氣象部門國產化電子簽章云服務的設計與實現

王甫棣 王帥 汪芳

(國家氣象信息中心，北京 100081)

引言

推進電子政務是國家網絡安全和信息化工作的重要部分，是全面深化改革、以信息化推進國家治理體系和治理能力現代化的重要途徑[1-3]。電子政務辦公已成為政府部門工作的標準方式。隨著電子政務逐步深入的開展，為實現電子政務的無紙化辦公目標，電子文檔得到了大量的利用[4-5]，但也隨之帶來電子文檔安全、完整、保密流轉的安全需求。通過引入以數字簽名技術模擬傳統實物印章的電子印章技術，使用電子印章簽署電子文檔并關聯簽章人的數字證書便能有效降低辦公電子文檔的安全風險，還同時保留了與實物印章一致的管理和使用體驗[6-8]。這個載入電子印章信息和簽名信息數據的過程便稱為電子簽章[9]。

1 氣象部門電子印章建設現狀與需求

1.1 發展與現狀

中國氣象局從2005年開始推廣使用電子印章應用，已經歷2次換代升級。

2005年，基于Lotus Domino/Notes(IBM公司的企業級通訊、協同工作平臺)開發的中國氣象局機關文檔一體化系統正式啟用第1代SEP(Suresense Electronic Paper，書生電子文書)版本產品，實現的功能包括對Microsoft Office(美國微軟公司辦公套件)文檔版式轉換、基于對稱加密方式蓋章等(圖1)。此時的電子印章制作采用本地管理方式，對應的簽章身份驗證方式使用PCI(Peripheral Component Interconnect，外設部件互連標準)總線硬件加密卡[10]方式。隨著全國氣象寬帶網[11-12]的建設推進，2012年中國氣象局建設并推廣了國、省兩級部署的綜合管理信息系統[13]并延續了第1代電子印章應用，雖然進行了印章管理功能的升級迭代，但此時的單機運行模式的電子印章仍然存在終端的運行環境高依賴性，較高的制章管理應用成本以及對稱加密方式的低安全性等問題。

圖1 氣象部門第1代版式文件(SEP1)電子簽章應用流程

隨著氣象寬帶網能力進一步增強，2016年國家級一級集約部署的氣象政務管理系統(簡稱“氣政通”)開始建設。以集約化部署為特征的第2代的電子印章系統投入應用，通過集中制管中國氣象局、局直屬單位、各省市縣等各級單位電子印章，有效減少了單機模式的應用成本。如圖2所示，這個時期的電子印章升級支持了非對稱加密算法RSA2048的增強型第2代SEP版式文件印章格式，主要服務于氣政通電子公文系統，安全性得到一定增強。如圖3所示，將電子印章管理的核心功能程序嵌入到現有氣政通電子印章管理系統中，在電子公文系統中直接以OCX(Object Linking and Embedding (OLE) Control Extension，對象鏈接和嵌入用戶控件)控件方式調用公文處理核心功能完成文件的加密、蓋章、分發、打印、瀏覽等操作。

圖2 氣象部門第2代版式文件(SEP2)電子簽章系統應用流程

圖3 氣象部門第2代電子簽章應用模式

OCX是一種可以由在Windows操作系統中運行的應用軟件創建使用的特殊用途的程序。應用OCX可以很快地在各類應用程序中加入特殊的功能，比如公文系統中通過OCX的方式可以很好地融合電子公文處理流程與電子簽章的功能。但是IE瀏覽器可以通過腳本語言調用控件，利用控件的屬性設置進行操作系統注冊表讀寫或者本地文件系統的操作，具有極大的危害性。由于OCX控件僅在Windows環境應用，這對于操作系統環境和版本的依賴也制約了應用的兼容擴展性。

另一方面，此時的電子印章的用戶身份信息以USBKEY介質存儲，獨立于中國氣象局整體身份認證(CA)體系，可擴展性和可維護性依舊不高。

1.2 應用需求

為深入推進“互聯網+政務服務”，推進“放管服”改革，全面提升政務服務規范化、便利化水平，2018年底，全國一體化在線政務服務平臺加速推進。按照全國一體化平臺數字證書認證相關標準規范，為了實現數字證書跨地方跨部門互信互認，需要改造支撐電子印章，以實現與部門內、外統一的身份認證體系對接。除了電子公文系統外，行政審批各類文書和證照也需要引入電子簽章，這不僅對氣象部門電子簽章的功能提出了新的需求，也對其應用的可擴展性和靈活性提出了較高要求。同時，伴隨著當今國際形勢的發展，國家又提出基礎軟件產品“安全可靠，自主可控”的發展方針，大力提倡使用國產加密算法(SM系列算法)，應用國產OFD版式(Open Fixed-layout Document，開放版式文檔)文件。這些需求都亟待通過新一代的國產化電子簽章系統建設得以解決。

2 第3代電子簽章系統應用技術

2.1 國產OFD版式技術

OFD 標準是由國家主管部門牽頭制訂的公開、公正、自主可控格式，使中國版式文檔行業擺脫了對國外技術標準和私有標準的依賴，是對PDF標準的替代[14]。它基于XML(Extensible Markup Language，可擴展標記語言)和壓縮技術(ZIP格式以及Deflate壓縮算法)，借助XML signature(一個定義數字簽名的XML語法的W3C推薦標準)實現安全控制。OFD文件為多個XML關聯文件打包形成，對OFD文件的簽章過程即為通過增量修改方式向OFD文件中添加可視化印章數據和電子簽章的過程。

OFD標準加強了安全性控制，加強了對加密和數字簽名機制的支持，對腳本和可執行程序的限制更嚴格。除了兼容國際同類技術標準外，還針對國內電子文件的處理需求，內置相應特性支持，包括加密、簽名、權限控制、元數據管理等，基本滿足了對電子文件進行全程統一管理的要求。

2.2 國產密碼技術

要實現電子簽章的對外服務和互信互認，除了需要具備統一的電子簽章格式外，還需要滿足簽名算法、消息摘要算法(又稱譯雜湊算法、哈希算法)的一致性條件[15]。根據國家密碼管理局頒布的GM/T0031—2014《安全電子簽章密碼技術規范》，電子簽名數據應符合GM/T0009《SM2密碼算法使用規范》，需要應用SM2非對稱密碼算法作為數字簽名算法，使用SM3作為消息摘要算法。

為確保原始OFD版式文件的真實性和完整性，簽名對象應包含所有內容和資源的整個OFD文件摘要值[16-17]。授權用戶對OFD 文件進行簽章時，系統計算出摘要值和簽名值，組裝成簽章數據并添加到OFD文件中，簽章過程結束。通過獲取簽章OFD文件的簽名描述文件和電子簽章數據，并與該OFD文件內容和資源的摘要數據進行比對，以驗證簽章的真實性，此為驗章過程。

2.3 Web服務

Web服務提供一種基于標準的方法用來支持跨平臺程序對程序之間的通信，可以有效解決原有集成技術在遠程通信方面的問題[18-19]。這種分布式應用思想在氣象大數據云平臺建設得到充分體現，通過將各類數據管理功能以服務的形式發布，為不同租戶提供“數算一體”的平臺化服務，全面支撐“云+端”的氣象業務，構成集約化、標準化、發放發展的氣象新業態，即SaaS(Software-as-a-Service，軟件即服務)。

遵循氣象大數據云平臺的體系，利用氣象統一基礎資源池設施[20-23]，氣象政務管理平臺為實現各類應用系統的統一用戶、統一認證、統一消息服務提供了服務基礎支持和標準化管理。作為一項公共服務，統一的電子簽章服務也應納入氣象政務管理平臺并為各類應用提供支撐。

3 電子簽章云平臺設計

3.1 總體設計

為了保證業務系統用印業務功能的穩定接入和規范管理，電子簽章服務平臺以云服務方式為需要進行簽章的各級用戶和各類應用系統提供基礎服務，業務系統可以通過Web服務調用方式接入，無需進行底層復雜的電子印章、簽章接口調用，即可實現文件簽章、文書打印輸出、文件瀏覽、打印份數控制、驗章等功能，瘦客戶端方式也有助于快速適配國產化終端環境的應用，提升安全性的同時解決應用的可擴展性問題[24]。

如圖4虛線框部分所示，對比第2代電子簽章系統應用模式，本次建設的電子簽章服務平臺以松耦合方式提供應用服務，解決了原有OCX控件方式的應用強綁定以及安全性問題。同時，接入氣象部門統一政務CA體系，應用證書加密的方式對接信任服務體系，將電子印章存儲在移動介質上并且綁定用戶CA證書，為簽名的互信互認應用擴展和身份管理安全審計提供必要的支持。

圖4 氣象部門第3代電子簽章應用模式

電子印章管理系統基于信任服務體系、電子認證基礎設施，提供電子印章基礎服務，制章業務，簽章、驗章服務接口，密碼運算能力以及信任服務體系支撐。電子簽章服務平臺為需要進行用印簽章的業務系統提供了一個基礎云服務，可實現文件簽章、文書打印輸出、文件瀏覽、打印份數控制、驗章等功能。如圖5所示，在整體國產化環境下，各收發文終端，通過可編輯軟件起草文件，經過流轉、審核并定稿后，將WPS(Word Process System，金山公司國產化流式文件編輯工具)文件轉換生成OFD版式文件。電子公文系統將調用電子簽章服務，完成對OFD文件的簽章和驗章功能。收文單位接收來文后，對OFD文件進行瀏覽、驗章、反饋、打印及操作。

圖5 氣象部門第3代版式文件(OFD)電子簽章應用流程

3.2 流程設計

構建電子簽章服務平臺一朵“云”，支撐各類已有業務應用多個“端”用印的整體流程，如圖6所示。在需要加蓋電子印章的時候通過訪問電子簽章系統的簽章組件服務接口實現電子印章的加蓋，電子印章在整個生命周期都受到電子簽章系統的監督和管控；而印章的具體使用則由印章的具體使用單位通過業務系統來實現管控，電子簽章系統負責印章的制發管理、有效性管理、印章使用日志管理。

圖6 電子簽章云+端服務對接流程

所有云端的Web服務接口均以JSON格式的數據信息進行傳遞，相關蓋章文書以HTTP協議向應用端進行傳輸，整體云服務各類服務場景流程設計如下：①業務系統提供“用印后處理返回”服務給簽章服務平臺調用，簽章服務平臺通過調用此服務回傳用印后的文書文件；②簽章服務平臺提供“用印索引信息獲取”服務給業務系統調用，業務系統通過調用此服務獲取當前用戶可用的印章列表；③印章系統提供“用印”服務給業務系統調用，業務系統通過調用此服務傳入待用印文書信息及文書文件；④簽章服務平臺提供“獲取用印后文書”服務給業務系統調用，業務系統通過調用此服務獲取印章系統用印后的文書文件；⑤簽章服務平臺提供“文書用印撤回”服務給業務系統調用，業務系統通過調用此服務撤銷之前發起的用印操作；⑥簽章服務平臺提供“文書用印作廢”服務給業務系統調用，業務系統通過調用此服務作廢已用印的文書；⑦簽章服務平臺提供“驗章”接口給業務系統調用，業務系統通過調用此服務驗證已用印的章的合法性；⑧簽章服務平臺提供“文書轉OFD/PDF文件”服務給業務系統調用，業務系統通過調用此服務將文書文件轉換為指定格式的文件，實現用印前的預覽功能；⑨閱讀器提供“文書打印”接口給業務系統調用，業務系統通過調用此接口打印已用印后的文書，并支持設置打印份數；⑩閱讀器提供“文書查看”接口給業務系統調用，業務系統通過調用此接口預覽文件。

3.3 安全設計

在一個云化環境服務對電子簽證服務提出了更高的安全性要求，結合整體氣象政務管理平臺安全體系，主要從3方面增強系統安全性：①安全審計。電子印章系統及簽章平臺采用包括系統管理員、安全保密員和安全審計員的3員管理策略，以及3員權限分立的制衡機制。系統管理員負責系統設置及用戶的創建，安全保密員負責用戶的授權，安全審計員負責日志檢查。②加密傳輸。存儲在設備上的印章數據以密文的方式存儲，密鑰由印章擁有者所有，呈現形式為印章口令。在制作印章的時候，對用戶設置的印章口令進行變換得到密鑰，調用商密算法SM2加密算法完成對印章數據加密。通過商密對稱算法SM3保證印章數據的安全性，密鑰通過口令變換，沒有密鑰分發過程。③權限控制。為確保系統的安全，需要對系統中的每一用戶或與之相連的服務器或終端設備進行有效的標識與鑒別，只有通過鑒別的用戶才能被賦予相應的權限，進入系統并在規定的權限內操作，利用CA證書實現用戶身份的鑒別。

通過以上不同Web服務場景的建設，使得電子簽章服務具有靈活特性，可根據不同業務場景(比如行政審批8類不同事項的電子印章、電子證照服務)或者不同終端類型(傳統X86體系以及國產化終端)進行快速適配。

4 業務應用

4.1 應用功能

采用統一的、標準的服務接口方式，有效降低各類需要應用簽章服務系統的對接難度。提供接入申請的審批、備案、注冊管理以及統一用戶身份認證功能。滿足電子簽章的3種場景：①直接登錄平臺進行統一批量用印；②在業務系統內遠程調用簽章頁面進行蓋章；③靜默調用平臺底層接口完成指定位置、指定公章名稱進行蓋章，然后把蓋章后的文件返回給業務系統。

實現的應用功能包括：①系統接入審批備案。平臺提供了對簽章應用系統接入申請的審批、備案、注冊管理，簽章管理員對應用系統進行簽章授權配置管理，設置應用系統對簽章服務平臺中相應簽章調用的權限，授權其可調用的印章列表。②用戶認證。電子簽章服務平臺與CA身份認證服務系統對接，實現了統一用戶身份認證。③簽章服務。簽章處理人根據業務系統發送的簽章文件信息、領導審批單，根據業務系統指定的印章編號(或印章名稱)與電子印章在線服務系統對接，經過身份鑒別后，根據簽章人權限獲取印章，返回電子印章數據；電子簽章客戶端提供對接簽章運算接口，經過身份鑒別后，進行簽章運算，返回電子簽章數據，進行簽章操作，簽章完成后，系統自動調用時間戳服務進行日志記錄。簽章操作支持批量簽章、聯合簽章等。④驗章服務。電子簽章服務平臺與電子印章發布驗證系統對接，提供簽章驗證對接接口，進行電子簽章驗證，完成電子簽章驗證的驗證流程。系統提供2種驗章服務：在線驗證,提供在蓋章前的電子印章在線驗證功能和簽章后電子印章的驗證功能；離線驗證,提供對簽章文件離線驗證功能。⑤日志服務。系統提供注冊申請日志,記錄應用系統簽章申請注冊、審批、備案日志；簽章申請日志,記錄應用系統簽章申請日志；簽章用印日志,記錄應用系統簽章受理日志。

4.2 應用場景

如圖7所示，除了在氣政通電子公文系統的應用外，氣象行政審批平臺是電子簽章服務的另一重要應用領域。

圖7 國產化簽章云服務應用場景

按照國家一體化政務服務平臺電子印章相關標準規范，部門的行政審批平臺需要建立電子印章系統，完成與國家平臺統一電子印章系統對接，同時實現中國氣象局及下屬各機關單位電子印章的統一管理，使整個系統所轄的公章、部門章以及行政審批專用章的有效管控，為各種業務應用系統提供簽章與驗章的應用支持，以及監控系統內所有電子印章使用情況。

采用云服務的方式，可以靈活快速地根據國家平臺接口標準快速實現系統注冊(電子印章制作系統和狀態發布系統注冊)、制作主體注冊(電子印章制作主體注冊和信息推送)、制作系統對接(電子印章信息備案)、狀態發布系統對接(電子印章狀態信息推送和狀態信息查詢)、CA互認互信對接等接口，并將接口信息補充到印章管控服務中，通過電子外網通道實現部門行政審批平臺與國家政務服務平臺印章數據的互信互認。

4.3 應用效果

2020年5月，支撐氣象行政審批平臺的電子印章服務正式部署上線，提供審批服務電子印章的制作、發布、電子證照的簽章、數據共享等功能，目前已實現國家級3個事項(42008氣象專用技術裝備使用審批(含人工影響天氣作業設備)、42010外國組織和個人在華從事氣象活動審批、42006氣象臺站遷建審批)的審批流程和處理要求，以及電子簽章、電子證照數據推送國家政務服務平臺的功能。

2020年12月，氣象部門國產化電子簽章云服務正式適配國產化終端操作系統的氣政通電子公文系統也投入業務運行。經過反復測試證明，對非區域中心省級的縣級氣象部門電子簽章簽發平均響應時間小于3 s，可滿足業務需求。同時，該簽章服務可以實現文件蓋章時在版式文件OFD中通過可視化拖拽指定蓋章位置，完成蓋章操作，整體電子簽章系統產品既滿足在國產操作系統下(統信UOS或者麒麟OS)的適配蓋章，同時滿足與Windows操作系統的互認互信。

5 結論與討論

建設集印章、簽章、轉換、審計、管理為一體的氣象部門電子簽章云服務平臺，大大減少了部署、實施、維護的成本，同時支持多種版式格式的簽章以及多種簽章方式的應用，為電子公文系統、行政審批平臺對電子印章使用場景提供全面支撐，有效促進部門無紙化辦公的發展。通過基于國產算法的OFD版式文件電子簽章系統的應用，推動了國產版式文件技術、國產密碼算法事業的發展。

未來，還將繼續推動電子簽章服務對省級以下事項的應用推廣。同時，還需要開展簽章云服務基礎設施的國產化適配工作，滿足在國產化數據庫、Web中間件的部署應用，進一步提升自控安全性。