电子政务信息安全技术简述

陈黄玮

（福州大学，福建 福州 350007）

1.引言

电子政务（E-Government）是一国的各级政府机关或有关机构借助电子信息技术而进行的政务活动，其实质是通过应用信息技术转变政府传统的集中管理、分层结构运行模式，以适应数字化社会的需要[1]。

随着政府体制改革的逐步深入和政府信息化建设的迅速发展，我国政务信息化建设也进入了新的发展阶段。作为电子政务应用发展的必然趋势，在前一阶段电子政务平台建设的基础上，各地逐步推广面向政府部门、社会公众、企业的相关应用，并且受到了的热烈欢迎。

电子政务[2]是一项复杂的系统工程，具有复杂性、开放性、虚拟性和网络化等特点，这对电子政务系统安全提出了严峻的挑战。电子政务工程能否正常的运行，安全性是首要因素。电子政务作为网络应用的一个特殊领域，除了要考虑一般性的网络安全问题外，还对安全提出了特殊的要求：一是政府的安全标准；二是系统的安全性和便利性的兼容；三是政府内部的安全管理问题。因此要对电子政务的安全建设统一考虑，长远规划，从制度上和技术上加以保障，首先保证技术的先进性和可扩展性，能够适应电子政务系统网络动态变化的特点，发展适合电子政务系统的安全技术和产品；其次是制定相关的电子安全法规和安全标准，通过法律保障，加强安全管理。

电子政务的发展很大程度上基于网络信息技术的发展，只有网络安全有保障，才能保证电子政务信息传输的安全性，从而保障电子政务的信息安全。因此，如何保障传输过程中信息的安全，即不出错、不丢失或者不被窃听，成为了电子政务的网络安全研究中的重要课题。

2.电子政务信息安全技术简述

2.1 防火墙技术

防火墙主要承担着为专网加强访问控制、提供信息过滤、应用层的专用代理、日志分析统计报告、对用户进行“钥匙口令+防火墙一次性口令”的双因子认证等功能。从技术上来分，硬件防火墙可分为包过滤型防火墙和应用代理型防火墙；从工作模式上来分，又可分为网桥模式和路由模式。

包过滤型防火墙是一种作用在网络层和传输层的防火墙，它能够根据分组包头的源地址，目的地址以及协议类型、端口号等标志，分析确定是否允许数据包通过。只有数据包满足过滤逻辑的才能够被转发到相应的目的地出口端，若不满足则被丢弃。包过滤技术经过发展，逐步又产生了状态检测包过滤技术。状态检测的包过滤跟踪每一个网络会话的状态是通过状态表来实现的，不仅根据规则表检查每一个包的，而且结合数据包是否符合会话所处的状态，进一步规范了传输层和网络层行为，因此状态检测防火墙对传输层的控制能力也更为完整的。

应用代理型防火墙也叫应用网关（Application Gateway），它作用在应用层，其特点是通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用，并完全“阻隔”了网络通信流。实际应用中，应用网关是由专用工作站实现。应用代理型防火墙工作在最高层，不仅掌握着应用系统中可用作安全决策的全部信息，同时也起到内部网与外部网的隔离点的作用，用来监视和隔绝应用层的通信流。包过滤防火墙的缺点和不足，可以在应用层解决[3]。

2.2 入侵检测技术

入侵检测系统[4]（Intrusion Detection System，IDS）是一种识别面向计算机资源和网络资源的恶意行为的系统。一个完善的入侵检测系统可以对计算机网络进行自主地、实时地攻击检测和响应，在不影响网络上数据传输的前提下，对可疑的数据进行实时监控、分析，为用户提供了最大限度的安全保障。

入侵检测系统[5]主要由事件产生器、事件分析器、事件数据库和响应单元四部分组成。

事件产生器负责采集原始数据，并将收集到的原始数据转换为事件，提供给事件分析器；事件分析器接收到事件信息后，判断其是否是入侵行为或异常现象，这主要通过完整性分析、模式匹配、统计分析等方法实现，最后将判断结果转变为警告信息，通过响应单元作出反应。事件数据库则负责存储整个分析过程中的所有数据。

2.3 CA认证

数字认证技术[6]是以密码技术为核心，在网络信息交换中确认身份、控制权限、确保交换信息可信的技术手段。目前，国际上主要采用的是公开密钥基础设施（PKI：Public Key Infrastructure）技术。

PKI[7]是利用公钥密码理论技术建立起来的、提供网络信息安全服务的普适性基础设施。它由数字证书、证书发放机构CA、公开密钥密码技术以及关于公开密钥的安全策略等基本成分共同组成，主要基于公钥密码技术，并一定程度上结合了对称密码技术，通过标准的接口为网上信息交流提供必需的认证、保密和不可抵赖服务，是目前应用最为广泛，也是最为成熟、完善的Internet网络安全的解决方案。

PKI框架中的核心元素是公钥证书；PKI的核心实施者是认证中心(CA，Cer-tification Authority)。

2.3.1 CA中心

CA(Certificate Authority)即认证机构，是PKI的主要组成部分。CA的功能主要是发布和管理数字证书。在网络安全通信中，CA分别接受通信双方的申请并向它们发布各自的证书，使二者能互相确认对方的身。一个CA系统包含有密钥管理中心、认证机构、注册机构、发布系统和应用接口等子功能系统。

CA为通信各方签发数字证书，如同每个人的身份证一样，能有效地对通信双方进行身份签别。CA是对立于通信双方的且被信赖的第三方权威机构，这样就确保了CA发布的数字证书的有效性，从而解决了网络信任问题，以一种不可伪造的方式传送用户的公钥。

2.3.2 公开密钥机制

通常加密/解密采用的是对称加密算法。所谓对称加密算法是指数据的加密和解密过程采用相同的加密密钥，因此造成加密密钥成为数据通讯中的关键，如果加密密钥遗失，那么被加密的信息就无秘密可言。针对对称加密算法的缺点，引入了公开密钥机制。

公开密钥机制采用的是非对称加密技术，需要两个密钥：公开密钥和私有密钥，用公开密钥加密的信息只能用私有密钥才能解开，反之亦然。在PKI体系中，私有密钥由个人掌握，不对外流传，公开密钥和数字证书绑定并对外发布。用私钥加密的信息只能用公钥打开，由于私钥持有者的唯一性，因此也就确保了私钥签名者的唯一性，此过程即为签名/认证的过程；而用公钥加密的信息只能由匹配的私钥解密开，同样由于私钥持有者的唯一性，确保了用公钥加密的信息只能由特定私钥持有者察看，此过程就是加密的过程。

对称密钥机制的前提是通信双方共同保管密钥，假定密钥丢失的风险为p，当有n个人使用此密钥时，其丢失的风险为n*p，若n不断增加，密钥遗失的风险也越来越大；而公开密钥机制将通信各方的密钥管理责任重新区分，各人只要管好自己的私钥即可，公钥可发布给任何人使用，在简化管理操作的同时大大降低了网络应用的风险。

PKI技术采用证书管理公钥，通过CA把用户的公钥和用户的其他标识信息捆绑在一起，在Internet上验证用户的身份。目前，普遍的做法是采用数字证书，以PKI为基础，通过加密、签名需传输的数字信息，保障信息传输的机密性、安全性。

2.4 数据备份

备份[8]是一种数据安全策略，通过备份软件把数据备份到介质上，在原始数据遭到破坏或丢失的情况下，利用备份数据恢复原始数据，保证系统的正常工作。

备份策略可分为以下几种：

(1)全备份(Full Backup)，即每天都用一盘磁带对整个系统进行完全备份，包括系统和数据。其优点是备份数据集中在一盘磁带中，只要用这一盘磁带就可恢复丢失的数据。缺点一是有大量重复的备份数据；二是需要备份的数据量相当大。因此，备份所需时间较长。

(2)增量备份(Incremental Backup)，即每次备份的数据只是相当于上一次备份后新增加的和修改过的数据。这种备份虽然不存在重复的备份数据，但必须沿着时间逐个反推，才可以恢复数据，整个过程较为繁琐。

(3)差分备份(Differential Backup)，即每次备份的数据是相对于上一次全备份之后增加的和修改过的数据。差分备份结合了以上两种策略的优点，同时又规避了它们的缺点。由于无需每天做系统完全备份，因此不仅所需时间短，又节省了磁盘空间。同时，系统管理员只需要利用全备份磁带与灾难发生前一天的磁带，即可将系统恢复，很方便。

从备份的形式分可分为物理备份和逻辑备份。

(1)物理备份：实际物理数据库文件从一处拷贝到另一处(通常从磁盘到磁带)的备份，主要用于数据库的全恢复。物理备份分为冷备份和热备份两种。数据库关闭时的备份称为冷备份，主要是利用操作系统中的复制命令进行备份。其优点是速度快、易归档、易恢复等，但同时数据库必须处于关闭状态、速度较慢、不能按表或按用户恢复，造成了不便。热备份指数据库打开时的备份，即是在数据库运行的情况下，采用archivelogmode方式备份数据的方法。其优点是时间短、数据库可使用、速度快等，同时也存在一旦出错后果严重或若热备份失败，不可用于时间点的恢复和难以维护等不足。

(2)逻辑备份：用导入导出工具通过导入导出数据对象来达到对数据进行备份的目的。它主要用于不完全恢复。这些安全技术在电子政务安全的设计中均得到了十分广泛的应用。

[1]电子政务中安全技术的研究[D].哈尔滨：哈尔滨工业大学硕士学位论文，2006，1.

[2]王卫国.闾国年，王爱萍等.电子政务系统[M].北京：科学出版社，2007.

[3]吕娟. 防火墙技术的研究 [J]. 电脑知识与技术，2009，(8)：53-55.

[4]油利娟.浅议网络安全技术[J].新疆：石河子科技，2009，(3).

[5]尹清波.基于机器学习的入侵检测方法研究[D].哈尔滨：哈尔滨工程大学博士学位论文，2007.

[6]刘立杰.入侵检测系统发展研究[J].北京：北京工业职业技术学院学报，2006，(1).

[7]江为强，陈波.PKI/CA技术综述[J].四川：兵工自动化，2003，22 (6).

[8]王小庆，刘时进.计算机网络数据备份管理技术初探[J].湖北：高等函授学报(自然科学版).2003，16(6).