财政身份认证与授权管理系统

陈烁婷

摘要：近年来，我国的信息化技术猛速发展，随之而来的安全问题日益凸显。习近平总书记在中央网络安全和信息化领导小组第一次会议上发表讲话就提到没有网络安全就没有国家安全，没有信息化就没有现代化。在财政信息系统方面，存在业务量大、涉及业务部门多、涉及面广、关键业务操作多、数据应用要求高、对应用安全保障要求高等特点。现有的财政系统主要是各业务系统通过“用户名+口令”进行用户身份识别和访问控制，系统的身份识别和访问控制机制彼此独立、重复设置、重复开发，安全级别较低，增加了安全隐患，也增加了管理成本和用户负担。同时，由于缺乏电子单据和数据数字签名、时间戳、责任认定等安全功能，业务无纸化办公无法推进。整体上来讲，缺失统一的标准和有效的技术手段，很难适应财政信息化的发展。本文就财政信息系统现状及存在的问题，结合国库电子支付的管理介绍了财政身份认证与授权管理系统的有应用。详细的描述通过身份认证与授权管理系统的建设，有效防止身份冒充，提升应用安全级别，保障财政业务系统应用安全目的。

关键词：财政身份认证；授权管理系统；措施

引言

随着我国对政府机关电子政务工作重视度的不断提高,近些年政府信息化工作的开展,随之带来的网络安全和信任体系问题已经逐渐成为困扰信息化进一步发展亟待解决的问题,信息化安全保障体系的建立迫在眉睫。身份认证与授权管理系统作为重要的IT基础设施，基于数字证书和秘钥管理的身份认证系统提供身份鉴别、数据加密、签名、时间戳服务等多种技术手段，在业务操作中能有效防止伪冒用户身份、篡改业务数据等行为，而授权管理系统能提供数据细粒度的访问控制，防止越权和违规操作，能从根本上解决财政系统存在的安全问题。

一、财政应用系统现状及安全需求

（一）财政应用系统的现状

全国各省市财政部门由于业务量大，开发建设的应用系统较多，各应用系统在登录认证方式均采用基于用户名和密码的安全手段，整理上缺乏对各应用系统的集中统一授权认证管理，在保护应用系统交互数据的完整性、机密性和不可抵赖性方面缺乏技术手段。

（二）应用系统安全建设的需求

1.高强度身份认证。身份认证是应用系统判断用户是否合法的重要手段，是应用系统的第一道安全防护。目前各级财政的应用系统对用户身份的认证普通采用“用户名+口令”的方式，登录通常使用静态口令，口令设置过于简单且长时间不进行更新，口令在数据库中有存储记录，可重复使用，非法用户可以通过网络窃听、非法数据库访问、穷举攻击、重放攻击等时候获得这种静态口令，然后利用获得的口令，对资源进行非法访问和越权操作。

采用高强度的认证可提供比传统的身份认证方式更加安全可靠的方法，可以更好的保证系统的安全性。

2.应用级地访问控制。在现有的应用系统中，各个系统都使用独立的权限管理体系，一个用户在一个系统中拥有一定的角色和权限，在另一个系统中会拥有不同的角色和权限，个人岗位的变化更给管理员带来很大的工作量，并容易造成安全漏洞。

身份认证与授权管理系统作为一个集中的规范化的访问控制及授权管理系统，提供用户身份到应用授权的映射功能，做到集中管理各应用系统，能提高应用系统的安全性和易维护性。

3.业务操作不可抵赖。在数据提供过程中如果一方在确认数据操作后又抵赖，将对应用系统的使用造成很大的损失，也会对责任认定和追查产生影响。

身份认证与授权管理系统可以提供相应的技术手段，对操作进行审计和对相关的责任进行划分，使得业务的操作不可抵赖。

4.数据完整性保护

由于网络和网络技术的功能特性，使得数据在无保护情况下可以被他无意或者有意的进行修改，或者由于种种因素使得数据在传输过程中被破坏。

身份认证与授权管理系统就可以提供保证数据的完整性和防止数据被篡改的功能。

5.时间的精确和权威性。书面合同中，文件签收的日期和签名一样，均是防止文件被伪造和篡改的关键性内容。在财政部门的国库支付管理等系统中，时间也是十分重要的信息。

在身份认证和授权管理系统加入时间戳，确保系统时间的准确性和权威性。

6.证书发放统计及访问日志审计。身份认证和授权管理系统的安全审计查询功能，可以详细统计、查询各级财政部门都发放了多少张证书，而这些证书都在什么时间、IP、访问了哪些应用，访问认证结果如何等。

图表1国库支付无纸化系统部署示意图

二、国库电子支付建设

（一）应用系统的概述。强化财政国库管理信息化建设、促进国库管理科学化，是构建现代国库管理制度的客观要求。国库集中收付制度改革十几年来，财政国库信息化取得了显著成效，地方国库支付系统已发展成综合性的预算执行管理系统，有力支撑了地方财政国库管理的改革与发展。随着国库集中收付改革向“横到边、纵到底”全面推进，国库收付管理的工作效率及信息反馈等要求不断提高，适应新形势、新情况，建立更加安全、规范、高效的财库收付管理新模式已成为地方财政部门的迫切要求。在中央成功实施财库业务无纸化管理，部分地方开始尝试推进相关工作的基础上，改革现行地方财库半手工、半电子的业务管理方式，大力推进财库支付业务无纸化管理已成为当前地方财政信息化建设的当务之急。

（二）建设内容。一是建设独立的无纸化安全支撑体系，支持电子凭证库、凭证传输及电子印章管理。该部分功能相对独立，可与地方国库支付系统、非中央统一开发地方国库支付业务相关系统，及人行国库收支业务相关系统灵活衔接，以满足与财政、人行业务系统的不同衔接要求。二是改造地方国库支付系统，支持无纸化安全支撑体系的接入。主要改造内容包含，完善系统安全信任体系、建立收付管理与凭证库管理的信息交互机制，修改相关报表管理功能等。

具体部署见图表1：

财政国库支付管理系统部署在财政业务专网，通过专线连接到各银行（包含人行及各代理银行，下同）的前置机，前置机与各银行内部业务网络隔离，以保证财政业务专网与银行内部业务网络各自的网络安全。

在财政业务专网的DMZ区分别部署电子签章服务器、身份认证网关、签名服务器及时间戳服务器。在身份认证网关的应用列表中添加国库支付管理系统，以便国库支付管理系统能够进行证书认证；将财政相关的印章扫描，制成电子印章图片加密后存储在电子签章服务器中，以供之后的电子盖章使用；同时在签名服务器中导入财政专网CA的根证，以及代表各级财政身份的机构证书私钥（用以数据签名）、代表各银行身份的机构证书公钥（用以数据加密），并设置调用时间戳服务器的IP、端口等。

同时，在各银行的内部业务网络上也需部署电子签章服务器、身份认证网关、签名服务器及时间戳服务器。将银行相关的印章扫描，制成电子印章图片加密后存储在电子签章服务器中，以供之后的电子盖章使用；同时在签名服务器中导入财政专网CA的根证，以及代表本银行身份的机构证书私钥（用以数据签名）、代表财政身份的机构证书公钥（用以数据加密）。

业务访问流程

改造完后的国库支付管理系统的业务流程具体如下：

图表2-1国库支付管理系统业务流程示意图（1）

1.财政用户持证书登录国库支付管理系统，并录入相关的支付信息；

2.后续用户对该信息进行审核、确认等操作后（敏感操作需要进行签名处理），形成将要发给银行的电子凭证原文；

3.针对该数据原文，财政国库支付管理系统调用签名、印章及加密接口，对安全应用组件（签名服务器、印章服务器）发起签名、印章及加密请求；

4.安全应用组件对数据原文进行签名、印章及加密处理，并将处理后的密文数据返回给财政国库支付管理系统；

5.国库支付管理系统将该密文凭证导出，发给银行。

图表2-2国库支付管理系统业务流程示意图（2）

1.银行收到该数据后，将其导入业务系统中，分别调用解信封、验章及验签接口对数据进行验章、解密、验签处理；

2.若验签成功则进入下一步，失败则联系财政相关人员进行问题分析、核对。

3.银行根据该电子凭证进行对应业务处理，并产生电子回执凭证。

图表2-3国库支付管理系统业务流程示意图（3）

1.针对该凭证原文，银行调用签名、印章及加密接口，对安全应用组件（签名服务器、印章服务器）发起签名、印章及加密请求；

2.安全应用组件对凭证原文进行签名、印章及加密处理，并将处理后的密文凭证返回给银行业务系统；

3.银行业务系统将该密文凭证导出，并发给财政。

图表2-4国库支付管理系统业务流程示意图（4）

1.财政相关人员收到该密文凭证后将其导入到财政国库支付管理系统中，分别调用解信封、验章及验签接口对数据进行验章、解密、验签处理；

2.若验签成功则完成数据导入，失败则联系对应银行进行问题分析、核对；

3.流程结束。

三、结语

财政身份认证与授权管理系统建立了一套完整的配套标准和规范便于财政信息化整体推进。在大数据时代背景下，国库集中支付电子化管理是深化财政管理体制改革的必然要求，是一项复杂的系统工程，涉及业务与技术的深度融合。通过财政身份认证与授权管理系统设计及建设，使用数字证书进行高强度身份认证，有效地防止身份冒充，安全级别得到大大的提升。统一对实体进行身份和权限管理，奠定实名制管理的基础，提供独立的高强度的认证手段给各个层面使用。同时也提供了一种电子签名法保护的数据保护和司法取证手段。

参考文献

[1]马建峰，沈玉龙.信息安全[M].西安：西安电子科技大学出版社，2013.

[2]薛天龙.数字证书原理及应用[M].北京：中国标准出版社，2014.