【導讀】蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案。商業(yè)機密第1頁共54頁

　　

【正文】 IMSI 編號在系統(tǒng)中， 在手持設備訪問系統(tǒng)時需要用戶名和密碼登錄。 如果 IMSI 與 IMEI 登錄驗證不匹配，需要到系統(tǒng)工作人員做人工 登記 。 如果出現(xiàn)同一個 用戶名 接入系統(tǒng)可以立刻踢出所有 該用戶名 用戶。 . 會議室排位方式 采用熱點實現(xiàn)定義會議桌位 置，按照一定規(guī)則進行排位。 . 參觀線路制定方式 采用 VML 語言實現(xiàn)線路畫線的功能，用熱點定義參觀點。 . 對外數(shù)據(jù)接口 其 他 業(yè) 務 數(shù) 據(jù) 接口園 區(qū) 接 待 管 理 系 統(tǒng)數(shù) 據(jù) 訪 問 接 口蘇 州 工 業(yè) 園 區(qū)管 委 會 通 訊 錄數(shù) 據(jù) 訪 問 接 口其 他 業(yè) 務 系 統(tǒng)其 他 業(yè) 務 系 統(tǒng)數(shù) 據(jù) 訪 問 接 口 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 40 頁 共 54 頁 系統(tǒng)對外接口的方式采用 Web Services 方式實現(xiàn) 7. 關鍵技術 . Windows 域用戶驗證 W e b 服 務 器接 待 系 統(tǒng) 數(shù) 據(jù) 庫 服 務 器 園 區(qū) 管 委 會 用 戶 數(shù) 據(jù) 庫接 待 辦 客 戶 端域登陸信息獲取 園區(qū) 接待辦 用戶在園區(qū)管委會的 windows 域中使用本系統(tǒng)， 系統(tǒng)根據(jù) 客戶端域帳號 通過標準接口到 現(xiàn)有的園區(qū)管委會用戶信息數(shù)據(jù)庫 抓取用戶詳細信息 。 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 41 頁 共 54 頁 . 移動設備端身份驗證方式 移 動 通 信 設 備I M E I 碼登 錄 用 戶 名登 錄 密 碼S I M 卡 I M S I 碼I M S I I C C I D K I智 能 移 動 通 信 設 備終 端S I M 卡園 區(qū) 接 待 管 理 系 統(tǒng) （ 移 動 終 端 ）接 待 辦 人 員用戶通過智能手機終端訪問《園區(qū)接待管理系統(tǒng)（移動終端）》時，訪問者的手機的 IMEI 和手機卡的 IMSI 的編號加上用戶的登錄名密碼發(fā)送到服務器端做身份驗證。當驗證通過后，正式進入系統(tǒng)。 . IMEI IMEI(International Mobile Equipment Identity)是國際移動設備身份碼的縮寫，國際移動裝備辨識碼，是由 15 位數(shù)字組成的 電子串號 ，它與每臺手機一一對應，而且該碼是全世界唯一的。每一只手機在組裝完成后都將被賦予一個全球唯一的一組號碼， 這個號碼從生產到交付使用都將被制造生產的廠商所記錄。 . IMSI IMSI 的全稱是 International Mobile Subscriber Identification Number，也就是客戶識別碼。當手機開機后在接入網(wǎng)絡的過程中有一個注冊登記的過程，這時候會被分配一個客戶號碼（客戶電話號碼）和客戶識別碼（ IMSI）客戶請求接入網(wǎng)絡時， 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 42 頁 共 54 頁 系統(tǒng)通過控制信道將經(jīng)加密算法后的參數(shù)組傳送給客戶，手機中的 SIM 卡收到參數(shù)后，與 SIM 卡存儲的客戶鑒權參數(shù)經(jīng)同樣算法后對比，結果相同就允許接入，否則為非法客戶，網(wǎng)絡拒絕 為此客戶服務 . VML 語言 VML(Vector Markup Language) 是一個最初由 Microsoft 開發(fā)的 XML 詞表，現(xiàn)在也只有 以上版本對 VML提供支持。使用 VML 可以在 IE中繪制矢量圖形，所以有人認為 VML 就是在 IE中實現(xiàn)了畫筆的功能。下面介紹一下 VML 的優(yōu)點： 1. 基于 XML 標準 XML 是公認擁有無窮生命力的下一代網(wǎng)絡標記語言， VML 具有先天的優(yōu)勢，它的表示方法簡單，易于擴展等等。 2. 支持高質量的矢量圖形顯示 VML 支持廣泛的矢量圖形特征，它們基于由相連接的直線和曲線描述路徑。在VML 中使用兩個基本的元素： shape 和 group。這兩個元素定義了 VML 的全部結構； shape 描述一個矢量圖形元素，而 group 用來將這些圖形結合起來，這樣它們可以作為一個整體進行處理。 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 43 頁 共 54 頁 . 系統(tǒng)安全 對于任何系統(tǒng)來說，安全是系統(tǒng)的基石。任何功能強大的系統(tǒng)服務都必須 建立 在安全的基礎上才有意義。然而 Inter 對于任何一個具有網(wǎng)絡連接和 ISP 帳號的人都是開放的，事實上它本身被設計成了一個開放的網(wǎng)絡。因此它本身并沒有多少內置的能力使信息安全，從一個安全的角度看， Inter 是天生不安全的。然而， 當前的系 統(tǒng)應用，都要求通過 Inter，而保證其安全性。 對于 Inter 用戶一個新的挑戰(zhàn)是如何在允許經(jīng)授權的人在使用它的同時保護敏感信息。 為了確保系統(tǒng)使用安全，我們將從登陸安全、傳輸安全 兩個 方面保證系統(tǒng)的基礎安全。 . 數(shù)據(jù)加密 Inter 是開放的、面向大眾的、共享信息資源的互連網(wǎng)絡，其絕妙之處在于廣泛的互聯(lián)，而正由于其廣泛的互聯(lián)，使得 Inter 各種各樣的情況都有。與Inter 的便捷相伴而來的還有各種各樣的安全風險。 Inter 從建立開始就缺乏安全的總體構想和設計， TCP/IP 協(xié)議是在 可信環(huán)境下，為互聯(lián)網(wǎng)專門設計的，缺乏安全措施的考慮。當今 Inter 上的口令猜測、地址欺騙、 TCP 盜用等各種技術手段都讓 Inter 上的數(shù)據(jù)通訊變得不可信。正由于 Inter 的安全性方面的問題，各大廠商開發(fā)出各種 Inter 數(shù)據(jù)安全協(xié)議。 SSL（ Secure Sockets Layer）是由 Netscape 公司開發(fā)的一套 Inter 數(shù)據(jù)安全協(xié)議?，F(xiàn)已成為網(wǎng)絡用來鑒別網(wǎng)站和網(wǎng)頁瀏覽者身份，以及在瀏覽器使用者及網(wǎng)頁服務器之間進行加密通訊的全球化標準。 SSL 協(xié)議又稱為安全套接字，簡稱為加密 通訊協(xié)。 SSL 協(xié)議位于 TCP/IP 協(xié)議與各種應用層協(xié)議之間，對傳送的數(shù)據(jù)進行加密和隱藏，確保數(shù)據(jù)在傳送中不被改變，即數(shù)據(jù)的完整性，從而為數(shù)據(jù)通訊提供安全支持。使用 SSL 可以對通訊（包括 Email）內容進行高強度的加密，以防止黑客監(jiān)聽通訊內容甚至是用戶密碼。 在 SSL 會話產生時，服務器會傳送它的證書，用戶端瀏覽器會自動的分析服務器證書，并根據(jù)不同版本的瀏覽器，從而產生 40 位或 128 位的會話密鑰， 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 44 頁 共 54 頁 用于對交易的信息進行加密。所有的過程都會在幾秒鐘內自動完成，對用戶是透明的。同時服務器可以要求客戶端提交客戶 端自己的證書，同時驗證客戶端的身份。 T C P / I P L a y e rS S L （ S e c u r e S o c k e t s L a y e r ）H T T P M A I L L D A P I M A P應 用 層網(wǎng) 絡 層S S L 分 層 結 構 圖 SSL 問題： 由于 SSL 認證方案運用加密算法和密碼，其加密 /解密過程需大量占用服務器的 CPU 資源，使 CPU 利用率接近 100%，從而大大降低了服務器性能。當網(wǎng)絡用戶大大增加后，網(wǎng)絡性能將急劇降低。 解決方法： 1) 部分重要數(shù)據(jù)傳輸時采用 SSL 加密。 2) 采用 SSL 加速設備進行 SSL 傳輸控制。 SSL 加速設備解決了對 CPU 資源過量需求的 SSL 協(xié)議所造成的性能問題，這類設備是一些用以在不增加 Web服務器負擔的條件下處理 SSL 任 務的特殊的網(wǎng)絡部件。通過優(yōu)化硬件和軟件，專用 SSL 加速器處理 SSL 會話的速度為標準 Web 服務器的 10 到 40 倍。此外， SSL 加速器解放了服務器資源，使這些資源可以真正用于處理應用邏輯和數(shù)據(jù)庫查詢，從而加快了整個站點的速度。 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 45 頁 共 54 頁 S S L 加 速 設 備I n t e r n e tW E B 服 務 器證 書 服 務 器HTTP/HTTPSHTTP/HTTPS防 火 墻HTTP/HTTPSS S L 加 速 設 備 . Web Service 安全模型 要使 Web Service 達到機密性、完整性、不可否認性、身份驗證和授權這五項安全性要求，除了通信鏈路的安全性外，最重要的是要保證 S O A P 消息和服務本身的安全。對于 S O A P 消息的安 全，主要有 X M L 加密、 X M L 簽名等。但 X M L 數(shù)字簽名和 X M L 加密技術，只能較好地解決 S O A P 消息的表示和傳輸?shù)陌踩珕栴}，卻無法保證服務本身的安全。因此本文不但考慮了消息級別的安全需要， 而且還考慮了服務本身的安全。對于服務本身的安全，本文采用了Web Service 訪問控制技術。即對用戶訪問施加限制，使其滿足特定要求后才允許訪問服務。因此本文將 X M L 加密、 XML 簽名以及 Web Service 訪問控制三 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 46 頁 共 54 頁 者結合在一起，使它們在保護 Web Service 時相互支撐、相互配合，達到在更大程度上保護 Web Service 的安全。 在實際應用時， X M L 加密實現(xiàn)交換信息的機密性，防止未經(jīng)授權的用戶、實體或進程竊取信息； X M L 簽名保證信息的完整性和統(tǒng)一性，使得未經(jīng)授權的用戶不能改變或者刪除信息，實現(xiàn)信息在傳送的過程中不會被偶然或故意破壞，并且可以提供信息的原始性證明； Web Service 訪問控制通過給不同的用戶 分配不同的權限，限定用戶可見范圍，從而保證服務不被非法 訪問。 Web Service訪 問控制為 XML 加密提供了密鑰分發(fā)和有效期控制機制，解決了密鑰交換問題。X M L 簽名使經(jīng) 過加密處理后的消息在傳輸過程不被非法的惡意篡改，保證消息可以被接收方成功的解密。 X M L 加密為訪問控制提供了進一步驗證用戶身 份的機會， 而訪問控制通過將用戶標識及公鑰的綁定， 使得 X M L 簽名的驗證更加方便。 客 戶 端 應 用 服 務 器X M L 加 密處 理 模 塊W e b S e r v i c e 訪 問 控 制X M L 簽 名處 理 模 塊消 息 流 控 制 模 塊用 戶 信 息 密 鑰 信 息 授 權 信 息SOAP請求SOAP響應SOAP請求SOAP響應 Web Service 安全模型 圖中實線部分為安全控制模塊。整個安全模塊由四個子模塊和三個數(shù)據(jù)源組成。四個子模塊分別是： XML 簽名處理模塊、 XML 加密處理模塊、 Web Service訪問控制處理模塊和消息流控制模塊，其中 X M L 簽名處理模塊負責處理有關消息的簽名及驗證； X M L 加密模塊負責處理消息的加密及解密； Web Service訪問控制模塊負責用戶訪問權限的控制；消息流控制模塊是與具體的部署有關，它主要是負責消息的處理流程，并以適當?shù)捻樞蛘{用前三個模塊，完成請求消息 蘇州工業(yè)園區(qū)接待管理系統(tǒng)技術方案 商業(yè)機密 第 47 頁 共 54 頁 和響應消息處理。三個數(shù)據(jù)源分別為用戶信息、密鑰信息及授權信息。 . 通用接口規(guī)范 平臺需要與多個上級單位實現(xiàn)數(shù)據(jù)接口，因此我們將嚴格按照通用接口規(guī)范預留接口。 1 通用接口定義需要滿足以下規(guī)范： 1） 保持低耦合 度：接口應該與調用端保持低耦合度，使接口具有盡