PKI技術(shù)在國(guó)庫(kù)支付電子化中的應(yīng)用

仝世君王 輝.中國(guó)武裝警察部隊(duì)學(xué)院部隊(duì)管理系；.河北省廊坊市財(cái)政局仝世君（978-）女，碩士，從事計(jì)算機(jī)應(yīng)用教學(xué)與研究；王輝（978-）男，本科，從事財(cái)政信息化研究。

?

PKI技術(shù)在國(guó)庫(kù)支付電子化中的應(yīng)用

仝世君1王 輝2
1.中國(guó)武裝警察部隊(duì)學(xué)院部隊(duì)管理系；2.河北省廊坊市財(cái)政局仝世君（1978-）女，碩士，從事計(jì)算機(jī)應(yīng)用教學(xué)與研究；王輝（1978-）男，本科，從事財(cái)政信息化研究。

link

評(píng)估值18萬(wàn)

appraisement

行業(yè)曲線

industry

隨著我國(guó)經(jīng)濟(jì)建設(shè)的飛速發(fā)展，財(cái)政資金支出的業(yè)務(wù)量不斷增加。現(xiàn)有的國(guó)庫(kù)集中支付系統(tǒng)，不僅工作效率低，而且在財(cái)政資金的支付過(guò)程中存在著一定的安全隱患。利用計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)通信技術(shù)，建立以PKI體系結(jié)構(gòu)為安全支撐的電子化支付業(yè)務(wù)流程，可以提高工作效率，提升財(cái)政資金運(yùn)行效率，加強(qiáng)財(cái)政資金的監(jiān)管力度。

隨著當(dāng)代計(jì)算機(jī)技術(shù)以及網(wǎng)絡(luò)通信技術(shù)的發(fā)展，財(cái)政系統(tǒng)的信息化建設(shè)受到更多的重視。在國(guó)庫(kù)集中支付制度改革的深化過(guò)程中，對(duì)財(cái)政資金支付的安全性和工作效率提出了更高的要求。建立以PKI體系結(jié)構(gòu)為安全支撐的電子化支付業(yè)務(wù)，可以提高工作效率，提升財(cái)政資金運(yùn)行效率，加強(qiáng)財(cái)政資金的監(jiān)管力度。

公鑰基礎(chǔ)設(shè)施PKI

公鑰基礎(chǔ)設(shè)施（Public Key Infrastructure，簡(jiǎn)稱PKI），可以看作是計(jì)算機(jī)網(wǎng)絡(luò)中信息安全領(lǐng)域的基礎(chǔ)設(shè)施，它是運(yùn)用公鑰密碼理論和技術(shù)建立起來(lái)的用來(lái)實(shí)施和提供各種安全服務(wù)的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施。目前，PKI是網(wǎng)絡(luò)安全建設(shè)的基礎(chǔ)和核心。PKI技術(shù)通過(guò)數(shù)字證書管理用戶的公共密鑰，利用可信的第三方證書認(rèn)證機(jī)構(gòu)（Certificate Authority，簡(jiǎn)稱CA），把用戶的公鑰和真實(shí)的身份信息綁定在一起，生成用戶的公鑰證書，通過(guò)這個(gè)證書可以在網(wǎng)絡(luò)上驗(yàn)證用戶的身份。

PKI可以達(dá)到對(duì)數(shù)據(jù)的保密性、完整性的保護(hù)，以及進(jìn)行身份認(rèn)證和對(duì)操作的不可否認(rèn)性。當(dāng)數(shù)據(jù)在網(wǎng)絡(luò)上進(jìn)行傳輸時(shí)，機(jī)密信息不會(huì)泄露給非法接收者，也不會(huì)在中途被篡改或重復(fù)發(fā)送，對(duì)數(shù)據(jù)源的身份可以進(jìn)行認(rèn)證，來(lái)保證身份的真實(shí)性，而且通信的各方不能對(duì)自己在網(wǎng)絡(luò)上的操作行為進(jìn)行否認(rèn)。PKI系統(tǒng)的目的就是通過(guò)自動(dòng)管理密鑰和證書，給用戶建立安全的網(wǎng)絡(luò)環(huán)境，保證用戶可以在多種環(huán)境下方便的使用加密、數(shù)字簽名技術(shù)和電子印章技術(shù)，保護(hù)在計(jì)算機(jī)網(wǎng)絡(luò)上信息的安全傳輸。

PKI是基于公共密鑰密碼體制的，但在實(shí)現(xiàn)上一般會(huì)綜合使用多種密碼技術(shù)，比如對(duì)稱和非對(duì)稱的密碼體制、消息認(rèn)證、數(shù)字簽名、數(shù)字信封、多重?cái)?shù)字簽名等。PKI系統(tǒng)的安全服務(wù)包括身份的認(rèn)證、數(shù)據(jù)的安全、防抵賴以及時(shí)間戳的服務(wù)。

國(guó)庫(kù)支付中存在的問(wèn)題

2003年，按照財(cái)政部的統(tǒng)一部署，河北省定位了國(guó)庫(kù)集中支付（直接支付，授權(quán)支付）零余額模式， 并在省市兩級(jí)實(shí)施，逐步推廣到各縣區(qū)。2010年實(shí)現(xiàn)省、市、縣三級(jí)全覆蓋。歷經(jīng)10年，省級(jí)代理銀行從4家增加到11家，涉及的支行也從石家莊市擴(kuò)展到全省所有的市縣，僅省級(jí)直屬單位明細(xì)支出業(yè)務(wù)從幾千筆增加到幾十萬(wàn)筆。

財(cái)政的資金撥付過(guò)程一般都是財(cái)政業(yè)務(wù)人員送紙質(zhì)單據(jù)到人行或代理銀行柜臺(tái)，人行或代理銀行柜臺(tái)業(yè)務(wù)員核對(duì)紙質(zhì)憑證和電子數(shù)據(jù)無(wú)誤后，再進(jìn)行資金轉(zhuǎn)賬。隨著業(yè)務(wù)量的增大，在這種紙質(zhì)單據(jù)和電子數(shù)據(jù)核對(duì)的資金管理模式中，存在著以下幾個(gè)主要問(wèn)題。

（1）在電子數(shù)據(jù)與紙質(zhì)憑證管理并存的情況下，存在大量手工紙質(zhì)單據(jù)的傳遞和核對(duì)工作，使得財(cái)政資金支付不及時(shí)、信息反饋不及時(shí)。

（2）人行或代理銀行依托財(cái)政和預(yù)算單位預(yù)留印鑒進(jìn)行支付比對(duì)，人工驗(yàn)證支付憑證有效性的工作量很大，超出人工處理極限，增加了資金安全隱患。

（3）現(xiàn)有的資金管理模式?jīng)]有真正實(shí)現(xiàn)鏈條式管理，外部無(wú)法驗(yàn)證財(cái)政內(nèi)部的多崗審核。

（4）現(xiàn)有業(yè)務(wù)系統(tǒng)沒有建立防抵賴、防篡改的電子憑證保存機(jī)制。

這些問(wèn)題的存在造成了現(xiàn)有的國(guó)庫(kù)集中支付系統(tǒng)，不僅工作效率低，而且在財(cái)政資金的支付過(guò)程中存在著一定的安全隱患。

國(guó)庫(kù)支付電子化設(shè)計(jì)方案

國(guó)庫(kù)電子支付涉及財(cái)政與人民銀行（以下簡(jiǎn)稱人行）、財(cái)政與代理銀行、財(cái)政與預(yù)算單位、預(yù)算單位和代理銀行之間的業(yè)務(wù)。通過(guò)在財(cái)政、人行和代理銀行部署電子憑證庫(kù)，為各方業(yè)務(wù)系統(tǒng)提供調(diào)用的接口，在現(xiàn)有業(yè)務(wù)系統(tǒng)數(shù)據(jù)完整性的基礎(chǔ)上，將各方業(yè)務(wù)與電子憑證庫(kù)銜接，實(shí)現(xiàn)對(duì)電子單據(jù)的電子簽章和驗(yàn)章，并形成電子憑證。參與業(yè)務(wù)的各方在電子憑證庫(kù)間進(jìn)行電子憑證的交互，代替現(xiàn)有的紙質(zhì)憑證的傳遞。

電子憑證庫(kù)包括電子印章系統(tǒng)、簽名服務(wù)器以及消息中間件軟件系統(tǒng)。電子憑證庫(kù)基于PKI/CA安全體系（圖1），實(shí)現(xiàn)電子憑證的電子簽名（章）、傳輸、驗(yàn)證。電子憑證的打印查詢功能可以滿足財(cái)政、人行、代理銀行對(duì)紙質(zhì)憑證的管理要求。

圖1 電子支付的PKI安全體系

在財(cái)政端，國(guó)庫(kù)集中支付系統(tǒng)調(diào)用電子憑證庫(kù)服務(wù)接口，實(shí)現(xiàn)和財(cái)政端電子憑證庫(kù)之間的數(shù)據(jù)交換。通過(guò)專用網(wǎng)絡(luò)，財(cái)政端的電子憑證庫(kù)和人民銀行（代理銀行）的電子憑證庫(kù)之間的業(yè)務(wù)流程為憑證簽章、憑證發(fā)送、憑證回單登記。

（1）憑證簽章

國(guó)庫(kù)集中支付系統(tǒng)在支付過(guò)程中需要填制憑證，然后調(diào)用國(guó)庫(kù)集中支付系統(tǒng)客戶端的簽章控件對(duì)憑證進(jìn)行簽章，通過(guò)電子憑證庫(kù)接口將簽章憑證保存到電子憑證庫(kù)。如果是多崗簽章業(yè)務(wù)，從第二崗開始，簽章控件自動(dòng)對(duì)憑證進(jìn)行復(fù)核驗(yàn)證。

（2）憑證發(fā)送

國(guó)庫(kù)集中支付系統(tǒng)調(diào)用電子憑證庫(kù)服務(wù)接口將簽章憑證通過(guò)消息中間件發(fā)送給人行（代理銀行）。

（3）憑證回單登記

國(guó)庫(kù)集中支付系統(tǒng)調(diào)用電子憑證庫(kù)接口讀取人行（代理銀行）反饋的回單或人行（代理銀行）產(chǎn)生的憑證，按照不同的業(yè)務(wù)流程分別登記處理。

電子憑證庫(kù)用于存放電子憑證并提供電子憑證庫(kù)的模板管理。通過(guò)保存電子憑證，代替紙質(zhì)憑證來(lái)保存帳目，并且通過(guò)簽章實(shí)現(xiàn)電子憑證的安全傳輸。國(guó)庫(kù)集中支付客戶端簽章控件和電子憑證庫(kù)通過(guò)電子憑證庫(kù)服務(wù)接口實(shí)現(xiàn)電子憑證的管理。

國(guó)庫(kù)支付電子化運(yùn)行環(huán)境

國(guó)庫(kù)支付電子化的環(huán)境運(yùn)行要求在網(wǎng)絡(luò)環(huán)境和硬件支持兩個(gè)方面。網(wǎng)絡(luò)環(huán)境方面，財(cái)政和人行、代理銀行間建立專線連接方式，為了保證業(yè)務(wù)穩(wěn)定安全的運(yùn)行，采用雙線路方式建網(wǎng)。硬件支持方面，電子支付安全控件運(yùn)行需要的硬件設(shè)備主要有數(shù)據(jù)庫(kù)服務(wù)器、應(yīng)用服務(wù)器、USBkey等，具體信息如表1所示。電子憑證庫(kù)數(shù)據(jù)庫(kù)服務(wù)器、消息中間件服務(wù)器、電子憑證庫(kù)服務(wù)器、電子印章服務(wù)器和簽名服務(wù)器采用雙機(jī)熱備方案。

表1 安全控件主要硬件設(shè)備

簽名服務(wù)器提供數(shù)字簽名、數(shù)字信封等服務(wù)，滿足業(yè)務(wù)操作的不可抵賴、信息完整性、私密性等要求。財(cái)政部CA通過(guò)各級(jí)的證書注冊(cè)機(jī)構(gòu)RA系統(tǒng)為財(cái)政業(yè)務(wù)人員提供證書的申請(qǐng)、下載、注銷以及更新等服務(wù)。簽名服務(wù)器為財(cái)政端的電子憑證庫(kù)提供數(shù)字簽名和驗(yàn)簽服務(wù)功能，在簽名服務(wù)器中導(dǎo)入財(cái)政CA的根證書（公鑰）和頒發(fā)給人行或代理銀行的證書。

電子印章系統(tǒng)用可視的電子印章代替晦澀的數(shù)字簽名，在業(yè)務(wù)處理過(guò)程中更加直觀，同時(shí)也可以達(dá)到對(duì)業(yè)務(wù)操作的不可抵賴，不可篡改等目的。電子印章系統(tǒng)為財(cái)政端提供電子印章的制作和管理功能，維護(hù)和存儲(chǔ)財(cái)政端的印章，并提供簽章和驗(yàn)章服務(wù)；對(duì)人行或代理銀行的印章進(jìn)行備案，保存人行或代理銀行需要在財(cái)政備案的預(yù)留印鑒，在接收憑證時(shí)對(duì)已備案的電子印鑒進(jìn)行驗(yàn)證。

消息中間件服務(wù)器采用隊(duì)列消息處理機(jī)制，為國(guó)庫(kù)支付業(yè)務(wù)處理提供同步和異步傳輸處理、存儲(chǔ)轉(zhuǎn)發(fā)、可靠傳輸?shù)燃夹g(shù)支持，確保消息能夠安全、可靠的送達(dá)。

時(shí)間戳服務(wù)器提供時(shí)間戳的制作，同步系統(tǒng)時(shí)間，記錄業(yè)務(wù)處理的時(shí)間流程并留存歸檔。

結(jié)語(yǔ)

以PKI安全體系結(jié)構(gòu)為技術(shù)基礎(chǔ)，通過(guò)在財(cái)政、人行和代理銀行建立電子憑證庫(kù)，并為各方業(yè)務(wù)系統(tǒng)提供調(diào)用接口，在不破壞各方現(xiàn)有業(yè)務(wù)系統(tǒng)數(shù)據(jù)完整性的基礎(chǔ)上，實(shí)現(xiàn)電子單據(jù)的簽章、驗(yàn)章，并對(duì)電子憑證進(jìn)行留存，為財(cái)政資金提供更加安全的支付方式，同時(shí)降低財(cái)政資金的運(yùn)行風(fēng)險(xiǎn)，提高工作效率。

10.3969/j.issn.101- 8972.2016.12.009