方案背景

    我国烟草行业的大规模信息化开始于1997年5月的烟草行业“金叶信息系统工程”。如今，行业卫星通信主干网初步建成，已建成国家局卫星主站(A类站)1个、各省级局卫星站(B类站)32个，6个省级局(公司)基本建成省域网，28个省级局建成机关局域网，并通过网络开展了一些计算机应用项目。行业管理信息系统开始推广应用，现已初步开发完成了与行业生产经营直接相关的7个管理信息系统(MIS)子系统，包括烟叶购销、卷烟销售、专卖管理、经济运行、财务管理、综合统计、综合查询等。基层商业企业也开展了以卷烟销售、专卖管理、计算机网络“三网并举”的基层销售网建工作。全行业各县级公司中已有200多个建设了基层商业企业管理信息系统，1万多个销售网点基本应用了计算机管理，22个省级局建立了“烟草行业网”网站，行业信息化建设普遍展开。

    随着计算机网络的发展和各大应用系统的逐渐建设与完善，烟草行业信息化整体发展已经与自身的信息化、数字化密不可分，因此对整个网络的安全防护以及对网络中传输数据的保护已经迫在眉睫，急需建立一套基础安全防护体系。

应用需求

    目前大部分烟草企业的管理信息系统对用户身份认证和访问权限控制均采用“用户ID＋密码”的方式进行，这样就会出现以下问题：

1. 用户忘记密码，无法实现业务操作和管理的目的。
2. 容易被单位外人员盗用，造成使用单位的经济损失。
3. 容易被单位内部人员盗用，给单位本身带来经济损失。
4. 使用的身份识别设备具有随意性（无硬件验证），容易管理上的混乱。

    在信息安全体系中，身份认证是一个非常关键的环节，也是信息安全策略和体系的前提保障。有研究数据表明，信息安全面临的主要威胁不是来自于外部攻击，85%安全漏洞其实来自于企业和组织内部。密码身份认证所存在的安全缺陷和非人性化且记忆不方便是重要的原因。随着现在网络应用的大规模普及，烟草业务系统（财务/资金结算/供应链/营销管理/决策支持等）的不断增加，用户需要记忆的密码越来越多，也越来越复杂。烟草信息化面临身份安全的问题以及由此带来的商业秘密泄漏风险。

    如何通过技术手段保证用户的真实身份与虚拟数字身份相对应呢？在真实世界中，验证一个人的身份主要通过三种方式：

1. 根据你所知道的信息来证明身份（what you know），比如密码、Pin码；
2. 根据你所拥有的物品来证明身份（what you have），如USB-Key、动态密码卡和智能卡等；
3. 直接根据人类独一无二、不可复制的生物识别特征来证明身份（who you are），比如指纹识别、虹膜识别等。

    生物识别已经成为安全与便捷身份认证的最佳选择，而指纹技术历经多年的技术和应用发展，无论是从技术成熟度、应用普及性还是价格竞争力等方面综合比较，指纹识别技术都是当前生物识别领域最为主流的技术。

方案建设原则

    通过TRUSTLINK指纹身份认证平台，采用最安全便捷的基于指纹的身份认证解决方案，可以安全访问关键的业务系统和需要受保护的应用程序。从而代替传统的用户加密码的接入认证方式和传统的SDK的开发模式的应用。

    基于指纹身份认证增强了安全策略，记录系统所有与登录有关的事件，通过集中的安全策略保证了登录安全性。

    为了实现系统建设目标，我们为烟草行业指纹认证平台系统项目确定如下总体设计原则：

原则	描述
先进性	作为全球首屈一指的网络指纹整合平台，TrustLink提供先进、可靠、快捷的指纹认证服务，让用户真正体会到“我就是密码”最尖端的身份认证技术。
实用性	在系统设计过程须考虑易于操作、易于使用等问题。
开放性	TrustLink开放性整合平台的特色，可结合各种不同的生物辨识技术及身分辨识工具，在不同网络架构下使用各种程序语言整合，并支持多种数据库。
稳定性	主机系统采用高可用性技术，保证系统能长期稳定的不间断运行，采用成熟、稳定、先进的操作系统、数据库、网络协议、中间件等软件平台，保证稳定性。
安全性	对于烟草企业的业务系统而言，安全性至关重要。TrustLink在设计上具备层层把关的安全机制，例如资料交换保密、生物特征防盗、传输时间戳记、储存使用记录等，将指纹从输入、传送、比对到储存等任何阶段，均已配置最完整严密的安全程序，用户所关心的安全议题，TrustLink全做到了。
可扩展性	系统建设不仅要着眼于现在，而且要放眼未来，因此，指纹认证系统建设不仅要满足现在的要求，而且要具有向未来技术平滑过渡的能力。即：该系统的建立一定要具备良好的可扩展性，当信息量上升、网络规模扩大时，可方便地将服务器及其它设备进行升级服务，满足日益增长的业务需求，最大限度保护投资。
可恢复性	确保在网络或系统出现问题时能及时、快速地恢复系统的正常运行，保证系统的可恢复性，提高网络系统的抗干扰能力。
可管理性	网络的使用及管理以简便、易于操作、方便实用为准则，利用TrustLink先进的平台集中管理功能，降低系统管理、维护成本，提高系统的可管理性。