电子政务网络信任体系
来源:蒋汝忠 更新时间:2007-06-06
    我国的电子政务信任体系建设已经取得的一定的成绩。网络信任体系的管理体制基本理顺;以PKI技术为核心的电子政务信任体系框架基本建立;电子政务网三重信任域内的电子政务信任体系已经初步建立,但电子政务信任体系的应用推广还有待加强。

  一、 引言

  (一)传统签名与电子签名

  在传统法律环境下,手写署名和印章的方式的签名已成为大多数社会活动的法定要件。

  由于科学技术的发展,信息网络应运而生,人们传递信息的意思表示发展出了电子形式,与之相适应,为了解决网络环境下交易当事人身份确认问题,于是人们从技术上发展出了多种手段,如计算机口令、数字签名、生物技术(指纹、掌纹、视网膜纹、脑电波、声波、DNA等)签名等。上述这些手段,我们统称为电子签名。

  电子签名有多种方式,数字签名是其中的一种,是指采用非对称密钥加密技术制成的电子签名。这种技术已经比较成熟,目前国内外电子签名中正在广泛使用。

  这里所说的电子政务网络信任体系就是指以非对称密钥加密技术为核心的,实现电子政务各种应用中用户身份识别、授权管理、责任认定、信息加密的一种信息基础设施。

  (二)网络信任体系在电子政务安全体系中的地位

  电子政务安全体系包括安全防护体系、网络信任体系、安全管理体系。

  网络安全防护体系有防火墙系统、网络入侵检测系统、抗拒绝服务系统,防病毒网关,VPN网关,安全认证网关等。

  安全管理平台对电子政务实施安全集中管理,主要提供对如下信息安全系统的集中管理和控制:网络安全防护系统、应用系统、网络管理系统、综合审计系统、策略管理系统、管理子系统、安全控制系统等。

  信任体系包括PKI体系和PMI体系。

  二、 密码算法基础知识

  许多人一提起“密码”,都会有一种“畏惧”的心理。确实,设计一套先进的密码算法是非常复杂的工作。有种说法,设计一种是实用的密码算法需要大约10年的时间。但简单的密码算法还是容易理解的。看过达芬奇密码的人一定对密码算法有了一定的了解。

  下面是密码算法的一个例子。

  “007收到遇害同事的字条,上面写着4FEFKKILJK81IP,根据事先约定,已知c=3,q=H,问该同事要传递什么信息给007?”,这里4FEFKKILJK81IP就是密文。解密后我们得到明文“do not trust hary”。这里其实应用的是移位加密算法。

  (一) 摘要算法

  “消息摘要”(Message Digest)是一种能产生特殊输出格式的算法,这种加密算法的特点是无论用户输入什么长度的原始数据,经过计算后输出的密文都是固定长度的,这种算法的原理是根据一定的运算规则对原数据进行某种形式的提取,这种提取就是“摘要”,被“摘要”的数据内容与原数据有密切联系,只要原数据稍有改变,输出的“摘要”便完全不同,因此基于这种原理的算法便能对数据完整性提供较为健全的保障。但是,由于输出的密文是提取原数据经过处理的定长值,所以它已经不能还原为原数据,即消息摘要算法是“不可逆”的,理论上无法通过反向运算取得原数据内容,因此它通常只能被用来做数据完整性验证,而不能作为原数据内容的加密方案使用,否则谁也无法还原。

  (二) 对称和非对称加密算法

  密码算法可以看作是一个复杂的函数变换,C = F (M, Key ),C代表密文,即加密后得到的字符序列,M代表明文即待加密的字符序列,Key表示密钥,是秘密选定的一个字符序列。

  密码学的一个原则是"一切秘密寓于密钥之中",算法可以公开。当加密完成后,可以将密文通过不安全渠道送给收信人,只有拥有解密密钥的收信人可以对密文进行解密即反变换得到明文,密钥的传递必须通过安全渠道。

  密码算法可分为对称密码算法(Symmetric Cryptographic Algorithms )和非对称密码算法( Public-Key Cryptographic Algorithms ),对称密码算法的特点是加密和解密必须是同一密钥,如DES和IDEA等;非对称密码算法将加密密钥与解密密钥区分开来,且由加密密钥事实上求不出解密密钥。这样一个实体只需公开其加密密钥(称公钥,解密密钥称私钥)即可,实体之间就可以进行秘密通信,而不象对称密码算法似的在通信之前先得秘密传递密钥。

  关于对称密码术和非对称密码术的讨论表明:前者具有加密速度快、运行时占用资源少等特点,后者可以用于密钥交换。一般来说,并不直接使用非对称加密算法加密明文,而仅用它保护实际加密明文的对称密钥,即所谓的数字信封(Digital Envelope)技术。举例说明,若A向B发送保密信息,具体步骤为:


  图1   信息加密和解密

  (三) 数字签名

  举例说明,若A向B发送消息,其创建数字签名的步骤为:

  图2 数字签名的过程

  l)利用摘要函数计算原消息的摘要。

  2)用自己的私钥加密摘要,并将摘要附在原消息的后面。

  B接收到消息,对数字签名进行验证的步骤为(如图所示):

  l)将消息中的原消息及其加密后的摘要分离出来。

  2)使用A的公钥将加密后的摘要解密。

  3)利用摘要函数重新计算原消息的摘要。

  4)将解密后的摘要和自己用相同散列算法生成的摘要进行比较,若两者相等,说明消息在传递过程中没有被篡改,否则,消息不可信。

  三、   PKI体系

  数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息和公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间,发证机关(证书授权中心)的名称,该证书的序列号等信息,证书的格式遵循ITUT X.509国际标准。

  一个典型的PKI系统如图所示,其中包括PKI策略、软硬件系统、证书机构CA、注册机构RA、证书发布系统和PKI应用等。

  1. PKI安全策略建立和定义了一个组织信息安全方面的指导方针,同时也定义了密码系统使用的处理方法和原则。它包括一个组织怎样处理密钥和有价值的信息,根据风险的级别定义安全控制的级别。

  2. 证书机构CA是PKI的信任基础,它管理公钥的整个生命周期,其作用包括:发放证书、规定证书的有效期和通过发布证书废除列表(CRL)确保必要时可以废除证书。后面将会在CA进行详细介绍。

  3. 注册机构RA提供用户和CA之间的一个接口,它获取并认证用户的身份,向CA提出证书请求。

  4. 证书发布系统负责证书的发放,如可以通过用户自己,或是通过目录服务。目录服务器可以是一个组织中现存的,也可以是PKI方案中提供的。

  5. PKI的应用非常广泛,包括在web服务器和浏览器之间的通讯、电子邮件、电子数据交换(EDI)、在Internet上的交易和虚拟私有网(VPN)等。
 

  图3  PKI体系

  四、 PMI体系

  授权管理基础设施PMI(PrivilegeManagement Infrastructure)是国家信息安全基础设施(National Information Security Infrastructure,NISI)的一个重要组成部分,目标是向用户和应用程序提供授权管理服务,提供用户身份到应用授权的映射功能,提供与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权和访问控制机制,简化具体应用系统的开发与维护。授权管理基础设施PMI是一个属性证书、属性权威、属性证书库等部件构成的综合系统,用来实现权限和证书的产生、管理、存储、分发和撤销等功能。PMI使用属性证书表示和容纳权限信息,通过管理证书的生命周期实现对权限生命周期的管理。属性证书的申请,签发,注销,验证流程对应着权限的申请,发放,撤消,使用和验证的过程。而且,使用属性证书进行权限管理方式使得权限的管理不必依赖某个具体的应用,而且利于权限的安全分布式应用。

  PMI以资源管理为核心,对资源的访问控制权统一交由授权机构统一处理,即由资源的所有者来进行访问控制。同公钥基础设施PKI相比,两者主要区别在于:PKI证明用户是谁,而PMI证明这个用户有什么权限,能干什么,而且授权管理基础设施PMI需要公钥基础设施PKI为其提供身份认证。PMI与PKI在结构上是非常相似的。信任的基础都是有关权威机构,由他们决定建立身份认证系统和属性特权机构。在PKI中,由有关部门建立并管理根CA,下设各级CA、RA和其它机构;在PMI中,由有关部门建立授权源SOA,下设分布式的AA和其它机构。

  五、 我国电子政务信任体系建设

  (一) 电子签名法

  法律在总共五章三十六条。通过确立电子签名的法律效力和签名规则,设立电子认证服务市场准入制度,加强对电子认证服务业的监管,规定电子签名安全保障制度,规定各方在电子签名活动中的权利义务,规定违反法定义务和约定义务的当事人要承担相应的法律责任等,来达到规范电子签名行为、确立电子签名的法律效力、维护有关各方的合法权益的目的。

  《电子签名法》在提出电子认证服务业的概念同时,对电子认证服务业的管理问题也作出了相应规定。一是确立了电子认证服务的市场准入制度,对电子认证服务机构的设立实行行政许可。二是明确了行政许可的实施机关。三是赋予了国务院信息产业主管部门在电子认证服务业管理方面明确的责任、权利和义务。具体可见法律第三章、第四章的相关条款。

  (二) 管理体制

  2006年2月23日,国务院办公厅转发了国家网络与信息安全协调小组《关于网络信任体系建设的若干意见》(国办发[2006]11号文件)。主要内容如下:

  第一部分,进一步提高对网络信任体系建设的认识。

  第二部分,网络信任体系建设的总体要求和基本原则。重点突出了要形成“布局合理、安全可控、经济适用、运行有序”网络信任体系这样一个总体要求。

  第三部分,规范和加强电子认证工作。这一部分对整个电子认证工作提出了总体要求,明确了有关部门的责任分工:

  ——关于总体要求。文件提出,电子认证是网络信任体系建设的重要内容,涉及政策、管理、技术、标准等各个环节,必须加强宏观指导,规划管理。

  ——明确了责任分工。

  主要是电子政务活动中电子认证的责任分工。由于电子政务活动不完全等同于电子商务活动,它包含两方面的内容,一是面向社会公众的活动,一是面向政府机关内部的活动,二者服务对象不同,活动性质也不同,因此,其电子认证问题具有它的特殊性,即不能完全由社会第三方提供服务。

  文件明确:国家密码管理局要会同有关部门做好电子政务中电子认证工作的规划和管理。要求国家密码管理局要会同有关部门,尽快制定电子政务活动中使用电子签名、数据电文的具体办法,研究制定电子政务认证的规范性技术文件,明确协议标准,统一应用接口,规范服务模式,加强对电子政务认证工作的指导,实现电子政务电子认证的安全可控、互通互认。

  (三) 内网信任体系

  2002年8月,经科技部批准,由国务院办公厅和科技部共同组织实施的国家“十五”重大科技专项——电子政务试点示范工程正式立项。

  电子政务试点示范工程是我国电子政务建设中的一项重大应用工程,共包括23个子课题。除了综合性、专题性研究,如电子政务战略研究、电子政务地理信息系统等方面的研究外,还涉及中央和地方的16个试点示范单位。中央包括国务院办公厅、发展改革委、国资委、商务部、劳动保障部、科技部以及税务总局、工商总局、海关总署;地方政府包括北京、上海、浙江、深圳、青岛、四川绵阳、广东南海等。国务院副秘书长徐绍史、科技部副部长马颂德亲自担任示范工程领导小组的正副组长。

  安全和应用支撑平台项目是该试点工程的主要内容。

  这一项目建立了以国办为枢纽的电子政务的信息保护和网络信任体系;完成了安全支撑平台密码支持、信任服务、安全接入和安全防御四大体系和应用支撑平台业务控制、媒体控制、应用整合三大体系结构研究;突破了以密码为核心的多项关键技术和29个关键系统的研发,解决了在大型异构网络环境下的密码服务、身份认证和授权管理、业务控制、媒体控制和应用整合等多项技术问题。

  (四) 浙江省电子政务网络信任体系

  浙江省电子政务网络信任体系的建设包括电子政务内网安全支撑平台的建设及省政务外网安全支撑平台的建设两大部分。

  浙江省电子政务网络信任体系结构如图:


  图4   浙江省电子政务网络信任体系结构图

  1、浙江省电子政务内网安全支撑平台的建设

  浙江省电子政务内网安全支撑平台的建设包括省政府安全支撑平台的建设和市政府安全支撑平台的建设。

  市政府安全支撑平台要以省政府安全支撑平台为信任源点、管理源点、业务源点,采用与省政府安全支撑平台一致的体系结构及技术标准进行建设。

  省政府安全支撑平台为省政府直属各单位以及因工作需要应用的单位提供信任服务。市政府安全支撑平台为各市政府办公室(厅)、县政府办公室以及因工作需要应用的单位提供信任服务。

  2、浙江省政务外网安全支撑平台的建设

  省政务外网安全支撑平台分三级建设:省政府安全支撑平台建设、市政府安全支撑平台建设、县(市、区)政府安全支撑平台建设。

  市政府安全支撑平台以省政府安全支撑平台为信任源点、管理源点、业务源点,采用与省政府安全支撑平台一致的体系结构及技术标准进行建设。

  县政府安全支撑平台以上级市政府的安全支撑平台为信任源点、管理源点、业务源点,采用全省统一的体系结构及技术标准进行建设。

  省政府安全支撑平台为省政府直属各单位以及因工作需要应用的单位提供信任服务。市政府安全支撑平台为市政府直属各单位以及因工作需要应用的单位提供信任服务。县政府安全支撑平台为县政府直属各单位以及因工作需要应用的单位提供信任服务。

    作者:浙江省政府办公厅信息中心副主任 蒋汝忠