数字证书技术在江苏省生态环境监控系统(“1831”项目)中的实践与应用

陈 高，童波邮

（江苏省生态环境监控中心，江苏 南京 210036）

0 引言

随着社会经济的不断发展，信息技术成为了我们生活不可缺少的部分，伴随信息化不断渗透入政府服务的各个部门，电子政务越来越得到认可和重视，并呈现出蓬勃发展的态势，在各业务部门中发挥着举足轻重的作用。随着政务信息管理软件系统的功能越来越复杂，可访问的资源越来越多，系统用户的类别越来越多，权限关系也越来越复杂。同时，电子政务网络内部涉及大量的敏感、机密信息也对网络信息安全提出了新的要求，一些原始的身份认证方式，已经不能满足现有电子政务系统的需求，我们必须利用一些加密解密算法，建立不同的加密通道来传输或识别这些信息，以不断满足信息系统日益提升的数据安全要求。

江苏省生态环境监控系统（“1831”项目）用一个平台集成了多个子系统，对涉及水环境质量、大气环境质量、饮用水源地、辐射环境质量等多类数据进行了整合，内容涉及大量环境业务信息，平台系统延伸至省市县三级，对信息系统的访问安全有着很高的要求，因此我们必须选择一种十分安全的身份认证技术，确保系统内部信息在被访问和传输过程中的安全性和完整性，防止恶意用户修改数据等行为的发生。

1 身份认证技术的选择

身份认证是实现信息安全的基本技术，身份认证的本质就是在计算机网络中确认操作者身份的一个过程：如何保证以数字代号进行操作的操作者就是这个数字身份合法拥有者，也就是说如何保证操作者的物理身份与数字身份相对应，身份认证技术就是为了解决这个问题。作为网络和系统安全的第一道关口，身份认证起着举足轻重的作用。

目前，我们常用的身份认证技术包括四大类：基于密码的身份认证、基于智能卡的身份认证、基于生物识别的身份认证以及基于数字签名的身份认证。

1.1 密码认证

基于密码的身份认证技术比较原始，但从目前来看，大多数电子政务系统的身份认证方式都仍是采用这种基于用户名/密码的方式，这种方式的优势在于密码是用户自己设定，系统实现比较简便，用户名和口令都以明文或密文的方式直接存于数据库，只要服务端程序接收到用户名对应的密码，系统就认为访问者身份合法。但弊端在于，用户设定的密码容易采用生日等个人信息，通过社会工程学方式就可以轻易破解密码。同时，由于密码信息驻留内存，密码传输不是加密传输，用户密码在存储和传输过程中极易被木马程序和网络黑客截取，这样很容易造成密码泄漏。所以基于密码的身份认证技术是一种不安全的身份认证技术。

1.2 智能卡认证

基于智能卡的身份认证是一种内置集成电路的芯片，芯片中存有与用户身份相关的数据，智能卡由专门的厂商通过专门的设备生产，是不可复制的硬件。智能卡由合法用户随身携带，登录时必须将智能卡插入专用的读卡器读取其中的信息，以验证用户的身份。我们常见的智能卡包括公交卡、校园卡、门禁卡等等都属于智能卡认证的一种方式。然而由于每次从智能卡中读取的数据是静态的，通过内存扫描或网络监听等技术还是很容易截取到用户的身份验证信息，因此还是存在安全隐患。

1.3 生物识别认证

基于生物识别的身份认证主要包括：指纹、掌型、视网膜、虹膜、脸型、签名、语音、行走步态等。目前部分学者将视网膜识别、虹膜识别和指纹识别等归为高级生物识别技术；将掌型识别、脸型识别、语音识别和签名识别等归为次级生物识别技术；基于生物识别的身份认证优势在于识别项的唯一性，指纹、视网膜、虹膜等都是唯一存在，可以直接标示一个人的合法身份的，这些信息不能轻易被仿冒，所以安全性较高。但生物识别技术目前还处于研究阶段，尚未形成一套成熟的技术解决方案，系统对生物信息的识别效率和误差率等都亟待改善，所以并不是目前电子政务最好的身份认证解决方案。

1.4 数字签名认证

数字证书就是网络通讯中标志通讯各方身份信息的一系列数据，用于网络身份验证，其作用类似于日常生活中的身份证，所以数字证书又有“数字身份证”之称。人们可以在网络通讯中用它来识别证书拥有者的身份。

数字证书可提供4种重要的安全保证:

（1）机密性：文件可以用密钥加解密，以达到机密性。

（2）完整性：文件接收者通过数字签名核对可确保此文件的完整性。

（3）不可否认性：因只有文件发送者知道自己的私有密钥，而且文件具有发送者的数字签名，使其无法否认发送的事实。

（4）身份识别：文件接收者可确认此文件的发送者身分。

尽管现在还涌现出很多新兴的身份认证技术，如：动态口令技术、密保卡技术以及短信密码验证等等，但这些技术从经济、安全性、便捷性等都存在一定的弊端，且数字证书技术已经在我国电子政务领域得到广泛引用，技术成熟度较高，系统实施和整合较为便捷，所以我们经过综合考虑选择了数字签名认证作为“1831”系统的身份认证技术。

2 使用数字签名认证技术的优势

2.1 电子签名可确认系统用户真实身份

在用户端，通过颁发具有国家认可资质的电子认证服务提供者的数字证书（电子身份证）来确认用户身份，保证用户身份真实可信，不会被冒名窃取。用户验证信息被密钥加密，且传输内容也被加密，即使第三方获取了相关内容也无法解密，确保了访问“1831”系统用户的真实物理身份。

2.2 电子签名可确保签名数据的法律性

江苏省生态环境监控系统使用数字证书和安全中间件对电子数据信息进行了电子签名，当事后用户可能对他当时提交的信息存在置疑，不承认信息内容时，通过保存的电子签名信息，数字证书可以通过国家认可的技术手段证明其电子签名确实存在，并且电子签名后的原文信息没有被任何改动。可以防止其抵赖，让其无法否认电子签名内容。并且对用户所要提交的电子数据信息可以加盖时间戳，在电子签名的基础上加上标准时间信息，可以对时间敏感的电子数据信息提供更加安全可靠的法律效力保证，在“1831”系统的申报和审批业务中得到了广泛的应用。

2.3 电子签名将进一步推进环保信息化、无纸化

含有电子签名技术的办公自动化系统可以大大减少重复劳动，它可以使各个部门、各个环节的单独处理工作串联起来，同时也能处理流程上多环节的任务。可以方便进行各个环节的审核、批复、签字，同时也可以进行不同环节批复的查询。不仅解决了传统办公的效率低下和纸张浪费状况，而且也解决了因领导无法使用烦琐的现代办公自动化系统而闲置的信息化投资。

3 数字证书技术在江苏省生态环境监控系统中的实践与应用

3.1 整体架构设计

为了解决生态环境监控系统应用数据机密性、身份认证强度两方面安全风险，同时结合生态环境监控系统场景的特点，相应的安全解决方案使用CA客户端和身份认证网关建立加密通道，网关代理应用数据，CA客户端显示BS页面，建设方案整体架构图如图1所示。

图1 整体架构图

首先，江苏环保证书服务器生成客户端证书和服务器端证书，然后用江苏CA根证书给客户端证书和服务器端证书签名。使用时，将自签发的客户端证书导入客户端浏览器，通过架设在省厅的数字签名认证网关与江苏CA根证书服务器进行证书认证。当客户端首次登陆系统，双方都要提交证书供对方验证，验证通过之后，双方使用协商好的对称密钥进行数据的加密传输。

3.2 逻辑架构设计

生态环境监控系统应用安全解决方案逻辑架构设计如图2所示。

图2 逻辑架构设计图

3.3 简化的B/S应用访问流程

B/S应用访问流程如图3所示。应用业务按照网关接入方案改造后，可以使用CA客户端访问BS应用，具体步骤如下：

图3 B/S应用访问流程

（1）CA客户端向安全接入网关发起访问请求；

（2）CA客户端用户提交数字证书，身份认证网关进行身份有效性认证，验证证书，获取属性信息和权限信息（需UMS和PMS）

（3）认证通过后，网关安全通道建立。用户点击CA客户端中的应用列表，向移动办应用提交访问请求；身份认证网关向服务器端代理用户的请求，同时在请求中增加用户身份信息，传递给应用

（4）应用根据传递的身份信息判断用户权限，返回客户端页面需要的数据。

3.4 移动应用中间件访问模式流程介绍

除上述B/S应用模式之外，未来，江苏省生态环境监控系统还会存在移动客户端APP的访问模式。经过调研分析，我们初步进行了流程设计，流程图如图4所示。

图4 流程设计

在生态环境监控系统应用建设厂商将客户端APP进行改造后，集成了VPN连接客户端接口，同时针对移动中间件平台进行必要改造，将认证方式从用户名/口令方式改变为数字证书认证方式。改造完成后，生态环境监控系统用户的应用访问流程如下：

（1）生态环境监控系统用户通过点击客户端APP，APP集成的VPN客户端接口向VPN网关发起访问请求；

（2）VPN系统要求生态环境监控系统用户提交数字证书，进行身份有效性认证。认证通过后，VPN通道建立。客户端通过点击终端APP中的应用图标，向生态环境监控系统中间件平台提交访问请求；

（3）生态环境监控系统中间件平台将访问请求重定向给安全接入网关，进行数字证书验证；

（4）安全接入网关验证用户移动证书，将证书解析后获得的用户信息传递给中间件平台；

（5）中间件平台获得生态环境监控系统用户身份，根据用户权限，将用户访问的信息反馈给生态环境监控系统用户，实现身份认证。

4 结语

通过对数字证书技术的介绍，以及数字证书技术与“1831”系统相结合的典型案例剖析，我们可以看出数字证书在环保电子政务系统中的应用前景，尽管以上案例只是数字证书认证技术实际应用的很小一个部分，目前涉及范围也仅用于用户身份的认证，但其数据安全性和强不可抵赖性在未来完全可以满足于数据申报、数据审核、电子签章乃至环保电子政务的其他领域的数据安全需求。随着网络安全技术的不断成熟和完善，数字证书技术在“1831”系统中的应用将更加广泛，也必将得到越来越多人的肯定。

［1］黄锐，李涛，王姝妲，等.基于B/S和C/S混合模式的CA证书发放实现［J］.计算机应用研究，2006（3）：113-115.

［2］劳帼龄.电子商务安全与管理［M］.北京：高等教育出版社，2003：185-193.

［3］叶新，雷明，张焕国.PKI及其在基于SSL的Web安全中的应用实现［J］.计算机工程与应用，2003.

［4］张一清.电子商务中的安全基础设施PKI技术［J］.商场现代化，2006（10）：89-90.

［5］张巍，李涛，刘晓洁，徐春林.认证中心CA的功能及其实现技术［J］.计算机工程与设计，2007（9）：38-39.