电子签名与原始凭证电子化项目解决方案V1.2

《电子签名与原始凭证电子化项目解决方案V1.2》由会员分享，可在线阅读，更多相关《电子签名与原始凭证电子化项目解决方案V1.2（28页珍藏版）》请在金锄头文库上搜索。

1、 下载可编辑 财务财务管控系统电统电子签签名及原始凭证电证电子化 解决决方案 2013 年 7 月 下载可编辑 目录录 目录录 2 1 背景 3 2 应应用现现状状 3 2 1 广西财务管控应用情况 3 2 2 安全需求 4 2 3 扩展需求 4 下载可编辑 3 电电子签签名 4 3 1 定义 4 3 2 功能 4 3 3 原则 5 3 4 原理及流程 6 3 4 1 实现原理 6 3 4 2 签名流程 7 3 5 解决方案 7 3 5 1 身份认证 7 3 5 2 认证集成 9 3 5 3 PKI CA 集成 10 3 5 4 安全设计 11 3 5 5 数据存储 13 4 原始凭证电证电子

2、化 16 4 1 应用需求 16 4 2 目标思路 16 4 3 解决方案 18 4 3 1 文件归集 18 4 3 2 集中存储 19 4 3 3 智能识别 20 4 3 4 文件查询 20 4 4 应用价值 22 下载可编辑 5 配合事项项 22 6 服务务支持 22 下载可编辑 1 背景 随着政府及各事业单位信息化管理理念提升和自身经济的发展 各大中小 型企事业单位急需将信息化系统与其业务深度结合 信息化的安全性保障必将 是下一步信息系统深入应用的重点 而作为各类业务系统中保障信息化安全性 的重要环节 电子签签名越来越多的被深入应用 电网企业资金量大 流动频繁 在业务审批环节加强安全节点

3、控制 更加 显得尤为重要 目前广西电网已经深入使用了远光财务管控系统 在各业务部 门进行单据流转以及财务集中审批的过程中 为进一步提高系统安全管理 除 建立严密有效的内部审批制度 完善内部审批程序外 更加需要同步在信息系 统中保证资金业务的安全 高效 防范风险 在现有安全模式基础上 特引入 电子签名安全机制 加强审批环节安全节点的控制 2 应应用现现状状 2 1 广西财务财务管控应应用情况况 从 2011 年 12 月 1 日至 2012 年 1 月 20 日 广西电网已顺利完成了财务 管控系统在南宁 柳州供电局的试运行工作 在试点单位成功上线运行的基础 上 公司于 2012 年 1 月 20

4、 日启动了其余 12 个供电局和 1 个运维局的系统上 线工作 截至 2012 年 8 月底 已将系统试运行范围延伸至 4 个分公司 7 个直 属单位与 44 个县级供电企业 系统使用范围覆盖母公司范围内及县级供电企业 所有单位 下载可编辑 截至目前 广西电网已完成了所属 69 家单位的资金系统上线运行工作 初步实现涵盖资金监控与调度 计划与执行的全过程管理的基础 2013 年将以 资金 收支两条线 为管控基础 以银行账户标准化 资金流程信息化 安全检 查常态化为着力点 充分利用资金调度与监控系统等信息化手段 全方位开展 资金全过程管理 对管控系统在安全和效率方面提出了更高的要求 2 2 安全

5、需求 作为全网资金调度与监控平台 安全性应该是系统建设的首要考虑因素之 一 目前主要是通过用户名及密码 以及权限控制用户操作 虽然系统内部也 有很严格的数据逻辑控制 但是从风险防范的角度来看 风险值设置还是相对 较低 系统安全机制还有很大的提升空间 在加强风险控制方面 建议在引入 第三方认证软件 确保资金数据的安全 2 3 扩扩展需求 2013 年是广西电网公司 管理提升年 结合公司经营特点及资金管理现状 以 保安全 提效益 促发展 为核心的指导思想为指导 在保障资金安全的前 提条件下 提高资金使用效率 也显得尤为重要 所以本文将就电子签名和原始凭证电子化展开论述 并提供详细的解决方 案 下载

6、可编辑 3 电电子签签名 3 1 定义义 电子签名是指数据电文中以电子形式所含 所附用于识别签名人身份并表 明签名人认可其中内容的数据 通俗点说 电子签名就是通过密码技术对电子 文档的电子形式的签名 并非是书面签名的数字图像化 它类似于手写签名或 印章 也可以说它就是电子印章 3 2 功能 1 对电子文档进行电子签章 手写签名 键盘批注 保证电子文档的完 整性 2 如果文档被修改 电子签章会通过界面的变化 变灰 来提示用户文档 不可信 3 可以设定电子印章的打印方式 保证打印文本不受电子印章影响 4 通过硬件 EKEY 盖章来进一步提高安全性 5 服务器端集中管理电子印章和 EKEY 保存印章

7、和 EKEY 来源的可靠 性 6 服务器端用户印章和 EKEY 权限系统 可以设定用户使用印章和 EKEY 的权限 保证用户的合理应用权限 7 服务器端的电子印章日志和审计系统 8 客户端用户登录可采用用户名密码方式或强制使用 EKEY 登录方式 9 客户端验证电子印章时 不仅验证文档印章 还可和信任服务器存储 下载可编辑 记录进行比对 验证印章的操作合法性 3 3 原则则 由于电子签名的形式具有多样性 因采取的技术方案不同 其可靠性 正 确性 稳定性可能会有较大的不同 因此导致了其法律效力也不应在同一水平 上 而 功能等同原则 可以较好地解决这一问题 其基本模式有三个 第一 只有符合一定条件

8、的电子签名才具有与传统签名同等的法律效力 第二 不同模 式和特性的电子签名以其稳定性 可靠性 真确性为标准对应不同的法律效力 第三 达到相应要求的电子签名即可具备与传统签名等同的法律效力 而不管 具体的技术解决方案是什么 以此作为判断电子签名是否具有法律效力的依据 减少了电子技术的多样性对电子签名效力造成的不稳定影响 3 4 原理及流程 3 4 1 实现实现原理 下载可编辑 3 4 2 签签名流程 3 5 解决决方案 远光财务管控系统 在企业内部进行业务单据流转传递时候引入电子签名 在客户端签章用户使用盖章工具盖章时 印章来源都是从所连接的信任服务器 中数据库调来 且每一个独立的用户都使用自己

9、唯一的 KEY 证书 从而保证了 印章来源的可靠性 安全性 可信性 下载可编辑 3 5 1 身份份认证认证 身份认证方案采用以智能卡 或 USB KEY 为存储介质的基于数字证书的 身份认证方式 这种方式具有明显的优点 1 采用基于公钥密码体制的 CA 数字证书认证机制 是目前所公认的最 安全的身份认证方式之一 并且技术成熟 具有通用的国际标准 2 采用智能卡 或 USB KEY 作为数字证书的存储介质 设备可以在 内部进行密码运算 不允许将用户私钥导出和复制 并且带有 PIN 保护 能有 效抵御蛮力尝试 在使用上 目前大多数的计算机都有 USB 接口 此类设备的 使用简单方便 3 采用基于数

10、字证书的身份认证方式 可以实现双因素认证的需求 攻 击者如果想冒充合法用户的身份进入系统 不仅需要窃取到存储用户私钥的存 储介质 还需要知道保护用户私钥的 PIN 码 而 PIN 码的尝试一般只有三次 这种双因素认证机制可以大大提高认证的安全强度 也会使得身份冒充变得更 加困难 下载可编辑 身份认证过程步骤 用户将 USB KEY 插入客户端机器 客户端机器自动从 USB KEY 中读取 用户名 客户端将 USB KEY 的 ID 号和用户名发给服务器并请求服务器对用户进 行身份认证 服务器产生一个随机数并发往客户端 客户端将收到的随机数发给 USB KEY 使用 USB KEY 中的私钥对收

11、到的随机数进行签名操作 并将签名结果发 回客户端 下载可编辑 客户端将签名结果连同 USB KEY 中存储的数字证书发送到服务器端 服务器端使用接收的数字证书对客户端发送的签名结果进行验证 如果 验证通过就认为用户的身份合法 否则用户不合法 服务器完成对用户的身份认证以后 根据服务器端配置的用户权限表给 用户分配权限 如果用户具有审批业务单据的权限 则允许用户进行审批 否 则拒绝 服务器端将用户身份的认证结果和访问权限结果发给客户端 客户端根据身份认证结果和访问权限的结果允许或者拒绝用户 3 5 2 认证认证集成 财务管控模块支持两种方式的用户身份认证 基于用户口令的方式和基于 身份令牌的方式

12、 为方便与其他安全系统服务集成 进一步增强信息安全级别 财务管控模 块提供了 第三方用户适配接口 通过定制相关的适配器并动态配置 快速完 成包括 LDAP 服务器在内的用户身份认证服务的集成 借助于更加专业的安全 产品服务 从而更好地满足客户所需的用户身份认证方式和鉴别强度 目前财 务管控模块已提供多个国内外公司的相关适配器 包括 LDAP 目录用户适配器 IBM Tivoli Directory Server Microsoft Active Directory 等 吉大正元南 开目录服务适配器 江南 PKI 用户适配器 安达通 SUREID 用户适配器 以上 适配器可通过财务管控模块的管理

13、控制台进行配置 如下图 下载可编辑 3 5 3 PKI CA 集成 财务管控模块通过 PKI CA 数字签名验证接口适配器 与特定 PKI CA 产品 服务集成 完成数字签名及签名验证 目前系统已经与多家国内 PKI 系统集成 并使用 通过集成 PKI CA 使用数字签名技术 达到系统数据的完整性和操作 的不可否认性 满足 中华人民共和国电子签名法 所要求的安全标准 下载可编辑 财务管控模块已经提供 天威诚信 和 上海格尔 PKI 数字签名验证适配器 可以在财务管控模块管理控制台中配置 见下图 下载可编辑 3 5 4 安全设计设计 资金运营作为财务管控的一个核心模块 在财务管控整体安全设计的基

14、础 上增加了相关安全功能 主要体现在先进的数字签名保证及多重电子签名 服 务器证书安全保障 多重证书 个人证书绑定 签名字段扩展 业务种类 ID 保 障 专用网络 HTTPS 传输 完善的安全测评体系等 3 5 4 1 数数字签签名保障 财务管控电子签名认证采用中国金融认证中心 CFCA 统一认证授权颁发 的电子签名许可 为目前国内主流的电子签名认证体系 电子签名是指数据报 文中以电子形式所含 所附用于识别签名人身份并表明签名人认可其中内容的 数据 电子签名就是通过密码技术对电子文档的电子形式的签名 数字签名技 术以加密技术为基础 数字签名技术的核心是采用密码技术的加 解密算法体 制来实现对文

15、件的数字签名 从而实现交易的不可抵赖性和安全服务 3 5 4 2 多重签签名安全 系统提供多重电子签名 支持同一业务流程多人签名 只有所有签名数据 产生且正确的情况下款项才允许被通过 多重签名就是多个用户对同一个消息 进行数字签名 根据签名过程的不同 目前多重签名方案采用的是有序多重数 字签名 即在同一签名流程中必须保证每个签名操作都正确签名且整个签名的 顺序正确 如下图 此签名流程为五个签名节点 只有此五个节点都签名正确 而且签名的前后顺序正确才能保证系统产生签名数据 最终才能审批完成 任 何一个环节如果中间签名数据不正确 单据将无法进行到下一个岗位 下载可编辑 3 5 4 3 服务务器证书

16、证书安全 CFCA 发放的服务器数字证书文件可携带 30 40 字节长度的扩展信息 这 些信息在证书发放完成后 具有不能修改和删除的特性 根据这个特性 在服务 器证书发放时 将财务管控系统服务器指定硬件的 唯一标识码 如 MAC 地址 信息 CPU 串号等 存储于扩展信息中 在服务器证书使用时 通过财务管控系 统程序调用服务器指定硬件的唯一标识码与证书所携带的扩展信息进行对比验 证 以确保该服务器证书与服务器硬件一一绑定 财务管控系统采用 CFCA 提供的工具包及 调用方法 完成对所发放的服务 器证书 扩展域名 信息提取 并与服务器指定硬件的 唯一标识码 进行验证判断 以确保此证书所绑定的服务器信息与系统使用服务器信息具有一致性 财务管控系统通过采用 CFCA 提供的工具包 读取证书文件里存储的 扩展 域名 信息 与服务器指定硬件 唯一标识 进行匹配验证 3 5 4 4 多重证书证书保障体系 财务管控涉及到多重证书验证 主要包括财务管控客户端个人证书 财务 管控服务器证书 财务管控个人证书签名数据需要与服务器证书进行校验 只有与服务器证 书匹配的签名数据才允许接受 非法数据在服务器证