浅谈电子政务系统的安全防护技术

摘　要：近年来，在党中央、国务院的大力推动下，我国电子政务开始进入全面实施阶段，电子政务建设成为一项覆盖各级政府部门的、大型复杂的系统工程。在电子政务系统中，政府机关的公文往来、资料存储、服务提供都以电子化的形式实现，但在提高办公效率、扩大政府服务内容的同时，安全问题给电子政务工程的规划、设计、组织和实施带来了巨大的挑战。本文将从安全技术的角度，探讨有关电子政务系统中的安全防护技术问题。

关键词：电子政务；安全防护
　　一、电子政务系统安全管理的意义
　　在2004年国家信息化领导小组正确领导下和各级政府的积极努力下，我国电子政务在基础环境建设、业务系统应用和信息资源开发等方面取得了重要进展，为带动国民经济和社会信息化、促进政府职能转变起到了积极作用。　
　　电子政务的最终目标是建设政府办公自动化、面向决策支持、面向公众服务的综合平台。它作为信息网络的一个特殊的应用领域,不但运行着大量数据和信息,同时信息内容又具有高保密性、高敏感度。因此电子政务系统一方面要求考虑政府内部网络的安全,另一方面要求考虑面向公众服务的网络安全。所以,电子政务网络安全保障体系有很高的安全需求。
　　二、电子政务中存在的安全问题
　　1．物理安全
　　保证计算机信息系统各种设备的物理安全是整个电子政务系统安全的前提。物理安全是指保护计算机网络设备、设施以及其他媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。电子政务系统采用的计算机硬件虽然在功能上有了很大的提高，但它毕竟属于高度精密的仪器，任何开发时的疏忽以及实际运行时的震荡、静电、潮湿、过热等情形都可能使其受到严重的损伤。具体来说，电子政务中的物理安全主要包括以下几个方面。一是系统运行中的安全隐患，主要包括电源问题、水患与火灾、电磁干扰与泄露以及其他的环境威胁。二是物理访问风险与控制。物理安全威胁不单来自于环境，还来自于人为操作失误及各种计算机犯罪行为。三是电子政务信息系统的场地与设施安全管理。
　　2．系统安全
　　(1)硬件系统安全的问题。电子政务系统的主要特征就是大量采用信息系统支持政务活动，而信息系统首先表现为各种各样的物理设备，比如计算机、磁盘、网络设备等。如果这些物理设备遭到损毁，整个系统就不可避免地会受到严重的影响。因此，首先考察硬件系统的安全问题。
　　(2)软件系统的安全问题。软件系统是电子政务系统的灵魂，因此保证软件系统的安全运行、降低因软件问题导致的系统风险对电子政务系统来说至关重要。
　　(3)网络系统安全。网络系统虽然也是由硬件系统和软件系统组成的，其特有的几个安全问题是：①口令安全。随着电子政务系统的应用，口令成为政务工作中的一部分。系统口令一般由用户自行设置，如果安全意识不强，则会存在较高的风险。②网络监听。因为网络嗅探器可以检测到网络的流量、通信协议、信息来源、报文长短、通信周期，进而截获通信数据，所以对网络中的账户、口令等有较大的危害。③拒绝服务(DoS)攻击。oDS的目的就是拒绝用户的正常访问，破坏系统的正常运行，甚至使电子政务网络系统失效。最基本的oDS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。④电子欺骗攻击。电子欺骗指在网络上通过伪造可信任地址的数据包，得到不该信任的信任关系。网络通信中通信双方通过认证和信任两个前提进行。常见的电子欺骗有IP欺骗、DNS欺骗、ARP欺骗、WEB欺骗等。
　　3．信息安全
　　数据是电子政务的核心资源之一，因此其安全问题也格外重要。软件、硬件的损毁虽然可以使政府的正常业务中断，但一般在重新购置系统后仍能恢复，而政府核心数据的损毁却是不可恢复的致命灾难。
　　4．管理安全
　　(1)组织管理措施。对于电子政务系统来说，要想做到合理分工，一个核心的原则就是在实际建设和应用电子政务系统时把系统的设计者、管理者、操作者、利害关系者等角色分开，尽量避免一个人同时具备多个角色。除合理分工外，牵制也是必须考虑的问题。
　　(2)人力资源管理。政府的人力资源管理情况也会在很大程度上影响电子政务的安全。一是对人员的安全教育和保护。从安全角度看，企业的员工不仅仅是潜在的威胁，也是安全制度的执行者和保护对象。二是对内部成员的安全防范。多项针对系统安全事件调查的结果表明，绝大多数安全事件是由受害组织的内部员工实施的。
　　三、电子政务系统中的安全防护技术
　　通常的安全技术涉及到加密技术、鉴别和认证技术、访问控制技术等几个方面的内容。下面我们就分别看看这几个方面的安全技术：　
　　1．加密技术
　　加密技术是解决网络信息安全问题的技术核心，通过数据加密技术，可以在很大程度上提高数据传输的安全性，保证传输数据的完整性。
　　数据加密技术主要分为数据传输加密和数据存储加密。
　　常用的数据加密算法有很多种，密码算法标准化是信息化社会发展得必然趋势，是世界各国保密通信领域的一个重要课题。按照发展进程来分，经历了古典密码、对称密钥密码和非对称密钥密码阶段。古典密码算法有替代加密、置换加密；对称加密算法包括DES和AES；非对称加密算法包括RSA、背包密码等。目前在数据通信中使用最普遍的算法有DES算法、RSA算法和PGP算法等。
　　如今普遍使用的加密算法，在可靠性和效率方面各有千秋。在具体的应用中，还须根据具体需求对这些加密技术进行取舍。总之，目前加密技术的发展，已经能在极大程度上保证敏感信息的机密性和完整性。
　　2．认证技术
　　为保证信息传递的安全性、真实性、可靠性、完整性和不可抵赖性，不仅需要对用户的身份真实性进行鉴别，同时也需要有～个具有权威性、公正性、可信任的机构，负责向电子政务的各个主体颁发并管理数字证书，这样一个机构就是CA认证中心。
　　CA认证主要解决了信息交互参与各方的主体身份、资信认定等问题。通过持有CA认证中心颁发的可信任数字证书，信息交互参与各方身份的真实性得以保证。而借助CA认证中心颁发的可信任数字证书，还可以对敏感信息进行加密或签名，进一步维护信息的保密性、完整性。
　　使用建立在公开密钥加密技术基础上的数字签名 技术，能够验证发送方的标识并保护数据的完整性。事实上数字签名不是一种具体的技术实现，它是基于上述各种加密技术组合的解决方案。数字签名是目前电子商务、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法。数字签名技术采用了规范化的程序和科学化的方法，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。
　　3．访问控制技术
　　现代访问控制技术发展开始于二十世纪六十年代。访问控制就是通过某种途径准许或限制访问权利及范围的一种方法，通过访问控制服务可以限制对关键资源的访问，防止非法用户的入侵或因合法用户的不慎操作所造成的破坏。访问控制也是信息安全理论基础的重要组成部分。目前的主流访问控制技术有：自主访问控制(Dis—cl’etionaryAceessContro1)、强制访问控制(MandatoryAccessContro1)、基于角色的访问控带4(Role—basedAccessContro1)。
　　结合电子政务系统的自身特点，基于角色的访问控制的优势会越来越突出，将具有非常广阔的前景。其基本思想就是通过将权限授予角色而非直接授予主体，主体通过角色分派来得到客体操作权限，从而实现授权。由于角色在系统中具有相对于主体的稳定性，并更为直观，从而大大减少系统安全管理员工作的复杂性。
　　四、总结
　　总结起来，整个电子政务安全环境包括以下部分：基础安全服务设施、网络信任域基础设施、网络安全支撑平台产品和容灾备份系统四部分组成。整个电子政务的安全，涉及信息安全产品的全局配套和科学布置，产品选择应充分考虑产品的自主权和自控权。产品可涉及安全操作系统、安全硬件平台、安全数据库、PKI／CA、PMI、VPN、安全网关、防火墙、数据加密、入侵检测(IDS)、漏洞扫描、计算机病毒防治工具、强审计工具、安全邮件、内容识别和过滤产品、安全备份等等诸多方面。
　　电子政务的安全目标是，保护政务信息资源价值不受侵犯，保证信息资产的拥有者面临最小的风险和获取最大的安全利益，使政务的信息基础设施、信息应用服务和信息内容为抵御上述威胁而具有保密性、完整性、真实性、可用性和可控性的能力。 本文链接：http://www.qk112.com/lwfw/jsjlw/jisuanjiyingyong/241683.html