高校网上办公系统 PKI方案设计与实现

郭改文,丁 颖

(1.河南教育学院信息技术系,河南郑州 450046;2.中州大学实验管理中心,河南郑州 450044)

高校网上办公系统 PKI方案设计与实现

郭改文1,丁 颖2

(1.河南教育学院信息技术系,河南郑州 450046;2.中州大学实验管理中心,河南郑州 450044)

针对高校网上办公系统存在的安全需求,将 PKI技术应用于高校网上办公系统,设计了河南教育学院网上办公系统 PKI混合信任模型,并利用OpenSSL实现简易数字证书系统.

高校;网上办公系统;PKI;混合信任模型;OpenSSL

近几年,随着高校网络化建设的快速发展,方便快捷的网上办公系统在功能上已基本完善,为高校在新的形势下进一步转变工作职能,提高工作效率提供了重要手段.然而,高校网上办公系统处理的敏感信息不是通过校园网就是通过 Internet传送,使得黑客及恶意入侵者窃取、篡改、干扰一些重要信息成为可能,从而引发网络传输信息的安全性问题[1].如何保证高校网上办公系统的顺利畅通,对外树立良好的窗口形象,对内提高工作效率,保证敏感信息不被他人侵犯、破坏及干扰,已经成为信息安全领域所面临的一个棘手问题.本文以河南教育学院网上办公系统为例,分析河南教育学院网上办公系统的安全需求,设计了一种基于混合信任模型的高校网上办公系统 PKI方案,并利用OpenSSL工具实现简易数字证书系统[2].

1 河南教育学院网上办公系统的安全需求

(1)保证办公系统的稳定运行办公系统的稳定运行关系到学院整个行政管理秩序、教学科研秩序、学生生活秩序的稳定运转,而系统的安全运行是办公系统稳定的基础.

(2)树立高校良好的形象发展网上办公系统的一项主要任务就是树立高等院校良好的形象.如果办公系统经常遭到攻击和破坏,基本的安全都得不到保障,又何从谈起形象问题.

(3)保护公文信息的秘密内容学院在服务和管理过程中产生的文件信息大部分需要保密.未经授权的用户或恶意入侵者,即使采用非法手段获得了数据的访问权,也无法理解真实的信息内容.

(4)认证办公活动中的身份为保证身份的真实性,需要为办公业务的用户实体定义身份标志——数字证书,并通过该标志进行身份认证.

(5)控制办公系统中的权限办公系统需要根据用户对信息资源访问级别的不同,划分为不同级别的信息访问控制策略.因此,需要将办公系统划分为若干个安全域,不同的安全域中,安全的要求、级别是不一样的.

(6)确保公文信息传输安全不仅保密信息在传输中需要安全保障,系统涉及的各种敏感信息的传输,如学籍信息、财务报表等,也要求传输过程中安全可靠而不被窃取、篡改或破坏.

河南教育学院现行网上办公系统的安全性涉及物理级、网络级、系统级和应用级,本文从网上办公安全体系的应用层出发,从信息安全的角度研究 PKI技术在高校网上办公系统中的安全解决方案.

2 基于 PKI技术的高校网上办公系统

公钥基础设施 (Public Key Infrastructure,PKI)[3]是指用公钥概念和技术来实施和提供安全服务的具有普适性的安全基础设施,是一种把公钥密码和对称密码结合起来实现密钥自动管理的平台.PKI技术包括数据加密、数字签名、数字信封、数据完整性机制等,目的是保证网上数据的机密性、完整性和不可否认性,从而保证信息的安全传输.一个典型、完整、有效的 PKI系统必须有认证机构 CA(Certificate Authority)、数字证书库、密钥备份及恢复系统、证书作废系统、应用程序接口API(Application Programming Interface)等基本部分.

将 PKI技术应用到高校校园网中,可以满足网上办公系统的安全需求.网上办公系统一般由客户端和服务器端两部分组成,其基于 PKI技术的以 CA为中心的模式结构如图 1所示.客户端的实现形式可以是ActiveX或Applet控件;服务器端的实现形式可以是服务程序.客户端和服务器端分别与浏览器和Web服务器协同工作,通过 CA认证中心互相验证数字证书建立安全数据通道,实现对敏感信息进行加密、解密及完整性检验处理.

3 河南教育学院网上办公系统 PKI方案设计

河南教育学院 PKI建设是网上办公系统安全服务的基础.PKI的建设主要包括 PKI信任模型的选取、CA的建设、密钥的管理、安全策略的制定等.

3.1 PKI信任模型的选取

使用数字证书的客户端必须首先信任 PKI,证书上的数字签名才有意义.因此,信任关系的建立和管理,是 PKI的核心功能之一.PKI管理的信任关系模型一般分为层次信任和交叉信任两种.虽然河南教育学院的管理机制比较适合层次信任模型,但由于学院的教务管理、学籍管理、人事管理、机关日常事务、后勤保障等不同部门可能也需要建立各自的 PKI体系结构,而这些不同的 PKI在实际工作中又是相互联系的.因此,办公系统CA信任模型选取综合了层次信任和交叉信任两种方式的混合信任模型,如图 2所示.

图1 办公系统CA模式

图2 办公系统的 PKI信任模型

从图 2可以看出,在此信任模型中,整个学院以党政中心为根CA信任中心建立层次信任模型,增加信息的安全性;学院管理机构之间经常有公文需要传递,为减少学院根 CA(院级)的负载,在学院各主要管理部门建立一级 CA(管理级),它们之间实行交叉信任(大交叉);在学院各系部建立二级 CA,从安全的角度考虑,只有存在信任需求的部门再建立信任关系,二级 CA之间实行小范围的交叉(小交叉).

3.2 CA的建设

CA应该在学院的统一规划和领导下采取自上而下的原则进行设计和建设.学院可以成立 PKI协调管理办公室,统管学院 CA的建设,审批 CA机构的成立和撤消.其主要任务是制定学院 CA建设的发展规划、管理政策、技术标准、安全策略并监督指导学院 CA的建设、运行和应用.

CA认证中心是公钥基础设施的核心组织,一方面它会遭受来自各方面的人为攻击和威胁,另一方面它也可能遇到自然灾害的袭击.CA的安全建设应该与CA的建设同步规划、同步设计、同步建设.为防止来自 CA系统内外的威胁,防止信息被窃取,CA系统要采用安全性较高的操作系统、数据库管理系统及网络安全产品,CA数据库的敏感信息要严格加以保护.

4 基于OpenSSL数字证书系统的实现

学院办公系统可以将 CA中心、Web服务及用户认证中心整合在一台系统服务器上,使用 OpenSSL工具产生 CA认证中心,实现简易数字证书系统.

OpenSSL[4]是一个功能丰富且自包含的开源安全工具箱.它提供的主要功能有:SSL(Secure SocketsLayer)协议实现、大量软算法 (对称 /非对称/摘要)、大数运算、非对称算法密钥生成、证书请求编解码、数字证书编解码、CRL(Certificate Revocation List)编解码、OCSP(Online Certificate Status Protocol)协议、数字证书验证、PKCS7标准实现和 PKCS12个人数字证书格式实现等功能.它具有优秀的跨平台性能,支持Linux、UN IX、W indows、Mac等平台.

系统实现的软件配置过程为:首先在系统服务器安装 TOMCAT和 JRE,TOMCAT用作Web Server,当设置 TOMCAT时,用符号“%TCAT_HOME%”表示TOMCAT的安装位置;JRE用来产生TOMCAT使用的秘钥对,使用符号“%JDK_HOME%”来表示 JDK的安装位置.然后安装OpenSSL,用来产生 CA证书、签名并生成 IE可导入的 PKCS#12格式私钥.在 C:OPENSSL目录下解压 OpenSSL-0.9.8e-W in32压缩包,再将OpenSSL-0.9.8.tar文档文件中的 OpenSSL.cnf文件复制到 C:userlocalssl目录下,然后设置系统环境变量使OpenSSL命令可以在其他路径下执行.

4.1 认证中心 CA的产生过程

(1)创建根 CA的工作目录 mkdir ca_gen.

(2)产生 CA私钥及自签名根证书:

4.2 申请服务器端数字证书的过程

(1)创建工作目录 mkdir server_cert.

(2)产生服务器端证书:

(2)产生客户端私钥并用 CA私钥签名:

4.3 申请客户端个人数字证书的过程

(1)创建工作目录 mkdir client_cert.

5 小结

本文分析了河南教育学院网上办公系统存在的安全需求,将 PKI技术应用于高校网上办公系统,设计了河南教育学院网上办公系统 PKI混合信任模型,并利用OpenSSL工具实现了简易数字证书系统.

[1] 孙飞显,郭改文,徐明洁,等.一种基于数字签名的网页原始性鉴别方法[J].计算机应用研究,2007,24(3):112-114.

[2] 常新华,毛炎新,赵秀海.实现基于Web方式的数字签名[J].计算机工程与科学,2007,29(12):16-19.

[3] Andrew N,DuaneW,Joseph C,et al.公钥基础设施(PKI)实现和管理电子安全[M].张玉清,陈建奇,杨波,等译.北京:清华大学出版社,2002.

[4] 赵春平.OpenSSL编程[EB/OL].[2010-11-10].http://download.csdn.net/source/2817796/openssl编程.pdf.

Design and I mplementation of PKI in Network-Based Office System for Colleges and Universities

GUO Gai-wen1,D ING Ying2

(1.Depar tm ent of Infor m ation Technology,Henan Institute of Education,Zhengzhou450046,China;2.Center of Experim entM anagem ent,Zhongzhou University,Zhengzhou450044,China)

A iming at the security requirements ofNetwork-Based Office System(NOS)of institution of higher education,the technology of public key infrastructure is applied in NOS.The trustmodelof PKI is designed inNOS for Henan Institute of Education.And a simple digital certificate system is realized by OpenSSL.

colleges and universities;Network-based Office System;PKI;mixed trustmodel;OpenSSL

TP309.2

A

1007-0834(2010)04-0041-03

10.3969/j.issn.1007-0834.2010.04.014

2010-09-20

河南省科技厅重点攻关项目(082102210059);河南省教育厅自然科学课题(2009A520009);河南省高等学校青年骨干教师资助计划(2009GGJS-139);河南教育学院计算机应用技术重点实验室资助项目

郭改文(1971—),女,河南邓州人,河南教育学院信息技术系副教授,研究方向:智能计算、计算机网络及信息安全.