QXJ プロジェクトドキュメントHarmonyOS NEXT セキュアブラウザ — 国密認証ソリューション

プロジェクト紹介 ​

QXJ プロジェクトは、風雲四号 02 次期気象衛星工程 C 星地上システム MCS 情報セキュア伝送制御ソフトウェア（プロジェクト番号：IIE-MCS-ISTCS）の付帯技術ドキュメントおよび工程コレクションであり、中国科学院信息工程研究所第二研究室が開発し、国家衛星気象センターの気象データセキュア伝送業務にサービスを提供します。システムは 3 つのコアセキュリティシナリオを中心に設計されています：

1. モバイルデバイスによる観測要求情報伝送：観測担当者が HarmonyOS NEXT タブレットのセキュアブラウザを使用してインターネット経由で気象センター MCS システムにアクセスし、信頼できないネットワーク環境下でデバイスとサーバー間の双方向認証および業務データの全程暗号化を実現します。
2. 主サイトと災害復旧サイト間のセキュア伝送：北京主サイトとウランチャブ災害復旧サイト間のミッションスケジュール、調度指令、公共設定パラメータなどの重要データは、伝送暗号化サブシステムにより機密性、完全性、真正性が保護されます。
3. データの外部流出トレーサビリティ：外部送出される L0 級気象データには改ざん検出能力を、画像データには高頑健デジタル透かしによる著作権保護を提供し、データ流出後の責任特定と追跡取证を支援します。

システムのコアコンポーネント：

• HarmonyOS NEXT セキュアブラウザ：ArkTS / ArkUI で開発されたネイティブエンタープライズ級セキュアブラウザ。国密暗号 SDK を内蔵し、SM2 デバイス級鍵合意、SM4-GCM 暗号化通信、マルチタブブラウジング、サーバー集中管理、Web サイトアクセス制御をサポート
• MCS 国密認証プラットフォーム：Django + DRF ベースのバックエンドサービス。デバイス登録と鍵管理、4 ステップ SM2 認証鍵合意、SMS 認証コード + パスワードの多要素ログイン、NSP-SM 署名トークン発行、ユーザー/ロール/デバイス管理、時間ルールと区域範囲に基づく細粒度アクセス制御ポリシーを提供
• セキュリティインターフェースライブラリ：画像データ著作権保護インターフェースライブラリ（BCH + DCT 高頑健透かし）と L0 データトレーサビリティ・改ざん検出インターフェースライブラリ。気象データ業務システムや画像ストレージサービスへの統合を提供
• マルチプラットフォーム SDK：ArkTS、Python、JavaScript の多言語 SDK。トークン検証、国密暗号化・復号、JSBridge セキュアログインなどの機能をすぐに使えるコンポーネントとしてパッケージ化し、業務システムの低コスト導入を支援

システム全体は中国商用暗号アルゴリズム（SM2/SM3/SM4）を基盤とし、重要資産ストレージなどのハードウェアサポートと組み合わせて、端末デバイス、ネットワーク伝送、業務サービスにまたがるエンドツーエンドのセキュリティ保護体系を構築しています。

コア機能 ​

機能指標と性能指標（SM2 署名・検証 / SM3 / SM4 スループット、暗号カード進捗など）の項目別完了状況については、指標完了状況 を参照してください。

クイックスタート ​

QXJ ワークスペース全体は Google の repo で統一管理されています（合計 10 以上のリポジトリ）。初回使用時は初期化してから同期してください。

repo は Google が Git ベースで開発したマルチリポジトリ管理ツールです：1 つの manifest（XML ファイル）で複数の Git リポジトリのアドレス、ブランチ、ローカルパスを宣言し、repo init + repo sync の 2 コマンドだけで数十のリポジトリを統一構造で一括取得できます。その後も repo forall ですべてのリポジトリで Git コマンドを一括実行できます。不慣れな方はまず repo 公式ドキュメント をご覧ください。

マシンに repo がインストールされていない場合：

# Debian / Ubuntu（WSL も同様）
sudo apt update && sudo apt install -y repo

# または公式スクリプトで手動インストール
mkdir -p ~/.local/bin
curl https://storage.googleapis.com/git-repo-downloads/repo > ~/.local/bin/repo
chmod a+rx ~/.local/bin/repo
# ~/.local/bin が PATH に含まれていることを確認

# 初回初期化（manifest を取得、イントラネットホストの repo ツールを使用）
repo init \
  --repo-url=http://192.168.168.51:3000/qxj-project/git-repo.git \
  --repo-rev=v2.67 \
  -u http://192.168.168.51:3000/qxj-project/manifest.git

# 代替：南京大学ミラーの repo ツールを使用
repo init \
  --repo-url=https://mirror.nju.edu.cn/git/git-repo \
  -u http://192.168.168.51:3000/qxj-project/manifest.git

# ローカルの repo ツールをイントラネット版に更新
sudo cp /home/nsp/Desktop/qxj-project/.repo/repo/repo /usr/bin/repo
repo --version

# all グループを同期（全リポジトリと同等）
repo sync -c -j8
repo sync -c -g all -j8

# デリバリープロジェクトのみ取得
repo sync -c -g delivery -j8

# 複数グループを同期
repo sync -c -g all,frontend -j8

# 特定グループを除外
repo sync -c -g all,-backend -j8

# 特定プロジェクトのみ同期
repo sync -c qxj-backend-admin -j8

# 複数の指定プロジェクトを同期
repo sync -c qxj-backend-admin qxj-frontend-admin qxj-backend-sdk -j8

# プロジェクト状態を表示
repo status

# 全プロジェクトのブランチを表示
repo branches

# 全プロジェクトで git コマンドを実行
repo forall -c "git status"

# 全プロジェクトで最新コードを取得
repo forall -c "git pull"

# 完全な更新フロー
repo sync -c -j8 && repo forall -c "git pull"

# ソース変更後に再同期
repo sync -c --force-sync -j8

# ヘルプを表示
repo help sync

# repo ツール自体をイントラネット Gitea にミラー（管理者のみ、1 回限り）
git remote add gitea http://192.168.168.51:3000/qxj-project/git-repo.git
git remote -v
# gitea   http://192.168.168.51:3000/qxj-project/git-repo.git (fetch/push)
# origin  https://gerrit.googlesource.com/git-repo (fetch/push)
git push --mirror gitea

# 現在の manifest 内容を表示
cat .repo/manifests/default.xml

# manifest 変更後に再同期
cd .repo/manifests && git pull && cd ../..
repo sync -c -j8

よく使う repo sync パラメータ：

manifest は独立した manifest リポジトリで一元管理されており、今後ロール別に複数ファイルに分割され、異なるロールのメンバーが異なるグループを取得する予定です。最新の完全な内容はリポジトリ内のファイルを正とし、本ドキュメントでは具体的なプロジェクトリストを掲載しません（実際との乖離を避けるため）：

# 現在有効な manifest を表示
cat .repo/manifests/default.xml

リポジトリアドレス：manifest

manifest の基本構造は以下の通りです（あくまで示意であり、実際のプロジェクトリストは継続的に調整されます）：

<?xml version="1.0" encoding="UTF-8"?>
<manifest>
  <!-- リモートリポジトリのルートアドレス -->
  <remote name="origin" fetch="http://192.168.168.51:3000/" />
  <!-- デフォルトリモートとデフォルトブランチ -->
  <default remote="origin" revision="main" />
  <!-- 各 project が 1 リポジトリに対応：name はリポジトリパス、path はローカルディレクトリ、groups でグループ別取得を制御 -->
  <project name="qxj-project/<リポジトリ名>.git" path="<ローカルディレクトリ>" groups="all,delivery" />
</manifest>

より完全な開発環境構築の説明は クイックスタートガイド を参照してください。

プロジェクトアーキテクチャ ​

システムは階層型アーキテクチャを採用し、上からクライアント層、サーバー層、SDK 層に分かれ、各層の責務が明確で標準化されたインターフェースを通じて連携します：

• クライアント層：HarmonyOS セキュアブラウザは観測担当者の HarmonyOS タブレット上で動作し、モバイル観測業務のメインエントリとして暗号 SDK を内蔵。Web 管理端末は管理者がユーザー、ロール、デバイス、アクセス制御ポリシーを集中管理。Mock デモフロントエンドは方案教育と連携検証に使用。
• サーバー層：Django 認証バックエンドはデバイス登録、SM2 鍵合意、トークン発行、アクセス制御ポリシー実行を担当。業務バックエンドは観測要求などの業務ロジックを担い、バックエンド SDK によるローカル検証でリクエストの正当性を確認。Redis はセッション、SMS 認証コード、トークンブラックリストなどのキャッシュサービスを提供。
• SDK 層：ArkTS SDK は HarmonyOS 端に国密アルゴリズムとハンドシェイク機能を提供。フロントエンド SDK は JSBridge を通じて WebView とネイティブセキュア領域を橋渡し。バックエンド SDK は Python 業務サービスにトークン検証と暗号化・復号インターフェースを提供。

より詳細なアーキテクチャ説明は 全体アーキテクチャ を参照してください。

技術ハイライト ​

🔐 4 ステップ鍵合意 ​

システムはカスタムバイナリプロトコルフレーム（64B v2 フレーム構造、主コマンドコード + サブコマンドコード 0x01~0x04）を採用し、モバイルデバイスと MCS サーバー間で SM2 ベースの 4 ステップ認証鍵合意を完了します：クライアントとサーバーはそれぞれ SM2 一時鍵ペアを生成し、INIT / RESP / ACK フレームで公開鍵と乱数を交換し、双方が独立して同一のセッションキーを導出し、最後に TOKEN フレームで NSP-SM 署名トークンを返します。各合意で新しい一時鍵ペアを使用するため、長期鍵が漏洩しても過去のセッションは安全であり、前方秘匿性を備えています。合意されたセッションキーはその後 SM4-GCM 業務暗号化・復号に使用されます。

詳細は SM2 鍵合意 を、プロトコルフレーム形式と処理フローは 技術総括 · 処理フローとプロトコル を参照してください。

🛡️ 多次元アクセス制御 ​

システムは CoAC（条件ベースアクセス制御）モデルに基づく権限体系を構築しており、RBAC ロール認可に加えて、ユーザー接続時に時間ルール、区域範囲（ジオフェンシング）、デバイスバインディングの 3 つの条件チェックを順次実行します：許可された時間帯、指定された地理区域内、登録・有効化済みのデバイスの 3 つすべてを満たした場合のみ MCS 業務へのアクセスが許可され、いずれか 1 つでも満たさない場合は拒否され監査ログに記録されます。ポリシーは管理者がアクセス制御ポリシーモジュールで一元制定・更新します。

詳細は アクセス制御 を、ポリシーデータ構造は 技術総括 · モジュール設計 を参照してください。

📊 認証・認可と監査 ​

業務バックエンドはすべてのリクエストに対して統一されたセキュリティパイプラインを実行します：リクエストはまず認証ミドルウェアを通過し、バックエンド SDK の verify_access_token を使用して NSP-SM トークンの SM2 署名検証と有効期限チェックをローカルで完了します（認証センターへのコールバック不要）。続いて権限チェックを行い、通過すれば業務処理に進み、失敗すれば 401 / 403 を返します。成否にかかわらず、ログイン、認証、暗号化・復号などの重要な操作はすべてセキュリティ監査ログに書き込まれ、完全な操作記録を形成します。

詳細は バックエンドアーキテクチャ を、エラーコードと対処方法は 技術総括 · エラー処理 を参照してください。

ドキュメントナビゲーションマップ ​

🚀 クイックスタート ​

🏗️ アーキテクチャ設計 ​

🔐 コア機能 ​

📡 API リファレンス ​

📦 リポジトリ概要 ​

📋 デリバリードキュメント ​

💻 開発その他 ​