网上招投标安全

一、背景

目前互联网业务发展日新月异，很多项目的招投标都可以通过互联网方便快捷的实现。很多大的行业系统都在建设自己的网上招投标系统。这些系统无一例外都有着强烈的安全性需求，特别是在实施“电子签名和CA认证系统”方面，必须通过PKI技术来保证网上招投标系统网站的安全和网上交易业务的安全。

此背景下，下面提出针对网上招投标系统的数字证书安全解决方案。

二 、目标

本安全方案的目标是要为网上招投标系统建立可靠的安全保障机制，保障使用网上招投标系统的各方实体的权益。

1. 对投标人/企业：通过可靠的身份认证和信息机密性保护，保证只有合法投标用户才能登录系统，安全使用业务，防止投标业务敏感信息被人窃取、篡改，从而造成自身企业机密和经济利益的损失。 2. 对网上招投标系统运营单位：通过可靠的数字签名等安全保障技术，可保障网上纳税申报过程和结果具有法律上的不可否认性，降低自身经营风险，避免招投标纠纷，提高自身信誉和经营收益。 3. 网上招投标系统/业务：通过采取可靠的电子签名手段，可以强化业务管理，使业务各个关键环节可被记录和审计，具有不可篡改性和抗抵赖性，进而提高自身业务的可用性和可控性，更好地吸引用户汇聚，扩大业务范围。

三、系统概述

本方案提供基于数字证书的CA安全解决方案解决网上招投标系统的应用安全。首先利用可信第三方－中网威信CA中心，为招投标网上交易用户签发数字证书，提供证书认证服务。其次，在数字证书的基础上提供同网上招投标系统集成的安全保障系统，安全保障系统利用数字证书、数字签名等相关的PKI技术和对称加解密算法实现可靠的身份认证、信息的安全传输、网上招投标过程和结果的不可抵赖。

四、系统组成

从安全角度看，网上招投标应用的证书安全方案主要由两部分组成：

一部分为最终用户颁发数字证书的可信第三方－中网威信数字证书认证系统，负责认证系统的策略制定、接受证书申请、用户身份鉴证、为客户发放证书以及对签发证书的管理；

另一部分是基于B/S结构的网上招标系统的安全保障系统集成，分别在投标人与招标系统服务器之间采用数字证书保证信息传输以及业务流程的安全可信。

1. 中网威信CA系统

本方案中网上招投标系统无需建设任何管理证书的服务器，所有管理都托管给中网威信数字认证服务中心，网上招投标系统所属公司只需要审查和核准投标用户的证书申请信息，具体的证书签发和证书管理完全委托中网威信证书认证中心，最终用户则依据自己申请证书的凭据到网上招投标系统所属公司指定的地点获取证书并接受培训。

2. 网上招投标安全保障系统

安全保障系统是为网上招投标系统提供支持数字证书解析、认证、数字签名/验证、数据加密/解密等安全功能的系统，可同网上招投标系统实现灵活的集成。主要包括以下模块：

1) 客户端控件模块

主要用于在客户端对招标业务数据进行数字签名和数据封装，以API形式提供给网上招投标系统开发商使用。

2) 证书解析模块

主要用于在访问控制中服务端对投标人的数字证书进行解析，通常由网上招标系统服务端调用。

3) 证书验证模块

当用户提交证书到服务端请求认证时，服务器需要验证用户证书。包括用户证书信任链验证，证书吊销列表查询，证书时间有效性验证等。在保证证书的有效性下以验证用户身份，以保证进入系统中用户身份的有效性。

4) 数据签名/验证模块

用于验证投标人的交易签名的有效性，包括验证数字签名和解封数字信封，在验证签名的过程中还需要调用证书验证模块来验证用户证书的有效性。

5) 数据加解密模块

用于保证敏感申报数据的机密性，采用国家密码管理部门指定的安全加解密算法。

五、系统功能

1. 身份认证：基于中网威信CA签发的数字证书，采用高强度的加密和数字签名技术。身份认证系统分为客户端和服务器端两部分，服务器端配置有用于标明平台系统服务器身份的数字证书；客户端则需要用户使用本人的数字证书，并能够与浏览器实现无缝的结合。 2. 安全通信：在投标人客户端与网上招投标系统服务器之间可通过建立双向SSL连接或数字信封技术，实现用户端到服务器端通信的机密性、完整性。 3. 招投标流程安全保障：在投标人客户端提交应标文件时，将使用网上招投标系统证书进行对数据进行加密处理，并使用自己的证书进行签名。加密签名后的应标文件提交到网上招投标系统，网上招投标系统对文件进行解密以及签名验证，将解密及签名验证通过的文件提交给后台系统，保障了招投标流程的机密性、完整性和不可抵赖性。

六、系统特点

·有效的身份认证机制；
·先进的电子签名技术；
·高强度整体安全；
·遵循安全技术规范；
·使用方便，建设成本低；
·易于管理；

七、适用范围

电子商务、电子政务、企业信息化中已建的或正在建设的网上招投标系统。

八、应用支持

1. 采用X.509v3标准证书。
2. 支持各种浏览器： Netscape Navigator，Microsoft Internet Exploer 等。
3. 用户数字证书的存储介质有USB Key（推荐使用）、IC卡、磁盘等。
4. 根据网上招投标系统需求可提供完备的应用开发接口。