湖北武汉国密改造建设方案

1、       密码建设方案

2.1 技术架构

    在服务器端部署数字证书认证系统、密钥管理系统，用于发放数字证书和对密钥的全生命周期管理。

在服务器端部署云服务器密码机，用于存放根CA私钥和对称、非对称加解密运算。

在服务器端部署SSL VPN安全网关，提供SSL加密通道服务，保障是数据传输的机密性、完整性。

在服务器端部署签名验签服务器，提供数字签名、数字信封、完整性保护等功能。

在服务器端部署数据加解密平台，提供数据存储加解密服务。

在客户端部署智能密码钥匙、安全浏览器模块，用于客户端身份认证、传输加密等功能。

在机房部署国密门禁系统，使用国产密码算法来对进出机房人员进行身份鉴别、门禁记录数据的完整性保护。

2.2 物理和环境层面

在系统所在数据中心机房部署符合GM/T 0036-2014《采用非接触卡的门禁系统密码应用技术指南》标准要求的国密门禁系统对进出机房人员进行身份鉴别，确保人员进出身份鉴别的真实性。

在系统所在数据中心机房部署符合国密要求的国密门禁系统，采用密码杂凑算法的消息鉴别码（HMAC-SM3）或数字签名机制实现对门禁进出记录数据进行存储完整性保护，防止门禁进出记录被非法篡改。

在系统所在数据中心机房部署符合国密要求的国密视频监控系统，采用密码杂凑算法的消息鉴别码（HMAC-SM3）或数字签名机制实现对视频音像记录的完整性保护，防止监控记录被非授权篡改。

2.3 网络和通信层面

部署一套符合密码相关国家、行业标准要求的SSL VPN安全网关，用户终端PC上部署安全浏览器模块，基于SM2密码技术构建SSL加密传输通道，通过密码技术实现在通信前的身份鉴别，保证通信实体的身份真实性、业务数据传输的机密性和完整性。

调用签名验签服务器提供的HMAC-SM3加密接口，实现对网络边界访问控制信息进行完整性保护，并验证网络边界访问控制信息完整性保护机制的正确和有效。

2.4 设备和计算层面

通过自建数字证书认证系统为运维管理人员配发数字证书和智能密码钥匙，调用签名验签服务器提供的签名验签接口，基于数字签名技术实现运维管理人员登录SSL VPN安全网关、堡垒机身份的真实性，防止非授权人员登录。

调用签名验签服务器提供的HMAC-SM3加密接口，实现对系统资源访问控制信息的完整性保护。

调用签名验签服务器提供的HMAC-SM3加密接口，实现对设备日志信息的完整性保护，在使用或读取这些日志信息时，在通过国密算法进行比对，确认该日志信息的完整性。

调用签名验签服务器提供的HMAC-SM3加密接口，实现对应用服务器中所有重要程序或文件在生成时通过调用数字签名服务器进行完整性保护。

2.5 应用和数据层面

通过数字证书认证系统为办公人员配发数字证书和智能密码钥匙，调用签名验签服务器提供的签名验签接口，基于数字签名技术，实现PC端业务人员登录业务系统身份的真实性，防止非授权登录。

调用签名验签服务器提供的HMAC-SM3加密接口，对业务系统用户访问权限控制列表进行完整性保护，防止应用资源被非授权用户篡改。

调用签名验签服务器提供的数字信封接口服务，实现系统内重要数据在传输过程中的机密性和完整性，确保重要数据被非授权窃取和篡改。

调用数据加解密平台提供的SM4加密接口，对系统内重要数据实现防窃取保护，保障重要数据存储的机密性。

调用签名验签服务器提供的HMAC-SM3加密接口，实现对系统内重要数据存储时进行完整性校验，确保重要数据存储的完整性，实现重要数据防篡改保护。

2.6 安全管理

根据GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》中安全管理制度方面的要求，制定与本系统相适应的密码安全管理制度和操作规范，内容至少包含密码设计、建设、运维、人员、设备、密钥等6个方面，并同步在单位现有的制度发布流程中补充密码相关管理制度发布流程，待新制定的密码安全管理制度和操作规范内部评审通过后，按照密码相关管理制度发布流程予以发布并遵照执行。

密码安全管理制度和操作规范发布后，每年年底，在内部组织专家和密码相关人员对密码安全管理制度和操作规范在使用过程中的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。