密。業(yè)務(wù)端web服務(wù)將密文連同業(yè)務(wù)標(biāo)識信息組包發(fā)往內(nèi)網(wǎng)web服務(wù)。內(nèi)網(wǎng)web服務(wù)收到數(shù)據(jù)包后，將數(shù)據(jù)解密。內(nèi)網(wǎng)web

11、服務(wù)根據(jù)數(shù)據(jù)格式和業(yè)務(wù)標(biāo)識信息判斷數(shù)據(jù)是否合法，不合法則返回。內(nèi)網(wǎng)web服務(wù)驗(yàn)證簽名值，驗(yàn)簽失敗返回錯誤。內(nèi)網(wǎng)web服務(wù)根據(jù)業(yè)務(wù)標(biāo)識信息，將數(shù)據(jù)提交到業(yè)務(wù)數(shù)據(jù)庫web服務(wù)或核心征管系統(tǒng)web服務(wù)。業(yè)務(wù)數(shù)據(jù)庫web服務(wù)或核心征管系統(tǒng)web服務(wù)將處理結(jié)果返回給內(nèi)網(wǎng)web服務(wù)，內(nèi)網(wǎng)web服務(wù)將數(shù)據(jù)簽名、加密后發(fā)回業(yè)務(wù)端web服務(wù)。業(yè)務(wù)端web服務(wù)解密后返回給業(yè)務(wù)系統(tǒng)。業(yè)務(wù)請求流程圖3.4 系統(tǒng)模塊設(shè)計(jì)根據(jù)系統(tǒng)架構(gòu)，本系統(tǒng)分為兩個基本的功能模塊：業(yè)務(wù)端web服務(wù)模塊和內(nèi)網(wǎng)管web服務(wù)模塊。3.4.1 業(yè)務(wù)端web服務(wù)模塊業(yè)務(wù)端web服務(wù)以WebService服務(wù)形式接收業(yè)務(wù)系統(tǒng)請求，業(yè)務(wù)系統(tǒng)調(diào)用接口將

12、業(yè)務(wù)請求數(shù)據(jù)發(fā)送到核心征管web服務(wù)。接口調(diào)用加密機(jī)完成請求數(shù)據(jù)的加解密及簽名驗(yàn)簽，處理流程如下（見處理流程圖）：業(yè)務(wù)接口將業(yè)務(wù)參數(shù)，包括后臺服務(wù)的URL，方法名以及業(yè)務(wù)系統(tǒng)發(fā)起的參數(shù)組包組合成一個整體的報文。調(diào)用加密機(jī)對1中生成的整體報文進(jìn)行簽名。將1中的報文和簽名的hash值，作為原始明文數(shù)據(jù)交由加密機(jī)進(jìn)行加密。發(fā)送到核心征管web服務(wù)。處理流程圖3.4.2 業(yè)務(wù)端web服務(wù)接口定義String Openrate(int Appid, string Data)；參數(shù)：int Appid 應(yīng)用編號，根據(jù)不同的業(yè)務(wù)由平臺統(tǒng)一規(guī)定；string Data 應(yīng)用數(shù)據(jù)；返回值：string 內(nèi)網(wǎng)返回

13、結(jié)果。3.4.3 內(nèi)網(wǎng)web服務(wù)模塊內(nèi)網(wǎng)web服務(wù)模塊收到業(yè)務(wù)端接口發(fā)來的數(shù)據(jù)后，將數(shù)據(jù)拆包解密，并驗(yàn)證簽名值，解析解密后的明文數(shù)據(jù)，將其中的URL和方法名以及參數(shù)組包發(fā)送到后臺業(yè)務(wù)解析Server（見圖內(nèi)網(wǎng)處理圖）。內(nèi)網(wǎng)處理圖3.4.4 業(yè)務(wù)數(shù)據(jù)庫web服務(wù)和核心征管web服務(wù)接口定義業(yè)務(wù)數(shù)據(jù)庫web服務(wù)和核心征管web服務(wù)接口是內(nèi)網(wǎng)業(yè)務(wù)系統(tǒng)提供給核內(nèi)網(wǎng)web服務(wù)調(diào)用的接口。業(yè)務(wù)數(shù)據(jù)庫web服務(wù)是負(fù)責(zé)處理內(nèi)網(wǎng)業(yè)務(wù)數(shù)據(jù)庫操作的服務(wù)；核心征管web服務(wù)是核心征管系統(tǒng)業(yè)務(wù)處理的服務(wù)。內(nèi)網(wǎng)web服務(wù)調(diào)用兩者提供的接口。String Openrate(string Data)；參數(shù)： string Data 應(yīng)用數(shù)據(jù)；返回值：string 業(yè)務(wù)數(shù)據(jù)庫web服務(wù)或核心征管web服務(wù)處理結(jié)果。四 運(yùn)行環(huán)境規(guī)定4.1 設(shè)備服務(wù)器型號基本配置操作系統(tǒng)描述數(shù)量SRJ130簽名驗(yàn)證服務(wù)器2U/ 101001000M/Windows/Linux數(shù)據(jù)加解密簽名驗(yàn)簽4曙光天闊A950r-G5