|
职称论文发表 | 职称论文发表 专业提供:发表论文、论文发表、毕业论文、职称论... | |
住在汉口网 | 住在汉口网是一个专业提供汉口房产信息、车辆服务、生活服务、招... | |
职称论文网 | 职称论文网提供:发表论文、论文发表、毕业论文、职称论等服务。 | |
|
近年来,电子政务在各国政府的实际工作中已发挥越来越重要的作用。然而,电子政务在给政府和社会带来高效率和友好服务的同时,也带来了威胁、风险和责任。为了保障政府的管理和服务职能的有效实现,必须建立电子政务安全系统。电子政务系统中的安全体系涉及到物理安全、网络安全、信息安全以及安全管理等多方面。本文从信息安全的角度提出PKI机制在电子政务中的应用,探讨电子政务应用的安全解决方案。
一、电子政务的安全
电子政务(E-government)是应用现代化的电子信息技术和管理理论,对传统政务进行持续不断地革新和改善,以实现高效率的政府管理和服务。其内容十分广泛,可主要包括G2G、G2B、G2C。
电子政务系统信息安全的宗旨就是基于充分考虑信息安全风险的前提下,确保政府部门能借助系统有效完成法律所赋予的政府职能。电子政务系统必须实现如下的信息安全目标:①可用性目标,即确保电子政务系统有效率地运转并使授权用户得到所需信息服务。②完整性目标,包括数据完整性和系统完整性。③保密性目标,指不向非授权个人和部门暴露私有或者保密信息。④可记账性目标,指电子政务系统能如实记录一个实体的全部行为。⑤保障性目标,是电子政务系统信息安全的信任基础。
电子政务信息系统的安全取决于特定社会环境、技术环境和物理自然环境等安全环境。
社会环境的威胁主体是个人、组织和国家三个层次。具体攻击手段主要有:①中断:即通过破坏系统中的硬件、硬盘、线路、文件系统攻击系统的可用性;②删改:即通过删改系统中数据内容,修正消息次序、时间攻击系统的完整性;③窃取:即攻击系统的机密性;④伪造:即攻击系统的真实性。技术环境的脆弱性来源于信息系统技术上和管理上的缺陷。典型的缺陷和安全隐患有:①缺陷或漏洞:指信息系统中各组成部分和整个网络在设计时存在可供攻击者开发利用技术能力限制特性。②后门:指在各种软硬件中有意或无意中留下的可供获得软硬件设备标识信息或进入系统的控制信息的特殊代码。物理自然环境恶化是指系统物理基础的支持能力下降或消失,包括电力供应不足或中断、电压波动、静电或强磁场的影响及自然灾害的发生等。
基于上述安全环境的威胁和缺陷,电子政务在发展过程中,出现了很多安全问题,主要有:①网络安全域的划分和控制问题;②内部监控、审核问题;③电子政务的信任体系问题;④数字签名问题;⑤电子政务的灾难响应和应急处理问题。
只有解决了这些问题,才能使我国电子政务进程平稳前进,真正为强国富民发挥应有的作用。
二、在电子政务中实施PKI的必要性
1、PKI概况
PKI产生于20世纪80年代,是在公开密钥理论和技术的基础上发展起来的一种综合性安全平台,能透明地为所有的网络应用提供加密和数字签名等密码服务所必须的密钥和证书管理,从而保证网上传递信息的安全、真实、完整和不可抵赖性。PKI是采用公钥密码技术提供安全服务、具有互操作性、开放性、一致的解决方案、可验证性、可选择性等特点。利用PKI可以方便的建立和维护一个可信的网络环境,从而使人们在这个环境里能够确认彼此的身份和所交互的信息,能够安全的进行各种活动。
2、在电子政务中实施PKI的必要性
电子政务的实施使得政府事务变得公开、高效、透明、廉洁和信息共享,与此同时,也使得政务信息系统安全问题更加突出和严重,影响电子政务信息系统功能的发挥,甚至对政府部门和社会公众产生危害,严重的还将对国家信息安全乃至国家安全产生威胁。因此,建立安全策略是电子政务实施中的重要环节。
鉴于E-Government是政府内部部门之间、跨部门、以及政府部门与企业或个人的交互模式,具有类似申报和审批事务时交换信息的身份认证和保密要求,其在线方式需要有一个坚固可靠、安全、可管理的安全平台。因此传统的限制外界访问重要信息和资源的安全系统已无法满足,E-Government需要一种经授权后即可访问政府机关的资源和应用软件的安全体制。无论它们是电子化申请/注册,还是在线公务以及电子化政策的制定,都需要引入保密性、完整性、不可否认性和鉴权性。为了达到这个目的,构建PKI是目前一个较好的选择。在PKI中,公钥证书将保证数据的不可否认性和鉴权性;公钥/私钥的交叉使用将保证数据的机密性;数字签名将保证数据的完整性、不可否认性。因此,PKI技术正在越来越多地被运用到电子政务应用中去。
三、在电子政务中推广PKI技术所面临的困难
尽管目前一些国家的政府已在电子政务运行中大力推广PKI,但是设计和建立具有所有安全特征的PKI系统仍然是一个艰难的挑战。在该项技术能在电子政务中被更广泛和更有效地采用之前,还有许多实质性的问题需要解决。
1、目前的PKI产品和实现存在互操作性问题
基于现有的标准,各厂商已从总体上设计并开发出PKI产品。但是,这些标准并没有被完整和明确地定义,使得厂商根据需要对标准做出他们自己的解释,并且在大多数情况下,开发了用他们自己的方法来实现的那些非标准化的功能。于是就产生了各种互操作性的问题。如:数字证书的互操作性、目录的互操作性、应用程序的互操作性。
2、具有所有安全特征的PKI还很少
开发用于政府范围内的PKI系统的努力目前还只是处于非常初级的阶段。电子政务中的PKI将把政府公务员、商业公司以及公众都包括在内,要处理这样一个人数众多、差异较大的用户群,需要一个可信的注册中心网络来统一有力地对所有用户进行身份确认。此外,还需要一个巨大的、可互操作的在线目录网络用于在进行交易之前查询用户的身份并对其数字证书进行确认。有些应用程序可能需要参考一些互异的目录来确定对用户证书进行验证的可信路径。在获得进一步的可操作性经验之前,极有可能出现诸如验证失败、响应时间过长等问题。尽管可以采用桥CA来便于不同机构的PKI之间的交叉认证,但桥CA本身还有大量的问题需要解决。
3、建立PKI的费用过高
现在建立一套PKI及应用软件的费用及维护费用仍十分可观。并且由于不同PKI系统之间的兼容性,未来保证它们正常运作,需要付出额外的代价。PKI的用户取得数字证书的费用也很高,这也从一定程度阻碍了PKI在电子政务的推广。
4、PKI的成功与否依赖于其实现程度及易用性
PKI技术复杂难以掌握,而且PKI需要用户以及系统管理员的正确配置。所以,有必要对PKI的用户进行培训,使之熟悉系统和配套软件,这个过程将耗费很多时间和经费。
5、政府部门还没有得到整个政府范围内的PKI开发的管理框架的指导
目前,政府部门还没有得到政府范围内的PKI开发和管理框架的指导。通过建立和强制实施一套综合的管理框架将为电子政务PKI的开发和管理制定角色和职责,指明所需的资源,并制定出策略以便为各个机构提供一致的指导。这个框架也包括政府范围的PKI体系结构,该体系结构将为实现PKI提供技术上的结构。这样就减少了政府部门在建立PKI系统时所面临的不可互操作和不必要的高额维护费用的风险。
四、PKI技术在我国电子政务中应用的建议
通过以上综合分析,对PKI技术在我国电子政务中的应用有着很大的启发和借鉴意义。以下为PKI技术在我国电子政务中的应用的建议。
1、通过各种防法大力促进PKI技术在我国电子政务中的应用
我国应该吸取国外的经验和教训,积极稳妥地推动PKI技术在电子政务中的应用。目前,我国各地方推出的PKI基本上是为了满足局部需要,全国还没有由政府机构推出的统一的信任认证机制,现有的PKI不支持在不同部门的PKI产品间直接进行互操作,这将会影响今后跨部门之间的信息流通与合作。而采用大集中的方式危险性很大。另外在证书的验证方面也容易形成瓶颈,使得PKI的效率下降,不利于电子政务的广泛开展。而为了所有已经建立起来的CA中心的用户能够建立相互信任关系,又必须实现交叉认证。解决交叉认证可以考虑采用桥型结构,可以建立中国的BCA。
根据电子政务的安全需求特点,可有如下基于PKI的安全解决方案:
(1)身份认证服务
目前在网络中比较常用的是基于口令的认证方式,这是一种弱认证方式,口令在网络传输的过程中极易被窃取和破译,不适用于安全性较高的场合,而且其认证是单向的,浏览器不能对服务器进行认证。安全电子政务系统通过使用由可信证书机构(CA)颁发的数字证书,结合对应的私钥,完成对实体的单向或双向身份认证,克服了传统的口令认证的弊端,可大大提高身份认证的安全水平。
(2)信息保密性服务和数据完整性服务
传输在网络上的敏感、机密信息和数据有可能在传输过程中被非法用户截取或恶意篡改,安全电子政务系统使用PKI技术来提供信息保密服务和数据完整性服务,保证交互信息的机密性和数据的完整性。一般系统由客户端和服务器端两部分组成,客户端和服务器端分别与浏览器和web服务器协同工作,它们之间通过互相验证数字证书建立安全数据通道,通过PKI体系下的高强度加密技术,对敏感信息进行加密和解密,并进行完整性检。
(3)不可否认服务
在电子政务中,要真正实行无纸化办公,很重要的一点是实现电子公文的流转,而在这之中,数字签名的使用则非常重要。通过为客户端安全软件和服务器端安全软件增加数字签名功能可提供不可否认服务。被签名的文件是用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据,信息接收者使用信息发送者的公钥对附在原始信息后的数字签名进行解密后获得哈希摘要,并通过与自己用收到的原始数据产生的哈希摘要对照,便可确信原始信息是否被篡改。
2、国家涉密网中采用PKI技术要慎重考虑
因为PKI技术是基于公钥密码体制的,它适用于无边界、无中心、用户间平等但不可信的Internet开放式网络环境中。而涉密网是一个封闭的、用户间可信但不平等的环境,利用对称密码体制就可以维持涉密系统的稳定性、可靠性和有效性,它对公钥密码体制的需求并不明显。因此,目前在我国的涉密网络中,对PKI技术的应用应该认真对待、积极研究、慎重实施。
3、国家应设立专门机构提供指导和监督
国家应该设立专门机构为政府范围内的信息资源和技术管理提供指导,并监督这些范围内的机构活动。这个机构也应该负责完善和监督安全政策、原则、标准和指南的实现,通过制定PKI的相关政策,指导PKI技术的开发与应用。 职称论文发表网http://www.issncn.com
职称论文发表网http://www.issncn.com
|
|
|
|