高校可信校园密码服务平台建设探索与实践

摘要：北京师范大学可信校园密码服务平台体系化地面向学校师生提供密码应用支撑，通过打通数据中心、办事大厅、统一认证、移动校园四大核心应用模块，为学校各类信息系统和应用平台建立全覆盖、多方位、多场景、多应用的教育行业密码服务体系，助力学校智慧校园建设。

关键词：信息化；密码；可信校园；数字证书；电子签章

中图分类号：TP311文献标识码：A

文章编号：1009-3044（2024）34-0004-03开放科学（资源服务）标识码（OSID）：

0前言

北京师范大学可信校园密码服务平台是响应教育部对于国产密码应用改造的要求并结合学校自身内部的业务需求，进行统一规划管理，并采用分步实施方式完成建设的服务于全校师生的密码应用平台。平台采用密码技术，建成体系完整、安全稳定、高效可用的可信校园密码服务平台，为各业务部门提供统一的密码资源管理、密码资源调度与使用服务等方面的安全应用，并且具备法律效力，兼顾用户易用性和便捷性需求。通过不断探索信息化新模式发展的策略，结合学校智慧校园整体规划，形成了适合业务应用的“五位一体”发展格局，即：实现数据中心、办事大厅、统一认证、移动校园、密码服务平台的“五位一体”建设。满足学校两地五校园长远发展的应用需求，实现网上办事一体办、移动校园指尖办、电子档案单轨办、学生服务远程办的规划目标。平台主要包括教育数字认证子系统、教育密码综合服务子系统、教育电子签章服务子系统、移动协同签名系统、签名验签服务系统、在线签章服务子系统、电子签章管理系统、电子签章验证平台、统一认证管理系统等子系统。完成与办事大厅、OA办公系统、财务系统、档案管理系统、数据中心、统一身份认证系统等多个校内系统的集成。

1项目建设目标

可信密码应用平台可为信息系统提供高速数据加解密、签名验签、密钥管理、身份互认等密码服务功能[1]。近年来，高校将电子签章广泛应用于学校可信成绩单、可信档案、可信合同等各类应用[2-5]。通过引入以数字证书为核心的安全保障体系，充分利用密码的真实性、完整性、机密性和不可否认性特征，建设一套可以为整个学校各类信息系统提供服务的可信校园密码服务平台，实现适合学校实际情况密码服务应用，提供安全可信且兼顾使用便利性的密码服务支撑，建设目标包含：

（1）实现师生用户可信身份的管理和数字证书的签发，确保用户登录系统时用户身份的真实性。

（2）实现办事大厅师生用户基于数字证书的强身份认证的应用，支持移动端和PC端两种应用方式。

（3）实现办事大厅、OA办公、财务系统业务审批个人签名的应用，实现审批流附件电子签章的应用，实现全在线业务办理，确保业务数据的完整性。

（4）实现档案系统版式文件、结构化数据可信归档的应用。

（5）提供标准时间获取、同步、留存与认证功能，确保关键业务环节可信时间应用。

（6）提供电子印章生命周期管理、授权与鉴权、日志审计等功能，实现印章可管、可控、规范使用。

（7）实现密码服务的校内信任体系统筹化建设，实现密码服务的集中化管理、智能化运维、统一化调度、一体化应用。

2建设内容

北京师范大学可信密码服务平台，主要包括：密码综合服务系统、数字认证系统、可信身份服务系统、电子签章支撑服务系统、服务器密码机、时间戳服务器、安全认证网、协同签名服务器等。可信密码服务平台架构如图1所示。

2.1数字证书认证系统

数字证书认证系统通过建设RA证书注册系统，提供数字证书的本地化管理服务，包括个人证书（教育政务身份、公共身份）、机构证书、设备证书等相关数字证书的申请、审核、提交签发请求、用户管理等功能。主要功能模块包括注册审核、证书申请、用户管理等。通过密码综合服务系统对外发布证书申请等相关服务接口。

通过建设CA证书签发系统，提供数字证书的签发和管理服务，包括个人证书（教育政务身份、公共身份）、机构证书、设备证书等相关数字证书的申请、审核、提交签发请求、用户管理等功能。通过密码综合服务系统对外提供注册审核、目录服务、签发服务、密钥管理服务等。通过密码综合服务子系统对外发布证书申请、证书管理等相关服务接口。

通过建设LRA证书受理点服务，通过登录中央级RA系统，管理数字证书，提供可远程管理的证书服务，包括个人证书（教育政务身份、公共身份）、机构证书、设备证书等相关数字证书的申请、用户管理等功能。

2.2密码综合服务系统

密码综合服务系统提供统一的密码服务能力，包括：“电子签章、身份认证、数字签名/验证、数据加密/解密、时间戳签名/验证”等密码服务接口；提供密码服务的统一运维，包括：基础密码服务、密码应用服务、密码业务分析服务、密码服务管理、应用资源管理、密码业务监控等；以及提供密码服务的可视化展示，包括密码业务统计分析和数据监控，数据类型包括：资源数据、日志数据、埋点数据、异常告警数据、应用资源分析数据、应用资源埋点请求分析数据等。

密码综合服务系统依托身份认证网关、时间戳服务器、服务器密码机、电子签章服务器、协同签名服务器等提供的基层密钥服务和密码运算能力；同时，密码综合服务系统统一封装教育数字认证子系统、教育可信身份服务子系统、教育电子凭证支撑服务子系统、教育电子签章支撑服务子系统的对外服务接口，实现密码设备、其他子系统服务的统一监控和管理，同时实现对应用的接入管理和鉴权。

密码综合服务系统实现密码服务业务数据汇聚、证书业务数据汇聚、电子印章业务数据汇聚，向上对接中央级教育密码基础服务平台，实现密码服务统计分析监测数据上报，数字证书申请与管理服务转发，电子印章信息、状态信息、备案信息的转发等数据交互。

2.3可信身份服务系统

可信身份服务系统汇聚管理可信身份相关的教育身份信息、法定身份信息、网络身份信息等数据，提供师生用户教育可信身份的核验服务。主要功能模块包括教育可信身份管理、身份核验、应用管理、审计控制等。通过密码综合服务系统对外发布教育可信身份申请、核验相关的服务接口。

2.4电子签章服务系统

电子签章系统提供基于国产密码的电子印章的生成、管理、签章、验章等服务。主要功能模块包括电子印章申请、制作、审核及生命周期管理、电子印章授权管理与鉴权应用、签章验证、签章行为审计等，可按组织机构管理印章、可授权用户或应用使用印章。通过密码综合服务系统对外发布电子签章、签章验证等相关服务接口。

3建设成果

可信校园密码服务平台是继学校数据中心、办事大厅、统一认证、移动校园后的第五大核心服务平台。平台完成财务系统、统一身份认证系统、OA系统、办事大厅、数据中心、教务系统、人事系统的密码应用改造。从根本上做到网上身份真实可信、数据不可篡改、敏感信息不可越权查看、网上行为不可抵赖，真正保护广大师生的身份真实、数据可信、行为抗抵赖。密码服务平台与业务系统如图3所示。

统一身份认证实现用户身份管理、身份认证、师生用户关键数据加密存储，访问控制等。通过数字证书进行登录系统，防止用户假冒、数据篡改、信息泄露等安全风险。实现用户身份真实性、访问控制完整性、数据存储完整性和机密性等。密码服务平台与业务系统关系如图4所示。

财务系统实现了用户审批流业务签名签章应用等，实现校内无纸化财务报销流程审批应用，提供用户身份认证、数据签名、时间戳签名、协同签名、电子签章等服务，实现用户在业务系统中基于PC、移动端完成跨校区、跨处室的业务办理以及流程审批，各级领导审批采用在线无纸化，支持手写签名、个人签章等可信的身份验证机制，节约审批时间，提升审批效率，减少业务办理时间，提升用户体验。同时满足了信息安全的基本需求，响应“互联网+”政策，真正做到“用户少跑腿，数据多跑路”

办事大厅实现用户审批流业务签名签章应用等，包括审批流的全面无纸化、档案归档可信化等应用，真正让数据以电子化、可信化的方式流转起来。实现用户身份真实性、数据存储完整性和机密性、关键操作的不可否认性等。

教务系统实现敏感数据加密防护，对系统的学生基本信息修改、学生录取状态审核编辑和学生信息删除等关键业务操作签名验证。同时，对于部分校外业务，例如荣誉证书遗失补办、学习学位证书的遗失补办，因办理事项较为敏感，替换现有面鉴的鉴别方式，通过对接本项目提供的教育可信身份鉴别服务，实现将该部分业务的面对面办理真正变为线上可信化办理。实现用户身份真实性、数据存储完整性和机密性、关键操作的不可否认性等。

在移动办公和一站式办公方面，实现了网上办事大厅、OA办公、财务报销、采购系统等业务应用的全场景流程审批、电子文件等签名签章的应用，实现了密码融合应用的“五信服务”。目前，个人用户证书量预计达4万多张，单位用户证书量预计达上百张，签名次数每年预计近百万次。在远程办和单轨办方面，实现了教务部、学工部等电子凭证的应用，且搭建了统一的电子凭证验证平台，同时，学校签发的成绩单可在学信网上实时验证真伪。原来需要一周时间的业务，现在仅需几分钟即可完成办理，解决了远程、异地学生办理的难题。

4结束语

可信密码服务平台建设过程中，我们充分调研了兄弟高校的建设情况，借鉴了学校信息化从分散式到集中式发展的建设历程，总结了信息化建设的经验，并运用到密码服务体系搭建上，充分考虑密码服务建设对管理者、技术对接者、使用者、业务厂商以及运维管理人员的“困境与需求”，探索可用、好用、易用的密码服务体系，实现了密码服务的统一化建设、可视化运维、标准化集成、轻量化管理、便捷化使用的“五化”理念。实现可信身份、可信数据、可信行为、可信电文、可信凭证的“五信”应用。使“信息化建设简于形、精于心”，让各端用户更加便捷化使用、运维、管理和对接。展望未来，将进一步统筹规划数据安全大脑服务体系，实现密码+数据安全的新防线和新布局，以场景促建设、以服务促应用，作为网络安全大脑的重要一环，以密码服务体系和数据安全体系双引擎，促成网络安全服务的体系化、标准化、统一化、完善化、智能化建设。

参考文献：

[1]聂建军.基于可信密码应用服务平台架构及中间件整体解决方案[A].首批可信计算认证产品发布会论文集[C].2023.

[2]李珊娜.电子签章共享服务平台的设计与实现[J].信息技术与信息化，2020（12）：10-12.

[3]彭雪涛，乔金秀，刘晋，等.华南师范大学：电子签章催生应用新模式[J].中国教育网络，2021（2）：84-86.

[4]邵园园，文捷，赵洁，等.复旦大学电子签章多场景应用模式[J].中国教育网络，2023（1）：51-53.

[5]张倩云，潘威华.基于教务信息化场景下的高校可信电子成绩单的应用方案研究[J].电脑知识与技术，2024，20（5）：59-61.

【通联编辑：梁书】

基金项目：教育部-中国移动科研基金项目“教育系统网站发展指引研究”（MCM20180613）