电子签名及原始凭证电子化解决方案v12

《电子签名及原始凭证电子化解决方案v12》由会员分享，可在线阅读，更多相关《电子签名及原始凭证电子化解决方案v12（22页珍藏版）》请在金锄头文库上搜索。

1、 电子签名解决方案 1 财务管控系统电子签名及原始凭证电子化财务管控系统电子签名及原始凭证电子化 解决方案解决方案 20132013 年年 7 7 月月 电子签名解决方案 2 目录目录 目录目录2 1 1、背景、背景3 2 2、应用现状、应用现状3 2.1 广西财务管控应用情况 3 2.2 安全需求 4 2.3 扩展需求 4 3 3、电子签名、电子签名4 3.1 定义 4 3.2 功能 4 3.3 原则 5 3.4 原理及流程 6 3.4.1 实现原理6 3.4.2 签名流程7 3.5、解决方案 .7 3.5.1身份认证7 3.5.2认证集成9 3.5.3 PKI/CA集成.10 3.5.4安

2、全设计11 3.5.5数据存储13 4 4、原始凭证电子化、原始凭证电子化16 4.1 应用需求 16 4.2 目标思路 16 4.3 解决方案 18 4.3.1文件归集18 4.3.2集中存储19 4.3.3智能识别20 4.3.4文件查询20 4.4 应用价值 22 5 5、配合事项、配合事项22 6 6、服务支持、服务支持22 电子签名解决方案 3 1 1、背景、背景 随着政府及各事业单位信息化管理理念提升和自身经济的发展，各大中小 型企事业单位急需将信息化系统与其业务深度结合，信息化的安全性保障必将 是下一步信息系统深入应用的重点。而作为各类业务系统中保障信息化安全性 的重要环节电子签

3、签名越来越多的被深入应用。 电网企业资金量大，流动频繁，在业务审批环节加强安全节点控制，更加 显得尤为重要。目前广西电网已经深入使用了远光财务管控系统，在各业务部 门进行单据流转以及财务集中审批的过程中，为进一步提高系统安全管理，除 建立严密有效的内部审批制度，完善内部审批程序外，更加需要同步在信息系 统中保证资金业务的安全、高效，防范风险；在现有安全模式基础上，特引入 电子签名安全机制，加强审批环节安全节点的控制。 2 2、应用现状、应用现状 2.12.1 广西财务管控应用情况广西财务管控应用情况 从 2011 年 12 月 1 日至 2012 年 1 月 20 日，广西电网已顺利完成了财务

4、管 控系统在南宁、柳州供电局的试运行工作。在试点单位成功上线运行的基础上， 公司于 2012 年 1 月 20 日启动了其余 12 个供电局和 1 个运维局的系统上线工 作，截至 2012 年 8 月底，已将系统试运行范围延伸至 4 个分公司、7 个直属单 位与 44 个县级供电企业，系统使用范围覆盖母公司范围内及县级供电企业所有 单位。 截至目前，广西电网已完成了所属 69 家单位的资金系统上线运行工作，初 步实现涵盖资金监控与调度、计划与执行的全过程管理的基础。2013 年将以资 金“收支两条线”为管控基础，以银行账户标准化、资金流程信息化、安全检 查常态化为着力点，充分利用资金调度与监控

5、系统等信息化手段，全方位开展 资金全过程管理。对管控系统在安全和效率方面提出了更高的要求。 电子签名解决方案 4 2.22.2 安全需求安全需求 作为全网资金调度与监控平台，安全性应该是系统建设的首要考虑因素之 一。目前主要是通过用户名及密码，以及权限控制用户操作，虽然系统内部也 有很严格的数据逻辑控制，但是从风险防范的角度来看，风险值设置还是相对 较低，系统安全机制还有很大的提升空间，在加强风险控制方面，建议在引入 第三方认证软件，确保资金数据的安全。 2.32.3 扩展需求扩展需求 2013 年是广西电网公司“管理提升年” ，结合公司经营特点及资金管理现 状，以“保安全、提效益、促发展”为

6、核心的指导思想为指导，在保障资金安 全的前提条件下，提高资金使用效率，也显得尤为重要。 所以本文将就电子签名和原始凭证电子化展开论述，并提供详细的解决方 案。 3 3、电子签名、电子签名 3.13.1 定义定义 电子签名是指数据电文中以电子形式所含、所附用于识别签名人身份并表 明签名人认可其中内容的数据。通俗点说，电子签名就是通过密码技术对电子 文档的电子形式的签名，并非是书面签名的数字图像化，它类似于手写签名或 印章，也可以说它就是电子印章。 3.23.2 功能功能 （1）对电子文档进行电子签章、手写签名、键盘批注，保证电子文档的完 整性； （2）如果文档被修改，电子签章会通过界面的变化(变

7、灰)来提示用户文档 电子签名解决方案 5 不可信； （3）可以设定电子印章的打印方式，保证打印文本不受电子印章影响； （4）通过硬件 EKEY 盖章来进一步提高安全性； （5）服务器端集中管理电子印章和 EKEY，保存印章和 EKEY 来源的可靠性； （6）服务器端用户印章和 EKEY 权限系统，可以设定用户使用印章和 EKEY 的权限，保证用户的合理应用权限； （7）服务器端的电子印章日志和审计系统； （8）客户端用户登录可采用用户名密码方式或强制使用 EKEY 登录方式； （9）客户端验证电子印章时，不仅验证文档印章，还可和信任服务器存储 记录进行比对，验证印章的操作合法性； 3.33.3

8、 原则原则 由于电子签名的形式具有多样性，因采取的技术方案不同，其可靠性、正 确性、稳定性可能会有较大的不同，因此导致了其法律效力也不应在同一水平 上。而“功能等同原则”可以较好地解决这一问题，其基本模式有三个：第一， 只有符合一定条件的电子签名才具有与传统签名同等的法律效力;第二，不同模 式和特性的电子签名以其稳定性、可靠性、真确性为标准对应不同的法律效力; 第三，达到相应要求的电子签名即可具备与传统签名等同的法律效力，而不管 具体的技术解决方案是什么。以此作为判断电子签名是否具有法律效力的依据， 减少了电子技术的多样性对电子签名效力造成的不稳定影响。 电子签名解决方案 6 3.43.4 原

9、理及流程原理及流程 3.4.13.4.1 实现原理实现原理 电子签名解决方案 7 3.4.23.4.2 签名流程签名流程 3.53.5、解决方案、解决方案 远光财务管控系统，在企业内部进行业务单据流转传递时候引入电子签名， 在客户端签章用户使用盖章工具盖章时，印章来源都是从所连接的信任服务器 中数据库调来，且每一个独立的用户都使用自己唯一的 KEY 证书，从而保证了 印章来源的可靠性，安全性，可信性。 3.5.1 身份认证身份认证 身份认证方案采用以智能卡（或 USB KEY）为存储介质的基于数字证书的 身份认证方式。这种方式具有明显的优点： （1）采用基于公钥密码体制的 CA 数字证书认证机

10、制，是目前所公认的最 电子签名解决方案 8 安全的身份认证方式之一，并且技术成熟，具有通用的国际标准。 （2）采用智能卡（或 USB KEY）作为数字证书的存储介质。设备可以在内 部进行密码运算，不允许将用户私钥导出和复制，并且带有 PIN 保护，能有效 抵御蛮力尝试。在使用上，目前大多数的计算机都有 USB 接口，此类设备的使 用简单方便。 （3）采用基于数字证书的身份认证方式，可以实现双因素认证的需求，攻 击者如果想冒充合法用户的身份进入系统，不仅需要窃取到存储用户私钥的存 储介质，还需要知道保护用户私钥的 PIN 码，而 PIN 码的尝试一般只有三次， 这种双因素认证机制可以大大提高认证

11、的安全强度，也会使得身份冒充变得更 加困难。 身份认证过程步骤： 用户将 USB KEY 插入客户端机器，客户端机器自动从 USB KEY 中读取用 电子签名解决方案 9 户名； 客户端将 USB KEY 的 ID 号和用户名发给服务器并请求服务器对用户进行 身份认证； 服务器产生一个随机数并发往客户端； 客户端将收到的随机数发给 USB KEY； 使用 USB KEY 中的私钥对收到的随机数进行签名操作，并将签名结果发 回客户端； 客户端将签名结果连同 USB KEY 中存储的数字证书发送到服务器端； 服务器端使用接收的数字证书对客户端发送的签名结果进行验证，如果 验证通过就认为用户的身份合

12、法，否则用户不合法； 服务器完成对用户的身份认证以后，根据服务器端配置的用户权限表给 用户分配权限，如果用户具有审批业务单据的权限，则允许用户进行审批，否 则拒绝； 服务器端将用户身份的认证结果和访问权限结果发给客户端。 客户端根据身份认证结果和访问权限的结果允许或者拒绝用户。 3.5.2 认证集成认证集成 财务管控模块支持两种方式的用户身份认证：基于用户口令的方式和基于 身份令牌的方式。 为方便与其他安全系统服务集成，进一步增强信息安全级别，财务管控模 块提供了“第三方用户适配接口” ，通过定制相关的适配器并动态配置，快速完 成包括 LDAP 服务器在内的用户身份认证服务的集成；借助于更加专

13、业的安全产 品服务，从而更好地满足客户所需的用户身份认证方式和鉴别强度。目前财务 管控模块已提供多个国内外公司的相关适配器，包括 LDAP 目录用户适配器 （IBM Tivoli Directory Server、Microsoft Active Directory 等） 、吉大正 元南开目录服务适配器、江南 PKI 用户适配器，安达通 SUREID 用户适配器。以 上适配器可通过财务管控模块的管理控制台进行配置，如下图： 电子签名解决方案 10 3.5.3 PKI/CA 集成集成 财务管控模块通过“PKI/CA 数字签名验证接口适配器”,与特定 PKI/CA 产 品服务集成，完成数字签名及签

14、名验证，目前系统已经与多家国内 PKI 系统集 成并使用。通过集成 PKI/CA，使用数字签名技术，达到系统数据的完整性和操 作的不可否认性，满足【中华人民共和国电子签名法】所要求的安全标准。 电子签名解决方案 11 财务管控模块已经提供“天威诚信”和“上海格尔”PKI 数字签名验证适 配器，可以在财务管控模块管理控制台中配置，见下图。 3.5.4 安全设计安全设计 资金运营作为财务管控的一个核心模块，在财务管控整体安全设计的基础 上增加了相关安全功能，主要体现在先进的数字签名保证及多重电子签名，服 电子签名解决方案 12 务器证书安全保障、多重证书、个人证书绑定、签名字段扩展、业务种类 ID

15、 保 障、专用网络、HTTPS 传输、完善的安全测评体系等。 3.5.4.1 数字签名保障数字签名保障 财务管控电子签名认证采用中国金融认证中心（CFCA）统一认证授权颁发 的电子签名许可，为目前国内主流的电子签名认证体系。电子签名是指数据报 文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的 数据。电子签名就是通过密码技术对电子文档的电子形式的签名，数字签名技 术以加密技术为基础，数字签名技术的核心是采用密码技术的加、解密算法体 制来实现对文件的数字签名，从而实现交易的不可抵赖性和安全服务。 3.5.4.2 多重签名安全多重签名安全 系统提供多重电子签名，支持同一业务流程多

16、人签名，只有所有签名数据 产生且正确的情况下款项才允许被通过。多重签名就是多个用户对同一个消息 进行数字签名，根据签名过程的不同，目前多重签名方案采用的是有序多重数 字签名，即在同一签名流程中必须保证每个签名操作都正确签名且整个签名的 顺序正确。如下图，此签名流程为五个签名节点，只有此五个节点都签名正确 而且签名的前后顺序正确才能保证系统产生签名数据，最终才能审批完成，任 何一个环节如果中间签名数据不正确，单据将无法进行到下一个岗位。 3.5.4.3 服务器证书安全服务器证书安全 CFCA 发放的服务器数字证书文件可携带 30-40 字节长度的扩展信息，这些 信息在证书发放完成后,具有不能修改和删除的特性。根据这个特性，在服务器 证书发放时，将财务管控系统服务器指定硬件的“唯一标识码”(如：MAC 地址 信息、CPU 串号等)存储于扩展信息中；在服务器证书使用时，通过财务管控系 电子签名解决方案 13 统程序调用服务器指定硬件的唯一标识码与证书所携带的扩展信息进行对比验 证，以确保该服务