PKI技術在國庫支付電子化中的應用

仝世君王 輝.中國武裝警察部隊學院部隊管理系；.河北省廊坊市財政局仝世君（978-）女，碩士，從事計算機應用教學與研究；王輝（978-）男，本科，從事財政信息化研究。

?

PKI技術在國庫支付電子化中的應用

仝世君1王 輝2
1.中國武裝警察部隊學院部隊管理系；2.河北省廊坊市財政局仝世君（1978-）女，碩士，從事計算機應用教學與研究；王輝（1978-）男，本科，從事財政信息化研究。

link

評估值18萬

appraisement

行業曲線

industry

隨著我國經濟建設的飛速發展，財政資金支出的業務量不斷增加。現有的國庫集中支付系統，不僅工作效率低，而且在財政資金的支付過程中存在著一定的安全隱患。利用計算機技術和網絡通信技術，建立以PKI體系結構為安全支撐的電子化支付業務流程，可以提高工作效率，提升財政資金運行效率，加強財政資金的監管力度。

隨著當代計算機技術以及網絡通信技術的發展，財政系統的信息化建設受到更多的重視。在國庫集中支付制度改革的深化過程中，對財政資金支付的安全性和工作效率提出了更高的要求。建立以PKI體系結構為安全支撐的電子化支付業務，可以提高工作效率，提升財政資金運行效率，加強財政資金的監管力度。

公鑰基礎設施PKI

公鑰基礎設施（Public Key Infrastructure，簡稱PKI），可以看作是計算機網絡中信息安全領域的基礎設施，它是運用公鑰密碼理論和技術建立起來的用來實施和提供各種安全服務的網絡安全基礎設施。目前，PKI是網絡安全建設的基礎和核心。PKI技術通過數字證書管理用戶的公共密鑰，利用可信的第三方證書認證機構（Certificate Authority，簡稱CA），把用戶的公鑰和真實的身份信息綁定在一起，生成用戶的公鑰證書，通過這個證書可以在網絡上驗證用戶的身份。

PKI可以達到對數據的保密性、完整性的保護，以及進行身份認證和對操作的不可否認性。當數據在網絡上進行傳輸時，機密信息不會泄露給非法接收者，也不會在中途被篡改或重復發送，對數據源的身份可以進行認證，來保證身份的真實性，而且通信的各方不能對自己在網絡上的操作行為進行否認。PKI系統的目的就是通過自動管理密鑰和證書，給用戶建立安全的網絡環境，保證用戶可以在多種環境下方便的使用加密、數字簽名技術和電子印章技術，保護在計算機網絡上信息的安全傳輸。

PKI是基于公共密鑰密碼體制的，但在實現上一般會綜合使用多種密碼技術，比如對稱和非對稱的密碼體制、消息認證、數字簽名、數字信封、多重數字簽名等。PKI系統的安全服務包括身份的認證、數據的安全、防抵賴以及時間戳的服務。

國庫支付中存在的問題

2003年，按照財政部的統一部署，河北省定位了國庫集中支付（直接支付，授權支付）零余額模式， 并在省市兩級實施，逐步推廣到各縣區。2010年實現省、市、縣三級全覆蓋。歷經10年，省級代理銀行從4家增加到11家，涉及的支行也從石家莊市擴展到全省所有的市縣，僅省級直屬單位明細支出業務從幾千筆增加到幾十萬筆。

財政的資金撥付過程一般都是財政業務人員送紙質單據到人行或代理銀行柜臺，人行或代理銀行柜臺業務員核對紙質憑證和電子數據無誤后，再進行資金轉賬。隨著業務量的增大，在這種紙質單據和電子數據核對的資金管理模式中，存在著以下幾個主要問題。

（1）在電子數據與紙質憑證管理并存的情況下，存在大量手工紙質單據的傳遞和核對工作，使得財政資金支付不及時、信息反饋不及時。

（2）人行或代理銀行依托財政和預算單位預留印鑒進行支付比對，人工驗證支付憑證有效性的工作量很大，超出人工處理極限，增加了資金安全隱患。

（3）現有的資金管理模式沒有真正實現鏈條式管理，外部無法驗證財政內部的多崗審核。

（4）現有業務系統沒有建立防抵賴、防篡改的電子憑證保存機制。

這些問題的存在造成了現有的國庫集中支付系統，不僅工作效率低，而且在財政資金的支付過程中存在著一定的安全隱患。

國庫支付電子化設計方案

國庫電子支付涉及財政與人民銀行（以下簡稱人行）、財政與代理銀行、財政與預算單位、預算單位和代理銀行之間的業務。通過在財政、人行和代理銀行部署電子憑證庫，為各方業務系統提供調用的接口，在現有業務系統數據完整性的基礎上，將各方業務與電子憑證庫銜接，實現對電子單據的電子簽章和驗章，并形成電子憑證。參與業務的各方在電子憑證庫間進行電子憑證的交互，代替現有的紙質憑證的傳遞。

電子憑證庫包括電子印章系統、簽名服務器以及消息中間件軟件系統。電子憑證庫基于PKI/CA安全體系（圖1），實現電子憑證的電子簽名（章）、傳輸、驗證。電子憑證的打印查詢功能可以滿足財政、人行、代理銀行對紙質憑證的管理要求。

圖1 電子支付的PKI安全體系

在財政端，國庫集中支付系統調用電子憑證庫服務接口，實現和財政端電子憑證庫之間的數據交換。通過專用網絡，財政端的電子憑證庫和人民銀行（代理銀行）的電子憑證庫之間的業務流程為憑證簽章、憑證發送、憑證回單登記。

（1）憑證簽章

國庫集中支付系統在支付過程中需要填制憑證，然后調用國庫集中支付系統客戶端的簽章控件對憑證進行簽章，通過電子憑證庫接口將簽章憑證保存到電子憑證庫。如果是多崗簽章業務，從第二崗開始，簽章控件自動對憑證進行復核驗證。

（2）憑證發送

國庫集中支付系統調用電子憑證庫服務接口將簽章憑證通過消息中間件發送給人行（代理銀行）。

（3）憑證回單登記

國庫集中支付系統調用電子憑證庫接口讀取人行（代理銀行）反饋的回單或人行（代理銀行）產生的憑證，按照不同的業務流程分別登記處理。

電子憑證庫用于存放電子憑證并提供電子憑證庫的模板管理。通過保存電子憑證，代替紙質憑證來保存帳目，并且通過簽章實現電子憑證的安全傳輸。國庫集中支付客戶端簽章控件和電子憑證庫通過電子憑證庫服務接口實現電子憑證的管理。

國庫支付電子化運行環境

國庫支付電子化的環境運行要求在網絡環境和硬件支持兩個方面。網絡環境方面，財政和人行、代理銀行間建立專線連接方式，為了保證業務穩定安全的運行，采用雙線路方式建網。硬件支持方面，電子支付安全控件運行需要的硬件設備主要有數據庫服務器、應用服務器、USBkey等，具體信息如表1所示。電子憑證庫數據庫服務器、消息中間件服務器、電子憑證庫服務器、電子印章服務器和簽名服務器采用雙機熱備方案。

表1 安全控件主要硬件設備

簽名服務器提供數字簽名、數字信封等服務，滿足業務操作的不可抵賴、信息完整性、私密性等要求。財政部CA通過各級的證書注冊機構RA系統為財政業務人員提供證書的申請、下載、注銷以及更新等服務。簽名服務器為財政端的電子憑證庫提供數字簽名和驗簽服務功能，在簽名服務器中導入財政CA的根證書（公鑰）和頒發給人行或代理銀行的證書。

電子印章系統用可視的電子印章代替晦澀的數字簽名，在業務處理過程中更加直觀，同時也可以達到對業務操作的不可抵賴，不可篡改等目的。電子印章系統為財政端提供電子印章的制作和管理功能，維護和存儲財政端的印章，并提供簽章和驗章服務；對人行或代理銀行的印章進行備案，保存人行或代理銀行需要在財政備案的預留印鑒，在接收憑證時對已備案的電子印鑒進行驗證。

消息中間件服務器采用隊列消息處理機制，為國庫支付業務處理提供同步和異步傳輸處理、存儲轉發、可靠傳輸等技術支持，確保消息能夠安全、可靠的送達。

時間戳服務器提供時間戳的制作，同步系統時間，記錄業務處理的時間流程并留存歸檔。

結語

以PKI安全體系結構為技術基礎，通過在財政、人行和代理銀行建立電子憑證庫，并為各方業務系統提供調用接口，在不破壞各方現有業務系統數據完整性的基礎上，實現電子單據的簽章、驗章，并對電子憑證進行留存，為財政資金提供更加安全的支付方式，同時降低財政資金的運行風險，提高工作效率。

10.3969/j.issn.101- 8972.2016.12.009