融合PKI技術公積金互聯網系統安全保障研究

摘? 要：目前，“互聯網+公積金”綜合服務系統廣泛應用于住房公積金線上服務中[1]，保障交易數據的安全性、可行性、可溯源性及合法性具有重要意義[3]。文章提出了利用PKI技術，構建一種入口安全，業務流程數據信息安全、可溯源的線上服務系統，有效解決了互聯網交易電子簽名及電子認證的合法性、業務流程節點交易數據電子憑證安全和法律性問題。

關鍵詞：PKI技術;公積金綜合服務系統;電子憑證

中圖分類號：TP309? ? 文獻標識碼：A ? ? ? 文章編號：1671-2064（2020）03-0000-00

0 引言

根據住建部綜合服務系統建設要求[2]，全國住房公積金綜合服務系統上線率基本上達到100%。在新型冠狀病毒疫情的影響下，綜合服務系統的線上業務交易量、綜合服務系統的服務內容和服務維度將進一步提高到一個新的數量級，長遠發展甚至會替代固定營業場所的服務大廳系統。由此引發的如何保障公積金互聯網業務應用及業務交易中的身份識別、數據交易防篡改、防抵賴、電子憑證合法性等數據安全及法律性一系列問題。使用PKI技術并將其融合于公積金綜合服務業務流程系統中，對保障公積金互聯網綜合服務系統安全、可信、可溯源和合法性，護航公積金綜合服務全流程業務具有重大意義和整個公積金行業互聯網信息數據安全建立規范標準具有可參照意義。

1研究背景及綜合服務系統信息安全盲點

1.1研究背景

依據住建部綜合服務系統建設要求和綜合服務系統建設導則[1-2]，全國住房公積金中心相繼建設了綜合服務系統，為繳存單位和繳存職工提供互聯網+公積金及移動互聯網+公積金的線上服務。經對全國多個綜合服務系統的終端認證入口安全、綜合服務系統的業務流程交易及綜合服務系統產生的電子憑證三個方面進行信息安全分析，認為存在信息安全隱患和信息安全技術保障欠缺。

1.2 PKI技術簡介

PKI（Public Key Infrastructure ）即“公鑰基礎設施”，是一種遵循既定標準的密鑰管理平臺，它能夠為所有網絡應用提供加密和數字簽名等密碼服務及所必需的密鑰和證書管理體系。簡單來說，PKI就是利用公鑰理論和技術建立的提供安全服務的基礎設施。PKI技術是信息安全技術的核心，也是電子商務的關鍵和基礎技術。PKI的基礎技術包括加密、數字簽名、數據完整性機制、數字信封、雙重數字簽名等。

1.3綜合服務系統信息安全盲點

通過對公積金綜合服務系統的架構分析，將公積金互聯網+公積金的系統架構歸納為終端用戶環境、公積金業務流程及業務交易環境及為用戶提供線上公積金電子憑證三個應用場景。目前三個應用場景中都沒有應用PKI技術，帶來了信息數據安全性、可信性和可溯源性的技術缺失盲點。

1.3.1 身份認證系統架構及信息安全技術缺陷盲點

目前公積金的綜合服務終端身份認證系統大多采用銀行盾為認證方式及個人密碼登錄的方式做為終端入口的身份簽名認證。由于在認證簽名過程中經過路由等中間環節，產生了中間簽名信息的留痕，容易在中間環節產生信息簽名的信息截留，造成信息簽名的重放使用，帶來綜合服務系統終端入口的安全隱患。

1.3.2 業務流程及業務交易處理系統架構及信息安全技術缺陷

目前公積金綜合服務系統的業務流程及業務交易處理系統，在進行業務信息處理增加、插入及刪改時，因沒有對提交給核心數據庫的數據信息進行簽名及時間戳驗證，因此容易造成數據信息提交環節的數據信息篡改，與此同時也保障不了數據信息的可信和可溯源性，缺失數據信息安全保障。

1.3.3 業務交易生產的電子憑證信息安全技術缺陷

目前綜合服務系統因業務交易產生的帶有公積金中心印章的版制文件都是通過文件和圖形軟件合成提供給終端客戶的，不符合國家電子簽名及電子憑證認證規定。[1]

2 綜合服務系統信息安全保障可行性方案論證

針對公積金綜合服務系統的應用場景，為保障終端應用和公積金業務流程及業務交易應用場景信息數據安全、可信及溯源性，加入PKI技術保障層并將PKI技術應用于終端應用及公積金業務場景中，可實現公積金綜合服務體系應用場景的信息數據安全性、可信及溯源性。加入PKI技術層的總體應用架構如圖1所示。

2.1 終端環節的可行性解決方案

為解決公積金互聯網用戶的行為重放和可篡改信息數據安全問題，為公積金服務系統使用用戶發放PKI公鑰的數據簽名證書，在公積金綜合服務系統入口使用身份認證網關為終端使用用戶提供隨機的HASH數據值并握手公鑰數據簽名，保障公積金綜合服務系統使用用戶的真實性、可信性，避免使用用戶信息數據因信息數據流轉被截留，造成使用用戶信息數據泄露產生的使用行為的不唯一性和重放性。

2.2 互聯網+公積金的業務交易信息數據安全解決方案

為解決公積金綜合服務系統使用用戶在公積金業務流程交易節點提交的信息數據安全、可信及可溯源性，針對公積金綜合服務系統業務流程節點產生的信息數據與使用用戶數據證書簽名和時間服務戳捆綁，形成一個帶有數據簽名和時間戳的信息數據，在寫入核心數據庫時由信息簽名服務和時間戳服務驗簽通過后，提交給核心數據庫進行處理，保障信息數據來源的安全、可信和不可篡改。

2.3 互聯網+公積金的電子憑證可信性及溯源性解決方案

為解決互聯網+公積金業務交易產生的電子憑證可信及溯源問題，從根本上保障公積金業務系統提供的電子憑證的合法性，使用PKI技術的電子印章簽名及時間戳信息捆綁于輸出版式PDF文件，并保留在核心數據庫中。由于電子憑證是版式PDF+印章簽字+時間戳三部分構成，保障了電子憑證產生的合法性、可溯源性和不可篡改性。

3 使用PKI技術解決方案

針對公積金綜合服務系統結構的終端用戶層、公積金業務信息數據交易層、公積金電子憑證產生層三個層面，使用CA數字證書、認證網關、信息認證服務、印章服務及時間戳服務嵌入PKI技術信息服務，解決互聯網+公積金系統的信息安全盲點。

3.1 終端用戶層入口的信息安全解決方案

公積金終端用戶層的入口信息安全包括兩個環節：一是對公單位用戶登錄入口信息安全;二是個人貸款手寫簽名及指紋留存信息安全;三是個人移動APP入口。

3.1.1 對公單位用戶登錄入口信息安全解決方案

公積金營業大廳窗口配備PC、數位板和指紋采集設備。公積金中心核準公積金互聯網應用用戶的身份信息，并與之簽訂公積金互聯網用戶應用協議，由CA數字中心制定數字證書，發放給公積金互聯網應用用戶，用戶持此證書登錄使用。在登錄過程采用隨機數握手簽名的方式，以防止數字證書偽造并驗證數字證書真偽。隨機數由身份認證網關隨機生成并發送到終端，終端PC利用數字證書對這個隨機數簽名后發回身份認證網關;身份認證網關通過簽名來確保用戶持有數字證書、通過比較隨機數一致性來防止重放攻擊、網關驗證數字證書有效性后提取數字證書包含的身份信息進行核對。用戶身份信息確認后，返回登錄token到終端，終端持token信息登錄公積金系統。

3.1.2 個人貸款手寫簽名及指紋留存安全解決方案

公積金營業大廳窗口配備PC、數位板和指紋采集設備，用于公積金貸款人的手寫簽名及指紋采集。采集的信息數據由信息簽名服務器發放的事件簽名證書進行數字簽名，并在電子合同上形成電子簽章。形成電子簽章的電子合同經由核心業務流程審批后，交電子印章服務器，加蓋公積金貸款專用章，形成最終有效合同。有效電子合同可在公積金綜合服務系統任何渠道為貸款人用戶調用使用。

3.2 公積金業務信息數據交易層的信息安全解決方案

住房公積金業務交易有：應用單位變更申報（緩繳、繳存比例變化、撤并）;年度繳存基數的調整;月度的繳存人開戶、啟封及封存;月度繳存人轉移;月度匯繳核定;月度補繳核定等6項業務交易功能模塊系統。這些功能模塊系統管理及信息處理的內容雖然不同，但有一個共同的特點是該應用用戶做為主體發起及結束的，即單位的數字證書+業務交易數據。因此，在應用用戶業務交易提交的信息數據塊中捆綁了數字證書，以此起到數字證書護航的作用。

以年度繳存基數調整為例：應用用戶使用公積金年度基數調整業務模塊系統并進行數字信息交易提交時，需使用應用用戶的數字證書進行數字簽名;數字簽名連同申報數據發送到公積金業務系統;簽名數據送簽名驗簽服務器驗證，如果數據沒有被篡改過，則保存數據和簽名;數據保存后，公積金系統會給用戶生成版式文件的回執，回執經過蓋章服務器加蓋公積金中心印章并簽名，以防止偽造;業務過程中所有保存的簽名數據，在以后任何時間都可以調取并提交簽名驗簽服務器以校驗數據是否曾經被篡改過。

3.3 公積金電子憑證信息安全解決方案

公積金電子憑證的合法性是公積金綜合服務系統產生并為互聯網用戶提供有效、可信憑證的安全環節的重要環節。單靠公積金業務交易產生的PDF版制文件通過軟件合成方式產生的電子文件因可修改和不可信等安全隱患等問題不能使用。在公積金電子憑證產生過程中，本文使用公積金業務交易環節的數字簽名及數字驗簽技術，使用電子簽章服務系統及時間戳服務系統，對電子憑證的產生捆綁了PDF版制文件+數字簽名+印章簽章+時間戳的信息鏈條，使得生產的電子憑證可審計、不可篡改和具有電子簽名發法律效應，是一種安全、可信及可溯源的技術安全保障方案。

4 結論

將PKI安全技術融合嵌入互聯網+公積金整體系統，是解決公積金互聯網安全、業務應用及業務交易中的身份識別、數據交易防篡改、防抵賴、電子憑證合法性等數據安全及法律性問題一種可行的辦法。因對在公積金互聯網登錄的應用用戶采用數字證書識別，防止登錄用戶信息失盜及串改行為;因對在公積金互聯網用戶應用業務流程中，使用數字證書簽名認證方式，防止了公積金應用業務流程的數據被篡改，一旦交易被數字證書簽名，任何權限的用戶皆不能進行修改;因對在公積金互聯網業務交易產生的電子憑證及時間戳全部由數據證書認證簽發，不可篡改等方面的安全技術保障，使得互聯網+公積金整體系統安全得到完善和保障。

參考文獻

[1]中華人民共和國住房和城鄉建設部.住房城鄉建設部關于加快建設住房公積金綜合服務平臺的通知（建金〔2016〕14號）[Z].2016-1-12.

[2]中華人民共和國住房城鄉建設部.關于建立住房公積金綜合服務平臺實施細則[Z].2016-1-12.

[3]中華人民共和國國務院.國務院關于在線政務服務的若干規定（國令第716號）[Z].2019-4-26.

收稿日期：2020-01-06

作者簡介：曲大偉（1965—），男，山東蓬萊人，本科，高級工程師，研究方向：住房金融信息化。