一、 需求背景  

      随着信息系统与互联网技术的发展，越来越多单位采用了在线招投标系统，大大降低了招投标企业的成本，减轻了招投标工作负担，提高了招投标的工作效率，同时，在线招投标能够更好的体现公开、公正、公平招标原则，减少人为干预因素。然而，信息化是个“双刃剑”，在带来便捷的同时也带来了安全隐患，在线招投标系统需要解决以下安全问题：

1. 账户安全：即身份认证问题，绝大多数信息系统都采用用户名密码的登录方式，安全强度较低，黑客通过木马程序等可以轻而易举的盗取用户名和密码，冒充供应商企业进行招投标行为或冒充评标专家等进行评标，将给用户造成无法挽回的损失。
2. 招投标信息被篡改：招标方发布招标信息，或投标企业上传投标文件，如果按互联网明文方式传输，黑客通过各种监听软件很容易就可以将各种机密信息截获，经过篡改后重新提交，很容易造成招投标纠纷。
3. 招投标责任无法追溯：一旦纠纷，无法认定操作的责任人，造成极其严重的法律责任风险。

二、 解决方案

      针对在线招投标系统的安全需求，移动CA中心提出了在线招投标安全解决方案，采用目前国内外公认安全级别最高的PKI/CA技术解决系统安全问题，采用数字证书实现高安全性、高可靠性的强身份认证机制，保证相关角色登陆系统身份的真实性，实现在线投标文件等信息的加密、签名等功能，保障数据文件不被篡改，同时提供时间戳服务，确保整个招投标系统各方行为的不可抵赖性，做到责任可追溯。

      移动CA中心提供的在线招投标安全解决方案由各功能模块组成，可根据客户实际需求灵活配置、单独部署。

图 移动CA中心在线招投标安全解决方案

三、 方案特点

1. 采用安全认证服务器为招投标系统提供统一的证书安全服务能力支撑，实现与移动CA中心的服务的安全接入，为招投标系统提供本地化的证书应用功能支撑能力，包括证书管理、认证鉴权以及数字签名/验签等功能
2. 采用USB KEY来存储系统角色用户证书如管理员证书、供应商企业证书、评标专家证书等，在应用服务器上部署服务器证书，确保用户登录时候实现双向的身份认证，确保身份的真实性；
3. 用户认证通过后，建立SSL通道，所有数据在SSL通道内加密传输，确保数据传输的机密性；
4. 在用户的客户端部署签名控件，所有服务器下发的招标书经过服务器电子签名，客户端在下载后进行校验；所有客户端上载的投标书在用户端进行电子签名，经过服务器端校验，确保招标书的完整性，操作不可抵赖性；
5. 所采用数字信封技术，在投标书上传前进行加密。不到开标日期，投标商不到场情况下，确保招标书不能被阅览，确保投标书存储的机密性，确保招标过程的公平性。

四、 方案产品组成

     ●   安全认证服务器

     ●   时间戳服务

     ●   USBKEY

     ●   数字证书（企业、管理员、服务器等证书）

五、 目标客户

     具备在线招投标系统的各政府机关单位、大中型企业等。