高校電子政務(wù)公鑰設(shè)施探究

1、高校電子政務(wù)公鑰設(shè)施探究 公鑰基礎(chǔ)設(shè)施技術(shù) pki是利用公鑰理論和技術(shù)（密碼技術(shù)、數(shù)字信封、數(shù)字簽名技術(shù)等）建立的提供信息安全服務(wù)的基礎(chǔ)設(shè)施，是國(guó)際標(biāo)準(zhǔn)的安全管理平臺(tái)，即信息安全基礎(chǔ)中的核心25pki的理論基礎(chǔ)是研究信息安全保密的密碼學(xué)，它分為密碼編碼學(xué)和密碼分析學(xué)，pki是解決加密和信任問(wèn)題的基本解決方案5一個(gè)典型的pki組成系統(tǒng)（如圖1），主要包括以下部分2，6：a數(shù)字證書(shū)認(rèn)證中心（ca）：數(shù)字證書(shū)認(rèn)證中心ca是pki的核心，ca主要負(fù)責(zé)對(duì)本系統(tǒng)內(nèi)證書(shū)生命周期的管理：如證書(shū)的申請(qǐng)、更新、撤銷、發(fā)布、備份、恢復(fù)和歸檔等2，4b密鑰管理中心（kmc）：密鑰管理中心（keymanagementc

2、enter，以下簡(jiǎn)稱：kmc）向ca服務(wù)提供相關(guān)密鑰服務(wù)，它是整個(gè)信任體系的核心安全部分，主要負(fù)責(zé)密鑰的管理（如密鑰的生成、密鑰的分發(fā)、密鑰的存儲(chǔ)、密鑰的備份和更新以及密鑰的撤銷和恢復(fù)等45，78）和安全c注冊(cè)中心（ra）：注冊(cè)中心（registrationauthority，以下簡(jiǎn)稱：ra）是ca認(rèn)證中心的延伸，主要負(fù)責(zé)對(duì)證書(shū)申請(qǐng)用戶信息的錄入、審核及制證、發(fā)證等；ra是數(shù)字證書(shū)的審核、申請(qǐng)和注冊(cè)中心，ra注冊(cè)中心由ca認(rèn)證中心授權(quán)管理910d證書(shū)庫(kù)與證書(shū)發(fā)布系統(tǒng)：ca簽發(fā)證書(shū)的存儲(chǔ)和證書(shū)吊銷列表，便于用戶方便地取得證書(shū)和證書(shū)吊銷列表信息；還提供輕量目錄訪問(wèn)協(xié)議（ldap）服務(wù)和注冊(cè)服務(wù)2，

3、6，8epki應(yīng)用：主要是在web服務(wù)器之間的通訊、電子數(shù)據(jù)交換（edi）、電子郵件、信用卡交易和虛擬私人網(wǎng)絡(luò)（vpn）等客戶端應(yīng)用軟件2數(shù)字證書(shū)認(rèn)證中心ca、密鑰管理中心kmc、注冊(cè)中心ra、證書(shū)庫(kù)是pki的關(guān)鍵組件；pki通過(guò)密碼加密技術(shù)、數(shù)字證書(shū)、數(shù)字簽名等技術(shù)保證網(wǎng)絡(luò)上數(shù)據(jù)的保密性、有效性、完整性、不可否認(rèn)性以及身份的合法性，它為電子政務(wù)的發(fā)展提供了一套安全的基礎(chǔ)平臺(tái)、技術(shù)規(guī)范和一個(gè)安全的電子政務(wù)環(huán)境2，4，910 基于pki的高校電子政務(wù)的安全構(gòu)建 目前高校電子政務(wù)信息安全的解決方案主要集中在物理安全、系統(tǒng)安全和網(wǎng)絡(luò)安全層面（如防火墻、入侵檢測(cè)、防病毒等），還沒(méi)有應(yīng)用層面的信息安全平

4、臺(tái)和全網(wǎng)統(tǒng)一的安全方案；pki技術(shù)對(duì)解決高校電子政務(wù)中存在的應(yīng)用層面安全問(wèn)題是一個(gè)比較好的選擇（如身份驗(yàn)證、數(shù)據(jù)加密和數(shù)據(jù)完整性等）圖2所示的高校電子政務(wù)pki的構(gòu)架模型是對(duì)文獻(xiàn)8模型的修改，其中包括有端實(shí)體（即個(gè)人用戶和應(yīng)用系統(tǒng)）、目錄服務(wù)、ca認(rèn)證管理、ra管理器、用戶管理器等，每個(gè)校園網(wǎng)pki系統(tǒng)有一個(gè)根ca，分校區(qū)設(shè)立一個(gè)下級(jí)ca，分校校區(qū)都有一個(gè)ra與之相連，證書(shū)庫(kù)位于不同的目錄服務(wù)，當(dāng)用戶需要查詢證書(shū)時(shí)，先向ca提出申請(qǐng)，然后由子ca從證書(shū)庫(kù)中提取證書(shū)信息，ca之間是交叉認(rèn)證對(duì)于高校電子政務(wù)安全體系而言，一個(gè)高效率的ca中心、一個(gè)安全的角色訪問(wèn)控制和一個(gè)穩(wěn)定的證書(shū)庫(kù)對(duì)教育電子政務(wù)應(yīng)

5、用平臺(tái)是必要的，筆者的研究是建立在高校pki系統(tǒng)框架模型基礎(chǔ)上（圖2），從ca認(rèn)證、證書(shū)庫(kù)、訪問(wèn)控制等方面進(jìn)行高校電子政務(wù)pki安全體系的分析和構(gòu)建 橋ca認(rèn)證結(jié)構(gòu)ca服務(wù)器是整個(gè)高校pki電子政務(wù)證書(shū)機(jī)構(gòu)的核心2，11，根據(jù)ca間的關(guān)系，pki的體系結(jié)構(gòu)有三種情況：?jiǎn)蝹€(gè)ca，分級(jí)（層次）結(jié)構(gòu)的ca（從屬關(guān)系）和網(wǎng)狀結(jié)構(gòu)的ca（對(duì)等關(guān)系）三種情況各有優(yōu)點(diǎn)且用在不同的條件下，但單個(gè)ca的結(jié)構(gòu)不易擴(kuò)展到支持大量的不同的群體的用戶；分級(jí)結(jié)構(gòu)的ca的缺點(diǎn)是它依賴于根ca，若根ca安全性削弱，將導(dǎo)致整個(gè)pki系統(tǒng)安全性削弱；分級(jí)結(jié)構(gòu)的ca是所有的信任都集中在根ca，而一旦該可信任點(diǎn)出現(xiàn)故障，后果是災(zāi)難性

6、的高校pki電子政務(wù)一般采用的是分級(jí)ca，由于各種原因，現(xiàn)在很多高校都有兩個(gè)甚至多個(gè)校區(qū)，校區(qū)之間的物理距離也很遠(yuǎn)，再加上各院系和部門之間功能相對(duì)獨(dú)立，有必要使用多個(gè)ca（如圖2），而且所有ca的公鑰驗(yàn)證用戶的證書(shū)都必須是可信的對(duì)于高校電子政務(wù)來(lái)說(shuō)，由于高校各部門、院系之間不是從屬關(guān)系，因此不能簡(jiǎn)單使用分級(jí)的ca結(jié)構(gòu)；但在一個(gè)院系或部門內(nèi)部，從屬關(guān)系還是存在的，因此也不能簡(jiǎn)單地使用網(wǎng)狀結(jié)構(gòu)的ca結(jié)合高校特點(diǎn)，在高校電子政務(wù)體系中構(gòu)建橋ca認(rèn)證體系（如圖3）：在各部門內(nèi)部使用分級(jí)的ca認(rèn)證，各部門之間通過(guò)學(xué)校的中心ca進(jìn)行橋接ca認(rèn)證，并且可以根據(jù)學(xué)校規(guī)模的大小設(shè)立相應(yīng)的ca認(rèn)證中心的數(shù)量，進(jìn)行

7、交叉認(rèn)證，從而建立高校pki的信任模型。橋ca分別與ca1、ca2、ca3建立對(duì)等信任關(guān)系，那么ca1、ca2、ca3就是各自pki體系中的主ca用戶u1和u6可以通過(guò)他們各自的可信任點(diǎn)ca2和ca3，經(jīng)橋ca的連接建立起信任關(guān)系，進(jìn)行安全通信 ldap的高校pki證書(shū)庫(kù)ldap是輕量目錄訪問(wèn)協(xié)議（lightweightdirectoryaccessprotocol），目錄是一個(gè)以樹(shù)型為數(shù)據(jù)組織結(jié)構(gòu)的特殊數(shù)據(jù)庫(kù)，存放信息的載體，比關(guān)系型數(shù)據(jù)庫(kù)具有更高的查詢速度12證書(shū)庫(kù)用于發(fā)布通過(guò)認(rèn)證中心ca認(rèn)可的數(shù)字證書(shū)，是高校pki電子政務(wù)系統(tǒng)的數(shù)據(jù)存儲(chǔ)中心和發(fā)布中心；證書(shū)庫(kù)發(fā)布的數(shù)字證書(shū)包含了證書(shū)持有者

8、的個(gè)人詳細(xì)信息、ca的數(shù)字簽名和公鑰等，為了保證證書(shū)內(nèi)容的可靠性，一般通過(guò)證書(shū)上ca的簽名驗(yàn)證，就可以確認(rèn)每個(gè)持有者的公鑰的真實(shí)性和身份的合法性1214由于高校電子政務(wù)系統(tǒng)中用戶對(duì)證書(shū)的查詢請(qǐng)求非常頻繁，構(gòu)建ldap的證書(shū)庫(kù)（如圖4虛線所示）尤為重要2，可以大大優(yōu)化證書(shū)的匹配、查詢、維護(hù)等功能，避免在使用中不同數(shù)據(jù)庫(kù)之間復(fù)雜的協(xié)議轉(zhuǎn)換，保證對(duì)合法使用者的身份有效認(rèn)證、提高查詢響應(yīng)頻率虛線部分有主庫(kù)（主ldap目錄）和從庫(kù)（從ldap目錄）組成，證書(shū)庫(kù)的內(nèi)容包括：證書(shū)和crl、證書(shū)庫(kù)版本號(hào)、證書(shū)目錄樹(shù)下的修改操作日志管理實(shí)體負(fù)責(zé)主庫(kù)中的各種數(shù)據(jù)維護(hù)（如x509證書(shū)和crl），ra負(fù)責(zé)向ca提交請(qǐng)

9、求和用戶證書(shū)申請(qǐng)，ca負(fù)責(zé)證書(shū)的簽發(fā)以及維護(hù)主ldap目錄（主證書(shū)庫(kù)）中的證書(shū)狀態(tài)；目錄復(fù)制功能（replica）是將ca對(duì)主庫(kù)的修改操作通過(guò)主ldp目錄（主庫(kù)）實(shí)時(shí)地反映到從ldp目錄（從庫(kù)）中，ldaps的功能是維護(hù)、定期檢測(cè)從庫(kù)的數(shù)據(jù)、日志或證書(shū)庫(kù)的版本號(hào)是否和主庫(kù)的一致，若主庫(kù)和從庫(kù)有一方發(fā)生故障，replica能保持證書(shū)庫(kù)的正常服務(wù)和數(shù)據(jù)的穩(wěn)定性#p#分頁(yè)標(biāo)題#e# rbac角色的訪問(wèn)控制訪問(wèn)控制就是用戶對(duì)訪問(wèn)系統(tǒng)的請(qǐng)求進(jìn)行控制，也就是準(zhǔn)許或限制訪問(wèn)能力及范圍的一種方法15通過(guò)訪問(wèn)控制可以防止合法用戶對(duì)系統(tǒng)資源的非法使用和非法用戶進(jìn)入系統(tǒng)、非法訪問(wèn)關(guān)鍵資源；傳統(tǒng)的訪問(wèn)控制實(shí)現(xiàn)通常依賴

10、于系統(tǒng)安全的授權(quán)服務(wù)才能建立用戶的身份15由于高校電子政務(wù)資源豐富，查詢和訪問(wèn)的人多，且訪問(wèn)的角色（如院長(zhǎng)、主任、老師、學(xué)生）不同、權(quán)限也不同；為了確保安全、有效訪問(wèn)高校電子政務(wù)pki系統(tǒng)中的資源，建立基于pki的角色及權(quán)限訪問(wèn)控制策略rbac（如圖5）尤為重要2例如：一個(gè)普通教師通過(guò)證書(shū)登陸系統(tǒng)（他的證書(shū)的角色及權(quán)限關(guān)系已在證書(shū)擴(kuò)展項(xiàng)中指明），系統(tǒng)在驗(yàn)證證書(shū)的過(guò)程中，自動(dòng)通過(guò)檢查證書(shū)的角色和權(quán)限的關(guān)系來(lái)決定這張證書(shū)的使用者可以進(jìn)行考分登記或修改、查詢課表和教室等操作角色權(quán)限和用戶角色之間用雙箭頭相連表示角色權(quán)限分配（permissionroleassignment，以下簡(jiǎn)稱：pra）關(guān)系和用

11、戶角色分配（userroleassignment，以下簡(jiǎn)稱：ura）關(guān)系都是多對(duì)多的關(guān)系在角色權(quán)限分配pra關(guān)系中2：一個(gè)角色可包含多個(gè)權(quán)限，同樣一個(gè)權(quán)限可被多個(gè)角色所擁有；在用戶角色分配ura關(guān)系中：一個(gè)用戶可以分配多個(gè)角色（例如院長(zhǎng)擁有老師和領(lǐng)導(dǎo)角色），一個(gè)角色可授權(quán)給多個(gè)用戶圖4中基于pki的rbac訪問(wèn)控制就是在用戶和訪問(wèn)權(quán)限之間引入角色，用戶不直接與權(quán)限相關(guān)聯(lián)，用戶通過(guò)角色享有權(quán)限來(lái)訪問(wèn)系統(tǒng)資源訪問(wèn)控制過(guò)程分成兩個(gè)部分：訪問(wèn)權(quán)限與訪問(wèn)角色，rbac訪問(wèn)控制中角色與權(quán)限是邏輯分離的，從而保證了高校pki電子政務(wù)訪問(wèn)控制的信息安全綜上所述，在基于pki的高校電子政務(wù)平臺(tái)采用橋ca認(rèn)證體系、ldap的證書(shū)庫(kù)、rbac的訪問(wèn)控制能有效解決高校電子政務(wù)對(duì)于身份認(rèn)證、訪問(wèn)控制、信息安全等問(wèn)題 結(jié)語(yǔ) pki在高校電子政務(wù)的安全應(yīng)用目前已在本院實(shí)施，取得了良好效果如pki中的數(shù)字簽名、數(shù)字認(rèn)證、角色訪問(wèn)控制已應(yīng)用到本院信息管理系統(tǒng)、論文管理系統(tǒng)、學(xué)生實(shí)驗(yàn)信息管理系統(tǒng)等環(huán)節(jié)中高校電子政務(wù)pki的安全問(wèn)題還必須在pki策略的指導(dǎo)下進(jìn)行：建立數(shù)據(jù)備份基礎(chǔ)設(shè)施，以物理安全和人員的管理來(lái)解決高校電子政務(wù)內(nèi)部人為的安全問(wèn)題；制定學(xué)校的安全規(guī)定和相關(guān)的法律法規(guī)來(lái)保證高校電子政務(wù)pki的安全；建立信息安全保護(hù)的技術(shù)機(jī)制，用技術(shù)上的安全策略來(lái)保證高校電子政務(wù)pki的安全隨著社會(huì)信息化的不斷深入，p