教育信息安全整体解决方案.doc

华翔腾数码科技有限公司

基于商用密码技术的单点登录、单一入口、统一日志、统一权限的
教育信息安全整体解决方案

华翔腾数码科技有限公司
应用推广事业部

文档编号
STS2010103-FN-01
版本号
V0.1
分册名称
整体解决方案
第1册/共1册
总页数
17
正文
15
附录
0
编制
张文安
审批
李号彩
生效日期
2010-10-19

目录
1. 问题分析 3
2. 方案概述 5
2.1. 内嵌模式 7
2.2. 外挂模式 7
2.3. 兼容模式 7
3. 教育信息安全服务平台 8
3.1. 教育信息安全服务平台服务器 8
3.2. 教育信息安全服务平台网关 9
4. 业务系统集成方案 11
4.1. 内嵌式业务系统 11
4.2. 外挂式业务系统 11
4.3. 兼容式业务系统 11
4.4. 客户端扩展产品 12
5. 平台部署方案 12
5.1. 基于教育局的部署 12
5.2. 基于学校的部署 13
5.3. 基于教育城域网的部署 13
6. 方案特色 14
6.1. 技术先进 14
6.2. 兼容良好 15
6.3. 性能强劲 15
6.4. 安全稳定 15
6.5. 服务周到 16
6.6. 合作共赢 16
7. 联系方式 17

1. 问题分析
教育行业是应用计算机技术和网络技术的先锋，随着教育信息化的迅猛发展，教育局、教育服务部门、学校等不断增加基于 Internet/Intranet 的业务系统，如：电子政务系统、网上申报系统、网上审批系统、OA 系统、考试系统、资源系统、电子图书系统、学籍管理系统等，一般都要求实现用户管理、身份认证、授权等必不可少的安全措施，分别从以下三个方面予以分析：
1. 由于教育信息化经历了长达20年的建设过程，各业务系统技术不同、来源不同，针对相同的用户群，存在以下的问题：
1)、 每个系统都有各自的身份认证系统和入口，造成了资源浪费；
2)、 多个身份认证系统增加了系统管理成本，并增加出现信息安全事故的可能；
3)、 用户需要记忆多个帐户和口令，使用极为不便，同时由于用户口令遗忘而导致的支持费用不断上涨；
4)、 多个身份认证系统，使安全策略必须逐个在不同的系统内进行设置，因而造成修改策略的进度可能跟不上策略的变化；
5)、 多个日志，无法统一分析用户的应用行为；
6)、 对新部署的业务系统缺少身份认证、权限管理和日志系统的接口标准；
2. 现有的教育信息平台和业务系统，缺乏全面的信息安全保障，存在以下问题：
1)、 信息采集过程，无法完全确定数据来源真实身份，可能遭遇黑客和破坏分子假冒提交，缺少签名的数据，无法进行错误跟踪和责任追究；
2)、 信息交换和存储过程，可能出现偷窥、窃取和篡改；
3)、 信息使用和业务行为，可能出现非法使用、错误操作和事后抵赖；
3. 教育行业不断提高的信息安全需求和成本控制的矛盾是另一个不容忽视的问题。
1)、 新技术不断涌现并使用，应用系统越来越复杂，隐蔽的安全漏洞可能更多，要求信息安全系统越来越庞大；
2)、 病毒制造者、网络黑客和情报间谍分子的技术也在不断提高，要求信息安全技术越来越先进；
3)、 用户越来越依赖信息技术工作，一旦出现信息安全事故，将产生无法估量的损失，有必要建设一个信息安全保障体系。

2. 方案概述
本方案针对以上问题，以本公司信息安全产品“教育信息安全服务平台”为核心，整合用户单位现有业务系统，并根据用户需求选择搭载本公司的其他安全产品，实现“单点登录、单一入口、统一日志、统一权限”等功能，并实现全过程安全保障。
本方案是针对教育行业信息安全需求日益发展的整体解决方案，图2-1教育信息安全发展趋势图描述了这一需求发展。本方案综合防病毒、防火墙、密码验证、访问控制、加密、CA认证和商用密码等技术，在对教育行业信息系统现状进行全面安全评估的基础上提出，能提供全面的信息安全保障，能最大限度地提高性价比。
1980
1990
2000
2010
局域网
互联网
Web存储
文件共享
虚拟网
电子商务
电子政务
云计算
100%
防病毒
防火墙
密码验证
访问控制
加密
安全评估
安全管理
内容安全
安全集成
商用密码
CA认证

图2-1教育信息安全发展趋势图
本方案通过在管辖区部署2至3级系统，共享证书信息，实现上下联通，身份漫游等功能。在系统内部不同层级和不同区域，以唯一的身份认证进行不同的业务操作，如图2-2 三级系统结构：
地市教育局
以教育信息安全服务平台为核心按需整合的局端业务集
区县教育局
以教育信息安全服务平台为核心按需整合的局端业务集

区县教育局
以教育信息安全服务平台为核心按需整合的局端业务集

区属学校
以教育信息安全服务平台为核心按需整合的校端业务集

市属学校
以教育信息安全服务平台为核心按需整合的校端业务集

区属学校
以教育信息安全服务平台为核心按需整合的校端业务集

区县教育局
以教育信息安全服务平台为核心按需整合的局端业务集

市属学校
以教育信息安全服务平台为核心按需整合的校端业务集

区属学校
以教育信息安全服务平台为核心按需整合的校端业务集

民办学校
以教育信息安全服务平台为核心按需整合的校端业务集

职业学校
以教育信息安全服务平台为核心按需整合的校端业务集

图2-2 三级系统结构
本方案根据用户需求整合业务系统， “若干用户”+ “1个安全服务平台”+ “若干个业务系统”，称为业务集，业务集架构如图2-3所示：
用户、业务系统管理员、安全服务平台管理员
教育信息安全服务
平台服务器
B/S浏览器
C/S客户端

教育信息安全服务平台
核心模块
内嵌业务系统1
内嵌业务系统2
内嵌业务系统n
外挂业务系统1
外挂业务系统2
外挂业务系统n
安全服务网关1
安全服务网关2
安全服务网关n
兼容业务系统1
兼容业务系统2
兼容业务系统n
安全服务信息

图2-3 业务集架构图
满足各级教育局的整合称为“局端业务集”，满足各类学校的整合称为“校端业务集”，本方案的第5部分将为用户提供不同的部署方案，业务系统通过“教育信息安全服务平台”合成的模式有如下三种：
2.1. 内嵌模式
将业务系统直接安装在“教育信息安全服务平台”上，共享平台的软硬件资源，这种业务系统运行模式称为“内嵌模式”，内嵌模式的业务系统应满足以下条件：
1. 基于J2EE平台；
2. 基于ORACLE数据库；
3. 基于“安全服务信息交换接口规范”；
注：“安全服务信息交换接口规范”是本公司为规范安全服务平台和业务系统之间通信而制定的规范。
2.2. 外挂模式
只要遵守“安全服务信息交换接口规范”，任何有别于J2EE平台和ORACLE数据库的业务系统，也可以和教育信息安全服务平台无缝对接，共享平台的单点登录、统一日志及统一权限管理，共享CA证书管理及安全应用。
2.3. 兼容模式
对于用户已有的业务系统，有着复杂的来源和结构，本方案可以在现有业务系统不作任何修改的前提下，通过“安全服务网关”实现和教育信息安全服务平台服务器的对接，“安全服务网关”通过拦截业务系统的通信联络，并按“安全服务信息交换接口规范”报告“教育信息安全服务平台服务器”，获取权限控制，从而共享平台的单点登录、统一日志及统一权限管理，共享CA证书管理及安全应用。
3. 教育信息安全服务平台
教育信息安全服务平台分为两个独立的部分，一个是“教育信息安全服务平台服务器”，另一个是“信息安全网关”。
3.1. 教育信息安全服务平台服务器
教育信息安全服务平台服务器是整个平台的心脏，本方案依赖它来部署，解决用户既有的问题，它由4大功能模块、1个接口和1个系统数据库组成。
教育信息安全服务平台服务器的架构如图3-1所示：
教育信息安全服务平台服务器：
b/s浏览器
单点登录：
多种登录方式
统一身份认证
发放访问标识
单一入口与业务分支

系统数据库：
ca证书数据
登录帐户数据
业务帐户数据
帐号映射及权限控制
系统日志
业务日志
内嵌业务系统的数据库
……
内嵌业务系统
外挂业务系统
兼容业务系统
安全服务网关
用户、业务系统管理员、安全服务平台管理员
CA证书管理：
证书封装与分发
证书用户身份审核
证书登记、更新和注销
证书状态查询服务
统一日志：
日志备份
日志删除
日志分析
统一权限：
登录帐户与业务帐号
业务系统与业务模块
权限控制表管理

安全服务信息交换
服务端接口：
客户端身份认证
业务帐号与权限证明
日志记录

图3-1 服务平台服务器架构图
l 单点登录
l 证书管理
l 统一日志管理
l 统一权限管理
l 安全服务信息交换服务端接口
3.2. 教育信息安全服务平台网关
安全网关的作用是集成用户现有的业务系统到教育信息安全服务平台。由于这些系统来源复杂，结构各异，如何在对现有系统不作任何修改的前提下，达到解决既有问题的目标，是安全网关的技术要点。
教育信息安全服务平台网关架构如图3-2所示：
安全服务网关：
WEB SERVER：
教育信息安全服务状态？
代理服务
反向代理服务
网关管理程序
兼容模式业务系统
安全服务信息交换客户端接口

教育信息安全服务平台服务器系统
用户
b/s浏览器
安全服务信息交换服务端接口

图3-2 服务平台网关架构图
l 网关管理
l 安全服务信息交换客户端接口
4. 业务系统集成方案
4.1. 内嵌式业务系统
内嵌式业务系统主要包括如下业务系统：
1. 用户身份管理系统；
2. 单点登录服务系统；
3. 访问控制服务系统；
4. 身份验证服务组件；
5. 权限管理服务组件；
6. 安全电子邮件系统；
7. 安全文件在线交换系统；
8. 可信数据采集管道系统；
9. 基于商用密码技术的校园卡系统。
4.2. 外挂式业务系统
外挂式业务系统主要包括如下业务系统：
1. 安全公文协同办理系统；
2. 可信文件申报通道系统；
3. 电子印章系统。
4.3. 兼容式业务系统
兼容式业务系统主要包括如下业务系统：
1. 教学资源库系统；
2. 电子图书馆系统；
3. 试题库和出题系统；
4. 远程教育系统；
5. 学籍管理系统；
6. 电子政务系统；
7. OA系统；
8. 人事管理和考核系统。
4.4. 客户端扩展产品
基于教育信息安全服务平台，可以扩展以下客户端产品：
1. 桌面安全百宝箱；
2. 桌面文件加密系统；
3. 移动存储数据安全管理系统；
4. 智能密码钥匙；
5. 中国教育卡。
5. 平台部署方案
5.1. 基于教育局的部署
基于各级教育局的部署结构如图5-1所示：

图5-1 基于教育局的部署结构图
5.2. 基于学校的部署
针对普通中小学校的应用规模，本方案高度集成，多采用信息安全服务平台服务器搭载数据库系统和多个嵌入式业务系统的方案。
5.3. 基于教育城域网的部署
基于教育城域网的部署结构如图5-2所示：

图5-2 基于教育城域网的部署结构图
6. 方案特色
6.1. 技术先进
● 基于Linux操作系统，更安全，更稳定，更高效。
● 基于J2EE平台，适合跨平台、大调度、重负载应用。
● 基于商用密码技术，遵循国家密码安全标准与规范。
● 基于智能密码钥匙和中国教育卡进行身份认证、数字签名和数据加密。
● 基于分布式结构，采用安全网关技术，将所有业务系统纳入安全服务平台保护范畴，实现单点登录、单一入口、统一日志和统一权限。
6.2. 兼容良好
● 采用安全网关，能无缝对接现有系统，保护原始投资，缩短建设工期。
● 兼容各种系统平台，包括Linux、Unix和Windows。
● 兼容各种运行环境和编程语言，包括J2EE、.NET和PHP。
● 平台化方案，更易安装部署和使用；
6.3. 性能强劲
● 并发业务类型≥100。
● 并发业务数≥1000。
● 并发用户≥100000。
● 日志查询10年。
6.4. 安全稳定
● 本方案关键设备“教育信息安全服务平台服务器”和“安全服务网关”全部基于安全Linux操作系统，能保证比其他系统更安全、更稳定、更高效。特别是采用“安全服务网关”隔离现有的基于Windows的业务系统，能有效阻挡病毒和黑客攻击，为现有业务增加系统级保护。
● 能够同时使用硬件智能密码钥匙（USBKey）和其它证书介质
● 使用HTTPS协议保护服务端和客户端之间的敏感信息的交互，能防止敏感数据泄露；
● 全面应用商业密码技术，对系统信息、用户信息和业务信息全面密码保护，结合数字签名技术，保证了全过程的真实性、保密性、完整性和不可抵赖性
● 平均无重启时间50000小时。
● 平均无故障时间50000小时。
6.5. 服务周到
● 电话服务：7*24小时服务热线，1小时内响应。
● 现场维修：白天4小时，晚间8小时抵达现场。
● 电话咨询：技术支持工程师为客户提供技术指导，及时解答客户提出的各种技术问题。
● 升级服务：为客户提供自动的在线修复与系统升级服务。
● 远程维护：技术支持工程师使用特权电子身份证书，登录教育信息安全服务平台，进行远程维护，及时解决问题。
6.6. 合作共赢
● 按照具体实施方案，与用户技术部门成立联合项目组。
● 联合项目组在用户所在地现场办公，我方派出相关技术骨干。
● 负责对项目组用户成员进行技术培训，并提供相应的开发工具和技术资料。
● 对用户提出的后续修订方案进行评估，提供实施方案和技术支持。

7. 联系方式
如需获得更新或者更多信息敬请通过下列方式与本公司联络。

华翔腾数码科技有限公司
中国 Ÿ 湖南
地址：长沙麓谷高新区麓龙路199号标志麓谷坐标15楼
邮编：410205
电话：[phone]
传真：[phone]
网址：
17 / 17