隨著信息化建設(shè)的高速發(fā)展，信息系統(tǒng)在政務(wù)決策、上下溝通、交流經(jīng)驗、推動工作等方面起到了非常大的作用，成為了政府機關(guān)發(fā)展戰(zhàn)略的重要組成部分，在這樣的背景下，信息系統(tǒng)的安全性已經(jīng)成為必須面對的一個重要問題。電子郵件是目前政府部門及企事業(yè)單位內(nèi)部傳遞數(shù)據(jù)的重要工具，政府部門及企事業(yè)單位的許多重要信息都需要通過電子郵件來傳輸。但隨著電子郵件應(yīng)用的廣泛化，機密泄漏、信息欺騙等諸多安全問題日漸突出，給政府部門及企事業(yè)單位帶來亟待解決的安全隱患。
項目需求
時代億信一直致力于郵件安全及相關(guān)應(yīng)用技術(shù)的研究，對某政府單位的郵件安全問題進行了深入分析并總結(jié)建設(shè)目標(biāo)如下：
· 采用CA數(shù)字證書認證方式，確保用戶登錄郵件系統(tǒng)的安全。
· 郵件信息采用加密傳輸方式，只有正確的接收方才能解密郵件。
· 郵件信息采用加密存儲方式，管理員也不能獲取郵件內(nèi)容信息。
· 郵件標(biāo)密，實現(xiàn)密級流向控制。
· 郵件監(jiān)控，可獲取郵件已閱信息，實現(xiàn)未讀追回和轉(zhuǎn)發(fā)權(quán)限控制。
項目建設(shè)效果
1、整體體系結(jié)構(gòu)
體系組成說明：
在該政府機關(guān)的總部部署SecureMail安全增強電子郵件系統(tǒng)，同時服務(wù)于總部及各個下屬單位�？偛考案鱾�下屬單位的用戶，通過Web方式訪問和使用郵件功能，發(fā)送郵件時，系統(tǒng)會對郵件及附件進行加密，并使用發(fā)件人的證書進行數(shù)字簽名，既保證了保密信息在網(wǎng)絡(luò)中傳輸時的安全問題，也保證了郵件的完整性和有效性。
圖1：某政府單位安全郵件體系結(jié)構(gòu)
2、郵件全程保密
用戶在使用郵件系統(tǒng)時，其主線可以歸納為以下流程：哪個用戶將那些內(nèi)容和附件發(fā)送給了那些人，收到郵件后，收件人可以做什么。
某政府單位安全郵件系統(tǒng)針對一般郵件系統(tǒng)的使用流程，在簡單的郵件收發(fā)流程的每個環(huán)節(jié)都增加了相關(guān)安全保密措施：
1) 某政府單位安全郵件系統(tǒng)提供的USB智能卡登錄方式，可以準(zhǔn)確、有效的對登錄系統(tǒng)的用戶進行身份驗證，從而確保發(fā)件人和收件人的身份。
2) 用戶在發(fā)送郵件內(nèi)容與選擇的附件，都必須符合用戶所屬的密級以及發(fā)件人選擇的郵件密級。
3) 用戶登錄系統(tǒng)后，系統(tǒng)將根據(jù)當(dāng)前郵件所設(shè)定的密級，將符合密級設(shè)定的收件人列表以地址簿的形式展現(xiàn)給用戶。
4) 通過郵件標(biāo)密機制實現(xiàn)的密級流向控制，嚴(yán)格限制高密級郵件發(fā)送給低密級用戶。
5) 在發(fā)送郵件時，發(fā)件人使用收件人公鑰對郵件進行加密，并使用自己的私鑰做數(shù)字簽名，郵件以密文的形式發(fā)送出去，保證在郵件傳輸過程中的保密性和完整性。
6) 在郵件的傳輸過程中，安全增強電子郵件系統(tǒng)采取數(shù)字信封、數(shù)字簽名等加密技術(shù)，以確保郵件內(nèi)容的保密性、完整性和不可否認性。郵件的正文和附件在網(wǎng)絡(luò)傳輸、服務(wù)器存儲以及客戶端存儲時，都是以密文形式存在。
7) 外部數(shù)據(jù)存儲裝置中存儲的郵件也以密文形式存儲。
8) 收件人登錄系統(tǒng)時同樣以USB智能卡進行強身份認證。
9) 收到郵件時，擁有對應(yīng)私鑰的用戶才能對郵件內(nèi)容進行解密，查看到郵件原文，并通過驗證數(shù)字簽名確定發(fā)件人的身份。即保證了在郵件傳輸過程中的數(shù)據(jù)安全，也保證了郵件的完整性。
10) 收件人收到郵件后，轉(zhuǎn)發(fā)郵件同樣需要遵循所屬密級的規(guī)范。
11) 加解密過程在USB智能卡中完成，私鑰不出卡，保證密鑰的安全。
3、密級流向控制
密級設(shè)置
某政府單位安全電子郵件系統(tǒng)針對需處理涉密信息的單位用戶，提供了密級設(shè)置功能，并可對郵件、附件和用戶分別設(shè)置各自密級屬性。
用戶標(biāo)密：管理員可對用戶設(shè)置密級屬性，用戶的密級可分為普通、秘密和機密三個等級。
郵件標(biāo)密：郵件的密級可分為普通、秘密和機密三個等級，用戶發(fā)送郵件時必須首先選擇郵件的密級，系統(tǒng)會根據(jù)指定的密級控制策略匹配用戶和郵件兩者的密級，禁止低密級用戶接觸高密級郵件。
附件標(biāo)密：附件的密級可為普通、秘密和機密三個級別，用戶上傳郵件附件時，系統(tǒng)會根據(jù)上傳文件的文件名自動獲取附件的密級；如果上傳的文件沒有標(biāo)密，系統(tǒng)會提醒用戶進行密級標(biāo)識后再上傳。
密級控制
密級流向控制的目的是保證用戶、郵件、附件三者的密級匹配，確保高密級的郵件不會向低密級用戶發(fā)送，低密級用戶也不能發(fā)送高密級郵件。密級流向控制首先對密級郵件在選擇發(fā)送人員時，會篩選密級相對應(yīng)的接收人員。若發(fā)生不符合密級的郵件傳輸，系統(tǒng)會自動阻斷。其實現(xiàn)機制如下：
1）郵件密級控制
根據(jù)用戶密級，設(shè)置郵件的收發(fā)權(quán)限，即普通級用戶只能發(fā)送/接收密級為普通的郵件；秘密級用戶可以發(fā)送/接收密級為普通和秘密的郵件；機密級用戶可以發(fā)送/接收密級為普通、秘密和機密的郵件。
2）密級通訊錄控制
用戶在選擇郵件密級時，會自動匹配相應(yīng)的通訊錄，即當(dāng)郵件為普通密級時，通訊錄中將顯示全部用戶；當(dāng)郵件為秘密級時，通訊錄中只顯示密級為秘密和機密的用戶；當(dāng)郵件為機密級時，通訊錄中只顯示密級為機密級的用戶。
4、郵件標(biāo)密檢查
用戶上傳郵件附件時，系統(tǒng)會根據(jù)上傳文件的密級自動匹配郵件附件的密級，附件密級不能高于郵件密級，即郵件密級為普通時，只能上傳密級為普通的文件作為附件；郵件密級為密級時，只能上傳密級為密級和普通的文件作為附件；郵件密級為機密時，則可以上傳密級為機密、密級和普通的文件作為附件；如果附件密級大于郵件密級，系統(tǒng)會禁止發(fā)送，并提醒用戶進行調(diào)整。
5、郵件轉(zhuǎn)發(fā)權(quán)限控制
在普通郵件系統(tǒng)中，對于收件人的郵件轉(zhuǎn)發(fā)操作是沒有任何限制的，收件人也可以任意更改郵件內(nèi)容后去轉(zhuǎn)發(fā)，不能滿足公務(wù)郵件處理的需要。
為此，某政府單位安全郵件系統(tǒng)提供了專門的郵件轉(zhuǎn)發(fā)權(quán)限控制服務(wù)，發(fā)件人可以在發(fā)送郵件時選擇“轉(zhuǎn)發(fā)鎖定”功能，啟用后收件人在收到郵件進行轉(zhuǎn)發(fā)時，不能對發(fā)件人的郵件內(nèi)容進行任何更改，只能原文不動地轉(zhuǎn)發(fā)，保證其他收件人也能夠看到郵件原文。
同時，為了方便在轉(zhuǎn)發(fā)鎖定情況下，轉(zhuǎn)發(fā)人可以對郵件內(nèi)容進行注釋說明，某政府單位安全郵件系統(tǒng)還提供了郵件轉(zhuǎn)發(fā)意見區(qū)。轉(zhuǎn)發(fā)人雖然不能改動郵件原文，但可以在意見區(qū)中填寫自己針對郵件的想法、注釋、說明或意見，從而也能讓其他收件人同時獲得發(fā)件人的郵件原文和轉(zhuǎn)發(fā)人對此郵件的意見。
6、支持單位郵箱，符合公務(wù)發(fā)送特點
對于部門、機構(gòu)間的往來郵件，如果單純的以部門中某個人的身份進行傳遞，難免會為用戶查找、處理電子郵件帶來一定的麻煩。并且，傳統(tǒng)的電子郵件交流很難體現(xiàn)出政府單位間信息交換的“權(quán)威性”與“規(guī)范性”，用戶在日常的公文交換的過程中，需要一個更直觀、更權(quán)威的形式。
為此，某政府單位安全郵件系統(tǒng)為用戶提供了“公務(wù)郵件”功能，由系統(tǒng)管理員指定部門中的某個或某幾個用戶可以以所屬部門的專用郵箱給其他部門或機關(guān)發(fā)送安全郵件。被授權(quán)用戶在登錄某政府單位安全郵件系統(tǒng)后，可以通過“標(biāo)簽”選擇進入個人郵箱或公務(wù)郵箱。并且，公務(wù)郵箱只能向其他部門的公務(wù)郵箱發(fā)送郵件，個人用戶也無法向公務(wù)郵箱發(fā)送電子郵件。
配合某政府單位安全郵件系統(tǒng)獨有的郵件追蹤功能，發(fā)件人可以準(zhǔn)確的得知收件人是否已經(jīng)查閱過該郵件，若郵件內(nèi)容具有時效性，且收件人長時間未讀該郵件，則可通過其他聯(lián)系方式告知其盡快查閱、處理，保證了在電子郵件發(fā)出后的可控性。
另外，配合某政府單位安全郵件系統(tǒng)的自動歸檔功能，為所有往來的郵件信息在需要審查時提供審查依據(jù)。
圖2：公務(wù)郵件示意圖
7、郵件狀態(tài)追蹤及已閱匯總
郵件狀態(tài)追蹤
對于政府單位來說，當(dāng)一封時效性很強的郵件被發(fā)出時，能否得知用戶的閱讀狀態(tài)是十分有必要的，比如下發(fā)公文、頒布規(guī)定、重要通知等，收到郵件的時間直接關(guān)系到后期工作的執(zhí)行情況。
某政府單位安全郵件系統(tǒng)為用戶提供了已發(fā)送郵件的閱讀狀態(tài)查詢功能，即使有多個收件人，發(fā)件人也可以在某政府單位安全郵件系統(tǒng)中得知每個用戶的閱讀情況，發(fā)件人可以通過在“發(fā)件箱”查看單封已發(fā)送郵件的收件人欄中，查看到郵件的閱讀狀態(tài)。
未讀郵件追回
如果用戶在發(fā)送郵件時選擇了錯誤的收件人，并成功發(fā)送了，這種情況在有些涉密的政府單位是絕不允許出現(xiàn)的。但制度上的不允許并不意味著人不會犯錯，這種時候減小損失顯然比追究責(zé)任更有意義。
某政府單位安全郵件系統(tǒng)基于郵件狀態(tài)追蹤功能，為用戶提供了“未讀郵件追回”功能，該功能允許發(fā)件人將以發(fā)送成功但收件人尚未閱讀的郵件追回，成功追回后，收件人將不會看到與該郵件有關(guān)的任何信息。
圖3：郵件追回結(jié)果
如上圖所示，“追回”操作對已經(jīng)被閱讀的郵件無能為力，發(fā)件人可以通過在“發(fā)件箱”查看需要追回的已發(fā)送郵件時。在收件人欄中，即可查看郵件的閱讀狀態(tài)，狀態(tài)為“未讀”的收件人后面，會有一個“追回”按鈕，點擊該按鈕，即可完成追回操作。
8、支持將郵件進行分類歸檔
用戶在使用某政府單位安全郵件系統(tǒng)時，可以增加并自定義文件夾。通過增加自定義文件夾，可以更好的幫助用戶對郵件進行歸檔，如根據(jù)項目內(nèi)容或發(fā)件人等條件，用戶可以手工將選中的郵件移至“自定義文件夾中”。
同時，用戶也可以設(shè)定歸檔策略，某政府單位安全郵件系統(tǒng)將根據(jù)策略自動將符合條件的郵件進行歸檔。具體的歸檔策略有：
設(shè)定歸檔郵件范圍
用戶在對郵件進行分級的過程，可選定哪些用戶是重要用戶，哪些郵件是重要郵件。這些條件也可以進行全局設(shè)定。
設(shè)定郵件存儲周期
根據(jù)用戶對郵件的分級，系統(tǒng)可設(shè)置符合歸檔郵件信息價值的保存周期，如高層領(lǐng)導(dǎo)郵件保存7年，部門郵件保存5年等。
自定義歸檔
根據(jù)用戶需要，系統(tǒng)可以根據(jù)主題或發(fā)件人設(shè)定自定義策略，將符合策略的郵件自動歸檔至指定位置。
9、支持超大附件的加密和斷點續(xù)傳
為了滿足政務(wù)應(yīng)用的實際需求，某政府單位安全郵件系統(tǒng)最大支持2GB的郵件附件。同時考慮到發(fā)送超大附件的衍生需求，還為超大附件的上傳提供了斷點續(xù)傳功能。用戶因為任何原因?qū)е律蟼髦袛鄷r，下次在發(fā)送同一附件時都可以進行斷點續(xù)傳。
經(jīng)驗總結(jié)
“某政府單位安全郵件工程”的成功經(jīng)驗總結(jié)如下：
1. 郵件的網(wǎng)絡(luò)傳輸和物理存儲全程加密。
2. 嚴(yán)格遵循國家保密標(biāo)準(zhǔn)規(guī)范，兼顧用戶使用習(xí)慣。
3. 將“密級流向控制”與“標(biāo)密檢查”融入收發(fā)郵件的流程中，在滿足安全要求的同時減少用戶使用的復(fù)雜度。
4. 提供收發(fā)公務(wù)郵件的功能。
5. 獨有的郵件“追蹤”與“追回”功能。
6. 獨有的郵件“轉(zhuǎn)發(fā)”控制功能。
7. 超大附件支持，最大2GB。
8. 詳實的日志記錄和審計。
9. 歷史郵件的歸檔和安全存儲。
關(guān)于時代億信
北京時代億信科技有限公司是一家致力于企業(yè)應(yīng)用整合及信息安全整體解決方案的專業(yè)技術(shù)服務(wù)公司。公司依托首都科技產(chǎn)業(yè)優(yōu)勢，專注于數(shù)字證書應(yīng)用、企業(yè)應(yīng)用安全、企業(yè)應(yīng)用整合及相關(guān)領(lǐng)域的軟件研發(fā)與技術(shù)服務(wù)，為客戶提供整體的應(yīng)用安全解決方案。憑借團隊優(yōu)勢和綜合技術(shù)能力，公司相繼獨立完成了身份認證、統(tǒng)一身份管理與訪問控制、文檔安全保護、SSLVPN等一系列創(chuàng)新產(chǎn)品的研發(fā)和推廣，積累了豐厚的專業(yè)技術(shù)實力和成熟的客戶服務(wù)經(jīng)驗，經(jīng)過不斷努力，已經(jīng)成為企業(yè)應(yīng)用安全及整合領(lǐng)域領(lǐng)先的解決方案提供商。
