摘  要 本文介绍了USB安全钥及其技术，针对电子政务信息安全问题，提出将USB安全钥应用于电子政务系统，描述了电子政务系统USB安全钥的体系结构，讲解了利用USB安全钥构建电子政务系统安全，最后对USB安全钥应用于电子政务系统进行了实例分析。

关键字 USB安全钥 电子政务 信息安全

 

随着计算机技术和通信技术的飞速发展，利用网络为政府部门提供更优质的服务成为当今社会的共识，电子政务（e-government）就是指政府机构在其管理和服务职能中运用现代信息技术，实现政府组织机构和工作流程的重组优化，超越时空和部门领域中的信息处理，是对电子政务业务所涉及的政务处理过程的通称，电子政务已成为当代信息化最重要的领域之一，电子政务建设也是我国今后一个时期信息化工作的重点。

 

电子政务作为信息网络的一个特殊应用领域，运行着大量需要保护的数据和信息，有其自身特殊性，如果系统的安全性被破坏，造成敏感信息暴露或丢失，或网络被攻击等安全事件，可能导致严重的后果，电子政务系统也必然成为信息间谍、敌对势力、恐怖集团、国家之间信息战攻击的目标。因此，构建电子政务信息安全保障体系，将变得尤为重要。

 

目前电子政务系统安全措施最常用的就是使用用户名加口令的方式，但这也是最原始、最不安全的身份确认方式，非常容易由于外部泄漏等原因或通过口令猜测、线路窃听、重放攻击等手段导致合法用户身份被伪造等，电子政务系统必须解决双方身份认证问题以及身份认证后数据安全传输问题。解决第一个问题时我们可以使用数字签名技术，而解决第二个问题时可以使用加/解密技术，在这两项技术中的关键点就是签名和加密所用的私钥，基于USB的随身携带，热插拔、传输速度快以及硬件等优势，将私钥存储于USB硬件中，结合加密算法，可以比较好地解决电子政务系统中身份认证以及数据加密传输问题。

 

USB，是通用串行总线（Universal Serial Bus）的简称，它已成为计算机与外设之间进行数据交换的主流总线协议。USB安全钥是以现代密码学的先进密码体制为基础，利用USB硬件优势集加密、认证及数字签名等技术于一体，具有高安全性、高处理速度的秘密数据存储设备，它具有以下特点：

 

（1）带有安全存储空间

USB安全钥具有比较大的安全数据存储空间，可以存储数字证书、用户密钥等秘密数据，对该存储空间的读写操作必须通过程序实现，用户无法直接读取，其中用户私钥是不可导出的，杜绝了复制用户数字证书或身份信息的可能性。

 

（2）具有硬件PIN码保护

每一个USB安全钥都具有硬件PIN码保护，PIN码和硬件构成了用户使用USB安全钥的两个必要因素，即所谓“双因子认证”。用户只有同时取得了USB 安全钥和用户PIN码，才可以登录电子政务系统。即使用户的PIN码被泄漏，只要用户持有的USB安全钥不被盗取，合法用户的身份就不会被仿冒；如果用户的USB安全钥遗失，拾到者由于不知道用户PIN码，也无法仿冒合法用户的身份。

 

（3）硬件实现加密算法

USB安全钥内置CPU或智能卡芯片，可以实现PKI体系中使用的数据摘要、数据加解密和签名的各种算法，加解密运算在USB安全钥内进行，保证了用户密钥不会出现在计算机内存中，从而杜绝了用户密钥被黑客截取的可能性。

 

（4）兼容性好

由于设备本身符合USB各项协议定义，在不同的计算机平台（PC、MAC等）和操作系统（WINDOWS、UNIX等）中均能使用，具有很好的兼容性。

 

USB安全钥在电子政务系统中扮演着“安全卫士”的作用，其体系结构如图1所示。

图1  USB电子政务USB安全钥体系结构

 

使用USB安全钥构建电子政务系统的身份识别、数据传输应用的安全，身份安全可以采用PKI认证，应用安全可采用CA认证。

（1）基于公开密钥体系（PKI）的认证

PKI 就是 Public Key Infrastructure 的缩写，也就是所谓“公开密钥体系”，它是一种利用现代密码学的公钥密码技术在公开的网络环境中提供数据加密以及数字签名服务的技术框架。PKI通过延伸到用户本地的接口，为各种应用提供安全的服务，如身份识别、认证、数字签名、加密等来解决网络安全问题。使用公开的密钥算法（也称非对称加密算法）的用户同时拥有匹配的公钥和私钥。私钥由用户保存，且不能泄露，公钥则要广泛公开的发布。私钥无法通过公钥计算获得。公开密钥体系的作用不仅可用于安全密钥交换，还可用于鉴别用户的身份，下面将就如何鉴别用户身份进行简要描述。

 

当服务器端需要验证客户端的身份时，服务器端产生一个随机数R，发送给客户端，客户端通过USB接口，把随机数R传送入USB安全钥中，使用自己的私钥对随机数进行加密，并把加密结果传给服务器端，服务器端通过使用客户的公钥对接收到的加密数据进行解密，对比解密后的数是否和随机数R一致，一致就通过验证。

 

（2）基于CA机构的认证

为保证电子政务系统用户之间在网上传递信息的安全性、真实性、可靠性、完整性和不可抵赖性，不仅需要对用户的身份真实性进行验证，也需要有一个具有权威性、公正性、唯一性的机构。CA (Certificate Authority)机构，又称为证书授证中心，它是以数字证书为核心的加密技术，负责发放和管理数字证书，承担公钥体系中公钥的合法性检验的责任。CA认证可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及电子政务发送、接收实体身份的真实性，签名信息的不可否认性，从而保障电子政务系统应用的安全性。

 

数字证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以对外公开，用于加密和验证签名。当电子政务发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字的手段保证加密过程是一个不可逆过程，即只有用私钥才能解密。

 

为了进一步说明USB安全钥在电子政务中起到的重要作用，现就电子政务系统身份认证的一个应用实例作以说明，如图2所示。

图2  USB 安全钥在电子政务中的应用

首先用户将USB安全钥插入电子政务系统PC，PC读出安全钥的ID号；然后用户输入自己的用户名和密码，PC将其和安全钥的ID一起通过网络发往服务器并请求服务器对用户进行身份认证；服务器从PC得到安全钥的ID、用户名和密码后从数据库中提取相应的用户信息，同时生成一个随机数R并发往PC，PC 再将收到的随机数R传递给USB 安全钥；USB 安全钥使用内部存储的密钥和算法与该随机数进行运算得到一个结果作为认证证据，加密后发回PC，PC 再将加密结果传递给服务器，服务器解密PC 发来的加密数据得到一个需验证的密钥；与此同时服务器也使用从数据库提取的信息与该随机数R进行运算获得正确的密钥，如果两个密钥相符就认为用户的身份合法，否则不合法；最后服务器将用户身份的认证结果发往PC，电子政务系统根据认证结果提供或是拒绝服务。

 

USB安全钥应用于电子政务系统中，可以较好地解决电子政务系统中身份认证以及数据加密传输问题，保障了政务的安全传送和处理，为各级政府部门及时掌握和处理信息提供一个先进、可靠、实用、安全保密的系统，达到借助电子政务系统的建设，提高政府工作效率、政府工作透明化，充分做到执政为民的目的。USB安全钥技术在不断发展、成熟，研制自主知识产权产品并应用于各重要安全领域必将成为电子政务建设的重要保障。

 

[1]电子政务处理系统用户使用手册.总参第61研究所.2000.

[2]张仕斌,谭三等.网络安全技术.北京：清华大学出版社.

[3]马伟.计算机USB系统原理及其主/从机设计.北京:京航空航天大学出版社,2004.

[4]Arto Salomaa（芬兰）著，丁存生，单炜娟 译.钥密码学. 北京:国防工业出版社，1998.