中石化集团某公司紫光S锁网络版案例

    该公司代表中石化集团对海外石油投资项目实行统一管理，承担对外投资责任，并对海外石油工程项目进行管理、协调和服务。该公司经营范围广泛，遍及世界各地。

    国际性的石油勘探和开采是涉及到我国国家重大安全利益的经营项目，商业机密的安全保护尤为重要。对于国内企业员工台式机、出国人员笔记本电脑内数据、移动硬盘数据必须进行高强度的加密保护，以及国内国外相互电子邮件交换数据都要进行加密处理，并要满足不同解密方式的要求。

    清华紫光在详细分析了该公司的业务情况后，提出了紫光S锁内部信息安全解决方案：将紫光S锁融入了基于PKI的企业局域网架构之中，从防止网络的非法访问和文件加密安全两方面着手来保证企业内部信息的安全。该方案使用了紫光S锁、先进的加密算法、PKI架构，构建安全局域网，来满足企业对信息储存、共享、传送的安全需求。

    该解决方案与其他方案最大的不同点是，在实现局域网安全管理的过程中把软件系统和硬件系统相结合，身份验证采用基于USB总线的紫光S锁，具有安全性高、使用方便性、投资少的优点。

其技术特点主要如下：

    基于PKI标准的网络体系架构

    PKI（公开密钥体系）是一种遵循标准的、利用公钥加密技术来提供安全基础平台的技术和规范。本方案将结合操作系统，建立PKI网络结构的基本框架，包括证书颁发机构、CA认证中心等。

    网络访问身份、证书的载体——紫光S锁

    为保证企业局域网的安全，本方案选择使用紫光S锁作为网络身份认证的载体，直接使用紫光S锁实现域登录、远程访问服务器以及VPN服务器登录。

    紫光S锁支持基于共享秘密方式的双因子强认证方式，该方式比传统的用户名/口令方式更安全。双因子认证意味着用户不仅要知道紫光S锁的访问密码（PIN码），而且要求紫光S锁中保存了正确的证书、身份信息等。强认证是指每次验证的过程中被验证的用户鉴别数据都是随机的，可有效地防止黑客窃听。

    紫光S锁内部的核心是一块微型晶片（智能卡），包括由CPU、加密逻辑单元、RAM、ROM、EEPROM和I/O五部分组成一个完整的计算机安全体系。用户数据被放在被加密逻辑单元保护的EEPROM中，COS掩膜在ROM中，以保证代码安全。COS将用户操作过程中生成的密钥放在RAM空间中，掉电后自动丢失，保证安全性。紫光S锁特有的硬件制造工艺，可以抵御各种方法的攻击，紫光S锁的操作系统（COS）可以防止攻击者利用软件方式窃取锁内的机密信息。所以，紫光S锁是一种非常安全可靠的存储设备。另外，紫光S锁不仅能够安全存储私有密钥、口令等机密信息，而且内置加密算法程序，完成加/解密运算。因此，紫光S锁是存储私有密钥和数字证书理想介质。

    最安全的文件加密与签名算法——RSA算法

    为了防止泄密，既往的手段是用加密的方法，在国内市场上这样的文件加密软件类产品很多。但几乎都是使用对称加密算法实现文件加解密，用户对文件加密，而后只有本人可以解密。在网络的环境下，存在许多大家共用的文件，如果其他人需要使用该加密文件，那么就必须告诉他解密密钥。这样就新增了密钥传递、保存的安全问题，并且难以控制密文的操作安全，因为对称加密算法的安全性依赖于密钥，泄漏密钥意味着任何人都能对信息进行加密和解密。

    传统的对称加密算法系统的致命弱点在于密钥的安全性致使对称加密体系解决不了密钥分配和管理问题，在网络环境下，既达不到保密的效果，又影响正常的工作效率，公司网络环境的优势也就得不到发挥。

    为此，本解决方案提出了基于RSA算法的文档加解密与签名功能，以适应网络环境下企业管理和竞争的新需求。RSA算法是一种非对称加密算法，其加密密钥和解密密钥是相关的、而又截然不同的，从其中一个无法推导出另一个。于是一个密钥可以完全公开（称为公钥），只要另一个保密（称为私钥）。

    紫光S锁网络版针对PKI 应用，支持硬件实现RSA 密钥对生成、签名、加密操作。其技术优势在于紫光S锁使用了运算能力强大的专用芯片，在其内部生成RSA密钥对，并直接存于锁内，从而从源头上杜绝泄露的可能性。而且，文件的文件签名、加密、验证操作的实现均在紫光S锁内，杜绝了传输中私钥泄露的可能性。最后，紫光S锁专用芯片的安全封装技术保障了私钥不能被强行读出，私钥存储在紫光S锁中，只能在满足条件时使用，即使是私钥的所有者也没有权限读取私钥的内容。

    本方案中由服务器统一管理和发布所有用户的公钥，由紫光S锁管理用户的私钥。于是用户在加密文件时，可以通过服务器获得具有该文档访问权限用户的公钥进行加密，而后将密文发送到服务器的共享目录或者通过电子邮件等方式传送给用户。由于密文的解密必须使用存储在S锁中的私钥，这样即使发生文件的非法访问、被截获或丢失等情况，也不会出现信息泄漏。

    使用数字签名可以验证用户与所签名文件内容之间的关系，其主要功能为：防止原始文档被污染或变更；防止别有用心者使用他人名字散布欺骗性消息；以及提供谁是文件原作者的证据等等。本方案中，数字签名使用的数字证书存储在紫光S锁中，具有安全性高、携带方便等特点，将进一步提高系统的安全性。

1、对企业员工台式机、笔记本内数据采用通过紫光S锁建立文件保险箱的方式进行加密处理，即使存储设备丢失或被盗也能防止信息的泄密，保险箱的自动加密隐藏功能还能够防止加密文件的误删除。

2、对于需要交换的电子文档进行授权性的加密和数字签名处理，只有被授权的用户，才能用自己的紫光S锁进行解密。有效防止了文件在传递过程中（共享、移动硬盘等）的泄密问题，以及文件被伪造、篡改、冒充的问题。紫光S锁自身有PIN码保护，即使被他人得到，也无法使用。

3、对于内部和国际交流的电子邮件，采用了S/MIME的安全加密方式，保证在因特网上的传输安全。

4、通过建立该公司自己的企业根CA中心，采用国家商用密码研究中心的CSP结合紫光S锁进行密钥对的生成和加密处理，极大地增强了企业对安全的控制和管理。

5、该方案还有一些独到的特点：如该公司人员流动性很大，项目合作变动剧烈，对于这种情况，在每次启动应用程序时都设计成通过网络自动更新成员组，做到了及时反应。

6、软件操作简单易行，完全符合现有用户的操作习惯。

• ·黑匣子监控系统[图]
• ·EZ-Lock易锁_文件加密保护系统[图]
• ·DCI黑匣子网络安全监控系统[图]
• ·博商零售业网上商店系统解决方案
• ·博商企业级B2C电子商务解决方案

• ·广州正航--防伪税控接口系统（防伪税控接口软件）
• ·装柜软件装柜专家,节省运费
• ·实用网络教学系统
• ·奥博行业即时通信(p2p)
• ·ISOA让你的员工沟通更畅通、工作更轻松！