公鑰基礎設施技術

ＰＫＩ是利用公鑰理論和技術（密碼技術、數字信封、數字簽名技術等）建立的提供信息安全服務的基礎設施，是國際標準的安全管理平臺，即信息安全基礎中的核心［２－５］．ＰＫＩ的理論基礎是研究信息安全保密的密碼學，它分為密碼編碼學和密碼分析學，ＰＫＩ是解決加密和信任問題的基本解決方案［５］．一個典型的ＰＫＩ組成系統（如圖１），主要包括以下部分［２，６］：ａ．數字證書認證中心（ＣＡ）：數字證書認證中心ＣＡ是ＰＫＩ的核心，ＣＡ主要負責對本系統內證書生命周期的管理：如證書的申請、更新、撤銷、發布、備份、恢復和歸檔等［２，４］．ｂ．密鑰管理中心（ＫＭＣ）：密鑰管理中心（ＫｅｙＭａｎａｇｅｍｅｎｔＣｅｎｔｅｒ，以下簡稱：ＫＭＣ）向ＣＡ服務提供相關密鑰服務，它是整個信任體系的核心安全部分，主要負責密鑰的管理（如密鑰的生成、密鑰的分發、密鑰的存儲、密鑰的備份和更新以及密鑰的撤銷和恢復等［４－５，７－８］）和安全．ｃ．注冊中心（ＲＡ）：注冊中心（ＲｅｇｉｓｔｒａｔｉｏｎＡｕｔｈｏｒｉｔｙ，以下簡稱：ＲＡ）是ＣＡ認證中心的延伸，主要負責對證書申請用戶信息的錄入、審核及制證、發證等；ＲＡ是數字證書的審核、申請和注冊中心，ＲＡ注冊中心由ＣＡ認證中心授權管理［９－１０］．ｄ．證書庫與證書發布系統：ＣＡ簽發證書的存儲和證書吊銷列表，便于用戶方便地取得證書和證書吊銷列表信息；還提供輕量目錄訪問協議（ＬＤＡＰ）服務和注冊服務［２，６，８］．ｅ．ＰＫＩ應用：主要是在ｗｅｂ服務器之間的通訊、電子數據交換（ＥＤＩ）、電子郵件、信用卡交易和虛擬私人網絡（ＶＰＮ）等客戶端應用軟件［２］．數字證書認證中心ＣＡ、密鑰管理中心ＫＭＣ、注冊中心ＲＡ、證書庫是ＰＫＩ的關鍵組件；ＰＫＩ通過密碼加密技術、數字證書、數字簽名等技術保證網絡上數據的保密性、有效性、完整性、不可否認性以及身份的合法性，它為電子政務的發展提供了一套安全的基礎平臺、技術規范和一個安全的電子政務環境［２，４，９－１０］．

基于ＰＫＩ的高校電子政務的安全構建

目前高校電子政務信息安全的解決方案主要集中在物理安全、系統安全和網絡安全層面（如防火墻、入侵檢測、防病毒等），還沒有應用層面的信息安全平臺和全網統一的安全方案；ＰＫＩ技術對解決高校電子政務中存在的應用層面安全問題是一個比較好的選擇（如身份驗證、數據加密和數據完整性等）．圖２所示的高校電子政務ＰＫＩ的構架模型是對文獻［８］模型的修改，其中包括有端實體（即個人用戶和應用系統）、目錄服務、ＣＡ認證管理、ＲＡ管理器、用戶管理器等，每個校園網ＰＫＩ系統有一個根ＣＡ，分校區設立一個下級ＣＡ，分校校區都有一個ＲＡ與之相連，證書庫位于不同的目錄服務，當用戶需要查詢證書時，先向ＣＡ提出申請，然后由子ＣＡ從證書庫中提取證書信息，ＣＡ之間是交叉認證．對于高校電子政務安全體系而言，一個高效率的ＣＡ中心、一個安全的角色訪問控制和一個穩定的證書庫對教育電子政務應用平臺是必要的，筆者的研究是建立在高校ＰＫＩ系統框架模型基礎上（圖２），從ＣＡ認證、證書庫、訪問控制等方面進行高校電子政務ＰＫＩ安全體系的分析和構建．

橋ＣＡ認證結構ＣＡ服務器是整個高校ＰＫＩ電子政務證書機構的核心［２，１１］，根據ＣＡ間的關系，ＰＫＩ的體系結構有三種情況：單個ＣＡ，分級（層次）結構的ＣＡ（從屬關系）和網狀結構的ＣＡ（對等關系）．三種情況各有優點且用在不同的條件下，但單個ＣＡ的結構不易擴展到支持大量的不同的群體的用戶；分級結構的ＣＡ的缺點是它依賴于根ＣＡ，若根ＣＡ安全性削弱，將導致整個ＰＫＩ系統安全性削弱；分級結構的ＣＡ是所有的信任都集中在根ＣＡ，而一旦該可信任點出現故障，后果是災難性的．高校ＰＫＩ電子政務一般采用的是分級ＣＡ，由于各種原因，現在很多高校都有兩個甚至多個校區，校區之間的物理距離也很遠，再加上各院系和部門之間功能相對獨立，有必要使用多個ＣＡ（如圖２），而且所有ＣＡ的公鑰驗證用戶的證書都必須是可信的．對于高校電子政務來說，由于高校各部門、院系之間不是從屬關系，因此不能簡單使用分級的ＣＡ結構；但在一個院系或部門內部，從屬關系還是存在的，因此也不能簡單地使用網狀結構的ＣＡ．結合高校特點，在高校電子政務體系中構建橋ＣＡ認證體系（如圖３）：在各部門內部使用分級的ＣＡ認證，各部門之間通過學校的中心ＣＡ進行橋接ＣＡ認證，并且可以根據學校規模的大小設立相應的ＣＡ認證中心的數量，進行交叉認證，從而建立高校ＰＫＩ的信任模型。橋ＣＡ分別與ＣＡ１、ＣＡ２、ＣＡ３建立對等信任關系，那么ＣＡ１、ＣＡ２、ＣＡ３就是各自ＰＫＩ體系中的主ＣＡ．用戶Ｕ１和Ｕ６可以通過他們各自的可信任點ＣＡ２和ＣＡ３，經橋ＣＡ的連接建立起信任關系，進行安全通信．

ＬＤＡＰ的高校ＰＫＩ證書庫ＬＤＡＰ是輕量目錄訪問協議（ＬｉｇｈｔｗｅｉｇｈｔＤｉｒｅｃｔｏｒｙＡｃｃｅｓｓＰｒｏｔｏｃｏｌ），目錄是一個以“樹型”為數據組織結構的特殊數據庫，存放信息的載體，比關系型數據庫具有更高的查詢速度［１２］．證書庫用于發布通過認證中心ＣＡ認可的數字證書，是高校ＰＫＩ電子政務系統的數據存儲中心和發布中心；證書庫發布的數字證書包含了證書持有者的個人詳細信息、ＣＡ的數字簽名和公鑰等，為了保證證書內容的可靠性，一般通過證書上ＣＡ的簽名驗證，就可以確認每個持有者的公鑰的真實性和身份的合法性［１２－１４］．由于高校電子政務系統中用戶對證書的查詢請求非常頻繁，構建ＬＤＡＰ的證書庫（如圖４虛線所示）尤為重要［２］，可以大大優化證書的匹配、查詢、維護等功能，避免在使用中不同數據庫之間復雜的協議轉換，保證對合法使用者的身份有效認證、提高查詢響應頻率．虛線部分有主庫（主ＬＤＡＰ目錄）和從庫（從ＬＤＡＰ目錄）組成，證書庫的內容包括：證書和ＣＲＬ、證書庫版本號、證書目錄樹下的修改操作日志．管理實體負責主庫中的各種數據維護（如ｘ．５０９證書和ＣＲＬ），ＲＡ負責向ＣＡ提交請求和用戶證書申請，ＣＡ負責證書的簽發以及維護主ＬＤＡＰ目錄（主證書庫）中的證書狀態；目錄復制功能（Ｒｅｐｌｉｃａ）是將ＣＡ對主庫的修改操作通過主ＬＤＰ目錄（主庫）實時地反映到從ＬＤＰ目錄（從庫）中，ＬＤＡＰＳ的功能是維護、定期檢測從庫的數據、日志或證書庫的版本號是否和主庫的一致，若主庫和從庫有一方發生故障，Ｒｅｐｌｉｃａ能保持證書庫的正常服務和數據的穩定性．