引入PKI技術(shù)的校園一卡通應(yīng)用

文章出處：http://hlpi.cn 作者：北京握奇數(shù)據(jù) 胡鵬  

•  引言  
    校園作為 IC卡重要的一個應(yīng)用領(lǐng)域，在推動我國IC卡發(fā)展中起到了不可或缺的作用,。目前,，我國大多數(shù)校園利用IC卡技術(shù)已經(jīng)實現(xiàn)了對教職工、學生的學習,、生活等各方面的管理,，如：師生在校園食堂內(nèi)刷卡就餐；學校發(fā)放學生卡管理學生考勤,；校內(nèi)圖書館使用IC卡管理圖書借閱等,。各高校由于其應(yīng)用模式的不同，使用的卡片也有所不同,，從早期的光卡到磁卡以至目前在各校園普遍使用的IC卡,，校園卡也走過了一段不斷升級的過程。隨著高校對實現(xiàn)真正意義上的“校園一卡通應(yīng)用”的呼聲越來越高,，特別是今年我國經(jīng)受過“非典”疫情的嚴重影響,，各高校利用互聯(lián)網(wǎng)并結(jié)合IC卡技術(shù)保證校內(nèi)師生正常工作、學習,、生活的應(yīng)用需求越來越迫切,，如何選取更加安全，更加方便的IC卡作為校園一卡通應(yīng)用實體已是教育 領(lǐng)域廣泛關(guān)注的一個話題 ,。  

•  校園內(nèi)多元化應(yīng)用的需求  
    近幾年來互聯(lián)網(wǎng)的迅猛發(fā)展和應(yīng)用普及,，是當初網(wǎng)絡(luò)設(shè)計者們始料未及的。當前,，許多高校都建設(shè)了校園網(wǎng),，將校園網(wǎng)上教學,、網(wǎng)上自動化辦公等應(yīng)用與現(xiàn)有的以校園內(nèi)刷卡消費、學生考勤管理為主的 IC 卡應(yīng)用模式相融合,，實現(xiàn)高校內(nèi)多元化“一卡通應(yīng)用”,，是我們要解決的問題。  

2,、1 校園內(nèi)網(wǎng)絡(luò)化教學的發(fā)展  
    以互聯(lián)網(wǎng)網(wǎng)絡(luò)技術(shù)為基礎(chǔ),，在高校網(wǎng)絡(luò)硬件設(shè)備日益提高、改善的條件下,，實現(xiàn)網(wǎng)絡(luò)化教學——空中課堂已不再是師生們的美好夢想,，而且依托于網(wǎng)絡(luò)技術(shù)實現(xiàn)的現(xiàn)代化遠程教育系統(tǒng)將在我國未來教育領(lǐng)域中發(fā)揮更重要的作用。  

在校園網(wǎng)中,，網(wǎng)絡(luò)化教育可有以下幾方面應(yīng)用：  

•  網(wǎng)上教學  

    使用實時采集和發(fā)布設(shè)備,，配合流媒體技術(shù)可以利用校園網(wǎng)來現(xiàn)場直播課堂教學，學生在校園網(wǎng)的任何一個接入點都能實時觀看,；也可以將制作好的教學節(jié)目存儲到校園網(wǎng)的服務(wù)器上,，學生可隨時從服務(wù)器上學習課程；使用流媒體技術(shù)制作的動畫或演示可以直接插入到網(wǎng)頁中,，學生可以使用校園網(wǎng)獲得帶有文字,、圖像、聲音和視頻的多媒體演示文件,，使教學過程生動形象,。而且，學生在課下可以通過互聯(lián)網(wǎng)按個人的興趣進行學習,，通過電子郵件提交所完成的作業(yè),，師生通過 BBS 在網(wǎng)絡(luò)上進行有關(guān)課程的自由討論等。  

•  在線考試  

    對于這個名詞每個大學生都不會陌生,，在很多國外的培訓(xùn)考試中早已用到,，如流行的微軟 MCSE的認證考試等,。我國高校一般在計算機類課程的考試中多采取類似模式,。學生通過操作學校指定的計算機或在校方允許的情況下使用某一臺計算機，并進行身份認證后在線進行考試,；考試用計算機從校內(nèi)特定服務(wù)器的題庫中隨機抽取試題后,，允許學生作答；考試結(jié)束后,，計算機保存學生作答結(jié)果,，并提交校內(nèi)特定服務(wù)器的數(shù)據(jù)庫進行處理。  

•  教師網(wǎng)上自動化辦公  

    校園內(nèi)各部門之間關(guān)于校內(nèi)管理制度的制定,、發(fā)布,，教師網(wǎng)上判卷,，并將學生考試的成績單發(fā)送給相關(guān)的學生管理部門等應(yīng)用，都離不開網(wǎng)上自動化辦公系統(tǒng)的協(xié)助,。  

    正當人們以各種方式使用著互聯(lián)網(wǎng),，感受著它給我們帶來的信息交流的快捷與方便的時候，由于最初的網(wǎng)絡(luò)協(xié)議的設(shè)計者們并沒有考慮到安全性的問題,，因而我們在設(shè)計校園網(wǎng)絡(luò)化教育系統(tǒng)的多種應(yīng)用時,，安全問題成為了必須考慮的問題。目前已建設(shè)的校園中,，存在著較多的安全漏洞,，黑客攻擊學校內(nèi)網(wǎng)絡(luò)服務(wù)器的事件也屢見不鮮。當今一名普通的計算機系大三的學生通過對相關(guān)網(wǎng)絡(luò)攻擊知識的學習,，就可以成功侵入一臺安全級別較低的網(wǎng)絡(luò)服務(wù)器,。  

    因此，為了保障校園內(nèi)網(wǎng)絡(luò)化教育在互聯(lián)網(wǎng)上安全的實現(xiàn),，我們將 PKI技術(shù)引入網(wǎng)絡(luò)化教育中,，為網(wǎng)絡(luò)安全提供基礎(chǔ)保障。  

2,、2 PKI技術(shù)——網(wǎng)絡(luò)安全保障的基礎(chǔ)  
    PKI是Public Key Infrastructure（公開密鑰基礎(chǔ)設(shè)施）的縮寫,，是一種普遍適用的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施。 實際上,， PKI技術(shù)的組成包括安全政策,、證書機構(gòu)（CA）、注冊機構(gòu)（RA）,、證書分發(fā)系統(tǒng),、實現(xiàn)PKI的應(yīng)用等主要系統(tǒng)。  

3 引入 PKI 技術(shù)的校園一卡通安全解決方案  

3,、1 系統(tǒng)概述  
    校園一卡通應(yīng)用系統(tǒng)是運用計算機網(wǎng)絡(luò)和通信技術(shù),，采用帶有 PKI 功能的雙界面 IC 卡作為數(shù)據(jù)交換介質(zhì)，以校園內(nèi)部教職工,、學生網(wǎng)上教學,、辦公，以及師生在校刷卡消費,、考勤管理,、門禁管理等應(yīng)用為主體，實現(xiàn)校園一卡通應(yīng)用建設(shè),，提高高校辦學質(zhì)量,，促進我國現(xiàn)代化遠程教育系統(tǒng)的健康發(fā)展。  

    在現(xiàn)有校園網(wǎng)的基礎(chǔ)上，我們引入 PKI與IC卡技術(shù),，實現(xiàn)對登陸網(wǎng)絡(luò)教學系統(tǒng)的教職工,、學生進行身份驗證、并將一些在網(wǎng)絡(luò)中傳遞的敏感數(shù)據(jù)（如,，學生在線考試的電子答卷,，教師判卷的成績結(jié)果等）完成卡內(nèi)數(shù)字簽名、加密等安全保護,，完善網(wǎng)絡(luò)教學系統(tǒng)的安全管理機制,，從而解決目前校園網(wǎng)存在的冒名登陸、截取并篡改網(wǎng)絡(luò)傳輸數(shù)據(jù)等各項安全隱患,。此校園一卡通安全解決方案在非網(wǎng)絡(luò)應(yīng)用部分與以往傳統(tǒng)應(yīng)用模式相同,。校內(nèi) 師生使用 IC 卡在對應(yīng)的 POS 機具上實現(xiàn)刷卡消費；在特定的辦公室或?qū)嶒炇以黾娱T禁控制器,，利用 IC 卡實現(xiàn)人員考勤管理和人員出入控制,。  

3、2 網(wǎng)絡(luò)教學應(yīng)用系統(tǒng)架構(gòu)  
   
•  Web服務(wù)器  

    Web 服務(wù)器上建立校方網(wǎng)站,，并建立數(shù)據(jù)庫存放網(wǎng)絡(luò)教學所需教學課件,、考試題庫等。采用完善的防火墻來確保校園內(nèi)網(wǎng)絡(luò)應(yīng)用的安全性,。Web 服務(wù)器完成審核登錄人員的身份,，使通過驗證的人員可以進行網(wǎng)上教學，考試,，辦公等工作,，并將客戶端提交上來的簽名信息存儲到數(shù)據(jù)庫中的功能。  

•  應(yīng)用系統(tǒng)：  

    主要完成校園內(nèi)網(wǎng)上教學,、在線考試,、 網(wǎng)上自動化辦公 等業(yè)務(wù)處理功能，將服務(wù)器端提交的各種信息經(jīng)過數(shù)據(jù)的真實性,、完整性驗證后分發(fā)給后臺進行相應(yīng)的業(yè)務(wù)處理,。  

•  銀行網(wǎng)關(guān)：  

    可提供在線支付功能，實現(xiàn)在線交費,。  

•  CA（Certificate Authority）認證中心：  

    完成審核,、發(fā)放 Web服務(wù)器證書、和教職工,、學生身份證書,，教職工,、學生身份證書直接發(fā)到智能卡中,。通過證書驗證可以確保網(wǎng)上教學、辦公時各方具有合法身份。  

•  客戶端：  

    讀卡器與計算機相連,，并安裝驅(qū)動軟件,。校園內(nèi)師生可以通過瀏覽器訪問校園網(wǎng)，并通過校園一卡通卡實現(xiàn)身份鑒別,，數(shù)字簽名等功能,，進行安全、放心的網(wǎng)上教學,、辦公,。  

 1、簽名,、驗證及信息加解密模塊：  

    提供客戶端與服務(wù)器端對特定信息的簽名,、驗證及加解密服務(wù)的標準接口，整個簽名,、驗證及加解密過程對用戶透明,。服務(wù)器端提供 COM組件接口和JavaBeans組件接口，分別適用于ASP方式和JSP方式,；客戶端提供ActiveX接口,。客戶端控件與服務(wù)器端組件需配合使用,。  

2,、日志：  

    客戶端和服務(wù)器端日志對簽名及驗證等活動進行記錄，以備日后查詢,。服務(wù)器端可以獲取客戶端的日志信息（可選）,。  

3、客戶端智能IC卡：  

    主要存儲用戶的證書信息,、用戶的私鑰及一部分加密算法,。提供了 PIN口令驗證機制，使用時要求用戶輸入PIN口令,，若PIN口令輸入錯誤5 次,，IC卡即自鎖死，必須到發(fā)卡中心解鎖或重新發(fā)卡才能繼續(xù)使用,。PIN口令由用戶自行設(shè)定及更改,。客戶端可以兼容多種智能IC卡,。  

4,、發(fā)卡及證書服務(wù)中心：  

    負責處理校內(nèi)師生的開戶請求、生成并簽發(fā)用戶證書,、 IC卡制作發(fā)放,、證書的 備份 ,、證書的查詢 服務(wù)、用戶證書報廢,，以及證書黑名單的發(fā)布等,。 發(fā)卡及證書服務(wù)中心的管理員必須使用有相應(yīng)權(quán)限的IC卡才能登錄，也可以設(shè)置多名管理員同時在場才能有效登錄的方式,。  

5,、服務(wù)器端加密硬件：  

   提供高強度的數(shù)據(jù)完整性驗證、數(shù)字簽名,、簽名驗證及信息加解密服務(wù),。  

6、客戶端加密算法：  

   提供足夠強度的數(shù)據(jù)完整性驗證,、數(shù)字簽名,、簽名驗證及信息加解密服務(wù)。依據(jù)客戶端安全級別的不同,，簽名,、加密算法可在客戶端智能 IC卡內(nèi)或卡外和系統(tǒng)工作平臺上完成提交給服務(wù)器端。  

7,、客戶端及服務(wù)端的環(huán)境設(shè)置與管理：  

  提供對整個數(shù)據(jù)安全平臺運行環(huán)境進行設(shè)置及管理的界面,。  

3、3 CA中心的建立  
    數(shù)字證書是 PKI中最基本的元素,，所有安全操作都主要通過證書來實現(xiàn),。而CA 中心正是簽置、頒發(fā)數(shù)字證書的證書機構(gòu),，其重要的作用不言而喻,。  

    但是，我們也應(yīng)該看到一個各個方面完善的 CA認證中心的建立價格不菲,，對于一所普通高校來說資金上可能存在一定的困難,，而且建立這樣一個CA認證中心在一所普通高校內(nèi)部使用也發(fā)揮不了它真正的作用。從這一方面考慮,，我個人建議：一方面,，高校可與當?shù)氐恼虲A運營商聯(lián)系,，協(xié)商使用他們已經(jīng)建好的CA中心頒發(fā)校內(nèi)數(shù)字證書,；另一方面，高?？梢圆扇∈褂矛F(xiàn)有產(chǎn)品技術(shù)建立校內(nèi)的功能完整的小型化簡易CA頒發(fā)數(shù)字證書,，如：微軟的CA證書服務(wù)系統(tǒng)。  

•  PKI 技術(shù)的校園一卡通產(chǎn)品選型  
    在我們?yōu)樾@一卡通產(chǎn)品選型的時候要充分的考慮到一卡多應(yīng)用的需求,，將操作簡便,、使用安全,、攜帶方便的 IC產(chǎn)品及配套軟件推薦給高校。所以,， 采用 握奇數(shù)據(jù)公司即將推出的 帶有 PKI 功能 的 雙界面 IC 卡作為數(shù)據(jù)交換介質(zhì) , 并在客戶端選用其提供的 WatchSAFE 網(wǎng)絡(luò)安全套件產(chǎn)品是理想的選擇,。  

    帶有 PKI 功能 的 雙界面 IC 卡在原先雙界面 IC 卡芯片上增加了運算協(xié)處理器,，使 此卡片具有支持非對稱密碼算法,，可在卡內(nèi)生成 RSA密鑰對，并實現(xiàn)在卡內(nèi)簽名,、驗證,、加密、解密等功能,。  

    校園一卡通采用 帶有 PKI 功能 的雙界面卡,，一方面，使用 IC卡非接觸式特點進行 師生在校刷卡消費,、考勤管理,、門禁管理等應(yīng)用；另一方面,， 使用 IC卡接觸式特點進行 校園內(nèi)部教職工,、學生網(wǎng)上教學、辦公 應(yīng)用,。  

    為了與 IC卡配合實現(xiàn)網(wǎng)絡(luò)教學應(yīng)用系統(tǒng)的安全控制,，我們需要相應(yīng)的接口軟件來完成網(wǎng)上教學、辦公的客戶端瀏覽器與IC卡的銜接,。當客戶端通過瀏覽器訪問網(wǎng)頁,，能夠讀取卡內(nèi)的證書與Web服務(wù)器建立SSL（Secure Sockets Layers）安全通道，使用卡內(nèi)私鑰完成簽名及對讀卡器,、卡片的操作與讀寫,。  

•  結(jié)語  
    隨著 IC卡在不同領(lǐng)域的拓展，用戶也對IC卡技術(shù)提出了更高的要求,，作為一種日趨成熟的技術(shù),，PKI技術(shù)將會逐步集成到更多的操作系統(tǒng)和應(yīng)用中去，并實現(xiàn)對用戶的透明,。利用PKI作為安全基礎(chǔ)平臺,，使用數(shù)字證書實現(xiàn)網(wǎng)上各項工作的認證加密功能，必將是實現(xiàn)安全電子商務(wù),、政務(wù)的主要發(fā)展方向,。將PKI技術(shù)發(fā)布的數(shù)字證書與IC卡技術(shù)巧妙結(jié)合后，提出的應(yīng)用解決方案可以說是安全級別最高的網(wǎng)絡(luò)安全應(yīng)用解決方案,。引入PKI技術(shù)的校園一卡通將在未來的教育領(lǐng)域中表現(xiàn)其強大的生命力,，給校園的生活帶來新的變化,。校園是社會的縮影，校園一卡通的順利實現(xiàn)也將為我國各行業(yè)實現(xiàn)真正意義的一卡通應(yīng)用提供良好的模型與典范,。