身份認(rèn)證與授權(quán)管理系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)實(shí)施方案

--2---7-財(cái)政身份認(rèn)證與授權(quán)治理系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)實(shí)施方案一、前言〔一〕文檔說(shuō)明本文檔的目的是依據(jù)《財(cái)政部信息網(wǎng)絡(luò)中心關(guān)于財(cái)政身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)核心軟硬件產(chǎn)品和效勞預(yù)算〔財(cái)信〔2023〕29號(hào)《四川省財(cái)政廳關(guān)于開展市州財(cái)政身份認(rèn)證與授權(quán)治理系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)方〔川財(cái)網(wǎng)信辦〔2023〕2號(hào)《四川省財(cái)政身份認(rèn)證與授權(quán)治理系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)實(shí)施方案》，結(jié)合我縣財(cái)政身份認(rèn)證與授權(quán)治理系統(tǒng)〔以下簡(jiǎn)稱為“身份認(rèn)證〕實(shí)際狀況，制定本方案，為工程實(shí)施供給參考和依據(jù)。〔二〕編寫目的為保證我縣財(cái)政身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)工程順當(dāng)實(shí)施，讓工程組成員了解和把握本工程實(shí)施內(nèi)容及實(shí)施標(biāo)準(zhǔn)，特編寫本方案。〔三〕工程相關(guān)方項(xiàng) 目 建 設(shè) 方：縣財(cái)政局辦公室集 成 商：托付市財(cái)政局全權(quán)負(fù)責(zé)身份認(rèn)證系統(tǒng)廠商：托付市財(cái)政局全權(quán)負(fù)責(zé)二、工程概述〔一〕工程背景2023〔以下簡(jiǎn)稱身份認(rèn)證系統(tǒng)財(cái)政部外網(wǎng)分別建設(shè)了一套身份認(rèn)證系統(tǒng)，該系統(tǒng)承受國(guó)際通用密碼算法。財(cái)政身份認(rèn)證系統(tǒng)作為財(cái)政業(yè)務(wù)系統(tǒng)安全的重要保障手段，在財(cái)政系統(tǒng)得到廣泛應(yīng)用，截至目前，全國(guó)財(cái)政業(yè)務(wù)專網(wǎng)身份認(rèn)證系統(tǒng)發(fā)證超過(guò)133萬(wàn)張，外網(wǎng)身份認(rèn)證系統(tǒng)發(fā)證超過(guò)6萬(wàn)張，證書用戶數(shù)已超過(guò)70萬(wàn)人，掩蓋全國(guó)各級(jí)財(cái)政部門、預(yù)算單位、代理銀行等部門。通過(guò)財(cái)政身份認(rèn)證系統(tǒng)的建設(shè)以及證書的簽發(fā)和應(yīng)用，不僅保證了各業(yè)務(wù)系統(tǒng)中用戶的強(qiáng)身份鑒別，同時(shí)對(duì)業(yè)務(wù)系統(tǒng)關(guān)鍵、敏感操作供給抗抵賴功能，并對(duì)重要的數(shù)據(jù)進(jìn)展了加密及完整性保護(hù)，有效提高了應(yīng)用的安全水平。20232碼算法升級(jí)工作的函》的通知，要求已配備使用商用密碼的部委組織落實(shí)本單位身份認(rèn)證系統(tǒng)支持國(guó)產(chǎn)密碼算法升級(jí)工作。身份認(rèn)證系統(tǒng)作為財(cái)政的重要安全根底設(shè)施，其安全性關(guān)系到國(guó)家資金安全，國(guó)產(chǎn)密碼算法升級(jí)對(duì)提升財(cái)政系統(tǒng)網(wǎng)絡(luò)安全具有實(shí)際意義。另外，現(xiàn)有財(cái)政身份認(rèn)證系統(tǒng)根底環(huán)境已運(yùn)行超過(guò)5-8年，局部設(shè)備也已開頭漸漸消滅問(wèn)題，運(yùn)行維護(hù)本錢逐年增加，需要進(jìn)展更。為滿足國(guó)家相關(guān)政策要求以及財(cái)政業(yè)務(wù)安全的實(shí)際需要，部中心啟動(dòng)了對(duì)現(xiàn)有身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)改造工作。我縣財(cái)政局依據(jù)省財(cái)政廳和市財(cái)政局的整體規(guī)劃，開展了財(cái)政身份認(rèn)證系統(tǒng)的建設(shè)工作,截至目前，我縣財(cái)政發(fā)證量近155張，全縣26個(gè)鄉(xiāng)鎮(zhèn)完成了身份認(rèn)證系統(tǒng)的建設(shè)工作，接入的應(yīng)用系統(tǒng)主要包括大平臺(tái)、OT系統(tǒng)、債務(wù)監(jiān)控平臺(tái)、國(guó)庫(kù)庫(kù)款系統(tǒng)等。我縣預(yù)備于2023年啟動(dòng)了省本級(jí)身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)改造工作，目前正在穩(wěn)步推進(jìn)實(shí)施?！捕成?jí)目標(biāo)本次財(cái)政身份認(rèn)證系統(tǒng)升級(jí)主要目標(biāo)是：將財(cái)政身份認(rèn)證系統(tǒng)、USBKEY等升級(jí)到支持國(guó)產(chǎn)密碼算法的軟硬件產(chǎn)品，到達(dá)國(guó)家主管部門要求。通過(guò)升級(jí)，進(jìn)一步優(yōu)化設(shè)備配置和性能，提高系統(tǒng)的強(qiáng)健性，強(qiáng)化治理力氣，提升系統(tǒng)整體的安全性、穩(wěn)定性。同時(shí)，為財(cái)政業(yè)務(wù)應(yīng)用系統(tǒng)推廣國(guó)產(chǎn)密碼算法奠定根底。〔三〕升級(jí)原則國(guó)產(chǎn)化原則國(guó)密算法升級(jí)在實(shí)現(xiàn)身份認(rèn)證系統(tǒng)密碼算法國(guó)產(chǎn)化的同時(shí)，效勞器、操作系統(tǒng)、數(shù)據(jù)庫(kù)等根底軟硬件環(huán)境也要同步使用國(guó)產(chǎn)化產(chǎn)品。牢靠性原則為保證財(cái)政業(yè)務(wù)系統(tǒng)的安全穩(wěn)定運(yùn)行，建身份認(rèn)證系統(tǒng)實(shí)行關(guān)鍵部件冗余、集群策略等多種措施，確保系統(tǒng)運(yùn)行更加穩(wěn)定牢靠。連續(xù)性原則升級(jí)后的身份認(rèn)證系統(tǒng)沿用原有網(wǎng)絡(luò)和安全體系構(gòu)造，用戶無(wú)需轉(zhuǎn)變使用習(xí)慣，現(xiàn)有應(yīng)用無(wú)需改動(dòng)，可連續(xù)使用身份認(rèn)證系統(tǒng)相關(guān)功能，建身份認(rèn)證系統(tǒng)在一段時(shí)間內(nèi)確保兼容本省以下財(cái)政部門原有的身份認(rèn)證系統(tǒng)。擴(kuò)展性原則升級(jí)后的身份認(rèn)證系統(tǒng)不僅要求滿足現(xiàn)階段的業(yè)務(wù)需求，而且能夠滿足將來(lái)業(yè)務(wù)的增長(zhǎng)需求。隨著業(yè)務(wù)系統(tǒng)規(guī)模擴(kuò)大，網(wǎng)絡(luò)、效勞器、存儲(chǔ)等系統(tǒng)根底環(huán)境能靈敏擴(kuò)展?！菜摹成?jí)內(nèi)容我縣財(cái)政身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)工作，整體遵循市財(cái)政局規(guī)定原則，嚴(yán)格依據(jù)市財(cái)政局要求執(zhí)行。統(tǒng)一部署兼容國(guó)際通用算法和國(guó)密算法的應(yīng)用安全組件，把原身份認(rèn)證系統(tǒng)中的用戶數(shù)據(jù)、密鑰數(shù)據(jù)等數(shù)據(jù)平滑遷移到升級(jí)后的系統(tǒng)中，使得升級(jí)后的系統(tǒng)既可以治理原有的國(guó)際通用算法的證書又可以支持發(fā)放國(guó)密算法的證書，對(duì)于證書用戶整體升級(jí)工作透亮，已經(jīng)發(fā)放的數(shù)字證書不需要重發(fā)放，至2023年業(yè)務(wù)應(yīng)用全面升級(jí)支持國(guó)產(chǎn)密碼算法?！参濉成?jí)要求國(guó)家政策要求財(cái)政身份認(rèn)證系統(tǒng)作為財(cái)政信息網(wǎng)的重要安全根底設(shè)施，須準(zhǔn)時(shí)對(duì)其進(jìn)展改造、升級(jí)，承受安全、牢靠、受控的國(guó)產(chǎn)密碼算法確保財(cái)政應(yīng)用信息資源安全。安全性設(shè)計(jì)要求本次升級(jí)需要承受符合國(guó)家密碼局認(rèn)證過(guò)的產(chǎn)品和設(shè)備，并在財(cái)政部進(jìn)展了相關(guān)的測(cè)試驗(yàn)證，各個(gè)系統(tǒng)的部署也需要符合國(guó)家密碼治理局相關(guān)設(shè)計(jì)要求。整體建設(shè)需遵循已通過(guò)國(guó)家密碼治理局審核的財(cái)政身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)建設(shè)方案。機(jī)房物理環(huán)境要求機(jī)房物理環(huán)境需遵循GM／T0034—2023《基于SM2密主機(jī)安全性要求操作系統(tǒng)本次升級(jí)所用操作系統(tǒng)需具備自主可控高安全的特性；應(yīng)適用于等級(jí)保護(hù)或分級(jí)保護(hù)系統(tǒng)以及政府關(guān)鍵部門的信安裝業(yè)務(wù)效勞器的操作系統(tǒng)時(shí)，對(duì)于操作系統(tǒng)自帶的軟件包和效勞承受最小化安裝原則，只安裝和運(yùn)行操作系統(tǒng)的根本軟件包。最小安裝原則為單一目的效勞器或者桌面設(shè)備供給根本需要，并可在這樣的安裝中最大化性能和安全性。設(shè)置業(yè)務(wù)效勞器操作系統(tǒng)的用戶時(shí)，需要為日常使用創(chuàng)建一個(gè)非root帳戶，來(lái)降低操作風(fēng)險(xiǎn)。root帳戶是用來(lái)安裝root賬戶登錄可完全把握系統(tǒng)，務(wù)必只有在執(zhí)行系統(tǒng)維護(hù)或治理時(shí)使用rootroot賬戶登錄。病毒防治本工程涉及的設(shè)備需安裝防病毒系統(tǒng)，對(duì)涉及的不同應(yīng)用類型的設(shè)備都需要安裝病毒防護(hù)系統(tǒng)，實(shí)現(xiàn)全面的病毒防護(hù)。我省財(cái)政業(yè)務(wù)專網(wǎng)均統(tǒng)一部署亞信防病毒系統(tǒng)，本工程中須嚴(yán)格使用。財(cái)政相關(guān)標(biāo)準(zhǔn)和標(biāo)準(zhǔn)工程建設(shè)需要遵循財(cái)政部相關(guān)的建設(shè)標(biāo)準(zhǔn)和標(biāo)準(zhǔn)。工程實(shí)施前需向市財(cái)政局完成實(shí)施方案報(bào)審工作，工程實(shí)施完畢需將工程驗(yàn)收?qǐng)?bào)告同市財(cái)政局進(jìn)展報(bào)備。升級(jí)實(shí)施過(guò)程需嚴(yán)格依據(jù)部機(jī)關(guān)具體的標(biāo)準(zhǔn)和標(biāo)準(zhǔn)及相關(guān)指導(dǎo)文件進(jìn)展。三、升級(jí)實(shí)施打算我縣級(jí)財(cái)政身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)實(shí)施工作打算于市身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)實(shí)施工作工程初驗(yàn)后正式分批開展，我縣財(cái)政身份認(rèn)證系統(tǒng)國(guó)產(chǎn)密碼算法升級(jí)實(shí)施工作任務(wù)打算時(shí)間表如下：任務(wù)名稱古藺縣財(cái)政局方案上報(bào)省廳產(chǎn)品選購(gòu)工程實(shí)施工程初驗(yàn)工程試運(yùn)行工程終驗(yàn)備案部署應(yīng)用系統(tǒng)使用國(guó)密算法際通用算法

完成時(shí)間202311日~202331日202351日2023530日202361日202381日~20231031日2023121日2023121日20231231日四、升級(jí)建設(shè)方案〔一〕現(xiàn)有拓?fù)錁?gòu)造我縣財(cái)政業(yè)務(wù)專網(wǎng)現(xiàn)有身份認(rèn)證系統(tǒng)拓?fù)錁?gòu)造如以以下圖所示：-6---7-財(cái)政專網(wǎng)四川省區(qū)縣級(jí)業(yè)務(wù)專網(wǎng)應(yīng) LRA系統(tǒng)區(qū)縣版用 用戶屬性治理系統(tǒng)UMS區(qū)縣版 路由器效勞區(qū)交換機(jī)我縣財(cái)政局拓?fù)錁?gòu)造圖〔二〕升級(jí)擴(kuò)容內(nèi)容部署證書綜合治理系統(tǒng)區(qū)縣版客戶端，并與地市證書整合治理系統(tǒng)對(duì)接，證書的全部業(yè)務(wù)操作均在證書綜合治理系統(tǒng)中進(jìn)展，可實(shí)現(xiàn)對(duì)證書發(fā)放各環(huán)節(jié)進(jìn)展統(tǒng)一治理。USBKEY需要同時(shí)支持雙算法、32位高速USBKEY在USBKEY中發(fā)放兩套算法證書，在使用過(guò)程中自動(dòng)適配使用哪類證書。之前已經(jīng)發(fā)出的USBKEY，在證書到期后USBKEY?！踩成?jí)后拓?fù)錁?gòu)造我縣財(cái)政業(yè)務(wù)專網(wǎng)升級(jí)后身份認(rèn)證系統(tǒng)拓?fù)錁?gòu)造如下圖所示：財(cái)政專網(wǎng)二類區(qū)縣財(cái)政業(yè)務(wù)專網(wǎng)應(yīng) 證書綜合治理系統(tǒng)縣級(jí)版用戶屬性治理系統(tǒng) UMS縣級(jí)版用 〔購(gòu)〕 路由器效勞區(qū)交換機(jī)注：紅色字體代表增系統(tǒng)升級(jí)后縣財(cái)政局拓?fù)錁?gòu)造圖PC效勞器上部署證書綜合治理系統(tǒng)區(qū)縣版和用UMS區(qū)縣版，用戶授權(quán)治理和證書簽發(fā)治理工作。地市名稱：四川省區(qū)縣級(jí)地市名稱：四川省區(qū)縣級(jí)序號(hào)設(shè)備名稱品牌型號(hào)和主要配置數(shù)量單位備注1證書綜合治理系統(tǒng)區(qū)縣版用戶屬性治理系統(tǒng)授權(quán)許可FCMS2.11套供給證書全生命周期治理2JITUMS6.01套供給用戶屬性信息統(tǒng)一治理效勞3USBKEYKEY假設(shè)干套KEY假設(shè)干套4集成實(shí)施1項(xiàng)Haikey3000