高校數字認證服務體系建設研究

葉新恩，霍濤濤

（中央財經大學 數字化校園建設辦公室，北京 100081）

高校數字認證服務體系建設研究

葉新恩，霍濤濤

（中央財經大學 數字化校園建設辦公室，北京 100081）

當前高校的數字化校園建設，在實際的應用過程中存在著安全隱患和便捷性差問題，為解決此問題，本文提出將電子商務中應用日益成熟的數字認證技術引入高校數字化校園建設，構建一個高校數字認證服務體系，以提升數字化校園的整體安全性能，并在日常管理和用戶應用中降低復雜性，進而提高高校數字化校園的應用效率。

高校數字認證；信息安全；數字化校園建設

一、數字化校園運維過程中面臨的問題

1.數字化校園的特點

數字化校園是以網絡為基礎，利用先進的信息化手段和工具，實現從環境（包括設備、教室等）、資源（如圖書、講義、課件等）到活動（包括教、學、管理、服務、辦公等）的全部數字化，在傳統校園的基礎上，構建一個數字空間，拓展現實校園的時間和空間維度，提升傳統校園的效率，擴展傳統校園的功能，最終實現教育過程的全面信息化，從而達到提高教學質量、科研和管理水平的目的。

數字化校園主要包括五個方面，分別是數字化教學、數字化科研、數字化管理、數字化服務和數字化生活，它具有網絡化、信息化和個性化的特點，整個數字化校園的所有活動都要基于網絡進行，需在信息環境下對各種資源進行數字化轉換，并借助于各種系統平臺進行應用；與傳統活動相比，數字化校園中的活動對象具有更大的自主性，活動方式和活動情境更加多元化。

高校數字化校園的建設和應用是一個互為前提、相互促進的關系，應用是建設的目的，而高效的應用則為進一步建設奠定方向，隨著學校信息化應用的不斷推廣，數據在網絡中傳輸的身份認證、機密性、完整性、合法性等問題已成為進一步發展和推動學校信息化應用的關鍵。

2.數字化校園的安全現狀

當前數字化校園建設在高校已經取得了很大的成果，但是在具體應用過程中則不斷出現許多有關安全方面的問題：

第一，利用一組隨機或有序的字符序列作為應用系統的登錄賬號和密碼是當前比較通用的身份驗證方式，由于其在一定程度上具有簡單易操作、成本低廉、維護方便的特點，因而得到廣泛應用，特別是在網絡范疇日益擴大的今天，已經成為一種主流的身份驗證方式。但是隨著計算機運算能力的不斷提高，盜號程序和密碼破譯程序層出不窮，再加上用戶安全意識因人而異，使得這種身份驗證方式的安全系數正逐步減低。

第二，大量的敏感數據（如財務數據、學生成績數據等）需要特殊的保護措施，明文傳遞存在安全隱患。隨著學校數字化校園建設不斷推進，大量核心、機密的數據和業務正逐步囊括到數字化校園之中，其中比較有代表性的是用于財務網上展示和工資代發的財務信息網絡查詢及工資外收入管理系統的建設，使得個人工資、部門經費、科研經費等具有一定保密性的數據可以在網上分權限查詢，這一方面方便了廣大師生的工作生活，另一方面對身份識別、權限識別、數據和業務安全提出了更高的要求。

第三，作為高校信息化的一部分，學校各種核心的對外展示窗口（如學校主頁、本科生招生網、研究生招生網等）需要加強保護，防止被肆意篡改。對于高校來說，學校主頁、各二級部門主頁、本科生和研究生的招生就業主頁，是社會認識學校的主要途徑，是學校的對外窗口，保證這些數據的安全刻不容緩。

第四，教育部提出的安全等級保護要求，對發展高校數字認證服務體系提出了迫切需求，也提供了發展契機。從2010年開始，教育部辦公廳開始敦促各高校對所有應用系統進行安全等級保護，使得高校數字認證服務成為一種趨勢。

二、高校數字認證的技術研討

1.數字認證的關鍵技術

（1）數字證書

數字證書（Certificate）是網絡通信中標志通信各方身份信息的一系列數據，提供一種在Internet上驗證身份的方式，其作用類似于現實生活中的身份證。它由權威機構發行，用來在網絡通訊中識別通訊各方的身份。

（2）數字認證

數字認證是借助于數字證書這一數字標識來進行的，以數字證書為技術載體，對網絡上傳輸的信息進行加密和解密、數字簽名和簽名驗證等操作，確保網上傳遞信息的機密性、完整性、操作者身份的真實性和不可否認性。

（3）公開密鑰基礎設施

數字認證的核心技術是PKI（Public Key Infrastructure）技術，即公開密鑰基礎設施，利用一對互相匹配的密鑰進行加密和解密。每個用戶自己設定唯一的僅為自己所知的私有密鑰（私鑰），用私鑰進行解密和簽名；同時設定一個公共密鑰（公鑰），由個人加以公開，讓特定的一組用戶所共享，用于加密和驗證簽名。PKI的基礎技術包括加密、數字簽名、數據完整機制、數字信封、雙重數字簽名等。公鑰基礎設施（PKI）是數字認證的基礎和核心。

（4）信任模式

信任模式研究的是PKI體系中用戶與證書簽發者以及各個證書簽發者之間的相互信任關系，如果有多個認證機構頒發的證書存在，則彼此相互信任保證用戶不拘泥于專一的認證中心，保證認證服務的擴展、管理和保護，其目的是確保一個認證機構簽發的身份證明被另一個認證機構下的用戶所信任。信任模式按照是否有第三方可信機構參與，分為直接信任和第三方的推薦信任。

2.高校數字認證的整體要求

（1）提升安全性

高校數字認證的根本目的是提升安全性，數字認證中多采用RSA算法、SM1對稱算法、SM2非對稱算法和SM3雜湊算法等，加密和解密采用的是兩個不同的密鑰，即使已知明文、密文和加密密鑰（公開密鑰），想要推導出解密密鑰（私密密鑰），在計算上也是不可能的。因此與傳統的字符序列身份驗證以及明文數據交換相比，從技術角度來看，其安全性是非常高的。

（2）促進便捷性

網絡環境下，安全性和便捷性似乎是矛與盾的對立關系，傳統觀念下，要保證安全性勢必要犧牲便捷性，如身份驗證的密碼越復雜，安全性越高，但是記憶和使用就越復雜；又如防火墻設置越嚴格，安全系數越好，但是速度和便捷性就相對越低。

在數字化校園活動中要充分利用數字認證來保證安全性時，不能增加普通用戶的應用復雜度，甚至必須有效簡化他們的身份驗證、數據交換過程，只有這樣才能真正實現高校數字化校園建設、提高學習和工作效率的初衷。

三、構建高校數字認證服務體系

針對高校數字化校園中活動的網絡化、信息化和個性化的特點，要構建一種全新的數字認證服務體系，需要建設一個新的認證基礎平臺，一個新的安全認證方式，一整套新的運行維護服務體制，以更好地實現數字校園安全目標。

1.數字認證中心

數字認證的載體是數字證書，因此要在高校中進行數字認證，首先需要構建一個數字證書認證中心，作為高校數字認證的基礎平臺，用于發放各種數字證書，對其發放的證書進行安全認證，并對外提供統一的證書應用接口。數字認證中心建設涉及證書用戶、管理員、應用系統和數字認證中心四大實體，他們之間的邏輯關系如圖1所示。

數字認證中心部署在高校信息中心內網中，包括認證服務器、注冊審核服務器、數據庫服務器、加密機和管理終端PC機各一臺，數字認證中心與內網其他應用系統之間采用防火墻進行邊界保護，其網絡拓撲圖如圖2所示。

2.數字認證系統整體框架

數字認證系統是高校數字認證的基礎平臺，主要分為核心層、管理層和服務層三層架構。

核心層：包括證書簽發子系統和密鑰管理子系統兩大子系統。其中，證書簽發子系統又分成根認證模塊、運行認證模塊、證書認證管理模塊、證書數據庫和主LDAP目錄服務系統等組成部分。密鑰管理子系統包括密鑰管理模塊和密碼管理數據庫。

管理層：即注冊審核子系統，由注冊審核模塊和注冊審核數據庫組成。注冊審核模塊需要與證書簽發子系統進行安全通信、業務對接。

服務層：包括證書服務系統和證書/證書狀態查詢系統。證書服務系統又細分為受理點服務模塊、用戶服務模塊。受理點服務模塊是高校證書的證書服務系統，由受理點的證書管理員操作；用戶服務模塊是證書用戶通過高校內網進行自助服務的系統。證書/證書狀態查詢系統包括證書/證書注銷列表（CRL）發布模塊和在線證書狀態協議（Online Certificate Status Protocol，簡稱OCSP）服務模塊。服務層對外的終端包括受理點管理終端和用戶終端，受理點管理終端支持PC機+USBKey，用戶終端支持手機和USBKey兩類介質。

高校數字認證系統的整體框架如圖3所示。

3.運行維護服務體制

高校數字化校園是“三分建設，七分運維”，高校數字認證服務亦是如此，要保證數字認證在數字化校園活動中起到切實的作用，就需要構建一整套完備的數字認證運維服務支撐體系，這包括規范的組織管理制度和相關標準、科學的認證基礎設施、人性化的數字證書日常運維系統、合理的應用支撐體系和科學嚴謹的安全管理體系，其整體框架如圖4所示。

（1）組織管理制度和相關標準：構建數字認證服務體系，首先需要確定組織管理體制，確定服務管理的人員、組織架構、職責等；然后根據高校數字認證服務的實際需要，依據國家政策法規和相關標準規范，制定出一整套能夠滿足本單位業務開展需要的標準規范，包括服務規范、技術規范和管理規范等。

（2）數字認證基礎設施：數字認證基礎設施是數字認證中心面向用戶提供服務的基礎，它提供數字證書的生產、運營、管理等基礎服務。數字認證基礎設施的建設包括數字認證系統建設、數字認證機房建設等內容。

（3）日常運維系統：開展高校數字認證服務，需要建立日常運維服務支撐系統。運維服務是指由認證中心交付給用戶與數字認證相關的一系列服務，包括用戶身份鑒證、證書申請、吊銷、更新、解鎖服務等等。

（4）應用支撐體系：建立高校數字認證服務體系的根本目標是通過數字證書提升應用系統的安全保障能力。證書如何用，是數字認證系統建設中需要考慮的核心問題。建立一套基于數字證書的應用支撐體系，將很好地支撐業務系統應用數字證書。應用支撐體系由數字認證系統認證服務、密碼服務、證書應用中間件及應用安全產品等方面構成。

（5）安全管理體系：作為一個信息安全的基礎設施，高校數字認證服務機構需要建立自身的安全管理體系。數字認證中心應從物理環境、網絡通信、人員權限管理、日志審計、數據安全、設備安全、策略安全等各個方面入手，建立具有高可靠性、高可用性、高安全性、能夠有效應對危機的數字認證服務。

四、總結

在國家“十二五”規劃綱要中，對教育信息化提出了更高要求，而高校數字化校園建設又是教育信息化的重要內容，其發展程度直接制約著整個高校教育信息化的水平。在高校中構建數字認證服務體系，逐步消除目前高校數字化校園中的各種潛在安全隱患，提升廣大師生數字校園活動的整體安全性和應用便捷性，是未來數字化校園建設的趨勢。高校數字認證建設中，系統建設是硬基礎，而管理和服務則屬于軟制度建設，在整個建設周期中處于第一要位，同時，應進一步加強數字認證專業研究，開發具有本單位特色的關鍵性安全技術產品，確保自己的安全自己負責，加強專業人才培養，才能保證數字認證服務切實對高校數字化校園建設起到促進作用，進而帶動整個高校教育事業快速發展。

[1]全國科學技術名詞審定委員會.科技名詞定義[EB/OL].2011-02-24/2011-03-08,http://baike.baidu. com/view/16501.htm.

[2]吳以四.走進數字認證[J].信息系統工程,2006(7).

[3]柯曉薇,何荊燕等.CA技術的應用領域[J].認證技術,2009（3）.

[4]沈培華,王映雪,蔣東興等.清華大學數字校園建設與思考[J].（中國）教育信息化,2002(2).

[5]韓錫斌,陳剛.基于知識管理的大學數字校園的概念、架構和策略[J].中國遠程教育,2005(8).

（編輯：隗爽）

TP309

A

1673-8454（2011）11-0016-04