（信号与信息处理专业论文）电子政务信息安全体系信任模型的研究.pdf

东南大学硕士学位论文 摘要 摘要 电子政务需要先进而可靠的安全保障，电子政务本身的特点( 开放性、虚拟 性、网络化) 对电子政务系统信息处理、传输和交换的安全性提出了严格的要求。 本课题分别针对电子政务系统中信息安全的两个专题进行了研究，即：电子 政务信息系统中的信任服务体系及公钥基础设施( p k i ) 关键技术。 通过对前一专题的研究，提出了电子政务网络信任域体系结构，它应该由政 务专网、政务内网以及网络信任域管理平台组成，这样从接入、信息传输和设备 管理三方面构建了一个可信的电子政务网络信任域。并讨论了构建网络信任域的 关键机制，即基于p k i 的证书认证机制。该机制可全面解决电子政务中的信息 安全问题。 对于后一专题，分析了p k i 体系结构及实体功能，研究了p k i 的功能模块， 并着重讨论了p k i 的核心技术数字签名技术。论述了数字签名技术在电子政 务中提供的安全性服务，并对基于r s a 算法的数字签名方案和基于d s s 标准的 数字签名方案进行了计算机仿真。 最后，在分析了p k i 信任模型的基础上，提出了适合我国国情的信任模型。 我国p k i 体系应采用层次结构和分布式信任结构结合的混合模型。 全文内容安排如下：第一章简要介绍电子政务的总体框架及电子政务建设的 主要内容。第二章提出了电子政务的信任服务体系，详尽论述了网络信任域技术 和9 目络信任域体系结构。第三章在分析了公钥基础设施一p k i 技术及各实体功能 的基础上提出了电子政务中p k i 的体系结构并给出了各主要组成部分的设计方 案。第四章在研究了对称和非对称数据加密技术的基础上，着重讨论了基于p k i 的数字签名技术，包括主流算法的计算机实现及其功能分析。第五章分析了p k i 机制下的各种信任模型，给出了我国电子政务安全体系中信任模型的基本设想。 关键词：电子政务 安全体系结构公钥基础设旖数字签名 信任模型 a b s t r a ct w i t ht h ed e v e l o p m e n to fi n f o r m a t i o nt e c h n o l o g y , m o s td e v e l o p e dc o u n t r yi n t h ew o r l db e g a nt op a ym o r ea n dm o r ea t t e n t i o n st ot h ec o n s t r u c t i o no fe - g o v e r n m e n t i tr e q u i r e s t h ee f f e e t i v em e a s u r e st o e n s u r et h e s a f e t y i nt h e i n f o r m a t i o np r o c e s s i n g , i n f o r m a t i o nt r a n s m i t t i n ga n di n f o r m a t i o ne x c h a n g i n g t og u a r a n t e et h es a f e t yo fe - g o v e r n m e n t ，t h i sp r o j e c te x p l o r e sm a i n l yi nt w o s u b j e c t s o n ei si nt h et r u s tf r a m e w o r k o fe - g o v e r n m e n ti n f o r m a t i o ns y s t e ma n d t h eo t h e ri si nt h ek e yt e c h n i q u ef o rt h ep u b l i ck e yi n f r a s t r u c t u r e ( p k i ) w “hr e g a r dt ot h ef i r s ts u b j e c t i n v e s t i g a t i o n ss h o wt h a tat r u s t e dn e t w o r k a r c h i t e c t u r eo fe - g o v e r n m e n ts y s t e mm u s tb eb u i l db yt h r e ep a r t s ，t h a ti s ，a i n t e r n a ln e t w o r l 【a s p e c i a ln e t w o r ka n dam a n a g e m e n tp l a t e b yt h i sw a y , a c r e d i b l ee - g o v e r n m e n t s y s t e me a nb e s e tu pi nt h r e ea s p e c ti n c l u d i n gi n f o r m a t i o n a c c e s s i n f o r m a t i o nt r a n s m i ta n d e q u i p m e n tm a n a g e m e n t t h ek e y m e c h a n i s mo f t h et r u s ts y s t e mi sa l s od i s c u s s e di nt h i sp a p e r d i s c u s s i o n si nt h i sp a p e rs h o w s t h a tt h ec e r t i f i c a t i o nm e c h a n i s mb a s e do np k ic a nc o m p r e h e n s i v e l ys o l v et h e i n f o r m a t i o ns e c u r i t yp r o b l e m f o rt h es e c o n ds u b j e c t , t h i sp a p e ra n a l y s e st h ef r a m e w o r ka n dt h ee n t i t y f u n c t i o no fp k i a n di n v e s t i g a t e si t sf u n c t i o nc o m p o n e n t s a f t e rt h a t ，t h ed i g i t a l s i g n a t u r et e c h n i q u et h a tak e yt e c h n i q u ef o rp k ii s e l a b o r a t e d a n dt h es a f e s e r v i c ep r o v i d e db yd i g i t a ls i g n a t u r ei sd i s c u s s e d ，a l s os i m u l a t i o nf o rt h em a i n s c h e m e so ft h ed i g i t a ls i g n a t u r et e c h n i q u eb a s e do nr s aa n dd s aa r ed o n e a f t e rd e t a i l e d a n a l y s i st h ep t r u s tm o d e l t h i sp a p e rp r e s e n t sap r a c t i c a l t r u s tm o d e lt h a tm a y s a r i s f yt h ec o n d i t i o ni no u rc o u n t r y t h ed i s s e r t a t i o ni s o r g a n i z e da sf o l l o w s ：f i r s t l y , t h ef r a m e w o r k a n dt h em a i n c o n t e n to ft h e e - g o v e r n m e n t c o n s t r u c t i o na r e e x p l a i n e d ；s e c o n d l y , t h e t r u s t s y s t e mf o re - - g o v e r n m e n ti sp r e s e n t e da n dt h ed e s i g ns c h e m e so np a r ep u t f o r w a r d t h e n ，a f t e rt h et e c h n i q u e so fd a t ac r y p t o g r a p h ya r ei n t r o d u c e d ，t h e d i g i t a ls i g n a t u r et e c h n i q u e sa r ed i s c u s s e di nd e t a i l f i n a l l y , t h ec o m m o nt r u s t m o d e lo fe - g o v e r n m e n ti sp r e s e n t e d k e y w o r d s ? e g o v e r n m e n t ，s e c u r i t yf r a m e w o r k , p k i ，d i g i t a ls i g n a t u r e ， t r u s tm o d e l 东南人学f i ! ；! 士学位论义 英文摘要 学位论文独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得 的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含 其他人已经发表或撰写过的研究成果，也不包含为获得东南大学或其它教育机构 的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均 己在论文中作了明确的说明并表示了访 意。 签名：j 笪一日 期：! ! ：! ：埘 关于学位论文使用授权的说明 东南大学、中国科学技术信息研究所、国家图书馆有权保留本人所送交学位 论文的复印件和电子文档，可以采用影印、缩印或其他复制手段保存论文。本人 电子文档的内容和纸质论文的内容相一致。除在保密期内的保密论文外，允许论 文被查阅和借阅，可以公布( 包括刊登) 论文的全部或部分内容。论文的公布( 包 括刊登) 授权东南大学研究生院办理。 签名：薹 i 查导师签名： 雕 日期：型! ：! ：丝 东南大学硕士学位论文 第一章绪论 第一章绪论 随着计算机技术、通信技术以及互连网技术的飞速发展，社会经济的信息 化进程逐渐加快，以网络经济为主要特征的新经济形态正在发展和壮大。网络 经济的运行效率由于信息技术的全方位应用而显著提高，并进而带动了社会生 产力的高速发展。信息化社会的经济和社会化健康发展需要良好的秩序加以保 证，而电子政务( e - g o v e r n m e n t ) 将促进对整个信息化社会的监督、管理和服 务职能，电子政务的发展正在成为当代信息化的重要领域之一。 电子政务有利于政府的高效办公、科学决策、贴近公众和廉正建设，各国 把它作为推动政府改革和形象的重要途径。美国政府2 0 0 3 年将全面实现电子化 无纸办公的电子政府，日本政府2 0 0 3 年将把3 0 0 0 种政府服务业务上网，英国 政府2 0 0 2 年政府服务业务上网率达7 5 ，新加坡政府2 0 0 2 年将把1 0 0 0 种服务 项目在网上运作。创建一个跨时空的政府办公服务模式、一个无纸化的政府业 务流程、个虚拟的政府办公环境，在世界上正在成为一种潮流。 我国政府对此十分重视，国家“十五”信息化专题规划草案中将电子政务 作为国家信息化重大应用工程之一，国务院办公厅已经下发了“国办发2 0 0 1 年 2 5 号”文政府信息化建设规划纲要的通知，国家科技部布署了关于“电子 政务示范工程”的重大攻关项目，朱总理在国务院办公会上的讲话中明确指出 “政府管理信息化、网络化是一场革命，势在必行。”国家各部委、各地区正在 把电子政务建设作为本部门信息化建设的重要突破口，在全国的政府网站已近 3 0 0 0 个，全国范围的政府信息系统近8 0 个，一个政府信息化的浪潮正在我国 兴起。 1 1 电子政务的发展阶段 根据利用信息技术的目的和信息技术的处理能力来分，电子政务的发展大 致经历了三个阶段，即： 1 1 1 面向数据处理的第一代电子政务 第一代电子政务主要集中在1 9 9 5 年以前，以政府内部的办公自动化和管理 信息系统的建设为主要特征，通过基于文件系统和数据库系统的综合应用，以 结构化数据为存储和处理的对象，重点强调对数据的计算和处理能力，实现了 数据统计和日常文档处理的电子化，完成了办公信息载体从原始纸介质向电子 介质的飞跃，实现了公务员个体工作的自动化。 在这个阶段中，局域网和基于网络的管理信息系统也开始得到应用，但主 要局限在部门内部，因此从整体上看，不同部门之间的信息系统很少进行互联 和互通。这一阶段电子政务发展的最终结果是在有效提高办公管理效率的同时， 形成了系列的信息孤岛。 1 t 2 面向信息处理的第二代电子政务 ”。巾7 衙冬7 里全“：冀卫 型：戋芝= 塞j i 叠，奠芝& j ：重羔，。x j 。，。，j 之 信息技术，重塑一个具有更高效率、直接面向公众服务的“直接”的电子政务， 这就拉开了第二发展阶段的序幕。第二代电子政务直延续到2 0 0 1 年，主要是 东南大学硕j 二学位论玉 第一章绪论 以网络技术为基础，连接政府内部已有的和新建的网络系统，并充分利用国际 互联网络构建“虚拟政府”，大力推动政府部门之间的协同工作机制和信息资源 共享，并面向社会公众提供统一的政府服务。 这一阶段的电子政务以网络为中心建设通信基础平台，并以非结构化数据 的信息流( 或工作流) 为主要的存储和处理对象，应用的领域也逐步延伸到政 府职能的各个方面，并提高了政府的办公效率和管理质量。 1 1 3 面向知识处理的第三代电子政务 电子政务目前已进入第三代，其主要的目标是在政府信息支撑环境的基础 上利用知识管理技术提高政府的决策能力，建立基于网络的分布式政府结构， 并通过分布式的“一站式政府”服务中心提供跨部门的政府业务服务。这个阶 段的电子政务已经不局限于信息管理或事物处理了，而是希望通过信息技术手 段提高政府部门的知识搜集、分析、传递和利用能力，将知识管理与政务业务 流程紧密的结合，从而提高政府整体的管理水平和效率。这一阶段发展的必然 结果是政府结构的扁平化，同时通过对政务业务流程中的无序知识进行系统化 的管理，实现知识的充分利用。当然知识管理也从客观上要求政府部门改变自 身的信息管理，并通过不断学习来提高政府的决策效率。 1 2 电子政务总体技术框架 1 2 1 电子政务分层逻辑模型 电子政务是一个复杂的系统工程，电子政务的总体框架应按照分层的思想 加以设计和实现。这种分层的体系结构能较好的实现建设任务的分解，以便整 个电子政务系统的建设任务能在明确接口定义的基础上，进行并发建设以缩短 整体的建设周期。同时，在接口保持不变的前提下，这种分层的系统体系结构 也能提供电子政务系统总体框架对各层基础技术发展的良好适应性，并较好的 体现以数据获取和整合为核心，以信息安全为基础、面向决策支持、面向公众 服务的电子政务定位。 图1 一l 所示为电子政务系统的分层逻辑模型。整个逻辑结构按照功能可以 自下而上分为三层：基础设施层、统一的安全电子政务平台层、电子政务应用 层，其中基础设施层包括网络基础设施层和信息安全基础设施层。这个逻辑模 型是对各级电子政务系统的抽象概括，既适用于具体政府部门的电子政务系统， 也适用于整个电子政务系统框架，其中网络基础设施、信任和授权服务基础设 施构成信息安全基础设施。 网络基础设施层是为电子政务系统提供政务信息及其它运行管理信息传输 和交换的平台，是整个电子政务体系的最终信息承载者，位于整个分层体系的 最底层。 信息安全基础设施在网络设施所提供的信息传输服务平台的基础上，增加 了面向电子政务应用的通用安全服务，为电子政务应用提供一个通用的、高性 能的可信和授权计算平台，即所谓的智能化信任和授权平台。智能化信任和授 权基础设施层的引入使电子政务应用系统能够以便洁而灵活的方式来构建自身 、“r ，j 、 电子政务应用层主要是在统一安全的电子政务平台层所提供的“一站式” 电子政务服务框架的基础上加载和运行的一系列政务业务应用系统，是体现政 查堕奎堂堡圭堂堡丝皇一坠二星! i 鱼 务服务的关键点，也是电子政务系统面向晟终用户的层面。 电子政务 圈圈园围困l 应用层 i 一站式服务框架 j5 统一的安全屯 f 统1 e b r 护平台 i 子政舟平台层 f 统一数据交换平台 l i 。信息安全基础设施 p k lp m i 基础泣范层 1 卜1 卜1卜1 卜订 用络信任域基础设藏 l匍络信任域蒽络信任域 f 互联同 f 业务网 旁营巧 图卜1 电子政务的总体技术体系结构模型 1 2 2 电子政务建设内容 电子政务的建设将直接面对全国各地不同职能、不同工作模式的各级政府 部门，特别是具体的业务处理部分。但按照上述提出的逻辑分层模型而言，具 体的差异主要存在于顶层的业务服务应用系统部分，底层的系统结构应该是统 一和通用的，如图卜2 所示为电子政务系统结构总图。 经过分析和抽象，可在技术层面上将整个电子政务框架的具体建设内容概 括为以下几个方面：一个统一的安全电子政务平台、两个基础设施、两类电子 政务应用系统。需要指出的是，这里所指出的是最完整的系统结构，并不意味 着所有的电子政务系统都必须按照上述几个方面来建设，而是应该根据具体政 府部门的实际情况来进行针对性的规划、设计和建设。 一、统一的安全电子政务平台。 统一的安全电子政务平台是指在网络基础设施、网络信任域基础设施、信 锥。1 援押解冬甍f m 蔓抱廷蔓础一! ! 二季蓑最终宅予改隽立思筘款渡j ；蒜南i 亡。 它是电子政务系统的枢纽，一方面作为电子政务系统统一的对外门户，提供公 众服务；一方面作为电子政务系统统一的对内门户，提供对内的数据共享、协 东南大学硕士学位论文 第一章绪论 作办公、决策支持、数据挖掘等服务。 图1 - 2 电子政务系统结构总图 如何减轻应用系统客户端的维护工作，既开发“零客户端”的系统，是安 全的电子政务平台设计和建设所考虑的关键因素之一。目前广泛采用的三层体 系结构技术是一个比较理想的解决方案，其中的表示层提供了与前台用户表示 界面的接口，中间的业务逻辑层提供了对各类政务业务处理的最终实现，而后 台的资源接口层则提供了业务逻辑层到具体的政务资源之间的访问接口。这三 个层次的分离将使整个业务应用系统的结构更清晰，并可进步促使系统开发 和维护过程的有序化。 二、两个基础设施 电子政务系统主要涉及到两个基础设施，即网络基础设施和安全基础设施， 它们分别向电子政务系统提供网络传输及互联服务、智能化信任服务、有效授 权服务以及安全保密管理等服务。作为电子政务的基础运行平台，这两个基础 设施在方案的选择上必须充分考虑技术的先进性和成熟性，并应确保整个体系 对关键技术发展具有良好的适应能力，以保持系统服务的延续性和稳定性。 l 、网络基础设施 网络基础设施是提供信息传输和交换的基础设施体系，是整个电子政务系 统( 包括信息安全基础设施) 正常运行的基础。 网络基础设施构建的关键抟求是网络抟术和：覃信士专十、曩整个阿细蔓叫。“ 施将根据电子政务应用的实际需求划分为互联网、业务网、非涉密办公网、和 涉密办公网等部分。目前这一领域内的国内外技术和产品发展已相当成熟，工 4 东南大学硕士学位论文 第一章绪论 程运行也已进入了规范化的阶段。 网络信任域也是网络基础设施构建的关键技术之一。网络信任域基础设施 在技术上针对互联网“对等的、无中心的、无管理的”组织设计思想，旨在构 建一个可以管理的、有中心的网络基础设施。 2 、信息安全基础设施 信息安全基础设施以公钥基础设施p k i 、授权管理基础设施p m i 和可信时 间戳服务系统为重点，还包括安全保密管理系统等。 公钥基础设施主要在分布式计算环境中提供数据机密性、完整性、身份认 证和行为的不可抵赖等基础安全功能。公钥基础设施构建的关键是p k i 技术， 国际上许多国家已经在这方面开展了研究和开发，部分发达国家已有较成功的 应用实例并已提出了本国的p k i 技术标准体系。我国p k i 技术的研究虽然起步 较晚，但由于跟踪及时、发展的起点高，在p k i 领域的研究还是具有相当基础 的。 授权管理基础设施p m i 主要提供分布式计算机环境中应用系统的访问控制 功能，通过将访问控制机制从具体应用系统的开发和管理中分离出来，使访问 控制机制与应用系统之间能灵活而方便的结合。授权管理基础设施构建的关键 是p m i 技术，这是一个新出现的领域，我国在这方面的研究比国外先进水平落 后不多，由于电子政务自身的特点，p m i 技术将在整个电子政务系统中发挥重 要的作用。 可信时间戳服务系统主要为整个系统提供精确可信的时间戳服务，保证业 务处理数据在某一时间( 之前) 的存在性，为实现业务处理的抗抵赖性提供基 础。它主要提供可信时间服务。前者为后者提供可信时间服务，监控并校准后 者的时间；后者为各种应用系统或用户提供可信时间戳服务。 安全保密管理系统主要提供系统的安全保密管理工作，如全网统一安全策 略的定义、颁布和更改、入侵检测、安全审计、漏洞扫描、安全事件报告、通 知和处理等。 三、两类电子政务应用系统 电子政务建设的应用系统根据其面向的用户种类，分为对内电子政务应用 系统和对外电子政务应用系统。对内电子政务应用系统主要面向政府公务员提 供办公支持、决策支持、公文流转等服务；对外电子政务应用系统主要面向公 众提供政府各职能部门的服务，如：网上项目申报、网上纳税等。 1 3 课题的主要任务及论文的内容安排 电子政务需要安全而可靠的安全保障，电子政务本身的特点( 开放性、虚 拟性、网络化) 对电子政务信息处理、传输和交换提出了严格的要求。电子政 务需构建的信息安全体系包括网络安全、内容安全及信任体系三个部分，其中 信任体系的核心技术是公钥基础设施( p k i ) 技术。p k i 技术是个用非对称密 码算法原理和技术来实现并提供安全服务的具有通用性的安全基础设施。 目前，国家有关部f 已经高度重视p k i 产业的发展，如国家8 6 3 计划中专门 南p f t 立而同穷委蜘正考毫制定零堂 + 划束推毒x i 产盖；发展。麓喾也 子政务和电子商务的发展，p k i 技术也将取得比较大的发展，在国家电子政务 中已明确提出要构建p k i 体系。 东南大学硕士学位论文第一章绪论 本课题的任务之就是研究构建网络信任体系的关键机制及构建网络信 任体系的核心技术。 信任模型是构建信任体系的元素。我国人口众多，管理机构条块分割又有 交叉，电子政务的管理运行模式要适应现存的模式，不可能有太大的变革，因 此需要有众多的信任域进行分布式管理。本课题的另一任务就是在对现有几种 信任模型的基础上，提出适合我国国情电子政务的信任模型，并由此构建电子 政务的信任体系。 本文共分为五章： 第一章是绪论 第二章提出了电子政务的信任服务体系，详尽论述了网络信任域技术和网 络信任域体系结构。 第三章在分析了公钥基础设施_ p k i 技术及各实体功能的基础上提出了电 子政务中p k i 的体系结构，并给出了各主要组成部分的设计方案。 第四章在研究了对称和非对称数据加密技术的基础上，着重讨论了基于p k i 的数字签名技术提供的安全服务以及数字签名技术主流算法实现，并用计算机 进行了模拟。 第五章分析了p k i 机制下的各种信任模型，给出了电子政务安全体系中信 任模型的基本设想。 参考文献 曲戍义，电子政务安全体系框架，网络安全技术与应用，2 0 0 2 ( 6 ) 沈昌祥，电子政务安全保障体系技术框架，网络安全技术与应用，20 0 2 ( 6 ) 曲成义，电子政务建设面，j 自的挑战，网络安全技术与应用，20 0 2 ( 1 ) 昊克忠，构建安全的电子政务体系，信息网络安全，20 0 2 ( 6 ) 安慧生，全球视野的中国电子政务，信息网络安全，2 0 0 2 ( 2 ) 周宏仁，电子政务全球透视与我国电子政务，网络安全技术与应用，2 0 0 2 ( 6 ) 东南大学硕士学位论文 第二章电子政务中的信任服务体系 第二章电子政务中的信任服务体系 信任服务体系主要是为网络信息空间提供一个信任的基准，即在用户实体 和虚拟的网络空间中的用户角色之间建立一种影射关系，以便能将现实的物理 世界中的信任关系转移到虚拟的网络空间中。 2 。1 网络信任域技术 2 2 1 网络信任域体系结构 一、网络信任域组织结构 如图2 1 所示为网络信任域组织示意图，从中可以看出网络信任域主要在 终端设备的安全可信接入、网络设备的安全可信管理、数据信息的安全可信传 输等环节进行组织和管理的。也就是说在网络信任域的终端接入环节采用网络 接入认证交换机，保证设备的安全可信接入；在数据通信环节采用p k i 网关保 证数据安全可信传输；而在信任域管理环节采用信任域管理服务平台来保证设 备工作状态的安全可信。 图2 - 1网络信任域组织示意图 二、构建网络信任域的关键机制 构建网络信任域的关键机制就是基于p k i 的证书认证机制。基于p k i 证书 韧制尚网络信仔域巾的所有田白壬叮谬冬颁冀毅亨迂书? ? 、，j 。! 匹，! 茁墨广 或设备是可信或合法的，并为可信接入控制和可信管理打下基础。 基于p k i 证书机制进行网络端口访问控制，确保只有可信的用户或设备才 东南大学硕士学位论文 第二章电子政务中的信任服务体系 能接入网络来访问相关资源。 基于p k i 证书机制，进行通信密钥的协商，结合l p s e c 协议，可以保证网 络通信的可信安全。 2 1 2 构建网络信任域的核心技术 网络信任域提供从网络接入、传输和管理三个层面的安全措施，为实现信 息安全的最终目的确保数据机密性、数据完整性、身份认证、不可抵赖性和授 权服务提供安全的保障。其所依赖的核心技术如下： 一、基于p k i 的身份认证 公开密钥基础设施p k i 是基于现代密码学的基础一公开密钥密码技术，以 数据机密性、完整性、身份认证和行为的不可抵赖为安全目标的基础设施。基 于p k i 的身份认证有别于传统基于口令、基于i p 地址、基于m a c 地址等其他的 身份认证方式。 网络信任域采用基于p k i 的双密钥对( 加密密钥对和签名密钥对) 机制， 采用的证书格式符合i t u tx 5 0 9v 4 规范。网络信任域系统将证书使用的范围 从人扩展到网络设备，实现“一人一证、一机证”的证书管理机制，系统中 所有需要通信的用户、设备之间都必须在通过证书进行身份认证的前提下，以 加密密文的形式进行信息传输，在整个网络环境中实现全局一致的信任基础和 完全基于公开密钥密码体制的信息传输安全。 二、基于p m i 的授权服务 授权管理基础设施p m i 的目标是向用户和应用程序提供授权管理服务，提 供用户身份到应用授权的映射功能，是系统进行业务资源访问控制的依据。 网络信任域管理系统采用基于p m i 的属性证书机制绑定用户、设备的身份 及其权限和许可信息，使得应用系统和权限管理能够灵活而又方便的结合，有 效解决了授权服务管理的问题。 基于p k i 的身份证书机制解决了网络中“你是谁? ”的问题，而基于p m i 的属性证书机制解决了“你能做什么? ”的问题。p k i 和p m i 的结合为网络信 任域和上层应用提供了信息安全的服务和基本保证。 三、基于硬件形式的证书存储 网络信任域采用具有自主知识产权的硬件存储方式，将用户、设备的数字 证书存储在客户端的实体鉴别密码器中，具有传统证书存储方式无法比拟的安 全性，是组建网络信任域的用户终端p k i 证书认证的专用支持设备。 硬件证书的优势不仅表现在证书存储的安全性上，还表现在其可以提供密 钥的生成和管理、实体鉴别、数字签名的生成和验证以及证书管理和密码运算 等功能，可以确保密码运算过程均在实体鉴别密码器中完成，进一步提高了系 统的安全等级。 四、基于p k i 和i e e e 8 0 2 1 x 标准的可信接入 网络信任域在网络的接入层采用了基于p k i 身份证书验证的接入控制，实 砂bj q 珀十只j 厂一、姨省u 山1 茜埙入。 网络信任域系统的可信接入完全遵循i e e e8 0 2 1x 标准，实现了基于端口 的网络接入控制。i e e e8 0 2 1x 定义了用i e e e8 0 2 局域网的物理特性，对以端 东南大学硕士学位论文 第二章电子政务中的信任服务体系 对端方式连接到网络端口的设备进行认证和核准，阻止非法用户接入该端口， 从而实现“基于端口的网络接入控制”的规范。可采用完全自主知识产权的嵌 入式操作系统d i v e re o s ，在交换机操作系统层面实现对p k i 证书认证支持的 无缝集成，创造性的将p k i 和i e e e8 0 2 1 x 标准有机的结合，实现以p k i 证书 认证为基础的基于端口的网络接入控制。 网络信任域的可信接入的实现首先是针对认证交换机和认证服务器的身份 认证。接入认证交换机和认证服务器是采用内置p k i 证书的方式进行唯一身份 标识，在接入认证交换机和后端的认证服务器进行信息交换时必须进行交互身 份认证，确保双方身份的真实性。这为接入认证交换机对接入设备的认证提供 可信的基础，同时通过交互式身份验证，为交换机与认证交换机之间的信息交 互提供加密的通道( 采用u d p ) 协议，确保认证信息的安全传输。 图2 - 2 基于端口的网络接入控制实现 网络信任域的可信接入其次是终端设备用户的可信接入。基于8 0 2 1 x 标 准，接入交换机的每一个端口为接入设备提供了一个物理网络端口上的两个逻 辑端口：其是带接入控制开关的受控端口，该端口将与后端的业务资源系统 相连：其二是不带控制开关的非受控端口，该端口与交换机内部负责执行8 0 2 1 x 协议的认证端端口接入模块( p a e ) 相连。该端口接入单元将作为接入设备的 认证代理，负责与后端的认证服务器进行交换，共同完成对接入设备的认证过 程，并根据认证结果控制受控端口的接入控制开关，确保只有合法设备和用户 _ “扭：八阳珀日j 业茆贝弥。i i bq ft 去) l j 厂或儿 i 越辽认注目_ 角广1 q 从注j 口云一l = 。 网络隔离，极大的保证了网络环境的安全性和可控制性。 东南大学硕士学位论文第二章电子政务中的信任服务体系 五、基于p k i 的可信传输 网络信任域为网络实现了一个安全可信的网络环境，保证了在信任域中的 设备用户的身份可信和传输环境的可信。但是用户有时需要脱离信任域环境进 行数据传输，虚拟专用网( v p n ) 是解决在不可信环境中信息传输的安全问题 的方法。 网络信任域提供了构建v p n 的设备( p 安全网关) ，其认证和加密都是 基于p k i 技术：首先系统通过采用p k i 身份证书来实现对p k i 网关的运行、管 理和配置以及v p n 虚拟专网的动态构建，其次通过p k i 身份证书的认证机制来 实现对终端用户的身份鉴别，而基于p k i 的v p n 提供对用户数据的保护功能。 这样，基于p k i 技术，可以在两个p k i 网关间构建一个端对端的加密安全通道。 六、p k i 的信任域综合管理 网络信任域综合管理系统是信任域的管理操作平台，负责对网络信任域内 用户和网元的设置、信息提取，并负责对整个网络信任域环境的安全运行进行 检测和管理，是信任域得以实现的支撑管理系统。网络信任域管理系统采用了 基于s n m p 协议的操作接口，实现对网络信任域中的设备管理配置和监控数据 以及业务数据的采集。 网络信任域管理系统是基于p k i 技术来实现信任域管理功能的：首先，信 任管理系统对网络环境内的所有的网络设备进行基于p k i 身份证书的验证与管 理，确保网络内部网络元素的可信接入。其次，通过p k i 技术，信任域管理系 统为信任域网络环境中的所有信息传输提供安全通道。 网络信任域管理的核心思想是基于统一的p k i 机制建立分布式逐级可信的 信任域管理。采用策略一致的p k i 证书发布及认证机制，系统管理员可以根据 网络规模和网络分布状况，为整个系统建立多级信任域管理的分层模型，并对 每个信任域架构服务于本信任域的信任域综合管理系统；而位于系统上层的信 任域可以接受底层信任域所采集的业务数据，负责对底层的信任域提供系统管 理和信任服务，通过分层管理可以构建范围更广的网络信任域。 综上所述，网络信任域是基于先进的p i l l 及p m i 技术，以p k i 身份认证为 基础，以基于网元的设备认证为手段，以“可信接入，可信传输”为具体实现， 以网络信任域综合管理系统为核心，构建全网一致可信的网络信任域环境，为 网络提供“可管理、可控制”的安全网络环境支持。 2 1 3 构建网络信任域的关键设备 构建网络信任域的关键设备主要包括接入环节采用的网络接入认证交换 机、在数据通信环节采用的p k i 网关、网络用户终端采用的实体鉴别密码器以 及服务器端采用的网络信任域管理平台。 一、网络接入认证交换机 作为组成网络信任域的必要部分，网络接入交换机对传统的交换机做了突 破性的改进。传统的交换机通常允许未经授权或未经验证可信的设备接入本地 的网络基础设施环境，或者允许未经验证合法的访问者通过已经接入的设备访 问网络资源而为网络带来不安全的隐患，同时，它也不能采集终端接入设备的 j 工广1 百t 见恬总，头王丸 口l 而一廿j 趣桎：注币0 彳u 。茸堙。 网络接入认证交换机实现了符合i e e e8 0 2 1 x 标准的基于证书、基于端口 的访问控制，它除了具有传统网络交换机的基本功能外，还可负责对相应的用 东南大学硕士学位论文第二章电子政务中的信任服务体系 户群和设备提供身份验证和业务控制，确保只有合法的用户和设备才能接入网 络，是创建智能化网络信任域的基础。 网络接入认证交换机采用了基于p k i 数字认证技术的接入身份验证，主要 思想是通过信任域服务管理平台给用户或终端颁发p k c ( 包括用户序列号、i p 地址、m a c 地址等信息) 和a c 属性证书( 包括用户的属性信息) 。将用户或 终端的p k c 、a c 证书与接入认证交换机的端口绑定。通过信任域管理平台实 现对端口的远程管理和监控，实现分布式网络环境中对终端用户和设备的身份 识别与验证，确保只有合法的用户设备才能接入网络。同时通过接入认证交换 机采集端口使用信息，实现基于用户身份的网络接入服务质量控制。 接入认证交换机的功能特性如下： ( 1 ) 交换功能模块 满足传统l a n 交换机的功能要求； 遵循i e e e8 0 2 3 a d 标准中断，具有逻辑中断能力； 支持生成树协议( s t p ) ，可有效避免广播风暴： 具备堆叠性能； ( 2 ) 控制和授权管理功能模块 可实现基于端口的访问控制； 可实现基于p k i 的点对点连接特性的认证和授权； 支持r a d i u s a a a 的用户接入和认证 ( 3 ) 网络管理功能模块 可实现基于s n m p 的网管接口功能； 可对所有1 0 1 0 0 和1 0 0 1 0 0 0 端口上的电缆进行动态调整； 支持基于端口的v l a n 和带标签的v l a n ； 允许使用g a r p v l a n 注册协议( g v r p ) ； 可通过w e b 浏览接口实现p i n g l i n k 测试。 二、p k i 网关 p k i 网关是实现网络信任域可信通信的设备，负责在不可信的开放网络环 境中实现用户端网络系统( 可信) 到远端服务器系统的安全接入，在不可信的 网络环境建立起安全通信通道，保护机密信息在通信中的安全传输。 p k i 网关采用了基于p k i 的用户身份认证机制来实现终端用户的身份鉴别， 并采用了基于证书的虚拟专用网功能，在对用户身份鉴别的基础上进行虚拟专 用网的访问授权和密钥协商，基于i k e 的在两个p k i 网关间构建一个端对端加 密安全通道。p i g 网关全面支持i p s e c 和i k e 密钥交换协议，而且真正实现基 于证书的配置、认证和密钥交换，即“一机一证”。设备在运行时能够自动更新 证书、自动使用证书验证对方的身份，并以p k i 技术确保信息传输的“机密性”、 “完整性”等问题。 同时，p k i 网关还实现了基于证书的网络管理功能，通过对通信用户的a c 属性证书进行验证，并根据证书信息分配网络带宽，实现对通信流量的监控， 以多种管理界面为不同等级的通信要求实现q o s 控制。 p k i 网关的功能如下： 、- ，、；葫j ：模头 提供局域网到广域网之间的路由，并在工p 层提供信息加解密、访问控制 等安全功能； 东南大学硕士学位论文 第二章电子政务中的信任服务体系 全面符合i p s e c ； 支持基于数字证书的i k e ； 采用经国密办审批认可、具有自主产权的加密算法； ( 2 ) 网络管理模块 基于证书的网络管理； 提供基于w e b 、g u i 、字符界面等多种管理界面。 p k i 网关根据实际应用需求分为：p k i 部门级安全网关、p k i 工作组级安全 网关和p k i 企业级安全网关。 三、网络信任域管理平台 网络信任域管理平台完成网络的可信管理功能，它基于刀片式集群服务来 实现，采用模块化、分层服务的系统设计模型，具有灵活的模块配置等特点。 网络信任域管理平台通过s n m p 网管协议实现对信任域内所有被管信任设备的 配置与运行管理，并可进步通过信任接入设备实现对全网范围内所有设备的 接入管理，确保只有具有合法证书( 身份) 的设备和终端用户才能接入网络信 任域。 网络信任域管理平台通过将用户的证书和信任接入设备的接入端口令进行 唯一的绑定来建立对网络空间端口、i p 地址资源的分配和管理，从而建立起一 整套类似于电信中的资源管理和业务管理模式。 四、多证书实体鉴别密码器 实体鉴别密码器是用户终端p k i 安全服务调用的支持设备。它采用基于p k i 数字证书的强认证方式，实现了“一实体一证”，“一机一证”的实体证书身份 鉴别机制，以其安全、便携等特点成为用户终端p i g 安全服务调用的专用支持 设备。 实体鉴别密码器主要有两种，一种是袖珍型，一种是键盘型。 袖珍型是可以存储信息，并提供密钥的生成和管理、实体鉴别、数字签名 的生成和验证，证书管理和r s a 运算等功能，它比一般基于智能卡的r s a 运 算要快得多，同时采用了基于p k i 数字证书的强认证方式，以其安全、便携等 特点成为用户终端p k i 身份认证的专用支持设备； 键盘型内置国家密码管理办公室批准的高强度密码算法，并用硬件的方式 实现，很好的解决客户端加角 密速度慢的瓶颈。密码键盘可同时支持多个和多 种证书载体形式的使用，很好的解决基于p k i 技术的应用需求。密码键盘支持 标准r s 2 3 2 口扩展，可外接手持键盘型密码器或条码阅读器等。密码键盘不仅 能与普通的p c 机连接，而且支持各种工业计算机等多种操作终端。 实体鉴别密码器的功能如下： 密钥管理和证书存储 硬件密码算法实现 用户身份认证功能 用户信息加密功能 敏感信息的管理功能 矗麓= 墨裘i z ：i 兰 文件加密 终端桌面锁定功能 1 2 东南大学硕士学位论文 第二章电子政务中的信任服务体系 安全登录 2 2电子政务网络信任域体系结构 如图2 3 所示为电子政务网络信任域结构示意图，从中可以看出电子政务 网络信任域主要解决电子政务专网和电子政务内网在终端设备的安全可信接 入、设备的安全可信管理、数据信息的安全可信传输等闯题，特别是在全域网 的情况下可以有效避免木桶效应。 ，一- 一一一一- 1 一一一一- 一一一一一 | 二级网络信任域管理平卣： 图7 - 3电子政务网络信任域结构示意图 在电子政务内网，通过网络接入认证交换机在网络层提供了系统合法受控 接入功能，对接入系统的设备进行有效管理和控制，进一步防止内部的恶意破 坏和攻击。 在电子政务专网，通过p k i 网关在网络层提供了数据加密通信环境，防止 了信息被非法窃取篡改。 网络信任域管理平台则对信任域内的接入设备进行管理，确保信任域内的 所有设备是安全可信的。 这样从接入、信息传输和设备管理三个方面构建了一个可信的电子政务网 络信任域。 一、安全可信的政务专网 以疗引岫建连按古玻歧府戚歧舸粗藏舒lj6 0 帽思专似，是歧m 、j 糸现刚王t 网络。各级政府和政府组成部门通过政务专网进行相互间的信息传输。政务专 网采用v p n 的组网方式，以确保设备数据的安全传输。 东南大学硕士学位论文第二章电子政务中的信任服务体系 政务专网与政务内网的接口应提供虚拟专用v p n 接入，以确保信息传输的 “机密性”、“完整性”。 在政务专网与每个内联网的接口处放置一台p k i 网关池，配合政务内联网 内的p k i 安全网关，就能建立起一条“安全通道”，从而保证政府单位内部信息、 各种各级政府单位间信息的安全传送。 二、安全可信的政务内网 在政务内网中，网络接入认证交换机确保政务内网用户或设备的可信接入。 本地网络信任域管理系统在负责管理本地设备的同时，作为审核注册代理向c a 中心申请证书。 接入政务内网的设备由网络信任域管理系统代理p k c 时，该设备的m a c 地址被写在p k c 中。在网络接入交换机上通过系统的设置，使交换机上的每个 端口都与对应的设备的m a c 地址进行一对一的绑定。当某个设备接入网络时， 向接入认证交换机提交p k c ，接入认证交换机对提交的p k c 进行有效性检查。 确认证书有效后，对证书进行解密，获取设备信息，扫描交换机的端口，寻找 与用户终端设备m a c 一致的端口与之建立连