侯 刚

（中国人民银行天津分行，天津 300040）

数字签名技术的应用

侯 刚

（中国人民银行天津分行，天津 300040）

数字签名技术建立在公钥加密系统基础之上，可以检验数据传输过程中是否被篡改以及数据的真实性和完整性。利用其提供的安全保障机制，在某市自建的横向联网系统中实现了对交易报文在传递过程中的安全加密，从软件架构上进一步完善了系统的安全体系。

数字签名；安全加密；交易报文

1．基本概念

数字签名技术是目前电子商务、电子政务中应用最普遍、技术最成熟的一种电子签名方法，是实现交易安全的核心技术之一。数字签名利用数字证书中的私钥对信息原文进行单向hash函数处理后的数字摘要进行加密，从而保证信息传输和保存过程的完整性、真实性和交易的不可否认性。数字签名是非对称密钥加密技术与数字摘要技术的应用。

1．1 公钥基础设施（PKI）

公钥基础设施即Public Key Infrastructure，使用不对称加密提供身份验证、数据保密、不可否认和数据完整性的系统。数字证书和数字签名是PKI的基础要素。

1．2 认证机构（ CA）

认证机构即 CertificationAuthority，颁发用以创建数字签名和公/私钥对的数字证书的可信第三方组织或者公司。

1．3 证书

证书也称为数字证书。证书是绑定某些信息（例如用户身份和公钥）的电子文档。典型地，认证机构可以发放证书，而企业、政府或者其他实体可以签名自己的证书。这种自签名的证书称为该实体的根证书并用来签署下属证书。证书遵循X.509标准。

1．4 公钥

在不对称加密或者PKI中，公布出来以便他人同私钥持有者安全通信的加密密钥。公钥可以用于解密由对应私钥加密的消息，从而保证了认证信息的验证；也可以用于对只面向私钥持有者公开的消息进行加密。

1．5 私钥

在不对称加密或者PKI中，由用户私人秘密保存的加密密钥。私钥可以用来加密信息，如果相应的公钥能够正确地解开密文就保证了认证信息的验证；由于私钥也可以用来解密信息，所以当另一方以对应公钥加密消息并发送给私钥持有者，这一过程就保证了机密性。

1．6 RSA算法

RSA是被研究得最广泛的公钥算法，也易于理解和操作。从提出到现今的三十多年里，经历了各种攻击的考验，逐渐为人们接受，普遍认为是目前最优秀的公钥方案之一。

2．数字签名技术应用案例

在某市自建的财税库行横向联网系统中，人民银行国库部门作为信息中心，负责报文的接收、处理和转发，财政、地税、国税、代收税（费）银行等单位作为联网节点与信息中心间互相收发报文。虽然各节点之间通过业务专网进行连接，但相关数据在没有任何加密措施的前提下，从节点到节点的传输过程中存在一定的安全风险和隐患。对此，系统采用了软件实现数字签名的方法，保证了交易报文的安全传递。图1为各节点间实现数字签名后的架构图。

图1 数字签名软件实现架构图

各节点只与中心进行通信，联网单位间无直接信息交互。在无第三方 CA的情况下可以在中心建立小型 CA，并且在设计时采用PKI设计模式，方便与将来加入第三方 CA认证方案兼容。同时，各节点的应用程序只与API进行信息交互，在API层进行报文的加解密等安全处理，实现应用架构的松耦合。

2．1 软件结构实现

因为中心节点API公共模块是不连接数据库的，为保证对中心证书库中的证书进行安全读写，安全模块没有放入中心的API，而是分别位于应用控制程序和信息发送模块中。其他各联网节点的安全模块则全部位于API中，证书和私钥的路径放入环境变量供API进行访问。联网节点软件结构实现如图2所示。

图2 联网节点软件实现结构图

考虑到未来业务发展的需要，联网节点的数量会逐步增加，采用独立API处理模块可以满足安全体系的可扩展性，使得后续加入的节点单位的安全部署简单易操作，安全性高，且与其本地软硬件环境兼容性更好。

2．2 私钥和证书管理

根据实际条件，逐步实现公私钥及证书管理的标准化和规范化。目前系统各节点之间架构为星型结构，中心 CA可成为可信任实体。联网单位向中心提交证书申请，中心 CA根据相关申请信息，生成个人私钥和个人证书，把个人证书写入证书库，并导出个人证书和私钥。中心通过加密设备将个人证书及私钥下发到联网单位。联网单位通过专用软件将个人证书和私钥导入前置服务器后，完成全部证书申请工作。具体流程如图3所示。

如果联网单位可以提供非对称算法并且遵循RSA标准，或者系统引入第三方信任机构为 CA后，则公私钥对可由联网单位根据相关算法或 CA机构提供的web程序自行生成，同时向中心提交包含公钥的证书申请即可获得所需个人证书。

图3 联网单位私钥和证书申请

3．结语

数字签名技术的引入和实现确保了交易报文的安全，进一步完善了财税库行横向联网系统的安全体系。经过业务测试与压力测试，软件实现数字签名技术不仅满足业务部门需求，同时也保证了系统的整体性能。实现了安全功能模块与应用之间的松耦合，使得对安全策略的升级与对系统应用的优化相对独立，增强了系统整体架构的可扩展性和适应能力。

[1]Mohan Atreya．数字签名[M]．贺军译．北京：清华大学出版社，2003．

[2]张先红．数字签名原理及技术[M]．北京：机械工业出版社，2004．

[3]曲蕴慧，白新国．浅谈数字签名技术的原理及应用[J]．福建电脑，2010．

[4]林晓芬，付敏峰．网络传输中的数据安全[J]．软件导刊，2012．

TheApplication of Digital Signature Technology

Hou Gang
(Tianjin Branch of the People Bank of China,Tianjin 300040)

Digital signature technology is used on the basis of public key cryptosystem,which can examine whether data has been distorted in transmission process and its authenticity and integrity.By using the security guarantee mechanism provided by the technology,we realized the security encryption for transaction message in transmission in horizontal network established by a city,thus improving the security of the system from software framework.

digital signature;security encryption;transaction message

侯刚，男，天津人，硕士研究生，工程师，研究方向：计算机应用。