电子签名及原始凭证电子化解决方案

电子签名解决方案 1 财务管控系统电子签名及原始凭证电子化财务管控系统电子签名及原始凭证电子化 解决方案解决方案 20132013 年年 7 7 月月 电子签名解决方案 2 目录目录 目录目录.2 1 1、背景、背景.3 2 2、应用现状、应用现状.3 2.1 广西财务管控应用情况 .3 2.2 安全需求 .4 2.3 扩展需求 .4 3 3、电子签名、电子签名.4 3.1 定义 .4 3.2 功能 .4 3.3 原则 .5 3.4 原理及流程 .6 3.4.1 实现原理.6 3.4.2 签名流程.7 3.5、解决方案 .7 3.5.1身份认证.7 3.5.2认证集成.9 3.5.3 PKI/CA集成.10 3.5.4安全设计.11 3.5.5数据存储.13 4 4、原始凭证电子化、原始凭证电子化.16 4.1 应用需求 .16 4.2 目标思路 .16 4.3 解决方案 .18 4.3.1文件归集.18 4.3.2集中存储.19 4.3.3智能识别.20 4.3.4文件查询.20 4.4 应用价值 .22 5 5、配合事项、配合事项.22 6 6、服务支持、服务支持.22 电子签名解决方案 3 1 1、背景、背景 随着政府及各事业单位信息化管理理念提升和自身经济的发展，各大中小 型企事业单位急需将信息化系统与其业务深度结合，信息化的安全性保障必将 是下一步信息系统深入应用的重点。而作为各类业务系统中保障信息化安全性 的重要环节电子签签名越来越多的被深入应用。 电网企业资金量大，流动频繁，在业务审批环节加强安全节点控制，更加 显得尤为重要。目前广西电网已经深入使用了远光财务管控系统，在各业务部 门进行单据流转以及财务集中审批的过程中，为进一步提高系统安全管理，除 建立严密有效的内部审批制度，完善内部审批程序外，更加需要同步在信息系 统中保证资金业务的安全、高效，防范风险；在现有安全模式基础上，特引入 电子签名安全机制，加强审批环节安全节点的控制。 2 2、应用现状、应用现状 2.12.1 广西财务管控应用情况广西财务管控应用情况 从 2011 年 12 月 1 日至 2012 年 1 月 20 日，广西电网已顺利完成了财务管 控系统在南宁、柳州供电局的试运行工作。在试点单位成功上线运行的基础上， 公司于 2012 年 1 月 20 日启动了其余 12 个供电局和 1 个运维局的系统上线工 作，截至 2012 年 8 月底，已将系统试运行范围延伸至 4 个分公司、7 个直属单 位与 44 个县级供电企业，系统使用范围覆盖母公司范围内及县级供电企业所有 单位。 截至目前，广西电网已完成了所属 69 家单位的资金系统上线运行工作，初 步实现涵盖资金监控与调度、计划与执行的全过程管理的基础。2013 年将以资 金“收支两条线”为管控基础，以银行账户标准化、资金流程信息化、安全检 查常态化为着力点，充分利用资金调度与监控系统等信息化手段，全方位开展 资金全过程管理。对管控系统在安全和效率方面提出了更高的要求。 电子签名解决方案 4 2.22.2 安全需求安全需求 作为全网资金调度与监控平台，安全性应该是系统建设的首要考虑因素之 一。目前主要是通过用户名及密码，以及权限控制用户操作，虽然系统内部也 有很严格的数据逻辑控制，但是从风险防范的角度来看，风险值设置还是相对 较低，系统安全机制还有很大的提升空间，在加强风险控制方面，建议在引入 第三方认证软件，确保资金数据的安全。 2.32.3 扩展需求扩展需求 2013 年是广西电网公司“管理提升年” ，结合公司经营特点及资金管理现 状，以“保安全、提效益、促发展”为核心的指导思想为指导，在保障资金安 全的前提条件下，提高资金使用效率，也显得尤为重要。 所以本文将就电子签名和原始凭证电子化展开论述，并提供详细的解决方 案。 3 3、电子签名、电子签名 3.13.1 定义定义 电子签名是指数据电文中以电子形式所含、所附用于识别签名人身份并表 明签名人认可其中内容的数据。通俗点说，电子签名就是通过密码技术对电子 文档的电子形式的签名，并非是书面签名的数字图像化，它类似于手写签名或 印章，也可以说它就是电子印章。 3.23.2 功能功能 （1）对电子文档进行电子签章、手写签名、键盘批注，保证电子文档的完 整性； （2）如果文档被修改，电子签章会通过界面的变化(变灰)来提示用户文档 电子签名解决方案 5 不可信； （3）可以设定电子印章的打印方式，保证打印文本不受电子印章影响； （4）通过硬件 EKEY 盖章来进一步提高安全性； （5）服务器端集中管理电子印章和 EKEY，保存印章和 EKEY 来源的可靠性； （6）服务器端用户印章和 EKEY 权限系统，可以设定用户使用印章和 EKEY 的权限，保证用户的合理应用权限； （7）服务器端的电子印章日志和审计系统； （8）客户端用户登录可采用用户名密码方式或强制使用 EKEY 登录方式； （9）客户端验证电子印章时，不仅验证文档印章，还可和信任服务器存储 记录进行比对，验证印章的操作合法性； 3.33.3 原则原则 由于电子签名的形式具有多样性，因采取的技术方案不同，其可靠性、正 确性、稳定性可能会有较大的不同，因此导致了其法律效力也不应在同一水平 上。而“功能等同原则”可以较好地解决这一问题，其基本模式有三个：第一， 只有符合一定条件的电子签名才具有与传统签名同等的法律效力;第二，不同模 式和特性的电子签名以其稳定性、可靠性、真确性为标准对应不同的法律效力; 第三，达到相应要求的电子签名即可具备与传统签名等同的法律效力，而不管 具体的技术解决方案是什么。以此作为判断电子签名是否具有法律效力的依据， 减少了电子技术的多样性对电子签名效力造成的不稳定影响。 电子签名解决方案 6 3.43.4 原理及流程原理及流程 .1 实现原理实现原理 电子签名解决方案 7 .2 签名流程签名流程 3.53.5、解决方案、解决方案 远光财务管控系统，在企业内部进行业务单据流转传递时候引入电子签名， 在客户端签章用户使用盖章工具盖章时，印章来源都是从所连接的信任服务器 中数据库调来，且每一个独立的用户都使用自己唯一的 KEY 证书，从而保证了 印章来源的可靠性，安全性，可信性。 3.5.1 身份认证身份认证 身份认证方案采用以智能卡（或 USB KEY）为存储介质的基于数字证书的 身份认证方式。这种方式具有明显的优点： （1）采用基于公钥密码体制的 CA 数字证书认证机制，是目前所公认的最 电子签名解决方案 8 安全的身份认证方式之一，并且技术成熟，具有通用的国际标准。 （2）采用智能卡（或 USB KEY）作为数字证书的存储介质。设备可以在内 部进行密码运算，不允许将用户私钥导出和复制，并且带有 PIN 保护，能有效 抵御蛮力尝试。在使用上，目前大多数的计算机都有 USB 接口，此类设备的使 用简单方便。 （3）采用基于数字证书的身份认证方式，可以实现双因素认证的需求，攻 击者如果想冒充合法用户的身份进入系统，不仅需要窃取到存储用户私钥的存 储介质，还需要知道保护用户私钥的 PIN 码，而 PIN 码的尝试一般只有三次， 这种双因素认证机制可以大大提高认证的安全强度，也会使得身份冒充变得更 加困难。 身份认证过程步骤： 用户将 USB KEY 插入客户端机器，客户端机器自动从 USB KEY 中读取用 电子签名解决方案 9 户名； 客户端将 USB KEY 的 ID 号和用户名发给服务器并请求服务器对用户进行 身份认证； 服务器产生一个随机数并发往客户端； 客户端将收到的随机数发给 USB KEY； 使用 USB KEY 中的私钥对收到的随机数进行签名操作，并将签名结果发 回客户端； 客户端将签名结果连同 USB KEY 中存储的数字证书发送到服务器端； 服务器端使用接收的数字证书对客户端发送的签名结果进行验证，如果 验证通过就认为用户的身份合法，否则用户不合法； 服务器完成对用户的身份认证以后，根据服务器端配置的用户权限表给 用户分配权限，如果用户具有审批业务单据的权限，则允许用户进行审批，否 则拒绝； 服务器端将用户身份的认证结果和访问权限结果发给客户端。 客户端根据身份认证结果和访问权限的结果允许或者拒绝用户。 3.5.2 认证集成认证集成 财务管控模块支持两种方式的用户身份认证：基于用户口令的方式和基于 身份令牌的方式。 为方便与其他安全系统服务集成，进一步增强信息安全级别，财务管控模 块提供了“第三方用户适配接口” ，通过定制相关的适配器并动态配置，快速完 成包括 LDAP 服务器在内的用户身份认证服务的集成；借助于更加专业的安全产 品服务，从而更好地满足客户所需的用户身份认证方式和鉴别强度。目前财务 管控模块已提供多个国内外公司的相关适配器，包括 LDAP 目录用户适配器 （IBM Tivoli Directory Server、Microsoft Active Directory 等） 、吉大正 元南开目录服务适配器、江南 PKI 用户适配器，安达通 SUREID 用户适配器。以 上适配器可通过财务管控模块的管理控制台进行配置，如下图： 电子签名解决方案 10 3.5.3 PKI/CA 集成集成 财务管控模块通过“PKI/CA 数字签名验证接口适配器”,与特定 PKI/CA 产 品服务集成，完成数字签名及签名验证，目前系统已经与多家国内 PKI 系统集 成并使用。通过集成 PKI/CA，使用数字签名技术，达到系统数据的完整性和操 作的不可否认性，满足【中华人民共和国电子签名法】所要求的安全标准。 电子签名解决方案 11 财务管控模块已经提供“天威诚信”和“上海格尔”PKI 数字签名验证适 配器，可以在财务管控模块管理控制台中配置，见下图。 3.5.4 安全设计安全设计 资金运营作为财务管控的一个核心模块，在财务管控整体安全设计的基础 上增加了相关安全功能，主要体现在先进的数字签名保证及多重电子签名，服 电子签名解决方案 12 务器证书安全保障、多重证书、个人证书绑定、签名字段扩展、业务种类 ID 保 障、专用网络、HTTPS 传输、完善的安全测评体系等。 数字签名保障数字签名保障 财务管控电子签名认证采用中国金融认证中心（CFCA）统一认证授权颁发 的电子签名许可，为目前国内主流的电子签名认证体系。电子签名是指数据报 文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的 数据。电子签名就是通过密码技术对电子文档的电子形式的签名，数字签名技 术以加密技术为基础，数字签名技术的核心是采用密码技术的加、解密算法体 制来实现对文件的数字签名，从而实现交易的不可抵赖性和安全性服务。 多重签名安全多重签名安全 系统提供多重电子签名，支持同一业务流程多人签名，只有所有签名数据 产生且正确的情况下款项才允许被通过。多重签名就是多个用户对同一个消息 进行数字签名，根据签名过程的不同，目前多重签名方案采用的是有序多重数 字签名，即在同一签名流程中必须保证每个签名操作都正确签名且整个签名的 顺序正确。如下图，此签名流程为五个签名节点，只有此五个节点都签名正确 而且签名的前后顺序正确才能保证系统产生签名数据，最终才能审批完成，任 何一个环节如果中间签名数据不正确，单据将无法进行到下一个岗位。 服务器证书安全服务器证书安全 CFCA 发放的服务器数字证书文件可携带 30-40 字节长度的扩展信息，这些 信息在证书发放完成后,具有不能修改和删除的特性。根据这个特性，在服务器 证书发放时，将财务管控系统服务器指定硬件的“唯一标识码”(如：MAC 地址 信息、CPU 串号等)存储于扩展信息中；在服务器证书使用时，通过财务管控系 电子签名解决方案 13 统程序调用服务器指定硬件的唯一标识码与证书所携带的扩展信息进行对比验 证，以确保该服务器证书与服务器硬件一一绑定。 财务管控系统采用 CFCA 提供的工具包及“调用方法”完成对所发放的服务 器证书“扩展域名”信息提取，并与服务器指定硬件的“唯一标识码”进行验 证判断，以确保此证书所绑定的服务器信息与系统使用服务器信息具有一致性。 财务管控系统通过采用 CFCA 提供的工具包，读取证书文件里存储的“扩展 域名”信息，与服务器指定硬件“唯一标识”进行匹配验证。 多重证书保障体系多重证书保障体系 财务管控涉及到多重证书验证，主要包括财务管控客户端个人证书、财务 管控服务器证书。 财务管控个人证书签名数据需要与服务器证书进行校验，只有与服务器证 书匹配的签名数据才允许接受，非法数据在服务器证书校验时不被通过。其中 财务管控个人证书为硬证书，与个人身份认证进行一一匹配，只有拥有此证书 权限的用户才能够正常使用此证书。财务管控服务器证书为.PFX 电子文件，在 管控服务器上与硬件唯一标识绑定。 个人证书与职工校验个人证书与职工校验 财务管控提供了个人证书与职工身份信息校验功能，即个人证书 Ukey 固化 的 DN 号与财务管控职工身份信息进行匹配，只有此操作员对应自己的 Ukey 才 能进行电子签名，否则系统不予通过。保证了用户即使知道个人证书密钥的情 况下，也必须要本操作员才能进行签名操作，即受财务管控系统操作员及个人 证书双重约束下的安全保证。 电子签名解决方案 14 3.5.5 数据存储数据存储 保存敏感数据的密文保存敏感数据的密文 财务管控模块初始化时，自动在指定工作磁盘目录中创建密钥文件，生成 随机密钥作为对称加密密钥。 密钥文件中的密钥主要用于数据库中敏感数据的加密，密钥文件的安全性 则由操作系统安全级别保证。 对于用户密码信息以 3DES 加密密文保存在数据库，见下图。 数字签名保证数据的完整与不可否认数字签名保证数据的完整与不可否认 财务管控模块中，对于单据凭证的数字签名信息均保存在数据库大字段中， 即使数据库中单据/凭证表中的相关字段信息被非法修改，也可通过大字段中的 数字签名信息进行验证。 电子签名解决方案 15 “单据/凭证”数字签名以传递流程中的岗位为单位进行设置，即在单据/ 凭证审批流程功能中，通过分别设置相关流程岗位权限中的“数字签名”部分； 在启用数字签名功能时，可以设置对单据/凭证中的哪些数据项目进行数字签名 (如下图)，一般选中所有数据项目。 启用数字签名功能后，在传递单据/凭证时，如果当前岗位需要数字签名 时，会要求用户插入 USBKey 等类似介质进行数字签名，若存在多个有效证书时， 弹出如下图所示窗口选择证书。 客户端完成数字签名后，服务端保存单据/凭证数据前，如果数字签名验 证失败，则显示如下图所示信息。 电子签名解决方案 16 在审核单据/凭证时，如果上一环节的数字签名信息没有验证通过，则不 允许继续向下传递。财 务管控模块中单据凭证的数字签名技术实现步骤如下： （1）财务管控模块根据设置参数，把业务数据组成 xml 字符串内部表示； （2）对内部生成的 xml 字符串进行数字签名，生成 PKCS7 格式数据； （3）财务管控模块服务端验证签名数据是否合法，若合法，保存签名数据 至数据库； （4）传递或显示单据凭证时，验证数字签名是否合法； 4 4、原始凭证电子化、原始凭证电子化 4.14.1 应用需求应用需求 信息技术的发展，使信息系统朝着“无纸化” 、 “自动化” 、 “智能化”的方 向发展。而要达到相应目标，在充分考虑与结合广西财务管控系统应用实际的 情况下，首先应解决纸质凭证信息孤立的问题，实现传统纸质凭证向电子化的 方向的演变。 4.24.2 目标思路目标思路 为全面提升电子文件管理水平，针对电网公司大量的原始凭证，需要对电 子文件管理工作实行统筹规划，统一管理。对电子文件形成、办理、传输、保 存、利用、销毁等实行全过程管理，确保电子文件始终处于受控状态。制定统 一标准和规范，对电子文件实行规范化管理，发挥电子文件高效、便捷的优势， 对有价值的电子文件实行集中管理，提供分层次、分类别共享应用，并按照国 家有关法律法规和规范标准的要求，采取有效技术手段和管理措施，确保电子 电子签名解决方案 17 文件信息安全。 针对广西电网目前应用情况，并结合公司整体产品规划与开发实际，原始 凭证电子化建设考虑分为两个阶段： 第一阶段：第一阶段：完成原始凭证的扫描；业务单据（凭证）完成后的原始凭证补 充上传 ；存储和文件查询检索功能。 将各类型发票、文件等原始凭证通过扫描或摄像终端转换为信息系统中的 电子数据，在业务处理中可方便、快捷查询和审计各业务发生的原始票据，提 升企业信息化管理水平；通过电子文件的统一存储和管理，发挥电子文件高效、 便捷的优势，共享应用企业有价值的电子文件。 第二阶段：第二阶段：完成原始凭证的 OCR 识别，并将识别出的信息写入业务单据中 ； 文档分类及权限管理。 实现原始凭证的 OCR 识别，将图片等信息转换为计算机可处理的文本信息， 并可将识别出的信息生成管控业务单据，方便用户快捷处理业务，可根据 OCR 识别信息进行查询检索原始凭证。 实现原始凭证分类管理，方便用户管理和检索原始凭证；可按分类及文档 进行权限管理，提升原始凭证数据安全管理水平。 电子签名解决方案 18 以上的系统实现必须依赖于外部扫描、影像设备的功能支持，目前管控系 统已经支持的相关设备型号如下： 4.34.3 解决方案解决方案 实现电子文件的收集、识别、查询和存储，与企业业务系统紧密集成，加 强对非结构化数据的规范管理和高效利用。 设备类型设备类型品牌品牌型号型号备注备注 扫描仪扫描仪富士通 Fi623 0Z 驱动支持这一品牌的若干种型号，测试型号为 Fi6230Z。 高拍仪高拍仪 精易拍 wx- 500 驱动支持这一品牌的若干种型号，测试型号 wx- 500。 扫描仪扫描仪HP 惠普 HP scanje t 5590 包含支持 HP 其他主流扫描设备 扫描仪扫描仪佳能9000F包含支持佳能的其他主流扫描设备 高拍仪高拍仪 深圳良 田 S300 D 驱动支持这一品牌的若干种型号，测试型号 S300D。 电子签名解决方案 19 4.3.1 文件归集文件归集 业务申请和审批过程中按流程、按节点随需扫描或上传原始电子文件，实 现原始资料的动态收集。业务单据或凭证完成后，可补充或修改上传原始凭证。 4.3.2 集中存储集中存储 实现与非结构化数据中心的集成，将原始凭证集中存储，统一管理和调用。 支持多种格式存储： 电子签名解决方案 20 .jpg，.bmp，.tif，.txt，.doc，.xls，.ce