郭亓元 杨 辉 魏 连 曹 扬 洒科进 刘 鹏

1(国家信息中心 北京 100045) 2(中电科大数据研究院有限公司 贵阳 550022) 3(提升政府治理能力大数据应用技术国家工程实验室 贵阳 550022) 4(北京仁信证科技有限公司 北京 100080)

1 概 述

1.1 电子政务身份管理的现状

党的十八大以来，国务院深入推进电子政务信息化建设，高度重视“放管服”改革和“互联网+政务服务”建设的推进[1]，推动政府信息共享，突破数据壁垒.“互联网+政务服务”是以政务服务平台为基础,全面应用现代信息技术、网络技术支持政府管理与服务职能，规范政府服务事项，改善政务服务流程，拓宽政府信息和服务发布，为公众提供政务服务的一种全新的管理模式.中国互联网络信息中心发布的《第47次中国互联网络发展状况统计报告》显示，截至2020年12月,我国互联网用户达到9.89亿，其中政务服务用户为8.43亿，占整体互联网用户的85.3%[2].我国电子政务身份管理已普遍存在于公民的日常生活中，如户籍、护照、医疗、招聘等.各类政府机构推进网上服务，逐步实现“一网通办”“不见面审批”等服务模式[3].

电子政务服务平台的建设依赖于数字公民身份的鉴权和认证[4]，以实现政务服务的“不见面审批”等服务模式.随着互联网的发展，用户身份信息化已势不可挡.研究离线认证和跨域认证的轻量级认证技术方案，在满足电子政务服务超大规模的用户要求[5]以及不同环境下用户安全快速登录、联网实时查询、大数据共享等业务场景需求的同时，极大保障了个人隐私安全.

1.2 电子政务身份管理存在的问题

1)单点故障处理与恢复：传统的身份认证系统所有应用依赖于强中心化的单点登录系统，单点登录系统成为整个系统中常见的单点故障易发节点.

2)安全完全依赖于统一认证服务：通常的应用系统中，统一认证服务是应用系统的入口，只需攻破统一认证服务就可以攻破所有应用系统，统一认证服务对于应用系统的安全至关重要.

3)可信运维审计或司法鉴定难：若日志仅保存在统一认证服务的数据库，容易被非法篡改或删除，造成运维事故且不能被有效溯源记录，同时也很难形成司法鉴定依据.

基于上述问题，本文对区块链电子政务身份认证领域的单点登录、实时授权、防止身份盗取、身份数据滥用和政务信息优化等进行讨论，结合电子政务特点，研究基于区块链的中心化管理和去中心化服务相结合的电子政务身份管理系统，以实现便捷、高效、规范的网上政务信息管理体系.

1.3 系统需求

1)单点登录，整合信息入口.

① 政务服务审批对用户信息的需求.

从政务服务行政审批中发现，机构和群众经常办理的服务事项有88项，在这88项审批服务中需要提交各类证明文件、证照、批文、鉴定材料等489个，附件311个.在办理过程中需要姓名、身份证号、照片、婚姻状态、学历、学位等信息.通过单点登录的电子政务系统，整合各类用户身份信息，可实现“一网通办”，最大程度地便民利民.

② 求职招聘网站对用户信息、职场信息的需求.

在招聘网站的用户认证中，企业用户(供方)注册时可以快速完成认证，提升招聘平台审核效率，节约企业时间.个人用户(需方)注册时，在网站上所提交的教育经历、学历学位、培训经历、工作经历、证书技能等信息，是企业判断候选人资格的重要依据.

③ 医疗卫生对健康信息、消费信息的需求.

需求方(如保险公司)为了防范骗保行为，也为了提供定制化的服务，需要掌握投保人是否具有某种疾病等健康信息以及消费偏好等消费信息.

2)策略应对，避免身份盗窃.

传统的政务服务身份数据极度依赖于中心化的数据库，存在用户数据泄露的风险.黑客入侵数据库后，获取后台核心数据，包括账号信息、银行卡号、密码、身份证号等[6],为互联网用户带来极大的人身安全和财产安全隐患.

3)跨域互信，区块链优势大.

目前，我国移动电子政务已在多个领域得到成功应用，包括交通、民政、教育、税务等，因此存在跨域信息共享和业务协同的需求.建设基于区块链的单点登录电子政务身份管理系统的目的就是解决“互联网+政务服务”体系建设中跨域信息共享和业务协同的问题，形成中心化管理和去中心化服务相结合的数字身份技术系统，如图1所示，有效提高政府、社会、企业、个人等层面的隐私安全，确保信息安全，避免单点故障，同时满足大规模用户的轻量化管理，有效降低政府管理成本.

图1 业务架构

2 系统原型设计

通过智能合约保障数据提供者和数据核验方之间的数据传输安全.为了满足身份信息的多样化，同时改进传统的区块链分布式去中心的管理模式，采用中心化的集中管理实现数字身份标识、高级认证授权、数字证书全生命周期监督等核心职能.

2.1 身份识别框架改造

传统的区块链采用了去中心化架构[7]，考虑到政府集中管理的需求，身份的生成可衔接公安部网证技术架构，通过其对身份进行鉴定、核准后，方可认为是有效的身份.结合平台特性和安全、自主、可控的原则，本文设计的系统采用我国自主知识产权的CPK组合公钥体制.该机制基于国密SM2算法，将密钥生产和管理结合，实现数字签名和密钥交换.CPK组合公钥体制中的种子公钥和私钥矩阵最多可生成1048个标识密钥，可满足超大规模的标识鉴别、实体鉴别、数据保密需求.为了方便识别身份信息，在公私钥信息外添加其他一些用户标识(ID)信息，如姓名、身份证号、手机号码等，通过矩阵组合形成庞大的标识公私钥对.通过这种身份信息模式改造，使区块链中的身份信息得到管控、真实性得到保障、可识别性得到提升.CPK技术原理如图2所示.

图2 CPK技术原理

基于CPK技术原理，区块链身份标识建立流程如下：

1)申请人(终端)产生签名密钥对，输入个体信息，如姓名、身份证号等，签名后向公安部网证系统发送请求.

2)公安部网证系统进行实名查询，确认身份后对数据进行签名，将含有公钥和部分标识的签名后信息反馈至申请人，生成公钥信息的子集.

3)申请人将公钥信息的子集申请上链，并可在不同节点存储同一个用户的不同公钥信息的子集，便于其他系统进行多维度查验确认.

4)在进行身份校验时，可以通过公安部的网证公钥对含有申请人的公钥和部分标识的签名信息进行认证，通过公安部网证校验后，视为有效身份.

5)申请人产生SM2随机公私钥对，导出公钥并携带用户标识(ID)向应用系统申请成为注册用户.应用系统通过离线或者短信验证码、生物识别、口令码等方式对用户初始身份进行核对，身份通过后，根据用户标识(ID)分发用户标识私钥(用随机公钥进行加密)及公钥矩阵.

6)申请人用随机私钥将标识私钥进行解密，并存储在终端的硬件安全介质(如USBkey,TFkey)或软件密码模块中.

7)申请人将用户姓名、身份证号、手机号等信息提交至公安部网证系统进行实名查询，确认身份后对数据进行签名，并将用户信息申请上链.

8)数据上链结果同步反馈至应用系统和申请人.

基于以上身份标识建立流程，区块链完整的用户注册过程如图3所示,区块链用户登录过程如图4所示.

图3 用户注册过程

2.2 CPK组合公钥体制的优势

CPK组合公钥体制可以解决以下3个问题.

1)可信身份

为区块链上的每个用户分发一个标识数字证书，该证书可以存放在USB Key中，也可以加以保护存放在手机中.有了数字证书即有了身份.一般情况下的身份认证机制为“挑战-应答”[8]，即给待验证身份的用户发一个随机数，待验证用户用自身标识数字证书中的标识私钥对该随机数进行签名并将签名值返回给验证者，验证者通过该数字签名判断用户是否为真实用户.基于数字证书的用户登录可以有效避免黑客脱库和撞库攻击.

2)端到端加密传输

各平台之间的表单或者数据在交换过程中，需要端到端的加密才能保证其安全.采用CPK技术对数据进行加密时，只需知道接收人用户名即可完成端到端加密传输.数据的加解密过程如图5和图6所示，该方式能有效防止黑客攻击.

图5 数据加密过程

图6 数据解密过程

3)数据溯源

数据在产生、流转、使用中需要明确到人，即谁是提供者、谁是使用者，还要明确数据在流转过程中是否完整.CPK组合公钥体制可以实现以下几点：

① 数据标记

数据提供者使用标识密钥对所提供的数据进行签名，并将签名值连同共享数据发布在共享交换平台.

② 数据校验

数据使用者在收到共享数据后，用数据提供者的公钥(利用身份标识可在公钥矩阵中通过本地运算获得)对共享数据进行签名校验，验证数据提供者身份，并确认共享数据在流转过程中无篡改.

③ 数据防泄露

某些敏感数据被共享后，希望被有权限地使用，以防止数据泄露.例如，只能有密码的用户在指定时间内打开查看，不能被复制，禁止另存为、截屏等操作；指定使用时间或次数后，文件自动销毁.

4)跨域交叉认证

当有跨域需求的用户做跨域交叉认证时，各域之间只需交换彼此的公钥矩阵即可.CPK能快速实现跨域交叉认证，如图7所示:

图7 各平台用户登录及跨域认证

3 系统实现

3.1 系统框架

本文所设计的基于区块链的单点登录电子政务身份管理系统框架如图8所示.该框架包括用户层、展现层、接口层、服务层和数据层，具体分析如下：

图8 系统框架

1)用户层

用户层是对外服务的窗口，电子政务身份管理系统面向政务工作人员、社会公众提供可信身份认证服务，并且向管理者提供分级管理和授权服务.不同角色的用户均可以通过PC端或移动终端访问政务服务平台的应用.

2)展现层

展现层主要包含区块链浏览器、管理后台及身份管理系统认证门户.认证门户是公众进入平台的统一入口，可通过用户名/密码和数字证书的方式登录；系统可以通过管理后台设置相关信息，确认用户可以获取哪些信息.

3)接口层

接口层包含内部接口及外部接口，用来对接平台上的各个服务模块.外部接口主要是给需要和本系统对接的第三方提供的接口，包含认证接口、注册接口、登录接口、合作接口、证书接口和验证接口；内部接口是系统内部服务调用的接口，包括Web接口、移动接口、应用接口、鉴权接口和服务接口.将外部和内部接口进行封装，以便用户或服务模块调用所需接口.

4)服务层

服务层使用低耦合高内聚的设计理念，将各种应用与底层服务通过微服务设计[9]进行统一管理.微服务内的各个功能模块互相独立，与其他模块的交互少，每个模块单独运行.微服务架构在设计上能够实现去中心化.将区块链服务、管理系统、转发系统进化为更小、更容易改变的服务模式，服务之间使用轻量级的通信模式进行通信协商.

5)数据层

数据层是最底层，可以访问分布式存储数据库、文本文档、XML文件等进行数据操作，主要是对数据进行封装、存储和传输.

3.2 模拟实现

在基于区块链的单点登录电子政务身份管理系统中，用户自主添加各项原始身份数据，经过各个服务提供商或公安部网证系统认证并签名后，将用户被授权的数据上链，且设置有效期；被授权用户在认证有效期内可以访问不同的应用系统，实现单点登录.

如图9所示，用户的身份信息在2020年9月12—13日由数据权威机构(中国移动、公安部、民政局、交管局、教育部)认证签名，确认该用户身份并被授权上链.被授权的用户分别于9月13日和14日访问了积分抽奖应用和健康码应用，实现了单点登录.

图9 系统应用示例

4 结束语

本文通过研究可信身份标识及管理技术、基于国产知识产权的密码体制和基于区块链的数字身份及证书应用，构建基于区块链的单点登录电子政务身份管理系统.该系统可确保用户身份可控、可信，在满足不同环境下用户安全快速登录、联网实时查询及大数据共享等业务场景需求的同时，降低系统中身份识别、证书互认、签章互认成本.本文系统为进一步深化政府信息化建设工作，规范政务服务管理，降低政府管理成本，完善群众办事流程提供了强有力的支撑[10].