時間：2023-03-20 16:11:59
導語：在身份認證技術論文的撰寫旅程中，學習并吸收他人佳作的精髓是一條寶貴的路徑，好期刊匯集了九篇優秀范文，愿這些內容能夠啟發您的創作靈感，引領您探索更多的創作可能。
關鍵詞:身份認證 手機 數字證書 藍牙傳輸協議
中圖分類號:TP39文獻標識碼:A 文章編號:1007-3973 (2010) 05-044-02
1前 言
隨著信息與計算機網絡技術的發展,人類已經迎來了信息時代。互連網的發展大大的改變了人們的生活。然而隨著這些新技術的日益普及,爆發出來的信息安全問題也越來越突出。在享受互連網帶給人們便捷的同時,這把雙刃劍也讓人們感受到了嚴峻的考驗。大量的通過計算機網絡所實施的犯罪行為,讓人們防不勝防。人們有必要對采用更為安全的技術手段來保護自己的敏感信息和交易不被未經過授權的他人截獲和盜取。其中最重要的一個措施就是采用身份認證技術。
2 常見身份認證方式分析
身份認證的范圍較廣,沒有統一的分類方法,根據身份認證的發展情況和認證方式的不同可以大致分為以下幾類:
2.1用戶名+口令的認證方式
這是最簡單,最容易實現的認證技術,其優點在于操作簡單,不需要任何附加設施,且成本低速度快。但是其缺點是安全性差,屬于單因子軟件認證的方式。抗猜測攻擊性差,系統保存的是口令的明文形式,一旦被攻破,系統將受大極大威脅。這種認證方式屬于弱認證方式。
2.2 依靠生物特征識別的認證方式
生物特征識別的認證方式,是為了進行身份識別而采用自動化技術測量人的生物特征,并將該特征與數據庫的特征數據進行比較,從而完成身份識別的方式。因為不同的人具有的相同的生物特征的可能性是可以忽略不計的。所以從理論上來說,生物特征識別方式是最可靠的身份識別方式。它是以人的唯一的,可靠的,穩定的特征為依據的。目前比較成熟的可用于計算機系統的生物特征識別技術有:
(1)指紋身份認證技術。通過分析指紋的全局或者局部特征,抽取詳盡的特征值來確認身份;
(2) 聲紋身份識別技術。也稱語音身份識別技術;
(3)虹膜身份認證技術。虹膜是人眼瞳孔和眼白之間的環壯組織。是人眼的可視部分。是最可靠的人體終身身份標識。虹膜識別在采集和精準度方式具有明顯的優勢;
(4)簽名身份認證技術。是將人的手寫速度,筆順,壓力和圖象等人的個性化特征進行比對。是全新的生物特征認證技術。它不用記憶,方便,易為人接受。可用于計算機登錄,信息網如網,信用卡簽字等等。
生物特征識別的認證方式,雖然具有,不易遺忘丟失,防偽性能好,隨是隨地可用,不易偽造或者被盜等優點。但是它還有一系列暫時不能克服的缺點。表現在;技術不完全成熟,生物識別的準確性和穩定性急待提高。研發成本高,產量小和識別設備成本高,現階段難以推廣和大規模應用,對識別正確率沒有確切的結論,難以做到真正的唯一性,和安全性。
2.3基于Kerberos的認證方式
Kerberos是一種秘密密鑰網絡認證協議。是由美國麻省理工學院(MIT)開發的一項身份認證技術。它的思路對后來的身份認證研究產生了很大的影響。它使用了數據加密標準DES(Data Encryption Standard)加密算法來進行加密和認證。Kerberos 設計的主要目的是解決在分布網絡環境下,服務器如何對使用某臺工作站接入的用戶進行身份認證。Kerberos的安全不依賴于用戶登錄的主機,而是依賴于幾個認證服務器。分別是:認證服務器(AS),用于驗證用戶登錄時的身份。票據發放服務器(TGS),發放身份許可證明。服務提供服務器(Server),客戶請求工作的執行者。
如下圖所示:
基于Kerberos認證方式的缺點:
(1) 它是以對稱的DES加密算法為基礎,這使得在密鑰的交換,保存,管理上存在著較大的安全隱患。
(2)Kerberos不能有效的防止字典攻擊。并且防止口令猜測攻擊的能力是很弱的。因為Kerberos的協議模型未對口令提供額外的保護。黑客或者攻擊者可以收集大量的許可證,通過有些計算和密鑰分析,進行口令猜測。倘若用戶選擇的口令不強,則容易被攻破。
(3)Kerberos協議最初設計是用來提供認證和密鑰交換的。不能用它來進行數字簽名,沒有提供不可抵賴性的機制。
(4)在分布式系統中,認證中心錯終復雜,域間的會話密鑰太多,給密鑰的管理,分配帶來麻煩。
2.4基于PKI的身份認證方式
PKI(Pubic Key Infrastructure)公鑰基礎設施是一種遵循一定標準的密鑰管理平臺。能夠為目前所有的網絡應用透明的提供采用加密和數字簽名等密碼服務所必需的密鑰管理和證書管理。它是現代電子商務和信息安全系統的主要技術之一。PKI做為新發展的安全技術和安全服務規范。不僅能確保網絡數據的機密性,完整性,可用性,同時也可以解決通信雙方身份的真實性問題。基于PKI的數字證書認證方式可以有效的保護用戶的身份安全和數據安全。在基于證書的安全通信中,數字證書是證明用戶身份合法和提供合法公鑰的憑證。是建立保密通信的基礎。因此數字證書的存儲與管理顯得非常重要。本文正是在PKI體系的基礎上利用手機做為數字證書的載體,來實現對用戶身份的認證。
3基于手機的身份認證方式
基于手機的身份認證是基于PKI的身份認證方式的一種改進或者說發展。為了更方便的說明這種認證方式的意義以及原理,特從以下幾個方面進行分析。
3.1現實需求分析
基于PKI的身份認證方式是現階段公認的保障信息網絡社會安全的最佳體系,是信息安全的核心。數字證書的權威性和不可否任是PKI體系的基礎。目前,國內外通常的做法是利用USBKey 做為數字證書的載體。例如中國建設銀行使用的網銀盾,中國工商銀行推出的U盾等。他們都是將數字證書存儲在USB Key中。其優點是較為安全可靠。但其缺點是管理較為麻煩,攜帶起來容易丟失。另外由于其工作原理是將數字證書固化在U盤里,證書不能實現遠距離更新,實際使用起來,還是比較麻煩。目前很多公司和機構都開始研究下一代的證書存儲工具。本論文正是在這樣一個現狀探索性采用人們常用的手機來作為數字證書的存儲和管理工具。并以此展開思考和研究。
3.2理論基礎
PKI(Public Key Infrastructure )公鑰基礎設施,它是一種遵循既定標準的密鑰管理平臺,它能夠為所有網絡應用提供數據加密和數字簽名等密碼服務及所必需的密鑰和證書管理體系一種重要的身份認證技術。是簡單來說,PKI就是利用公鑰理論和技術建立的提供安全服務的基礎設施。PKI技術是信息安全技術的核心,也是電子商務的關鍵和基礎技術。PKI以公鑰密碼技術為基礎,數字證書為媒介,結合對稱加密和非對稱加密技術,將個人的標識信息與各自的公鑰綁在一起,其主要目的是通過管理密鑰和證書,為用戶建立起一個安全、可信的網絡運行環境,使用戶可以在多種應用環境下方便地使用加密和數字簽名技術在客戶端上驗證用戶的身份,從而保證了互聯網上所傳輸信息的真實性、完整性、機密性和不可否認性。
3.3 研究方案及系統組成
計算機要能準確認證用戶的身份,必須能準確的識別用戶手機中的數字證書。其中將數字證書從手機中導入到計算機上中是借助藍牙技術(也可以是紅外技術)提供的數據傳輸通道。并且因為數字證書是通過藍牙技術無線傳輸的,必須給這個通道加密,防止被非法用戶竊取。系統組成如下圖所示:
3.4關鍵問題及其解決方案
3.4.1系統中的關鍵問題
基于手機的身份認證是依賴于手機這個載體,以數字證書為媒介,最終需要保證計算機對手機中的數字證書準確識別。并且整個信息交換不被非授權的第三方截獲。因此整個系統有以下兩個關鍵問題。
(1)數字證書在手機中的安全性問題。數字證書是存放在手機的SD卡上的,要保證數字證書能方便的寫入到SD卡中,并使其具有加密功能,在遺失,被盜的情況下仍能確保數字證書不被非法利用。
(2)計算機要識別手機上的數字證書,或者說信息要在手機和計算機之間安全傳遞,必須有一個安全的通道。雖然可以借助他們本身都帶有的藍牙功能,并且藍牙具有抗干擾性強,成本低的特點。但是仍不能保證信息傳遞的絕對安全。還需要設計一傳輸協議來給他們之間的信息傳遞提供一個安全通道。
3.4.2關鍵問題的解決方案
(1)對于數字證書在手機中安全存儲的問題,可以考慮采用加密SD卡的方法。Sandisk 公司近期研發了一種稱為TrustedFlash 的新技術,可以在SD,Micro SD卡上實現加密。
a.安全加密:根據需要,可設定不同的加密方式和權限,支持采用AES,DESB和3DES的對稱密鑰身份驗證及基于X。509證書鏈的RSAC非對稱密鑰身份驗證。
b.支持數字版權管理(DRM):可在支持硬件加密技術的不同主機間實現移動。
c.具有硬件加密技術的主機向下兼容常規的存儲卡,而硬件加密卡在非保護區域也可作為常規卡使用。
d.主機(如手機)只需要升級軟件來支持硬件加密技術,不需要增加和更改硬件。主要應用于數據安全存取,身份認證及移動電子商務。
(2) 對于傳輸通道的設計。可以借鑒當前的密碼協議SSL協議。SSL即安全套接字層(Secure Socket Layer)。它是網景公司(Netscape)開發的,主要應用于保障Internet上數據傳輸之安全。SSL協議可以分為兩層:SSL記錄協議和SSL握手協議。提供主要服務有:①認證用戶和服務器,確保數據發送到正確的客戶機和服務器;②加密數據以防止數據中途被竊取;③維護數據的完整性,確保數據在傳輸過程中不被改變。認證工作流程為:1)客戶端(C)向服務器(S)發送一個會話請求信息“你好”2)服務器根據客戶的信息確定是否需要生成新的主密鑰,如需要則服務器在響應客戶的“你好”信息時將包含生成主密鑰所需的信息;3)客戶根據收到的服務器響應信息,產生一個主密鑰,并用服務器的公開密鑰加密后傳給服務器;4)服務器恢復該主密鑰,并返回給客戶一個用主密鑰認證的信息,以此讓客戶認證服務器。同樣手機和計算機之間的通信過程和上面相似。只是SSL是同過有線連接傳遞數據,而本系統是通過藍牙技術無線傳遞,其工作原理完全相同。
4小結與展望
本文開頭闡述了常見的身份認證的方式,并分析了它們的優缺點。 目的是為了說明基于手機的身份認證在整個身份認證體系中所在的位置。隨著手機業務的不斷發展。現在的手機已經不僅是局限于傳統的通話業務。越來越多的智能手機投入市場。它們大多可以安裝小型的操作系統具有較強的處理能力,如Symbian 、Windows mobile、Linux等手機操作系統。這就為基于手機的身份認證提供了很好的工具和平臺。可以預見USBKEY的功能將會被手機取代。基于手機的身份認證技術將能更好的服務于人民的生活。
參考文獻:
[1]馮國柱. PKI關鍵技術研究及其應用[D].長沙:國防科學技術大學,2006.
[2]趙小沫. 基于SSL的數據庫安全研究及實現[D]. 武漢:武漢理工大學,2009.
論文摘要:本文針對電子商務安全的要求,分析了電子商務中常用的安全技術,并闡述了數據加密技術、認證技術和電子商務的安全交易標準在電子商務安全中的應用。
所謂電子商務(Electronic Commerce) 是利用計算機技術、網絡技術和遠程通信技術, 實現整個商務(買賣)過程中的電子化、數字化和網絡化。目前,因特網上影響交易最大的阻力就是交易安全問題, 據最新的中國互聯網發展統計報告顯示, 在被調查的人群中只有2.8%的人對網絡的安全性是感到很滿意的, 因此,電子商務的發展必須重視安全問題。
一、電子商務安全的要求
1、信息的保密性:指信息在存儲、傳輸和處理過程中,不被他人竊取。
2、信息的完整性:指確保收到的信息就是對方發送的信息,信息在存儲中不被篡改和破壞,保持與原發送信息的一致性。
3、 信息的不可否認性:指信息的發送方不可否認已經發送的信息,接收方也不可否認已經收到的信息。
4、 交易者身份的真實性:指交易雙方的身份是真實的,不是假冒的。
5、 系統的可靠性:指計算機及網絡系統的硬件和軟件工作的可靠性。
在電子商務所需的幾種安全性要求中,以保密性、完整性和不可否認性最為關鍵。電子商務安全性要求的實現涉及到以下多種安全技術的應用。
二、數據加密技術
將明文數據進行某種變換,使其成為不可理解的形式,這個過程就是加密,這種不可理解的形式稱為密文。解密是加密的逆過程,即將密文還原成明文。
(一)對稱密鑰加密與DES算法
對稱加密算法是指文件加密和解密使用一個相同秘密密鑰,也叫會話密鑰。目前世界上較為通用的對稱加密算法有RC4和DES。這種加密算法的計算速度非常快,因此被廣泛應用于對大量數據的加密過程。
最具代表的對稱密鑰加密算法是美國國家標準局于1977年公布的由IBM公司提出DES (Data Encrypuon Standard)加密算法。
(二)非對稱密鑰加密與RSA算法
為了克服對稱加密技術存在的密鑰管理和分發上的問題,1976年產生了密鑰管理更為簡化的非對稱密鑰密碼體系,也稱公鑰密碼體系(PublicKeyCrypt-system),用的最多是RSA算法,它是以三位發明者(Rivest、Shamir、Adleman)姓名的第一個字母組合而成的。
在實踐中,為了保證電子商務系統的安全、可靠以及使用效率,一般可以采用由RSA和DES相結合實現的綜合保密系統。
三、認證技術
認證技術是保證電子商務交易安全的一項重要技術。主要包括身份認證和信息認證。前者用于鑒別用戶身份,后者用于保證通信雙方的不可抵賴性以及信息的完整性
(一)身份認證
用戶身份認證三種常用基本方式
1、口令方式
這種身份認證方法操作十分簡單,但最不安全,因為其安全性僅僅基于用戶口令的保密性,而用戶口令一般較短且容易猜測,不能抵御口令猜測攻擊,整個系統的安全容易受到威脅。
2、標記方式
訪問系統資源時,用戶必須持有合法的隨身攜帶的物理介質(如存儲有用戶個性化數據的智能卡等)用于身份識別,訪問系統資源。
3、人體生物學特征方式
某些人體生物學特征,如指紋、聲音、DNA圖案、視網膜掃描圖案等等,這種方案一般造價較高,適用于保密程度很高的場合。
加密技術解決信息的保密性問題,對于信息的完整性則可以用信息認證方面的技術加以解決。在某些情況下,信息認證顯得比信息保密更為重要。
(二)數字摘要
數字摘要,也稱為安全Hash編碼法,簡稱SHA或MD5 ,是用來保證信息完整性的一項技術。它是由Ron Rivest發明的一種單向加密算法,其加密結果是不能解密的。類似于人類的“指紋”,因此我們把這一串摘要而成的密文稱之為數字指紋,可以通過數字指紋鑒別其明文的真偽。
(三)數字簽名
數字簽名建立在公鑰加密體制基礎上,是公鑰加密技術的另一類應用。它把公鑰加密技術和數字摘要結合起來,形成了實用的數字簽名技術。
它的作用:確認當事人的身份,起到了簽名或蓋章的作用;能夠鑒別信息自簽發后到收到為止是否被篡改。
(四)數字時間戳
在電子交易中,時間和簽名同等重要。數字時間戳技術是數字簽名技術一種變種的應用,是由DTS服務機構提供的電子商務安全服務項目,專門用于證明信息的發送時間。包括三個部分:需加時間戳的文件的數字摘要;DTS機構收到文件摘要的日期和時間; DTS機構的數字簽名。
(五)認證中心
認證中心:(Certificate Authority,簡稱CA),也稱之為電子商務認證中心,是承擔網上安全電子交易認證服務,能簽發數字證書,確認用戶身份的、與具體交易行為無關的第三方權威機構。認證中心通常是企業性的服務機構,主要任務是受理證書的申請、簽發和管理數字證書。其核心是公共密鑰基礎設(PKI)。
我國現有的安全認證體系(CA)在金融CA方面,根證書由中國人民銀行管理,根認證管理一般是脫機管理;品牌認證中心采用“統一品牌、聯合建設”的方針進行。在非金融CA方面,最初主要由中國電信負責建設。
(六)數字證書
數字證書就是標志網絡用戶身份信息的一系列數據,用于證明某一主體(如個人用戶、服務器等)的身份以及其公鑰的合法性的一種權威性的電子文檔,由權威公正的第三方機構,即CA中心簽發。
以數字證書為核心的加密技術可以對網絡上傳輸的信息進行加密和解密、數字簽名和簽名驗證,確保網上傳遞信息的機密性、完整性,以及交易實體身份的真實性,簽名信息的不可否認性,從而保障網絡應用的安全性。
四、電子商務的安全交易標準
(一)安全套接層協議
SSL (secure sockets layer)是由Netscape Communication公司是由設計開發的,其目的是通過在收發雙方建立安全通道來提高應用程序間交換數據的安全性,從而實現瀏覽器和服務器(通常是Web服務器)之間的安全通信。
目前Microsoft和Netscape的瀏覽器都支持SSL,很多Web服務器也支持SSL。SSL是一種利用公共密鑰技術的工業標準,已經廣泛用于Internet。
(二)安全電子交易協議
(Secure Electronic Transaction)它是由VISA和MasterCard兩大信用卡公司發起,會同IBM、Microsoft等信息產業巨頭于1997年6月正式制定的用于因特網事務處理的一種標準。采用DES、RC4等對稱加密體制加密要傳輸的信息,并用數字摘要和數字簽名技術來鑒別信息的真偽及其完整性,目前已經被廣為認可而成了事實上的國際通用的網上支付標準,其交易形態將成為未來電子商務的規范。
五、總結
網絡應用以安全為本,只有充分掌握有關電子商務的技術,才能使電子商務更好的為我們服務。然而,如何利用這些技術仍是今后一段時間內需要深入研究的課題。
參考文獻:
[1] 萬守付,電子商務基礎(第二版),人民郵電出版社,2006年6月第2版
論文摘要：針對一般網絡應用系統的特征，融合了數據加密、身份認證和訪問控制三種安全技術和機制，并充分考慮了系統安全性需求與可用性、成本之間的平衡，提出了一個以信息資源傳輸和存儲安全保護，身份認證安全管理和資源訪問安全控制為基本要素的網絡應用系統信息安全模型，為加強中小型企業網絡應用系統安全性提供了一個比較簡單可行的方案。
0引言
由于網絡環境的特殊性，每一個投人使用的網絡應用系統都不可避免地面臨安全的威脅，因此，必須采取相應的安全措施。國內在信息安全方面已做了很多相關研究，但大多是單獨考慮資源保護或身份認證等某一方面，而對如何構建一個相對完善且通用的網絡應用系統信息安全解決方案研究不多。本文在ISO提出的安全服務框架下，融合了數據加密、身份認證和訪問控制三種安全技術和機制，并充分考慮了系統安全性需求與可用性、成本等特性之間的平衡，提出了一個以信息資源傳輸和存儲安全保護、身份認證安全管理和資源訪問安全控制為基本要素的網絡應用系統信息安全模型，為加強中小型企業網絡應用系統安全性提供了一個比較簡單可行的方案。
1網絡應用系統信息安全模型設計
1.1信息安全模型總體設想
本文提出的網絡應用系統信息安全模型主要基于三個要素:信息資源傳輸和存儲安全保護，身份認證安全管理以及用戶對資源訪問的安全控制。整個信息安全模型如圖1所示。模型利用過濾器來區分敏感數據與非敏感數據，對于非敏感數據直接以明文形式進人信息資源層處理，而對敏感數據則采用加密傳輸通道進行傳輸，且需要經過身份認證層與訪問控制層的控制后才能進人信息資源層。這樣的設計在保證了信息傳輸和存儲較高的安全性的同時，減少了身份認證層與訪問控制層的系統開銷，大大提高了系統的運行效率。而在信息資源層，則是通過備份機制、事務日志和使用常用加密算法對數據庫中數據進行處理，來保障信息傳輸和存儲的安全。
1.2身份認證層的設計
身份認證層主要包括兩部分:用戶身份認證和用戶注冊信息管理，采用了基于改進的挑戰/應答式動態口令認證機制。
目前使用比較普遍的是挑戰/應答式動態口令認證機制，每次認證時服務器端都給客戶端發送一個不同的“挑戰”字串，客戶端收到這個字串后，作出相應的”應答”。但是，標準的挑戰/應答動態口令認證機制具有攻擊者截獲隨機數從而假冒服務器和用戶，以及口令以明文形式存放在數據庫中易受攻擊兩個缺點。在本模型采用的改進的挑戰/應答式動態口令認證機制中，通過1.4節中論述的敏感數據加密通道對隨機數進行加密傳輸解決了上述第一個問題;通過在客戶端將用戶口令經M DS算法散列運算并保存在服務器端數據庫解決了上述第二個問題，使得服務器在認證時只需要比對客戶端處理后傳來的加密字符串即可。方案的具體流程如下:
1)服務器端口令的保存當用戶在服務器端錄人注冊信息時，將用戶的密碼進行K次M DS散列運算放在數據庫中。
2)用戶請求登錄服務器端開始執行口令驗證:當用戶請求登錄服務器時，Web服務器在送出登錄頁面的同時產生一個隨機數并將其通過敏感數據加密傳輸通道發給客戶端。
3)客戶端M DS口令的生成客戶端首先重復調用與服務器端同樣的MDS運算K次，得到與保存在服務器端數據庫中的口令一致的消息摘要。然后，將從服務器傳來的隨機數與該口令相加后再調用客戶端的M DS散列運算函數，將結果(M DS口令)通過敏感數據加密傳輸通道傳送給服務器。
4)服務器端對MDS口令的驗證服務器端收到客戶端傳來的用戶名和MDS口令后，通過查詢數據庫，將已存儲的經過K次M DS散列運算的口令與隨機數相加后同樣進行M DS散列運算，并比較兩個結果是否相同，如相同則通過驗證，否則拒絕請求。整個用戶口令的生成和驗證過程如圖2所示。
1.3基于RBAC的訪問控制層的設計
訪問控制層主要包括兩部分:權限驗證與授權和資源限制訪問，采用了基于角色的訪問控制機制。在RBAC中引人角色的概念主要是為了分離用戶和訪間權限的直接聯系，根據組織中不同崗位及其職能，一個角色可以擁有多項權限，可以被賦予多個用戶;而一個權限也可以分配給多個角色。在這里，約束機制對角色和權限分配來說非常重要，本模型設計的約束機制主要包括以下幾方面:一是限制一個角色可以支持的最大用戶容量。如超級管理員這個角色對于應用系統非常重要，只允許授權給一個用戶，該角色的用戶容量就是1。二是設置互斥角色。即不允許將互相排斥的角色授權給同一個用戶。如客戶類的角色和管理員類的角色是互斥的。三是設置互斥功能權限。即不允許將互相排斥的功能權限授權給同一個角色。如客戶類角色查看自己銀行賬戶余額信息的權限與修改自己賬戶余額的權限就是互斥的。
數據庫結構設計是實現RBAC的重要環節，良好的數據庫結構設計本身就可以表述RBAC的要求。具體設計如下:
1)用戶信息表(User_info)保存用戶基本信息。其字段有用戶ID ( User ID )、用戶名稱(Username )、密碼(Passw )、用戶類型( Kind )。定義表中的Kind數據項與Role表中Kind數據項具有相同的形式。將用戶進行分類后，當分配給用戶角色時可以指定用戶只能被分派到與其Kind屬性相同的角色，這樣就可以實現角色的互斥約束。
2)角色信息表(Role )、保存各個等級的角色定義信息。其字段有角色ID ( Role_ID )、角色名稱(Rolename )、角色種類( Kind)和角色描述(Role_ Desc ) o Kind數據項代表指定角色集合中的類別。
3)用戶/角色關系信息表(User_Role)保存用戶和角色的對應關系，其字段有用戶ID和角色ID。當向User_Role表中添加數據即給用戶分配角色時，要求User_ info表中要分配角色的用戶數據元組中的Kind數據項與Role表中相應角色的元組Kind數據項相同，以實現一定尺度上的角色互斥，避免用戶被賦予兩個不能同時擁有的角色類型。
4)權限信息表(Permission)保存系統中規定的對系統信息資源所有操作權限集合。其字段有權限ID ( Per_ID )，操作許可(Per)，資源ID( Pro_ID)和權限描述(Per Desc )。
5)角色/權限信息表(Role_ Per)保存各個角色應擁有權限的集合。其字段有角色ID和權限ID。
6)系統信息資源秘密級別表(SecretLevel)保存規定的系統信息資源的秘密級別。其字段有資源ID，密級ID ( SecrLev_ID)和密級信息描述(Secr_Desc )。在客戶端和服務器端傳輸數據和存儲的過程中，通過查詢該表可以判斷哪些信息資源為敏感數據，從而決定對其實施相應的安全技術和機制。
7)角色繼承關系表(Role_ Heir)存放表述各種角色之間繼承關系的信息。其字段有角色ID，被繼承角色ID ( H_Role_ID )。角色繼承關系可以是一對一，一對多或多對多的，通過遍歷整個角色繼承關系表，就可以知道所有的角色繼承關系。
8)權限互斤表(MutexPer)保存表述角色對應權限互斥關系的信息，其字段有權限ID和互斥權限ID。
1.4敏感數據加密傳輸通道的設計
設計敏感數據加密傳輸通道的目的是保障敏感信息在傳輸過程中的保密性與完整性。針對中小型企業網絡應用系統的特點，在充分對比各種數據加密傳輸解決方案的基礎上，從成本和效果兩方面出發，我們選擇3DES加密算法對敏感數據進行加密。同時又結合了RSA算法對密鑰進行傳輸，從而解決了對稱加密算法缺乏非對稱加密算法}/}/公鑰的安全性這個問題。具體工作流程如下:
1)服務器端由RSA加密算法生成公鑰KSpub和私鑰KSpriv;
2)服務器端將公鑰KSpub傳送給客戶端;
3)客戶端接收公鑰KSpub，然后由3DES加密算法生成對稱密鑰Ksym，用KSpub加密Ksym ;
4)客戶端將加密后的Ksym傳送給服務器端;
5)服務器端用KSpriv解密得到Ksym ;
6)敏感數據加密傳輸通道建立成功，服務器端和客戶端以Ksym作為密鑰對敏感數據加/解密并傳輸。
1.5安全審計部分的設計
本模型中的安全審計記錄內容包括三個方面:一是用戶信息，包括用戶名、用戶IP地址等;二是用戶行為信息，包括用戶訪問系統敏感資源的內容、訪問系統資源的方式等;三是時間信息，包括用戶登錄和注銷的時間、特定行為發生的時間等。值得注意的是，安全審計跟蹤不僅要記錄一般用戶的行為，同時也要記錄系統管理員的行為。
【關鍵詞】虛擬專用網 數字證書 身份認證 校園網
虛擬專用網（VPN）是信息安全基礎設施的一個重要組成部分，是一種普遍適用的網絡安全基礎設施。目前，一些企業在架構VPN時都會利用防火墻和訪問控制技術來提高VPN的安全性，但存在不少的安全隱患。因此針對現有VPN系統無法滿足校園網安全使用的問題，深入分析、研究了VPN系統中的關鍵技術和主要功能，構建了一種基于PKI的校園網VPN系統的體系架構。
1 系統框架設計及系統功能模塊描述
1.1 系統框架設計
VPN系統需要解決的首要問題是網絡上的用戶與設備都需要確定性的身份認證。錯誤的身份認證。不管其他安全設施有多嚴密。將導致整個VPN的失效， IPSec本身的因為它的身份認證規模較小、比較固定的VPN上是可行的，把PKI技術引進VPN中是為了網絡的可擴展性和保證最大限度的安全，CA為每個新用戶或設備核發一張身份數字證書，利用CA強大的管理功能，證書的發放、維護和撤銷等管理極其容易，借助CA，VPN的安全擴展得到了很大的加強。傳統的VPN系統中，設備的身份是由其IP地址來標識的。IP地址也可能隨著服務商或地點的改變而改變，借助CA提供的交叉認證，無論用戶走到哪兒，該用戶的數字證書卻不會改變可以隨時跟蹤該數字證書的有效性。本人提出將PKI證書身份認證技術應用在校園網IPSec-VPN網關中，以此來解決VPN的身份認證。
1.2 系統功能模塊描述
從軟件結構上分VPN網關系統分為應用層模塊和內核層模塊，SAD手工注入接口模塊和密鑰管理程序模塊為運行在應用層的軟件模塊。IPSEC處理模塊、CA模塊和防火墻模塊為運行在內核層的軟件模塊。
2 VPN系統分析
2.1 系統的需求分析
師生們越來越多地走出校園。他們也可能需要用到校園內部專用網絡資源。這是因為隨著我校的發展、項目的合作以及文化的交流越來越頻繁，通過校園網VPN網統在公共網絡中建立的可保密、控制授權、鑒別的臨時安全虛擬連接，它是一條穿越相當混亂的公用網絡的安全隧道，是高校內部網的擴展，采用通道加密技術的VPN系統，通過基礎公網為使用高校提供安全的網絡互聯服務。這樣師生們很方便的訪問我校內網的網絡資源，而且相對專用網、校園網VPN系統大大降低成本；相對Internet通信，VPN系統又具有相當高的安全性。密鑰基礎設施PKI是一種遵循既定標準的密鑰管理平臺，能夠為所有網絡應用提供加密和數字簽名等密碼服務以及所必須的密鑰和證書管理體系，這正好能彌補VPN的IPSec在身份認證方面的缺點。
2.2 流程分析設計
（1）將PKI的認證、機密性和完整性協議定義為PKI專用數據，并把它們置于DOI字段中，同時加載證書字段，生成帶PKI性能的IKE載荷。
（2）IKE進行野蠻模式或者主模式交換，互換證書，建立IKE SA。
（3）雙方用公鑰檢查CA和證書中的身份信息在證書上的數字簽名。
（4）用公開密鑰加密算法驗證機密性。
（5）用數字簽名算法驗證完整性。
（6）協商一致后，生成具體的SA。
IPSec與PKI結合后，在密鑰交換過程中，通過交換證書的方式交換了公鑰和身份信息，驗證數字簽名、機密性和完整性，從而充分的保證了信息來源的可信度、完整性等，同時，IPSec配置文件中實現與多數用戶的通信，只需少數的CA證書即可。
3 VPN系統的實現
3.1 IPSec內核處理模塊實現
（1）為每種網絡協議（IPv4，IPv6等）定義一套鉤子函數（IPv4定義了5個鉤子函數）。在數據涉及流過協議棧的幾個關鍵點這些鉤子函數被調用。在這幾個點中，協議棧將把數據報及鉤子函數標號作為參數調用Netfilter框架。
（2）內核的任何模塊注冊每種協議的一個或多個鉤子，實現掛接，這樣當傳遞給Netfilter框架某個數據包時，內核能檢測是否有任何模塊對該協議和鉤子函數進行了注冊。如果注冊了，則調用該模塊的注冊時使用的回調函數，這樣這些模塊就有機會檢查（可能還會修改）該數據包、丟棄該數據包及指示Netfzlter將該數據包傳入用戶空間的隊列。
（3）那些排隊的數據包是被傳遞給用戶空間的異步地進行處理。一個用戶進程能檢查數據包，修改數據包，甚至可以重新將該數據包通過離開內核的同一個鉤子函數中注入到內核中。
3.2 CA系統功能模塊實現
根據我校校區的分布，在這里PKI系統采用單CA多RA的系統結構，這種結構是單CA的改進，其中RA承擔了CA的部分任務，減輕了CA的負擔，隨著校園規模和校園網的進一步擴大，如果經費允許，我們將建立層次CA，學校一個根CA，考慮到系統的安全性，CA服務器、RA服務器、Ldap服務器放置在北校區的防火墻后面，由于我校已購置日立的磁盤陣列，實際的數據庫系統采用磁盤陣列實現。
CA服務器負責制作證書，簽發證書作廢表，審核證書申請，管理和維護中心CA系統，提供加密服務，保護存儲密鑰和密鑰管理等等功能，整個系統基于windows系統，采用Java平臺，并利用OpenSSL函數庫和命令行工具而本論文并不討論與之相關的加密、解密和密鑰存儲，證書策略等。
4 結語
本文從互聯網的發展說明VPN技術產生的背景和意義，再對VPN的相關技術、協議進行研究與分析。在此基礎上，結合校園網絡的實際情況，提出了一個基于PKI校園網VPN系統的實現方案以利用VPN安全技術突破校園專用網的區域性限制來解決校園網存在的一些問題。同時根據提出的方案給出了一個校園網VPN實現的實例，并對該實現過程進行了檢驗和分析，在一定程度上驗證了所提方案的有效性。
參考文獻
[1]錢愛增.PKI與VPN技術在校園網內部資源安全問題中的應用研究[J].中國教育信息，2008（9）：77-80.
[2]馮登國，李丹.當前我國PKI/PMI標準的制訂與應用[J].信息網絡安全，2005：16-17.
論文摘要:隨著我國信息技術的不斷發展,對中小企業電子信息安全的保護問題也成為人們關注的焦點。本文以電子信息安全為主體,介紹中小企業信息化建設,對電子信息安全技術進行概述,提出主要的安全要素,找出解決中小企業中電子信息安全問題的策略。
在企業的管理信息系統中有眾多的企業文件在流轉,其中肯定有重要性文件,有的甚至涉及到企業的發展前途,如果這些信息在通用過網絡傳送時被競爭對手或不法分子竊聽、泄密、篡改或偽造,將會嚴重威脅企業的發展,所以,中小企業電子信息安全技術的研究具有重要意義。
一、中小企業的信息化建設意義
在這個網絡信息時代,企業的信息化進程不斷發展,信息成了企業成敗的關鍵,也是管理水平提高的重要途徑。如今企業的商務活動,基本上都采用電子商務的形式進行,企業的生產運作、運輸和銷售各個方面都運用到了信息化技術。如通過網絡收集一些關于原材料的質量,價格,出產地等信息來建立一個原材料信息系統,這個信息系統對原材料的采購有很大的作用。通過對數據的分析,可以得到跟多的采購建議和對策,實現企業電子信息化水準。有關調查顯示,百分之八十二的中小企業對網站的應還處于宣傳企業形象,產品和服務信息,收集客戶資料這一階段,而電子商務這樣關系到交易的應用還不到四分之一,這說明企業還未充分開發和利用商業渠道信息。中小企業信息化時代已經到來,企業應該加快信息化的建設。
二、電子信息安全技術闡述
1、電子信息中的加密技術
加密技術能夠使數據的傳送更為安全和完整,加密技術分為對稱和非對稱加密兩種。其中對稱加密通常通過序列密碼或者分組機密來實現,包括明文、密鑰、加密算法以及解密算法等五個基本組成成分。非對稱加密與對稱加密有所不同,非對稱加密需要公開密鑰和私有密鑰兩個密鑰,公開密鑰和私有密鑰必須配對使用,用公開密鑰進行的加密,只有其對應的私有密匙才能解密。用私有密鑰進行的加密,也只有用其相應的公開密鑰才能解密。
加密技術對傳送的電子信息能夠起到保密的作用。在發送電子信息時,發送人用加密密鑰或算法對所發的信息加密后將其發出,如果在傳輸過程中有人竊取信息,他只能得到密文,密文是無法理解的。接受著可以利用解密密鑰將密文解密,恢復成明文。
2、防火墻技術
隨著網絡技術的發展,一些郵件炸彈,病毒木馬和網上黑客等對網絡的安全也造成了很大的威脅。企業的信息化使其網絡也遭到同樣的威脅,企業電子信息的安全也難以得到保證。針對網絡不安全這種狀況,最初采取的一種保護措施就是防火墻。在我們的個人電腦中防火墻也起到了很大的作用,它可以阻止非黑客的入侵,電腦信息的篡改等。
3、認證技術
消息認證和身份認證是認證技術的兩種形式,消息認證主要用于確保信息的完整性和抗否認性,用戶通過消息認證來確認信息的真假和是否被第三方修改或偽造。身份認證使用與鑒別用戶的身份的,包括識別和驗證兩個步驟。明確和區分訪問者身份是識別,確認訪問者身份叫驗證。用戶在訪問一些非公開的資源時必須通過身份認證。比如訪問高校的查分系統時,必須要經過學號和密碼的驗證才能訪問。高校圖書館的一些資源要校園網才能進行訪問,非校園網的不能進入,除非付費申請一個合格的訪問身份。
三、中小企業中電子信息的主要安全要素
1、信息的機密性
在今天這個網絡時代,信息的機密性工作似乎變得不那么容易了,但信息直接代表著企業的商業機密,如何保護企業信息不被竊取,篡改,濫用以及破壞,如何利用互聯網進行信息傳遞又能確保信息安全性已成為各中小企業必須解決的重要問題。
2、信息的有效性
隨著電子信息技術的發展,各中小企業都利用電子形式進行信息傳遞,信息的有效性直接關系的企業的經濟利益,也是個企業貿易順利進行的前提條件。所以要排除各種網絡故障、硬件故障,對這些網絡故障帶來的潛在威脅加以控制和預防,從而確保傳遞信息的有效性。
3、信息的完整性
企業交易各方的經營策略嚴重受到交易方的信息的完整性影響,所以保持交易各方的信息的完整性是非常重要對交易各方都是非常重要的。在對信息的處理過程中要預防對信息的隨意生成、修改,在傳送過程中要防止信息的丟失,保持信息的完整性是企業之間進行交易的基礎。
四、解決中小企業中電子信息安全問題的策略
1、構建中小企業電子信息安全管理體制
解決信息安全問題除了使用安全技術以外,還應該建立一套完善的電子信息安全管理制度,以確保信息安全管理的順利進行。在一般中小企業中,最初建立的相關信息管理制度在很大程度上制約著一個信息系統的安全。如果安全管理制度出了問題,那么圍繞著這一制度來選擇和使用安全管理技術及手段將無法正常進行,信息的安全性就得不到保證。完善,嚴格的電子信息安全管理制度對信息系統的安全影響很大。在企業信息系統中,如果沒有嚴格完善的信息安全管理制度,電子信息安全技術和相關的安全工具是不可能發揮應有的作用的。
2、利用企業的網絡條件來提供信息安全服務
很多企業的多個二級單位都在系統內通過廣域網被聯通, 局域網在各單位都全部建成,企業應該利用這種良好的網絡條件來為企業提供良好的信息安全服務。通過企業這一網絡平臺技術標準,安全公告和安全法規,提供信息安全軟件下載,安全設備選型,提供在線信息安全教育和培訓,同時為企業員工提供一個交流經驗的場所。
3、定期對安全防護軟件系統進行評估、改進
隨著企業的發展,企業的信息化應用和信息技術也不斷發展,人們對信息安全問題的認識是隨著技術的發展而不斷提高的,在電子信息安全問題不斷被發現的同時,解決信息安全問題的安全防護軟件系統也應該不斷的改進,定期對系統進行評估。
總之,各中小企業電子星系安全技術包含著技術和管理,以及制度等因素,隨著信息技術的不斷發展,不僅中小企業辦公室逐漸趨向辦公自動化,而且還確保了企業電子信息安全。
參考文獻:
[1]溫正衛;信息安全技術在電子政務系統中的應用[J];軟件導刊,2010
閆兵;企業信息安全概述及防范[J];科學咨訊,2010
論文摘要:身份和身份管理已成為移動報務中很重要的組成部分。比起集中式的身份管理，移動領域巾采刀的聯合身份管理能使月戶更方便、更快捷地使用到個性化的移動服務，但又不失安全性。本文基于身份聯合框架，探討和研究了聯合身份管理及并在移動服務中的應用。
引言
隨著當今移動通信技術的發展，例如基于分組交換的移動網絡的發展、擁有彩屏和X日TML瀏覽器的移動設備的出現，商家可以為用戶提供相對于有線網絡來說更方便、更自由的移動服務。在這些服務中，用戶身份是一個很重要的組成部分，商家只有在獲得有效的、經過認證的用戶身份后，才能為該用戶提供個性化的移動服務。可是現今這些服務并不像人們所想象得那樣迅速發展，其中有四個主要原因:
——用戶和商家之間不能建立相互信任的關系。一方面商家希望獲得用戶更多的身份信息以方便其提供更有效的服務.而另一方面用戶又不愿意自己的隱私得不到有效的保障。
——各個商家的用戶身份管理處于相互獨立的狀態，這樣用戶就需要記住自己在不同服務處不同的用戶名和密碼。
——由于自身體積大小的限制移動設備通常使用小型的鍵盤和屏幕.這些硬件上的限制使得用戶在使用服務時輸入用戶名和密碼并不是那么的方便。各個商家在建立有效的身份管理機制上投入了大量的時間和財力.從而影響了這些服務的及時部署和最終的利潤。
建立一個有效的身份管理架構可以很好地解決上面出現的問題。在這個架構中，各個商家基于某個協議建立起廣泛的相互信任關系:一個商家做出的關于用戶身份的認證聲明將被其它商家所信任。這樣就為用戶提供了一個無縫化的服務環境.用戶只需單次登錄.然后點擊就可以輕松獲得各種個性化的移動服務。
現有的身份管理架構可以分為兩種:集中式的身份管理和聯合的身份管理。其中集中式的身份管理以微軟的Passport機制為代表，它是一種Web服務它將用戶的網絡身份和相關信息存放在大型數據庫中實行集中式的管理所以注冊了Passport的用戶可以采用Passport關聯的應用程序在Internet上任何位置進行驗證，PassPort驗證票證也可以被解碼到cookie中，以便實現單一登錄而無需重復登錄。
但是它的缺點也是顯而易見的，由于身份管理是集中式的，所以單點故障很可能導致認證癱瘓。而且，最關鍵的問題在于Passport只能在相似的平臺中部署，雖然多數線上消費者使用WindowsPC連接互聯網，但他們的數字身份卻是由IsP或是移動服務商所頒發而這一領域又多屬于Unix/Linux系統的市場。此外，從手機、PDA或其它非Windows平臺訪問網絡的情況也越來越普及因此以平臺無關的方式來進行身份管理越發重要。
聯合身份管理
1.身份聯合框架
2002年7月，由諾基亞、SUN、Intel、HP以及GM等160多家公司和組織組成的自由聯盟(LibertyAlliance)提出了身份聯合框架(ldentityFederationFrameworkID一FF}。該框架基于身份聯合來實現身份管理，并制定了一系列的開放性的規范和標準來實現以下幾個目的
（1）用戶可以選擇性地將其在不同服務商處的帳戶連接起來。
(2)用戶在其中一個帳戶處經過身份認證后就可以連接到其它帳戶而不用重新登錄從而實現了單點登錄。
(3)當用戶在其中一個帳戶處退出登錄后，在其它帳戶處也會注銷其登錄會話信息從而實現了單點退出。
(4)在固定設備和移動設備上都能實現身份的聯合。該框架中.由于用戶的網絡數字身份信息是保存在不同的地方.所以解決了集中式身份管理中存在的單點故障問題。而且該框架是以SOAP和SAML為基礎的開放性的架構.如圖1所示，所以它與具體部署平臺和實現語言無關。
2.參與角色和架構組件
在一個典型的身份管理商業系統中.通常包含三種角色:用戶(Use:)、服務提供者(ServieeProvider，以下簡稱sp)和身份提供者(一dentityprovider.以下簡稱ldP)。其中SP是指提供Web服務的商業性或是非盈利性組織Idp是提供身份認證服務的特殊的SP它管理用戶的身份信息.并為其它SP提供認證聲明。在身份聯合框架中，Webserviee、metadata&sehemas和Webredirection三個架構組件將這三個角色聯系在一起。如圖2所示。
圖2中.ldP和SP之間使用Web服務的方式進行相互通信，使用Web重定向方式在用戶設備上為用戶提供服務.而metadataschemas指定Idp和Sp之間交互各種信息的一套元數據和數據格式。
3.信任圈模型
信任圈模型構成了聯合身份管理的基礎。擁有商業聯系的一個或是多個IdP和一組SP，通過某種約定共同構建成一個認證域也稱為信任圈(CirefeofTrust).如圖3所示。在這個信任圈中ldP做出的認證聲明被所有與其聯合的SP所信任。用戶可以選擇將其在ldP處的帳戶和在SP處的帳戶之間建立連接，這樣.用戶下一次在IdP處通過身份認證后，就可以在信任圈中無縫地、安全地使用sP提供的個性化服務。
聯合身份管理在移動服務中的應用
基于自由聯盟提出的開放式的聯合身份管理架構.移動運營商和服務提供商可以按照某種商業協議共同組成一個信任圈。在這個信任圈中服務提供商完全信任移動運營商提供的身份認證聲明，并且可以從運營商處獲得用戶身份信息Web服務，從而使服務提供商和移動運營商聯合起來共同為客戶提供個性化的移動月民務。
在聯合身份管理架構中.有兩種設備可以用于訪問移動服務:普通的瀏覽器客戶端和LECP。
1.普通瀏覽器客戶端
用戶使用普通手機瀏覽器直接訪問移動服務的優點在于它對現今存在的客戶端軟件和網絡設備不需要做任何的改變。但是在這種情況下，服務提供者就無法得知能為該用戶提供身份認證的身份服務者到底是誰。在實際情況中，服務提供者會向用戶提供一個列表讓用戶從中選擇其身份提供者。但是由于移動設備的小鍵盤和小屏幕，這種選擇往往會使用戶喪失耐心。所以這種模式適用于在信任圈內只有一個ldP時使用。
2.LEC/LECP
LEC/LECP(Liberty一enabledCli一ento:Proxy)是指支持自由聯盟架構的客戶端或是器。它擁有用戶在訪問SP時所希望使用的ldP的相關信息，或是知道如何獲得這些信息。LEC/LECP可以是PC機、機頂盒、移動設備或是像WAP網關和日TTP服務器之類的網絡設備。
圖4顯示了在無線領域中基于Libertv的認證架構的一種實現方法。在圖中運營商在作為身份提供者的同時還擁有一個LECP的四AP網關或是盯TP服務器，而服務商也在它的服務中添加了對Liberty協議的支持。當用戶通過點擊訪問服務商的URL時，用戶的手機首先將會與運營商的網關建立會話然后再連接到服務處(圖4中的第1、2步}:服務商能從HTTP請求中識別出網關是LEC網關.并向運營商處的身份提供者發出一個認證用戶身份的請求(圖4中的第3、4步)運營商在認證完用戶的身份后將返回給服務商認證聲明(圖4中的第5、6步);此時服務商就可以根據該認證聲明為用戶提供相應的服務(圖4中的第7.8步)。
運營商可以以不同的方式認證用戶身份.比如WPKI、用戶名加密碼或是電話號碼。其中使用電話號碼是最簡單的認證方式，因為運營商可以在網關處自動地認證用戶的身份。
服務商或許還需要更多的與用戶身份相關的個人信息，例如用戶的在線配置信息、個人購物喜好或是購物記錄、移動用戶的當前位置信息和日志記錄等等以便于服務商向用戶提供更好的個性化服務。此時，服務商也可以以WebServiee的方式通過LEC網關向運營商請求用戶的相關屬性信息，如圖5所示。
在圖5中，運營商處的發現服務將向移動服務商提供可以獲取用戶屬性的地址，然后服務商從該地址訪問屬性Web服務運營商的屬性Web服務提供者將根據用戶的設定檢查該服務商是否擁有訪問并使用這些屬性的授權檢查通過后就以Web月及務的方式為移動服務商提供這些屬性。
由此可見，在移動領域中引合身份管理后服務提供者和運營商共同構成了一個信任圈在這個信任圈中.用戶既可以方便地向服務商提供自己的身份，又可以完全掌控自己的個人信息從而可以授權特定的服務商使用特定的個人屬性信息。而且最主要的是整個認證過程對用戶來說是透明的在用戶看來就好像是“只是點擊就得到了個性化的移動服務”，整個過程是無縫的不會經常被輸入用戶名和密碼的提示所打斷。
3.聯合身份管理的評價
通過上面聯合身份管理在移動服務中的應用的研究討論，我們可以很明顯地看到.聯合身份管理將給移動服務中的各個參與方所帶來的好處:
——對于用戶來說可以更快更方便地訪問到個性化的服務.又不失匿名性和隱私而且對于自己的網絡身份信息和屬性擁有完全的控制權:
——對于服務提供商來說，減少在訪問管理架構上的花費提高操作過程效率.而且服務的快速部署可以適應多變的市場瓣求，在竟爭中搶得先機;
——對于移動運營商來說，增加了新的收入渠道他們可為服務提供商提供身份服務還可以將一些重要的信息(例如移動用戶的位置和在線狀態)出售給服務提供商。
關鍵詞 共享域 省中心 系統整合 CALIS
1、引言
中國高等教育文獻保障系統(CALLS)自1998年正式啟動以來，已初步建成分布式中國高等教育數字圖書館系統，目前正進入第三期的發展階段。CALLS的三期建設是基于云計算、Web2.0、SOA、社會網絡SNS／OpenSocial、知識網絡等核心技術，面向高校館開展數據／知識服務、軟件租用服務(SaaS)、接口服務(OpenAPI)、業務支撐服務以及技術支持服務、培訓服務。其建設目標是為成員館提供標準化、低成本、自適應、可擴展的數字圖書館統一服務和集成平臺，這些館通過彼此互聯，構成全國高校數字圖書館三級共建和共享服務，以及多館服務協作的聯合體系，共同為高校師生提供全方位的文獻服務、咨詢服務、電子商務和個性化服務。
如何擴大CALLS各個系統在成員館中應用的廣度和深度，一直是CALLS中心與成員館雙方面臨的難題。在大多數應用實踐中，CALLS提供的各種系統作為單獨的應用，湮沒在高校圖書館眾多系統之中，其使用效率具有很大的提升空間。因此，CA-LIS三期致力于提供軟件租用服務、接口服務等，并重新設計了單點登錄模塊，旨在實現CALIS應用系統與成員館管理系統之間的深度整合。重慶大學圖書館自2006年開始，自行研發了具有圖書館2.0理念的圖書館系統，以用戶為核心重新設計了B／S的系統架構，構建了以館員為主導的圖書館全面管理系統ADLIB2、以讀者為主導的SNS知識服務社區和圖書館知識搜索LKS三大系統，突現服務的個性化和管理的人性化。CALIS系統與重慶大學圖書館系統均屬于自主研發，雙方對于技術的掌控較深，因此具備了深度整合的基礎，雙方自2010年6月起，就需求設計、接口調試、安全控制進行了整合實踐，并于9月通過多次聯調后，實現初步的整合。從系統整合的效果看，大大提升了圖書館的文獻共享水平，具有進一步推廣應用的價值。
2、CALLS三期共享域與成員館集成模式
2.1 CALIS共享域
CALIS共享域是指按區域、學科，或共同興趣組成的圖書館聯盟，彼此協作，共享資源、服務。它有兩種類型：(1)實體共享域：是指部署云平臺的共享域，為成員館提供各種云服務，如SaaS等。(2)虛擬共享域：是無需部署云平臺的共享域。圖書館按學科或服務組成聯盟，在服務和數據層面實現共享。各成員館與共享域的關系如圖1所示。
CALIS利用云計算技術構建了共享域云服務平臺，部署在各個省中心、園區中心和其他共享域中心，為成員館提供各類軟件租用服務(包括統一認證、館際互借與文獻傳遞、參考咨詢、特色庫、學位論文、云盤等)。各高校圖書館可以免費租用CALIS各級云服務來實現本館服務與云服務的整合，利用該共享域云平臺形成完整的圖書館服務，無需購買和建立本地系統，也不必進行系統維護，就能獲得全局性的整合服務和規模效應，不僅實現了最大程度的資源共享，也能更專注于業務管理和信息服務。
2.2 系統部署和集成模式
目前，CALIS對于高校圖書館的系統部署和集成模式主要有以下4種：
(1)模式1：純本地模式(無認證集成)。基于這種服務模式下的圖書館也就是原本地版，且不支持共享域中的本館認證，僅維持其現有服務形態；
(2)模式2：純租用模式。基于這種服務模式下的圖書館沒有屬于其自身的本地系統，所有資源全部在共享域平臺中進行租用，最大程度上實現了資源的共享，但也就無法從本館進行統一認證登陸；
(3)模式3：純本地模式(支持認證集成)。基于這種服務模式下的圖書館雖然所有的系統和硬件軟件都由其自己負責建立和維護，但因其與CALIS共享域平臺做了對接，故可采用從本館或CALLS統一認證中心兩種不同的方式登陸平臺，其館際互借系統雖然是原本地版，但支持本館認證，基本上實現了最大程度的資源共享；
(4)模式4：本地+租用模式(支持認證集成)。基于這種服務模式下的圖書館將本館的統一認證和CALLS統一認證做了集成，可選擇采用從本館或CALLS統一認證中心兩種不同的方式登陸平臺，其共享域統一認證和館際互借系統是租用的。其中，對共享域統一認證的租用是作為中介而存在的。
3、重慶市共享域與重慶大學圖書館-的系統整合實踐
重慶文獻信息服務中心結合CALLS三期建設目標與已有的建設成果，在重慶市大學城資源共享平臺“網上圖書館”的基礎上，建立或完善重慶市文獻信息保障系統，力求將CALLS重慶中心建設成為面向重慶市各級各類高校圖書館和讀者的資源整合中心、信息服務中心、技術支持中心以及宣傳培訓中心，并將CALLS各項信息服務推廣到重慶市15所本科院校和部分高職學院。
3.1 重慶市共享域的建設
重慶文獻信息服務中心于2010年7月初確定了重慶市共享域和重慶大學圖書館的集成方案，9月初完成重慶市共享域平臺安裝和調試。目前，重慶大學、重慶師范大學、重慶科技學院、重慶工商大學、重慶交通學院已經加入到共享域中，且陸續開通UAS、ILL租用服務。為了便于與CALLS的其他應用系統進行對接，以及各個應用系統在重慶市其他高校圖書館的推廣應用，重慶文獻信息服務中心的系統總體框架采用CALLS系統建設的總體架構。該系統共分為6層：基礎設施層、數據資源服務層、公共基礎服務層、業務邏輯服務層、用戶界面與終端層，通過數字圖書館技術標準與規范、系統運行維護體系、系統安全管理系統來實現對于讀者的各類型文獻共享服務。
各個業務子系統也統一安裝部署在重慶文獻信息服務中心，各個成員館主要通過云計算方式使用重慶市共享域中心的各種CALIS文獻服務。CA-LIS共享域中心的應用系統軟件由共享平臺管理、館際互借與文獻傳遞系統等7個部分組成，它們的系統功能分別是：
(1)共享平臺管理：共享域中心對各個租用館進行管理；為各租用館提供與本館所租用的其他系統之間統一的用戶身份認證、統一的用戶管理和單點登錄服務，能與本館的本地統一認證系統實現聯合認證，能與CAMS全國認證中心系統集成，實現聯合認證。
(2)館際互借與文獻傳遞系統：館際互借與文獻傳遞服務(ILL讀者網關子系統、館際互借事務處理子系統)；各個租用館之間以及租用館與其他圖書館
之間都能彼此進行館際互借與文獻傳遞業務，實現館館結算、館與讀者結算。
(3)虛擬參考咨詢系統：參考咨詢服務(實時咨詢、非實時咨詢、知識庫查詢，知識庫編目和管理、咨詢員管理、專家管理等)；能與CALLS參考咨詢服務中心系統集成，能與CALLS數據交換平臺實現知識庫數據的交換和共享。
(4)通用特色數據庫管理系統：各類資源的特色資源編目、管理，支持14種元數據類型(圖書、古籍、圖片、音頻、視頻、家譜、期刊等)，新數據類型的添加、擴展，數據上傳、管理和，與CALIS特色庫服務中心系統集成，與CALIS數據交換平臺數據交換、共享。
(5)教學參考信息管理系統：提供本館相關的教學信息和教參書的編目與管理，支持教參書與本館OPAC和電子書的關聯，與CALIS教參服務中心數據庫系統集成，與CALIS數據交換平臺實現數據交換和共享。
(6)數據共享服務管理系統(即云盤系統)：提供各類文件資源的上傳、下載、分發、共享、管理等功能，提供個人云盤和機構公共云盤服務，與館際互借與文獻傳遞系統集成和共享。
(7)學位論文信息提交和管理系統：提供面向本校的學位論文的提交、審核、編目和管理，具有SaaS管理和服務功能，與CALIS學位論文服務中心系統集成，與CALLS數據交換平臺實現數據交換和共享。
3.2重慶大學圖書館系統改造
重慶大學圖書館于2007年10月8日正式啟用了基于面向服務的系統架構的圖書館系統，整體采用B／s運行模式。重慶大學現代圖書館管理系統(ADLIB2)以用戶(讀者和館員)為核心，包含基于館員的圖書館管理系統、基于讀者的知識服務系統和圖書館知識搜索，系統采用J2EE、FLEX、AJAX等新技術構建。為了更好地讓ADLIB2系統和CA-LIS共享域進行整合，重慶大學圖書館對本館LIB2.0系統進行了改造，包括統一認證系統、知識服務系統LKS、SNS系統、門戶頁面以及編目系統。
重慶大學圖書館對本館系統的改造包括：
統一認證系統：支持CALLS聯合認證，實現讀者在重慶大學圖書館、重慶市共享域、CALLS中心的全網漫游；
知識服務系統LKS：與CALLS的eduChina／E讀和CCC進行集成，以實現eduChina的一鍵搜索；
SNS系統：開發API和iGoogle小應用，與CA-LIS個性化門戶系統(iGoogle Server)進行集成，以實現CALLS個性化門戶(iGoogle)與重慶大學圖書館“我的書齋”SNS、知識檢索平臺LKS、集成管理系統ADLIB2.0之間的無縫集成；
門戶頁面：在主頁上增加相關的菜單和鏈接，如館際互借、參考咨詢、個性化門戶、外文期刊網等，并支持CALLS的聯合認證；
編目系統：基于新的WS接口將重慶大學圖書館的編目系統與CALLS聯機編目系統進行集成，以便上傳和下載MARC數據，實現整個共享域平臺內成員館的聯合編目。
3.3 系統整合實踐
隨著重慶市共享域平臺安裝調試工作的結束以及重慶大學圖書館系統改造工作的完成，2010年9月，重慶中心共享域與重慶大學圖書館ADLIB2系統進行了整合。事實證明，整合以后的主頁平臺運行穩定、使用效果良好，受到了讀者的普遍歡迎，在真正意義上實現了文獻共享、數據共享、知識共享、設備共享、軟件共享以及人力共享。
3.3.1 整合模式
在CALLS三期重慶文獻信息服務中心的建設中，其業務模式主要以CALLS中心提供的各項文獻服務為核心，重點將各個應用系統納入重慶中心的業務流程中，在此基礎上進行推廣應用，實現與其他成員館的協作。
重慶大學在與CALLS三期重慶中心共享域做系統整合的時候是采用的模式4；本地+租用模式，支持聯合認證。如圖2所示。
具體來說，就是把本地服務器上重慶大學圖書館的“我的書齋”SNS、知識檢索平臺LKS、集成管理系統ADLIB2.0與在共享域平臺中所租用的重慶市共享域的館際互借、統一認證和CALLS管理中心的eduChina、E讀(Global、Local)、個性化門戶(iGoogle)、統一認證中心整合在一起。
3.3.2 數據集成
數據集成是為了實現讀者在重慶大學圖書館與CALIS中心之間的雙向訪問和互動，主要工作在以下三個方面展開：(1)將重慶大學圖書館的MARC數據和電子書目次上傳到CALIS的系統共享平臺，以實現eduChina的一鍵搜索；(2)將本館的動態館藏接口與CALIS共享域平臺對接，以即時揭示本館的館藏書目在架狀態；(3)開通了在eduChina、CCC中的Local服務，使共享域中的其他用戶能在CA-LIS中心檢索本館、本市的文獻及館藏信息。
3.3.3
訪問流程
重慶文獻信息服務中心與重慶大學圖書館的系統整合后，讀者進行數據訪問的流程有以下兩種：一是讀者先訪問eduChina，再進入重慶大學圖書館門戶。若需要用戶登錄的話，則引導讀者到重慶大學圖書館登錄，成功后自動返回eduChina并處于已登錄狀態；已登錄用戶進入重慶大學圖書館(門戶、OPAC)，仍處于已登錄狀態。具體流程如圖3所示，二是讀者先訪問重慶大學圖書館門戶，再進入eduChina、重慶市共享域中的ILL租用版。若在重慶大學圖書館已登錄，進入eduChina時則自動處于已登錄狀態，并可正式進入ILL租用版。具體流程如圖4所示。
3.3.4 開放的iGoogle組件研發
重慶大學圖書館在與重慶中心共享域整合的同時，還開發了18個iGoogle插件，以實現CALIS個性化門戶(iGoogle)與重慶大學圖書館主頁系統的集成。
其中11個不需要身份認證的iGoogle插件是：通知公告、最新書評、最新微博、最新相片、最新求助、熱門期刊、熱門電子書、最熱數字資源、文獻檢索、借閱排行、FAQ。9個需要身份認證的iGoogle插件是：我回復的問題、最新解決問題、我已借圖書、我預約圖書、我的推薦列表、電子訂單推薦、我的賬號、我的藏書架、館員咨詢。
4、結論與展望
論文摘要：針對網上交易安全內容及電子交易系統身份認證方式，提出客戶端網上交易安全防范策略，借此提高網上交易安全性，保護大眾客戶的財產不受損失。
1 引言
隨著中國股市的崛起，極大地激發了人們的投資熱情。目前，中國股民開戶數已達1.4億多戶。中國股市的繁榮直接帶動了網上交易的蓬勃發展，它以其方便、快捷等特點受到廣大股民的喜愛。同時，隨著銀行業、保險業電子化進程不斷深化和完善，網上交易已悄然走進千家萬戶。然而網上交易在給人們帶來方便的同時，也給大家帶來了安全隱患，網上交易犯罪數量不斷攀升，給國家及個人財富帶來極大的風險。有鑒于此，本文從分析網上交易過程入手，幫助大眾用戶防范其交易風險。
2 網上交易安全內容
網上交易安全問題主要包括三方面的內容：Web服務器及其數據的安全、Web服務器和用戶之間傳遞的信息的安全以及終端用戶的計算機及其他連入Internet的設備的安全。Web服務器及其數據的安全問題主要包括：保證服務器能夠持續穩定運行；保證只有經過授權才能修改服務器上的信息；保證能夠把數據發送給指定的接受者。Web服務器和用戶之間傳遞的信息的安全問題主要包括：確保用戶提供給Web服務器的信息如用戶名、密碼、財務信息、訪問的網頁名等不被第三方所閱讀、修改和破壞；保護用戶和服務器之間的鏈路，使得攻擊者不能輕易地破壞該鏈路。終端用戶的計算機及其他連入Internet的設備的安全問題主要包括：用戶需要使用Web瀏覽器和安全計算平臺上的軟件，必須保證這種平臺不會被病毒感染或被惡意程序破壞；用戶需要保護自己的私人信息，確保它們無論是在自己的計算機上還是通過在線服務時都不會遭到破壞。
通過對網上交易攻擊難度的評估，以及對近年來網上電子交易案件分析，可發現直接攻擊Web服務器端或Web服務器和用戶之間連接的案例并不多見，技術難度也較高。因此，攻擊者往往把目光盯上了疏于保護的用戶的桌面電腦上，通過種植木馬病毒等方式，竊取用戶的用戶名、口令、賬號及數字證書，進而冒充用戶進行電子交易，達到竊取資金的目的。下圖為網上交易攻擊手段難易度評估圖，從圖中可以看出網上交易安全防范最薄弱的環節——客戶端的攻擊。在此就客戶端對網上攻擊的防范手段做以分析，寄予幫助大眾客戶能夠安全的使用網上交易，真正享受到網上交易帶來的好處。
3 電子交易系統身份認證方式
電子交易系統身份認證方式主要分為靜態口令、動態口令、數字證書、生物認證等四種主要方式。
靜態口令是由用戶自行設定的口令，一般情況下，用戶不會在一個相對短的時間間隔內頻繁地更換自己的口令，因此這種口令基本上是靜態方式；動態口令是由特定手持終端設備生成的，根據某種加密算法，產生一個隨某一個不斷變化的參數（例如時間，事件等）不停地、沒有重復變化的一種口令。動態口令令牌是用戶每隔一分鐘變換一次口令，攻擊者沒有辦法推測出用戶的下一次登錄口令；數字證書則是由證書認證機構（CA）對證書申請者真實身份驗證之后，用CA的根證書對申請人的一些基本信息以及申請人的公鑰進行簽名（相當于加蓋發證書機構的公章）后形成的一個數字文件，能夠保證用戶在網上傳送信息的安全，防止其他人對信息的竊取或篡改；生物認證是通過人體的唯一生物特征對身份進行識別的方法，如指紋認證、掌紋認證、面容認證、聲音認證、虹膜認證、視網膜認證等，目前指紋認證運用最為廣泛。
靜態口令、動態口令、數字證書、生物認證四種認證方式的安全程度是有差異的，通常情況下，生物認證安全性最高，數字證書、動態口令次之，靜態口令安全性最差。然而靜態口令對軟、硬件環境要求不高，管理和使用也比較方便和容易，因此，在我國大部分客戶都使用靜態口令。
4 客戶端網上交易安全防范手段
（1）妥善保管好相應的認證信息。不要在網吧等公共場所使用網銀等敏感的網上交易系統，不要輕易相信陌生的電話或者短信、郵件，泄漏個人資料。靜態口令應牢記腦中，動態口令要謹慎保管，以免丟失特定的動態口令令牌。數字證書不要存儲在硬盤文件夾上，而應存儲在IC卡或USBKey中，一旦使用完畢立即從電腦上拔除。
（2）及時升級操作系統安全補丁和更新防病毒軟件。避免攻擊者利用操作系統相關漏洞進行攻擊，并在網上交易時打開防毒軟件和個人防火墻，保護個人資料。
（3）謹防進入釣魚網站。在登錄網上交易系統時應留意核對所登錄的網址是否相符，謹防攻擊者惡意模仿相應網站，騙取賬戶和密碼等信息。
（4）選擇好的密碼。好的密碼很難被猜出，應注意字符、數字及標點符號、控制符號組合，大小寫組合，并且避免使用如生日、電話號碼等容易猜測的組合，同時將網上銀行登錄密碼和對外支付的密碼設置成不同的密碼并定期更新。
（5）不隨意下載網上可執行程序和圖片。原則上只下載和使用經過代碼簽名的可執行程序，以免被木馬病毒感染。
（6）充分利用銀行提供的增值服務。現在大多數銀行都提供了交易的短信和郵件提醒，可以充分利用銀行的貼心服務，及時掌握自己的賬戶變動情況。
5 結束語
安全是相對的安全，沒有絕對的安全，是系統就一定有漏洞，對于銀行系統來說也是如此。只要我們不斷加強自身的防范意識，努力做好桌面客戶端認證信息保密工作，再加上銀行不斷升級的安全服務，就會把損失降到最低，從而真正享受到網上交易給你帶來的實惠。
參考文獻：
[1]孟祥瑞. 網上支付與電子銀行[M]. 華東理工大學出版社,2005.
作者：上超望 劉清堂 楊宗凱 趙呈領
【論文關鍵詞】SOA Web服務 數字教育資源 一站式 協同
【論文摘 要】充分利用網絡共享優質教育資源，是當前教育數字化深入發展需要解決的關鍵問題之一。本文對分布式數字教育資源協同的需求進行了分析，提出了SOA環境下數字教育資源協同共享框架模型（MERSCA），論述了系統的主要架構和關鍵技術實現。希望在對現有各資源站點改動最小的基礎上解決資源的共享和增值應用問題，創新數字教育資源公共服務模式，提高資源的利用效率。
一、引言
數字教育通過實現教育從環境、資源到應用的數字化，使現實校園環境憑借信息系統在時間和空間上得到延伸[1]。SOA(Service Oriented Architecture，面向服務架構)是為解決分布式互聯網環境下的資源共享和重用而提出的一種新型軟件系統架構，它允許不同系統能夠進行無縫通信和異構資源共享。
傳統的網絡教育資源使用模式降低了遠程教育系統中的資源通用性能力，造成了大量資源浪費。建設開放共享的數字教育公共服務體系是國家實施現代遠程教育工程的核心組成部分，也是《國家中長期科學和技術發展規劃綱要（2006-2020年）》的重要主題[2]。SOA（面向服務架構）為數字教育服務體系建設提供了最佳支持，為構建開放的數字教育公共服務支撐平臺，建立新型的面向數字教育的公共服務機制，國家支持實施了“數字化學習港與終身學習社會的建設與示范”、“數字教育公共服務示范工程”等多項重大項目，目前已經初步建立了“奧鵬”、“弘成”和“知金”三個覆蓋全國的網絡教育公共服務體系[3]。
在分布式教育資源服務的集成應用中，信息的交互、共享和數據的安全訪問是關鍵內容[4]。設計一個全局的資源協同和訪問框架來屏蔽資源平臺差異，實現分布式資源的共享，以支持優質教育資源增值應用，構建開放和便捷的資源整合服務，成為SOA環境下教育資源數字化建設需要解決的首要問題。
本文在對分布式環境下數字教育資源協同的需求進行分析的基礎上，設計了SOA環境下數字教育資源協同共享框架模型（MERSCA， Model of E-learning Resources Sharing andCoordination Architecture），然后從協同數字教育資源一站式訪問和數字教育資源服務基于序關系的協同兩個方面討論了MERSCA實現的關鍵技術。實踐研究表明，MERSCA模型是分布式數字教育資源協同共享系統建構中一種可行和實用的方案。
二、分布式數字教育資源協同需求分析
數字教育要達到的重要目標是信息共享和應用集成，需要經過一個長期的建設和完善過程[5]，涵蓋資源建設、資源集成、知識處理、平臺接入和運行、質量監控和資源評價等多個方面，所以在建設之初就應融入基于全局觀點、具有可擴展性和新技術兼容等多個方面的考量。
SOA環境下數字教育資源協同共享框架及實現涉及資源協同的可擴展性、資源訪問的便捷性、用戶身份的管理以及認證、授權、加密等多項技術，框架的整體設計應滿足以下目標：
（1）靈活性
數字教育服務架構通過通用性的服務接口調用來實現資源的跨域整合，個體原子服務獨立于實現平臺，具有松耦合、可擴展等特點，它們往往在不同時期由不同廠商開發，設計方法和開發技術也有所不同，各自擁有獨立的用戶認證體系，也因此導致了目前各個系統的用戶數據分散，不能統一管理，難以共享數據的現狀[6]。數字教育資源一站式協同架構需要從整體上靈活地鑒別用戶，為這些多類型的安全服務提供基于整體訪問的跨域安全集成，提供統一訪問入口，從而提高優質資源整合的敏捷性。
（2）信任遷移
面向服務的思想使得資源應用逐漸趨向于分布式和相互合作的形式，用戶的身份和授權也不再局限于某一特定的信任域。當資源來源于多個安全域，為保證資源交互活動安全，每次訪問都需要對用戶進行身份和權限準入確認，降低了資源使用效率[7]。因此需要一種信任遷移機制，能夠提供一個整體的、運行時身份驗證盡可能少的安全信息共享方案。資源訪問主體只需要在某個安全域中進行一次身份認證，就可以訪問其被授權的當前安全域其他資源或被當前安全域信任的其他域中的資源，不必通過多次身份驗證操作來獲得授權。
（3）可伸縮
模型應當能夠提供開放式體系結構，實現可擴展的安全訪問機制，框架應當將信息系統所面對的教育企業或機構從整體應用的角度統一對待，保持通過增加資源使服務價值產生線性增長的能力。當有新的應用需要部署或增加時，不需要對應用程序本身進行大量修改，通過考量安全方案規劃技術發展因素，使新的安全技術和規范可以很方便地融入[8]。
三、數字教育資源一站式協同
架構模型（MERSCA）
SOA環境下數字教育資源協同共享框架模型結構如圖1所示。MERSCA采用層次結構建模方法，從數字教育資源服務中協同資源一站式訪問與基于序關系的動態協同兩個核心技術構建資源的安全整合，把握用戶對于教學設計邏輯和資源訪問等個性化需求，在進行異構數字教育資源協同架構規劃中兼顧目前和未來的發展。MERSCA模型從下至上分為資源管理層、通信層、資源組合層、資源協同層和應用層。
（1）資源管理層
我國教育數字化建設中的一個重要組成部分就是網絡教育資源開發。為促進網絡教育資源建設，國家投入了大量的人力、物力和財力，目前已經建立起了媒體素材、在線題庫、網絡課件、網上教學案例、網絡課程等多種類型的數字教育資源[9]。
在MERSCA中，資源管理層從分布式的優質教育資源中提取類型資源共性，參照已定義好的統一接口標準，將資源屬性對應于標準屬性用XML格式字符串描述出來，形成統一的資源描述規范和服務接口。同時通過WSDL協議描述數字教育資源的服務，實現標準的接口綁定和異構資源的服務封裝，并進行注冊和功能分類的集中管理，在對現有各資源站點改動最小的基礎上解決資源的共享和增值應用問題。資源管理層為通信層和資源服務組合層提供了資源的預處理功能，通過服務接口對外提供教育資源服務。
（2）通信層
通信層使用基于XML的SOAP協議（Simple Object Access Protocol，簡單對象訪問協議）對教育資源交互信息進行描述。應用程序之間基于SOAP進行相互溝通時，不需要知道彼此是在哪一種操作平臺上操作或是各自如何實現等細節信息。SOAP代表了一套資源如何呈現與延伸的共享規則，它是一個獨立的信息，可以獨自運作在不同的操作系統上面，并可以使用各種不同的通訊方式來傳輸，例如SMTP、MIME，或是HTTP等。
無論基于.net技術開發的教育資源系統，還是應用java技術開發的教育資源系統，通過SOAP協議，系統之間能夠相互進行溝通和資源共享，資源系統之間的平臺架構和實現細節是彼此透明的。
（3）教育資源服務組合層
資源組合層基于BPEL4WS業務流，在Web服務組合引擎所提供的質量控制、消息路由、信息管理、事務管理和流程管理等功能的支持下進行資源服務集成。通過可視化編排方式，資源組合層將不同的教育資源原子服務依據教學設計者設定的邏輯組合在一起，屏蔽底層信息基礎設施的變遷，合理地安排這些服務的運行順序，以形成大粒度的、具有內部流程邏輯的教育資源整合，充分發揮優質教育資源服務的潛力，形成“1+1>2”的服務資源集成增值效果。
BPEL4WS基于XML Schema、XPath及XSLT等規范，提供了一套標準化語法對業務流程所綁定的Web服務交互特性及控制邏輯進行描述。通過對業務流程中教育服務資源的交互行為建模，BPEL4WS以可視化和有序的方式協調它們之間的交互活動達成教育資源服務的組合應用目標。
（4）教育資源協同層
異構數字教育資源服務的協同應用過程涉及處于不同計算域下的多個資源提供者，當用戶訪問分布式的多域數字教育資源時，就會涉及安全邊界跨越問題，需要登陸不同系統，接受多次安全身份驗證，安全與訪問效率都無法得到保證。
安全聲明標記語言SAML是信息標準化促進組織（OASIS）為產生和交換使用者認證而制定的一項標準規范，它基于XML架構在不同的在線應用場景中決定請求者、請求內容以及是否有授權提出需求等，同時為交易的雙方提供交換授權和確認的機制，達到可轉移的信任。安全協同層基于SAML實現用戶在多個資源提供者之間身份和安全信息的遷移，通過數字加密和簽名技術保證系統消息之間的保密性。用戶只需在網絡中主動地進行一次身份認證登陸，不需再次登陸就能夠在達成信任關系的成員單位之間無縫地訪問授權資源。資源安全協同層所采用的一站式訪問形式減少了認證次數，同時也降低了用戶訪問資源時的時間成本。
（5）應用層
應用層是系統功能和使用者交互的接口，提供安全管理入口、資源展示、資源新聞、知識宣傳等功能。E-learning學習信息門戶是應用層信息資源集成界面與終端使用者之間進行信息交互的橋梁，它通過一站式服務為學習者提供分布式數字教育資源集成服務中的核心業務。學習者通過信息門戶模塊進入學習環境，依據自身的需要和意愿選擇合適的學習資源，來完成通過多個安全域中的分布式資源整合而形成的系列課程學習。
四、MERSCA模型的關鍵技術實現
依托國家“十一五”科技支撐計劃課題“數字教育公共服務示范工程”，MERSCA模型已在實踐應用環境中得到成功實施。MERSCA通過分布式的數字教育資源服務整合來凝聚分布于網絡中的各種教育資源，實現了教育資源的共享和協同，并提供安全方便的資源訪問模式。MERSCA的成功實施依賴于協同數字教育資源一站式訪問和資源服務基于序關系的協同兩個關鍵技術。
1．協同教育資源的一站式訪問
協同資源一站式訪問技術通過使用SAML安全信牌確保可移植的信任遷移，在分布式的教育資源提供者之間共享用戶身份驗證信息和授權信息，同時又保證資源提供者對資源的控制權。SAML安全信牌由身份認證權威生成，它的生命周期也由身份認證權威來管理。完整的一站式訪問安全認證實現過程如圖2所示，主要由六個步驟組成：
（1）學習者向身份認證權威的SOAP安全Agent提交身份驗證信息，請求確認身份的合法性；
（2）在確認學習者身份為合法后，身份認證權威為學習者創建含有SAML合法性判決標識文件的安全信牌，并將該信牌返回給學習者；
（3）學習者在教學設計業務流程邏輯的引導下，通過點擊目標資源地址的URL來試圖訪問某個協同學習資源，同時將合法性標識文件作為URL的一部分發送給資源站點，然后被重新定向到資源提供者；
（4）學習資源提供者的SOAP安全Agent收到步驟（3）傳遞來的信息，從合法性標識文件中解析出身份認證權威的地址信息，然后向身份認證權威的SOAP安全Agent發送包含合法性標識文件的SAML請求；
（5）身份認證權威的SOAP安全Agent收到SAML請求后，從請求中包含的合法性引用信息找到相關認證，然后將認證信息封裝在SOAP包中，以SAML響應方式傳送給資源提供者；
（6）資源提供者的SOAP安全Agent檢查學習者安全信牌信息，如果檢查成功則將學習者重新定向到數字學習資源所在的URL，并將所需資源發送到學習者瀏覽器，否則將拒絕用戶訪問。
在步驟（2）～（6）中，由于在重定位URL后附有與學習者認證相關的安全信息，可采用簽名和加密的方式來保障認證信息的機密性和完整性。為確保發送方和接收方身份的真實性，步驟（4）和（5）中資源提供者和身份認證權威需要進行雙向認證，它們在傳輸身份聲明的過程中對學習者是透明的。
協同資源一站式訪問的實現讓學習者在訪問不同的服務資源時避免身份重復認證，節省了學習者的學習時間，提高了系統資源的服務效率。
2. 資源服務基于序關系的協同
資源服務基于序關系的協同技術將分布式環境下的教育資源服務看作獨立的功能模塊，通過BPEL4WS（Web服務業務流程執行語言）流程活動綁定這些資源模塊，通過結構化業務流程活動來定義資源服務活動之間基于序的邏輯關系，實現數字教育資源協同，組成大粒度增值應用服務。BPEL4WS流程引擎為業務流程所綁定的資源提供了控制與管理支持。教育資源設計者可以方便地依據教學設計思想采取可視化的方式編排資源協同關系，更方便地適應學習者的個性化學習需求。
圖3展示了一個基于BPEL4WS的簡易資源協同實例，BPEL4WS業務該流程通過三個基本活動分別綁定了由不同提供者提供的“C語言基本知識和測試服務”、“C語言高階知識服務”和“C語言基本知識鞏固服務” 分布式資源，基于教學設計序邏輯組成“C語言知識集成服務”組合服務。當E-learning學習門戶接收到學習者的服務請求時，組合服務資源主要協同過程描述如下：
（1）流程“Receive”協同服務接口接收開始信息啟動業務流程，啟動一個資源協同實例；
（2）“C語言基本知識和測試服務”通過基礎知識服務接口為學習者提供C語言基礎知識學習資源，通過測試接口對學習者進行知識測試；
（3）“C語言基本知識和測試服務”將測試結果得分提交給BPEL4WS學習流程；
（4）BPEL4WS流程對學習者的學習績效進行邏輯判決；
（5）當學習者得分小于60時，學習流程引導學習者進入“知識鞏固服務”，進行知識鞏固；當學習者得分大于60時，學習流程將引導學習者進行高階知識學習；
（6）學習者知識學習結束，學習流程通過“Reply”協同服務輸出接口發送終止信息終止業務流程，結束學習過程。
五、結論與展望
屏蔽資源平臺差異、構建便捷的一站式數字教育資源整合服務是開放環境下數字教育服務建設需要解決的核心問題之一。本文提出了一種面向SOA環境的數字教育資源一站式協同架構模型MERSCA，MERSCA采用分層結構，通過對數字教育資源的服務包裝，實現了資源的共享和可重用；通過基于SAML的安全信息共享技術，實現了一站式訪問；通過BPEL4WS綁定，實現數字教育資源基于教學設計思想的增值協同。MERSCA具有良好的擴展性、集成性以及與平臺無關等特點，適用于數字教育資源跨部門協同應用中的信息共享和資源整合。模型的實現過程證明，該方案具有可行性和實用性。這些特點在筆者參與的國家科技支撐計劃課題“數字教育公共服務示范工程”實踐應用中得到了證明。未來的工作將主要集中在業務流程級別安全性的設計與實現方面，以便提供一個更完善的數字教育資源集成服務安全體系。
參考文獻
[1] 余勝泉. 從知識傳遞到認知建構、再到情境認知——三代移動學習的發展與展望[J]. 中國電化教育，2007，（6）：07-19.
[2] 馮琳，郝丹. 現代教育服務業與數字化學習港——第十五次“中國遠程教育學術圓桌”綜述[J]. 中國遠程教育，2007，（9）：05-17.
[3] 楊宗凱. 數字教育服務體系和環境的構建[J]. 中國遠程教育，2007，（10）：57-58.
[4] 鐘志賢，王覓，林安琪. 論遠程學習者的資源管理[J]. 遠程教育雜志，2008，（6）：48-52.
[5] 羅勇為. 基于生態學視角的基礎教育信息化可持續發展研究[J].中國遠程教育，2010，（6）：22-26.
[6] Shang Chao wang，Liu Qing tang，etc.Requirement Driven Learning Management Architecture Based on BPEL [J].Journal of DongHua University，2010，(02): 263- 267.
[7] 楊宏宇，孫宇超，姜德全. 基于SAML和PMI的授權管理模型[J].吉林大學學報，2008，（6）：1321-1325.