電子政務信息安全技術簡述

陳黃瑋

（福州大學，福建 福州 350007）

1.引言

電子政務（E-Government）是一國的各級政府機關或有關機構借助電子信息技術而進行的政務活動，其實質是通過應用信息技術轉變政府傳統的集中管理、分層結構運行模式，以適應數字化社會的需要[1]。

隨著政府體制改革的逐步深入和政府信息化建設的迅速發展，我國政務信息化建設也進入了新的發展階段。作為電子政務應用發展的必然趨勢，在前一階段電子政務平臺建設的基礎上，各地逐步推廣面向政府部門、社會公眾、企業的相關應用，并且受到了的熱烈歡迎。

電子政務[2]是一項復雜的系統工程，具有復雜性、開放性、虛擬性和網絡化等特點，這對電子政務系統安全提出了嚴峻的挑戰。電子政務工程能否正常的運行，安全性是首要因素。電子政務作為網絡應用的一個特殊領域，除了要考慮一般性的網絡安全問題外，還對安全提出了特殊的要求：一是政府的安全標準；二是系統的安全性和便利性的兼容；三是政府內部的安全管理問題。因此要對電子政務的安全建設統一考慮，長遠規劃，從制度上和技術上加以保障，首先保證技術的先進性和可擴展性，能夠適應電子政務系統網絡動態變化的特點，發展適合電子政務系統的安全技術和產品；其次是制定相關的電子安全法規和安全標準，通過法律保障，加強安全管理。

電子政務的發展很大程度上基于網絡信息技術的發展，只有網絡安全有保障，才能保證電子政務信息傳輸的安全性，從而保障電子政務的信息安全。因此，如何保障傳輸過程中信息的安全，即不出錯、不丟失或者不被竊聽，成為了電子政務的網絡安全研究中的重要課題。

2.電子政務信息安全技術簡述

2.1 防火墻技術

防火墻主要承擔著為專網加強訪問控制、提供信息過濾、應用層的專用代理、日志分析統計報告、對用戶進行“鑰匙口令+防火墻一次性口令”的雙因子認證等功能。從技術上來分，硬件防火墻可分為包過濾型防火墻和應用代理型防火墻；從工作模式上來分，又可分為網橋模式和路由模式。

包過濾型防火墻是一種作用在網絡層和傳輸層的防火墻，它能夠根據分組包頭的源地址，目的地址以及協議類型、端口號等標志，分析確定是否允許數據包通過。只有數據包滿足過濾邏輯的才能夠被轉發到相應的目的地出口端，若不滿足則被丟棄。包過濾技術經過發展，逐步又產生了狀態檢測包過濾技術。狀態檢測的包過濾跟蹤每一個網絡會話的狀態是通過狀態表來實現的，不僅根據規則表檢查每一個包的，而且結合數據包是否符合會話所處的狀態，進一步規范了傳輸層和網絡層行為，因此狀態檢測防火墻對傳輸層的控制能力也更為完整的。

應用代理型防火墻也叫應用網關（Application Gateway），它作用在應用層，其特點是通過對每種應用服務編制專門的代理程序，實現監視和控制應用層通信流的作用，并完全“阻隔”了網絡通信流。實際應用中，應用網關是由專用工作站實現。應用代理型防火墻工作在最高層，不僅掌握著應用系統中可用作安全決策的全部信息，同時也起到內部網與外部網的隔離點的作用，用來監視和隔絕應用層的通信流。包過濾防火墻的缺點和不足，可以在應用層解決[3]。

2.2 入侵檢測技術

入侵檢測系統[4]（Intrusion Detection System，IDS）是一種識別面向計算機資源和網絡資源的惡意行為的系統。一個完善的入侵檢測系統可以對計算機網絡進行自主地、實時地攻擊檢測和響應，在不影響網絡上數據傳輸的前提下，對可疑的數據進行實時監控、分析，為用戶提供了最大限度的安全保障。

入侵檢測系統[5]主要由事件產生器、事件分析器、事件數據庫和響應單元四部分組成。

事件產生器負責采集原始數據，并將收集到的原始數據轉換為事件，提供給事件分析器；事件分析器接收到事件信息后，判斷其是否是入侵行為或異?，F象，這主要通過完整性分析、模式匹配、統計分析等方法實現，最后將判斷結果轉變為警告信息，通過響應單元作出反應。事件數據庫則負責存儲整個分析過程中的所有數據。

2.3 CA認證

數字認證技術[6]是以密碼技術為核心，在網絡信息交換中確認身份、控制權限、確保交換信息可信的技術手段。目前，國際上主要采用的是公開密鑰基礎設施（PKI：Public Key Infrastructure）技術。

PKI[7]是利用公鑰密碼理論技術建立起來的、提供網絡信息安全服務的普適性基礎設施。它由數字證書、證書發放機構CA、公開密鑰密碼技術以及關于公開密鑰的安全策略等基本成分共同組成，主要基于公鑰密碼技術，并一定程度上結合了對稱密碼技術，通過標準的接口為網上信息交流提供必需的認證、保密和不可抵賴服務，是目前應用最為廣泛，也是最為成熟、完善的Internet網絡安全的解決方案。

PKI框架中的核心元素是公鑰證書；PKI的核心實施者是認證中心(CA，Cer-tification Authority)。

2.3.1 CA中心

CA(Certificate Authority)即認證機構，是PKI的主要組成部分。CA的功能主要是發布和管理數字證書。在網絡安全通信中，CA分別接受通信雙方的申請并向它們發布各自的證書，使二者能互相確認對方的身。一個CA系統包含有密鑰管理中心、認證機構、注冊機構、發布系統和應用接口等子功能系統。

CA為通信各方簽發數字證書，如同每個人的身份證一樣，能有效地對通信雙方進行身份簽別。CA是對立于通信雙方的且被信賴的第三方權威機構，這樣就確保了CA發布的數字證書的有效性，從而解決了網絡信任問題，以一種不可偽造的方式傳送用戶的公鑰。

2.3.2 公開密鑰機制

通常加密/解密采用的是對稱加密算法。所謂對稱加密算法是指數據的加密和解密過程采用相同的加密密鑰，因此造成加密密鑰成為數據通訊中的關鍵，如果加密密鑰遺失，那么被加密的信息就無秘密可言。針對對稱加密算法的缺點，引入了公開密鑰機制。

公開密鑰機制采用的是非對稱加密技術，需要兩個密鑰：公開密鑰和私有密鑰，用公開密鑰加密的信息只能用私有密鑰才能解開，反之亦然。在PKI體系中，私有密鑰由個人掌握，不對外流傳，公開密鑰和數字證書綁定并對外發布。用私鑰加密的信息只能用公鑰打開，由于私鑰持有者的唯一性，因此也就確保了私鑰簽名者的唯一性，此過程即為簽名/認證的過程；而用公鑰加密的信息只能由匹配的私鑰解密開，同樣由于私鑰持有者的唯一性，確保了用公鑰加密的信息只能由特定私鑰持有者察看，此過程就是加密的過程。

對稱密鑰機制的前提是通信雙方共同保管密鑰，假定密鑰丟失的風險為p，當有n個人使用此密鑰時，其丟失的風險為n*p，若n不斷增加，密鑰遺失的風險也越來越大；而公開密鑰機制將通信各方的密鑰管理責任重新區分，各人只要管好自己的私鑰即可，公鑰可發布給任何人使用，在簡化管理操作的同時大大降低了網絡應用的風險。

PKI技術采用證書管理公鑰，通過CA把用戶的公鑰和用戶的其他標識信息捆綁在一起，在Internet上驗證用戶的身份。目前，普遍的做法是采用數字證書，以PKI為基礎，通過加密、簽名需傳輸的數字信息，保障信息傳輸的機密性、安全性。

2.4 數據備份

備份[8]是一種數據安全策略，通過備份軟件把數據備份到介質上，在原始數據遭到破壞或丟失的情況下，利用備份數據恢復原始數據，保證系統的正常工作。

備份策略可分為以下幾種：

(1)全備份(Full Backup)，即每天都用一盤磁帶對整個系統進行完全備份，包括系統和數據。其優點是備份數據集中在一盤磁帶中，只要用這一盤磁帶就可恢復丟失的數據。缺點一是有大量重復的備份數據；二是需要備份的數據量相當大。因此，備份所需時間較長。

(2)增量備份(Incremental Backup)，即每次備份的數據只是相當于上一次備份后新增加的和修改過的數據。這種備份雖然不存在重復的備份數據，但必須沿著時間逐個反推，才可以恢復數據，整個過程較為繁瑣。

(3)差分備份(Differential Backup)，即每次備份的數據是相對于上一次全備份之后增加的和修改過的數據。差分備份結合了以上兩種策略的優點，同時又規避了它們的缺點。由于無需每天做系統完全備份，因此不僅所需時間短，又節省了磁盤空間。同時，系統管理員只需要利用全備份磁帶與災難發生前一天的磁帶，即可將系統恢復，很方便。

從備份的形式分可分為物理備份和邏輯備份。

(1)物理備份：實際物理數據庫文件從一處拷貝到另一處(通常從磁盤到磁帶)的備份，主要用于數據庫的全恢復。物理備份分為冷備份和熱備份兩種。數據庫關閉時的備份稱為冷備份，主要是利用操作系統中的復制命令進行備份。其優點是速度快、易歸檔、易恢復等，但同時數據庫必須處于關閉狀態、速度較慢、不能按表或按用戶恢復，造成了不便。熱備份指數據庫打開時的備份，即是在數據庫運行的情況下，采用archivelogmode方式備份數據的方法。其優點是時間短、數據庫可使用、速度快等，同時也存在一旦出錯后果嚴重或若熱備份失敗，不可用于時間點的恢復和難以維護等不足。

(2)邏輯備份：用導入導出工具通過導入導出數據對象來達到對數據進行備份的目的。它主要用于不完全恢復。這些安全技術在電子政務安全的設計中均得到了十分廣泛的應用。

[1]電子政務中安全技術的研究[D].哈爾濱：哈爾濱工業大學碩士學位論文，2006，1.

[2]王衛國.閭國年，王愛萍等.電子政務系統[M].北京：科學出版社，2007.

[3]呂娟. 防火墻技術的研究 [J]. 電腦知識與技術，2009，(8)：53-55.

[4]油利娟.淺議網絡安全技術[J].新疆：石河子科技，2009，(3).

[5]尹清波.基于機器學習的入侵檢測方法研究[D].哈爾濱：哈爾濱工程大學博士學位論文，2007.

[6]劉立杰.入侵檢測系統發展研究[J].北京：北京工業職業技術學院學報，2006，(1).

[7]江為強，陳波.PKI/CA技術綜述[J].四川：兵工自動化，2003，22 (6).

[8]王小慶，劉時進.計算機網絡數據備份管理技術初探[J].湖北：高等函授學報(自然科學版).2003，16(6).