公鑰基礎設施的高校電子政務安全研究

黃蘭英，葉從歡

（1.湖北工程學院計算機與信息科學學院，湖北 孝感 432000；2.華中科技大學計算機科學學院，湖北 武漢 430077）

0 引 言

隨著信息化的發展，電子政務正在逐步取代傳統辦公模式，教育部辦公廳在2004年先后下發了《關于加快推進教育系統政務信息化建設的通知》、《關于教育電子政務建設的指導意見》等一系列文件，確定了我國高校教育電子政務建設的整體框架，高校的電子政務就是把各學院管理系統和平臺（如人事信息管理系統、教務信息管理系統、科研信息管理系統、學生信息管理系統、設備管理信息系統、財務信息管理系統）整合到一起，以避免高校各部門之間各自為政、信息孤島的狀況出現［1］.但高校的電子政務安全問題隨即而來［2］，如：學校內部保密的信息被泄漏、信息被他人非法篡改；廣大師生的身份被竊取、信息被惡意攻擊和破壞；電子公文格式不規范和密碼保護措施不嚴密；在訪問信息時每個訪問者角色的權限、責任以及角色的如何識別和如何鑒定等，這些隱患逐漸成為阻礙高校電子政務繼續發展的主要問題.如何確保信息的安全傳輸，如何防止來自內部的信息泄露，身份驗證，公文流轉時的數據加密和數據完整性、可靠性以及不可否認性等信息安全問題已成為廣泛關注的焦點.

筆者在分析公鑰基礎設施（Public Key Infrastructure，以下簡稱：PKI）的核心技術的基礎上，探討采用橋認證構建認證中心（Certificate Authentication，以下簡稱：CA）、使用輕量目錄訪問協議（Lightweight Directory Access Protocol，以下簡稱：LDAP）構建高校PKI的證書庫、使用角色及權限的訪問控制（Role Based Access Control，以下簡稱：RBAC）策略訪問信息等方面來解決高校電子政務中對于身份認證、訪問控制、信息安全的需求問題，提高高校電子政務系統的安全性和穩定性.

1 公鑰基礎設施技術

PKI是利用公鑰理論和技術（密碼技術、數字信封、數字簽名技術等）建立的提供信息安全服務的基礎設施，是國際標準的安全管理平臺，即信息安全基礎中的核心［2－5］.PKI的理論基礎是研究信息安全保密的密碼學，它分為密碼編碼學和密碼分析學，PKI是解決加密和信任問題的基本解決方案［5］.

一個典型的PKI組成系統（如圖1），主要包括以下部分［2，6］：

a.數字證書認證中心（CA）：數字證書認證中心CA是PKI的核心，CA主要負責對本系統內證書生命周期的管理：如證書的申請、更新、撤銷、發布、備份、恢復和歸檔等［2，4］.

b.密鑰管理中心（KMC）：密鑰管理中心（Key Management Center，以下簡稱：KMC）向CA服務提供相關密鑰服務，它是整個信任體系的核心安全部分，主要負責密鑰的管理（如密鑰的生成、密鑰的分發、密鑰的存儲、密鑰的備份和更新以及密鑰的撤銷和恢復等［4－5，7－8］）和安全.

c.注冊中心（RA）：注冊中心（Registration Authority，以下簡稱：RA）是CA認證中心的延伸，主要負責對證書申請用戶信息的錄入、審核及制證、發證等；RA是數字證書的審核、申請和注冊中心，RA注冊中心由CA認證中心授權管理［9－10］.

d.證書庫與證書發布系統：CA簽發證書的存儲和證書吊銷列表，便于用戶方便地取得證書和證書吊銷列表信息；還提供輕量目錄訪問協議（LDAP）服務和注冊服務［2，6，8］.

e.PKI應用：主要是在web服務器之間的通訊、電子數據交換（EDI）、電子郵件、信用卡交易和虛擬私人網絡（VPN）等客戶端應用軟件［2］.

圖1 PKI的組成框架Fig.1 PKI composition system

數字證書認證中心CA、密鑰管理中心KMC、注冊中心RA、證書庫是PKI的關鍵組件；PKI通過密碼加密技術、數字證書、數字簽名等技術保證網絡上數據的保密性、有效性、完整性、不可否認性以及身份的合法性，它為電子政務的發展提供了一套安全的基礎平臺、技術規范和一個安全的電子政務環境［2，4，9－10］.

2 基于PKI的高校電子政務的安全構建

目前高校電子政務信息安全的解決方案主要集中在物理安全、系統安全和網絡安全層面（如防火墻、入侵檢測、防病毒等），還沒有應用層面的信息安全平臺和全網統一的安全方案；PKI技術對解決高校電子政務中存在的應用層面安全問題是一個比較好的選擇（如身份驗證、數據加密和數據完整性等）.圖2所示的高校電子政務PKI的構架模型是對文獻［8］模型的修改，其中包括有端實體（即個人用戶和應用系統）、目錄服務、CA認證管理、RA管理器、用戶管理器等，每個校園網PKI系統有一個根CA，分校區設立一個下級CA，分校校區都有一個RA與之相連，證書庫位于不同的目錄服務，當用戶需要查詢證書時，先向CA提出申請，然后由子CA從證書庫中提取證書信息，CA之間是交叉認證.對于高校電子政務安全體系而言，一個高效率的CA中心、一個安全的角色訪問控制和一個穩定的證書庫對教育電子政務應用平臺是必要的，筆者的研究是建立在高校PKI系統框架模型基礎上（圖2），從CA認證、證書庫、訪問控制等方面進行高校電子政務PKI安全體系的分析和構建.

圖2 高校PKI系統框架模型Fig.2 System framework model of colleges based on PKI

2.1 橋CA認證結構

CA服務器是整個高校PKI電子政務證書機構的核心［2，11］，根據CA 間的關系，PKI的體系 結構有三種情況：單個CA，分級（層次）結構的CA（從屬關系）和網狀結構的CA（對等關系）.三種情況各有優點且用在不同的條件下，但單個CA的結構不易擴展到支持大量的不同的群體的用戶；分級結構的CA的缺點是它依賴于根CA，若根CA安全性削弱，將導致整個PKI系統安全性削弱；分級結構的CA是所有的信任都集中在根CA，而一旦該可信任點出現故障，后果是災難性的.高校PKI電子政務一般采用的是分級CA，由于各種原因，現在很多高校都有兩個甚至多個校區，校區之間的物理距離也很遠，再加上各院系和部門之間功能相對獨立，有必要使用多個CA（如圖2），而且所有CA的公鑰驗證用戶的證書都必須是可信的.對于高校電子政務來說，由于高校各部門、院系之間不是從屬關系，因此不能簡單使用分級的CA結構；但在一個院系或部門內部，從屬關系還是存在的，因此也不能簡單地使用網狀結構的CA.結合高校特點，在高校電子政務體系中構建橋CA認證體系（如圖3）：在各部門內部使用分級的CA認證，各部門之間通過學校的中心CA進行橋接CA認證，并且可以根據學校規模的大小設立相應的CA認證中心的數量，進行交叉認證，從而建立高校PKI的信任模型.

圖3 基于PKI的橋CA連接不同結構Fig.3 Bridge CA interface structure on PKI

在圖3中，橋CA分別與CA1、CA2、CA3建立對等信任關系，那么CA1、CA2、CA3就是各自PKI體系中的主CA.用戶U1和U6可以通過他們各自的可信任點CA2和CA3，經橋CA的連接建立起信任關系，進行安全通信.

2.2 LDAP的高校PKI證書庫

LDAP是輕量目錄訪問協議（Lightweight Directory Access Protocol），目錄是一個以“樹型”為數據組織結構的特殊數據庫，存放信息的載體，比關系型數據庫具有更高的查詢速度［12］.證書庫用于發布通過認證中心CA認可的數字證書，是高校PKI電子政務系統的數據存儲中心和發布中心；證書庫發布的數字證書包含了證書持有者的個人詳細信息、CA的數字簽名和公鑰等，為了保證證書內容的可靠性，一般通過證書上CA的簽名驗證，就可以確認每個持有者的公鑰的真實性和身份的合法性［12－14］.由于高校電子政務系統中用戶對證書的查詢請求非常頻繁，構建LDAP的證書庫（如圖4虛線所示）尤為重要［2］，可以大大優化證書的匹配、查詢、維護等功能，避免在使用中不同數據庫之間復雜的協議轉換，保證對合法使用者的身份有效認證、提高查詢響應頻率.

圖4 LDAP的PKI證書庫Fig.4 PKI certificate library based on LDAP

圖4虛線部分有主庫（主LDAP目錄）和從庫（從LDAP目錄）組成，證書庫的內容包括：證書和CRL、證書庫版本號、證書目錄樹下的修改操作日志.管理實體負責主庫中的各種數據維護（如x.509證書和CRL），RA負責向CA提交請求和用戶證書申請，CA負責證書的簽發以及維護主LDAP目錄（主證書庫）中的證書狀態；目錄復制功能（Replica）是將CA對主庫的修改操作通過主LDP目錄（主庫）實時地反映到從LDP目錄（從庫）中，LDAPS的功能是維護、定期檢測從庫的數據、日志或證書庫的版本號是否和主庫的一致，若主庫和從庫有一方發生故障，Replica能保持證書庫的正常服務和數據的穩定性.

2.3 RBAC角色的訪問控制

訪問控制就是用戶對訪問系統的請求進行控制，也就是準許或限制訪問能力及范圍的一種方法［15］.通過訪問控制可以防止合法用戶對系統資源的非法使用和非法用戶進入系統、非法訪問關鍵資源；傳統的訪問控制實現通常依賴于系統安全的授權服務才能建立用戶的身份［15］.由于高校電子政務資源豐富，查詢和訪問的人多，且訪問的角色（如院長、主任、老師、學生）不同、權限也不同；為了確保安全、有效訪問高校電子政務PKI系統中的資源，建立基于PKI的角色及權限訪問控制策略RBAC（如圖5）尤為重要［2］.例如：一個普通教師通過證書登陸系統（他的證書的角色及權限關系已在證書擴展項中指明），系統在驗證證書的過程中，自動通過檢查證書的角色和權限的關系來決定這張證書的使用者可以進行考分登記或修改、查詢課表和教室等操作.

圖5 RBAC訪問控制Fig.5 Access control model based on RBAC

圖5中“角色——權限”和“用戶——角色”之間用雙箭頭相連表示角色權限分配（Permission－Role Assignment，以下簡稱：PRA）關系和用戶角色分配（User－Role Assignment，以下簡稱：URA）關系都是多對多的關系.在角色權限分配PRA關系中［2］：一個角色可包含多個權限，同樣一個權限可被多個角色所擁有；在用戶角色分配URA關系中：一個用戶可以分配多個角色（例如院長擁有老師和領導角色），一個角色可授權給多個用戶.圖4中基于PKI的RBAC訪問控制就是在用戶和訪問權限之間引入角色，用戶不直接與權限相關聯，用戶通過角色享有權限來訪問系統資源.訪問控制過程分成兩個部分：訪問權限與訪問角色，RBAC訪問控制中角色與權限是邏輯分離的，從而保證了高校PKI電子政務訪問控制的信息安全.

綜上所述，在基于PKI的高校電子政務平臺采用橋CA認證體系、LDAP的證書庫、RBAC的訪問控制能有效解決高校電子政務對于身份認證、訪問控制、信息安全等問題.

3 結 語

PKI在高校電子政務的安全應用目前已在本院實施，取得了良好效果.如PKI中的數字簽名、數字認證、角色訪問控制已應用到本院信息管理系統、論文管理系統、學生實驗信息管理系統等環節中.高校電子政務PKI的安全問題還必須在PKI策略的指導下進行：建立數據備份基礎設施，以物理安全和人員的管理來解決高校電子政務內部人為的安全問題；制定學校的安全規定和相關的法律法規來保證高校電子政務PKI的安全；建立信息安全保護的技術機制，用技術上的安全策略來保證高校電子政務PKI的安全.隨著社會信息化的不斷深入，PKI作為信息安全的基礎設施將逐步顯示它的重要性，PKI是一項十分成熟的技術，隨著PKI技術應用的不斷深入發展和PKI技術本身的不斷變化和完善，因特網以及高校電子政務網的應用已越來越離不開PKI技術的支持，高校電子政務PKI系統將在未來的校園信息安全領域發揮作用.

［1］李鳴.我國電子政務發展綜述［J］.武漢工程大學學報，2010，32（4）：52－55.

［2］張靖.公鑰基礎設施在高校電子政務安全中的應用［D］.武漢：華中科技大學，2006.

［3］李偉平.基于服務的公鑰密碼應用支持系統的設計與實現［D］.長春：吉林大學，2011.

［4］周楊，王春枝.PKI體系下的電子政務信息安全研究［J］.軟件導刊，2009，8（3）：161－163.

［5］Adams C，Lloyd S.公開密鑰基礎設施——概念、標準和實施［M］.馮登國，譯.北京：人民郵電出版社，2001.

［6］黃蘭英.基于PKI的電子政務安全策略［J］.孝感學院學報，2005.3：74－77.

［7］范明鈺，王光衛.密碼學理論與技術［M］.北京：清華大學出版社，2008.

［8］聶維.PKI技術及其在校園網中的應用研究［D］.上海：華東師范大學，2008.

［9］王啟建.基于PKI技術的安全電子政務系統的設計［D］.曲阜：曲阜師范大學，2007.

［10］張福賓，張春海.基于PKI的安全電子政務應用［J］.計算機工程，2004，30（6）：130－132.

［11］強勇軍.PKI／CA的構建與應用［D］.成都：電子科技大學，2006.

［12］高毓航，龔儉.基于LDAP目錄服務的PKI證書庫研究與設計［J］.計算機工程，2009，12：61－67.

［13］張靖，馬丁.LDAP目錄服務在PKI中的應用［J］.河南科技學院學報：自然科學版，2006，1：106－109.

［14］趙紅云，趙福祥，陳硯圃.輕量級目錄訪問協議在證書庫中的應用［J］.計算機應用與軟件，2007，11：198－200.

［15］侯奮飛，宋宇波.基于PMI的電子政務訪問控制體系［J］.計算機工程，2004，17：114－116.