CA—KEY在口岸集裝箱電子委托中的應(yīng)用

樊文強(qiáng)

摘要：目前，連云港電子口岸業(yè)務(wù)系統(tǒng)主要采用基于HTTP協(xié)議的B/S架構(gòu)的網(wǎng)絡(luò)應(yīng)用系統(tǒng)在瀏覽器和WEB服務(wù)器之間直接進(jìn)行通信，口岸業(yè)務(wù)各子系統(tǒng)與口岸各家單位信息系統(tǒng)進(jìn)行信息交互多采用報文形式。在開放的網(wǎng)絡(luò)上，為解決日益嚴(yán)重的信息安全問題，從系統(tǒng)身份驗證和訪問控制、數(shù)據(jù)傳輸安全性、數(shù)據(jù)完整性、不可否認(rèn)性和唯一性等方面出發(fā)，借住江蘇CA基于PKI體系的數(shù)字證書應(yīng)用解決方案，為系統(tǒng)使用者在復(fù)雜的網(wǎng)絡(luò)環(huán)境下提供方便的數(shù)字簽名和加密服務(wù)，從而保證用戶在口岸集裝箱電子委托業(yè)務(wù)數(shù)據(jù)的機(jī)密性、真實(shí)性、完整性和不可否認(rèn)性。

關(guān)鍵詞：信息安全；PKI；CA-KEY；數(shù)字證書；集裝箱電子委托

1概述

現(xiàn)有的連云港電子口岸（下簡稱電子口岸）業(yè)務(wù)系統(tǒng)下設(shè)集裝箱電子委托子系統(tǒng)（下簡稱電子委托系統(tǒng)）以網(wǎng)上信息查詢、代理換單放箱、提交作業(yè)委托、賬單查詢、報文發(fā)送為主，網(wǎng)絡(luò)基礎(chǔ)設(shè)施和系統(tǒng)安全解決方案大多是通過如防火墻、入侵檢測、漏洞掃描、網(wǎng)絡(luò)隔離等技術(shù)和設(shè)備來保障系統(tǒng)的安全，這種方式雖然在一定程度上可以保證信息系統(tǒng)的安全，但不能全面滿足電子口岸業(yè)務(wù)系統(tǒng)的安全需求，如信任與授權(quán)等，特別是在建設(shè)滿足互聯(lián)互通、信息共享的電子口岸業(yè)務(wù)系統(tǒng)過程中，各種傳統(tǒng)的網(wǎng)絡(luò)安全防御手段，無法替代應(yīng)用層的身份認(rèn)證、數(shù)據(jù)機(jī)密性、完整性、不可否認(rèn)性等安全實(shí)現(xiàn)。

為解決日益嚴(yán)重的信息安全問題，電子委托系統(tǒng)需要在底層網(wǎng)絡(luò)基礎(chǔ)設(shè)施上構(gòu)建了一個一致的信息安全服務(wù)，可以滿足上層各種應(yīng)用在安全方面的需求。

2安全需求分析

目前，電子口岸業(yè)務(wù)系統(tǒng)主要采用基于HTTP協(xié)議的B/S架構(gòu)的網(wǎng)絡(luò)應(yīng)用系統(tǒng)在客戶端瀏覽器和web服務(wù)器之間直接進(jìn)行通信，口岸業(yè)務(wù)各子系統(tǒng)與口岸各家單位信息系統(tǒng)進(jìn)行數(shù)據(jù)交互基本都是采用交通部標(biāo)準(zhǔn)報文或EDI自定義標(biāo)準(zhǔn)報文的形式，主要信息安全問題包括以下三方面：

1）缺乏有效的身份認(rèn)證機(jī)制?；径疾捎糜脩裘?口令的弱認(rèn)證方式，這種認(rèn)證用戶的模式，存在極大的隱患，具體表現(xiàn)在：（a）口令易被猜測；（b）口令在公網(wǎng)中傳輸，容易被截獲；（c）一旦口令泄密，所有安全機(jī)制即失效。

2）存在數(shù)據(jù)傳輸安全隱患。主要體現(xiàn)在安全訪問與訪問控制上。在B/S架構(gòu)的應(yīng)用系統(tǒng)中，其在網(wǎng)絡(luò)上所發(fā)放的數(shù)據(jù)包均是按照TCP/IP協(xié)議進(jìn)行傳輸?shù)?，這種協(xié)議為明文方式發(fā)送，數(shù)據(jù)內(nèi)容被攔截后篡改的可能性很大。

3）缺乏對客戶申報數(shù)據(jù)的防抵賴機(jī)制。防抵賴是指防止客戶申報數(shù)據(jù)過后否認(rèn)曾經(jīng)發(fā)起過該操作。這對于規(guī)范操作，避免糾紛起著很大的作用。傳統(tǒng)地，防抵賴機(jī)制是通過手工簽名確認(rèn)完成的；而目前很多基于B/S架構(gòu)的應(yīng)用系統(tǒng)都無法實(shí)現(xiàn)對用戶操作的防抵賴功能，沒有有效的證據(jù)可以證明用戶確實(shí)執(zhí)行了某個操作。

因而，歸納電子口岸業(yè)務(wù)系統(tǒng)的安全需求包括：對身份認(rèn)證和訪問控制的需求；對數(shù)據(jù)傳輸安全性的需求；對數(shù)據(jù)完整性的需求；對不可否認(rèn)性和唯一性的需求。

3集裝箱電子委托系統(tǒng)CA安全應(yīng)用設(shè)計

針對電子委托系統(tǒng)的安全隱患，借住江蘇CA，確定以下的設(shè)計方案來保證用戶安全需求：

1）用戶和服務(wù)器身份驗證

在用戶端，通過國家認(rèn)可資質(zhì)的電子認(rèn)證服務(wù)機(jī)構(gòu)頒發(fā)的數(shù)字證書來確認(rèn)登錄用戶的身份。用戶通過電腦接人存儲數(shù)字證書的硬件介質(zhì)CA-KEY登錄，保證用戶身份真實(shí)可信，不會被冒名竊取。

在服務(wù)端，通過配置江蘇CA的CreadLink網(wǎng)絡(luò)信任服務(wù)器進(jìn)行身份驗證。網(wǎng)絡(luò)信任服務(wù)器通過存儲的定期更新的黑名單列表來驗證用戶身份，以此實(shí)現(xiàn)雙向的身份認(rèn)證來保證用戶登錄的安全可靠。

2）對電子簽名的不可否認(rèn)性和防抵賴

用戶操作所產(chǎn)生的與口岸其他單位進(jìn)行數(shù)據(jù)交互的電子數(shù)據(jù)——報文，都將使用數(shù)字證書和安全中間件對其進(jìn)行電子加簽，假如用戶對已提交的申報數(shù)據(jù)存在疑問，通過簽名信息，利用相應(yīng)的技術(shù)手段可以證明其電子簽名確實(shí)存在，并且電子簽名后的原文數(shù)據(jù)并沒有被改動，可以防止其抵賴。

3）電子數(shù)據(jù)傳輸?shù)谋Ｃ馨踩?/p>

用戶和服務(wù)器通過網(wǎng)絡(luò)信任服務(wù)器的雙向驗證身份通過以后，隨之建立起SSL連接通道，此后用戶和服務(wù)器的通訊信息和傳輸信息保證在SSL安全通道內(nèi)，此通道內(nèi)的信息是以128位的隨機(jī)對稱密鑰加密的，安全可靠，保證用戶的信息安全，不被偷窺。

4）電子數(shù)據(jù)在傳輸過程中不被篡改，保證信息的完整性。

用戶對所要提交的電子數(shù)據(jù)信息內(nèi)容進(jìn)行確認(rèn)，用安全可靠簽名中間件和數(shù)字證書，經(jīng)過標(biāo)準(zhǔn)嚴(yán)格的密碼運(yùn)算形成電子簽名附在所要提交的電子數(shù)據(jù)信息中。電子數(shù)據(jù)信息和電子簽名一起被用戶提交到服務(wù)器端，如果電子數(shù)據(jù)信息在傳輸過程中被修改或丟失，服務(wù)器端的簽名驗證服務(wù)器會驗證出來，可以要求用戶重新傳輸，從而保證電子數(shù)據(jù)信息在傳輸過程中的完整性。

4集裝箱電子委托系統(tǒng)CA安全具體實(shí)現(xiàn)

集裝箱電子委托系統(tǒng)從客戶端和服務(wù)端著手，切實(shí)保證系統(tǒng)安全、數(shù)據(jù)安全、傳輸安全：

1）客戶端

硬件介質(zhì)KEY：存儲各企業(yè)單位的數(shù)字證書和私鑰，實(shí)現(xiàn)證書與真實(shí)用戶捆綁。主要制KEY和發(fā)放KEY工作由江蘇CA和南京翔晟提供支持。

驅(qū)動：客戶需要安裝相應(yīng)驅(qū)動以實(shí)現(xiàn)KEY與簽名工具通信的接口，江蘇CA的KEY驅(qū)動包為“行助手”，南京翔晟的驅(qū)動包自主研發(fā)。

電子簽名控件：安裝相應(yīng)的驅(qū)動包后，瀏覽器需要加載相應(yīng)的電子簽名控件，才能實(shí)現(xiàn)瀏覽器讀取電子簽名信息。

2）服務(wù)端

電子口岸應(yīng)用服務(wù)器配置部署Credlink網(wǎng)關(guān)服務(wù)器，配置SSL、SVS模塊，SSL用于身份驗證、傳輸加密，SVS用于進(jìn)行簽名驗簽工作。

5結(jié)束語

基于集裝箱電子委托系統(tǒng)包含委托信息、電子支付、委托扣費(fèi)、重箱提重等涉及費(fèi)用變動或財產(chǎn)移交的功能，因此系統(tǒng)身份認(rèn)證、數(shù)據(jù)機(jī)密性、完整性、不可否認(rèn)性就顯得尤為重要，采用CA-KEY能夠全面滿足互聯(lián)互通、信息共享電子口岸業(yè)務(wù)系統(tǒng)的安全需求，避免系統(tǒng)使用者與系統(tǒng)實(shí)施者不必要的糾紛。