一、概述

     电子邮件已经成为现代人最重要和最不可缺少的个人生活和工作的通信工具之一，从而使得目前的电子邮件服务市场非常激烈，要想在此激烈的市场中取胜，突出自己的竞争优势，电子邮件市场有两个发展方向值得电子邮件服务提供商关注：一个是安全电子邮件服务，人们已经不满足于电子邮件系统仅仅是增加空间容量、增加查毒杀毒功能等，用户需要能确保电子邮件端到端 ( 全程 ) 的邮件内容安全保密的电子邮件服务；二是移动电子邮件服务，也就是使用移动终端随时随地可以收发电子邮件，“黑莓 ( BlackBerry ) ”在欧美的流行足以证明其市场需求旺盛。

     电子邮件安全问题最重要的主要包括两个方面：一是电子邮件服务器的安全，包括网络安全以及如何从服务器端防范和杜绝垃圾邮件、病毒邮件和钓鱼邮件等，这些是电子邮件服务的基本要求；而另一个更重要的问题但还没有引起人们高度重视是如何确保电子邮件用户的电子邮件内容不会被非法窃取、非法篡改和如何防止非法用户登录合法用户的电子邮件帐号。我们认为后者更重要。

    目前，成熟的端到端的全程的安全电子邮件技术标准主要有： PGP 和 S/MIME 。 PGP 是 Pretty Good Privacy 的简称，是一种长期一直在学术圈和技术圈内得到广泛使用的安全邮件标准，其特点是通过单向散列算法对邮件内容进行签名，以保证信件内容无法修改，使用公钥和私钥技术保证邮件内容保密且不可否认。而更加应用广泛的得到所有电子邮件客户端软件如 OUTLOOK 支持的是 S/MIME( Secure Multipurpose Internet Mail Extensions ) ，它是从 PEM(Privacy Enhanced Mail) 和 MIME(Internet 邮件的附件标准 ) 发展而来的。 S/MIME 也利用单向散列算法和公钥与私钥的加密体系。与 PGP 不同的主要有两点：首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织 ( 根证书 ) 之间相互认证，整个信任关系基本是树状的。其次， S/MIME 将信件内容加密签名后作为特殊的附件传送。 S/MIME 的证书格式也采用 PKI 技术的 X.509 ，但与一般浏览器使用的服务器端SSL证书有些不同，属于客户端数字证书，也称为 S/MIME 电子邮件证书、安全电子邮件证书或安全 Email 证书。 WoSign 提供的客户端数字证书支持 S/MIME ，不仅可以用于安全电子邮件通信，还可以用于各种网上应用的客户端身份认证。

二、解决方案

     我们提供的安全电子邮件系统解决方案是采用 WoSign 全球通用的服务器 SSL证书和客户端数字证书相结合的全程端到端的安全电子邮件解决方案。，电子邮件的邮件内容在互联网上是明文传输的，其发送过程为：发件人把要发送给收件人的电子邮件提交给自己的电子邮件服务器即可，由自己的电子邮件服务器负责发送到收件人的电子邮件服务器中，收件人只要到自己的电子邮件服务器收取电子邮件即可。 我们推荐采用 PKI 技术的服务器端SSL证书和客户端数字证书来确保电子邮件的全程端到端安全。包括：

    (1) 电子邮件服务器部署SSL证书确保用户 Web 登录邮箱时的邮件信息安全；

    (2) 使用客户端证书用于 Web 方式登录的强身份认证；

    (3) 邮件接收服务器(POP3) 和发送服务器(SMTP) 部署SSL证书；

    (4) 使用客户端证书实现 Web 方式或 OUTLOOK 方式的电子邮件加密和数字签名。

     以上技术措施 (1)(3) 保证了从发件人电脑到发件人电子邮件服务器之间的传输链路上以 Web 方式和 OUTLOOK 方式收发电子邮件时是 SSL 安全加密电子邮件内容的，是不可能被非法窃取和篡改的；而措施 (2) 则是采用客户端证书实现身份认证，从而保证了是合法用户在使用此电子邮件帐号；而措施 (4) 则保证了电子邮件从发件人电脑到收件人的电脑的逐个传输链路上是加密传输的，是不可能被非法窃取和篡改的。只有采取了以上 4 个方面的技术措施才能确保电子邮件通信的全程安全，才能变现在的 “明信片”式电子邮件服务为把用户的信装进厚厚的结实的信封的“特快专递”式电子邮件服务。

现在，许多大中企业都部署了 ERP( 企业资源规划 ) 、 CRM( 客户关系管理 ) 、 SCM( 供应链管理 ) 、 OA( 办公自动化 ) 、 MIS( 管理信息系统 ) 和 CAD( 计算机辅助设计 ) 等信息系统，为企业的管理和科学决策起到了非常大的作用，而这些系统基本上涉及到了企业的所有核心机密数据如财务账目、凭证、采购销售、资金使用 ) 、生产计划、客户、在线报销和在线转帐等，而访问方式涉及到内部网访问、通过外部互联网访问和通过 VPN 外联网访问，访问人员涉及到企业员工、合作伙伴、供应商、代理商、客户等，可以说，这些对于企业的信息主管绝对是一个不小的挑战，因为这些访问人员会通过各种访问方式获得了企业的机密信息，一旦数据失真或被内部人员、黑客和商业间谍窃取将有可能导致严重的后果，甚至破产。因此，采取强有力的信息安全措施来保障企业的信息安全将变得尤为重要。目前企业的信息安全出现的主要问题总结如下：

（1） 真实身份认证问题： 涉及到两个真实身份的认证问题，一个是访问企业信息系统的用户的真实身份认证，另一个是企业网站的真实身份认证。而前者对于企业来讲最重要，因为访问者可能在世界各地通过各种方式访问，而仅凭“用户名＋口令”的传统身份认证方式根本就没有任何安全性可言，而有些大企业 ( 如神州数码 ) 采用昂贵的能产生动态口令的令牌卡也是不安全的，除了有可能遗失令牌卡、电池没电甚至不按规定借给其他人使用等不安全因素外，如果没有考虑输入密码通过认证后的所有从客户端到服务器的数据交换在不安全的网络上明文传输的话，则仍然是不安全的，但令牌卡会麻痹用户认为非常安全。

（2） 信息的机密性问题 ：企业的各种用户在访问企业的信息系统时要求用户输入用户帐号和密码以及其他机密信息和通过身份认证后从服务器传来的机密信息，用户端电脑与服务器之间的机密数据的传输过程中要经过许多网络设备和传输链路 ( 特别是有些不安全的宽带接入方式使得整个办公楼或居民小区的所有用户实际上是在一个共享的局域网上 ) ，如果此类机密信息不加密传输，则非常容易和极有可能在传输过程中被非法截取而泄密，这是非常危险的，但企业往往只重视了身份认证问题。

（3） 信息的完整性问题： 如果在用户端电脑到企业数据库服务器之间的所有信息交换在传输过程中不加密的话，则非常容易和极有可能在传输过程中被非法恶意篡改，使得企业蒙受巨大的经济损失，而用户还不知晓。

（4） 不可否认性问题： 不管是上游供应商还是下游分销商以及员工，所有用户有可能会否认其在线操作行为，这里有许多原因，可能是用户本身的原因，也可能是其他方面的原因，每笔在线操作一定要有可靠的签名记录用于纠纷仲裁的法律依据。

     针对以上安全隐患和可能出现的问题， 推出了基于 PKI 技术的企业信息化应用信息安全解决方案，完全解决了以上 4 大问题：

(1) 为企业的服务器 (Web 服务器和其他服务器 ) 颁发全球通用的支持所有浏览器的支持强制128位加密的 SSL证书，确保全球用户在任何地方都可以使用任何浏览器访问企业的服务器，支持从浏览器到服务器之间机密信息的高强度加密传输，从而有效地防止了信息的机密信息、帐号、密码和交易数据的机密性和完整性。

(2)  为每个访问企业信息系统的用户 ( 员工、合作伙伴和客户 ) 颁发一个全球通用的 ( 在任何地方，即使在国外也可以使用 ) 单位数字证书用于登录企业信息系统的真实身份认证和用于每个在线操作的数字签名，从而杜绝了口令泄露而造成的损失和提供了交易不可否认的证据。为了杜绝使用公用电脑和专用电脑的间谍软件或其他可能的手段非法使用数字证书问题， 强烈推荐用户使用 USB 型移动数字证书来确保是真实的合法用户安全地登录企业信息系统 ( 需要登录和在线处理业务时就把移动数字证书插入电脑的 USB 口，用完就拔下 ) 。此证书不仅可以用于强身份认证，还可以用于电子邮件数字签名和加密，也可以用于数字签名PDF文件，从而真正实现全程无纸化。

(3)  在企业网站的显著位置显示安全认证签章，让用户一眼就看出他 / 她正准备联上的网站确实是该用户计划登录的企业网站，而不是假冒的企业网站。现在假冒一个一模一样的网站只需几秒钟时间，而网站身份认证签章在假冒网站上是不能显示的。

随着国内互联网运营商之间互连互通问题的出现， 越来越多的网站经营者开始使用智能DNS来解决这个问题。众所周知我们要访问一个网站都预先知道该网站的域名， 而且这个域名需要利用DNS服务器解析成相应的IP地址后才可以被我们访问到。对一个域名（ 或子域名） 解析来说普通DNS服务器仅仅是把一个域名（ 或子域名） 解析成一个IP地址， 即域名（ 或子域名） 与IP地址是一对一的关系。Dnsmaster扩充了普通DNS服务器的功能， 它可以把一个域名按一定的规则解析成多个不同的IP地址。这样以来我们帱可以利用Dnsmaster的这个特性人为的让使用不同ISP线路（ 国内主要是网通， 电信， 教育网等） 的上网用户分别解析成相应不同IP地址， 从而实现加速网站访问速度的功能。比如一个网站分别在网通、电信、教育网和国外都设有服务器， 这时我们可以使用Dnsmaster来解析这个域名实现分别解析为不同的IP地址， 从而解决各个ISP之间互通的问题。
Dnsmaster整合健康检查功能，分PING,TCP,HTTP三种检查方式，用户可以在添加某台记录服务器IP之后填写相应的检查项目，系统会根据设置的参数进行相应形式的健康检查，并显示检查结果。