统一身份认证解决方案.
我国某城市2013年8月5日被列为“国家智慧城市”试点。“智慧城市”是按照科学的城市发展理念，以互联网、物联网、无线宽带网、云计算等信息技术为基础，更加广泛深入地推进基础性与应用型信息系统开发建设和各类信息资源开发利用，将城市运行的各个核心系统整合起来，实现人、物、城市功能系统之间无缝对接与协同联动，从而对公众民生、环保卫生、公共安全、城市服务、商务活动等多种城市需求做出智能的响应，形成安全、便捷、高效、绿色的城市形态。 二、需求分析如图1所示，本方案针对该城市某政府机构监管系统。它主要由分布在市区23个乡镇的视频监控，200个移动执法终端，分控/区域中心，总监控中心（IDC）及上一级监控中心组成。系统对来自于移动执法终端数据有加密存储传输的需求。总监控中心的数据为涉及执法及商户生命财产安全的敏感数据，存储时间不少于三个月，需要加密存储；此外，总监控中心与上级监控中心、各分控/区域中心之间信息的传输需要加密以保证信息的安全。（图1） 三、整体解决方案基于数盾公司的SSLVPN密码网关、IPSecVPN密码网关、高速网络存储加密机、FC交换机、智能移动终端加密TF卡、数盾CA服务器、数盾网络安全防火墙等产品，可为该城市某政府机构监管系统的信息安全提供高品质、全方位的整体解决方案，从前端数据接入、安全传输、安全存储、运行维护、访问控制等方面建立安全可靠的防御机制。（方案拓扑） （1）在200套移动执法终端上加装数盾智能移动终端加密TF卡，可以实现数据的加密存储、加密传输，移动终端的身份认证等功能。（2）在总监控中心，为存储阵列服务器加配一套双机热备数盾高速网络存储加密机，为进出存储阵列的数据进行高速加解密。（3）采用具有高并发响应性能的数盾SSLVPN密码网关、IPSecVPN密码网关、数盾网络安全防火墙、路由器做为总监控中心与互联网的交互通道。（4）各分控/区域中心通过数盾IPSecVPN密码网关、数盾网络安全防火墙、路由器与总监控中心及其他分系统互联互通。（5）在网络中加入数盾CA服务器，对系统中TF卡、VPN网关进行身份认证。 四、方案优势数盾加密TF卡打造信息安全存储传输的移动执法终端数盾智能终端加密TF卡具有加密隐藏存储功能、加密卡功能、身份认证功能、销毁覆盖等功能。这些功能使得移动执法终端具有良好的信息安全性。 数据加密存储数盾安全TF卡的另一半存储容量作为专用存储，这部分分区对未授权的手机应用程序不可见，只能通过TF卡API访问。保存在这部分分区中的数据在写入时逐个字节进行自动加密，在读出时自动进行解密，从而保证保存在该分区中的数据是以密文形式存储。 加密通信功能数盾安全TF卡可以作为智能终端的加密卡使用，对智能终端APP程序下发的数据进行加密或解密操作，并将操作后的数据交付给应用层相应的终端APP程序。可以实现移动执法仪与总监控中心的加密通信。 身份认证功能数盾安全TF卡支持身份认证，根据移动执法仪的硬件配制，可选择口令或生物特征信息（如指纹、声纹、虹膜等），通过比对实现使用者身份认证功能，并作为安全TF卡内部功能模块的激活认证途径。 销毁覆盖功能数盾安全TF卡支持在接收到指定指令或者非法操作后，对敏感数据区进行数据全“1”覆盖，销毁处理。这一功能有力保证了移动执法信息的安全。 总监控中心数据的高速加密安全存储该监管系统收集到的海量数据传输到总监控中心需要在集中存储设备中保存至少三个月。这些数据涉及到监管执法工作的顺利开展，执法人员的人身安全，经营户的切身利益，具有保密准确不丢失的需求。为此本方案采用了基于数盾高速网络存储加密机的高加密读写速度、可双机热备的高可靠解决策略。 产品具有显著的技术先进性高速网络存储加密机是一款用于FC存储区域网络中的高速、安全可信的加密设备，采用SM2、SM3、SM4加解密算法。采用linux内核安全定制，具有海量exchange并发、帧缓存和帧保存、双机热备等先进技术。具有高性能的加解密读写速度，提供双向超过700MBps的加解密接口性能。 产品具有部署的透明性完全透明的处理模式，适应各种FC拓扑，可在不改变用户原有系统使用的情况下接入系统，用户感觉不到产品接入带来的影响。 双机热备的高可靠性本方案采用两台FC集中网络存储加密机组成一个集群，任意一个发生故障不会影响线路上的数据传输，提高了系统的可靠运行。 密码网关构筑快速、安全、可扩展的网络安全互联通道由于系统内信息涉及执法等需要保密的内容，总监控中心与上级、同级及各分控区域中心之间需要有一安全的互联通道，VPN（虚拟专用网络）利用加密技术在公网上封装出一个数据通讯隧道，经济地解决了公网中数据安全传输问题。数盾SSLVPN密码网关、数盾IPSecVPN密码网关采用自主设计的安全操作系统，提供多种安全功能，并且性能优越于传统网关。 高并发响应能力保障了总监控中心的接入能力数盾SSLVPN密码网关支持60000并发用户接入，可满足200套移动执法终端、多个生产流通消费区域、多个分控/区域中心的并发（即同时）接入请求。 多种广域网加速技术打造最快速的总监控中心接入数盾SSLVPN密码网关拥有基于Web的智能选路技术、对资源服务器的智能选择功能、针对C/S应用B/S应用的压缩算法、单臂性能高达2G的超大数据流支持功能，这些功能和技术的使用，保证了总监控中心的外部接入速度。 五个层次的安全保障打造最安全的总监控中心接入SSLVPN提供涵盖五个层次的安全保障：身份接入安全，单点安全，传输安全，权限安全，审计安全，其中身份接入安全以本地用户名/密码认证的基本身份认证方式为基石，与指纹识别、短信猫、短信网关等其他认证方式结合，形成更高安全性的组合安全身份认证方式。多种安全保障打造了最安全的总监控中心接入。