福州城市大脑·智慧停车系统项目

商用密码应用改造及测评服务询价公告

 

福州华榕停车场管理有限公司现邀请有相关资质的单位报名参与本次福州城市大脑·智慧停车系统项目商用密码应用改造及测评服务的采购。具体如下：

一、采购内容

1、项目名称：福州城市大脑·智慧停车系统项目商用密码应用改造及测评服务。

2、数量：选取1家商用密码应用改造及测评服务单位。

3、最高限价：26.65万元人民币。

二、供应商资质等相关要求

投标人须提供自身或所委托商用密码检测机构在“国家密码管理局公告（第49号）的商用密码检测机构(商用密码应用安全性评估业务”目录中的相关证书复印件或相关证明材料复印件，并加盖公章（同一商用密码检测机构不得接受不同投标人的委托，委托同一密码检测机构的投标人均取消评标资格）。

三、报价文件要求

1、报名的单位报价文件应包含：企业营业执照及资质文件证明材料（复印件均应加盖单位公章）、报价表、法定代表人授权书、法定代表人（或负责人）身份证复印件及“信用中国”网站（www.creditchina.gov.cn）、中国政府采购网（www.ccgp.gov.cn）信用信息查询结果网页打印件（或截图）、上述资质相关证书复印件或相关证明材料复印件。

以上文件均需加盖报价单位公章，并注明复印件与原件一致，原件备查。

2、报价起止时间：即日起至2025年1月28日下午17时（北京时间），以实际送达收件人时间为准（地址：福建省福州市台江区群众东路97号华榕大厦412），所有报价文件材料必须密封送达（密封处须加盖公章），未按此要求的，将被视为无效。

四、服务内容

1、 服务主体

依据《中华人民共和国密码法》、《信息安全技术信息系统密码应用基本要求》（GB/T39786-2021）、《商用密码应用安全性评估管理办法》等法律法规及有关标准要求，由投标人对福州城市大脑·智慧停车系统项目进行商用密码应用改造，须提供密码资源服务，集成系统国密算法API，并对信息系统进行国密改造升级，改造完成后通过国家商用密码应用安全性评估，具体包括：

（1）密码资源服务。由投标人提供密码资源池，实现信息系统密码技术的承载能力，服务期为一年。密码资源池至少包括服务器密码机、签名验签服务器、SSL VPN网关及密码服务管理平台，且上述商用密码产品须有商用密码产品认证证书。

（2）集成系统国密算法API。由投标人提供集成服务或提供能够无感化对接集成的成熟平台，为福州城市大脑·智慧停车系统项目提供API接口，调用密码资源服务SM2/SM3/SM4全套密码服务。投标人须提供承诺函承诺承担对接集成所产生的费用（格式自拟，未提供承诺函的投标人均取消评标资格）。

（3）系统密码应用改造。由投标人为采购人的福州城市大脑·智慧停车系统项目进行国密改造。包括系统的网络和通信安全、设备和计算安全、应用和数据安全等方面的国密改造升级。投标人须提供承诺函承诺承担系统改造所产生的费用（格式自拟，未提供承诺函的投标人均取消评标资格）。

（4）由投标人自行或委托商用密码检测机构，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行和应急处置等方面，对福州城市大脑·智慧停车系统项目的密码应用方案和应用系统进行商用密码应用安全性评估。

2、 服务内容

2.1. 密码资源服务

为支撑福州城市大脑·智慧停车系统项目业务应用完成商用密码应用安全性建设，提供加解密、签名验签、完整性校验、密钥管理等密码服务，包括但不限于重要数据传输机密性服务、重要数据存储机密性服务、重要数据存储完整性服务以及身份鉴别等服务。供应商须提供密码资源池服务，包括服务器密码机、签名验签服务器、SSL VPN网关、密码服务管理平台等，对应的商用密码产品须有商用密码产品认证证书，服务期为一年。

2.1.1. 服务器密码机

选用通过国密局认证的设备，支持SM2/SM3/SM4算法，提供高性能加解密及签名服务，且具有国家密码管理局商用密码产品认证证书。

(1) SM2密钥生成≥19000对/秒，SM2签名≥19650次/秒，SM2验签≥10600次/秒，SM2加密≥4600次/秒，SM2解密≥4860次/秒；

(2) SM3摘要≥920Mbps；

(3) SM4加解密≥580Mbps；

2.1.2. 签名验签服务器

支持SM2/SM3/SM4算法，支持批量数据处理，且具有国家密码管理局商用密码产品认证证书。

(1) SM2密钥生成≥18650对/秒，SM2签名≥19500次/秒，SM2验签≥12200次/秒，SM2加密≥4700次/秒，SM2解密≥6540次/秒；

(2) SM3摘要≥890Mbps；

(3) SM4加解密≥620Mbps；

2.1.3. SSL VPN网关

支持国密算法协议，提供安全远程接入能力，并发在线用户数≥2000，并发会话数≥15000，每秒新建用户数≥150，加解密速率≥600Mbps，转发延迟＜0.1ms，且具有国家密码管理局商用密码产品认证证书。

2.1.4. 密码服务管理平台

采用符合国家密码管理局GM/T0028《密码模块安全技术要求》第二级要求的密码服务管理平台，且具有国家密码管理局商用密码产品认证证书。

2.2. 系统国密算法API集成

在福州城市大脑·智慧停车系统集成国密算法API，实现与密码资源服务的对接能力，可通过调用密码资源服务的API接口实现系统的SM2/SM3/SM4密码应用服务。

2.2.1. 国密算法API接口

(1) 建立RESTful API接口标准化规范：包括标准请求格式和标准响应格式。

(2) SM2双向证书认证：包括证书申请-证书签发-双向证书验证-安全通道建立。

(3) 请求参数SM3哈希+SM2签名：SM3计算请求哈希-SM2私钥签名-请求头携带签名-服务端验证签名。

(4) 加密传输：支持国密SSL/TLS协议，包括协议配置和密钥交换。

2.2.2. 密码服务中间件

(1) 密码资源服务对接：支持通过API接口的调用，对密码资源服务的SM2/SM3/SM4算法进行统一适配管理，包括SM2数字签名、SM4数据加密、SM3哈希计算等核心密码功能的适配。

(2) 密码应用接口调用：支持通过API接口的调用，实现系统功能模块、内外部接口、数据存储传输等环节的国密算法服务应用。

2.2.3. 密钥管理模块

(1) 密钥管理API：建设标准化密钥管理API接口；

(2) 密钥生成：支持调用API接口，生成SM2、SM4密钥对。

(3) 密钥分发：基于SM2算法的密钥交换协议，对密钥的分发过程进行加密传输，同时具备接收方身份验证机制。

(4) 使用管理：包括访问权限控制、使用频率监控、使用模式监控、密钥使用日志记录等。

2.2.4. 密钥监控审计

(1) 密钥操作实时监控：建立密钥监控体系，采用异步非阻塞方式采集操作日志，覆盖从密码资源服务的密码机到应用接口的全链路操作监控。

(2) 完整审计日志记录：建立结构化日志存储体系，包括基础信息、环境信息、操作详情等内容，采用SM3哈希算法保证日志完整性，关键日志条目使用SM2数字签名防篡改，加密存储敏感字段，防止信息泄露。

2.3. 系统密码应用改造

2.3.1. 网络和通信安全改造

为福州城市大脑·智慧停车系统部署签名证书和加密证书的双证书体系，分别用于身份验证和数据加密。

(1) 身份鉴别改造

1) SM2算法替换弱安全算法：采用SM2椭圆曲线公钥算法实现双向认证，用户通过国密浏览器登录时，服务器使用SM2私钥签名信息，客户端验证签名合法性。

2) 数据库访问控制：数据库账号密码采用配置动态获取形式，禁止明文硬编码形式存储，在应用启动时获取并解密账号数据来登录数据库，避免明文密码泄露风险。

(2) 传输数据保护

1) 机密性保障：使用SM4算法加密传输数据，密钥通过SM2协商生成，修改TLS协议版本号为1.3，并配置相应的密码套件。

2) 完整性校验：采用SM3算法生成消息认证码(MAC)，接收方通过哈希值比对确保数据未被篡改。

(3) 安全协议升级

为福州城市大脑·智慧停车系统项目建设以SM2、SM3、SM4为核心的国密算法体系，SSL VPN协议升级为SM2/SM3/SM4国密算法。

1) 国密SSL证书：通过SM2算法实现服务器身份认证，确保通信实体真实性，需涵盖用户登录接口、账号信息接口、用户信息接口、订单接口、支付接口、流水接口等关键业务接口。

国密证书申请签发：服务域名部署国密SSL证书体系，证书算法套件严格遵循SM2-with-SM3标准。

端到端加密通道构建：客户端与Nginx/网关之间的通信，采用国密TLS协议进行加密。

2) 国密协议改造：升级为国际标准的TLS协议通过简化握手流程、废除不安全的加密套件，包括VPN网关设备及软件集成国密算法的TLS协议栈、采用国密算法套件、前向保密性升级为SM2的椭圆曲线密钥交换机制。

3) 国密算法应用

客户端与VPN服务器之间基于SM2算法进行密钥交换。客户端生成临时SM2密钥对，并向服务器发送公钥，VPN服务器使用其SM2证书进行响应，双方利用SM2密钥协商算法，生成主密钥。同时会话数据使用SM4算法进行加密。

2.3.2. 设备和计算安全改造

(1) 防火墙国密化升级

为福州城市大脑·智慧停车系统项目建立国密VPN隧道与密钥协商，加密流量深度检测与策略联动，实现防火墙能够识别和处理基于SM2/SM3/SM4算法的网络流量，并进行数据传输。

1) 升级现有防火墙固件，支持国密算法。

2) 配置防火墙规则，优先处理国密加密流量，确保关键业务数据的安全传输。

3) 定期进行安全策略审计，确保防火墙规则与国密算法要求一致。

(2) WAF与API网关改造

福州城市大脑·智慧停车系统项目的WAF和API网关的国密化升级，防范针对停车业务的网络攻击。

1) 部署支持国密算法的WAF，对HTTP/HTTPS流量进行深度检测和防护。

2) 升级API网关，支持国密SSL协议的握手和加密传输，确保API调用的安全性。

3) 针对停车业务特征的定制化防护规则，包括防车牌号篡改、订单号篡改等。

(3) Nginx国密化改造

为福州城市大脑·智慧停车系统项目的Nginx中间件集成国密模块，确保Nginx支持SM2/SM3/SM4算法。

(4) 数据库与缓存中间件改造

为福州城市大脑·智慧停车系统项目在用的数据库和缓存中间件适配国密算法，防止数据泄露。

1) 升级数据库连接池，支持国密加密传输。

2) 采用透明数据加密技术，对车牌号、手机号、姓名等敏感字段进行SM4加密。

3) 对缓存中间件（Redis）进行国密算法适配，确保缓存数据的安全性。

(5) 服务器运维安全改造

新增至少一台堡垒机服务器（配置至少为2核4G，40G系统盘）部署国密算法体系，运维人员通过堡垒机登录服务器时，需采用“用户名和口令+数字证书”的双因子鉴别方式来进行身份认证。

2.3.3. 应用和数据安全改造

本次国密改造的核心目标是：将系统中涉及身份认证、数据传输与存储、业务完整性校验等关键安全环节，从国际通用密码算法全面替换为SM2/SM3/SM4国产密码算法，构建一个自主可控、符合国家密码管理局要求的安全体系。

(1) 功能模块改造

1) 用户认证与权限管理模块

密码存储：用户密码不再使用弱安全加密算法，改为使用SM4算法进行加密存储，并采用SM3算法生成哈希值确保不被篡改。

数字证书与令牌：采用基于SM2算法的数字证书进行身份认证。登录时，使用SM2私钥进行签名，服务端用对应公钥验签，确保身份真实可信。

双因子认证：新增第二因子（ukey验证）的请求和验证通道。

2) 支付与交易模块

支付信息加密：与支付网关（建行、微信支付、支付宝）的通信数据（如金额、订单号），使用SM4算法进行加密，防止支付信息被窃取。

交易签名：所有交易请求和结果通知，使用SM2算法进行数字签名，确保交易的不可否认性和完整性。

交易流水校验：每一笔交易流水号都使用SM3算法生成哈希值，用于后续对账和防篡改，保障交易记录的完整可追溯。

(2) 服务接口改造

1) 面向业务管理员的后端接口

用户认证与权限接口：将原有的基于RSA的HTTPS协议升级为国密TLS协议，登录凭证传输采用SM4模式加密，权限令牌使用SM3算法进行完整性校验，涉及改造接口如下：

序号	接口类型	涉及改造接口
1	后台账号	管理后台登录
2		管理后台登出
3		创建后台账号
4		修改后台账号
5		删除后台账号
6		修改后台账号密码
7		登录检查
8		获取登录图形验证码
9		获取登录页面展示权限
10	角色管理	创建角色
11		修改角色
12		删除角色
13		显示角色权限
14		更新角色权限
15	权限管理	显示数据权限树
16		创建数据权限节点
17		修改数据权限节点
18		删除数据权限节点
19		显示运营方权限树
20		设置运营方权限树

业务服务管理接口：采用SM2算法完成密钥协商，使用SM4算法加密业务数据，通过SM3哈希值验证数据完整性，涉及改造接口如下：

序号	接口类型	涉及改造接口
1	收费员管理	创建收费员账号
2		修改收费员账号
3		删除收费员账号
4		收费员账号登录
5		收费员账号登出
6		收费员签到
7		收费员签退
8		后台收费员签退
9		获取收费员签到状态
10		修改收费员账号密码
11		批量创建收费员
12		收费员轨迹追踪
13		收费员打印小票
14		收费员批量删除
15	订单管理	获取订单详情
16		手动订单入车
17		手动订单驶离
18		手动订单重启
19		修改订单车牌
20		创建缴费二维码
21		申请订单修改金额
22		审核订单修改金额
23		申请订单退款
24		审核订单退款
25		订单费用抵扣
26		更新订单关联用户
27		删除订单关联用户
28		删除订单图片
29		隐藏订单
30		订单拍照取证
31		计算订单费用
32		修改订单泊位
33		合并订单
34		修改停车时间和图片
35		无订单车牌生成订单
36	用户管理	创建用户
37		修改用户
38		用户修改个人信息
39		删除用户
40		申请用户账号注销
41		用户登录
42		获取用户所在区域
43		冻结用户
44		获取用户提现金额数据
45	发票管理	批量新增发票
46		发票冲红
47		发票状态更新

支付与交易接口：支付请求参数全字段SM4加密，交易结果回调使用SM2数字签名验证，涉及改造接口如下：

序号	接口类型	涉及改造接口
1	渠道支付	创建微信支付订单
2		创建支付宝支付订单
3		创建钱包支付订单
4		创建e福州支付订单
5		创建建行支付订单
6		创建云闪付支付订单
7	支付通知	接收微信支付结果通知
8		接收支付宝支付结果通知
9		接收e福州支付结果通知
10		接收建行支付结果通知
11		接收云闪付支付结果通知
12		接收etc支付结果通知
13	退款通知	接收微信退款结果通知
14		接收etc退款结果通知

数据查询与统计接口：在API网关层面统一部署国密算法支持，实现查询请求加密、响应数据保护、统计结果完整性验证等功能。

序号	接口类型	涉及改造接口
1	数据查询	停车订单查询
2		获取停车订单详情
3		支付流水查询
4		获取支付流水详情
5		获取用钱包余额信息
6	数据统计	查询经营分析报表
7		查询渠道收支报表
8		查询设备推送记录

2) 系统内调用接口认证

微服务之间使用基于SM2算法进行身份认证，确保只有合法的服务才能相互调用。

3) 系统外部接口签名

签名机制升级‌：API接口采用“APPID+时间戳+签名”组，校验防重放攻击，签名参数包含请求方式、参数及动态密钥‌。

实时验证‌“”服务端部署签名有效性检查，异常请求触发即时告警并冻结账户。

(3) 数据安全改造

4) 敏感信息加密：车牌号、用户手机号等个人敏感信息，在入库前使用SM4算法进行加密存储，查询时再解密，防止数据库泄露导致信息外泄。加密采用“明文数据→SM4密钥加密→密文存储”；查询采用“密文→SM4密钥解密→明文返回”。

5) 日志防篡改：关键操作日志（如车辆进出、费用修改）在记录后，立即计算其SM3哈希值并一同存储。定期审计时，可通过重新计算哈希来验证日志是否被篡改，确保操作记录的真实性。

6) 通信协议升级：将HTTP接口全面升级为国密TLS协议，基于SM2算法完成密钥交换，SM4算法加密通信内容，SM3算法校验数据完整性。

7) 支付接口安全强化：与建行/微信/支付宝支付等第三方网关的交互，采用SM2数字签名+SM4加密的双重保护，请求采用“订单数据→SM4加密→SM2签名→传输”；响应采用“支付结果→SM4加密→SM2签名→传输”。

2.4. 商用密码测评服务

依据《中华人民共和国密码法》、《信息安全技术信息系统密码应用基本要求》（GB/T39786-2021）、《商用密码应用安全性评估管理办法》等法律法规及有关标准要求，委托商用密码检测机构，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行和应急处置等方面，对福州城市大脑·智慧停车系统的密码应用方案和应用系统进行商用密码应用安全性评估。

(1) 依据国家商用密码应用安全性评估规定，依据相关国家标准或行业标准，制定密码改造方案。

(2) 依据国家商用密码应用安全性评估规定，依据相关国家标准或行业标准，按照特定方法对未涉及国家秘密的信息系统的商用密码应用的合规性、正确性和有效性进行科学公正的综合评判，出具测评报告。

五、采购方式

采用询价采购，以最低价中选，最低价应为固定总价包干（含不可预见费）。最高限价不超过26.65万元。

六、采购流程

1、询价小组在纪检监督下对承诺函和报价文件进行审阅，有效报价单位满3家，以最低报价中选，遇报价相同则由抽签产生，若报价单位不满3家则重新采购。

2、承诺函和报价文件逾期送达无效。

3、询价结果经公司领导审批并告知参与报价单位，均无异议后向成交单位发出成交通知。

4、成交单位在收到成交通知后，应立即组织人员与我司签订采购合同，并同步开展相关工作。

七、联系方式

福建省福州市台江区群众东路97号华榕大厦412室，联系人:陈先生，联系电话：0591-83839517。

 

福州华榕停车场管理有限公司

2026年1月23日

 

福州城市大脑·智慧停车系统项目 商用密码应用改造及测评服务报价表
客户名称：福州华榕停车场管理有限公司
报价单位：                                         日期：    年   月  日
序号	项目名称	单位	数量	单价	总价
1
2
3
合计（提供增值税专用发票）

 

 

供应商（全称并加盖公章）：

法定代表人或授权委托人（签字或盖章）：

供应商代表签字：

联系电话：

日期：