CA—KEY在口岸集装箱电子委托中的应用

樊文强

摘要：目前，连云港电子口岸业务系统主要采用基于HTTP协议的B/S架构的网络应用系统在浏览器和WEB服务器之间直接进行通信，口岸业务各子系统与口岸各家单位信息系统进行信息交互多采用报文形式。在开放的网络上，为解决日益严重的信息安全问题，从系统身份验证和访问控制、数据传输安全性、数据完整性、不可否认性和唯一性等方面出发，借住江苏CA基于PKI体系的数字证书应用解决方案，为系统使用者在复杂的网络环境下提供方便的数字签名和加密服务，从而保证用户在口岸集装箱电子委托业务数据的机密性、真实性、完整性和不可否认性。

关键词：信息安全；PKI；CA-KEY；数字证书；集装箱电子委托

1概述

现有的连云港电子口岸（下简称电子口岸）业务系统下设集装箱电子委托子系统（下简称电子委托系统）以网上信息查询、代理换单放箱、提交作业委托、账单查询、报文发送为主，网络基础设施和系统安全解决方案大多是通过如防火墙、入侵检测、漏洞扫描、网络隔离等技术和设备来保障系统的安全，这种方式虽然在一定程度上可以保证信息系统的安全，但不能全面满足电子口岸业务系统的安全需求，如信任与授权等，特别是在建设满足互联互通、信息共享的电子口岸业务系统过程中，各种传统的网络安全防御手段，无法替代应用层的身份认证、数据机密性、完整性、不可否认性等安全实现。

为解决日益严重的信息安全问题，电子委托系统需要在底层网络基础设施上构建了一个一致的信息安全服务，可以满足上层各种应用在安全方面的需求。

2安全需求分析

目前，电子口岸业务系统主要采用基于HTTP协议的B/S架构的网络应用系统在客户端浏览器和web服务器之间直接进行通信，口岸业务各子系统与口岸各家单位信息系统进行数据交互基本都是采用交通部标准报文或EDI自定义标准报文的形式，主要信息安全问题包括以下三方面：

1）缺乏有效的身份认证机制。基本都采用用户名+口令的弱认证方式，这种认证用户的模式，存在极大的隐患，具体表现在：（a）口令易被猜测；（b）口令在公网中传输，容易被截获；（c）一旦口令泄密，所有安全机制即失效。

2）存在数据传输安全隐患。主要体现在安全访问与访问控制上。在B/S架构的应用系统中，其在网络上所发放的数据包均是按照TCP/IP协议进行传输的，这种协议为明文方式发送，数据内容被拦截后篡改的可能性很大。

3）缺乏对客户申报数据的防抵赖机制。防抵赖是指防止客户申报数据过后否认曾经发起过该操作。这对于规范操作，避免纠纷起着很大的作用。传统地，防抵赖机制是通过手工签名确认完成的；而目前很多基于B/S架构的应用系统都无法实现对用户操作的防抵赖功能，没有有效的证据可以证明用户确实执行了某个操作。

因而，归纳电子口岸业务系统的安全需求包括：对身份认证和访问控制的需求；对数据传输安全性的需求；对数据完整性的需求；对不可否认性和唯一性的需求。

3集装箱电子委托系统CA安全应用设计

针对电子委托系统的安全隐患，借住江苏CA，确定以下的设计方案来保证用户安全需求：

1）用户和服务器身份验证

在用户端，通过国家认可资质的电子认证服务机构颁发的数字证书来确认登录用户的身份。用户通过电脑接人存储数字证书的硬件介质CA-KEY登录，保证用户身份真实可信，不会被冒名窃取。

在服务端，通过配置江苏CA的CreadLink网络信任服务器进行身份验证。网络信任服务器通过存储的定期更新的黑名单列表来验证用户身份，以此实现双向的身份认证来保证用户登录的安全可靠。

2）对电子签名的不可否認性和防抵赖

用户操作所产生的与口岸其他单位进行数据交互的电子数据——报文，都将使用数字证书和安全中间件对其进行电子加签，假如用户对已提交的申报数据存在疑问，通过签名信息，利用相应的技术手段可以证明其电子签名确实存在，并且电子签名后的原文数据并没有被改动，可以防止其抵赖。

3）电子数据传输的保密安全：

用户和服务器通过网络信任服务器的双向验证身份通过以后，随之建立起SSL连接通道，此后用户和服务器的通讯信息和传输信息保证在SSL安全通道内，此通道内的信息是以128位的随机对称密钥加密的，安全可靠，保证用户的信息安全，不被偷窥。

4）电子数据在传输过程中不被篡改，保证信息的完整性。

用户对所要提交的电子数据信息内容进行确认，用安全可靠签名中间件和数字证书，经过标准严格的密码运算形成电子签名附在所要提交的电子数据信息中。电子数据信息和电子签名一起被用户提交到服务器端，如果电子数据信息在传输过程中被修改或丢失，服务器端的签名验证服务器会验证出来，可以要求用户重新传输，从而保证电子数据信息在传输过程中的完整性。

4集装箱电子委托系统CA安全具体实现

集装箱电子委托系统从客户端和服务端着手，切实保证系统安全、数据安全、传输安全：

1）客户端

硬件介质KEY：存储各企业单位的数字证书和私钥，实现证书与真实用户捆绑。主要制KEY和发放KEY工作由江苏CA和南京翔晟提供支持。

驱动：客户需要安装相应驱动以实现KEY与签名工具通信的接口，江苏CA的KEY驱动包为“行助手”，南京翔晟的驱动包自主研发。

电子签名控件：安装相应的驱动包后，浏览器需要加载相应的电子签名控件，才能实现浏览器读取电子签名信息。

2）服务端

电子口岸应用服务器配置部署Credlink网关服务器，配置SSL、SVS模块，SSL用于身份验证、传输加密，SVS用于进行签名验签工作。

5结束语

基于集装箱电子委托系统包含委托信息、电子支付、委托扣费、重箱提重等涉及费用变动或财产移交的功能，因此系统身份认证、数据机密性、完整性、不可否认性就显得尤为重要，采用CA-KEY能够全面满足互联互通、信息共享电子口岸业务系统的安全需求，避免系统使用者与系统实施者不必要的纠纷。