张全伟：可信可控 安全无忧—JIT可信应用安全架构

张全伟：尊敬的各位领导、各位专家、各位来宾上午好！下面就由我来进行一个吉大正元的汇报，我所需要进行的课题是可信、可控安全无忧，构筑有序的安全空间。首先是信息安全的现状和困难，可信的安全架构以及吉大正元的解决方案。

大家一看到这个图就非常熟悉，这就是信息化的阶段论，诺兰博士把我们的计算机分成三个阶段，我们现在所处的时代就是同网络时代向信息时代的一个跨越期。要飞跃到面向管理，面向全社会集成的一个信息化时代，我们自身的安全设施，基础设施，我们的政策法规以及我们的运作机制是否已经为这个时代的变化做好准备了呢？接下来我就进行一个进一步的分析。

首先我们看一下信息时代安全的一个现状，我们信息时代的安全类似于我们古代建设的城堡式的建设方法，我们强调信息时代强调的是信息高速公路，同时从安全的层面强调的是对我们的资产进行一个防护，是资产的防护以及威胁工程和病毒对抗的一个博弈的过程，正如我们的承包建设一样，在建设的初期，当我们信息安全防护的需求和对抗的程度不是那么惨烈的时候，我们用一个简单的篱笆就是我们整个防护体系的建设，而发展到一定的阶段，我们需要建设一个承包，需要砌高墙，对进入我们城堡的人员我们需要维护我们整个秩序的一个安全，信息社会也是一样的，我们和英特耐特进行互联的时候我们发现我们的信息需要控制，这样的话就需要防火墙来进行第一道防线的防护。而当防火墙面临攻击变得很脆弱的时候，我们会建立我们的护城河，而当防火墙对进入我们内部的信息无能为力的时候，我们IBS、ITS系统再进一步随着进入我们的内容都无法识别的时候我们开始引入了我们信息生成的一个监控的系统，就是刚才我们的防病毒，内容过滤，经过这样的层层监护，希望不要进入特洛伊的悲剧。

这样的一个系统是以砌高墙、堵漏洞等的层层的防护，在一定的时期起到了非常关键的作用，也为我们的信息化的建设做出了非常重大的保护。但是，以这种防护为主，砌高墙，防外攻和堵漏洞的方法从安全信息上是否足够呢？我相信从今天以及我们过去我们听了太多太多的安全漏洞，安全的问题，总结一下主要归结为以下几个方面。

首先我们的信息系统，我们的安全设施不断的增多，整个系统的范围层次某种意义上超出了我们控制的能力，这些最根本的基础环节就是我们的人，我们的用户是否可信，我们认证的强度是不是达到了一个安全的级别，这样就是我们的口令非常的简单，我们的身份非常容易被盗用，我们的权限非常容易被突破，我们可能是构建了一个很强大的城堡，这个可能是建立在沙滩上，就是说我们的身份没有得到保证的情况下，这些城堡的整个配置人员、通过人员的真实身份得不到保障。

即便是在这样重重的防护之下，我们的信息资产是在十层保护之内我们还是不断的发生我们核心的信息不断的泄密，我们银行的密码，用户清单等等不断的泄露到社会之上，同时我们会发现我们数据的完整性、保密性得不到根本的保证。导致这个原因的一个最根本的，最重大的环节就是特权人员，这些包括我们自身内部的信息化的建设人员，我们的超级管理员，以及外包的服务人员，只要超级管理员想要我们数据库的全部都可以进行导出，不需要渗透我们所有的系统和所有的环节，我们对数据库只要进行结构化的分析就可以拿到我们需要的任何一种信息。

同时我们的内部人员或者是周围的整个的运行人员被动的或者是恶意的发动了很多的攻击我们是无能为力的。

此外，在这些攻击之后，我们的事件非常难以定位，我们要进行司法取证没有相关保护的手段。在重重的基础设施、安全设施的构建之下，我们的整个运行管理是得不到很好的支撑的，即便像上我们的SOC、NOC，也只会让我们在烦琐之中找到了一丝丝的简化，但是根本的核心问题还是没有得到一个解决。所以我们在享受摩尔定理带来的加速化的信息时代发展的同时，我们也不得不去承受这样的一个结局。就是我们所面临的威胁，我们安全的攻击也是以摩尔定理或者是超过摩尔定理的速度在发展。

我们需要解决四个核心点在我们的以往并没有得到很好的解决，这就是你是谁，你能做什么，你做过什么以及对数据的安全保护，这就牵扯到一个实体的可信的身份辨别，这个实体包括我们人的自身，包括我们整个信息环境里面的所有的节点，包括我们的网关设备，运用程序，也可以指数据本身，数据整个的可靠性和可保密性。此外这个身份是不是可以有效的鉴别，基于这个有效的身份，我们是否从中可以提取一些属性元素以至于角色和属性的方法来进行一个可信的授权控制。同时，保证我们的整个用户的行为都在授权范围之内进行，同时对数据的完整性、保密性进行强化，对事后的司法取证提供唯一的支撑，我们自身提出了迫切的需求。

从法律法规来看，我们中国也提出了我们中国的塞班斯法规，这就是企业内控的基本规范，这个规范将在7月1号进行执行。此外，中华人民共和国的刑法在本次两会上也进行了修改，我们充分的从各方面导出了整个历史的必然，一个面向应用，面向管理的可信的一个架构，这就是我们吉大正元提出的基于可信的应用安全架构，吉大正元的可信安全架构是从用户的安全需求，安全管理出发，基于密码技术的最底层的密码技术构建的可信的身份系统，可信的建成系统等，真正意义上实现信息系统的可信，可控和可管理，从而满足用户自身的建设以及相关法规的需求。

首先最根本的解决的底层就是可信身份，就是我们图中所示，这是我们经常看到互连网络一个最经典的地方，没有人知道网络后面的人是一条狗还是一只猫，这样无从对后续的我们所有的手段进行整个信任链的传递，以及整个认证、授权、控制、审计的一个追踪。我们可信的安全架构是什么样的基础设施呢？首先是有一个安全基础设施，基础安全设施的核心是我们的基于密码的安全基础设施包含PKI、PMI以及管理中心，PKI在于合法性的问题，这个可以把这个制订在内部，也可以进行延伸，延伸到部委，延伸到国家甚至是延伸到全世界，需要我们把这个进行传递。PMI是你能做什么的问题，可能是性别、年龄，可能是社会身份证编号，号码，可能是职位，来达到一个相应的，你能做什么的过程。

同时配套我们整个的响应与监测，包括今天上午以及下午大家提到的基于网络安全的，检测与响应的整个机制。在此之上我们构筑一套真正的面向运用和管理的支撑系统，这就包含我们的身份证管理，身份管理，认证管理，授权管理，责任认定，数据防护五大单元。中间的三块就是我们电子政务和电子商务所常说的认证授权，责任认定，而两边的两块分别解决我们的主体和客体，就是基于我们的身份以及我们数据的安全防护，从而建立整个可信、可控和可管理的一整套可信应用安全设施，这样从这个基础完成我们整个从用户到终端设备到网络，到应用再到我们数据全系列生命线的一个可信运行环境的打造。这也包含了我们的可信计算，可信网络介入等几个环节。

把这个基本的功能架构模型延伸到我们的课题里面是一个什么结构呢？主要是构建在一套安全支撑基础之上的三个保护，保护区域边界，包括计算环境和保护网络通信。我们公司所做的就是现在闪动的这个部分，对于网络的区域边界部分我们提供的是基于可信身份的可信边界介入和可信的数据交换。我们通过数据的解密以及数字信封提供数据的可信，通过可信的身份管理，统一身份管理，提供可信的应用以及可信的主机。在可信节点和节点之间的加密隧道从用户介入到最终数据访问的可信量。

我们具体的技术或者是我们具体的产品部署到我们用户最终的产品以后是什么样的效果呢？首先是我们的PKI认证中心，刚才提到它解决的是一个可信身份的问题，就是解决你是谁的问题，这个谁包含以下的环节，首先是我们的人本身，我们的用户，这是我们整个信息安全领域里面最核心，也是最能动的一块。其次，还包括我们网络安全环节的网关设备，进行相关的边界防护，以及我们的身份认证系统，我们应用的业务系统，以及我们进行数字签名的签名系统，所有这些系统都构成了我们整个在虚拟空间的网络实体。

首先我们给网络实体通过PKI的机制唯一的证明它是谁，此外我们也可以通过我们的用户管理机制，因为我们的身份证本身只是解决身份的局部信息，我们的人和我们任何一个实体单元还有众多的属性的拓展，我们可以把我们整个用户从创建到更改，到消灭的整个过程进行统一的管理，同时可以把我们的证书进行唯一化的绑定，既保证了可信、权威的根源，同时也以一种灵活的手段去支撑我们整个业务的构建，我们统一用户管理系统和我们后台的所有的业务系统的数据库，可以和我们的目录进行互动，只需要通过一个中心可以控制整个用户的生命周期，同时也能配合我们整个系统完成过程。

首先我们的用户持我们的证书可以登陆，我们有一个终端的保护，可以完成证书的认证，同时可以提供终端级的网络文件保险柜以及整个黑白名单的控制，从而做到从用户登陆终端的一个强认证和终端的安全。当终端登陆以后我们的整个证书配套系统和我们的基础安全设施包含国内的和国外的都可以形成网络准入的一个基于证书的一个可信的介入。当我们可信介入网络之后我们首先访问到我们的身份认证系统，这个将通过我们的证书中心去验证我们证书的合法性，是不是权威机构签发的，是不是出于有效的身份周期之内。这个身份得到证实以后，我们将把证书上所不具备的属性进行抽取，拿到这些属性以后我们将通过授权管理系统进行逻辑化的计算，根据我们的规则来获取我们的操作码或者是角色码，然后和我们的后台系统进行联动，这个可以进行一个传递，或者是代登对后台应用系统不进行任何的改造，这样的话以自动化的方式完成全系列的认证、授权，登陆的过程，同时我们以义务的方式把我们这种基于证书的整个行为的整个记录传递到我们的审计系统，从而完成我们整个的授权过程。

而当用户需要登录到我们其他的用户系统的时候，这一切都是在后台进行操作，用户体验到的就是一次性登陆，我完成了一次任务之后整个后台帮我进行了所有的身份合法性，授权以及审计的过程，我就能同时登陆OA、ERP。当然我们系统的本身以及我们所支撑的系统我们还可以进一步的完成三员的改造，也就是系统管理员、系统安全员和审计员。通过这样的一个方案，我们可以提供什么呢？首先我们可以提供一个可信的身份，把我们从用户名密码简单的论证方式转换成基于可信的数据证书的认证方式，我们可以进行有效的身份授权。

以往我们是基于只要出示一些相关的指导信息就可以登陆，而且是很弱的，谁随意想授权什么就可以去做，包含黑客攻击者本身只需要进入系统以后就可以随意的提升自己的权限，是一种弱的，分散式的授权机制。经过我们的这个可信应用环境建立以后，我们将建立强身份分层管理，就是三员管理和集中式的强鉴别的一套机制，我们这套机制也支持管理，并不是说我们所有这些东西都需要在一个中心来进行，我们可以把相关的部分、授权和业务进行委托的管理，同时我们这些可信的和密码算法的机制来对我们的行为进行抗抵赖，保证我们数据的安全和防护，通过标准化、自动化的模式进行合规性的支撑。

以上我们对我们的在整个信息化发展需要跃进到整个信息时代所需要进行的整个从解决方案、思路、方针和技术基础的思索进行了探讨，下面我们看一下我们吉大正元能为刚才的这套方案、产品和服务提供什么样的支撑。

吉大正元成立于1999年，10年来我们一直致力于我们的PKI技术的建设，并因此真正意义上成为了在这个细分领域的国内领先的产品、服务和解决方案的一个专业的提供商。根据IDC的报道，我们连续三年在身份的认证以及授权访问控制管理的市场领域占有市场第一的地位，甚至超越了我们国内外的所有的同行，包括IBM、CA等等众多的公司。同时，我们也是拥有中国在这个细分领域最全和最高的资质包括三密的定点生产等，同时我们也是国家的相关以及行业标准的主力的参与厂商，我们是WG4、WG7和WG3的参与单位，获得国家共性安全技术工程研究院的组建的资质，同时我们也与相关的基础设施，可性计算联盟以及电子交易、密码应用工作组的成员单位，而我们所说的所有的技术和方案是经过300多家国内最顶级的部委级和相关的行业级我们用户的实践的经验。包括我们的人大、政协、国务院和金字号工程，人民银行、上交所、深交所众多的实践检验，同时在中国运行的CA有20家，就是接近有70%的运行建设是由我们公司来完成的。

此外我们还提供全套的从安全规划、等级保护、渗透测试等服务，在奥运期间获得了充分的实践和证明。做信息安全我们只是其中的一块基石，从某种意义上我们是安全基础设施，我们会对我们整个运用安全平台，管理平台提供一个支撑。下面这个图是IDC现在目前对整个安全产业的一个划分，包括安全硬件、软件和服务，我们公司的核心领域就在于PKI和以PKI为延伸的管理，目录、策略的执行以及相关的专业化的安全网关。

在这儿，我想说的还是刚才那句话，我们是一块基石，可能是我们曾经建设过的众多的安全系统，我们未来考虑需要建设系统的一个根基的根本，在这块我们希望和我们众多的行业客户和我们的产业用户形成一个共同的联盟和合作，这种合作方式可以是市场层面的，解决方案层面的，也可以是产品级的，模块级和嵌入式的方式，从而真正意义上达到产业链的共赢。我们希望我们的吉大正元能为国家的安全建设和信息保障继续护航，也可以为我们整个产业的兄弟们提供相关的支撑，谢谢大家！

转载：感谢您对网站平台的认可，以及对我们原创作品以及文章的青睐，非常欢迎各位朋友分享到个人站长或者朋友圈，但转载请说明文章出处。