依托網絡信任體系開發政務應用

徐　穎

對網絡信任體系的理解

在網絡信任體系的概念中，信任體系的服務內容是“身份認證、授權管理、責任認定”三部分。要區分網絡信任體系與應用信任體系，關鍵是在：

1.應用身份認證和網絡身份認證的不同；

2.應用授權管理和網絡授權管理的不同；

3.應用責任認定和網絡責任認定的不同；

其核心問題其實是：

1.信任體系是面向全程全網，還是面向處室應用、部門應用？

2.信任體系是面向互聯互通，還是面向信息孤島、信任孤島？

傳統的應用層信任體系對于身份認證是由應用系統各自來做的，通過由應用系統調用接口，在應用系統前面放置網關，或者交由Portal來統一完成，按照這種模式構建的應用層信任體系雖然對應用系統提供了強認證保護，但卻各自為政，形成了一個個“孤島”。

應用層信任體系的授權管理也是由應用系統各自完成的，各個應用系統對用戶的標識方式，角色定義和授權方式都不相同，且只能對所屬部門或單位的用戶進行授權，一旦資源需要向其他部門的用戶共享則會遇到不少困難。

而應用層的責任認定往往是以應用系統及其數據庫的日志文件為基礎，當用戶進了應用系統之后可以通過這些日志信息來對行為進行追溯，可是一旦用戶退出應用系統，其在網絡上的行蹤就不再能夠被記錄。

傳統的應用層信任體系的信息安全解決方案是面向一個個應用系統、堡壘式的局部解決方案，形象地說是“各人自掃門前雪，休管他人瓦上霜”，只有在我的應用系統的服務范圍內，我的信息安全保障才起作用，這嚴重阻礙了大規模互聯互通和信息共享的真正實現。網絡信任體系的建設正是有效的解決之道，它立足安全、支撐網絡和應用，突破孤島，建設面向業務服務、具有業務特征的業務網。

網絡信任體系的模型

IP網是目前政務網絡的承載網，網絡信任體系就是要在IP網絡的基礎上構建一個統一的業務網絡信任層，在該信任層上具備業務屬性，能夠與政務業務無縫結合，并支持政府業務在這個業務網絡信任層上開展跨域和全局業務。

(一)內涵

業務網絡層的模型如下圖所示。

（1）使網絡具有信任屬性

接入網絡的用戶和應用資源要納入統一的注冊管理，成為可信的用戶和可信的資源；用戶在網絡中有網絡準入權和資源訪問權，其權限的鑒權與訪問控制完全基于用戶身份；用戶從進入網絡、到訪問應用全程行為都被記錄，從而在網絡層面實現了“身份認證、授權管理、責任認定”，使信任成為網絡的一個屬性。

（2）使網絡具有業務屬性

網絡不再僅僅對IP、端口、DNS、流量、QOS等進行管理，更要對接入的用戶和資源進行管理，從全網的角度為“互聯互通、信息共享、業務協同”提供服務，使網絡具備業務屬性。

（3）使網絡具備基本服務能力

使網絡具備基于身份的認證、授權、鑒權、訪問控制和責任認定等基本服務能力，供全網的接入用戶和應用資源使用，同時也支持對其他服務的擴展。

（4）使網絡具備支撐全局業務的能力

網絡信任體系構建在網絡層面，通過集中式管理、分布式部署可以為全網的真正連通提供保障，突破了“信任孤島”，在此基礎之上整合、提供數據交換、信息共享和業務協同等服務，解決異構、異源應用系統之間的信息交換與共享問題，突破了“信息孤島”，使業務網信任層成為了能夠支撐全程全網全業務的可信業務網絡。

(二)外延

網絡信任體系的建設需要統一的網絡用戶管理、統一的身份認證、統一的授權管理、統一的責任認定以及統一的密碼策略支持，在這五個統一的背后還需要統一的元數據標準的支持。

網絡信任體系中心平臺的建設僅僅是網絡信任服務的源點，而要使得信任服務真正延伸到各個部門，還需要各部門進行網絡信任體系的接入。正如電力工業是國民經濟的重要基礎設施，那么網絡信任體系中心就是是網絡信任體系的發電廠，這個發電廠發出來的不是電，而是信任服務，包括身份認證、授權管理和責任認定三大功能，而這三大作用是通過這個發電廠建設的各種功能來提供的：統一用戶管理功能、統一身份認證功能、統一元數據管理功能、統一授權管理功能、統一責任認定功能和統一密碼策略支持。同時，正如發電廠需要通過輸電、配電和供電網絡和設備將電傳遞給千家萬戶，在千家萬戶通過適配（變壓器）為各種用電設備提供電能一樣，網絡信任體系中心也需要有傳輸網絡和各個部門的接入設備才能使得這種信任服務傳輸到各個部門，而信任接入設備正是連接部門用戶、資源、應用系統和網絡信任體系中心的橋梁。這些信任接入設備就包括了網關、訪問控制服務、注冊與授權等。

依托網絡信任體系開發應用

(一)基于統一認證服務開發應用

網絡信任體系的統一用戶管理和統一認證服務為用戶訪問應用系統提供了基于強身份認證的訪問接入控制。應用系統可以弱化自己的用戶管理和認證部分，也可以保留自己的用戶管理模塊，但用戶身份認證則由業務網絡的網絡信任體系統一進行，確保系統的安全性。

這樣，從電子政務業務網上發起的對應用系統的訪問，首先經過業務網的嚴格身份認證，通過認證，并且具有合法訪問權的可信用戶才能夠進入到應用系統，獲取相關的資源訪問權限，或者進行相關的操作。可信用戶的真實身份，由業務網負責向應用系統通知。

(二)基于統一授權管理開發應用

基于網絡信任體系的統一授權管理開發應用系統時，應用系統只需完成各個功能模塊的邏輯實現即可，授權則通過業務網絡實現。對應用系統的授權分為接入級授權和模塊級授權。

第一、接入級授權。將應用系統注冊到業務網絡上，此時是將應用系統作為一個整體，對部門、組（職務）、人員分別進行授權（這些部門、組、人員都已經在業務網上進行了統一的管理）。

第二、模塊級授權。將應用系統的相關模塊注冊到業務網絡上，此時是以每一個注冊模塊為引，對部門、組（職務）和人員分別進行授權。

用戶訪問應用系統時，網關先獲取接入級授權，并進行鑒權，鑒權通過后，將用戶的訪問請求接入到應用系統；再獲取該用戶的模塊級授權，對用戶操作功能模塊的行為，進行鑒權。

(三)基于統一的責任認定進行跨域應用行為審計

只有在網絡層建立責任認定服務，才能全方位地的進行責任認定。用戶上網、跨過了網絡信任域、進出某應用系統、訪問網絡共享資源、進行信息交換和業務協同、對密碼的調用等的全部可能網絡行為都有記錄，并基于網絡的責任認定策略進行事后的責任追蹤。這是可以全程追溯的認定模式，改變了應用系統把用戶連貫的網絡訪問行為分成一個個片段，分別以不同格式、不同方式記錄在不同應用系統中的模式。

(四)實現面向應用的可信共享資源管理

各部門的對外共享資源由各部門的管理員制作、組織、發布、授權并進行維護，并保存在本網內的網絡注冊與授權系統中，納入業務網的統一授權管理，在統一資源管理下實現資源的可信發布和可信授權共享。

部門進行共享資源制作發布的流程示意如下圖：

（作者單位：浙江省行政首腦機關信息中心）