电子招投标系统数字证书兼容互认的探索与研究

54 电子招投标系统数字证书兼容互认的探索与研究
南京市公共资源交易中心 李 琳
摘要 随着数字证书业务的不断推进和发展，其安全性与可靠性逐渐得到用户的认可，越来越多的平台已经将数字证书作为首选身份认证方式。

但由于历史原因和技术限制，一张证书往往只能在一个平台中使用；若要跨平台，则必须重新申请新证书，由此带来资源成本的巨大浪费。

因此，业界对于数字证书兼容互认的呼声越来越高。

本文以南京市公共资源交易中心数字证书使用现状为出发点，对电子招投标系统数字证书兼容互认的困难以及解决方法进行探索与研究。

关键词 电子招投标 数字证书 兼容互认
0 引言
根据《中华人民共和国电子签名法》规定，“可靠的电子签名与手写签名或盖章具有同等的法律效力”。

数字证书可以为招投标双方安全通信提供电子认证，使用电子签章保障电子招投标文件的真实性和完整性，能够实现身份识别和电子信息加密，通过验证识别信息的真伪实现对证书持有者身份进行认证。

招投标的五大特性（功能性、加密性、认证性、完整性、合法性）融入数字证书，既能简化用户操作，又能降低投标人成本，同时还能有效维护电子招投标系统安全，切实保障各招投标单位信息安全和合法权益不受侵害。

但是长期以来，由于各交易平台引入不同数字证书，造成了以下现象：
（1）投标人在不同平台投标，需要购买不同CA证书，收费标准不统一，人为提高交易成本，保管使用成本高；
（2）驱动不通用，投标人投标要装多种驱动，驱动之间有冲突，影响投标；
（3）各交易平台电子签章不统一，投标人成本提高。

为解决此问题，国家层面要求实现数字证书兼容认证：
电子招标投标办法（20号令）第四十四条 电子招标投标公共服务平台应当按照本办法和技术规范规定，具备下列主要功能：（四）支持不同电子认证服务机构数字证书的兼容互认；
公共资源交易平台管理暂行办法（39号）第二十七条：公共资源交易电子服务系统应当支持不同电子认证数字证书的兼容互认。

本文以南京市公共资源交易中心数字证书的使用现状为出发点，对电子招投标系统数字证书兼容互认的困难以及解决方法进行探索与研究。

1 数字证书的使用现状
南京市公共资源交易中心（以下简称中心）是根据南京市综合改革方案要求，将原有的建设工程、交通工程、水利工程、货物工程、政府采购、土地拍卖、产权交易等多个专业交易中心整合组建的。

因南京市整体信息化发展水平较高，在公共资源交易中心组建之前，各专业交易中心已有成熟的信息化建设，这其中也包括数字证书及签章的应用。

在整合建立统一规范的公共资源交易平台的推进中，一些问题也逐步凸显出来：例如某企业办理数字证书参与了房建市政项目的投标，后来要继续参与政府采购项目的投标，则需要重新向政府采购系统申请新的数字证书。

产生此类“信息孤岛”等问题，其中一个重要的原因就是各专业信息化建设都采用数字证书及电子签章，它们能够解决信息
55
化系统的登录安全、文件加解密、文件合法性等问题，但因各行业所选购的证书介质、数字证书以及电子签章不尽相同，各家供应商所提供的技术标准也不一致，从而产生了“技术壁垒”。

目前，中心各专业系统使用的CA 数字证书、电子签章以及证书介质各有3种，这就导致了上述举例中的情况，用户要参与多专业的投标，则需要申请办理多把电子CA 锁，并且各类CA 锁驱动标准不统一，在安装过程中存在冲突，给用户造成了管理和使用上的不便。

为了解决此类问题，给用户提供更便捷优质的服务，中心成立了专门的课题小组，对数字证书的
兼容互认进行探讨研究，旨在将多个数字证书和电子签章进行整合，以整合渠道、统一管理、规范收费、拓展应用为原则，以用户数字证书为载体，通过统一证书应用标识和接口，实现各专业数字证书的兼容互认，达到一证多用、多证通用的目的。

2 兼容互认的主要困难
由于不同的CA 机构颁发数字证书及签章互不通用，造成企业在不同专业投标需要再次申办数字证书（办理签章），造成资源、人力、财力方面的浪费。

目前，企业（用户）使用公共资源交易的业务流程如下图所示：
分析上述流程可以看出，导致数字证书不能兼容互认使用的原因主要在以下几点：
（1）各CA 机构颁发的数字证书格式千差万别，造成证书认证方式不同，没有统一标准。

数字证书认证时需要验证证书有效期、证书链、黑名单、OCSP 等，由于各CA 机构提供的验证方式不尽相同，不能很好兼容其他CA 机构。

数字证书格式的不同、颁发机构CA 证书的不同、算法的不同以及缺乏统一的验证标准这些因素造成了数字证书无法做到统一认证。

（2）各CA 数字证书的集成接口（客户端签名签章接口和服务端验签接口）不统一。

在进行数字签名、加密解密等PKI 运算时，由于各CA 机构签名客户端控件不同，无法做到使用同样的代码调用各家CA 机构提供的签名客户端控件。

同样，由于各CA 机构服务端验签接口的不同，导致一家CA 签名控件的签名数据无法通过其他CA 服务端验签接口的验证。

（3）多家电子签章难以互认。

中心有3家签
章公司，所支持的文件格式各不相同，即使对同一种文件格式进行签章，各签章厂商也使用各自不同的签章接口，完全做不到你签我验、我签你验方式的兼容互认。

有的厂商因为竞争关系，甚至在接口层做文章对友商的签章互斥，严重影响了签章的统一使用。

（4）多家介质驱动不兼容。

目前中心有3种证书介质，各家介质都遵循国密和国际相关接口标准，但其对标准的理解各有不同；此外，介质厂家必须满足CA 机构定制化接口的需求，导致一个应用系统往往只能使用一家或者几家的安全介质。

现有驱动程序都是有界面的，统一打包安装的结果会导致在用户PC 端同时出现多个驱动托盘程序在运行，而插拔USB Key 很有可能将导致多个驱动程序之间资源抢占，严重的情况下将造成用户无法使用数字证书。

3 兼容互认的解决方案
针对上述问题，中心在现有证书及应用基础上，按照“证书兼容、统一平台、推进应用、方便
56
用户”的原则，计划通过统一的证书介质、数字证书以及电子签章的标准，实现中心各专业数字证书以及签章的兼容互认，达到用户无需重复办理CA 数字证书以及只需要安装一套驱动的情况下，便捷登录进行交易操作的目的。

实现数字证书的兼容互认，需重点解决以下几方面需求：
（1）统一身份认证管理。

中心应用系统较多，且都应用了数字证书登录功能。

不同CA 机构发放的数字证书，导致用户在登录各应用系统时需申请办理相应的数字证书。

中心可以根据国际标准以及规范制定《中心数字证书兼容标准》（以下简称《兼容标准》），在国际标准的基础上统一证书格式，验证方法以及集成接口，各CA 供应商需根据《兼容标准》进行相应调整。

同时，中心开发多CA 联合认证平台，平台提供统一身份认证接口，负责对用户身份的统一认证，平台支持多种身份认证方式，包括用户名口令、手机短信验证码及数字证书等，并可以扩展。

第三方应用接入平台后，数字证书等认证方式由平台的统一认证模块完成，即由平台完成数字证书的兼容互认。

通过独有的应用信息扩展技术，平台可以将重要或关键信息叠加到数字证书中，从而实现一张数字证书承载多种扩展属性，解决不同的应用系统中只能使用特定证书格式的身份认证难统一的问题。

（2）统一电子签章管理。

签章兼容可基于PDF1.7（国际标准）实现，由中心通过《兼容标准》发布。

各签章供应商只需根据《兼容标准》提供动态链接库（DLL），通过调用该动态链接库固定的方法名，可获得锁内签章的图片信息。

通过在多签章组件里打包这个新的动态链接库，可以实现在同一份PDF 上，完成不同签章公司电子印章的签章操作。

（3）统一证书介质管理。

中心目前的3种证书介质相互不兼容，且驱动安装时容易产生冲突，影响用户使用。

该问题可通过统一证书介质驱动方式解决，中心可在《兼容标准》中定义介质的底层标准调用接口，介质厂商需根据兼容标准中定义的介质的底层标准调用接口规范进行调整，提供满足兼容标准要求的动态库和无界面证书介质驱动。

平台根据各介质厂商提供的驱动，进行集成打包，即可以实现新证书介质的识别及其相关调用。

（4）统一数据加解密。

中心建立数据加解密系统对用户所提交的投标文件进行统一加解密。

根据招投标系统的流程，对投标文件进行加密应具有时效性，在开标之前投标文件一旦提交并加密，将无法被解密，在开标之后仅由加解密系统对其进行解密。

时间源以加解密系统时间为唯一可信时间源，由加解密系统保障其时间的可靠性。

过渡期解决方案
鉴于中心目前CA 锁已发出数量较多的现状，在达到实现用户简化操作、整合驱动、实现证书及签章的互认互通这一最终目标之前，需要有一个过渡期，以让用户能够平滑适应系统的升级。

过渡期需要完成的工作主要有：
（1）对于多证书用户，需要在系统建设完成后，完成多证书绑定到用户的业务处理，每张证书都能代表用户的真实身份，但每张证书的业务操作权限由各应用系统控制。

（2）在证书有效期截止需要延期的时候，只保留用户的主证书（主锁），用户的其他证书（副锁）原则上不再执行延期，即让其他证书自然消亡。

（3）对于有USB Key 介质但无证书的用户，应用系统应支持数字证书登录方式，同时兼容原有登录方式，在过渡期内，保证未更换USB Key 介质的用户和已更换USB Key 介质的用户能同时登录并使用应用系统。

4 结语
实现数字证书的兼容互认意义重大，它能为用户在线办事提供统一数字认证服务，大大降低了企事业单位使用数字证书的成本，提高了网上办事的便利性和高效性。

中心下一步将重点建设证书应用统一平台，配合中心各业务系统导入身分验证及电子签名等相关安全认证机制功能，达到一证多用，多证通用的效果，为广大用户提供更便捷、更高效的服务。