基于SSL VPN單點(diǎn)登錄在區(qū)域衛(wèi)生信息平臺(tái)中的應(yīng)用

摘要：單點(diǎn)登錄是近年來(lái)在開(kāi)發(fā)大平臺(tái)信息系統(tǒng)中出現(xiàn)的一門(mén)新興技術(shù)，文章結(jié)合作者在開(kāi)發(fā)岳陽(yáng)樓區(qū)基于健康檔案的區(qū)域衛(wèi)生信息平臺(tái)的實(shí)踐，提出了單點(diǎn)登錄技術(shù)與SSL VPN技術(shù)相結(jié)合的基于SSL VPN單點(diǎn)登錄技術(shù)，為整合多種醫(yī)療業(yè)務(wù)應(yīng)用系統(tǒng)提供了一個(gè)統(tǒng)一身份認(rèn)證、統(tǒng)一用戶(hù)管理、統(tǒng)一授權(quán)管理、統(tǒng)一資源管理和單點(diǎn)登錄平臺(tái)。

0 引言

基于居民健康檔案的區(qū)域衛(wèi)生信息平臺(tái)是根據(jù)衛(wèi)生部在《全國(guó)衛(wèi)生信息化發(fā)展綱要(2003—2010年)》中提出的“建立區(qū)域衛(wèi)生信息化示范區(qū)，實(shí)現(xiàn)區(qū)域內(nèi)各衛(wèi)生系統(tǒng)信息網(wǎng)上交換、區(qū)域內(nèi)醫(yī)療衛(wèi)生信息集中存儲(chǔ)與管理、資源共享；在城市地區(qū)基本實(shí)現(xiàn)預(yù)防保健機(jī)構(gòu)與衛(wèi)生行政部門(mén)之間互聯(lián)互通，資源共享；在有條件的農(nóng)村地區(qū)，逐步將網(wǎng)絡(luò)延伸到鄉(xiāng)鎮(zhèn)衛(wèi)生醫(yī)療機(jī)構(gòu)”的精神，以居民個(gè)人電子健康檔案(EHR)為基礎(chǔ)數(shù)據(jù)而建立的一種醫(yī)療資源共享信息系統(tǒng)。該區(qū)域衛(wèi)生信息平臺(tái)的核心是居民個(gè)人電子健康檔案數(shù)據(jù)中心，居民個(gè)人電子健康檔案的所有數(shù)據(jù)除了居民的基本信息由管理人員錄入以外，其他各項(xiàng)健康數(shù)據(jù)都來(lái)自醫(yī)療服務(wù)機(jī)構(gòu)的各種醫(yī)療IT應(yīng)用系統(tǒng)。因此，基于居民健康檔案的區(qū)域衛(wèi)生信息平臺(tái)需要與各醫(yī)院的基本醫(yī)療系統(tǒng)、城鎮(zhèn)職工和居民基本醫(yī)療保險(xiǎn)、傳染病報(bào)告、免疫接種、婦幼保健、新型農(nóng)村合作醫(yī)療等各種信息系統(tǒng)互聯(lián)互通，實(shí)現(xiàn)信息資源共享。該信息平臺(tái)的技術(shù)構(gòu)架是一個(gè)能夠容納管理個(gè)人健康檔案的可擴(kuò)充的、開(kāi)放的、可持續(xù)發(fā)展的系統(tǒng)，其邏輯結(jié)構(gòu)如圖1所示。

1 傳統(tǒng)登錄方式與單點(diǎn)登錄技術(shù)

建設(shè)基于居民健康檔案的區(qū)域衛(wèi)生信息平臺(tái)的目的之一就是實(shí)現(xiàn)醫(yī)療衛(wèi)生系統(tǒng)內(nèi)部各種不同功能的業(yè)務(wù)應(yīng)用系統(tǒng)互聯(lián)互通，充分利用和整合現(xiàn)有衛(wèi)生信息資源，實(shí)現(xiàn)信息資源共享，完成雙向轉(zhuǎn)診、協(xié)同與遠(yuǎn)程醫(yī)療。由于歷史的原因，醫(yī)療衛(wèi)生系統(tǒng)內(nèi)部各業(yè)務(wù)應(yīng)用系統(tǒng)在開(kāi)發(fā)的初期都是獨(dú)立進(jìn)行的，造成了彼此之間操作上的割裂和數(shù)據(jù)之間通信的割斷。傳統(tǒng)的登錄方式是每個(gè)業(yè)務(wù)應(yīng)用系統(tǒng)都需要用戶(hù)輸入用戶(hù)名和密碼才能登錄。隨著業(yè)務(wù)的發(fā)展，各個(gè)醫(yī)療服務(wù)機(jī)構(gòu)都會(huì)增加更多應(yīng)用系統(tǒng)在網(wǎng)上運(yùn)行。尤其對(duì)于一些權(quán)限較高或是涉及業(yè)務(wù)較多的用戶(hù)，如果每一個(gè)系統(tǒng)都需要他們進(jìn)行密碼的驗(yàn)證，那么用戶(hù)使用系統(tǒng)的不便性是可想而知的。因此經(jīng)常會(huì)有一些用戶(hù)將多個(gè)系統(tǒng)設(shè)置成同一密碼或是將記不住的密碼寫(xiě)在紙上貼在桌子上，這樣，對(duì)業(yè)務(wù)系統(tǒng)的訪問(wèn)存在著極大的安全隱患，使一些別有用心的工作人員有機(jī)會(huì)利用他人密碼登錄系統(tǒng)，進(jìn)行非法操作，也會(huì)給發(fā)生重大醫(yī)療事故后的責(zé)任追查帶來(lái)困難。另一方面，隨著衛(wèi)生系統(tǒng)內(nèi)部?jī)?nèi)控要求的加強(qiáng)，需要對(duì)內(nèi)部應(yīng)用系統(tǒng)加強(qiáng)密碼管理，每一個(gè)應(yīng)用系統(tǒng)都需要在三個(gè)月內(nèi)更換一次密碼，記不住密碼變得經(jīng)常發(fā)生。而系統(tǒng)管理員也被拖入繁瑣的重置用戶(hù)密碼的工作之中，無(wú)形中增加了管理員的工作量�？傊�，傳統(tǒng)登錄方式會(huì)帶來(lái)以下的問(wèn)題：

（1）如果每個(gè)系統(tǒng)都開(kāi)發(fā)各自的身份認(rèn)證系統(tǒng)將造成資源的浪費(fèi)，加大開(kāi)發(fā)成本；

（2）多個(gè)身份認(rèn)證系統(tǒng)會(huì)增加整個(gè)系統(tǒng)的管理工作成本；

（3）用戶(hù)需要記憶多個(gè)賬戶(hù)和口令，使用極為不便；

（4）無(wú)法實(shí)現(xiàn)統(tǒng)一認(rèn)證和授權(quán)，多個(gè)身份認(rèn)證系統(tǒng)使安全策略必須逐個(gè)在不同的系統(tǒng)內(nèi)進(jìn)行設(shè)置，因而造成修改策略的進(jìn)度跟不上策略的變化；

（5）無(wú)法統(tǒng)一分析用戶(hù)的應(yīng)用行為。

基于上述情況，根據(jù)衛(wèi)生部關(guān)于區(qū)域衛(wèi)生信息平臺(tái)建設(shè)的總體規(guī)劃，要求對(duì)涉及到的內(nèi)部業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行整合與數(shù)據(jù)共享，同時(shí)建立一套統(tǒng)一的身份認(rèn)證系統(tǒng)，以實(shí)現(xiàn)集中統(tǒng)一的身份認(rèn)證，通過(guò)一次認(rèn)證登錄后就可訪問(wèn)所有有權(quán)訪問(wèn)的業(yè)務(wù)應(yīng)用系統(tǒng)，避免頻繁登錄，并且能夠保證用戶(hù)身份的合法性和唯一性，對(duì)于業(yè)務(wù)應(yīng)用系統(tǒng)的訪問(wèn)建立一套完整的安全防護(hù)和用戶(hù)管理機(jī)制。

單點(diǎn)登錄（Single Sign On，簡(jiǎn)稱(chēng)為SSO）技術(shù)就是為這樣的多種業(yè)務(wù)應(yīng)用系統(tǒng)提供集中統(tǒng)一的身份認(rèn)證系統(tǒng)，實(shí)現(xiàn)“一點(diǎn)登錄、多點(diǎn)漫游”的目標(biāo)。

單點(diǎn)登錄是目前比較流行的企業(yè)業(yè)務(wù)整合解決方案之一。單點(diǎn)登錄是指在多個(gè)應(yīng)用系統(tǒng)中，用戶(hù)只需要輸入一次用戶(hù)名和密碼，登錄到統(tǒng)一信息門(mén)戶(hù)管理層，就可以訪問(wèn)所有授權(quán)的業(yè)務(wù)應(yīng)用系統(tǒng)。單點(diǎn)登錄是一種用于方便用戶(hù)訪問(wèn)網(wǎng)絡(luò)的技術(shù)，無(wú)論多么復(fù)雜的網(wǎng)絡(luò)結(jié)構(gòu)，用戶(hù)只需在登錄時(shí)進(jìn)行一次注冊(cè)，即可獲得訪問(wèn)系統(tǒng)和應(yīng)用軟件的授權(quán)，以后便可以在網(wǎng)絡(luò)中自由穿梭，不必多次輸人用戶(hù)名和口令來(lái)確定身份，為用戶(hù)提供統(tǒng)一的信息資源認(rèn)證訪問(wèn)平臺(tái)，建立統(tǒng)一的、基于角色的和個(gè)性化的信息訪問(wèn)、集成平臺(tái)。單點(diǎn)登錄系統(tǒng)從根本上不再使用基于用戶(hù)名和密碼的身份認(rèn)證機(jī)制，而是采用結(jié)合了密碼學(xué)技術(shù)的新的身份認(rèn)證機(jī)制；單點(diǎn)登錄系統(tǒng)把原來(lái)分散的用戶(hù)管理集中了起來(lái)，各個(gè)系統(tǒng)之間依靠相互信賴(lài)的關(guān)系來(lái)進(jìn)行用戶(hù)身份的自動(dòng)認(rèn)證。用戶(hù)的賬號(hào)信息是集中保存和管理的，管理員只需要在統(tǒng)一的用戶(hù)信息數(shù)據(jù)庫(kù)中添加、刪除用戶(hù)賬號(hào)，不必在多個(gè)系統(tǒng)中分別設(shè)置用戶(hù)信息數(shù)據(jù)庫(kù)。

2 SSL VPN技術(shù)

VPN（Virtual Private Network，虛擬專(zhuān)用網(wǎng)絡(luò)）是一門(mén)網(wǎng)絡(luò)新技術(shù)，為我們提供了一種通過(guò)公用網(wǎng)絡(luò)安全地對(duì)企業(yè)內(nèi)部專(zhuān)用網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程訪問(wèn)的連接方式，它可以幫助遠(yuǎn)程用戶(hù)、公司分支機(jī)構(gòu)、商業(yè)伙伴及供應(yīng)商同公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。IPSec（Security）VPN與SSL（Secure Socket Layer，安全套接層協(xié)議）VPN是目前VPN領(lǐng)域流行的兩類(lèi)Intemet遠(yuǎn)程安全接入技術(shù)，從整體的安全等級(jí)來(lái)看，兩者具有類(lèi)似的功能特性，但也存在很大不同。

IPSec VPN工作在網(wǎng)絡(luò)層，提供所有在網(wǎng)絡(luò)層上的數(shù)據(jù)保護(hù)和透明的安全通信；IPSec VPN技術(shù)設(shè)計(jì)用于連接和保護(hù)在信任網(wǎng)絡(luò)中的數(shù)據(jù)流，因此，更適合為不同的網(wǎng)絡(luò)提供通信安全保障；部署IPSec VPN需要在客戶(hù)端安裝復(fù)雜的軟件，以便遠(yuǎn)程訪問(wèn)；當(dāng)用戶(hù)的VPN策略稍微有所改變時(shí)，VPN的管理難度將呈幾何級(jí)數(shù)增長(zhǎng)。而SSLVPN工作在應(yīng)用層（基于HTFP協(xié)議）和TCP層之間，提供SSL鏈路上的數(shù)據(jù)完整性和SSL鏈路上的數(shù)據(jù)保密性；SSL VPN技術(shù)更適合應(yīng)用于遠(yuǎn)程分散移動(dòng)用戶(hù)的安全接入。相對(duì)于IPSec VPN而言，部署SSL VPN方便，不需要安裝客戶(hù)端程序。目前對(duì)SSL VPN公認(rèn)的四大優(yōu)點(diǎn)是：1）簡(jiǎn)單性：它不需要配置，可以立即安裝，立即生效；2）安裝簡(jiǎn)單：客戶(hù)端不需要安裝專(zhuān)用程序，直接利用瀏覽器中內(nèi)嵌的SSL協(xié)議即可；3）兼容性好：傳統(tǒng)的IPSecVPN對(duì)客戶(hù)端采用的操作系統(tǒng)版本具有很高的要求，不同的終端操作系統(tǒng)需要不同的客戶(hù)端軟件，而SSL VPN則完全沒(méi)有這樣的麻煩。4）容易維護(hù)：只維護(hù)網(wǎng)關(guān)就可以；5）安全性高，對(duì)內(nèi)部服務(wù)器和客戶(hù)端實(shí)施了隔離，只留下Web瀏覽接口。

3 基于SSL VPN單點(diǎn)登錄技術(shù)在區(qū)域衛(wèi)生信息平臺(tái)的部署

基于SSL VPN單點(diǎn)登錄技術(shù)是將單點(diǎn)登錄技術(shù)與SSL VPN技術(shù)相結(jié)合，將用戶(hù)身份信息同時(shí)提供給SSL VPN接入系統(tǒng)，通過(guò)配置，SSL VPN接入設(shè)備指向單點(diǎn)登錄的用戶(hù)數(shù)據(jù)庫(kù)，直接從中獲取用戶(hù)的身份信息，獲得認(rèn)證通過(guò)。在VPN上無(wú)需再重復(fù)建立一套用戶(hù)數(shù)據(jù)庫(kù)，系統(tǒng)管理員只需維護(hù)單點(diǎn)登錄上的用戶(hù)數(shù)據(jù)庫(kù)，即可實(shí)現(xiàn)外網(wǎng)接入的統(tǒng)一用戶(hù)管理和統(tǒng)一身份認(rèn)證。

我們?cè)陂_(kāi)發(fā)湖南省岳陽(yáng)市區(qū)域衛(wèi)生信息平臺(tái)的實(shí)踐中，將信息平臺(tái)內(nèi)各個(gè)業(yè)務(wù)應(yīng)用系統(tǒng)服務(wù)器組建成一個(gè)局域網(wǎng)，而把衛(wèi)生局行政管理人員、醫(yī)療機(jī)構(gòu)的醫(yī)生與醫(yī)輔管理人員、居民個(gè)人等所有用戶(hù)都作為該局域網(wǎng)的外網(wǎng)用戶(hù)，采用一臺(tái)深信服SSL VPN設(shè)備進(jìn)行區(qū)域平臺(tái)系統(tǒng)用戶(hù)的單點(diǎn)登錄與統(tǒng)一身份認(rèn)證，實(shí)現(xiàn)外網(wǎng)用戶(hù)登錄一次后就可訪問(wèn)該平臺(tái)上所有授權(quán)訪問(wèn)的各個(gè)業(yè)務(wù)系統(tǒng)；同時(shí)也為外網(wǎng)用戶(hù)提供安全的接入機(jī)制。區(qū)域衛(wèi)生信息平臺(tái)硬件系統(tǒng)拓?fù)浣Y(jié)構(gòu)如圖2所示。

通過(guò)開(kāi)發(fā)區(qū)域衛(wèi)生信息平臺(tái)的實(shí)踐，基于SSL VPN單點(diǎn)登錄技術(shù)具有如下特點(diǎn)：

（1）SSL VPN無(wú)需客戶(hù)端程序，安裝部署使用方便；

（2）SSL VPN不會(huì)受到安裝在客戶(hù)端與服務(wù)器之間的防火墻的影響；

（3）SSL VPN可以在任何地點(diǎn)，利用任何設(shè)備，連接到相應(yīng)的網(wǎng)絡(luò)資源上，具備優(yōu)異的擴(kuò)展能力；

（4）SSL VPN是基于應(yīng)用層面的VPN，更容易提供細(xì)粒度遠(yuǎn)程訪問(wèn)，支持更多的身份認(rèn)證方式，如USBKey，動(dòng)態(tài)口令牌等。

（5）管理員只需維護(hù)一套用戶(hù)數(shù)據(jù)庫(kù)，管理外網(wǎng)訪問(wèn)用戶(hù)的賬號(hào)和密碼。

4 結(jié)語(yǔ)

我們?cè)O(shè)計(jì)的基于SSL VPN單點(diǎn)登錄系統(tǒng)不但可以提供一個(gè)統(tǒng)一身份認(rèn)證、統(tǒng)一用戶(hù)管理、統(tǒng)一授權(quán)管理、統(tǒng)一資源管理和單點(diǎn)登錄平臺(tái)，而且具有安裝、部署、使用、維護(hù)均十分方便的特點(diǎn)，目前己廣泛應(yīng)用于整合多業(yè)務(wù)應(yīng)用系統(tǒng)的大平臺(tái)之中。