身份認(rèn)證在河南水利電子政務(wù)系統(tǒng)中的應(yīng)用

□張貴芳（河南省水利信息中心）

1.引言

河南省水利信息化經(jīng)過(guò)多年的建設(shè)與發(fā)展，逐步建成了內(nèi)部辦公、電子郵件、防汛信息查詢(xún)和工程管理等多套應(yīng)用系統(tǒng)，這些應(yīng)用系統(tǒng)在行政辦公和防汛抗旱等方面，發(fā)揮了不可替代的積極作用。隨著應(yīng)用的普及與深入，應(yīng)用系統(tǒng)牽涉的敏感數(shù)據(jù)越來(lái)越多，身份認(rèn)證作為一種保護(hù)系統(tǒng)數(shù)據(jù)的有效手段，其作用越來(lái)越重要，近期建設(shè)的河南水利電子政務(wù)系統(tǒng)，靈活運(yùn)用了多種身份認(rèn)證技術(shù)，有效提高了系統(tǒng)安全性，保護(hù)了系統(tǒng)數(shù)據(jù)的安全。

河南省水利廳電子政務(wù)系統(tǒng)包括綜合辦公平臺(tái)和內(nèi)網(wǎng)門(mén)戶(hù)、電子公文流轉(zhuǎn)、電子公文交換、電子文檔傳輸和共享、移動(dòng)辦公和即時(shí)通訊等多套子系統(tǒng)，對(duì)系統(tǒng)用戶(hù)實(shí)現(xiàn)了統(tǒng)一管理和單點(diǎn)登錄，根據(jù)所要保護(hù)的數(shù)據(jù)的敏感程度，靈活采用了用戶(hù)名/口令和基于USBKEY的數(shù)字證書(shū)身份認(rèn)證技術(shù)，既保證了系統(tǒng)數(shù)據(jù)的安全，又節(jié)省了投資。

河南省水利電子政務(wù)系統(tǒng)數(shù)據(jù)包含公開(kāi)數(shù)據(jù)和非公開(kāi)數(shù)據(jù)。對(duì)于公開(kāi)數(shù)據(jù)我們需要做的是這些數(shù)據(jù)不被攻擊，那我們可以在硬件上設(shè)置障礙，比如入侵檢測(cè)、安全網(wǎng)關(guān)、VPN、防火墻等，這些措施都好比是桶壁，來(lái)保證數(shù)據(jù)不被攻擊。非公開(kāi)信息，我們需要做的不僅僅防止這些數(shù)據(jù)被攻擊，而更重要的是防止這些數(shù)據(jù)不被盜取。盜取這些信息，需要找到入口進(jìn)入。如何防止不被別人找到入口進(jìn)入，就需要進(jìn)行身份驗(yàn)證。也就是說(shuō)，身份認(rèn)證好比是進(jìn)入桶底的唯一路徑，只有它才能確認(rèn)訪問(wèn)者的合法性。安全有效的身份認(rèn)證是保護(hù)系統(tǒng)安全的重要手段，身份認(rèn)證是應(yīng)用系統(tǒng)審查確認(rèn)用戶(hù)身份的過(guò)程，進(jìn)而決定該用戶(hù)是否擁有使用和訪問(wèn)系統(tǒng)某種資源的權(quán)限。

2.身份認(rèn)證

身份認(rèn)證就是為了解決訪問(wèn)者的物理身份和數(shù)字身份進(jìn)行匹配的問(wèn)題，防止系統(tǒng)用戶(hù)身份假冒，系統(tǒng)根據(jù)用戶(hù)的身份，確定用戶(hù)的操作權(quán)限，從而保護(hù)系統(tǒng)數(shù)據(jù)安全。常用的身份認(rèn)證有五種：一是用戶(hù)名加密碼；二是IC卡智能認(rèn)證；三是動(dòng)態(tài)口令；四是生物特征；五是USBKEY認(rèn)證。

用戶(hù)名/口令認(rèn)證中的密碼屬于靜態(tài)的，并且在驗(yàn)證過(guò)程中需要在計(jì)算機(jī)內(nèi)存中和網(wǎng)絡(luò)中傳輸，每次驗(yàn)證過(guò)程使用的驗(yàn)證信息都是相同的，很容易駐留在計(jì)算機(jī)內(nèi)存中的木馬程序或網(wǎng)絡(luò)中的監(jiān)聽(tīng)設(shè)備截獲被破解，這種身份認(rèn)證方式只是通過(guò)符合一個(gè)條件來(lái)證明一個(gè)人的身份屬于單因子認(rèn)證，所以很不安全，但是這種認(rèn)證方式十分簡(jiǎn)便，被廣為使用，目前大部分互聯(lián)網(wǎng)上的論壇、郵箱都是使用這種身份認(rèn)證。

IC卡認(rèn)證是通過(guò)在芯片中存有與用戶(hù)身份相關(guān)的數(shù)據(jù)，由合法用戶(hù)隨身攜帶，登錄時(shí)必須將IC卡插入專(zhuān)用的讀卡器讀取其中的信息，來(lái)驗(yàn)證用戶(hù)的身份。我們最常見(jiàn)的就是銀行卡，它通過(guò)ATM機(jī)取錢(qián)時(shí)，使用的就是這種身份認(rèn)證。IC卡硬件不可復(fù)制但是能夠保證用戶(hù)身份不會(huì)被仿冒，若IC卡丟失，需要補(bǔ)辦，方可使用。這種認(rèn)證方式雖然相對(duì)于用戶(hù)名密碼認(rèn)證來(lái)說(shuō)相對(duì)安全，但是手續(xù)相對(duì)麻煩，成本較高，且每次從IC卡中讀取的數(shù)據(jù)是靜態(tài)的，通過(guò)內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽(tīng)等技術(shù)還是很容易截取到用戶(hù)的身份驗(yàn)證信息。

動(dòng)態(tài)口令認(rèn)證是把用戶(hù)記憶的口令變成用戶(hù)所持有設(shè)備生成的且是按照一定規(guī)律不斷變化的口令，采用一次一密的方法，每個(gè)口令只能使用一次，有效地保證了用戶(hù)身份的真實(shí)可靠性。但這種方式用戶(hù)使用起來(lái)很不方便，每次登錄都要輸入沒(méi)有規(guī)律的一串密碼，而且，如果服務(wù)器與客戶(hù)端時(shí)鐘不能保持同步，就容易造成合法用戶(hù)無(wú)法正常登錄，影響系統(tǒng)的正常使用。

生物特征認(rèn)證是指通過(guò)自動(dòng)化技術(shù)利用人體的生理特征或者行為特征進(jìn)行身份識(shí)別。比如指紋、虹膜、手掌、視網(wǎng)膜、臉、聲音、筆跡等等這些識(shí)別方式。這種認(rèn)證方式不易遺忘或丟失；不易偽造或被盜；“隨身”攜帶，可以隨機(jī)使用，但卻因?yàn)檫@種認(rèn)證需要的成本較高，終端設(shè)備也不容易攜帶，使用起來(lái)也不方便，目前只是在某些特殊領(lǐng)域使用。

USBKEY是一種硬件設(shè)備，可以插入U(xiǎn)SB接口，利用內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶(hù)身份的認(rèn)證，由于它具有安全的數(shù)據(jù)存儲(chǔ)空間，可以存儲(chǔ)用戶(hù)密鑰和數(shù)字證書(shū)等秘密數(shù)據(jù)，確保數(shù)據(jù)不被導(dǎo)出和復(fù)制，在其內(nèi)部，可以進(jìn)行各種運(yùn)算，保證用戶(hù)秘密數(shù)據(jù)的安全。每一個(gè)USBKEY都有PIN碼（USBKEY的密碼）進(jìn)行保護(hù)，PIN碼和硬件構(gòu)成了用戶(hù)使用USBKEY的兩個(gè)必要因素，實(shí)現(xiàn)了軟硬件相結(jié)合，一次一密的強(qiáng)雙因數(shù)認(rèn)證模式，能很好地解決安全性與易用性之間的矛盾。由于它是一種雙因子認(rèn)證的模式，且使用方便，近年來(lái)發(fā)展的極其迅速。

3.身份認(rèn)證在電子政務(wù)系統(tǒng)中的應(yīng)用

河南水利電子政務(wù)系統(tǒng)采用了兩種身份認(rèn)證方式：一個(gè)是用戶(hù)名加密碼的身份認(rèn)證；一個(gè)是采用USBKEY技術(shù)進(jìn)行用戶(hù)的身份認(rèn)證。

用戶(hù)名加密碼的身份認(rèn)證主要是用在綜合辦公系統(tǒng)方面，由于內(nèi)網(wǎng)門(mén)戶(hù)系統(tǒng)中的信息是在局域網(wǎng)中公開(kāi)的，屬于公開(kāi)信息，基本上不需要什么身份驗(yàn)證。綜合辦公系統(tǒng)、電子文檔傳輸和共享系統(tǒng)以及移動(dòng)辦公系統(tǒng)里面的信息涉及到個(gè)人辦公，以及單位各部門(mén)不想對(duì)外公開(kāi)的信息，我們就用用戶(hù)名加密碼的認(rèn)證方式確保這部分非公開(kāi)信息的安全性。

公文交換系統(tǒng)則比較復(fù)雜。電子公文交換系統(tǒng)的建設(shè)目的，就是按照統(tǒng)一的標(biāo)準(zhǔn)，在不同的政府部門(mén)之間進(jìn)行電子公文的傳輸，并保證公文在傳遞過(guò)程中電子公文的安全性、單位與單位之間電子公文如何交換，還有不同單位之間的電子公文識(shí)別。采用XML及相關(guān)標(biāo)準(zhǔn)作為電子公文交換的核心表現(xiàn)，融入中心認(rèn)證和數(shù)字簽名、傳輸加密等多種安全防范措施，構(gòu)建安全、可靠、標(biāo)準(zhǔn)、開(kāi)放的電子公文交換系統(tǒng)。

圖1 公文交換系統(tǒng)身份認(rèn)證流程圖

圖2 數(shù)字證書(shū)發(fā)放流程設(shè)計(jì)圖

公文交換系統(tǒng)的身份認(rèn)證是在公文交換服務(wù)器上配置服務(wù)器證書(shū)，建立用戶(hù)個(gè)人數(shù)字證書(shū)和用戶(hù)名之間的映射關(guān)系。認(rèn)證過(guò)程采用SSL加密通道傳輸數(shù)據(jù)，但不要求驗(yàn)證客戶(hù)端證書(shū)。河南省水利電子公文交換系統(tǒng)中的身份認(rèn)證按照以下方案進(jìn)行設(shè)計(jì)。該方案在用戶(hù)在瀏覽器上輸入網(wǎng)址，首先訪問(wèn)系統(tǒng)的默認(rèn)頁(yè)面，該頁(yè)面調(diào)用天威誠(chéng)信PTA，然后列出用戶(hù)在USBKEY中所有的數(shù)字證書(shū)，讓用戶(hù)選擇證書(shū)進(jìn)行登錄。PTA是個(gè)人信任代理，是一個(gè)可以應(yīng)用于客戶(hù)端和服務(wù)器端的軟件包，完成對(duì)windows平臺(tái)證書(shū)操作的ActiveX空間，包括證書(shū)處理接口、加密/解密處理接口和數(shù)字簽名處理接口。當(dāng)用戶(hù)點(diǎn)擊登錄按鈕后，PTA使用用戶(hù)選擇的證書(shū)對(duì)一段隨機(jī)數(shù)進(jìn)行簽名，并以表單的方式提交到服務(wù)端進(jìn)行處理。服務(wù)端對(duì)該簽名字串和隨機(jī)數(shù)進(jìn)行簽名驗(yàn)證，一旦驗(yàn)證通過(guò)，將獲得簽名證書(shū)的X509Certificate對(duì)象。然后再調(diào)用SVM（數(shù)字簽名及驗(yàn)證模塊）/CertUtils（一個(gè)類(lèi)，功能是獲取證書(shū)）/CVM（證書(shū)驗(yàn)證模塊）對(duì)證書(shū)進(jìn)行有效性驗(yàn)證，最后調(diào)用CPM（證書(shū)解析模塊）解析證書(shū)，實(shí)現(xiàn)證書(shū)登陸的功能。公文交換系統(tǒng)身份認(rèn)證流程如圖1所示。

在上述身份認(rèn)證方案中，CA子系統(tǒng)對(duì)用戶(hù)數(shù)字證書(shū)、服務(wù)器證書(shū)進(jìn)行統(tǒng)一簽發(fā)、制作和發(fā)放。CA認(rèn)證中心，又叫CA中心，負(fù)責(zé)產(chǎn)生、分配并管理數(shù)字證書(shū)的可信賴(lài)的第3方權(quán)威機(jī)構(gòu)。個(gè)人數(shù)字證書(shū)符合X.509V3規(guī)范，將用戶(hù)的證書(shū)和私鑰存儲(chǔ)在USB KEY中，并為客戶(hù)端提供相應(yīng)的驅(qū)動(dòng)程序?qū)崿F(xiàn)客戶(hù)端安全應(yīng)用。USBKEY通過(guò)口令進(jìn)行保護(hù)，用戶(hù)的數(shù)字證書(shū)、私鑰數(shù)據(jù)和USB KEY硬件進(jìn)行綁定，數(shù)據(jù)一旦與此USBKEY分離，就不能通過(guò)CA服務(wù)器的驗(yàn)證，從而增強(qiáng)了證書(shū)及私鑰的安全性。

用戶(hù)數(shù)字證書(shū)和私鑰的發(fā)放和安全管理是進(jìn)行身份認(rèn)證、保證用戶(hù)身份真實(shí)可靠的關(guān)鍵，該電子公文交換系統(tǒng)對(duì)數(shù)字證書(shū)發(fā)放流程設(shè)計(jì)圖如圖2所示。

4.結(jié)語(yǔ)

隨著信息化建設(shè)的不斷推進(jìn)，河南省水利系統(tǒng)的應(yīng)用系統(tǒng)越來(lái)越多，信息數(shù)據(jù)日益龐大，每個(gè)應(yīng)用系統(tǒng)都分別建設(shè)各自的身份認(rèn)證系統(tǒng)，由于這些系統(tǒng)互相獨(dú)立，用戶(hù)在使用每個(gè)應(yīng)用系統(tǒng)之前都必須按照相應(yīng)的系統(tǒng)身份進(jìn)行登錄，這給用戶(hù)帶來(lái)了不少麻煩。不利于系統(tǒng)的推廣應(yīng)用，也不能適應(yīng)發(fā)展的需要。對(duì)信息資源整合，建立統(tǒng)一的用戶(hù)管理系統(tǒng)，靈活采用多種身份認(rèn)證技術(shù)，結(jié)合PMI對(duì)各應(yīng)用系統(tǒng)用戶(hù)權(quán)限進(jìn)行統(tǒng)一管理，實(shí)現(xiàn)各個(gè)應(yīng)用系統(tǒng)之間系統(tǒng)用戶(hù)的單點(diǎn)登陸，用戶(hù)只需在登錄時(shí)進(jìn)行一次身份認(rèn)證，就可以實(shí)現(xiàn)對(duì)多套相互信任的應(yīng)用系統(tǒng)的自由訪問(wèn)，而不需要進(jìn)行重復(fù)的身份認(rèn)證，不但節(jié)省了系統(tǒng)投資，加快系統(tǒng)開(kāi)發(fā)速度，而且降低了用戶(hù)使用各應(yīng)用系統(tǒng)的難度，有利于各應(yīng)用系統(tǒng)的推廣應(yīng)用，代表了今后身份認(rèn)證技術(shù)應(yīng)用的發(fā)展趨勢(shì)。