案　例　簡　介

　　隨著信息化不斷地發展，信息化建設已經成為此電力公司發展戰略的重要組成部分。在信息化建設逐步成熟的背景下，信息系統的安全性也成為擺在某省電力公司面前的一大難題，解決信息安全問題已成為當務之急。本項目的建設目的在于設計一套某省電力公司身份認證技術體系，保證信息系統中用戶身份的真實性，實現以數字證書技術為基礎的統一身份認證和用戶管理，并基于統一身份認證之上，實現對應用系統的統一應用安全支撐和單點登錄。

　　用　戶　名　稱　某省電力公司

　　用　戶　類　型 能源

　　用　戶　簡　介

　　某省電力公司是某電網有限公司的全資子公司。承擔著全省的電力生產、建設、調度、經營及電力規劃研究等任務。現有所屬單位38個，其中供電單位19個，發電單位3個，直屬生產企業4個，施工修造企業15個，科研院校10個，其它單位5個。擁有資產585億元。共有員工6萬人。

　　用　戶　需　求

　　在企業目前建設的多個信息系統中，都是采用傳統的用戶名/密碼方式來實現身份認證。但這種方式早已被證明是不安全的。

　　新一代基于數字證書的智能卡身份認證系統目前已成為安全認證的標準，在國內各行業被廣泛采用，建立數字證書認證體系，能夠為用戶網絡訪問、應用系統訪問提供可信的身份識別方式。

　　目前用戶在業務系統中進行的關鍵數據交換和關鍵操作，非常可能被惡意用戶進行竊聽或非法篡改，無法保證數據的安全性、完整性和不可否認性，存在安全隱患。而采用安全傳輸等技術，即可解決相關安全問題。

　　總結目前的需求，主要有以下幾點：

　　解決信息系統的身份鑒別問題

　　原有應用系統采用“用戶名+口令”的方式認證，安全級別不高，存在著安全隱患。需要建立安全的身份認證系統，保證應用域內的實體(人員、設備)數字身份鑒別的高度安全性。

　　解決信息傳輸加密問題

　　目前網路傳輸的數據處于明文狀態，沒有進行加密處理，容易被非法人員截取和篡改，同時也不利于開展遠程移動辦公。

　　解決基于證書的統一用戶管理問題

　　原有各個應用系統沒有統一的用戶身份表達形式，同一個人具有多個用戶名，不便于用戶記憶的同時，管理員對用戶的身份管理分散在各個系統，也非常不便。

　　采用數字證書作為用戶的唯一身份標識后，如何讓用戶采用唯一的一張數字證書體現出用戶的各種通用屬性，并且在不同應用系統間體現出不同的個性化身份，是統一用戶管理系統需要解決的問題。

　　解決跨域的單點登錄問題

　　同一用戶若需登錄多個應用系統，需要多次輸入用戶名和密碼，操作繁瑣，因此需要采用單點登錄，方便用戶使用。

　　由于目前的應用系統服務器都處于各自分散的環境中分別部署，因此身份驗證系統必須支持跨域。

　　針對如上需求，建設基于PKI技術的統一身份認證和用戶管理系統，可有效的提高信息系統的安全性、易用性、穩定性。在此體系上，一方面在技術上實現了用戶的統一認證和管理、實現了人員和數據的安全，另一方面在管理上做到了易于操作、權限清晰和責任明確，是提高信息安全水平的保障。統一身份認證和用戶管理系統將是促進信息化發展的重要保障措施。

　　建設目標和要求

　　根據本項目對身份認證系統的需求，應實現如下建設目標：

　　建立此省電力公司身份認證和用戶管理體系、安全應用支撐平臺、桌面安全桌面系統，為某省電力公司實現統一身份認證管理和應用系統、操作終端的系統單點登錄認證等功能。

　　統一身份認證體系應包含CA中心、RA中心、KMC中心、LDAP;安全支撐平臺應包含能夠實現主路、旁路身份認證的安全組件，并實現基于證書的終端登錄組件。

　　實現OA、郵件等應用系統在技術上的整合，達到安全為應用服務的目的。

　　制訂適合此省電力公司應用需求的管理策略，提出運行管理規范(包括但不限于某省電力公司數字證書應用接口規范，數字證書格式規范、認證系統安全運行管理規范、證書管理規范等)。

　　在上述建設目標建設完成后，應實現如下技術要求：

　　通過身份認證基礎平臺可以為某省電力公司內部的人員、設備等應用安全域內的物理或邏輯實體提供了統一的數字實體標識。

　　在全省部署的范圍內考慮，從PKI的信任層次結構、CA機構、RA機構的擴展部署等幾方面來整體考慮此省電力公司身份認證體系，要求給出整體建設方案，說明以省公司本部為試點建設后的擴展方案。

　　信任體系應支持向上、向下的擴展，能夠支持電網公司未來對于信任體系統一的要求。

　　實施方案應考慮和整個電網公司整體信息工程中的統一用戶管理和目錄體系之間的兼容。

　　實現一個用戶證書可以在各信息系統中訪問，達到單點登錄的訪問目的。

　　以數字證書代替操作系統終端帳戶的登錄方式，并通過與操作系統的集成，實現了操作系統認證。

　　操作系統層和應用層兩個層面認證的統一，本系統中的用戶身份證書必須能夠支持Windows本地操作系統登錄認證和Windows域(AD)登錄，并能夠和AD中的域用戶實現同步功能。

　　制訂身份認證系統運行策略，制定符合某省電力公司安全系統運行標準規范，指導某省電力公司完成信息系統的統一身份認證工作。