公鑰基礎(chǔ)設(shè)施技術(shù)

ＰＫＩ是利用公鑰理論和技術(shù)（密碼技術(shù)、數(shù)字信封、數(shù)字簽名技術(shù)等）建立的提供信息安全服務(wù)的基礎(chǔ)設(shè)施，是國(guó)際標(biāo)準(zhǔn)的安全管理平臺(tái)，即信息安全基礎(chǔ)中的核心［２－５］．ＰＫＩ的理論基礎(chǔ)是研究信息安全保密的密碼學(xué)，它分為密碼編碼學(xué)和密碼分析學(xué)，ＰＫＩ是解決加密和信任問(wèn)題的基本解決方案［５］．一個(gè)典型的ＰＫＩ組成系統(tǒng)（如圖１），主要包括以下部分［２，６］：ａ．?dāng)?shù)字證書(shū)認(rèn)證中心（ＣＡ）：數(shù)字證書(shū)認(rèn)證中心ＣＡ是ＰＫＩ的核心，ＣＡ主要負(fù)責(zé)對(duì)本系統(tǒng)內(nèi)證書(shū)生命周期的管理：如證書(shū)的申請(qǐng)、更新、撤銷(xiāo)、發(fā)布、備份、恢復(fù)和歸檔等［２，４］．ｂ．密鑰管理中心（ＫＭＣ）：密鑰管理中心（ＫｅｙＭａｎａｇｅｍｅｎｔＣｅｎｔｅｒ，以下簡(jiǎn)稱(chēng)：ＫＭＣ）向ＣＡ服務(wù)提供相關(guān)密鑰服務(wù)，它是整個(gè)信任體系的核心安全部分，主要負(fù)責(zé)密鑰的管理（如密鑰的生成、密鑰的分發(fā)、密鑰的存儲(chǔ)、密鑰的備份和更新以及密鑰的撤銷(xiāo)和恢復(fù)等［４－５，７－８］）和安全．ｃ．注冊(cè)中心（ＲＡ）：注冊(cè)中心（ＲｅｇｉｓｔｒａｔｉｏｎＡｕｔｈｏｒｉｔｙ，以下簡(jiǎn)稱(chēng)：ＲＡ）是ＣＡ認(rèn)證中心的延伸，主要負(fù)責(zé)對(duì)證書(shū)申請(qǐng)用戶信息的錄入、審核及制證、發(fā)證等；ＲＡ是數(shù)字證書(shū)的審核、申請(qǐng)和注冊(cè)中心，ＲＡ注冊(cè)中心由ＣＡ認(rèn)證中心授權(quán)管理［９－１０］．ｄ．證書(shū)庫(kù)與證書(shū)發(fā)布系統(tǒng)：ＣＡ簽發(fā)證書(shū)的存儲(chǔ)和證書(shū)吊銷(xiāo)列表，便于用戶方便地取得證書(shū)和證書(shū)吊銷(xiāo)列表信息；還提供輕量目錄訪問(wèn)協(xié)議（ＬＤＡＰ）服務(wù)和注冊(cè)服務(wù)［２，６，８］．ｅ．ＰＫＩ應(yīng)用：主要是在ｗｅｂ服務(wù)器之間的通訊、電子數(shù)據(jù)交換（ＥＤＩ）、電子郵件、信用卡交易和虛擬私人網(wǎng)絡(luò)（ＶＰＮ）等客戶端應(yīng)用軟件［２］．?dāng)?shù)字證書(shū)認(rèn)證中心ＣＡ、密鑰管理中心ＫＭＣ、注冊(cè)中心ＲＡ、證書(shū)庫(kù)是ＰＫＩ的關(guān)鍵組件；ＰＫＩ通過(guò)密碼加密技術(shù)、數(shù)字證書(shū)、數(shù)字簽名等技術(shù)保證網(wǎng)絡(luò)上數(shù)據(jù)的保密性、有效性、完整性、不可否認(rèn)性以及身份的合法性，它為電子政務(wù)的發(fā)展提供了一套安全的基礎(chǔ)平臺(tái)、技術(shù)規(guī)范和一個(gè)安全的電子政務(wù)環(huán)境［２，４，９－１０］．

基于ＰＫＩ的高校電子政務(wù)的安全構(gòu)建

目前高校電子政務(wù)信息安全的解決方案主要集中在物理安全、系統(tǒng)安全和網(wǎng)絡(luò)安全層面（如防火墻、入侵檢測(cè)、防病毒等），還沒(méi)有應(yīng)用層面的信息安全平臺(tái)和全網(wǎng)統(tǒng)一的安全方案；ＰＫＩ技術(shù)對(duì)解決高校電子政務(wù)中存在的應(yīng)用層面安全問(wèn)題是一個(gè)比較好的選擇（如身份驗(yàn)證、數(shù)據(jù)加密和數(shù)據(jù)完整性等）．圖２所示的高校電子政務(wù)ＰＫＩ的構(gòu)架模型是對(duì)文獻(xiàn)［８］模型的修改，其中包括有端實(shí)體（即個(gè)人用戶和應(yīng)用系統(tǒng)）、目錄服務(wù)、ＣＡ認(rèn)證管理、ＲＡ管理器、用戶管理器等，每個(gè)校園網(wǎng)ＰＫＩ系統(tǒng)有一個(gè)根ＣＡ，分校區(qū)設(shè)立一個(gè)下級(jí)ＣＡ，分校校區(qū)都有一個(gè)ＲＡ與之相連，證書(shū)庫(kù)位于不同的目錄服務(wù)，當(dāng)用戶需要查詢證書(shū)時(shí)，先向ＣＡ提出申請(qǐng)，然后由子ＣＡ從證書(shū)庫(kù)中提取證書(shū)信息，ＣＡ之間是交叉認(rèn)證．對(duì)于高校電子政務(wù)安全體系而言，一個(gè)高效率的ＣＡ中心、一個(gè)安全的角色訪問(wèn)控制和一個(gè)穩(wěn)定的證書(shū)庫(kù)對(duì)教育電子政務(wù)應(yīng)用平臺(tái)是必要的，筆者的研究是建立在高校ＰＫＩ系統(tǒng)框架模型基礎(chǔ)上（圖２），從ＣＡ認(rèn)證、證書(shū)庫(kù)、訪問(wèn)控制等方面進(jìn)行高校電子政務(wù)ＰＫＩ安全體系的分析和構(gòu)建．

橋ＣＡ認(rèn)證結(jié)構(gòu)ＣＡ服務(wù)器是整個(gè)高校ＰＫＩ電子政務(wù)證書(shū)機(jī)構(gòu)的核心［２，１１］，根據(jù)ＣＡ間的關(guān)系，ＰＫＩ的體系結(jié)構(gòu)有三種情況：?jiǎn)蝹€(gè)ＣＡ，分級(jí)（層次）結(jié)構(gòu)的ＣＡ（從屬關(guān)系）和網(wǎng)狀結(jié)構(gòu)的ＣＡ（對(duì)等關(guān)系）．三種情況各有優(yōu)點(diǎn)且用在不同的條件下，但單個(gè)ＣＡ的結(jié)構(gòu)不易擴(kuò)展到支持大量的不同的群體的用戶；分級(jí)結(jié)構(gòu)的ＣＡ的缺點(diǎn)是它依賴(lài)于根ＣＡ，若根ＣＡ安全性削弱，將導(dǎo)致整個(gè)ＰＫＩ系統(tǒng)安全性削弱；分級(jí)結(jié)構(gòu)的ＣＡ是所有的信任都集中在根ＣＡ，而一旦該可信任點(diǎn)出現(xiàn)故障，后果是災(zāi)難性的．高校ＰＫＩ電子政務(wù)一般采用的是分級(jí)ＣＡ，由于各種原因，現(xiàn)在很多高校都有兩個(gè)甚至多個(gè)校區(qū)，校區(qū)之間的物理距離也很遠(yuǎn)，再加上各院系和部門(mén)之間功能相對(duì)獨(dú)立，有必要使用多個(gè)ＣＡ（如圖２），而且所有ＣＡ的公鑰驗(yàn)證用戶的證書(shū)都必須是可信的．對(duì)于高校電子政務(wù)來(lái)說(shuō)，由于高校各部門(mén)、院系之間不是從屬關(guān)系，因此不能簡(jiǎn)單使用分級(jí)的ＣＡ結(jié)構(gòu)；但在一個(gè)院系或部門(mén)內(nèi)部，從屬關(guān)系還是存在的，因此也不能簡(jiǎn)單地使用網(wǎng)狀結(jié)構(gòu)的ＣＡ．結(jié)合高校特點(diǎn)，在高校電子政務(wù)體系中構(gòu)建橋ＣＡ認(rèn)證體系（如圖３）：在各部門(mén)內(nèi)部使用分級(jí)的ＣＡ認(rèn)證，各部門(mén)之間通過(guò)學(xué)校的中心ＣＡ進(jìn)行橋接ＣＡ認(rèn)證，并且可以根據(jù)學(xué)校規(guī)模的大小設(shè)立相應(yīng)的ＣＡ認(rèn)證中心的數(shù)量，進(jìn)行交叉認(rèn)證，從而建立高校ＰＫＩ的信任模型。橋ＣＡ分別與ＣＡ１、ＣＡ２、ＣＡ３建立對(duì)等信任關(guān)系，那么ＣＡ１、ＣＡ２、ＣＡ３就是各自ＰＫＩ體系中的主ＣＡ．用戶Ｕ１和Ｕ６可以通過(guò)他們各自的可信任點(diǎn)ＣＡ２和ＣＡ３，經(jīng)橋ＣＡ的連接建立起信任關(guān)系，進(jìn)行安全通信．

ＬＤＡＰ的高校ＰＫＩ證書(shū)庫(kù)ＬＤＡＰ是輕量目錄訪問(wèn)協(xié)議（ＬｉｇｈｔｗｅｉｇｈｔＤｉｒｅｃｔｏｒｙＡｃｃｅｓｓＰｒｏｔｏｃｏｌ），目錄是一個(gè)以“樹(shù)型”為數(shù)據(jù)組織結(jié)構(gòu)的特殊數(shù)據(jù)庫(kù)，存放信息的載體，比關(guān)系型數(shù)據(jù)庫(kù)具有更高的查詢速度［１２］．證書(shū)庫(kù)用于發(fā)布通過(guò)認(rèn)證中心ＣＡ認(rèn)可的數(shù)字證書(shū)，是高校ＰＫＩ電子政務(wù)系統(tǒng)的數(shù)據(jù)存儲(chǔ)中心和發(fā)布中心；證書(shū)庫(kù)發(fā)布的數(shù)字證書(shū)包含了證書(shū)持有者的個(gè)人詳細(xì)信息、ＣＡ的數(shù)字簽名和公鑰等，為了保證證書(shū)內(nèi)容的可靠性，一般通過(guò)證書(shū)上ＣＡ的簽名驗(yàn)證，就可以確認(rèn)每個(gè)持有者的公鑰的真實(shí)性和身份的合法性［１２－１４］．由于高校電子政務(wù)系統(tǒng)中用戶對(duì)證書(shū)的查詢請(qǐng)求非常頻繁，構(gòu)建ＬＤＡＰ的證書(shū)庫(kù)（如圖４虛線所示）尤為重要［２］，可以大大優(yōu)化證書(shū)的匹配、查詢、維護(hù)等功能，避免在使用中不同數(shù)據(jù)庫(kù)之間復(fù)雜的協(xié)議轉(zhuǎn)換，保證對(duì)合法使用者的身份有效認(rèn)證、提高查詢響應(yīng)頻率．虛線部分有主庫(kù)（主ＬＤＡＰ目錄）和從庫(kù)（從ＬＤＡＰ目錄）組成，證書(shū)庫(kù)的內(nèi)容包括：證書(shū)和ＣＲＬ、證書(shū)庫(kù)版本號(hào)、證書(shū)目錄樹(shù)下的修改操作日志．管理實(shí)體負(fù)責(zé)主庫(kù)中的各種數(shù)據(jù)維護(hù)（如ｘ．５０９證書(shū)和ＣＲＬ），ＲＡ負(fù)責(zé)向ＣＡ提交請(qǐng)求和用戶證書(shū)申請(qǐng)，ＣＡ負(fù)責(zé)證書(shū)的簽發(fā)以及維護(hù)主ＬＤＡＰ目錄（主證書(shū)庫(kù)）中的證書(shū)狀態(tài)；目錄復(fù)制功能（Ｒｅｐｌｉｃａ）是將ＣＡ對(duì)主庫(kù)的修改操作通過(guò)主ＬＤＰ目錄（主庫(kù)）實(shí)時(shí)地反映到從ＬＤＰ目錄（從庫(kù)）中，ＬＤＡＰＳ的功能是維護(hù)、定期檢測(cè)從庫(kù)的數(shù)據(jù)、日志或證書(shū)庫(kù)的版本號(hào)是否和主庫(kù)的一致，若主庫(kù)和從庫(kù)有一方發(fā)生故障，Ｒｅｐｌｉｃａ能保持證書(shū)庫(kù)的正常服務(wù)和數(shù)據(jù)的穩(wěn)定性．