基于區(qū)塊鏈的數(shù)字證書系統(tǒng)在電子政務(wù)外網(wǎng)中的應(yīng)用探究

王新文

(四川省大數(shù)據(jù)中心 成都 610041)

(2486115361@qq.com)

隨著信息技術(shù)的飛速發(fā)展，信息化辦公在各行業(yè)的普及程度進(jìn)一步提高，政府機(jī)關(guān)及企事業(yè)單位的電子政務(wù)水平也在飛速發(fā)展.政府部門的應(yīng)用系統(tǒng)目前主要由互聯(lián)網(wǎng)、電子政務(wù)內(nèi)網(wǎng)、電子政務(wù)外網(wǎng)和行業(yè)專網(wǎng)4種網(wǎng)絡(luò)承載，其中電子政務(wù)外網(wǎng)在政府部門電子政務(wù)中發(fā)揮著越來越重要的作用，由于電子政務(wù)外網(wǎng)系統(tǒng)中有許多敏感但不涉密的數(shù)據(jù)和文件，因此非授權(quán)訪問等系統(tǒng)安全問題尤為突出，這就對電子政務(wù)外網(wǎng)系統(tǒng)的安全保障特別是身份認(rèn)證提出了更高的要求[1].國家信息化領(lǐng)導(dǎo)小組提出要建設(shè)以電子認(rèn)證為主的身份認(rèn)證體系，完善網(wǎng)絡(luò)信任體系建設(shè).

1 電子政務(wù)外網(wǎng)概述

電子政務(wù)外網(wǎng)是服務(wù)于各政務(wù)部門的重要公共基礎(chǔ)設(shè)施，實現(xiàn)了橫向30多個部委、縱向32個省市地區(qū)和2 251個區(qū)縣的互聯(lián)，是目前我國覆蓋面最廣、連接政府部門最多的政務(wù)網(wǎng)絡(luò)平臺，為跨地區(qū)、跨部門的資源整合、數(shù)據(jù)共享和業(yè)務(wù)協(xié)同奠定了基礎(chǔ)[2].電子政務(wù)外網(wǎng)作為業(yè)務(wù)承載模型，承載了如網(wǎng)上辦公、公文交換、視頻會議、郵件服務(wù)、移動辦公等業(yè)務(wù)，既提升了行政辦事的效率，又節(jié)約了政府開支，促進(jìn)服務(wù)型政府的建設(shè).

電子政務(wù)外網(wǎng)全面推行安全等級保護(hù)建設(shè)，與互聯(lián)網(wǎng)之間建設(shè)了安全監(jiān)測和防護(hù)系統(tǒng)，實現(xiàn)了有效的邏輯隔離，加強(qiáng)電子認(rèn)證體系建設(shè)，整合的業(yè)務(wù)系統(tǒng)達(dá)到200多項，對政務(wù)外網(wǎng)的業(yè)務(wù)應(yīng)用安全起到了重要作用.按照目前逐步減少專網(wǎng)建設(shè)，大力發(fā)展電子政務(wù)內(nèi)外網(wǎng)的發(fā)展趨勢，電子政務(wù)外網(wǎng)在政府網(wǎng)絡(luò)體系中的重要性越來越突出，其安全性備受關(guān)注.

電子政務(wù)外網(wǎng)的安全管理措施主要從系統(tǒng)管理、信任體系管理和人員管理3個方面實施.系統(tǒng)方面實行定期安全檢查、風(fēng)險評估、全天24 h的安全監(jiān)控等措施.信任體系方面實行身份認(rèn)證和授權(quán)管理，通過互聯(lián)網(wǎng)接入電子政務(wù)外網(wǎng)的用戶必須使用數(shù)字證書方式認(rèn)證；直接接入電子政務(wù)外網(wǎng)的用戶，應(yīng)當(dāng)使用數(shù)字證書方式認(rèn)證.人員管理方面實行定期培訓(xùn)、年度審查、權(quán)責(zé)清晰等制度進(jìn)行保障.

2 常見的身份認(rèn)證方式分析

身份認(rèn)證是通過驗證操作者的身份，確定操作者訪問和使用系統(tǒng)的權(quán)限，防止非授權(quán)訪問，保證系統(tǒng)和數(shù)據(jù)安全的過程.在網(wǎng)絡(luò)信息安全防護(hù)中，身份認(rèn)證是非授權(quán)訪問的第1道障礙，具有非常重要的作用.電子政務(wù)系統(tǒng)目前常用的身份認(rèn)證方式主要有用戶名密碼、動態(tài)口令、生物識別、數(shù)字證書等，但是都存在一定的安全性或局限性等問題.

2) 動態(tài)口令認(rèn)證方式通過運(yùn)算因子的不斷變化，每次產(chǎn)生不同的動態(tài)口令，這種一次一密的方法安全性較高[3].但是如果服務(wù)器與客戶端的同步出現(xiàn)問題，用戶將長期無法登錄.且用戶每次輸錯動態(tài)口令都要重新獲取，操作不便.

3) 生物識別認(rèn)證方式主要是指通過識別指紋、虹膜、臉部等生物特征進(jìn)行身份認(rèn)證的一種方式.該技術(shù)具有很好的安全性，但是存在開發(fā)成本高且識別過程中容易出錯等問題.

4) 數(shù)字證書認(rèn)證方式是基于公開密鑰(public key infrastructure, PKI)，即利用1對密鑰實施加密和解密來實現(xiàn)信息傳輸?shù)耐暾院桶踩?相比前面幾種身份認(rèn)證方式，數(shù)字證書認(rèn)證方式安全便捷，是目前電子政務(wù)外網(wǎng)系統(tǒng)身份認(rèn)證的主要方式，但是這種方式也存在批量任務(wù)效率低、單點失效等問題.

5) 區(qū)塊鏈技術(shù)是運(yùn)用塊鏈?zhǔn)綌?shù)據(jù)結(jié)構(gòu)存儲數(shù)據(jù)、運(yùn)用共識機(jī)制更新數(shù)據(jù)、運(yùn)用智能合約操作數(shù)據(jù)的一種分布式系統(tǒng)架構(gòu)，區(qū)塊鏈具有去中心化和不可篡改等特點.分布式存儲就是利用多個獨(dú)立節(jié)點記錄操作信息并監(jiān)督操作的合法性，同時利用共識機(jī)制來保證數(shù)據(jù)存儲的完整性和一致性，有效避免傳統(tǒng)存儲方式造成的數(shù)據(jù)被篡改和丟失等情況；共識機(jī)制就是所有節(jié)點對數(shù)據(jù)處理的一致性和完整性等方面之間達(dá)成共識的一種手段，是區(qū)塊鏈技術(shù)的核心.基于區(qū)塊鏈的數(shù)字證書認(rèn)證系統(tǒng)，能夠有效利用目前的傳統(tǒng)數(shù)字證書認(rèn)證體系，同時使用區(qū)塊鏈的分布式存儲和共識機(jī)制等技術(shù)[4]，使電子政務(wù)外網(wǎng)身份認(rèn)證方面的安全性、可靠性和高效性方面得到很大提升.

3 傳統(tǒng)數(shù)字證書系統(tǒng)

傳統(tǒng)數(shù)字證書體系中數(shù)字證書是由CA(certification authority)電子認(rèn)證服務(wù)機(jī)構(gòu)簽發(fā)的包含密鑰和身份信息的電子文檔，是用戶在一定有效期內(nèi)在系統(tǒng)上的身份證明[5].數(shù)字證書身份認(rèn)證的工作原理是信息發(fā)送方利用信息接收方的公鑰進(jìn)行加密并傳輸，信息接收方利用自己的私鑰對信息進(jìn)行解密，目前電子政務(wù)外網(wǎng)數(shù)字證書密鑰采用國密算法即橢圓曲線加密算法進(jìn)行加密，安全性較高.

3.1 傳統(tǒng)數(shù)字證書體系結(jié)構(gòu)

傳統(tǒng)數(shù)字證書系統(tǒng)體系結(jié)構(gòu)基本可以分為CA和RA(register authority)證書注冊審批機(jī)構(gòu)，CA與RA的體系結(jié)構(gòu)如圖1所示.CA是數(shù)字證書認(rèn)證體系結(jié)構(gòu)的核心，是簽發(fā)、驗證和管理數(shù)字證書的機(jī)構(gòu)[5].RA是分散在各地直接面向用戶辦理具體數(shù)字證書業(yè)務(wù)的機(jī)構(gòu)，RA接收和審核用戶申請,審核通過后將申請發(fā)送給CA中心，下載和發(fā)放證書.

圖1 傳統(tǒng)數(shù)字證書體系結(jié)構(gòu)

3.2 傳統(tǒng)數(shù)字證書系統(tǒng)的流程

數(shù)字證書系統(tǒng)在某個特定的范圍內(nèi)為有限的群體發(fā)放數(shù)字證書，數(shù)字證書系統(tǒng)的流程主要包括證書的申請、更新、發(fā)放和撤銷等[6].

1) 證書的申請和更新

用戶按照數(shù)字證書管理機(jī)構(gòu)的要求提供相關(guān)的資料到RA中心，RA中心操作員錄入用戶信息，管理員審核通過后由系統(tǒng)提交到CA中心服務(wù)器.CA中心服務(wù)器產(chǎn)生密鑰對并生成證書后返回給RA中心，再由RA中心將證書發(fā)給用戶.

2) 證書的發(fā)放

RA中心將CA中心所簽發(fā)的證書發(fā)布到LDAP(lightweight directory access protocol)輕量級目錄訪問協(xié)議目錄服務(wù)器上，LDAP目錄服務(wù)器為用戶提供目錄瀏覽，方便用戶進(jìn)行查詢和下載.RA中心提供面對面以及網(wǎng)絡(luò)在線發(fā)放證書2種方式.用戶按照國家密碼局等安全部門的相關(guān)要求，利用IC卡、USB卡等方式存儲證書.

3) 證書的撤銷

由于數(shù)字證書信息泄露、口令丟失、有效期到期以及用戶信息需要變更等原因，造成數(shù)字證書需要被撤銷的情況出現(xiàn)[7].RA中心接收用戶提交的證書撤銷申請并進(jìn)行審核，審核通過后提交給CA服務(wù)器，CA中心同意請求并更新CRL(certificate revocation list)證書吊銷列表反饋給RA中心公布.

4 基于區(qū)塊鏈的數(shù)字證書系統(tǒng)

基于區(qū)塊鏈的數(shù)字證書系統(tǒng)是在傳統(tǒng)數(shù)字證書體系的基礎(chǔ)上去掉CA中心，同時在電子政務(wù)外網(wǎng)上構(gòu)建區(qū)塊鏈PKI體系，由各地的RA機(jī)構(gòu)接收用戶申請，驗證證書的合法性，產(chǎn)生、發(fā)布和存儲新的區(qū)塊.

4.1 基于區(qū)塊鏈的數(shù)字證書體系結(jié)構(gòu)

基于區(qū)塊鏈的數(shù)字證書系統(tǒng)體系結(jié)構(gòu)主要由RA和區(qū)塊鏈PKI系統(tǒng)組成，如圖2所示.RA接收和審核用戶申請,審核通過后生成、發(fā)布和存儲新區(qū)塊.區(qū)塊鏈PKI系統(tǒng)將共識機(jī)制、分布式存儲等區(qū)塊鏈技術(shù)與傳統(tǒng)數(shù)字證書服務(wù)結(jié)合，具有高安全性、去中心化、不可篡改等特點[8].

圖2 基于區(qū)塊鏈的數(shù)字證書體系結(jié)構(gòu)

4.2 基于區(qū)塊鏈數(shù)字證書系統(tǒng)的應(yīng)用

基于區(qū)塊鏈的數(shù)字證書系統(tǒng)的應(yīng)用從系統(tǒng)流程和管理措施方面進(jìn)行探究.

4.2.1 基于區(qū)塊鏈數(shù)字證書系統(tǒng)的流程

基于區(qū)塊鏈的數(shù)字證書系統(tǒng)的流程與傳統(tǒng)數(shù)字證書系統(tǒng)的流程基本一致，也包括證書的申請、更新、發(fā)放和撤銷等流程，但在證書的發(fā)布、管理和使用等方面有所不同.

1) 證書的發(fā)布

區(qū)別于傳統(tǒng)數(shù)字證書由唯一的權(quán)威CA簽發(fā)的機(jī)制，區(qū)塊鏈數(shù)字證書系統(tǒng)由區(qū)塊鏈中的RA節(jié)點進(jìn)行簽發(fā)，RA接收用戶申請，對申請信息進(jìn)行驗證，利用區(qū)塊鏈共識機(jī)制生成新區(qū)塊，同時發(fā)布到區(qū)塊鏈中，其他RA節(jié)點驗證該區(qū)塊的合法性，并保存到本地區(qū)塊鏈中.這種方式下用戶可以在不同地方不同的網(wǎng)絡(luò)環(huán)境下運(yùn)用VPN接入電子政務(wù)外網(wǎng)發(fā)起申請，區(qū)塊鏈的分布式存儲和計算技術(shù)還能夠批量生成和配置證書，提高工作效率.上述區(qū)塊鏈?zhǔn)怯啥鄠€區(qū)塊根據(jù)產(chǎn)生時間依次鏈接而成，每個區(qū)塊包括產(chǎn)生時間、當(dāng)前區(qū)塊的哈希值、前一區(qū)塊的哈希值以及1條或多條數(shù)字證書管理記錄.

2) 證書的管理

傳統(tǒng)數(shù)字證書系統(tǒng)出于安全性考慮，一般由唯一的CA進(jìn)行數(shù)字證書的管理，一旦CA發(fā)生故障，整個數(shù)字證書系統(tǒng)包括各地的RA將陷入癱瘓.而區(qū)塊鏈數(shù)字證書系統(tǒng)應(yīng)用區(qū)塊鏈分布式管理機(jī)制，由區(qū)塊鏈中多個RA節(jié)點進(jìn)行管理和維護(hù)，RA節(jié)點記錄數(shù)字證書的操作和請求，由區(qū)塊鏈PKI系統(tǒng)中超過半數(shù)的RA節(jié)點應(yīng)用共識機(jī)制進(jìn)行審核，審核通過系統(tǒng)才能進(jìn)行操作和響應(yīng)[9].這種去中心化的審核和管理機(jī)制，有效解決了傳統(tǒng)PKI的單點失效問題.

3) 證書的使用

傳統(tǒng)數(shù)字證書系統(tǒng)由唯一的權(quán)威CA進(jìn)行證書的驗證和管理，區(qū)塊鏈數(shù)字證書系統(tǒng)中應(yīng)用的安全管理系統(tǒng)接收到用戶使用申請，會向區(qū)塊鏈網(wǎng)絡(luò)發(fā)起證書驗證，區(qū)塊鏈數(shù)字證書系統(tǒng)對證書狀態(tài)、有效期和證書內(nèi)存儲的信息等進(jìn)行驗證，驗證通過后用戶才能進(jìn)行進(jìn)一步操作[10].對于直接接入電子政務(wù)外網(wǎng)的應(yīng)用，可以許可存儲當(dāng)前區(qū)塊鏈信息，以提高性能.

4.2.2 管理措施

在管理措施方面，基于區(qū)塊鏈的數(shù)字證書系統(tǒng)與傳統(tǒng)數(shù)字證書系統(tǒng)一樣，也需要建立包括對數(shù)字證書的相關(guān)資料、存儲載體以及密碼和證書信息等方面的管理措施并不斷完善.

1) 數(shù)字證書的申請、注銷等相關(guān)資料需要RA節(jié)點進(jìn)行嚴(yán)格審核和規(guī)范存檔，資料不合格同樣不能辦理數(shù)字證書相關(guān)業(yè)務(wù)，資料收集起來要存放到專用的專人管理的密碼柜.

2) RA節(jié)點數(shù)字證書系統(tǒng)的管理同樣要建立三權(quán)分立的管理原則，管理員、安全員和審計員之間要權(quán)責(zé)清晰，不能越權(quán)處理業(yè)務(wù).

3) RA節(jié)點在數(shù)字證書發(fā)放過程中同樣要核對和登記領(lǐng)取信息，用戶領(lǐng)取數(shù)字證書后要及時修改初始密碼，遇到丟失、損壞以及冒用等情況，要及時聯(lián)系RA節(jié)點工作人員處理.

5 結(jié) 語

互聯(lián)網(wǎng)技術(shù)的日新月異，電子政務(wù)外網(wǎng)的快速發(fā)展，使電子政務(wù)的安全防護(hù)更加至關(guān)重要.電子政務(wù)外網(wǎng)系統(tǒng)是一個集網(wǎng)絡(luò)和應(yīng)用于一體的復(fù)雜體系，系統(tǒng)的安全性首先就要從身份認(rèn)證方面進(jìn)行保障.當(dāng)前電子政務(wù)外網(wǎng)系統(tǒng)中常見的幾種身份認(rèn)證方式存在安全性低、成本高、操作復(fù)雜或效率低等各種問題，區(qū)塊鏈數(shù)字證書系統(tǒng)去中心化、分布式存儲的特點使電子政務(wù)外網(wǎng)的身份認(rèn)證過程更加安全和高效.

大數(shù)據(jù)時代的來臨給信息安全提出了更多更高的要求，信息安全問題往往需要從技術(shù)和管理2個方面雙管齊下，建立和完善數(shù)字證書在應(yīng)用和管理方面的標(biāo)準(zhǔn)規(guī)范，推動電子政務(wù)外網(wǎng)安全建設(shè)標(biāo)準(zhǔn)化、規(guī)范化發(fā)展，是今后電子政務(wù)信息化發(fā)展需要探究的方向.