网上报税身份认证方案

2004-9-6　发布方：中兴网络　网友评论 0 条　点击进入论坛

    网上电子报税是指纳税人利用电脑上网，通过Internet把报税数据发送到税务局的报税服务器，报税服务器实时接收报税数据并对其进行分析校验，把正确的数据导入到征管数据库，并把申报结果或错误信息及时反馈给纳税人的过程。网上报税方便了纳税人使其无须到办税大厅上门申报；提高了税务机关征管稽查的效率，为集中征收的新征管模式铺平了道路。

　　本文只是针对与网上报税系统中的身份认证与数据加密部分进行介绍。需要说明的是：针对于任何系统，其核心的是其业务流程，而系统安全是在为了保证其业务流程能顺利完成而进行的必要保护手段。任何系统没有安全产品的保护是存在致命隐患的，而任何安全产品没有实际应用系统所依附也是没有实际意义的。在此只讨论安全认证只是便于叙述。

　　传统的"密码+用户名"认证的缺陷：

　　1、密码位数太长，难于记忆；密码太短，容易破解。实际应用中密码长度很难超过10位。

　　2、密码容易扩散，或者容易得到。例如：趁着操作者输入密码时，在其后偷窥；或者在电脑中放入木马程序，记录操作者输入的数据；再有可以拦截传输的数据，进行分析查找到密码。

　　3、密码可以被多人使用，无法统计真实地使用情况。

　　。。。。。。

　　目前一些网上报税系统中对身份认证以及数据加密都比较重视，许多厂家都按照自己的理解提出自己的方案。

　　双因子身份认证：现实生活中很多都有应用。举个例子：我们用银行卡在ATM机上取款。首先，我们要有一张银行卡（硬件部分），其次我们要有密码（软件部分）。ATM机上的操作就是一个应用系统，如果缺一部分就无法取到钱，这就是双因子认证的事例。因为系统要求两部分（软的、硬的）同时正确的时候才能得到授权进入系统，而这两部分因为一软一硬，他人即使得到密码，因没有硬件不能使用；或者得到硬件，因为没有密码还是无法使用硬件。这样弥补了"密码+用户名"认证中，都是纯软的，容易扩散，容易被得到的缺点。

ePass网上报税示意图如下： 
 

认证流程：

    纳税人登陆到税务局网站，要进行网上报税活动，首先进行其身份的确认。如图1-1所示： 

图1-1

    客户机（纳税人的电脑）首先向认证服务器发出登录请求。服务器（认证服务器）则通过用户名（或者用户编码--在ePass1000中存储）便可从用户数据库中取出相应用户的密钥，如图1-2所示：

图1-2

　　当认证服务器收到客户的登录请求后，便向客户机发送一个随机字符串，此串最终送入客户机的ePass1000中用于计算。与此同时，认证服务器则根据用户名取出对应的密钥并利用发送给客户机的随机串X，在服务器上用加密引擎进行运算，得到运算结果Rh，如图1-3所示：

    网上电子报税是指纳税人利用电脑上网，通过Internet把报税数据发送到税务局的报税服务器，报税服务器实时接收报税数据并对其进行分析校验，把正确的数据导入到征管数据库，并把申报结果或错误信息及时反馈给纳税人的过程。网上报税方便了纳税人使其无须到办税大厅上门申报；提高了税务机关征管稽查的效率，为集中征收的新征管模式铺平了道路。

　　本文只是针对与网上报税系统中的身份认证与数据加密部分进行介绍。需要说明的是：针对于任何系统，其核心的是其业务流程，而系统安全是在为了保证其业务流程能顺利完成而进行的必要保护手段。任何系统没有安全产品的保护是存在致命隐患的，而任何安全产品没有实际应用系统所依附也是没有实际意义的。在此只讨论安全认证只是便于叙述。

　　传统的"密码+用户名"认证的缺陷：

　　1、密码位数太长，难于记忆；密码太短，容易破解。实际应用中密码长度很难超过10位。

　　2、密码容易扩散，或者容易得到。例如：趁着操作者输入密码时，在其后偷窥；或者在电脑中放入木马程序，记录操作者输入的数据；再有可以拦截传输的数据，进行分析查找到密码。

　　3、密码可以被多人使用，无法统计真实地使用情况。

　　。。。。。。

　　目前一些网上报税系统中对身份认证以及数据加密都比较重视，许多厂家都按照自己的理解提出自己的方案。

　　双因子身份认证：现实生活中很多都有应用。举个例子：我们用银行卡在ATM机上取款。首先，我们要有一张银行卡（硬件部分），其次我们要有密码（软件部分）。ATM机上的操作就是一个应用系统，如果缺一部分就无法取到钱，这就是双因子认证的事例。因为系统要求两部分（软的、硬的）同时正确的时候才能得到授权进入系统，而这两部分因为一软一硬，他人即使得到密码，因没有硬件不能使用；或者得到硬件，因为没有密码还是无法使用硬件。这样弥补了"密码+用户名"认证中，都是纯软的，容易扩散，容易被得到的缺点。

ePass网上报税示意图如下： 
 

认证流程：

    纳税人登陆到税务局网站，要进行网上报税活动，首先进行其身份的确认。如图1-1所示： 

图1-1

    客户机（纳税人的电脑）首先向认证服务器发出登录请求。服务器（认证服务器）则通过用户名（或者用户编码--在ePass1000中存储）便可从用户数据库中取出相应用户的密钥，如图1-2所示：

图1-2

　　当认证服务器收到客户的登录请求后，便向客户机发送一个随机字符串，此串最终送入客户机的ePass1000中用于计算。与此同时，认证服务器则根据用户名取出对应的密钥并利用发送给客户机的随机串X，在服务器上用加密引擎进行运算，得到运算结果Rh，如图1-3所示：

 

图1-3

　　客户机将此随机串X传入ePass1000，ePass1000则利用此串与内置在其中的密钥文件通过硬件加密引擎进行运算，也得到一个运算结果（Rc），将此运算结果可直接在网络中发送给认证服务器。如图1-4所示： 

图1-4

　　认证服务器比较两运算结果Rh(服务器) 与Rc（客户机）是否相同，便可确定一个网络用户的合法性，如图1-5所示：

图1-5

　　此认证过程中，完成了认证服务器端对客户端的单项身份认证。而使用者无需输入用户账号，只是简单地输入ePass1000硬件本身的一个用户识别码（PIN码）--此项可选择，即可完成认证过程。

　　由于密钥存在于ePass1000中，而整个运算过程也是在其中来完成的，密钥鉴别是通过加密算法来实现的，随机串作为运算的一个输入因子使其运算结果也随输入的变化而变化。导致每次登陆认证过程中认证服务器与客户端之间的数据往来每次都不相同。如果黑客简单截获到认证过程的数据仍无法在网络中冒充ePass1000客户端。

　　客户密钥是存在于ePass1000中，作为一种特殊的文件存在（KEY文件），本身是不可读，而且可以设置用PIN码保护。

应用环境：

　　客户端：

　　1、浏览器（IE、Netscape等）--B/S结构系统

　　2、驱动程序--硬件产品驱动程序，USBKEY厂家提供

　　3、控件或插件--驱动程序中自带，也可以自行开发

　　4、PIN码更改程序--应用开发商开发，可放到网页中

　　服务器端：以下需要应用开发商进行开发。

　　1、用户数据库--记录用户信息、密钥以及其他信息

    2、认证服务程序--提供认证服务，实现MD5-HASH运算以及数据校验

　　3、发卡、注销管理程序--连接到用户数据库，进行发卡初始化工作，并且可以对用户的权限进行设置

相关案例

• ·政府上网解决方案[图]
• ·TRS图书馆解决方案[图]
• ·国家电力信息网建设[图]
• ·国家计委纵向网全文检索系统[图]
• ·清华英泰企业管理信息化解决方案[组图]

• ·清软英泰TiECMS解决方案[组图]
• ·方正易畅InfoHub安全信息交换平台解决方案[组图]
• ·方正易畅iSearch全文检索系统解决方案[组图]
• ·地下管线信息系统解决方案
• ·光盘中心（设计资源管理中心）解决方案

推荐解决方案

领军企业实施案例

电子杂志订阅

赞助商链接