1、 电子签名解决方案1财务管控系统电子签名及原始凭证电子化解决方案2013 年 7 月电子签名解决方案2目录目录 21、背景 32、应用现状 32.1 广西财务管控应用情况 32.2 安全需求 42.3 扩展需求 43、电子签名 43.1 定义 43.2 功能 43.3 原则 53.4 原理及流程 63.4.1 实现原理 63.4.2 签名流程 73.5、解决方案 .73.5.1 身份认证 73.5.2 认证集成 93.5.3 PKI/CA 集成 .103.5.4 安全设计 113.5.5 数据存储 134、原始凭证电子化 164.1 应用需求 164.2 目标思路 164.3 解决方案 184
2、.3.1 文件归集 184.3.2 集中存储 194.3.3 智能识别 204.3.4 文件查询 204.4 应用价值 225、配合事项 226、服务支持 22电子签名解决方案31、背景随着政府及各事业单位信息化管理理念提升和自身经济的发展，各大中小型企事业单位急需将信息化系统与其业务深度结合，信息化的安全性保障必将是下一步信息系统深入应用的重点。而作为各类业务系统中保障信息化安全性的重要环节电子签签名越来越多的被深入应用。电网企业资金量大，流动频繁，在业务审批环节加强安全节点控制，更加显得尤为重要。目前广西电网已经深入使用了远光财务管控系统，在各业务部门进行单据流转以及财务集中审批的过程中，
3、为进一步提高系统安全管理，除建立严密有效的内部审批制度，完善内部审批程序外，更加需要同步在信息系统中保证资金业务的安全、高效，防范风险；在现有安全模式基础上，特引入电子签名安全机制，加强审批环节安全节点的控制。2、应用现状2.1 广西财务管控应用情况从 2011 年 12 月 1 日至 2012 年 1 月 20 日，广西电网已顺利完成了财务管控系统在南宁、柳州供电局的试运行工作。在试点单位成功上线运行的基础上，公司于 2012 年 1 月 20 日启动了其余 12 个供电局和 1 个运维局的系统上线工作，截至 2012 年 8 月底，已将系统试运行范围延伸至 4 个分公司、7 个直属单位与
4、44 个县级供电企业，系统使用范围覆盖母公司范围内及县级供电企业所有单位。 截至目前，广西电网已完成了所属 69 家单位的资金系统上线运行工作，初步实现涵盖资金监控与调度、计划与执行的全过程管理的基础。2013 年将以资金“收支两条线”为管控基础，以银行账户标准化、资金流程信息化、安全检查常态化为着力点，充分利用资金调度与监控系统等信息化手段，全方位开展资金全过程管理。对管控系统在安全和效率方面提出了更高的要求。电子签名解决方案42.2 安全需求作为全网资金调度与监控平台，安全性应该是系统建设的首要考虑因素之一。目前主要是通过用户名及密码，以及权限控制用户操作，虽然系统内部也有很严格的数据逻辑
5、控制，但是从风险防范的角度来看，风险值设置还是相对较低，系统安全机制还有很大的提升空间，在加强风险控制方面，建议在引入第三方认证软件，确保资金数据的安全。2.3 扩展需求2013 年是广西电网公司“管理提升年” ，结合公司经营特点及资金管理现状，以“保安全、提效益、促发展”为核心的指导思想为指导，在保障资金安全的前提条件下，提高资金使用效率，也显得尤为重要。所以本文将就电子签名和原始凭证电子化展开论述，并提供详细的解决方案。3、电子签名3.1 定义电子签名是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。通俗点说，电子签名就是通过密码技术对电子文档的电子形式的
6、签名，并非是书面签名的数字图像化，它类似于手写签名或印章，也可以说它就是电子印章。3.2 功能（1）对电子文档进行电子签章、手写签名、键盘批注，保证电子文档的完整性；（2）如果文档被修改，电子签章会通过界面的变化(变灰)来提示用户文档电子签名解决方案5不可信；（3）可以设定电子印章的打印方式，保证打印文本不受电子印章影响；（4）通过硬件 EKEY 盖章来进一步提高安全性；（5）服务器端集中管理电子印章和 EKEY，保存印章和 EKEY 来源的可靠性；（6）服务器端用户印章和 EKEY 权限系统，可以设定用户使用印章和 EKEY的权限，保证用户的合理应用权限；（7）服务器端的电子印章日志和审计系
7、统；（8）客户端用户登录可采用用户名密码方式或强制使用 EKEY 登录方式；（9）客户端验证电子印章时，不仅验证文档印章，还可和信任服务器存储记录进行比对，验证印章的操作合法性； 3.3 原则由于电子签名的形式具有多样性，因采取的技术方案不同，其可靠性、正确性、稳定性可能会有较大的不同，因此导致了其法律效力也不应在同一水平上。而“功能等同原则”可以较好地解决这一问题，其基本模式有三个：第一，只有符合一定条件的电子签名才具有与传统签名同等的法律效力;第二，不同模式和特性的电子签名以其稳定性、可靠性、真确性为标准对应不同的法律效力;第三，达到相应要求的电子签名即可具备与传统签名等同的法律效力，而不
8、管具体的技术解决方案是什么。以此作为判断电子签名是否具有法律效力的依据，减少了电子技术的多样性对电子签名效力造成的不稳定影响。电子签名解决方案63.4 原理及流程3.4.1 实现原理电子签名解决方案73.4.2 签名流程3.5、解决方案远光财务管控系统，在企业内部进行业务单据流转传递时候引入电子签名，在客户端签章用户使用盖章工具盖章时，印章来源都是从所连接的信任服务器中数据库调来，且每一个独立的用户都使用自己唯一的 KEY 证书，从而保证了印章来源的可靠性，安全性，可信性。3.5.1 身份认证身份认证方案采用以智能卡（或 USB KEY）为存储介质的基于数字证书的身份认证方式。这种方式具有明显
9、的优点：（1）采用基于公钥密码体制的 CA 数字证书认证机制，是目前所公认的最电子签名解决方案8安全的身份认证方式之一，并且技术成熟，具有通用的国际标准。（2）采用智能卡（或 USB KEY）作为数字证书的存储介质。设备可以在内部进行密码运算，不允许将用户私钥导出和复制，并且带有 PIN 保护，能有效抵御蛮力尝试。在使用上，目前大多数的计算机都有 USB 接口，此类设备的使用简单方便。（3）采用基于数字证书的身份认证方式，可以实现双因素认证的需求，攻击者如果想冒充合法用户的身份进入系统，不仅需要窃取到存储用户私钥的存储介质，还需要知道保护用户私钥的 PIN 码，而 PIN 码的尝试一般只有三次
10、，这种双因素认证机制可以大大提高认证的安全强度，也会使得身份冒充变得更加困难。身份认证过程步骤：用户将 USB KEY 插入客户端机器，客户端机器自动从 USB KEY 中读取用电子签名解决方案9户名；客户端将 USB KEY 的 ID 号和用户名发给服务器并请求服务器对用户进行身份认证；服务器产生一个随机数并发往客户端；客户端将收到的随机数发给 USB KEY；使用 USB KEY 中的私钥对收到的随机数进行签名操作，并将签名结果发回客户端；客户端将签名结果连同 USB KEY 中存储的数字证书发送到服务器端；服务器端使用接收的数字证书对客户端发送的签名结果进行验证，如果验证通过就认为用户的
11、身份合法，否则用户不合法；服务器完成对用户的身份认证以后，根据服务器端配置的用户权限表给用户分配权限，如果用户具有审批业务单据的权限，则允许用户进行审批，否则拒绝；服务器端将用户身份的认证结果和访问权限结果发给客户端。客户端根据身份认证结果和访问权限的结果允许或者拒绝用户。3.5.2 认证集成财务管控模块支持两种方式的用户身份认证：基于用户口令的方式和基于身份令牌的方式。为方便与其他安全系统服务集成，进一步增强信息安全级别，财务管控模块提供了“第三方用户适配接口” ，通过定制相关的适配器并动态配置，快速完成包括 LDAP 服务器在内的用户身份认证服务的集成；借助于更加专业的安全产品服务，从而更
12、好地满足客户所需的用户身份认证方式和鉴别强度。目前财务管控模块已提供多个国内外公司的相关适配器，包括 LDAP 目录用户适配器（IBM Tivoli Directory Server、Microsoft Active Directory 等） 、吉大正元南开目录服务适配器、江南 PKI 用户适配器，安达通 SUREID 用户适配器。以上适配器可通过财务管控模块的管理控制台进行配置，如下图：电子签名解决方案103.5.3 PKI/CA 集成财务管控模块通过“PKI/CA 数字签名验证接口适配器”,与特定 PKI/CA 产品服务集成，完成数字签名及签名验证，目前系统已经与多家国内 PKI 系统集成
13、并使用。通过集成 PKI/CA，使用数字签名技术，达到系统数据的完整性和操作的不可否认性，满足【中华人民共和国电子签名法】所要求的安全标准。电子签名解决方案11财务管控模块已经提供“天威诚信”和“上海格尔”PKI 数字签名验证适配器，可以在财务管控模块管理控制台中配置，见下图。3.5.4 安全设计资金运营作为财务管控的一个核心模块，在财务管控整体安全设计的基础上增加了相关安全功能，主要体现在先进的数字签名保证及多重电子签名，服电子签名解决方案12务器证书安全保障、多重证书、个人证书绑定、签名字段扩展、业务种类 ID 保障、专用网络、HTTPS 传输、完善的安全测评体系等。3.5.4.1 数字签
14、名保障财务管控电子签名认证采用中国金融认证中心（CFCA）统一认证授权颁发的电子签名许可，为目前国内主流的电子签名认证体系。电子签名是指数据报文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。电子签名就是通过密码技术对电子文档的电子形式的签名，数字签名技术以加密技术为基础，数字签名技术的核心是采用密码技术的加、解密算法体制来实现对文件的数字签名，从而实现交易的不可抵赖性和安全性服务。3.5.4.2 多重签名安全系统提供多重电子签名，支持同一业务流程多人签名，只有所有签名数据产生且正确的情况下款项才允许被通过。多重签名就是多个用户对同一个消息进行数字签名，根据签名过程的不
15、同，目前多重签名方案采用的是有序多重数字签名，即在同一签名流程中必须保证每个签名操作都正确签名且整个签名的顺序正确。如下图，此签名流程为五个签名节点，只有此五个节点都签名正确而且签名的前后顺序正确才能保证系统产生签名数据，最终才能审批完成，任何一个环节如果中间签名数据不正确，单据将无法进行到下一个岗位。3.5.4.3 服务器证书安全CFCA 发放的服务器数字证书文件可携带 30-40 字节长度的扩展信息，这些信息在证书发放完成后,具有不能修改和删除的特性。根据这个特性，在服务器证书发放时，将财务管控系统服务器指定硬件的“唯一标识码”(如：MAC 地址信息、CPU 串号等)存储于扩展信息中；在服
16、务器证书使用时，通过财务管控系电子签名解决方案13统程序调用服务器指定硬件的唯一标识码与证书所携带的扩展信息进行对比验证，以确保该服务器证书与服务器硬件一一绑定。财务管控系统采用 CFCA 提供的工具包及“调用方法”完成对所发放的服务器证书“扩展域名”信息提取，并与服务器指定硬件的“唯一标识码”进行验证判断，以确保此证书所绑定的服务器信息与系统使用服务器信息具有一致性。财务管控系统通过采用 CFCA 提供的工具包，读取证书文件里存储的“扩展域名”信息，与服务器指定硬件“唯一标识”进行匹配验证。3.5.4.4 多重证书保障体系财务管控涉及到多重证书验证，主要包括财务管控客户端个人证书、财务管控服
17、务器证书。财务管控个人证书签名数据需要与服务器证书进行校验，只有与服务器证书匹配的签名数据才允许接受，非法数据在服务器证书校验时不被通过。其中财务管控个人证书为硬证书，与个人身份认证进行一一匹配，只有拥有此证书权限的用户才能够正常使用此证书。财务管控服务器证书为.PFX 电子文件，在管控服务器上与硬件唯一标识绑定。3.5.4.5 个人证书与职工校验财务管控提供了个人证书与职工身份信息校验功能，即个人证书 Ukey 固化的 DN 号与财务管控职工身份信息进行匹配，只有此操作员对应自己的 Ukey 才能进行电子签名，否则系统不予通过。保证了用户即使知道个人证书密钥的情况下，也必须要本操作员才能进行
18、签名操作，即受财务管控系统操作员及个人证书双重约束下的安全保证。电子签名解决方案143.5.5 数据存储3.5.5.1 保存敏感数据的密文财务管控模块初始化时，自动在指定工作磁盘目录中创建密钥文件，生成随机密钥作为对称加密密钥。密钥文件中的密钥主要用于数据库中敏感数据的加密，密钥文件的安全性则由操作系统安全级别保证。对于用户密码信息以 3DES 加密密文保存在数据库，见下图。3.5.5.2 数字签名保证数据的完整与不可否认财务管控模块中，对于单据凭证的数字签名信息均保存在数据库大字段中，即使数据库中单据/凭证表中的相关字段信息被非法修改，也可通过大字段中的数字签名信息进行验证。电子签名解决方案
19、15“单据/凭证”数字签名以传递流程中的岗位为单位进行设置，即在单据/凭证审批流程功能中，通过分别设置相关流程岗位权限中的“数字签名”部分；在启用数字签名功能时，可以设置对单据/凭证中的哪些数据项目进行数字签名(如下图)，一般选中所有数据项目。启用数字签名功能后，在传递单据/凭证时，如果当前岗位需要数字签名时，会要求用户插入 USBKey 等类似介质进行数字签名，若存在多个有效证书时，弹出如下图所示窗口选择证书。客户端完成数字签名后，服务端保存单据/凭证数据前，如果数字签名验证失败，则显示如下图所示信息。电子签名解决方案16在审核单据/凭证时，如果上一环节的数字签名信息没有验证通过，则不允许继
20、续向下传递。财务管控模块中单据凭证的数字签名技术实现步骤如下：（1）财务管控模块根据设置参数，把业务数据组成 xml 字符串内部表示；（2）对内部生成的 xml 字符串进行数字签名，生成 PKCS7 格式数据；（3）财务管控模块服务端验证签名数据是否合法，若合法，保存签名数据至数据库；（4）传递或显示单据凭证时，验证数字签名是否合法；4、原始凭证电子化4.1 应用需求信息技术的发展，使信息系统朝着“无纸化” 、 “自动化” 、 “智能化”的方向发展。而要达到相应目标，在充分考虑与结合广西财务管控系统应用实际的情况下，首先应解决纸质凭证信息孤立的问题，实现传统纸质凭证向电子化的方向的演变。4.2
21、 目标思路为全面提升电子文件管理水平，针对电网公司大量的原始凭证，需要对电子文件管理工作实行统筹规划，统一管理。对电子文件形成、办理、传输、保存、利用、销毁等实行全过程管理，确保电子文件始终处于受控状态。制定统一标准和规范，对电子文件实行规范化管理，发挥电子文件高效、便捷的优势，对有价值的电子文件实行集中管理，提供分层次、分类别共享应用，并按照国家有关法律法规和规范标准的要求，采取有效技术手段和管理措施，确保电子电子签名解决方案17文件信息安全。针对广西电网目前应用情况，并结合公司整体产品规划与开发实际，原始凭证电子化建设考虑分为两个阶段：第一阶段：完成原始凭证的扫描；业务单据（凭证）完成后的
22、原始凭证补充上传 ；存储和文件查询检索功能。 将各类型发票、文件等原始凭证通过扫描或摄像终端转换为信息系统中的电子数据，在业务处理中可方便、快捷查询和审计各业务发生的原始票据，提升企业信息化管理水平；通过电子文件的统一存储和管理，发挥电子文件高效、便捷的优势，共享应用企业有价值的电子文件。第二阶段：完成原始凭证的 OCR 识别，并将识别出的信息写入业务单据中 ； 文档分类及权限管理。实现原始凭证的 OCR 识别，将图片等信息转换为计算机可处理的文本信息，并可将识别出的信息生成管控业务单据，方便用户快捷处理业务，可根据 OCR识别信息进行查询检索原始凭证。实现原始凭证分类管理，方便用户管理和检索
23、原始凭证；可按分类及文档进行权限管理，提升原始凭证数据安全管理水平。电子签名解决方案18以上的系统实现必须依赖于外部扫描、影像设备的功能支持，目前管控系统已经支持的相关设备型号如下：4.3 解决方案实现电子文件的收集、识别、查询和存储，与企业业务系统紧密集成，加强对非结构化数据的规范管理和高效利用。设备类型 品牌 型号 备注扫描仪 富士通 Fi6230Z 驱动支持这一品牌的若干种型号，测试型号为Fi6230Z。高拍仪 精易拍 wx-500 驱动支持这一品牌的若干种型号，测试型号 wx-500。扫描仪 HP 惠普HP scanjet 5590包含支持 HP 其他主流扫描设备扫描仪 佳能 9000
24、F 包含支持佳能的其他主流扫描设备高拍仪 深圳良田 S300D 驱动支持这一品牌的若干种型号，测试型号S300D。电子签名解决方案194.3.1 文件归集业务申请和审批过程中按流程、按节点随需扫描或上传原始电子文件，实现原始资料的动态收集。业务单据或凭证完成后，可补充或修改上传原始凭证。4.3.2 集中存储实现与非结构化数据中心的集成，将原始凭证集中存储，统一管理和调用。支持多种格式存储：电子签名解决方案20.jpg，.bmp，.tif，.txt，.doc，.xls，.ceb，.pdf，.wps4.3.3 智能识别利用 OCR 技术，对原始单据（增值税发票，订单，合同）进行扫描识别，可自动生成
25、结构化单据、汇总生成凭证或单据的金额。4.3.4 文件查询业务处理过程查询：在单据、凭证申请和审批过程中，可随时查看原始资电子签名解决方案21料及文件相关信息。文件综合查询：提供按单据编号、凭证编号查询原始文件影印材料，并支持穿透查看关联的业务单据和凭证。提供按单位、日期、文件类型、单据类型、凭证类型等多种方式查询原始文件影印材料。电子签名解决方案224.4 应用价值（1）原始凭证的电子信息化，可视化。将纸质文件信息化，通过信息系统进行管理，实现可视化。（2）原始凭证的统一、规范管理。将原始凭证集中统一管理，进行全过程的规范管理。（3）方便业务审核、追溯。同系统的业务处理结合起来，方便业务申请
26、审核时查看原始凭证，并可随时追溯、查看和审计。（4）智能识别、方便快捷。通过对图片中的文字信息进行智能识别，生成业务单据或凭证，方便用户快捷处理业务。5、配合事项 结合以上关于广西电网在管控系统中引入电子签名与原始凭证电子化的建设需要及可实现的目标要求，现在需要南网信息部配合事项如下：（1）确认第三方证书供应商以及证书类型；（2）扫描仪或者高拍仪品牌、型号确定。6、服务支持为保证系统建设的顺利进行及日后系统的正常、安全的运行，我们将提供快速、全面、优质的服务。在项目完成后，将继续在各方面给予支持，在软件支持方面，主要有：（1）组织结构：成立专门的软件支持小组，为系统运行过程中出现的问题以及今后系统更新升级提供具体的技术上的支持。支持小组的成员由我们公司高级技术人员组成。（2）日常支持：日常支持可以通过电话、电子邮件，Web 及远程诊断方式进行电话支持电子签名解决方案23（3）应急支持：对于突发系统问题，我们的服务人员讲在接收到客户反馈后第一时间联系解决。
