金融认证系统对智能卡的技术需求

　　随着计算机技术的高速发展，社会已步入网络经济时代。互联网的存在，变革了传统意义的商务模式，缩小了时空距离，出现了电子商务—这一数字社会的新理念。它大大地压缩了在传统物流程序、扩大客户群等方面的成本，使信息技术与数字化网络成为传统工业的骨干力量。据专家估计，到2004年，网上商品与服务贸易价值将达到2.5万亿美元。CA中心（Certificate Authority，即认证中心）、数字证书，将密码理论中的公开钥体制应用于开放的互联网络，提出PKI这一技术与应用结合的新概念，通过提供安全认证结构和数字证书，为网络通信与电子交易提供了强有力的安全支持。银行，是网上商务的不可或缺的重要环节，由中国人民银行牵头，联合12家商业银行共建的中国金融认证中心（CFCA），是金融行业认可的公正、权威的安全认证机构。其建设目标是为金融业的各种认证需求提供证书服务，它包括电子商务、网上银行、支付系统和管理信息系统等等。初期建设将以满足电子商务需求为主，同时尽可能兼顾网上银行业务的需要。它的建立，对推动我国电子商务行业的发展、促进网络安全行业发展，有着重大的开拓意义和不可忽视的作用。
　　目前，公钥证书是保障电子商务交易数据安全的一个重要手段和工具。公钥证书，亦称电子证书、数字证书。它通过一个公正、权威、可信的认证中心，为每一位参加网上交易、网上支付等电子商务活动的用户发放一个基于公钥体制（非对称密码体制）的证书，来实现网上数据传输的真实性、私密性、完整性和行为的不可否认性。金融认证中心颁发的证书，除具有一般证书所具有的“网络身份证”的特征外，有鉴于CFCA证书申请审核流程的金融特点和证书域内的特殊金融含义，金融CA发放的证书还可与银行后台系统紧密配合，支持各商业银行多种业务应用模式。CFCA可颁发基于银行卡业务的SET证书，还可发放用于B2B业务的企业证书（NSET证书）、个人证书等，支持支付系统、办公与管理信息系统等多种应用。自1999年8月30日签约后，在金融CA领导小组和各家商业银行的大力协作下，金融认证中心以业务应用、证书政策（CPS）与规则、系统安全、功能建设为主导方向，历经需求分析、系统设计与详细设计、开发与测试等阶段，经过半年多的工程实施，，目前工程建设已接近尾声。金融认证中心SET、NSET两个系统分别于1月、3月底发放了第一批实验证书，表明该系统已经具备了认证中心的基本功能。金融认证中心在近期将投入试运行。一期工程年发证量为25万张。随着电子商务的迅猛发展，二期工程建设迫在眉睫，计划彼时年发证量将扩大到100万张至200万张，系统将支持多种加密算法，并考虑使用智能卡进行开发应用。
　　金融认证系统主要由CA中心、商业银行RA（注册审核系统）系统、用户端三大部分组成，其结构如下图所示。
　　CA中心由SET和NSET两个系统构成。其系统结构有以下几个部分：一、WEB服务器：接受用户的网上注册申请，并将网上的申请转交给各商业银行RA系统，提供HTTP服务。二、目录服务器：存放证书列表，提供在线证书状态查询，可快速、高效地响应证书检索要求。三、CA服务器：根据RA系统上传的注册审核信息，对用户的证书请求进行响应，实时生成和签发证书，支持用户证书下载。提供证书生命周期内的证书及密钥管理服务。
　　商业银行RA架构分为三部分：总行、城市分行和业务受理点。现有的金融CA系统RA模式支持用户在银行进行面对面申请方式。一、业务受理点：接受用户的当面申请，将注册申请信息上传给城市分行RA系统，提供用户实时受理点证书下载业务。将证书下载认证码提交给用户。二、分行RA系统：接受上传的用户申请信息，根据银行后台业务数据库，审核用户的证书申请，并将审核结果上传总行RA服务器。三、总行RA服务器：接受上传的核结果，存贮并转发到CA中心，将CA中心生成的证书认证参考码（取证用）下传。
　　用户端也是金融认证系统的一个环节。用户利用浏览器访问CA中心，通过download金融认证中心提供的证书服务工具，如电子钱包等软件，在用户的PC机上生成自己的签名密钥对，并将证书请求提交给CA中心，由CA中心签名后，将生成的证书传输给用户并存贮于用户端，接受CA中心给予的证书使用指导，享受CA中心提供的各项证书管理服务（此服务可对用户透明）。

图1.金融认证系统结构图

　　金融认证系统的主要功能是为用户提供证书服务与管理。它包括：一、证书生成与签发：用户或企业可在银行受理点或网上申请不同种类、不同等级的证书用于各项电子商务活动，或其它网络信息安全传输用途，如：安全E-mail、办公管理系统等。二、证书与密钥更新：提供密钥与证书的在线更新服务。当用户证书将要过期时，CA中心可根据定制的安全策略，将用户端证书在线更新。三、证书状态查询：当用户在进行在线交易或其它网上商务活动时，可CA中心提供的安装于用户端的证书管理器zz户的加密密钥。当用户因忘记口令或机器故障无法获取自己的证书时，CA中心可根据一定的程序，在线恢复用户的加密密钥及证书。五、信息服务：介绍国内外电子商务动态，提供金融CA系统的信息查询与帮助服务。六、证书应用服务：提供CA中心证书管理的相关接口，制定相关标准。
　　安全，一直是电子商务发展的一个关键问题。在银行、证券、政府办公等大型网络系统中，大多采用加密卡、加密机等加密设备来实现数据加密、数字签名等安全服务，实现数据的机密、完整、不可否认。由于网上购物、网上交费等新型消费形式的出现，个人PC端也提出了对加密和数字签名的需求。考虑到硬件加密卡的成本及个人用户的经济承受能力、操作与维护的简单易用等问题，智能IC卡显示出在低端加密市场的广阔应用前景。在国内，尽管智能卡在金融行业的应用与发展还只是近几年的历史，但随着金卡工程的深入实施和技术的不断完善，智能卡在金融行业的应用，从简单的磁条卡、memory卡、加密IC卡到CPU卡，从消费转帐、现金存取、代收代付等银行卡业务，到以安全控制为基础的网上银行业务，取得了全面的发展与进步。信息技术的突飞猛进，推动了金融业务的发展；同时，金融业务的发展，也对基于半导体工业的IC卡技术提出了新的需求。以满足电子商务网上支付、服务网上银行为目标的金融认证系统，将对数字化电子证书的安全存贮、便捷易用的要求，与智能卡的优越特性结合起来。其功能需求集中在以下几个方面：
　　 一、安全需求。用户电子证书的私钥，通常由PC上的证书管理服务器采用一定的加密方式存放于硬盘上，用软盘进行备份。用户私钥是安全要求高的机密数据。由于证书管理器的安全局限性，如果非法用户获取了登录口令或者通过其他手段破解了用户证书文件内的私钥，即可假冒他人身份进行网上商务活动。而安全管理，是智能卡通用COS的一大重要功能。所有用户对智能卡内数据访问都需有严格授权，通过硬件逻辑进行保护控制。卡片的小巧轻便，使用户在不用时易于脱机妥善保存，使用时进行高安全身份认证。因此，对于用户密钥这样敏感性较高的数据，高安全级的智能卡是较为理想的载体。
　　二、 移动式存贮要求。随着电子商务在中国的迅速发展，越来越多的用户工作已不受时间与空间的限制。移动式办公，要求用户在不同的工作地点都可以随时处理公务，进行在线交易。智能卡的小巧易携，无疑是对不受地域限制、不受办公环境及安全因素限制的网上交易的最好选择。无论用户身处何地，凡是在带有读卡驱动的PC机上，用户都可使用存放有自己证书及密钥的智能卡，“一卡在手，走遍神洲”。
　　三、防伪要求。利用CPU卡的加/解密功能和随机数生成功能，定制CPU卡COS的功能，通过开发与金融认证系统的用户证书管理器软件接口，可达到小型加密卡的功能要求。用户密钥在卡内产生并存贮于卡内，证书服务器的密码应用由智能卡实现：密钥生成、数字签名、证书验证、加/解密。可真正实现用户密钥不出卡，无法窃取用户密钥，仿冒用户身份。即使进行卡的复制，也无法仿冒合法用户卡内的密钥信息，具有真正的防伪功能。
　　由于金融认证系统智能卡应用的特殊需要，根据金融认证系统软件的特点，结合电子商务应用的实际需求，对智能卡的利用和开发有以下几个指标是关键因素：
1、高安全性。卡内数据有较高的安全等级。智能卡需完成小型加密卡的功能，因此对智能卡既有高安全存贮要求，也有较高的加、解密功能要求。2、速度。电子商务的推广应用，与网上交易的速度有密切的联系。使用智能卡进行数字签名和数据加/脱密的速度过慢，会制约用户对卡的使用积极性，影响交易效果。3、高可靠性。由于智能卡内存贮的数据为用户核心秘密，并且无法复制，如果损坏则需用户进行证书及密钥更新。保证卡内数据的完整及可用，保证相当规模的使用次数，是金融认证系统智能卡使用的一个重要环节。4、政策与法律法规。金融认证系统所使用的智能卡，应符合人民银行的IC卡使用规范。同时，由于IC卡的安全性与芯片COS及生产厂商有一定关系，自主版权的IC卡芯片和操作系统将成为首选目标。卡内加密算法应通过国家相关部门的鉴定和认可。5、系统可扩充性。随着电子商务活动的发展，智能卡的用途除了证书与密钥存贮外，还可添加多种数据如交易数据、资金信息等存贮功能，并开发相关应用。因此，COS的加载应适应不断变化的业务需求，能提供给用户可裁减的系统，具有良好的可扩充性。
　　可以预见，智能卡技术与安全认证的应用结合，将极大地推动电子商务的发展，加快社会的信息化步伐。在国家金卡工程领导小组的统一规范下，在各商业银行的大力配合下，金融认证系统将尽快提供统一、标准的证书管理IC卡接口，使不同厂家生产的卡都可以适用，将智能卡作为个人终端的标准化安全配置，推动中国电子商务及互联网事业快速发展。