PKI技术在国库支付电子化中的应用

仝世君王 辉.中国武装警察部队学院部队管理系；.河北省廊坊市财政局仝世君（978-）女，硕士，从事计算机应用教学与研究；王辉（978-）男，本科，从事财政信息化研究。



PKI技术在国库支付电子化中的应用

仝世君1王 辉2
1.中国武装警察部队学院部队管理系；2.河北省廊坊市财政局仝世君（1978-）女，硕士，从事计算机应用教学与研究；王辉（1978-）男，本科，从事财政信息化研究。

link

评估值18万

appraisement

行业曲线

industry

随着我国经济建设的飞速发展，财政资金支出的业务量不断增加。现有的国库集中支付系统，不仅工作效率低，而且在财政资金的支付过程中存在着一定的安全隐患。利用计算机技术和网络通信技术，建立以PKI体系结构为安全支撑的电子化支付业务流程，可以提高工作效率，提升财政资金运行效率，加强财政资金的监管力度。

随着当代计算机技术以及网络通信技术的发展，财政系统的信息化建设受到更多的重视。在国库集中支付制度改革的深化过程中，对财政资金支付的安全性和工作效率提出了更高的要求。建立以PKI体系结构为安全支撑的电子化支付业务，可以提高工作效率，提升财政资金运行效率，加强财政资金的监管力度。

公钥基础设施PKI

公钥基础设施（Public Key Infrastructure，简称PKI），可以看作是计算机网络中信息安全领域的基础设施，它是运用公钥密码理论和技术建立起来的用来实施和提供各种安全服务的网络安全基础设施。目前，PKI是网络安全建设的基础和核心。PKI技术通过数字证书管理用户的公共密钥，利用可信的第三方证书认证机构（Certificate Authority，简称CA），把用户的公钥和真实的身份信息绑定在一起，生成用户的公钥证书，通过这个证书可以在网络上验证用户的身份。

PKI可以达到对数据的保密性、完整性的保护，以及进行身份认证和对操作的不可否认性。当数据在网络上进行传输时，机密信息不会泄露给非法接收者，也不会在中途被篡改或重复发送，对数据源的身份可以进行认证，来保证身份的真实性，而且通信的各方不能对自己在网络上的操作行为进行否认。PKI系统的目的就是通过自动管理密钥和证书，给用户建立安全的网络环境，保证用户可以在多种环境下方便的使用加密、数字签名技术和电子印章技术，保护在计算机网络上信息的安全传输。

PKI是基于公共密钥密码体制的，但在实现上一般会综合使用多种密码技术，比如对称和非对称的密码体制、消息认证、数字签名、数字信封、多重数字签名等。PKI系统的安全服务包括身份的认证、数据的安全、防抵赖以及时间戳的服务。

国库支付中存在的问题

2003年，按照财政部的统一部署，河北省定位了国库集中支付（直接支付，授权支付）零余额模式， 并在省市两级实施，逐步推广到各县区。2010年实现省、市、县三级全覆盖。历经10年，省级代理银行从4家增加到11家，涉及的支行也从石家庄市扩展到全省所有的市县，仅省级直属单位明细支出业务从几千笔增加到几十万笔。

财政的资金拨付过程一般都是财政业务人员送纸质单据到人行或代理银行柜台，人行或代理银行柜台业务员核对纸质凭证和电子数据无误后，再进行资金转账。随着业务量的增大，在这种纸质单据和电子数据核对的资金管理模式中，存在着以下几个主要问题。

（1）在电子数据与纸质凭证管理并存的情况下，存在大量手工纸质单据的传递和核对工作，使得财政资金支付不及时、信息反馈不及时。

（2）人行或代理银行依托财政和预算单位预留印鉴进行支付比对，人工验证支付凭证有效性的工作量很大，超出人工处理极限，增加了资金安全隐患。

（3）现有的资金管理模式没有真正实现链条式管理，外部无法验证财政内部的多岗审核。

（4）现有业务系统没有建立防抵赖、防篡改的电子凭证保存机制。

这些问题的存在造成了现有的国库集中支付系统，不仅工作效率低，而且在财政资金的支付过程中存在着一定的安全隐患。

国库支付电子化设计方案

国库电子支付涉及财政与人民银行（以下简称人行）、财政与代理银行、财政与预算单位、预算单位和代理银行之间的业务。通过在财政、人行和代理银行部署电子凭证库，为各方业务系统提供调用的接口，在现有业务系统数据完整性的基础上，将各方业务与电子凭证库衔接，实现对电子单据的电子签章和验章，并形成电子凭证。参与业务的各方在电子凭证库间进行电子凭证的交互，代替现有的纸质凭证的传递。

电子凭证库包括电子印章系统、签名服务器以及消息中间件软件系统。电子凭证库基于PKI/CA安全体系（图1），实现电子凭证的电子签名（章）、传输、验证。电子凭证的打印查询功能可以满足财政、人行、代理银行对纸质凭证的管理要求。

图1 电子支付的PKI安全体系

在财政端，国库集中支付系统调用电子凭证库服务接口，实现和财政端电子凭证库之间的数据交换。通过专用网络，财政端的电子凭证库和人民银行（代理银行）的电子凭证库之间的业务流程为凭证签章、凭证发送、凭证回单登记。

（1）凭证签章

国库集中支付系统在支付过程中需要填制凭证，然后调用国库集中支付系统客户端的签章控件对凭证进行签章，通过电子凭证库接口将签章凭证保存到电子凭证库。如果是多岗签章业务，从第二岗开始，签章控件自动对凭证进行复核验证。

（2）凭证发送

国库集中支付系统调用电子凭证库服务接口将签章凭证通过消息中间件发送给人行（代理银行）。

（3）凭证回单登记

国库集中支付系统调用电子凭证库接口读取人行（代理银行）反馈的回单或人行（代理银行）产生的凭证，按照不同的业务流程分别登记处理。

电子凭证库用于存放电子凭证并提供电子凭证库的模板管理。通过保存电子凭证，代替纸质凭证来保存帐目，并且通过签章实现电子凭证的安全传输。国库集中支付客户端签章控件和电子凭证库通过电子凭证库服务接口实现电子凭证的管理。

国库支付电子化运行环境

国库支付电子化的环境运行要求在网络环境和硬件支持两个方面。网络环境方面，财政和人行、代理银行间建立专线连接方式，为了保证业务稳定安全的运行，采用双线路方式建网。硬件支持方面，电子支付安全控件运行需要的硬件设备主要有数据库服务器、应用服务器、USBkey等，具体信息如表1所示。电子凭证库数据库服务器、消息中间件服务器、电子凭证库服务器、电子印章服务器和签名服务器采用双机热备方案。

表1 安全控件主要硬件设备

签名服务器提供数字签名、数字信封等服务，满足业务操作的不可抵赖、信息完整性、私密性等要求。财政部CA通过各级的证书注册机构RA系统为财政业务人员提供证书的申请、下载、注销以及更新等服务。签名服务器为财政端的电子凭证库提供数字签名和验签服务功能，在签名服务器中导入财政CA的根证书（公钥）和颁发给人行或代理银行的证书。

电子印章系统用可视的电子印章代替晦涩的数字签名，在业务处理过程中更加直观，同时也可以达到对业务操作的不可抵赖，不可篡改等目的。电子印章系统为财政端提供电子印章的制作和管理功能，维护和存储财政端的印章，并提供签章和验章服务；对人行或代理银行的印章进行备案，保存人行或代理银行需要在财政备案的预留印鉴，在接收凭证时对已备案的电子印鉴进行验证。

消息中间件服务器采用队列消息处理机制，为国库支付业务处理提供同步和异步传输处理、存储转发、可靠传输等技术支持，确保消息能够安全、可靠的送达。

时间戳服务器提供时间戳的制作，同步系统时间，记录业务处理的时间流程并留存归档。

结语

以PKI安全体系结构为技术基础，通过在财政、人行和代理银行建立电子凭证库，并为各方业务系统提供调用接口，在不破坏各方现有业务系统数据完整性的基础上，实现电子单据的签章、验章，并对电子凭证进行留存，为财政资金提供更加安全的支付方式，同时降低财政资金的运行风险，提高工作效率。

10.3969/j.issn.101- 8972.2016.12.009