第4章+电子政务的信息技术架构.ppt

1、第四章 电子政务的信息技术架构,第四章 电子政务的信息技术架构,2,电子政务,第四章 电子政务的信息技术架构,了解电子政务的总体技术架构的主要层次，以及各层次的主要功能 掌握电子政务基础设施层和信息资源服务层涉及到的主要技术 重点掌握电子政务业务支撑层关键技术,学习目标,第四章 电子政务的信息技术架构,3,电子政务,第四章 电子政务的信息技术架构,第一节 电子政务的总体技术架构 第二节 电子政务基础设施层 第三节 信息资源服务层 第四节 电子政务业务支撑层 本章小结,第四章 电子政务的信息技术架构,4,电子政务,第一节 电子政务的总体技术架构,一、电子政务的分层逻辑模型 二、基础设施层 三、信

2、息资源服务层 四、电子政务业务应用支撑层 五、应用层,第四章 电子政务的信息技术架构,5,电子政务,一、电子政务的分层逻辑模型,电子政务作为一个复杂的系统工程，其总体技术架构可以采用分层的系统体系结构来加以设计和实现。 一方面能够较好地实现建设任务的分解，使整个电子政务系统的建设任务能够在明确接口定义的基础上进行并发建设，缩短整体的建设周期 另一方面能够在接口保持不变的前提下，保证电子政务系统对各层基础技术的发展具有良好的适应性，并且较好地体现以数据获取和整合为核心、以信息安全为基础、面向公众服务的电子政务的功能定位。,第四章 电子政务的信息技术架构,6,电子政务,一、电子政务的分层逻辑模型,

3、第四章 电子政务的信息技术架构,7,电子政务,二、基础设施层,基础设施层是整个电子政务体系的最终信息承载者，为电子政务系统提供政务信息以及其他运行管理信息的传输和交换平台，位于整个分层体系结构的最底层。基础设施层主要由网络基础设施和信息安全基础设施两部分组成。,第四章 电子政务的信息技术架构,8,电子政务,二、基础设施层,（一）网络基础设施 作为提供信息传输与交换的基础设施体系，网络基础设施的建设是整个电子政务系统建设和发展的基础和前提。整个网络基础设施根据电子政务应用的实际需求可以划分为互联网、公众服务业务网、非涉密政府办公网和涉密政府办公网这几大部分。 构建网络基础设施的关键技术是网络技术

4、和通信技术。网络信任域是构建网络基础设施的关键技术之一。不同于互联网“对等的、无中心的、无管理的”组织设计思想，网络信任域基础设施在技术上旨在构建一个可以管理的、有中心的网络基础设施。,第四章 电子政务的信息技术架构,9,电子政务,二、基础设施层,（二）信息安全基础设施 信息安全基础设施在网络基础设施所提供的信息传输服务平台的基础上，增加了面向电子政务应用的通用安全服务，为电子政务应用提供了一个通用的、高性能的可信和授权的计算平台，即所谓的智能化信任和授权平台。智能化信任和授权基础设施层的引入使电子政务应用系统能够以便捷而灵活的方式来构建自身的安全体系。 我国的国家信息安全基础设施NISI（N

5、ational Information Security Infrastructure）以公钥基础设施PKI、授权管理基础设施PMI和可信时间戳服务系统为重点，还包括安全保密管理系统等。,第四章 电子政务的信息技术架构,10,电子政务,三、信息资源服务层,信息资源服务层一般负责管理存放政府各类基础数据，通过数据转换、加工、提取和过滤等过程，向应用服务层提供数据。由于信息资源服务层是在信息资源规范化组织和管理的前提下，在实现信息的有效提取、高度集成、充分共享的基础上提供各种服务的，因此它能有效提高政府机关资源的利用率，降低资源消耗，节约内部办公成本。该平台一般包括数据库和数据库管理系统。,第四章

6、 电子政务的信息技术架构,11,电子政务,四、电子政务业务应用支撑层,电子政务业务应用支撑层是一站式电子政务服务得以实现的重要技术支持。作为为电子政务各种最终应用提供硬件、软件支撑的服务系统，应用支撑层分别对外网的公共服务系统和内网的办公系统提供安全系统支撑。 业务支撑层作为电子政务软件平台中十分重要的一个层次，应对应用系统的开发、运行提供全面的支持。针对业务过程的集成，应用支撑层采用统一的整合技术，将应用程序、管理系统、数据系统，统一在安全的支撑平台上，通过应用支撑平台的各种引擎服务，针对外部不同系统的请求加以处理，然后驱动其他应用系统来协同完成业务过程。,第四章 电子政务的信息技术架构,1

7、2,电子政务,五、应用层,电子政务建设的应用系统根据其面向的用户种类，可以分为对内电子政务应用系统和对外电子政务应用系统两类。其中，对内电子政务应用系统主要面向政府公务员，提供办公支持、公文流转等服务；而对外电子政务应用系统主要是面向公众，提供各政府职能部门的相关业务，如网上项目申报、网上纳税等。,第四章 电子政务的信息技术架构,13,电子政务,第二节 电子政务基础设施层,一、网络基础设施 二、网络信任域基础设施 三、公钥基础设施PKI 四、授权管理基础设施PMI,第四章 电子政务的信息技术架构,14,电子政务,一、网络基础设施,（一）网络基础设施的体系结构 电子政务的网络基础设施主要包括互联

8、网、公众服务业务网、非涉密政府办公网和涉密政府办公网几大部分。而公众服务业务网、非涉密政府办公网和涉密政府办公网三部分又统称为政务内网。其中公众服务业务网络负责提供与统一的电子政务服务业务系统相对应的数据服务支持功能，非涉密的政府办公网络负责提供对部分业务数据的审批等处理，而涉密政府办公网则是政府内部的运行有涉密信息的办公网络系统。政务内网可以视为整个电子政务网络系统中的内部用户网络。,第四章 电子政务的信息技术架构,15,电子政务,一、网络基础设施,（一）网络基础设施的体系结构,第四章 电子政务的信息技术架构,16,电子政务,一、网络基础设施,（一）网络基础设施的体系结构 1统一的安全电子政

9、务平台 统一的安全电子政务平台是整个电子政务建设的基础工程，也是整个电子政务系统的枢纽。其主要功能是为有关政府部门的对外业务服务应用提供数据的传输与交换平台，并提供与内部政务专网以及互联网/电信公网的接入接口。,第四章 电子政务的信息技术架构,17,电子政务,一、网络基础设施,（1）统一的接入平台,第四章 电子政务的信息技术架构,18,电子政务,一、网络基础设施,（1）统一的接入平台 拨号接入。在不需要经常连接到网络的政府部门中，可以使用这种方式。它只需要一条电话线、一个调制解调器和一台计算机就可以接入电子政务系统中。这种方式的缺点是速率低、可靠性差。 综合业务数字网。综合业务数字网（Inte

10、grated Services Digital Network，简称ISDN）是使用电话线路传递音频、数据和视频的技术。ISDN在根线路上创建多条信道，即创建在条线路上结合多种信号的多路复用数据通道。,第四章 电子政务的信息技术架构,19,电子政务,一、网络基础设施,（1）统一的接入平台 数字用户线路。数字用户线路（x Digital Subscriber Line，xDSL）是一种通过在现有的电信网络上使用高级调制技术，在用户和电信运营商之间形成高速网络连接的技术，速率可以从64kb/s到52Mb/s。 数字数据网络。数字数据网络（Digital Data Network，简称DDN）是利用

11、光纤数字传输通道和数字交叉复用节点组成的传输网，可以为用户提供各种速率的高质量数字专用电路和其他新业务，以满足用户多媒体通信和组建中高速计算机通信网的需要。,第四章 电子政务的信息技术架构,20,电子政务,一、网络基础设施,（1）统一的接入平台 混合光纤电缆。混合光纤电缆（Hybrid Fiber Coax，简称HFC），是光纤和同轴电缆的结合：光纤用于中央设备，同轴电缆用于连接个人用户。从本质上说，HFC是层次结构的，在需要最高带宽的网络端口上使用光纤，在可容忍低速率的部分使用同轴电缆。 光纤到用户。光纤到用户（Fiber To The Curb，简称FTTC）使用光纤作为高容量干线，将光纤

12、延伸到终端用户旁边。,第四章 电子政务的信息技术架构,21,电子政务,一、网络基础设施,（1）统一的接入平台 GSM/GPRS接入。传统的具有GSM/GPRS功能的手持移动终端设备，主要是手机或个人数字助理（Personal Digital Assistant，简称PDA），统一的电子政务接入平台主要提供负责基于短信和基于无线应用协议（Wireless Application Protocol，简称WAP）两种典型的接入方式。 CDMA接入。随着第三代移动技术的实现和移动通信与互联网的融合，全球正迅速向移动信息时代迈进。CDMA 接入方式提供了强大的移动数据通信能力，使得实现任何人在任何地方、

13、任何时间与其他任何人进行任何方式的通信最终成为可能。,第四章 电子政务的信息技术架构,22,电子政务,一、网络基础设施,（2）统一的Web门户平台,第四章 电子政务的信息技术架构,23,电子政务,一、网络基础设施,（2）统一的Web门户平台 Web门户服务平台。 在技术方面，Web门户服务平台采用可信XML技术和可信SOAP的应用集成技术等核心技术。 在结构设计方面，Web门户服务系统所提供的Web计算平台是建立在J2EE的四层计算结构基础之上的，并采用了将表现层、业务逻辑层和数据访问层相互独立的分层化构件设计结构，提供了灵活的系统构件能力和系统性能的动态扩展支持。,第四章 电子政务的信息技术

14、架构,24,电子政务,一、网络基础设施,（2）统一的Web门户平台 Web门户服务平台。 Web门户服务是主要是由WEB服务单元和LDAP单元构成的。其主要的功能是接受HTTP请求，并返回静态或动态的响应，同时提供相应的目录服务的安全调用功能接口。 一般而言，Web门户服务系统是建立在J2EE的四层计算结构基础之上的，并采用了将表现层、业务逻辑层和数据访问层相互独立的分层化构件设计结构，提供了灵活的系统构件能力和系统性能的动态扩展支持。,第四章 电子政务的信息技术架构,25,电子政务,一、网络基础设施,（2）统一的Web门户平台 门户应用服务平台。 门户应用服务平台是由App服务单元、DB服务

15、单元、DBP服务单元构成的。 App服务单元主要负责具体的业务逻辑（business logic）管理、进行分布式计算，同时提供业务的并发控制、安全管理、资源和容错管理等服务； DB服务单元负责提供数据的查询、更新、索引、高速缓存、查询优化、安全及多用户存取控制等服务； DBP服务单元负责数据库的路径查找。,第四章 电子政务的信息技术架构,26,电子政务,一、网络基础设施,（2）统一的Web门户平台 系统运行维护平台。 在门户平台中，系统运行维护平台的主要功能是提供对电子政务系统的运行维护，包括业务应用系统的业务逻辑、门户系统的表示逻辑以及门户系统的存储数据的运行维护等，特别是要对Web门户服

16、务系统中的电子政务门户系统提供运行维护的支持功能。,第四章 电子政务的信息技术架构,27,电子政务,一、网络基础设施,（2）统一的Web门户平台 安全保密服务平台。 电子政务系统是一个庞大而复杂的网络信息系统，虽然有一系列技术上的安全措施，但是，只有制定统一而严密的安全管理策略，并将这些技术有机地结合起来，才能保证电子政务应用系统的安全性。 安全保密服务平台主要由入侵检测系统、漏洞扫描技术、病毒防治系统、安全审计系统等安全功能单元组成。这些单元以一定的方式有机地组合起来，构成一个功能强大的安全保密管理平台。,第四章 电子政务的信息技术架构,28,电子政务,一、网络基础设施,（2）统一的Web门

17、户平台 系统运行维护平台。 系统运行维护平台的具体功能主要包括：基于PKI技术的可信发布、基于PKI技术的可信日志管理、支持设备证书、访问控制等。 系统运行维护平台的服务结构主要可以从以下两个方面进行设计。 一是Web服务业务的审核。 二是Web服务业务的发布。,第四章 电子政务的信息技术架构,29,电子政务,一、网络基础设施,（2）统一的Web门户平台 系统运行维护平台。 系统运行维护平台的安全结构主要可以从以下几个方面进行设计。 首先，内部安全域划分。 其次，在系统的接口控制方面，对系统运行维护平台对外的网络管理接口进行访问控制，确保网管流程中数据采集和控制指令的安全性； 最后，在网管操作

18、的安全审计方面，对系统运行维护平台所进行的网络管理操作过程进行安全审计，以便能对现有网络配置的合理性进行分析。,第四章 电子政务的信息技术架构,30,电子政务,一、网络基础设施,（2）统一的Web门户平台 安全保密服务平台。 电子政务系统是一个庞大而复杂的网络信息系统，虽然有一系列技术上的安全措施，但是，只有制定统一而严密的安全管理策略，并将这些技术有机地结合起来，才能保证电子政务应用系统的安全性。因此，有必要建设安全保密管理系统来负责这方面的工作。,第四章 电子政务的信息技术架构,31,电子政务,一、网络基础设施,（2）统一的Web门户平台 安全保密服务平台。 在安全保密系统的体系结构方面，

19、安全保密管理系统以风险分析、安全策略配置、系统实施、状态监测和实时反应来建立完善的信息系统安全模型，并以此为基础，建立全面和长远的可实施安全策略，采取规范的安全防范措施，进行电子政务应用系统的安全保密管理。 在安全保密管理系统的组成和功能方面，安全保密管理系统主要通过建立合理的安全管理模型，使整个电子政务系统配置一致的安全策略；保证所有可能的攻击能够被检测、监控和及时地以适当的方式予以响应；提供实时监控并识别攻击者的路径；提供及时的安全报警；提供准确的安全审计和趋势分析数据，支持安全步骤的计划和评估等。,第四章 电子政务的信息技术架构,32,电子政务,一、网络基础设施,（2）统一的Web门户平

20、台 安全保密服务平台。 安全保密管理系统主要由安全策略配置和管理系统、入侵检测系统、漏洞扫描系统、安全审计系统、病毒防治系统以及风险评估分析等功能模块组成。 安全策略配置和管理。根据系统的实际情况设置安全策略，如管理与配置系统安全事件通报，实时反映策略的管理与配置，病毒防治、入侵检测、漏洞扫描等策略的管理与配置等。,第四章 电子政务的信息技术架构,33,电子政务,一、网络基础设施,（3）统一的一站式服务平台。 统一的一站式服务平台提供可信的Web Service的运行环境。 所谓“一站式”服务，简单来讲就是服务的提供者针对特定的用户群，通过网络提供一个有统一入口的服务平台，用户通过访问统一的门

21、户即可得到全程服务。一站式电子政务的出现为社会公众提供了一种全新的电子政务服务方式：公民或者企业只需要登录电子政府的门户站点，就可以得到所需要的完整服务，避免了传统方式的烦琐和不便（后台的处理可能跨越不同政府部门或者同一政府部门的不同处室），对公众是完全透明的。一站式服务的推广应用可以提高政府的工作效率，最大程度地为公众提供方便。,第四章 电子政务的信息技术架构,34,电子政务,一、网络基础设施,（4）统一的数据交换平台。 为实现整个电子政务网内资源的共享互通，统一的数据交换平台必须提供高性能、跨平台、跨系统、跨应用和跨地区的数据交换功能，使得各行业各部门的系统都可统一通过这一平台进行信息交换

22、。,第四章 电子政务的信息技术架构,35,电子政务,一、网络基础设施,2公众服务业务网络 一站式服务框架下的公众服务业务网络主要是构建和运行在一站式电子政务服务框架下的提供各类具体的公众政务服务资源的业务网络，属于非涉密网络。它通过可信SOAP（Simple Object Access Protocol，简单对象访问协议）服务器与统一的信息交换平台相连接，作为统一的信息交换平台的数据源而工作。由于采用统一的机算结构，使得系统之间的互联、互通和互操作更加方便，也有助于各类电子政务新业务的开发和加载。一站式电子政务服务框架中所运行的政务公众服务系统的最终业务数据全部存储在对应的政府部门的公众服务业

23、务网络中。,第四章 电子政务的信息技术架构,36,电子政务,一、网络基础设施,3非涉密政府办公网络 非涉密政府办公网络是作为政府部门内部的办公业务网络以及公众服务业务网络的支撑网络运行的。非涉密政府办公网络一方面运行政府部门内部非涉密的办公系统，完成日常的办公业务处理，另一方面也需要对从公众政务服务业务系统中所获得的业务服务请求进行处理。由于非涉密政府办公网络中可能涉及到部分敏感信息，因此，需要与公众服务业务网络之间通过逻辑隔离措施加以隔离。非涉密政务办公网络之间则通过非涉密政务专网连接。,第四章 电子政务的信息技术架构,37,电子政务,一、网络基础设施,4涉密政府办公网络 涉密政务办公网络作

24、为政府内部的办公网络系统，由于其中运行有涉密的信息，因此必须与非涉密网络进行物理隔离。涉密政府办公网络之间则通过涉密政务专网进行相互联接。 电子政务目的在于推进业务协同、信息共享、互联互通和安全可靠。网络的互联互通和安全可靠是实现电子政务系统业务协同和信息共享的基础。无论是原有的或新建的纵向专网，还是原有的或新建的局域网，都需要横向和纵向的互联以实现同级部门之间和上下级之间业务的协同。,第四章 电子政务的信息技术架构,38,电子政务,一、网络基础设施,4涉密政府办公网络,第四章 电子政务的信息技术架构,39,电子政务,一、网络基础设施,4涉密政府办公网络,第四章 电子政务的信息技术架构,40,

25、电子政务,一、网络基础设施,（二）网络基础设施的安全设计 由于电子政务的目标运行环境中需要处理大量敏感的政务信息，因此，在统一的安全电子政务平台的网络结构设计中，需要着重进行网络系统的安全性设计。 由于统一的安全电子政务平台采用了统一的核心交换平台和统一的系统接入平台，因此，对整个系统内部的安全域划分提供了清晰的界定准则：和接入平台以及Web服务的门户系统直接相连的网络系统为非安全的网络，除此之外，其余的内部网络系统均可视为安全的网络系统。,第四章 电子政务的信息技术架构,41,电子政务,一、网络基础设施,（二）网络基础设施的安全设计 在安全网络系统内，可以允许敏感的信息进行传输和交换；而对于

26、非安全的网络系统，则需要综合采取物理层、网络层和应用层等多个层面的安全机制。安全和非安全网络系统之间的边界网络及其设备将是整个系统设计的关键，也是系统安全策略的主要实施者。 统一的安全电子政务平台中的接入平台可以提供对访问用户物理接入的安全控制。对于统一的安全电子政务平台中安全保密级别较高的网络子系统，可以通过网络层的安全保护机制提供对所传输敏感信息的保护。,第四章 电子政务的信息技术架构,42,电子政务,一、网络基础设施,（二）网络基础设施的安全设计 对于统一的安全电子政务平台中关键网络系统的关键网络节点，可以采用基于信任和授权服务机制的安全管理机制实现对网络资源的分配和管理。 对于统一的安

27、全电子政务平台中间的各网元，可以采用本地与远程两级的安全运行监管机制，并通过与系统安全漏洞扫描、系统入侵检测和系统安全审计等相关管理子系统的配合提供对全网的安全运行管理。 对于统一的安全电子政务平台中的关键网络部分，还可进一步通过机房物理安全防护等物理安全保护措施来提供附加的安全保障。,第四章 电子政务的信息技术架构,43,电子政务,一、网络基础设施,（三）网络基础设施的接口设计 整个电子政务的网络基础设施主要涉及到四类接口：统一的安全电子政务平台的对外服务接口、统一的安全电子政务平台与公众服务业务网络的接口、公众服务业务网络与非涉密政府办公网络的接口、非涉密政府办公网络与涉密政府办公网络的接

28、口。,第四章 电子政务的信息技术架构,44,电子政务,一、网络基础设施,（三）网络基础设施的接口设计 1统一的安全电子政务平台的对外服务接口 统一的安全电子政务平台的对外服务接口主要是面向社会公众提供对电子政务业务服务的访问接入功能。为了适应电子政务公众服务的多样化用户需求，该接口需要提供对GSM、互联网、电信公网、CDMA等多种典型的接入方式，以方便各种不同终端类型的公众用户的业务接入。,第四章 电子政务的信息技术架构,45,电子政务,一、网络基础设施,（三）网络基础设施的接口设计 2统一的安全电子政务平台与公众服务业务网络的接口 统一的安全电子政务平台与公众服务业务网络的接口，是对整个电子

29、政务平台所承载的具体电子政务应用系统提供安全性保证的业务数据交换接口。 对于应用层的数据交换接口而言，需要提供两个层次的安全功能，即网络层和应用层的安全功能。其中网络层主要是通过PKI网关提供信息传输的安全保护功能，确保传输过程中的机密性、完整性。而应用层的安全功能则是主要通过可信SOAP服务器来完成，重点在应用层结合安全SOAP的访问控制技术和cegXML所提供的元素级安全功能提供对交换业务数据的安全保护。,第四章 电子政务的信息技术架构,46,电子政务,一、网络基础设施,（三）网络基础设施的接口设计 3公众服务业务网络与非涉密政府办公网络的接口 由于非涉密政府办公网络可能涉及到部分的敏感信

30、息，因此，不能直接与公众服务业务网络连接，而是必须进行逻辑隔离。对于公众服务业务网络与非涉密政府办公网络之间的接口，它应该提供公众服务业务网络与非涉密政府办公网络之间的网络逻辑隔离功能。 考虑到该接口可能面临的来自内部和外部的安全威胁，该接口需要提供网络接入控制和配套的安全保护措施。,第四章 电子政务的信息技术架构,47,电子政务,一、网络基础设施,（三）网络基础设施的接口设计 4非涉密政府办公网络与涉密政府办公网络的接口 由于涉密政府办公网络系统主要运行涉密的内部政府办公系统，因此，根据国家保密局的要求，应与非涉密政府办公网络之间进行物理隔离。,电子政务,48,第四章 电子政务的信息技术架构

31、,【案例4-1】黑龙江省电子政务网络体系建设,第四章 电子政务的信息技术架构,49,电子政务,二、网络信任域基础设施,（一）网络信任域的体系结构 作为构建网络基础设施的关键技术之一，网络信任域技术是为实现信息安全的最终目的确保数据的机密性、数据的完整性、身份认证、不可抵赖性和授权服务，提供安全保障的。下页图所示为网络信任域的组织示意图，从图中可以看出，网络信任域主要是从终端设备的安全可信接入、网络设备的安全可信管理、数据信息的安全可信传输等方面进行组织和管理的。,第四章 电子政务的信息技术架构,50,电子政务,二、网络信任域基础设施,（一）网络信任域的体系结构,第四章 电子政务的信息技术架构,

32、51,电子政务,二、网络信任域基础设施,1基于PKI和IEEE 8021X标准的安全可信接入 网络信任域在网络的终端接入环节采用网络接入认证交换机，其关键机制就是基于PKI的数字证书认证接入控制。基于PKI的证书认证优于其他传统的基于口令、IP地址、MAC地址等的身份认证方式，它不但可以为信任域中的所有用户和设备颁发数字公钥证书（Public Key Certificate，PKC），以此证明该用户或设备是可信或合法的，而且也为可信接入控制和可信管理打下基础。 网络信任域系统的可信接入应该遵循IEEE 8021x标准，对以端对端的方式连接到网络端口的设备进行认证和核准，实现基于端口的网络接入控

33、制，从而阻止非法用户接入该端口。同时，将PKI与IEEE 8021x标准进行有机结合，从而实现以PKI证书认证为基础的、基于端口的网络可信接入控制。,第四章 电子政务的信息技术架构,52,电子政务,二、网络信任域基础设施,2基于PKI、PMI的安全可信管理 网络信任域的安全可信管理通过信任域管理服务平台实现。网络信任域管理服务平台采用基于SNMP（Simple Network Management Protocol，简单网络管理协议）协议的网络管理接口，通过该端口对所属的网络设备进行管理配置以及运行监控和业务数据的采集；同时采用PKI技术对接入网络的实体进行基于“一实体一证”的管理和控制，以确

34、保只有可信的用户或设备才能接入网络并且访问相关的资源，并为信任域网络环境中的所有信息传输提供安全通道。此外，为有效解决授权服务管理问题，网络信任域管理系统应该采用基于PMI的属性证书机制，对用户、设备的身份及权限以及许可信息进行绑定，从而使应用系统与权限管理能够灵活方便地进行结合。PKI和PMI的结合为网络信任域及其上层的应用提供了信息服务的安全保障。,第四章 电子政务的信息技术架构,53,电子政务,二、网络信任域基础设施,2基于PKI、PMI的安全可信管理 网络信任域管理的核心思想是：基于统一的PKI机制，建立分布式的、逐级可信的信任域管理。采用策略一致的PKI证书发布及认证机制，系统管理员

35、可以根据网络的规模和网络的分布状况，为整个系统建立多级信任域管理的分层模型，并实现每个信任域架构服务于本信任域的信任域综合管理系统；而位于系统上层的信任域可以接收底层信任域所采集的业务数据，负责对底层的信任域提供系统管理和信任服务，通过分层管理可以构建范围更广的网络信任域。,第四章 电子政务的信息技术架构,54,电子政务,二、网络信任域基础设施,3基于PKI的安全可信传输 网络信任域在数据通信环节采用PKI安全网关来构建虚拟专用网VPN，以解决在不可信环境中信息传输的安全问题。PKI安全网关采用基于数字证书的密钥交换协议，同时结合IP安全协议（IP Security，IPsec），可以保证网络

36、通信的可信和安全。首先，系统通过采用PKI身份证书来实现对PKI网关的运行、管理、配置以及VPN虚拟专网的动态构建；其次，通过PKI身份证书的认证机制来实现对终端用户的身份鉴别，这样，就可以在两个PKI网关之间构建一个端对端的加密安全通道，从而实现对用户数据的保护。,第四章 电子政务的信息技术架构,55,电子政务,二、网络信任域基础设施,（二）网络信任域的构建 下页图所示为电子政务网络信任域的结构示意图。从图中可以看出，电子政务网络信任域主要从电子政务专网和电子政务内网终端设备的接入、数据信息的传输和设备管理三个方面构建一个可信的电子政务网络信任域。,第四章 电子政务的信息技术架构,56,电子

37、政务,二、网络信任域基础设施,（二）网络信任域的构建,第四章 电子政务的信息技术架构,57,电子政务,二、网络信任域基础设施,1安全可信的政务内网 政务内网通过接入认证交换机确保政务内网的用户或设备的可信接入。而本地网络信任域管理系统在负责管理本地设备的同时，作为审核注册代理向证书认证中心（CA）申请证书。 当接入政务内网的设备由网络信任域管理系统代理公钥证书（PKC）时，该设备的MAC地址被写入PKC中。通过对网络接入交换机进行系统设置，可以将交换机上的每个端口都与对应设备的MAC地址进行一对一的绑定。当某个设备准备接入网络时，就向接入认证交换机提交PKC，接入认证交换机负责对提交的PKC进

38、行有效性检查。确认证书有效后，接入认证交换机将对证书进行解密，获取设备信息，并扫描交换机的端口，寻找与用户终端设备的MAC地址一致的端口，然后与之建立连接。,第四章 电子政务的信息技术架构,58,电子政务,二、网络信任域基础设施,2安全可信的政务专网 政务专网作为政府系统的主干网络，是各级政府和政府组成部门相互间的信息传输网，应通过PKI网关构建VPN组网方式在网络层提供数据加密通信环境，防止信息被非法窃取和篡改，以确保设备数据的安全传输。 为保证政府单位内部信息、各级政府单位间信息传输的“机密性”、“完整性”，还应该在政务专网与每个政务内网的接口处放置一台PKI网关池，配合政务内网内的PKI

39、安全网关，从而建立起一条“安全通道”。,第四章 电子政务的信息技术架构,59,电子政务,二、网络信任域基础设施,3安全可信的逐级分布式网络信任域管理平台 网络信任域管理平台作为网络信任域的网管系统，在底层的信任与授权服务基础设施提供的信任与授权服务的基础上，能够实现对整个网络信任域的安全管理、业务管理以及资源管理。 网络信任域管理平台采用统一发证、分布式逐级管理的模式来组织。所谓统一发证是指：建立统一的电子政务设备证书认证管理中心，负责签发电子政务系统中设备的数字证书（PKC），即构建设备信任服务系统。而分布式逐级管理是指：网络信任域按实际的责任和管理范围来划分，每个政务内网为一个基本信任域，

40、每个基本信任域都有自己的网络信任域管理平台，负责本信任域的管理，而基本信任域管理平台则由上一级电子政务网络信任域管理平台负责管理，这样就可以构筑一个责任明确、管理方便、覆盖全系统的安全可信的网络信任域管理体系。,第四章 电子政务的信息技术架构,60,电子政务,三、公钥基础设施PKI,公钥基础设施（PKI）是信息安全基础设施的重要组成部分，是一种普遍适用的网络安全基础设施。数字证书认证中心CA（Certificate Authority，CA）、审核注册中心RA（Registration Authority）、密钥管理中心KM（Key Manager）都是组成PKI的关键组件。 PKI作为提供信

41、息安全服务的公共基础设施，是目前公认的保障网络社会安全的最佳体系。实际上，授权管理基础设施、可信时间戳服务系统、安全保密管理系统、统一的安全电子政务平台等的构筑都离不开它的支持。如何推广PKI应用，加强系统之间、部门之间、国家之间PKI体系的互通互联，已经成为目前PKI建设亟待解决的重要问题。,第四章 电子政务的信息技术架构,61,电子政务,三、公钥基础设施PKI,（一）公开密钥密码技术 信息安全技术包括密码技术、鉴别技术、访问控制技术、口令控制技术、防火墙技术、计算机网络病毒防治技术、防电磁泄漏技术和计算机安全检测技术等，其中，密码技术是最为核心的信息安全技术。 根据密码算法所使用的加密密钥

42、和解密密钥是否相同，以及能否由加密过程推导出解密过程（或者由解密过程推导出加密过程），可以将密码体制分为对称密码体制（也叫作单密钥密码体制、秘密密钥密码体制、对称密钥密码体制）和非对称密码体制（也叫作双钥密码体制、公开密钥密码体制、非对称密钥密码体制）。,第四章 电子政务的信息技术架构,62,电子政务,三、公钥基础设施PKI,（一）公开密钥密码技术 如果一个加密系统的加密密钥和解密密钥相同，或者虽然不相同但是由其中的任意一个很容易地推导出另一个，所采用的就是对称密码体制。对称密码体制从加密模式上可分为序列密码（或称流密码）和分组密码（或称块密码）两大类。 如果一个加密系统的加密和解密是分别采用

43、两个不同的密钥实现的，并且由加密密钥推导出解密密钥（或者由解密密钥推导出加密密钥）在计算上是不可行的，那么该系统所采用的就是非对称密码体制。,第四章 电子政务的信息技术架构,63,电子政务,三、公钥基础设施PKI,1公开密钥密码体制的原理 公开密钥密码体制最大的特点是使用两个不同的密钥：一个用来加密信息，称为加密密钥；另一个用来解密信息，称为解密密钥。 用户把加密密钥公开，因此加密密钥也称为公开密钥，简称公钥。解密密钥保密，因此解密密钥也称为私有密钥，简称私钥。 公钥和私钥是数学相关的，用某用户的公钥加密的数据只能用该用户的私钥才能解密，因而要求用户的私钥不能透露给自己不信任的任何人。通常，公

44、开密钥用于对机密信息的加密，私有密钥则用于对加密信息的解密。,第四章 电子政务的信息技术架构,64,电子政务,三、公钥基础设施PKI,1公开密钥密码体制的原理 非对称密钥算法的特点是： 仅知道密码算法和加密密钥，要确定解密密钥，这在计算上是不可能的； 两个相关密钥中的任何一个都可以用作加密而让另一个用于解密。也就是说，一对密钥中哪一个作为公钥、哪一个作为私钥完全可以自己制定。,第四章 电子政务的信息技术架构,65,电子政务,三、公钥基础设施PKI,1公开密钥密码体制的原理 从本质上讲，设计一个公开密码体制就是构造一个陷门单向函数。设X为明文，Y为密文。满足以下两条件的f则称为陷门单向函数。 算

45、Yf（X）容易，而已知Y，反求X则很难，即求Xf（Y）很难； 若陷门（参数）已知，则容易由Y求X。 显然，若能构造出这样的陷门单向函数，也就找到了一个公钥密码体制。由X计算Y即是进行公钥加密过程，而由Y求X即是解密过程。而陷门参数正是秘密密钥。不知道秘密密钥即不知道陷门，则难以由密文Y推出明文X。,第四章 电子政务的信息技术架构,66,电子政务,三、公钥基础设施PKI,1公开密钥密码体制的原理 自公钥加密问世以来，学者们提出了许多种公钥加密方法，它们的安全性都是基于复杂的数学难题。根据所基于的数学难题来分类，有以下3类系统目前被认为是安全和有效的：大整数因子分解系统（代表性的有RSA）、椭园曲

46、线离散对数系统（ECC）和离散对数系统（代表性的有DSA）。其他的典型算法还有：ELGamal和DiffieHellman（DH）等。公钥密码能够用于数据加密、密钥分发、数字签名、身份认证、信息的完整性认证、信息的非否认性认证等。其中可以用于加密的算法有：RSA，ECC，ELGamal等；可以用于密钥分发的算法有：RSA，ECC，DH等；可以用于数字签名、身份认证、信息的完整性认证、信息的非否认性认证的有RSA，ECC，DSA，ELGamal等。,第四章 电子政务的信息技术架构,67,电子政务,三、公钥基础设施PKI,2公开密钥密码技术的特点 （1）密钥分发简单，解决了大规模网络应用中密钥的分

47、发问题。 （2）需要秘密保存的密钥量少，解决了大规模网络应用中密钥的管理问题。 （3）可以进行数字签名，实现了网络中的数字签名机制。 （4）互不相识的人之间也能进行保密对话。,第四章 电子政务的信息技术架构,68,电子政务,三、公钥基础设施PKI,（二）PKI的服务 公钥基础设施PKI是以公开密钥技术为基础，以数据的机密性、完整性和不可抵赖性为安全目的而构建的认证、授权、加密等硬件、软件的综合设施。 PKI安全体系是提供信息安全服务的最具有普适性的安全基础设施。该体系在统一的安全认证标准和规范基础上提供在线身份认证、CA认证、数字签名以及相关安全应用组建模块的集合。,第四章 电子政务的信息技术

48、架构,69,电子政务,三、公钥基础设施PKI,（二）PKI的服务 1认证 在现实生活中，认证采用的方式通常是两个人事前进行协商，确定一个秘密，然后，依据这个秘密进行相互认证。随着网络的扩大和用户的增加，事前协商秘密会变得非常复杂，特别是在电子政务中，经常会有新聘用和退休的情况。另外，在大规模的网络中，两两进行协商几乎是不可能的。透过一个密钥管理中心来协调也会有很大的困难，而且当网络规模巨大时，密钥管理中心甚至有可能成为网络通信的瓶颈。 PKI通过证书进行认证，证书作为一个通信双方均信赖的第三方证明，通过它，通信双方可以安全地进行互相认证，而不用担心对方是假冒的。,第四章 电子政务的信息技术架构

49、,70,电子政务,三、公钥基础设施PKI,（二）PKI的服务 2支持密钥管理 通过加密证书，通信双方可以协商一个秘密，而这个秘密可以作为通信加密的密钥。在需要通信时，可以在认证的基础上协商一个密钥。在大规模的网络中，特别是在电子政务中，密钥恢复也是密钥管理的一个重要方面，政府决不希望加密系统被犯罪分子窃取使用。当政府的个别职员背叛或利用加密系统进行反政府活动时，政府可以通过法定的手续解密其通信内容，保护政府的合法权益。PKI能够通过良好的密钥恢复能力，提供可信的、可管理的密钥恢复机制。PKI的普及应用能够保证在全社会范围内提供全面的密钥恢复与管理能力，保证网上活动的健康有序发展。,第四章 电子

50、政务的信息技术架构,71,电子政务,三、公钥基础设施PKI,（二）PKI的服务 3完整性与不可否认 完整性与不可否认是PKI提供的最基本的服务。一般来说，完整性也可以通过双方协商一个秘密来解决，但一方有意抵赖时，这种完整性就无法接受第三方的仲裁。而PKI提供的完整性是可以通过第三方仲裁的，并且这种可以由第三方进行仲裁的完整性是通信双方都不可否认的。,第四章 电子政务的信息技术架构,72,电子政务,三、公钥基础设施PKI,（三）PKI的体系结构 1信任服务体系概述 信任服务体系主要是为网络信息空间提供一个信任的基准，即在用户实体和虚拟网络空间中的用户角色之间建立一种映射关系，以便能将现实物理世界

51、中的信任关系移植到虚拟的网络空间中去。 目前，建立信任服务体系的关键技术主要是公钥基础设施PKI技术。PKI技术通过公钥密码体制中用户私钥的机密性来提供用户身份的惟一性验证，并通过公钥数字证书的方式为每个合法用户的公钥提供一个合法性的证明，从而建立了从用户公钥到证书ID号之间的惟一映射关系。数字证书中的信息利用数字信封技术和数字签名技术提供了对其完整性的保护，因此可以通过公开的方式，如轻型目录访问协议（Light weight Directory Access Protocol，LDAP）服务，对外进行发布。,第四章 电子政务的信息技术架构,73,电子政务,三、公钥基础设施PKI,（三）PKI

52、的体系结构 2信任服务体系结构 对于整个国家的信任服务体系而言，信任服务的基准体系将包括自然人证书认证体系、机构证书认证体系和设备证书认证体系，需要由国家有关部门统一规划和建设。这些基准的信任服务体系构成了所有其他信任链结构的基础，各政府职能部门可以作为这些基准信任服务体系的受理审核部门，从而建立全国统一的服务体系。 对于电子政务应用系统而言，将在基准信任服务体系的基础上，通过授权服务体系来建立业务授权体系，发放属性证书而非公钥证书。这种业务运行模式可以简化信任链的结构，并使公钥证书体系和属性证书体系之间的业务分工更加明确。,第四章 电子政务的信息技术架构,74,电子政务,三、公钥基础设施PK

53、I,（三）PKI的体系结构 2信任服务体系结构,第四章 电子政务的信息技术架构,75,电子政务,三、公钥基础设施PKI,（三）PKI的体系结构 2信任服务体系结构 （1）国家电子政务认证和管理中心 国家电子政务认证和管理中心是整个信任服务体系的信任源点（Source of Authentication，SOA）和信任基准点，也是整个信任服务体系的最终信任源和最高管理机构。其职责主要包括：证书策略的管理、CA根证书的发放与管理、下级CA的设立审核及管理、信任服务体系业务的规范化管理等。,第四章 电子政务的信息技术架构,76,电子政务,三、公钥基础设施PKI,（三）PKI的体系结构 2信任服务体系

54、结构 （2）CA中心 CA是信任服务体系中的核心业务节点，负责提供信任服务体系的信任服务，如数字证书的申请注册、证书签发和管理等。CA是PKI的核心执行机构，是PKI的主要组成部分，通常被称为认证中心（从广义上讲，认证中心还应该包括证书申请注册机构RA）。对于具体的信任服务体系，CA中心由具有设立CA中心业务需求的各电子政务应用单位或其主管政府部门根据具体的业务量分布状况负责建设，并与国家电子政务认证和管理中心通过业务协议达成相互信任关系。CA中心的主要功能包括：各类证书的发放和管理、证书撤销列表的管理、下级RA的设立审核及管理等。,第四章 电子政务的信息技术架构,77,电子政务,三、公钥基础

55、设施PKI,（三）PKI的体系结构 2信任服务体系结构 （3）RA中心 RA中心是信任服务体系中核心业务节点的扩展服务节点，是与具体的电子政务应用系统结构和业务逻辑密切相关的服务节点，由具有设立RA中心业务需求的各电子政务应用单位或其主管政府部门负责进行建设，并与主管的CA中心通过业务协议达成相互信任关系。RA中心负责提供信任服务体系内的证书受理审核和注册服务，如证书申请的受理、证书申请的初级审核、业务受理点的设立审核及管理等。,第四章 电子政务的信息技术架构,78,电子政务,三、公钥基础设施PKI,（三）PKI的体系结构 2信任服务体系结构 （4）CA业务受理核发点 CA业务受理核发点是信任

56、服务体系的最终面向用户的服务受理和证书载体的用户代理节点，是与最终电子政务应用用户的接口，作为RA中心的附属机构，由各RA中心自行建设，并报经主管CA中心同意并签发相应的证书。CA业务受理点的设立地点和数目由各RA中心根据自身的业务发展需求而定。其主要职责包括：证书请求的接收、用户资料的初级审核与提交、用户证书的物理介质制作等。,第四章 电子政务的信息技术架构,79,电子政务,三、公钥基础设施PKI,（三）PKI的体系结构 2信任服务体系结构 在上述全网一致的证书策略管理机制中，可能各信任服务体系之间的策略存在不一致性。因此，在不同的信任服务子体系建立信任链互联时，必须首先就所使用的证书策略达

57、成一致。 下图所示为一典型的PKI基本组织框架。它至少包括证书认证机构（CA）、密钥管理中心（Key Manager，KM）、用户注册机构（Registration Authority，RA）和PKI用户。同时还应该包括相关的法律、业务环境等因素。,第四章 电子政务的信息技术架构,80,电子政务,三、公钥基础设施PKI,（三）PKI的体系结构 2信任服务体系结构,第四章 电子政务的信息技术架构,81,电子政务,三、公钥基础设施PKI,（四）PKI在电子政务中的作用和地位 1通过PKI可以构建一个可管、可控、安全的互联网络 2通过PKI可以在互联网中构建一个完整的授权服务体系 3通过PKI可以建

58、设一个普适性好、安全性高的统一平台,第四章 电子政务的信息技术架构,82,电子政务,四、授权管理基础设施PMI,授权管理基础设施（Privilege Management Infrastructure，PMI）是国家信息安全基础设施（National Information Security Infrastructure，NISI）的重要组成部分，目标是向用户和应用程序提供授权管理服务，提供用户身份到应用授权的映射功能，提供与实际应用处理模式相应的、与具体应用系统开发和管理无关的授权和访问控制机制，简化具体应用系统的开发与维护。PMI是一个由属性证书、属性权威、属性证书库等部件构成的综合系统，

59、用来实现权限和证书的产生、管理、存储、分发和撤销等功能。PMI使用属性证书表示和容纳权限信息，通过管理证书的生命周期实现对权限生命周期的管理。属性证书的申请、签发、注销、验证流程对应着权限的申请、发放、撤销、使用和验证的过程。而且，使用属性证书进行权限管理方式使得权限的管理不必依赖某个具体的应用，而且利于权限的安全分布式应用。,第四章 电子政务的信息技术架构,83,电子政务,四、授权管理基础设施PMI,（一）基于PMI技术的授权管理模式 授权服务体系主要是为网络空间提供用户操作授权的管理，即在虚拟网络空间中的用户角色与最终应用系统中用户的操作权限之间建立一种映射关系。授权服务体系一般需要与信任服务体系协同工作，才能完成从特定用户的现实空间身份到特定应用系统中的具体操作权限之间的转换。 目前建立授权服务体系的关键技术主要是PMI技术。PMI技术通过数字证书机制来管理用户的授权信息，并将授权管理功能从传统的应用系统中分离出来，以独立服务的方式面向应用系统提供授权管理服务。,第四章 电子政务的信息技术架构,84,电子政务,四、授权管理基础设施PMI,（二）电子政务授权服务系统的体系架构 授权管理基础设施PMI在体系上可以分为三级，分别是信任源点（SOA中心）、属性权威机构（AA中心）和业务受理点。在实际应用中，这种分级体系可以根据需要进行灵活配置，可以是三级、二