依托网络信任体系开发政务应用

徐　颖

对网络信任体系的理解

在网络信任体系的概念中，信任体系的服务内容是“身份认证、授权管理、责任认定”三部分。要区分网络信任体系与应用信任体系，关键是在：

1.应用身份认证和网络身份认证的不同；

2.应用授权管理和网络授权管理的不同；

3.应用责任认定和网络责任认定的不同；

其核心问题其实是：

1.信任体系是面向全程全网，还是面向处室应用、部门应用？

2.信任体系是面向互联互通，还是面向信息孤岛、信任孤岛？

传统的应用层信任体系对于身份认证是由应用系统各自来做的，通过由应用系统调用接口，在应用系统前面放置网关，或者交由Portal来统一完成，按照这种模式构建的应用层信任体系虽然对应用系统提供了强认证保护，但却各自为政，形成了一个个“孤岛”。

应用层信任体系的授权管理也是由应用系统各自完成的，各个应用系统对用户的标识方式，角色定义和授权方式都不相同，且只能对所属部门或单位的用户进行授权，一旦资源需要向其他部门的用户共享则会遇到不少困难。

而应用层的责任认定往往是以应用系统及其数据库的日志文件为基础，当用户进了应用系统之后可以通过这些日志信息来对行为进行追溯，可是一旦用户退出应用系统，其在网络上的行踪就不再能够被记录。

传统的应用层信任体系的信息安全解决方案是面向一个个应用系统、堡垒式的局部解决方案，形象地说是“各人自扫门前雪，休管他人瓦上霜”，只有在我的应用系统的服务范围内，我的信息安全保障才起作用，这严重阻碍了大规模互联互通和信息共享的真正实现。网络信任体系的建设正是有效的解决之道，它立足安全、支撑网络和应用，突破孤岛，建设面向业务服务、具有业务特征的业务网。

网络信任体系的模型

IP网是目前政务网络的承载网，网络信任体系就是要在IP网络的基础上构建一个统一的业务网络信任层，在该信任层上具备业务属性，能够与政务业务无缝结合，并支持政府业务在这个业务网络信任层上开展跨域和全局业务。

(一)内涵

业务网络层的模型如下图所示。

（1）使网络具有信任属性

接入网络的用户和应用资源要纳入统一的注册管理，成为可信的用户和可信的资源；用户在网络中有网络准入权和资源访问权，其权限的鉴权与访问控制完全基于用户身份；用户从进入网络、到访问应用全程行为都被记录，从而在网络层面实现了“身份认证、授权管理、责任认定”，使信任成为网络的一个属性。

（2）使网络具有业务属性

网络不再仅仅对IP、端口、DNS、流量、QOS等进行管理，更要对接入的用户和资源进行管理，从全网的角度为“互联互通、信息共享、业务协同”提供服务，使网络具备业务属性。

（3）使网络具备基本服务能力

使网络具备基于身份的认证、授权、鉴权、访问控制和责任认定等基本服务能力，供全网的接入用户和应用资源使用，同时也支持对其他服务的扩展。

（4）使网络具备支撑全局业务的能力

网络信任体系构建在网络层面，通过集中式管理、分布式部署可以为全网的真正连通提供保障，突破了“信任孤岛”，在此基础之上整合、提供数据交换、信息共享和业务协同等服务，解决异构、异源应用系统之间的信息交换与共享问题，突破了“信息孤岛”，使业务网信任层成为了能够支撑全程全网全业务的可信业务网络。

(二)外延

网络信任体系的建设需要统一的网络用户管理、统一的身份认证、统一的授权管理、统一的责任认定以及统一的密码策略支持，在这五个统一的背后还需要统一的元数据标准的支持。

网络信任体系中心平台的建设仅仅是网络信任服务的源点，而要使得信任服务真正延伸到各个部门，还需要各部门进行网络信任体系的接入。正如电力工业是国民经济的重要基础设施，那么网络信任体系中心就是是网络信任体系的发电厂，这个发电厂发出来的不是电，而是信任服务，包括身份认证、授权管理和责任认定三大功能，而这三大作用是通过这个发电厂建设的各种功能来提供的：统一用户管理功能、统一身份认证功能、统一元数据管理功能、统一授权管理功能、统一责任认定功能和统一密码策略支持。同时，正如发电厂需要通过输电、配电和供电网络和设备将电传递给千家万户，在千家万户通过适配（变压器）为各种用电设备提供电能一样，网络信任体系中心也需要有传输网络和各个部门的接入设备才能使得这种信任服务传输到各个部门，而信任接入设备正是连接部门用户、资源、应用系统和网络信任体系中心的桥梁。这些信任接入设备就包括了网关、访问控制服务、注册与授权等。

依托网络信任体系开发应用

(一)基于统一认证服务开发应用

网络信任体系的统一用户管理和统一认证服务为用户访问应用系统提供了基于强身份认证的访问接入控制。应用系统可以弱化自己的用户管理和认证部分，也可以保留自己的用户管理模块，但用户身份认证则由业务网络的网络信任体系统一进行，确保系统的安全性。

这样，从电子政务业务网上发起的对应用系统的访问，首先经过业务网的严格身份认证，通过认证，并且具有合法访问权的可信用户才能够进入到应用系统，获取相关的资源访问权限，或者进行相关的操作。可信用户的真实身份，由业务网负责向应用系统通知。

(二)基于统一授权管理开发应用

基于网络信任体系的统一授权管理开发应用系统时，应用系统只需完成各个功能模块的逻辑实现即可，授权则通过业务网络实现。对应用系统的授权分为接入级授权和模块级授权。

第一、接入级授权。将应用系统注册到业务网络上，此时是将应用系统作为一个整体，对部门、组（职务）、人员分别进行授权（这些部门、组、人员都已经在业务网上进行了统一的管理）。

第二、模块级授权。将应用系统的相关模块注册到业务网络上，此时是以每一个注册模块为引，对部门、组（职务）和人员分别进行授权。

用户访问应用系统时，网关先获取接入级授权，并进行鉴权，鉴权通过后，将用户的访问请求接入到应用系统；再获取该用户的模块级授权，对用户操作功能模块的行为，进行鉴权。

(三)基于统一的责任认定进行跨域应用行为审计

只有在网络层建立责任认定服务，才能全方位地的进行责任认定。用户上网、跨过了网络信任域、进出某应用系统、访问网络共享资源、进行信息交换和业务协同、对密码的调用等的全部可能网络行为都有记录，并基于网络的责任认定策略进行事后的责任追踪。这是可以全程追溯的认定模式，改变了应用系统把用户连贯的网络访问行为分成一个个片段，分别以不同格式、不同方式记录在不同应用系统中的模式。

(四)实现面向应用的可信共享资源管理

各部门的对外共享资源由各部门的管理员制作、组织、发布、授权并进行维护，并保存在本网内的网络注册与授权系统中，纳入业务网的统一授权管理，在统一资源管理下实现资源的可信发布和可信授权共享。

部门进行共享资源制作发布的流程示意如下图：

（作者单位：浙江省行政首脑机关信息中心）