高速公路省级在线密钥管理系统设计研究

张 华，吴壮松

(广西交科集团有限公司，广西 南宁 530007)

0 引言

2019年，全国高速公路取消省界收费站，大力推广ETC，使ETC业务得到了前所未有的普及。同年初，交通运输部开展了全国高速公路联网电子不停车收费(ETC)系统国产密码算法迁移改造工程(以下简称为国密改造)，要求各省下属所有终端业务系统统一接入高速公路省级在线密钥管理系统，并统一出口接入到部中心的在线密钥管理与服务平台，争取早日实现高速公路密钥体系国产化[1]。当前广西在用的密钥管理系统是2012年部署的高速公路ETC密钥管理系统，该系统仅仅支持3DES算法，不支持SM4算法和密钥的在线管理，为此，需重新设计一套高速公路省级在线密钥管理系统，对上能够安全、有效、稳定地接入部级在线密钥管理与服务平台，对下能提供一套符合国密改造要求的API接口，供终端业务系统调用，实现由终端到省级，再由省级到部级的对接。

1 相关术语简介

(1)3DES算法：也称为Triple DES，是三重数据加密算法(TDEA，Triple Data Encryption Algorithm)块密码的通称，称之为国际算法[2]。

(2)SM4算法：是国家密码局认定的国产密码算法，是我国自主设计的分组对称密码算法，用于实现数据的加密/解密运算，以保证数据和信息的机密性。SM4算法的密钥长度分组长度为128比特，在安全性上高于3DES算法[3]。

(3)终端业务系统：是省内高速公路收费业务相关的系统，主要包括OBU/ETC发行系统、CPC卡发行系统、客服系统、车道收费系统、门架系统、APP应用、小程序以及银行代理等第三方业务系统。

(4)OBU：车载单元，也叫车载电子标签。

(5)ETC：电子不停车收费系统。

(6)PSAM：消费安全存取模块。

2 系统需求简介

根据交通运输部技术要求，在原部省两级密钥体系的基础上，对省内各终端业务系统开放统一的API接口，实现终端业务系统到省级密钥管理系统，再到部级在线密钥管理与服务平台的对接。因此系统需满足以下三个方面的需求：

(1)对外统一出口。密钥管理系统使用省级聚合接入服务器，通过专线网络接入到部级在线密钥管理与服务平台，保证通信的安全性、有效性和稳定性，满足CA证书接入，国密SSL网关处理，应用握手和数据的加解密功能。

(2)对内统一入口。根据国密业务功能，提供一套完整的、实时响应的在线API接口，供终端业务系统调用。提供的服务主要有：CPC卡、ETC用户卡发行密钥服务；单/双片OBU发行密钥服务；客服接口服务；在线充值接口服务；联机消费接口服务；PSAM授权服务等。

(3)内部具备密钥管理功能。系统内部实现管理员、角色、权限管理；操作日志管理；业务系统接入认证；访问权限管理；PSAM卡出入库管理等功能。

3 系统设计

3.1 总体架构

国密改造工程涉及的系统由部级在线密钥管理与服务平台、省级在线密钥管理系统以及终端业务系统组成。总体架构如图1所示。

图1中，国密改造项目分为：部级、省级和终端三个层次。其中，省级在线密钥管理系统采用B/S架构部署，由以下三个部分组成：

图1 在线密钥管理系统架构图

(1)省级PSAM授权服务器。交通运输部ITS中心专供服务器，集成了安全模块和在线授权应用服务，提供高并发的PSAM授权服务，保证车道和ETC门架系统的收费业务不中断，能为省级PSAM授权业务提供多重保障，减轻对部级在线密钥平台的依赖。

(2)省级聚合接入服务器。交通运输部ITS中心专供服务器，也叫省级专用接入服务器，集成了行业CA证书、国密SSL、应用握手和加解密功能，兼具了省级接入前置系统、SSL网关、签名验签服务器和加密机的作用。省级专用接入服务器利用线程连接池等支持高并发应用技术，调度和协调省级业务系统的大量业务请求，避免业务请求直接发送至部级在线密钥平台，从而导致带宽被占用等异常情况。省级专用接入服务器采用双层加密通信机制，在通信协议层使用国密SSL协议实现传输加密，在应用层采用标准PBOC三次握手机制实现终端认证，获取会话令牌和会话密钥，对业务数据进行硬件级加解密，从而保障了传输和数据安全。

(3)密钥管理服务。作为各个终端业务系统和部级在线密钥管理平台交互的桥梁，统一各类业务交易的出入口，提供HTTPS/post接口，签发CA证书给终端业务系统接入，实现各类交易统一管理，同时可在WEB端登录密钥管理系统，进行系统各项日常操作，实现人机交互的密钥管理功能。

3.2 系统层次架构

(1)省级在线密钥管理系统的核心部件，主要由省级聚合接入服务器、省级PSAM授权服务器、数据库以及提供给终端业务系统的接口API部件组成。

(2)终端业务系统调用省级在线密钥管理系统提供的API，实现相关功能。

(3)省级在线密钥管理系统接收到终端业务系统请求后，根据业务类型，转发请求至聚合接入服务器，然后连接到部级在线密钥平台实现相关业务功能，或者转发至省级PSAM授权服务器实现PSAM卡的授权功能。系统层次架构如图2所示。

图2 系统层次架构图

3.3 设计思路

设计思路及处理流程采用业务与模块分离、低耦合原则。分离后通过接口通信实现各模块之间的交互，如图3所示。

图3 总体设计思路图

3.4 功能设计

3.4.1 管理员、角色、菜单管理模块

该模块具备如下功能：

(1)实现用户管理：对用户进行增删查改，同时赋予用户某个角色，具有对应的权限。

(2)实现角色管理：初始化系统角色，并分配角色所拥有的权限，不可新增角色，不可修改角色所拥有的权限。

(3)实现菜单管理：初始化系统菜单、权限。拥有权限的用户可操作对应的权限接口和页面。

本模块与其他模块的接口主要为权限查询接口，用于检查该用户是否具有某项权限的执行能力。

3.4.2 系统配置、字典管理模块

该模块具备如下功能：

(1)实现系统配置管理：可对系统配置增删查改。

(2)实现字典管理：实现字典的增删查改。

本模块与其他模块的接口主要为动态加载配置。

3.4.3 操作日志管理模块

主要实现用户操作日志的管理，登记用户操作日志，方便用户实时查看，辅助问题跟踪以及解决。本模块与其他模块的接口主要为调用日志记录接口，登记用户操作日志到数据库表中。

3.4.4 业务系统认证管理模块

业务系统认证管理模块主要有以下五个功能：

(1)实现业务系统认证管理：可对业务系统增删查改，同时赋予业务系统可访问的接口模块，具有对应接口的访问权限。

(2)实现CA证书管理：赋予业务系统相关的CA证书，并提供证书认证、注销、下载等功能。

(3)实现业务系统IP白名单管理：管理业务系统所在服务器对应的IP地址、对于需验证的业务系统进行IP地址验证。

(4)接口模块管理：对接口模块进行增删查改管理，实现接口模块所拥有的接口访问权限。

(5)接口映射管理：实现接口映射的增删改查管理。

本模块与其他模块的接口主要为权限查询接口，用于检查业务系统是否具有接口模块对应接口的访问能力，校验接口访问的合法性。

3.4.5 PSAM卡管理模块

主要实现PSAM卡的出入库、调拨、审批、回收等管理。本模块与其他模块的接口主要为调用IC卡读写器，读写PSAM卡信息。

4 关键业务流程

4.1 业务系统登记注册

任何需要接入到省级在线密钥管理系统的终端业务系统，均需在系统进行登记注册，登记信息包括：系统名称、联系人信息、系统IP(白名单)、系统归属公司、申请调用的API接口功能模块信息等。管理员在登记完这些信息后，生成CA证书、系统ID号以及系统密钥信息，提供给终端业务系统，终端业务系统登记这些信息后，可以发起接入密钥系统申请，接入验证成功后即可调用对应的API接口服务实现对应的业务功能。

4.2 业务系统接入认证

终端业务系统与省级在线密钥管理系统交互之前，应先根据自身业务情况向省级在线密钥管理系统发起接入认证申请，省级在线密钥管理系统在对终端业务系统鉴权通过后，会返回一个动态的工作密钥，该密钥可持续使用。终端业务系统在后续的请求中，使用该密钥对报文请求字段进行SM4算法ECB模式加密，形成一个摘要信息，随请求参数一起发送到省级在线密钥管理系统，业务流程如图4所示。

图4 业务系统接入认证流程图

4.3 业务系统调用API流程

终端业务系统申请接入密钥管理系统成功后，即可发起请求调用密钥系统提供的API接口，业务流程如图5所示。

图5 业务系统调用API流程图

5 数据交互

数据交互主要是终端业务系统与省级密钥管理系统的通信接口。

5.1 通信方式

(1)数据交互采用基于HTTPS的传输协议。

(2)传输的数据使用JSON格式进行表示。

(3)请求方式：POST/JSON。

(4)服务端统一下发CA证书给客户端进行通信验证。

(5)编码方式：UTF-8。

5.2 数据安全

为保证数据安全，通过统一约定的SM4算法ECB模式对关键数据进行数字签名，生成摘要信息，随请求参数一起发送到省级在线密钥管理系统，由服务端校验，确保数据的安全性和完整性[4]。

6 结语

国密改造是交通运输部的重点改造工程项目，全国各省、自治区、直辖市应大力配合。文章对省级在线密钥管理系统进行了深入、系统化、多层次的研究，分析了系统的各个设计要素，出色完成了系统的设计工作。这套密钥管理系统对高速公路国密改造的门架系统、车道收费系统、OBU/ETC发行系统、CPC卡发行等系统的正常运行起到了保驾护航的作用。