黃蘭英，葉從歡

（1.湖北工程學(xué)院計(jì)算機(jī)與信息科學(xué)學(xué)院，湖北 孝感 432000；2.華中科技大學(xué)計(jì)算機(jī)科學(xué)學(xué)院，湖北 武漢 430077）

0 引 言

隨著信息化的發(fā)展，電子政務(wù)正在逐步取代傳統(tǒng)辦公模式，教育部辦公廳在2004年先后下發(fā)了《關(guān)于加快推進(jìn)教育系統(tǒng)政務(wù)信息化建設(shè)的通知》、《關(guān)于教育電子政務(wù)建設(shè)的指導(dǎo)意見》等一系列文件，確定了我國高校教育電子政務(wù)建設(shè)的整體框架，高校的電子政務(wù)就是把各學(xué)院管理系統(tǒng)和平臺（如人事信息管理系統(tǒng)、教務(wù)信息管理系統(tǒng)、科研信息管理系統(tǒng)、學(xué)生信息管理系統(tǒng)、設(shè)備管理信息系統(tǒng)、財(cái)務(wù)信息管理系統(tǒng)）整合到一起，以避免高校各部門之間各自為政、信息孤島的狀況出現(xiàn)［1］.但高校的電子政務(wù)安全問題隨即而來［2］，如：學(xué)校內(nèi)部保密的信息被泄漏、信息被他人非法篡改；廣大師生的身份被竊取、信息被惡意攻擊和破壞；電子公文格式不規(guī)范和密碼保護(hù)措施不嚴(yán)密；在訪問信息時(shí)每個訪問者角色的權(quán)限、責(zé)任以及角色的如何識別和如何鑒定等，這些隱患逐漸成為阻礙高校電子政務(wù)繼續(xù)發(fā)展的主要問題.如何確保信息的安全傳輸，如何防止來自內(nèi)部的信息泄露，身份驗(yàn)證，公文流轉(zhuǎn)時(shí)的數(shù)據(jù)加密和數(shù)據(jù)完整性、可靠性以及不可否認(rèn)性等信息安全問題已成為廣泛關(guān)注的焦點(diǎn).

筆者在分析公鑰基礎(chǔ)設(shè)施（Public Key Infrastructure，以下簡稱：PKI）的核心技術(shù)的基礎(chǔ)上，探討采用橋認(rèn)證構(gòu)建認(rèn)證中心（Certificate Authentication，以下簡稱：CA）、使用輕量目錄訪問協(xié)議（Lightweight Directory Access Protocol，以下簡稱：LDAP）構(gòu)建高校PKI的證書庫、使用角色及權(quán)限的訪問控制（Role Based Access Control，以下簡稱：RBAC）策略訪問信息等方面來解決高校電子政務(wù)中對于身份認(rèn)證、訪問控制、信息安全的需求問題，提高高校電子政務(wù)系統(tǒng)的安全性和穩(wěn)定性.

1 公鑰基礎(chǔ)設(shè)施技術(shù)

PKI是利用公鑰理論和技術(shù)（密碼技術(shù)、數(shù)字信封、數(shù)字簽名技術(shù)等）建立的提供信息安全服務(wù)的基礎(chǔ)設(shè)施，是國際標(biāo)準(zhǔn)的安全管理平臺，即信息安全基礎(chǔ)中的核心［2－5］.PKI的理論基礎(chǔ)是研究信息安全保密的密碼學(xué)，它分為密碼編碼學(xué)和密碼分析學(xué)，PKI是解決加密和信任問題的基本解決方案［5］.

一個典型的PKI組成系統(tǒng)（如圖1），主要包括以下部分［2，6］：

a.數(shù)字證書認(rèn)證中心（CA）：數(shù)字證書認(rèn)證中心CA是PKI的核心，CA主要負(fù)責(zé)對本系統(tǒng)內(nèi)證書生命周期的管理：如證書的申請、更新、撤銷、發(fā)布、備份、恢復(fù)和歸檔等［2，4］.

b.密鑰管理中心（KMC）：密鑰管理中心（Key Management Center，以下簡稱：KMC）向CA服務(wù)提供相關(guān)密鑰服務(wù)，它是整個信任體系的核心安全部分，主要負(fù)責(zé)密鑰的管理（如密鑰的生成、密鑰的分發(fā)、密鑰的存儲、密鑰的備份和更新以及密鑰的撤銷和恢復(fù)等［4－5，7－8］）和安全.

c.注冊中心（RA）：注冊中心（Registration Authority，以下簡稱：RA）是CA認(rèn)證中心的延伸，主要負(fù)責(zé)對證書申請用戶信息的錄入、審核及制證、發(fā)證等；RA是數(shù)字證書的審核、申請和注冊中心，RA注冊中心由CA認(rèn)證中心授權(quán)管理［9－10］.

d.證書庫與證書發(fā)布系統(tǒng)：CA簽發(fā)證書的存儲和證書吊銷列表，便于用戶方便地取得證書和證書吊銷列表信息；還提供輕量目錄訪問協(xié)議（LDAP）服務(wù)和注冊服務(wù)［2，6，8］.

e.PKI應(yīng)用：主要是在web服務(wù)器之間的通訊、電子數(shù)據(jù)交換（EDI）、電子郵件、信用卡交易和虛擬私人網(wǎng)絡(luò)（VPN）等客戶端應(yīng)用軟件［2］.

圖1 PKI的組成框架Fig.1 PKI composition system

數(shù)字證書認(rèn)證中心CA、密鑰管理中心KMC、注冊中心RA、證書庫是PKI的關(guān)鍵組件；PKI通過密碼加密技術(shù)、數(shù)字證書、數(shù)字簽名等技術(shù)保證網(wǎng)絡(luò)上數(shù)據(jù)的保密性、有效性、完整性、不可否認(rèn)性以及身份的合法性，它為電子政務(wù)的發(fā)展提供了一套安全的基礎(chǔ)平臺、技術(shù)規(guī)范和一個安全的電子政務(wù)環(huán)境［2，4，9－10］.

2 基于PKI的高校電子政務(wù)的安全構(gòu)建

目前高校電子政務(wù)信息安全的解決方案主要集中在物理安全、系統(tǒng)安全和網(wǎng)絡(luò)安全層面（如防火墻、入侵檢測、防病毒等），還沒有應(yīng)用層面的信息安全平臺和全網(wǎng)統(tǒng)一的安全方案；PKI技術(shù)對解決高校電子政務(wù)中存在的應(yīng)用層面安全問題是一個比較好的選擇（如身份驗(yàn)證、數(shù)據(jù)加密和數(shù)據(jù)完整性等）.圖2所示的高校電子政務(wù)PKI的構(gòu)架模型是對文獻(xiàn)［8］模型的修改，其中包括有端實(shí)體（即個人用戶和應(yīng)用系統(tǒng)）、目錄服務(wù)、CA認(rèn)證管理、RA管理器、用戶管理器等，每個校園網(wǎng)PKI系統(tǒng)有一個根CA，分校區(qū)設(shè)立一個下級CA，分校校區(qū)都有一個RA與之相連，證書庫位于不同的目錄服務(wù)，當(dāng)用戶需要查詢證書時(shí)，先向CA提出申請，然后由子CA從證書庫中提取證書信息，CA之間是交叉認(rèn)證.對于高校電子政務(wù)安全體系而言，一個高效率的CA中心、一個安全的角色訪問控制和一個穩(wěn)定的證書庫對教育電子政務(wù)應(yīng)用平臺是必要的，筆者的研究是建立在高校PKI系統(tǒng)框架模型基礎(chǔ)上（圖2），從CA認(rèn)證、證書庫、訪問控制等方面進(jìn)行高校電子政務(wù)PKI安全體系的分析和構(gòu)建.

圖2 高校PKI系統(tǒng)框架模型Fig.2 System framework model of colleges based on PKI

2.1 橋CA認(rèn)證結(jié)構(gòu)

CA服務(wù)器是整個高校PKI電子政務(wù)證書機(jī)構(gòu)的核心［2，11］，根據(jù)CA 間的關(guān)系，PKI的體系 結(jié)構(gòu)有三種情況：單個CA，分級（層次）結(jié)構(gòu)的CA（從屬關(guān)系）和網(wǎng)狀結(jié)構(gòu)的CA（對等關(guān)系）.三種情況各有優(yōu)點(diǎn)且用在不同的條件下，但單個CA的結(jié)構(gòu)不易擴(kuò)展到支持大量的不同的群體的用戶；分級結(jié)構(gòu)的CA的缺點(diǎn)是它依賴于根CA，若根CA安全性削弱，將導(dǎo)致整個PKI系統(tǒng)安全性削弱；分級結(jié)構(gòu)的CA是所有的信任都集中在根CA，而一旦該可信任點(diǎn)出現(xiàn)故障，后果是災(zāi)難性的.高校PKI電子政務(wù)一般采用的是分級CA，由于各種原因，現(xiàn)在很多高校都有兩個甚至多個校區(qū)，校區(qū)之間的物理距離也很遠(yuǎn)，再加上各院系和部門之間功能相對獨(dú)立，有必要使用多個CA（如圖2），而且所有CA的公鑰驗(yàn)證用戶的證書都必須是可信的.對于高校電子政務(wù)來說，由于高校各部門、院系之間不是從屬關(guān)系，因此不能簡單使用分級的CA結(jié)構(gòu)；但在一個院系或部門內(nèi)部，從屬關(guān)系還是存在的，因此也不能簡單地使用網(wǎng)狀結(jié)構(gòu)的CA.結(jié)合高校特點(diǎn)，在高校電子政務(wù)體系中構(gòu)建橋CA認(rèn)證體系（如圖3）：在各部門內(nèi)部使用分級的CA認(rèn)證，各部門之間通過學(xué)校的中心CA進(jìn)行橋接CA認(rèn)證，并且可以根據(jù)學(xué)校規(guī)模的大小設(shè)立相應(yīng)的CA認(rèn)證中心的數(shù)量，進(jìn)行交叉認(rèn)證，從而建立高校PKI的信任模型.

圖3 基于PKI的橋CA連接不同結(jié)構(gòu)Fig.3 Bridge CA interface structure on PKI

在圖3中，橋CA分別與CA1、CA2、CA3建立對等信任關(guān)系，那么CA1、CA2、CA3就是各自PKI體系中的主CA.用戶U1和U6可以通過他們各自的可信任點(diǎn)CA2和CA3，經(jīng)橋CA的連接建立起信任關(guān)系，進(jìn)行安全通信.

2.2 LDAP的高校PKI證書庫

LDAP是輕量目錄訪問協(xié)議（Lightweight Directory Access Protocol），目錄是一個以“樹型”為數(shù)據(jù)組織結(jié)構(gòu)的特殊數(shù)據(jù)庫，存放信息的載體，比關(guān)系型數(shù)據(jù)庫具有更高的查詢速度［12］.證書庫用于發(fā)布通過認(rèn)證中心CA認(rèn)可的數(shù)字證書，是高校PKI電子政務(wù)系統(tǒng)的數(shù)據(jù)存儲中心和發(fā)布中心；證書庫發(fā)布的數(shù)字證書包含了證書持有者的個人詳細(xì)信息、CA的數(shù)字簽名和公鑰等，為了保證證書內(nèi)容的可靠性，一般通過證書上CA的簽名驗(yàn)證，就可以確認(rèn)每個持有者的公鑰的真實(shí)性和身份的合法性［12－14］.由于高校電子政務(wù)系統(tǒng)中用戶對證書的查詢請求非常頻繁，構(gòu)建LDAP的證書庫（如圖4虛線所示）尤為重要［2］，可以大大優(yōu)化證書的匹配、查詢、維護(hù)等功能，避免在使用中不同數(shù)據(jù)庫之間復(fù)雜的協(xié)議轉(zhuǎn)換，保證對合法使用者的身份有效認(rèn)證、提高查詢響應(yīng)頻率.

圖4 LDAP的PKI證書庫Fig.4 PKI certificate library based on LDAP

圖4虛線部分有主庫（主LDAP目錄）和從庫（從LDAP目錄）組成，證書庫的內(nèi)容包括：證書和CRL、證書庫版本號、證書目錄樹下的修改操作日志.管理實(shí)體負(fù)責(zé)主庫中的各種數(shù)據(jù)維護(hù)（如x.509證書和CRL），RA負(fù)責(zé)向CA提交請求和用戶證書申請，CA負(fù)責(zé)證書的簽發(fā)以及維護(hù)主LDAP目錄（主證書庫）中的證書狀態(tài)；目錄復(fù)制功能（Replica）是將CA對主庫的修改操作通過主LDP目錄（主庫）實(shí)時(shí)地反映到從LDP目錄（從庫）中，LDAPS的功能是維護(hù)、定期檢測從庫的數(shù)據(jù)、日志或證書庫的版本號是否和主庫的一致，若主庫和從庫有一方發(fā)生故障，Replica能保持證書庫的正常服務(wù)和數(shù)據(jù)的穩(wěn)定性.

2.3 RBAC角色的訪問控制

訪問控制就是用戶對訪問系統(tǒng)的請求進(jìn)行控制，也就是準(zhǔn)許或限制訪問能力及范圍的一種方法［15］.通過訪問控制可以防止合法用戶對系統(tǒng)資源的非法使用和非法用戶進(jìn)入系統(tǒng)、非法訪問關(guān)鍵資源；傳統(tǒng)的訪問控制實(shí)現(xiàn)通常依賴于系統(tǒng)安全的授權(quán)服務(wù)才能建立用戶的身份［15］.由于高校電子政務(wù)資源豐富，查詢和訪問的人多，且訪問的角色（如院長、主任、老師、學(xué)生）不同、權(quán)限也不同；為了確保安全、有效訪問高校電子政務(wù)PKI系統(tǒng)中的資源，建立基于PKI的角色及權(quán)限訪問控制策略RBAC（如圖5）尤為重要［2］.例如：一個普通教師通過證書登陸系統(tǒng)（他的證書的角色及權(quán)限關(guān)系已在證書擴(kuò)展項(xiàng)中指明），系統(tǒng)在驗(yàn)證證書的過程中，自動通過檢查證書的角色和權(quán)限的關(guān)系來決定這張證書的使用者可以進(jìn)行考分登記或修改、查詢課表和教室等操作.

圖5 RBAC訪問控制Fig.5 Access control model based on RBAC

圖5中“角色——權(quán)限”和“用戶——角色”之間用雙箭頭相連表示角色權(quán)限分配（Permission－Role Assignment，以下簡稱：PRA）關(guān)系和用戶角色分配（User－Role Assignment，以下簡稱：URA）關(guān)系都是多對多的關(guān)系.在角色權(quán)限分配PRA關(guān)系中［2］：一個角色可包含多個權(quán)限，同樣一個權(quán)限可被多個角色所擁有；在用戶角色分配URA關(guān)系中：一個用戶可以分配多個角色（例如院長擁有老師和領(lǐng)導(dǎo)角色），一個角色可授權(quán)給多個用戶.圖4中基于PKI的RBAC訪問控制就是在用戶和訪問權(quán)限之間引入角色，用戶不直接與權(quán)限相關(guān)聯(lián)，用戶通過角色享有權(quán)限來訪問系統(tǒng)資源.訪問控制過程分成兩個部分：訪問權(quán)限與訪問角色，RBAC訪問控制中角色與權(quán)限是邏輯分離的，從而保證了高校PKI電子政務(wù)訪問控制的信息安全.

綜上所述，在基于PKI的高校電子政務(wù)平臺采用橋CA認(rèn)證體系、LDAP的證書庫、RBAC的訪問控制能有效解決高校電子政務(wù)對于身份認(rèn)證、訪問控制、信息安全等問題.

3 結(jié) 語

PKI在高校電子政務(wù)的安全應(yīng)用目前已在本院實(shí)施，取得了良好效果.如PKI中的數(shù)字簽名、數(shù)字認(rèn)證、角色訪問控制已應(yīng)用到本院信息管理系統(tǒng)、論文管理系統(tǒng)、學(xué)生實(shí)驗(yàn)信息管理系統(tǒng)等環(huán)節(jié)中.高校電子政務(wù)PKI的安全問題還必須在PKI策略的指導(dǎo)下進(jìn)行：建立數(shù)據(jù)備份基礎(chǔ)設(shè)施，以物理安全和人員的管理來解決高校電子政務(wù)內(nèi)部人為的安全問題；制定學(xué)校的安全規(guī)定和相關(guān)的法律法規(guī)來保證高校電子政務(wù)PKI的安全；建立信息安全保護(hù)的技術(shù)機(jī)制，用技術(shù)上的安全策略來保證高校電子政務(wù)PKI的安全.隨著社會信息化的不斷深入，PKI作為信息安全的基礎(chǔ)設(shè)施將逐步顯示它的重要性，PKI是一項(xiàng)十分成熟的技術(shù)，隨著PKI技術(shù)應(yīng)用的不斷深入發(fā)展和PKI技術(shù)本身的不斷變化和完善，因特網(wǎng)以及高校電子政務(wù)網(wǎng)的應(yīng)用已越來越離不開PKI技術(shù)的支持，高校電子政務(wù)PKI系統(tǒng)將在未來的校園信息安全領(lǐng)域發(fā)揮作用.

［1］李鳴.我國電子政務(wù)發(fā)展綜述［J］.武漢工程大學(xué)學(xué)報(bào)，2010，32（4）：52－55.

［2］張靖.公鑰基礎(chǔ)設(shè)施在高校電子政務(wù)安全中的應(yīng)用［D］.武漢：華中科技大學(xué)，2006.

［3］李偉平.基于服務(wù)的公鑰密碼應(yīng)用支持系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)［D］.長春：吉林大學(xué)，2011.

［4］周楊，王春枝.PKI體系下的電子政務(wù)信息安全研究［J］.軟件導(dǎo)刊，2009，8（3）：161－163.

［5］Adams C，Lloyd S.公開密鑰基礎(chǔ)設(shè)施——概念、標(biāo)準(zhǔn)和實(shí)施［M］.馮登國，譯.北京：人民郵電出版社，2001.

［6］黃蘭英.基于PKI的電子政務(wù)安全策略［J］.孝感學(xué)院學(xué)報(bào)，2005.3：74－77.

［7］范明鈺，王光衛(wèi).密碼學(xué)理論與技術(shù)［M］.北京：清華大學(xué)出版社，2008.

［8］聶維.PKI技術(shù)及其在校園網(wǎng)中的應(yīng)用研究［D］.上海：華東師范大學(xué)，2008.

［9］王啟建.基于PKI技術(shù)的安全電子政務(wù)系統(tǒng)的設(shè)計(jì)［D］.曲阜：曲阜師范大學(xué)，2007.

［10］張福賓，張春海.基于PKI的安全電子政務(wù)應(yīng)用［J］.計(jì)算機(jī)工程，2004，30（6）：130－132.

［11］強(qiáng)勇軍.PKI／CA的構(gòu)建與應(yīng)用［D］.成都：電子科技大學(xué)，2006.

［12］高毓航，龔儉.基于LDAP目錄服務(wù)的PKI證書庫研究與設(shè)計(jì)［J］.計(jì)算機(jī)工程，2009，12：61－67.

［13］張靖，馬丁.LDAP目錄服務(wù)在PKI中的應(yīng)用［J］.河南科技學(xué)院學(xué)報(bào)：自然科學(xué)版，2006，1：106－109.

［14］趙紅云，趙福祥，陳硯圃.輕量級目錄訪問協(xié)議在證書庫中的應(yīng)用［J］.計(jì)算機(jī)應(yīng)用與軟件，2007，11：198－200.

［15］侯奮飛，宋宇波.基于PMI的電子政務(wù)訪問控制體系［J］.計(jì)算機(jī)工程，2004，17：114－116.