搜索
电子认证服务介绍易楠2012年10月主要内容一、电子认证基本介绍二、电子认证的应用三、电子认证在卫生系统中的应用甲给乙写的私人邮件，丙未经甲乙允许擅自阅读甲和乙正常通信，丙冒充甲并且制造欺诈信息给乙，窜改甲给乙发的邮件甲在某时某地给乙发了邮件，乙却否认收到了该邮件非授权访问数据篡改抵赖如何解决？利用密码技术保障信息安全密码技术主要研究信息系统安全与保密。目前，主要有对称密码算法和非对称密码算法两大类。其中：对称算法种类：国际：DES（数据加密标准）、3DES、AES（高级加密标准）、IDEA（国际数据加密算法）、RC2RC4RC5国内：SSF33、SCB2、SM1算法（国密局）非对称算法种类：国际：RSA算法、ECC椭圆曲线密码算法国内：SM2椭圆曲线公钥密码算法（国密局）密码技术简述对称密钥加密的特点是加密和解密使用相同的密钥，它要求发送者和接收者在安全通信之前先商定一个密钥。对称密钥加密技术会话密钥会话密钥密钥预分配对称密钥加密技术优势：计算量小、加密速度快、加密效率高。劣势：交易双方都使用同样钥匙，安全性得不到保证。此外，每对用户每次使用对称加密算法时，都需要使用其他人不知道的惟一钥匙，这会使得发收信双方所拥有的钥匙数量成几何级数增长，密钥管理成为用户的负担。非对称密钥加密也叫公开密钥加密，它的特点是加密和解密使用不同的密钥，这两把密钥在数学上是相关的，加密密钥可以公开，称为公钥；解密密钥必须保密，称为私钥。由于公钥是公开的，任何人都可以用接收者的公钥加密消息发给接收者，因为私钥是保密的，只有接收者自己才可以解密消息。非对称密钥加密技术非对称密钥加密技术用户B的公钥用户B的私钥目录优势：密钥管理方便，密钥分发安全劣势：计算上的复杂性，使得它的加密或解密时间较长，效率大大低于对称密钥算法，所以公钥加密技术不适合用来加密大的文件。如果把公私钥反过来使用，用私钥加密而用公钥解密，这就成为数字签名的基础。例如用户B想对一份电子文件进行数字签名，他可以用他的私钥对其加密。他的公钥是公开的，因此任何知道他的公钥的人都可以解密文件，但事实是因为用户B的私钥只有他自己有，这就成了他数字签名的基础。数字签名文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument数字签名将签名附加在文档之后文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument信息摘要压缩数字签名用户B的私钥如果在私钥中加入用户B的个人身份信息，就可以据此进行身份认证，并通过加密技术保证数据完整性和不可否认性。因为签名同样需要考虑效率，因此必须考虑签名的数据量。采用杂凑算法计算信息摘要，能极大减少数据量。对签名进行验证信息摘要信息摘要文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument文档PlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocumentPlaintextDocument数字签名比较两个摘要信息是否一致压缩用户B的公钥用户B真的在文件上进行了数字签名（真实性）用户B真的发送了信息（不可否认性）。如果信息有了任何改动，摘要就会不匹配（数据完整性）。假如摘要相互匹配，用户A就有三方面安全保证：信息摘要压缩用户B的私钥文档PlaintextDocumentPlaintext文档PlaintextDocumentPlaintext文档PlaintextDocumentPlaintext数字签名文档PlaintextDocumentPlaintext文档PlaintextDocumentPlaintext文档PlaintextDocumentPlaintext信息摘要信息摘要比较两个摘要信息是否一致压缩数字签名文档PlaintextDocumentPlaintext文档PlaintextDocumentPlaintext文档PlaintextDocumentPlaintext用户B的公钥公钥密码技术的应用总结采用对称密钥密码算法对数据加密，解决信息的机密性问题；采用杂凑算法计算数据摘要，解决信息的完整性问题；采用公钥密码算法生成数字签名和验证签名，解决信息的真实性和不可否认性问题；采用公钥密码算法生成数字信封，解决会话密钥的保护和传递问题。面临的两个问题这样，利用密码技术解决信息安全的问题就转化为以下两个问题：如何确定一个用户的公钥确实属于这个用户，并保证用户和他的公钥之间的联系，即用户身份真实有效？如何保证用户的私钥在被破坏、丢失时或者在有关机构需要取得证据时能够解密数据？解决之道：建立数字证书认证中心目前国内外通用的解决方法是建立一个大家都信任的权威机构，由这个权威机构用自己的签名密钥对用户的名称、用户的公钥和其他一些信息进行数字签名，形成一个将用户和他的公钥紧密联系起来的电子信任状，这个电子信任状就称为数字证书，而这个权威机构就称为电子认证机构，即CA。数字证书认证中心的作用证明和保证公、私密钥的真实性、有效性按照安全和管理策略，管理公、私密钥的生成、签发、发布、更新、撤销和中止认证中心签发数字证书，保证证书中的密钥确实属于持有该证书的人。概念总结电子认证是以数字证书为核心技术的加密技术，它以密码技术为基础，对网络上传输的信息进行加密、解密、数字签名和数字验证。数字证书是用来标志和证明网络通信双方身份的数字信息文件。电子认证机构是为签名人和电子签名依赖方提供电子认证服务的第三方机构，负责制作、签发、管理数字证书。机密性：公钥密码技术保证信息不被非法获得。完整性：保证信息不被恶意改动。真实性：电子认证机构保证信息的发送方和接收方的身份得到唯一性确认，这样信息的发送和接收双方就都知道信息的来源和去处。不可否认性：通过对数据完整性和来源的第三方验证保证其不可否认性。不可否认性服务可以在发生诉讼的情况下提供重要的法律证据。电子认证在保障信息安全方面的作用2005年，国家颁布《电子签名法》以及《电子认证服务管理办法》，对电子认证服务提供者进行管理，对电子认证机构的设立条件、申请程序、认证规则、服务内容、监督管理等做出详细规定。其中规定，电子认证机构须由国务院信息产业主管部门和国家密码管理机构批准设立。截止目前，全国共有32家依法设立的CA机构，分布在18个省市。电子认证机构权威性问题《电子签名法》《商用密码管理条例》《电子认证服务管理办法（试行）》《电子认证服务密码管理办法》《电子政务电子认证管理办法》电子认证主要政策法规电子认证服务管理办法（工业和信息化部）电子认证服务密码管理办法（国家密码管理局）电子认证服务许可证电子认证服务密码许可证依法设立电子认证服务机构电子政务电子认证管理办法（国家密码管理局）电子政务能力评估《电子签名法》《商用密码管理条例》一、电子认证基本介绍二、电子认证的应用三、电子认证在卫生系统中的应用主要内容电子认证应用领域政府领域电子商务金融领域其他领域卫生领域税务领域电子认证广泛应用于各领域我省电子认证主要应用领域1、地税网上报税地税网上报税用户通过使用数字证书报送电子数据，保证了网上申报的安全；取消纸质申报资料，不必每月在往返报税大厅；同时税务人员不必再录入、核对、保存纸质申报资料，减轻税务机关工作人员负担。截至目前，全省地税领域网上报税应用电子认证用户达15万余户，占全省网报用户的44.58%。2、河北省发改委52厅局网上审批系统：在网上审批系统中，采用数字证书进行用户身份认证，保证网上用户的真实性，保证网上审批信息的安全性和合法性。3、河北省纠风办阳光网络系统河北阳光网络系统应用数字证书，实现全省纠风工作网络联动，保障系统安全稳定运行同时，优化网上办公流程，推动我省纠风工作新格局形成。4、省直部分厅局OA办公系统CA应用：省工业和信息化厅省工商行政管理局省质量技术监督局省交通运输厅省交通运输厅公路管理局省成套招标局省农村信用社联合社共计20余个政府部门5、应用电子认证的各政务部门：河北省财政厅信息管理平台河北省商务厅酒类流通服务管理系统河北省网络与信息安全信息通报系统各市电子政务办公系统。。。。。。一、电子认证基本介绍二、电子认证的应用三、电子认证在卫生系统中的应用主要内容伴随着新医改以及医疗卫生“3521”工程的开展，医疗信息化建设将成为“十二五”计划的重要着力点。“十二五”期间我省将大力实施医疗卫生“3521”工程，即建立省、市、县3级卫生信息平台，加强公共卫生、医疗服务、新农合、基本药物制度和综合管理等5项业务应用，建设居民电子健康档案、电子病历等2个基础数据库和1个专用网络。这其中，建立完善卫生信息安全体系、依托电子认证保驾护航医疗信息化是医疗卫生事业发展的重要保障，更是“2+3521”规划的重要体现。3.1卫生信息化现状3.2电子认证应用政策依据在《电子签名法》基础上，卫生部于2010年4月颁布《卫生系统电子认证服务管理办法（试行）》，旨在保障卫生信息系统安全，规范卫生系统电子认证服务体系建设，满足卫生信息系统在身份认证、授权管理、责任认定等方面的信息安全需求。3.2电子认证应用政策依据第十五条各类重要卫生信息系统，应当按照国家法律法规、信息安全等级保护制度等要求，采用电子认证服务。第二十二条已建成但尚未采用数字证书的重要卫生信息系统，应当尽快采用数字证书，实现身份认证、授权管理和责任认定；已经采用数字证书的重要卫生信息系统应当尽快按照本办法的有关要求进行系统改造，纳入卫生系统电子认证服务体系。3.2电子认证应用政策依据1、充分认识推行电子认证服务工作的重要意义2、积极开展电子认证服务工作3、做好卫生系统电子认证服务机构接入工作2010年，卫生部办公厅颁布《关于做好卫生系统电子认证服务体系建设工作的通知》，通知要求：2010年，卫生部颁布《电子病历基本规范》第八条•电子病历系统应当为操作人员提供专有的身份标识和识别手段；操作人员对本人身份标识的使用负责。第九条•各类重要卫生信息系统，应当按照国家法律法规、信息安全等级保护制度等要求，采用电子认证服务。3.2电子认证应用政策依据2011年，卫生部颁布《电子病历系统功能应用水平分级评价方法及标准（试行）》，其中对“电子认证与签名”考察项目中所要求的功能与对应的等级如下：7级功能（1）全部电子病历系统在数据产生过程可实现可靠电子签名（2）医疗记录使用具有法律效力的第三方可信时间戳6级功能（1）所有医疗记录处理系统产生的最终医疗档案具有可靠电子签名（2）重点电子病历相关记录的最终医疗档案至少有一类可实现可信时间戳