□張貴芳（河南省水利信息中心）

1.引言

河南省水利信息化經(jīng)過多年的建設(shè)與發(fā)展，逐步建成了內(nèi)部辦公、電子郵件、防汛信息查詢和工程管理等多套應(yīng)用系統(tǒng)，這些應(yīng)用系統(tǒng)在行政辦公和防汛抗旱等方面，發(fā)揮了不可替代的積極作用。隨著應(yīng)用的普及與深入，應(yīng)用系統(tǒng)牽涉的敏感數(shù)據(jù)越來越多，身份認(rèn)證作為一種保護(hù)系統(tǒng)數(shù)據(jù)的有效手段，其作用越來越重要，近期建設(shè)的河南水利電子政務(wù)系統(tǒng)，靈活運用了多種身份認(rèn)證技術(shù)，有效提高了系統(tǒng)安全性，保護(hù)了系統(tǒng)數(shù)據(jù)的安全。

河南省水利廳電子政務(wù)系統(tǒng)包括綜合辦公平臺和內(nèi)網(wǎng)門戶、電子公文流轉(zhuǎn)、電子公文交換、電子文檔傳輸和共享、移動辦公和即時通訊等多套子系統(tǒng)，對系統(tǒng)用戶實現(xiàn)了統(tǒng)一管理和單點登錄，根據(jù)所要保護(hù)的數(shù)據(jù)的敏感程度，靈活采用了用戶名/口令和基于USBKEY的數(shù)字證書身份認(rèn)證技術(shù)，既保證了系統(tǒng)數(shù)據(jù)的安全，又節(jié)省了投資。

河南省水利電子政務(wù)系統(tǒng)數(shù)據(jù)包含公開數(shù)據(jù)和非公開數(shù)據(jù)。對于公開數(shù)據(jù)我們需要做的是這些數(shù)據(jù)不被攻擊，那我們可以在硬件上設(shè)置障礙，比如入侵檢測、安全網(wǎng)關(guān)、VPN、防火墻等，這些措施都好比是桶壁，來保證數(shù)據(jù)不被攻擊。非公開信息，我們需要做的不僅僅防止這些數(shù)據(jù)被攻擊，而更重要的是防止這些數(shù)據(jù)不被盜取。盜取這些信息，需要找到入口進(jìn)入。如何防止不被別人找到入口進(jìn)入，就需要進(jìn)行身份驗證。也就是說，身份認(rèn)證好比是進(jìn)入桶底的唯一路徑，只有它才能確認(rèn)訪問者的合法性。安全有效的身份認(rèn)證是保護(hù)系統(tǒng)安全的重要手段，身份認(rèn)證是應(yīng)用系統(tǒng)審查確認(rèn)用戶身份的過程，進(jìn)而決定該用戶是否擁有使用和訪問系統(tǒng)某種資源的權(quán)限。

2.身份認(rèn)證

身份認(rèn)證就是為了解決訪問者的物理身份和數(shù)字身份進(jìn)行匹配的問題，防止系統(tǒng)用戶身份假冒，系統(tǒng)根據(jù)用戶的身份，確定用戶的操作權(quán)限，從而保護(hù)系統(tǒng)數(shù)據(jù)安全。常用的身份認(rèn)證有五種：一是用戶名加密碼；二是IC卡智能認(rèn)證；三是動態(tài)口令；四是生物特征；五是USBKEY認(rèn)證。

用戶名/口令認(rèn)證中的密碼屬于靜態(tài)的，并且在驗證過程中需要在計算機(jī)內(nèi)存中和網(wǎng)絡(luò)中傳輸，每次驗證過程使用的驗證信息都是相同的，很容易駐留在計算機(jī)內(nèi)存中的木馬程序或網(wǎng)絡(luò)中的監(jiān)聽設(shè)備截獲被破解，這種身份認(rèn)證方式只是通過符合一個條件來證明一個人的身份屬于單因子認(rèn)證，所以很不安全，但是這種認(rèn)證方式十分簡便，被廣為使用，目前大部分互聯(lián)網(wǎng)上的論壇、郵箱都是使用這種身份認(rèn)證。

IC卡認(rèn)證是通過在芯片中存有與用戶身份相關(guān)的數(shù)據(jù)，由合法用戶隨身攜帶，登錄時必須將IC卡插入專用的讀卡器讀取其中的信息，來驗證用戶的身份。我們最常見的就是銀行卡，它通過ATM機(jī)取錢時，使用的就是這種身份認(rèn)證。IC卡硬件不可復(fù)制但是能夠保證用戶身份不會被仿冒，若IC卡丟失，需要補(bǔ)辦，方可使用。這種認(rèn)證方式雖然相對于用戶名密碼認(rèn)證來說相對安全，但是手續(xù)相對麻煩，成本較高，且每次從IC卡中讀取的數(shù)據(jù)是靜態(tài)的，通過內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽等技術(shù)還是很容易截取到用戶的身份驗證信息。

動態(tài)口令認(rèn)證是把用戶記憶的口令變成用戶所持有設(shè)備生成的且是按照一定規(guī)律不斷變化的口令，采用一次一密的方法，每個口令只能使用一次，有效地保證了用戶身份的真實可靠性。但這種方式用戶使用起來很不方便，每次登錄都要輸入沒有規(guī)律的一串密碼，而且，如果服務(wù)器與客戶端時鐘不能保持同步，就容易造成合法用戶無法正常登錄，影響系統(tǒng)的正常使用。

生物特征認(rèn)證是指通過自動化技術(shù)利用人體的生理特征或者行為特征進(jìn)行身份識別。比如指紋、虹膜、手掌、視網(wǎng)膜、臉、聲音、筆跡等等這些識別方式。這種認(rèn)證方式不易遺忘或丟失；不易偽造或被盜；“隨身”攜帶，可以隨機(jī)使用，但卻因為這種認(rèn)證需要的成本較高，終端設(shè)備也不容易攜帶，使用起來也不方便，目前只是在某些特殊領(lǐng)域使用。

USBKEY是一種硬件設(shè)備，可以插入USB接口，利用內(nèi)置的密碼算法實現(xiàn)對用戶身份的認(rèn)證，由于它具有安全的數(shù)據(jù)存儲空間，可以存儲用戶密鑰和數(shù)字證書等秘密數(shù)據(jù)，確保數(shù)據(jù)不被導(dǎo)出和復(fù)制，在其內(nèi)部，可以進(jìn)行各種運算，保證用戶秘密數(shù)據(jù)的安全。每一個USBKEY都有PIN碼（USBKEY的密碼）進(jìn)行保護(hù)，PIN碼和硬件構(gòu)成了用戶使用USBKEY的兩個必要因素，實現(xiàn)了軟硬件相結(jié)合，一次一密的強(qiáng)雙因數(shù)認(rèn)證模式，能很好地解決安全性與易用性之間的矛盾。由于它是一種雙因子認(rèn)證的模式，且使用方便，近年來發(fā)展的極其迅速。

3.身份認(rèn)證在電子政務(wù)系統(tǒng)中的應(yīng)用

河南水利電子政務(wù)系統(tǒng)采用了兩種身份認(rèn)證方式：一個是用戶名加密碼的身份認(rèn)證；一個是采用USBKEY技術(shù)進(jìn)行用戶的身份認(rèn)證。

用戶名加密碼的身份認(rèn)證主要是用在綜合辦公系統(tǒng)方面，由于內(nèi)網(wǎng)門戶系統(tǒng)中的信息是在局域網(wǎng)中公開的，屬于公開信息，基本上不需要什么身份驗證。綜合辦公系統(tǒng)、電子文檔傳輸和共享系統(tǒng)以及移動辦公系統(tǒng)里面的信息涉及到個人辦公，以及單位各部門不想對外公開的信息，我們就用用戶名加密碼的認(rèn)證方式確保這部分非公開信息的安全性。

公文交換系統(tǒng)則比較復(fù)雜。電子公文交換系統(tǒng)的建設(shè)目的，就是按照統(tǒng)一的標(biāo)準(zhǔn)，在不同的政府部門之間進(jìn)行電子公文的傳輸，并保證公文在傳遞過程中電子公文的安全性、單位與單位之間電子公文如何交換，還有不同單位之間的電子公文識別。采用XML及相關(guān)標(biāo)準(zhǔn)作為電子公文交換的核心表現(xiàn)，融入中心認(rèn)證和數(shù)字簽名、傳輸加密等多種安全防范措施，構(gòu)建安全、可靠、標(biāo)準(zhǔn)、開放的電子公文交換系統(tǒng)。

圖1 公文交換系統(tǒng)身份認(rèn)證流程圖

圖2 數(shù)字證書發(fā)放流程設(shè)計圖

公文交換系統(tǒng)的身份認(rèn)證是在公文交換服務(wù)器上配置服務(wù)器證書，建立用戶個人數(shù)字證書和用戶名之間的映射關(guān)系。認(rèn)證過程采用SSL加密通道傳輸數(shù)據(jù)，但不要求驗證客戶端證書。河南省水利電子公文交換系統(tǒng)中的身份認(rèn)證按照以下方案進(jìn)行設(shè)計。該方案在用戶在瀏覽器上輸入網(wǎng)址，首先訪問系統(tǒng)的默認(rèn)頁面，該頁面調(diào)用天威誠信PTA，然后列出用戶在USBKEY中所有的數(shù)字證書，讓用戶選擇證書進(jìn)行登錄。PTA是個人信任代理，是一個可以應(yīng)用于客戶端和服務(wù)器端的軟件包，完成對windows平臺證書操作的ActiveX空間，包括證書處理接口、加密/解密處理接口和數(shù)字簽名處理接口。當(dāng)用戶點擊登錄按鈕后，PTA使用用戶選擇的證書對一段隨機(jī)數(shù)進(jìn)行簽名，并以表單的方式提交到服務(wù)端進(jìn)行處理。服務(wù)端對該簽名字串和隨機(jī)數(shù)進(jìn)行簽名驗證，一旦驗證通過，將獲得簽名證書的X509Certificate對象。然后再調(diào)用SVM（數(shù)字簽名及驗證模塊）/CertUtils（一個類，功能是獲取證書）/CVM（證書驗證模塊）對證書進(jìn)行有效性驗證，最后調(diào)用CPM（證書解析模塊）解析證書，實現(xiàn)證書登陸的功能。公文交換系統(tǒng)身份認(rèn)證流程如圖1所示。

在上述身份認(rèn)證方案中，CA子系統(tǒng)對用戶數(shù)字證書、服務(wù)器證書進(jìn)行統(tǒng)一簽發(fā)、制作和發(fā)放。CA認(rèn)證中心，又叫CA中心，負(fù)責(zé)產(chǎn)生、分配并管理數(shù)字證書的可信賴的第3方權(quán)威機(jī)構(gòu)。個人數(shù)字證書符合X.509V3規(guī)范，將用戶的證書和私鑰存儲在USB KEY中，并為客戶端提供相應(yīng)的驅(qū)動程序?qū)崿F(xiàn)客戶端安全應(yīng)用。USBKEY通過口令進(jìn)行保護(hù)，用戶的數(shù)字證書、私鑰數(shù)據(jù)和USB KEY硬件進(jìn)行綁定，數(shù)據(jù)一旦與此USBKEY分離，就不能通過CA服務(wù)器的驗證，從而增強(qiáng)了證書及私鑰的安全性。

用戶數(shù)字證書和私鑰的發(fā)放和安全管理是進(jìn)行身份認(rèn)證、保證用戶身份真實可靠的關(guān)鍵，該電子公文交換系統(tǒng)對數(shù)字證書發(fā)放流程設(shè)計圖如圖2所示。

4.結(jié)語

隨著信息化建設(shè)的不斷推進(jìn)，河南省水利系統(tǒng)的應(yīng)用系統(tǒng)越來越多，信息數(shù)據(jù)日益龐大，每個應(yīng)用系統(tǒng)都分別建設(shè)各自的身份認(rèn)證系統(tǒng)，由于這些系統(tǒng)互相獨立，用戶在使用每個應(yīng)用系統(tǒng)之前都必須按照相應(yīng)的系統(tǒng)身份進(jìn)行登錄，這給用戶帶來了不少麻煩。不利于系統(tǒng)的推廣應(yīng)用，也不能適應(yīng)發(fā)展的需要。對信息資源整合，建立統(tǒng)一的用戶管理系統(tǒng)，靈活采用多種身份認(rèn)證技術(shù)，結(jié)合PMI對各應(yīng)用系統(tǒng)用戶權(quán)限進(jìn)行統(tǒng)一管理，實現(xiàn)各個應(yīng)用系統(tǒng)之間系統(tǒng)用戶的單點登陸，用戶只需在登錄時進(jìn)行一次身份認(rèn)證，就可以實現(xiàn)對多套相互信任的應(yīng)用系統(tǒng)的自由訪問，而不需要進(jìn)行重復(fù)的身份認(rèn)證，不但節(jié)省了系統(tǒng)投資，加快系統(tǒng)開發(fā)速度，而且降低了用戶使用各應(yīng)用系統(tǒng)的難度，有利于各應(yīng)用系統(tǒng)的推廣應(yīng)用，代表了今后身份認(rèn)證技術(shù)應(yīng)用的發(fā)展趨勢。