丁浩
苏州市专业技术人员服务中心 江苏省苏州市 215002
摘要：随着现代互联网的迅速发展，各种各样的信息系统通过现代互联网得以广泛应用，使得信息系统更为高效和迅捷。苏州市人力资源和社会保障局（以下简称人社局）非常重视互联网的应用，很多人社业务通过互联网来办理，人社政策信息通过互联网发布，很多重要数据通过互联网完成传输。通过互联网的应用，不但可以让人社系统的各类政策实时发布出去，同时也为大众提供了办理各类业务的便捷途径。但互联网提供信息传递、业务开展的便捷的同时，也带来另一个严峻的问题，那就是如何保护这些重要信息资源的安全、信息流转的安全？目前，一般的互联网应用系统都存在这方面的安全隐患。
关键词：身份认证，信息安全
一、网络安全存在哪些问题
1、有效身份认证机制的缺失。
传统的认证模式一般采用用户名和口令的方式，这种方式在互联网时代存在巨大的安全隐患。具体表现在如下几点：用户口令具有一定的规律性，容易破解；②口令在互联网上传输，很多时候采用的是明文传输，易被截获；③用户名和口令一旦泄漏，则所有的安全防护机制就失效了；④多样的信息系统有专属的用户名和口令，对系统管理人员造成很大困扰，安全管理难度增加。
2、数据资源在互联网上传输的不安全性。
目前互联网应用系统所传送的数据包一般都是按照TCP/IP协议进行明文传输，而明文传输方式使数据资源很容易被窃取、篡改。
3、操作抵赖。
互联网应用系统一般是将现实世界的一系列实体操作转化为一个应用层面上的数据流操作，而应用层面上的数据流操作是可以被复制的，这就对操作的唯一性和可信性提出了挑战。
二、如何解决互联网应用系统的安全
信任是数据安全的基础，在数据传输缺乏信任的前提下，是无法实现互联网应用系统的安全，因此解决互联网应用系统安全的一个核心问题就是如何解决信息传输的信任问题，信任主要体现在下述几个方面：
1、强身份认证。
信息系统的信任基于确认系统的参与者身份，对身份必须要做一次认证。身份认证是安全保障的第一道防线，也是后续添加安全措施的依据和基础，如果第一道防线被突破，应用系统会无法认清真正的参与者，那么后续无论添加多少安全措施都是无效的，因此第一步身份认证机制的强度很大程度上能够决定应用系统的安全级别，对于一个直接面对非内网用户使用的应用系统，如果第一步身份认证的强度不够，根本起不到任何安全防范作用，而对于应用系统来说，无异于将信息资源直接放到互联网上。因此，身份认证机制不在于多少，而在于强弱。目前人社局正在使用的人事预算信息管理系统等应用都采用了基于PKI的数字认证。
2、数据传输的秘密性和完整性。
一方面，认证机制越强，应用系统的效率越低。一般应用系统的参与者在和应用系统的交互中，不是每次都需要身份认证的，而是根据第一次身份认证的凭证来辨认应用系统的参与者。这种认证方式，在真正的应用系统参与者通过认证后，后续容易被不法分子窃取用户的认证凭证，冒充真实用户访问应用系统，从而非法获取关键信息，实施一些破坏手段，而应用系统往往无法识别。因此强身份认证以及后续的信息传输都需要做好加密工作。
另一方面，互联网应用系统数据被窃取会造成很大损失，必须要提高互联网信息传输过程中的加密强度，保证信息传输的安全性。重要的应用系统信息在互联网上明文传输，容易被窃取，这种情况下，即使整个网络上有再多的安全设备，添加再多的安全策略，也不起作用。应该对采用互联网传输的应用系统数据进行全程加密，保证数据完整性和秘密性。
3、不可抵赖性。
不可抵赖性是信任的关键因素，也是关键约束，是对产生结果的认可和保障。
如果发生意外情况，无法追究责任，那么之前所做的一切安全保障就不起作用了。现实生活中，人们已经用“签字”、“盖章”、“画押”等手段形成了一套不可以抵赖的方式方法，在互联网世界中，数字签名技术也成为公认的不可抵赖性得以实现的最优方案。
三、采用安全认证网关解决安全认证问题
综合考量目前市场上众多的数字认证产品，我们采用了安全认证网关来解决互联网应用系统的安全认证问题。以《苏州市人社局人事预算信息管理系统》为例，进行安全认证方面的论述。
安全认证网关（SSL安全网关）为网络应用提供基于数字证书的高强度身份认证服务、高强度数据链路加密服务及数字签名及验证服务，可以有效保护网络资源的安全访问。支持HTTP、HTTPS的B/S应用以及FTP、远程桌面等通用的C/S应用。安全认证相关的SSL、证书认证机构、数字证书、LDAP、黑名单、Radius
、802.1x数字签名等都是安全方面的有效措施。
四、人事预算信息管理系统
1、应用需求
人事预算信息管理系统（以下简称预算系统）是基于公网的网上管理系统，上线运行后，极大地提高了管理、审批效率，在安全措施上，也采取了单位数字证书实现有效的身份认证机制，但网络安全形势日益严峻，一些安全隐患也逐渐凸显。
2、实施规划
基于目前预算系统的数据特点，安全网关是不可或缺的。在预算系统使用者和服务器之间，部署安全认证网关，网关的外网口和系统使用者的网络连接，内网口和信息管理系统的服务器相连。由于预算系统的服务器通过内部网络与网关连接，因此预算系统的使用者与服务器连接被网关隔离了，预算系统的使用者只知道安全认证网关的地址，他们不能直接访问到预算系统的服务器，只有通过安全认证网关才能访问到预算系统。
完成安全认证网关的部署后，预算系统在安全性就得到了很好的保障。使用者必须通过安全认证网关认证加密后才能访问到应用系统，同时安全认证网关将预算系统的服务器和外界隔离，避免了非法用户对预算系统服务器的直接攻击。采用如上图的部署相对于其他部署方式，带宽的利用率更高。
出于预算系统高可靠性运行的需要，预算系统运用了双机热备机制，一台主机，一台备机，两台机器都与网络连接，设备之间使用交叉线连接热备口进行状态检测，在正常情况下由主机提供服务，当主机发生异常时，系统会自动切换到备机进行服务。
3、安全认证的工作机制
安全认证网关是相对独立的，为预算系统提供了统一的安全认证机制，其中包括了数字签名技术、加密解密技术、身份认证技术等。在预算系统安全认证体系中，各个部门之间的关系如下：
（1）预算系统使用者和人社局工资处：预算系统使用者请求人社局工资处对使用者的身份进行审核，预算系统的使用者按照人社局工资处的要求将自己的正确完整的信息提交给人社局工资处，人社局工资处在收到预算系统使用者的确认审核后，将信息申请提交给人社局信息中心，这样就得到了第二次认证关系。
（2）人社局工资处和信息中心：人社局工资处实际上就是一个信息收集审核中心，人社局工资处将收集来的安全可靠的用户身份确认信息发送给人社局信息中心。在人社局信息中心得到准确、可信的预算系统使用者的信息之后，便完成最终审核为预算系统使用者发放数字证书，并完成根据需要绑定其所需要的应用系统。
（3）信息中心负责预算系统的安全认证数字证书的签发，绑定，注销。当然信息中心证书管理员同样也是通过强身份认证后，才能取得管理员权限，这样进一步加强了预算系统的安全性，在源头上杜绝了非法操作者的隐患。
五、总结
互联网+时代，网络安全的重要性不言而喻。那么安全认证则显得尤为重要。在网络安全方面仅仅依靠安全设备是有所欠缺的，还需要安全认证来完善网络安全保障工作。