时代亿信安全保密邮件系统白皮书

SecureMail安全增强电子邮件系统主要由底层服务、管理平台、安全增强电子邮件系统以及扩展接口四部分组成。

系统底层服务：包含邮件收发的基本服务和安全过滤服务，为SecureMail系统提供基本功能性服务。

系统管理平台：SecureMail系统的管理平台为用户提供基于三员分立的管理员管理规范，为使用户可以更明确的、更便捷的管理SecureMail系统，本系统还提供分级管理员管理功能。管理员可以在本平台可以进行下列工作：

a) 系统管理员：提供系统参数配置、用户账户管理、邮箱参数管理、用户日志审计。

b) 安全管理员：为用户或部门设定密级、制定密级策略、制定其他安全策略。

c) 系统审计员：审计系统管理员操作日志、审计安全管理员操作日志。

安全增强电子邮件系统：安全增强电子邮件系统是用户日常使用时的Web操作平台，它除了为用户提供安全邮件的收发、公务邮件的收发等基本功能外，还提供了下列安全增强功能：

a) 强身份认证，基于PKI证书的USB智能卡认证可以保证登录用户的真实身份。

b) 邮件加密、签名和验签。通过SecureMail系统发送安全邮件时，不仅邮件正文和附件会被加密处理，同时还会使用发件人的证书进行数字签名，收件人收到邮件时会先进行验签，验签完成后才会进行邮件解密处理。最大限度的保证了邮件的安全性和完整性。

c) 邮件、附件的标密检查。SecureMail系统在严格遵循国家保密标准规范的同时，兼顾了用户常用的标密习惯，对邮件、附件进行标密检查，将密级流向控制延伸到邮件内容中。

d) 基于密级流向控制的地址簿。使用SecureMail系统发送邮件时，系统会根据用户的密级及组别为用户列出可以发送的地址簿列表。

e) 基于密级流向控制的邮件、附件的邮件转发控制。邮件发给收件人后，在邮件转发时，也必须要求邮件始发人的授权才能进行。

f) 结合SecureDOC文档安全系统可为邮件附件进行脱机授权。

为了使用户更方便的处理日常邮件事务，系统还提供了邮件跟踪服务。

扩展接口：为给用户提供更安全、更便捷的邮件服务，SecureMail系统提供了三个外部系统接口，可分别与本公司的其他三个安全产品进行结合：

a) SecureDOC文档安全接口：结合文档安全产品使用此接口后，发件人将可在发送邮件前，对邮件的附件进行文档授权，指定哪些人可以对此文件进行何种操作，即使在附件已经脱离邮件系统，依然可以保证该附件的安全性。

b) SID认证接口：结合SID产品使用此接口后，系统可以使用SID产品作为认证中心，进行数字证书认证、动态令牌、指纹等强认证方式登录SecureMail系统，更高效的保证用户账户安全。

c) UAP统一认证接口：结合UAP产品使用此接口后，系统将使用UAP产品作为统一认证的平台，通过登录UAP产品，将可直接进入SecureMail系统，若结合OA、门户等其他内网业务系统，还可在这些系统中进行单点登录。

产品优势

对比其他同类产品，SecureMail系统拥有下列优势：

邮件的网络传输和物理存储全程加密。

严格遵循国家保密标准规范，兼顾用户使用习惯。

将“密级流向控制”与“标密检查”融入收发邮件的流程中，在满足安全要求的同时减少用户使用的复杂度。

提供收发公务邮件的功能。

独有的邮件“追踪”与“追回”功能。

独有的邮件“转发”控制功能。

超大附件支持，最大2GB。

脱机附件的访问授权。

详实的日志记录和审计。

历史邮件的归档和安全存储。

良好的可扩展性。

1. 产品功能特点

SecureMail 安全增强电子邮件系统是在实现普通邮件系统功能之上，综合运用身份认证、数字签名、传输加密、加密存储、邮件信息跟踪、邮件及附件控制等安全手段进行安全保护，通过高强度的身份认证、细粒度的权限控制和日志审计，为政府部门及企事业单位提供安全、可控、便捷的信息传输服务。安全增强电子邮件系统的基本功能如下图所示：

邮件全程保密

用户在使用邮件系统时，其主线可以归纳为下列流程：

SecureMail安全邮件系统针对一般邮件系统的使用流程，在简单的邮件收发流程的每个环节都增加了相关安全保密措施：

流程节点	安全机制	行为记录输出
用户登录	使用数字证书的USB智能卡强身份认证	记录用户何时登录以及登录系统时的主机信息
创建邮件	邮件密级限制、密级流向控制、附件脱机授权、使用USB智能卡证书加密、电子签名	记录何人将邮件发给了哪些人，以及邮件的标题和附件名称及附件大小
网络传输	邮件加密传输
数据存储	邮件加密存储、可自动归档。
阅读邮件	密级流向控制、邮件验签、使用USB智能卡证书解密	记录何人在何时阅读了此邮件以及是否下载附件
转发邮件	密级流向控制、原始发件人授权检查	记录何人在何时将此邮件转发给何人
脱机附件	脱机附件使用权限控制

表1：使用节点加密及行为记录

a) SecureMail系统提供的USB智能卡登录方式，可以准确、有效的对登录系统的用户进行身份验

证，从而确保发件人和收件人的身份。

b) 用户在发送邮件内容与选择的附件，都必须符合用户所属的密级以及发件人选择的邮件密级。

c) 用户登录系统后，系统将根据当前邮件所设定的密级，将符合密级设定的收件人列表以地址簿

的形式展现给用户。

d) 通过邮件标密机制实现的密级流向控制，严格限制高密级邮件发送给低密级用户。

e) 在发送邮件时，发件人使用收件人公钥对邮件进行加密，并使用自己的私钥做数字签名，邮件

以密文的形式发送出去，保证在邮件传输过程中的保密性和完整性。

f) 在邮件的传输过程中，安全增强电子邮件系统采取数字信封、数字签名等加密技术，以确保邮

件内容的保密性、完整性和不可否认性。邮件的正文和附件在网络传输、服务器存储以及客户

端存储时，都是以密文形式存在。

g) 外部数据存储装置中存储的邮件也以密文形式存储。

h) 收件人登录系统时同样以USB智能卡进行强身份认证。

i) 收到邮件时，拥有对应私钥的用户才能对邮件内容进行解密，查看到邮件原文，并通过验证数

字签名确定发件人的身份。即保证了在邮件传输过程中的数据安全，也保证了邮件的完整性。

j) 收件人收到邮件后，转发邮件同样需要遵循所属密级的规范。

k) 加解密过程在USB智能卡中完成，私钥不出卡，保证密钥的安全。

l) 结合SecureDOC文档安全系统，还可以对脱机后的附件进行访问授权。

密级流向控制

密级设置

时代亿信安全增强电子邮件系统针对需处理涉密信息的单位用户，提供了密级设置功能，并可对邮件、附件和用户分别设置各自密级属性。

用户标密：管理员可对用户设置密级属性，用户的密级可分为普通、秘密和机密三个等级。

邮件标密：邮件的密级可分为普通、秘密和机密三个等级，用户发送邮件时必须首先选择邮件的密级，系统会根据指定的密级控制策略匹配用户和邮件两者的密级，禁止低密级用户接触高密级邮件。

附件标密：附件的密级可为普通、秘密和机密三个级别，用户上传邮件附件时，系统会根据上传文件的文件名自动获取附件的密级；如果上传的文件没有标密，系统会提醒用户进行密级标识后再上传。

密级控制

密级流向控制的目的是保证用户、邮件、附件三者的密级匹配，确保高密级的邮件不会向低密级用户发送，低密级用户也不能发送高密级邮件。密级流向控制首先对密级邮件在选择发送人员时，会筛选密级相对应的接收人员。若发生不符合密级的邮件传输，系统会自动阻断。其实现机制如下：

1）邮件密级控制

根据用户密级，设置邮件的收发权限，即普通级用户只能发送/接收密级为普通的邮件；秘密级用户可以发送/接收密级为普通和秘密的邮件；机密级用户可以发送/接收密级为普通、秘密和机密的邮件。

2）密级通讯录控制

用户在选择邮件密级时，会自动匹配相应的通讯录，即当邮件为普通密级时，通讯录中将显示全部用户；当邮件为秘密级时，通讯录中只显示密级为秘密和机密的用户；当邮件为机密级时，通讯录中只显示密级为机密级的用户。

邮件标密检查

用户上传邮件附件时，系统会根据上传文件的密级自动匹配邮件附件的密级，附件密级不能高于邮件密级，即邮件密级为普通时，只能上传密级为普通的文件作为附件；邮件密级为密级时，只能上传密级为密级和普通的文件作为附件；邮件密级为机密时，则可以上传密级为机密、密级和普通的文件作为附件；如果附件密级大于邮件密级，系统会禁止发送，并提醒用户进行调整。

邮件转发权限控制

在普通邮件系统中，对于收件人的邮件转发操作是没有任何限制的，收件人也可以任意更改邮件内容后去转发，不能满足公务邮件处理的需要。

为此，SecureMail系统提供了专门的邮件转发权限控制服务，发件人可以在发送邮件时选择“转发锁定”功能，启用后收件人在收到邮件进行转发时，不能对发件人的邮件内容进行任何更改，只能原文不动地转发，保证其他收件人也能够看到邮件原文。

同时，为了方便在转发锁定情况下，转发人可以对邮件内容进行注释说明，SecureMail系统还提供了邮件转发意见区。转发人虽然不能改动邮件原文，但可以在意见区中填写自己针对邮件的想法、注释、说明或意见，从而也能让其他收件人同时获得发件人的邮件原文和转发人对此邮件的意见。

脱机附件权限控制

发件人可以在发送邮件之前，通过SecureDOC文档安全系统对邮件的附件进行授权，文档安全系统的授权定义按照安全级别排列包括只读、编辑、复制、打印等权限，高级权限包含低级权限。

使用经过SecureDOC系统加密后的附件文件前，必须经过身份认证，并且将依照授权者设定的操作权限限制使用者的操作，即使附件已从SecureMail系统中下载到本地。

支持单位邮箱，符合公务发送特点

对于部门、机构间的往来邮件，如果单纯的以部门中某个人的身份进行传递，难免会为用户查找、处理电子邮件带来一定的麻烦。并且，传统的电子邮件交流很难体现出机关单位间信息交换的“权威性”与“规范性”，用户在日常的公文交换的过程中，需要一个更直观、更权威的形式。

为此，SecureMail系统为用户提供了“公务邮件”功能，在公务邮件中借鉴了“公章”的概念，员工需要以部门或机构的名义向其他部门或机构传递公文或其他文件时，可以申请使用部门所属的“公务邮箱”。这就如同签署文件或合同时，个人需要向本机构借用公章一样。

使用SecureMail的公务邮件功能后，由系统管理员指定部门中的某个或某几个用户可以以所属部门的专用邮箱给其他部门或机关发送安全邮件。被授权用户在登录SecureMail系统后，可以通过“标签”选择进入个人邮箱或公务邮箱。并且，公务邮箱只能向其他部门的公务邮箱发送邮件，个人用户也无法向公务邮箱发送电子邮件。

配合SecureMail独有的邮件追踪功能，发件人可以准确的得知收件人是否已经查阅过该邮件，若邮件内容具有时效性，且收件人长时间未读该邮件，则可通过其他联系方式告知其尽快查阅、处理，保证了在电子邮件发出后的可控性。

另外，配合 SecureMail 系统的自动归档功能，为所有往来的邮件信息在需要审查时提供审查依据。

邮件状态追踪及已阅汇总

邮件状态追踪

我们发邮件时，点击“发送”按钮，系统提示“发送成功”后，这封邮件就变得不可控了。我们很难准确的得知用户是否看到了这封邮件。

对于一般的电子邮件系统来说，这是很正常的，但是对于企业或机关单位来说，当一封时效性很强的邮件被发出时，能否得知用户的阅读状态是十分有必要的，比如下发公文、颁布规定、重要通知等，收到邮件的时间直接关系到后期工作的执行情况。

SecureMail系统可以为用户提供已发送邮件的阅读状态查询功能，即使有多个收件人，发件人也可以在SecureMail系统中得知每个用户的阅读情况。

在SecureMail系统中，发件人可以通过在“发件箱”查看单封已发送邮件时。在收件人栏中，即可查看邮件的阅读状态。

未读邮件追回

如果用户在发送邮件时选择了错误的收件人，并成功发送了，这种情况在有些涉密的企业或机关单位是绝不允许出现的。但制度上的不允许并不意味着人不会犯错，这种时候减小损失显然比追究责任更有意义。

SecureMail系统基于邮件状态追踪功能，为用户提供了“未读邮件追回”功能，该功能允许发件人将以发送成功但收件人尚未阅读的邮件追回，成功追回后，收件人将不会看到与该邮件有关的任何信息。

支持将邮件进行分类归档

用户在使用SecureMail系统时，可以增加并自定义文件夹。通过增加自定义文件夹，可以更好的帮助用户对邮件进行归档，如根据项目内容或发件人等条件，用户可以手工将选中的邮件移至“自定义文件夹中”。

同时，用户也可以设定归档策略，SecureMail系统将根据策略自动将符合条件的邮件进行归档。具体的归档策略有：

设定归档邮件范围

用户在对邮件进行分级的过程，可选定哪些用户是重要用户，哪些邮件是重要邮件。这些条件也可以进行全局设定。

设定邮件存储周期

根据用户对邮件的分级，系统可设置符合归档邮件信息价值的保存周期，如高层领导邮件保存7年，研发部邮件保存5年等。

自定义归档

根据用户需要，系统可以根据主题或发件人设定自定义策略，将符合策略的邮件自动归档至指定位置。

整合保密标准规范与用户使用习惯

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/10098689/viewspace-1060918/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/10098689/viewspace-1060918/