CN103188246B - 安全电子邮件系统 - Google Patents

Abstract

本发明公开了安全电子邮件系统，系统中客户端业务模块负责邮件内容和邮件附件的客户端加密和解密，邮件签名和与服务器业务模块通信；客户端硬件密码模块受客户端业务模块调用完成相应的密码运算，服务端业务模块负责接受客户端业务模块的连接，完成身份认证和处理业务请求；服务端硬件密码模块受服务端业务模块调用完成密钥交换和用户管理；邮件服务器受服务端业务模块调用完成邮件传输和邮件存储；数据库受服务端业务模块调用实现系统信息和数据的存储。本系统使用数据加密技术实现邮件传输过程中邮件信息的机密性、完整性和不可抵赖性，且系统使用对称加密体制来对邮件信息进行加密处理，保障邮件信息的机密性。

Description

安全电子邮件系统

技术领域

本发明涉及网络信息安全技术，具体涉及一种安全电子邮件系统。

背景技术

随着社会信息化程度的不断提高，人们之间的交流越来越依赖于互联网络。国家机关、政府部门、企事业单位进行信息交流的方式也主要靠网络来进行。利用互连网络交换信息具有快捷、方便、经济等特点，是当前进行信息交流的主要手段。特别是在办公应用中，这种交互的方式尤其能够体现优点，以往通过传统邮局邮件需要几天才能交换的信息现在利用互联网络在几分钟之内就能完成。

现有互连网络交换信息一般都是由电子邮件系统完成的，现有电子邮件系统在传输信息时采用的是明文传输。但是在办公网络中，有些敏感信息不能明文传送，如何确保这些敏感信息安全，是本领域亟需解决的问题。

发明内容

本发明针对现有电子邮件系统在信息传输安全方案所存在的问题，而提供一种安全电子邮件系统。该系统使用数据加密技术实现邮件传输过程中邮件信息的机密性、完整性和不可抵赖性。系统使用对称加密体制来对邮件信息进行加密处理，保障邮件信息的机密性。

为了达到上述目的，本发明采用如下的技术方案：

安全电子邮件系统，该系统包括客户端业务模块、客户端硬件密码模块、服务端业务模块、服务端硬件密码模块、数据库以及邮件服务器，所述客户端业务模块负责邮件内容和邮件附件的客户端加密和解密，邮件签名和与服务器业务模块通信；所述客户端硬件密码模块作为密钥存放介质及算法提供者，受客户端业务模块调用完成相应的密码运算，所述服务端业务模块负责接受客户端业务模块的连接，完成身份认证和处理业务请求；所述服务端硬件密码模块作为密钥存放介质及算法提供者，受服务端业务模块调用完成密钥交换和用户管理；所述邮件服务器受服务端业务模块调用完成邮件传输和邮件存储；所述数据库受服务端业务模块调用实现系统信息和数据的存储。

在本发明的实例中，所述客户端业务模块与浏览器集成，以ActiveX控件方式发布；在发送邮件时，客户端业务模块完成对邮件正文和邮件附件的加密工作，在收取邮件时，客户端业务模块完成邮件本地解密。

进一步的，所述客户端业务模块在发送邮件时为邮件添加数字签名，制作数字信封。

进一步的，所述客户端硬件密码模块和服务端硬件密码模块采用非对称密钥。

进一步的，所述服务端业务模块包括WEB用户界面、任务调度层以及系统功能层，所述WEB用户界面实现人机交换，接收用户的要求；所述任务调度层响应所有用户的要求和并进行任务调度；所述系统功能层根据任务调度层的调度完成具体的业务功能和运算。

再进一步的，所述系统功能层包括邮件夹管理模块、邮件收发模块、邮件跟踪模块、联系人管理模块、系统管理模块、日志服务模块和用户管理模块；

所述用户管理模块是用户管理中心，负责完成用户的创建，注销和删除的基本功能；所述用户管理模块管理用户信息包括用户私人目录信息和关联用户密钥；

所述日志服务模块负责系统功能层中其它所有模块的日志，为系统唯一日志出口，实现对系统日志统一管理；

所述邮件收发模块完成所有邮件的发送和收取工作；

所述邮件夹管理模块用于完成用户个人邮件夹管理和邮件夹内归档的邮件管理；

所述联系人管理模块完成用户个人地址薄、团队地址薄和公共地址薄的管理；

所述邮件跟踪模块是后台分析模块，用于分析出收件人打开、查看、删除、转发邮件的情况；

所述系统管理模块完成安全邮件传输系统的配置管理工作。

本系统针对用户身份的安全有效管理、用户的流程管理是用户管理模块的重点和难点，对用户的管理流程借鉴CA已有的成熟管理模式。

本系统中采用了国家指定的算法进行对称运算，算法的实现分别由客户端设备和服务端的硬件卡完成。系统使用新的加密算法加密数据。

本系统使用数据加密技术实现邮件传输过程中邮件信息的机密性、完整性和不可抵赖性。系统使用对称加密体制来对邮件信息进行加密处理，保障邮件信息的机密性。邮件数据一旦引入到本系统，即被加密和签名处理形成密文，邮件信息在存储介质和传输信道上都是以密文的形态存在的，只有发文方指定的接收方用户，才可能得到邮件信息的明文，确保涉密信息不会泄漏和流失。使用非对称加密体制来对邮件信息进行签名处理，即发送方使用自己的签名私钥对邮件信息的HASH值进行签名处理，形成邮件信息的签名值，并且与邮件一起被加密后发送给接受方，接收方使用发送方的验证公钥对接收到的签名值进行签名验证处理。通过这种方式保障邮件信息的完整性和发送方对发送行为的不可抵赖。

本系统中接收方在接收到邮件后，同样使用自己的签名私钥对收到的邮件信息的HASH值进行签名处理，形成邮件信息的回执签名值，并且将回执签名值发送给发送方，发送方使用接收方的验证公钥对接收到的回执签名值进行回执签名验证处理。通过这种方式保障发送方对接收方身份的可信赖性。

本系统专门设计有邮件跟踪模块，它在线分析邮件接收方对邮件所做的各项操作，例如：列表、打开、查看、下载附件、转发和删除，并且按照时间顺序将以上操作一一记录在案。邮件发送者可以有效地追踪指定邮件的收发情况。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。

图1为本发明系统架构图。

图2为本发明中服务端业务模块的逻辑结构图。

图3为系统并发控制示意图。

图4为日志管理示意图。

图5为发送邮件序列图。

图6为邮件收发示意图。

图7为系统配置示意图。

图8为系统部署示意图。

图9为用户创建流程图。

图10为用户密钥更新流程图。

图11为客户端参与邮件发送过程序列图。

图12为管理中心群发邮件序列图。

图13为客户端参与邮件收取过程序列图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

参见图1，本发明提供的安全电子邮件系统整体分为客户端业务模块100、客户端硬件密码模块200、服务端业务模块300、服务端硬件密码模块400、数据库500以及邮件服务器600

其中客户端业务模块100与浏览器集成，以ActiveX控件方式发布，它负责邮件内容和邮件附件的客户端加密和解密，邮件签名和与服务器业务模块通信。

客户端硬件密码模块200作为密钥存放介质及算法提供者，受客户端业务模块100调用完成相应的密码运算。

本发明提供的安全电子邮件系统中邮件加密和解密工作全部在客户端完成。发送邮件时，客户端完成数据加密。而收取邮件时，客户端系统完成邮件本地解密，邮件完整性和发件人可信赖性检查。

在浏览器向服务器提交邮件前，通过调用客户端业务模块来完成对邮件正文和邮件附件的加密工作，这样可以保证在网路上传输的内容都是加密过的。同时，客户端模块为邮件添加数字签名，制作数字信封。

同样的道理，当用户收取邮件时，服务器一样传递给客户端加密的邮件内容，待浏览器显示信息前，通过调用本地的客户端业务模块来解开数字信封，解密邮件正文和邮件附件，以及验证数字签名，最后完成邮件的显示和附件的下载。

服务端业务模块300、服务端硬件密码模块400、数据库500以及邮件服务器600设置在服务器平台中。其中服务端业务模块300处于服务器段中心的位置，它负责接受客户端浏览器的连接，完成身份认证和处理业务请求。通过调用服务端硬件密码模块400完成密钥交换和用户管理。

数据库500受服务端业务模块300调用完成系统信息和数据的存储。

邮件服务器600受服务端业务模块300调用完成邮件传输和邮件存储。

参见图2，本发明中的服务端业务模块300分成三层结构：WEB用户界面301、任务调度层302和系统功能层303。

WEB用户界面301实现人机交换，接收用户的要求.

任务调度层302作为系统的控制中心，它负责所有用户要求的响应和任务调度。因为它只是作为流程管理，而不负责具体的业务功能和运算，因此具有较高的响应速度和并发处理能力。

参见图3，本系统基于J2EE web应用开发体系架构，合理的规划了连接响应、业务受理和业务处理布局，将各部分做了很好的分离。同时，通过层次化的结构，减少各功能模块杜塞调用的几率。从而提高系统并发访问的能力。

任务调度层302中的对象负责响应用户HTTP请求，经过定义用户的业务请求类型，将请求派发给系统功能层303中不同的“业务处理器”。“业务处理器”以线程安全的方式在服务器端运行，业务请求转发给它后，它再次判定完成该任务需要的“任务执行器”，最后通过创建不同的“任务执行器”来完成业务处理。

因为任务调度层中的对象和“业务处理器”只是作为流程管理，而不负责具体的业务功能和运算，因此具有较高的响应速度和并发处理能力。双层分发和多任务调度的设计可以降低单一对象在调度上的延迟，减少等待时间。“任务执行器”则以堵塞的方式来执行，独占所持有的资源，这在提高响应速度的情况下，保障了系统安全性。为了增强业务处理能力，系统将“业务处理器”设计为轻量级对象，并将对象放在对象缓冲池，这增强了系统并发处理同样任务的能力。

系统功能层303根据任务调度层的调度完成具体的业务功能和运算。

为了实现相应的业务功能，系统功能层303主要由邮件夹管理模块303a、邮件收发模块303b、邮件跟踪模块303c、联系人管理模块303d、系统管理模块303e、日志服务模块303f和用户管理模块303g。

用户管理模块303g是用户管理中心，负责完成用户的创建，注销和删除的基本功能；它管理用户信息，其中就包括用户私人目录信息和关联用户密钥。

邮件收发模块303b为系统的核心模块之一，完成所有邮件的发送和收取工作。在用户登录系统后，该模块负责为用户列邮件主题信息和收取邮件。

联系人管理模块303d完成用户个人地址薄、团队地址薄和公共地址薄的管理。

邮件跟踪模块303c是后台分析模块，该模块在线分析邮件接收方对邮件所做的各项操作，例如：列表、打开、查看、下载附件、转发和删除，并且按照时间顺序将以上操作一一记录在案。邮件发送者可以有效地追踪指定邮件的收发情况。他可以自成系统，也可以与其他模块合作完成高级功能。

日志服务模块303f负责所有其他子系统的日志，为系统唯一日志出口，实现对系统日志统一管理。

参见图4，在中系统功能层303所有模块中除了日志服务模块之外，其他子系统(即模块)都是日志的输出者。为了系统日志便于管理和日后诊断错误，各子系统日志经过分流，写入不同的日志文件(如图中所示的密钥用户管理日志、邮箱管理日志、联系人管理日志)，日志服务模块负责业务系统日志统一输出。邮件服务器则使用Linux下Syslog系统服务日志输出，写入不同的日志文件(如用户认证日志、邮件收发日志等)。在一定配置后，系统日志还可以发送给网络上的syslog服务器。

参见图5和图6，邮件夹管理模块303a集成了用户个人邮件夹管理和邮件夹内归档的邮件管理的功能。本系统提供WEB的邮件夹管理和邮件归档操作界面，系统内部通过统一接口操作邮件交换服务器，完成邮件投递。而邮件内容则被保存在邮件存储服务器上，当然，基于系统部署的要求，邮件交换服务器和邮件存储服务器可以是一个实体，也可以分别部署，但是都不影响系统功能。

基于系统安全的考虑，邮件内容在邮件存储服务器上和在网路上传输一律以密文邮件的形式存在，服务器端各个功能模块，尤其是邮箱管理模块不承担和不可能做邮件解密工作。当用户需要查看邮件正文时，邮箱管理模块从邮件存储服务器上的用户邮箱中读取邮件密文，然后通过网络发送到用户PC上，由系统的客户端软件完成正文的解密并显示。同理，当用户希望下载邮件附件时，邮件管理模块只负责从邮件体中摘录邮件附件密文内容，用户PC上，由系统的客户端软件完成附件的解密并保存。

系统管理模块303e为系统配置的统一界面，完成安全邮件传输系统的配置管理工作。

参见图7，本系统支持热部署和热配置，即在用户更新了系统配置后，不需要重新启动系统，这样可以有效地保障系统平稳运行，不会因为系统重启而造成信息的丢失。系统启动时，所有配置信息将被系统管理模块303e加载到内存，系统不巡查配置文件变更情况，所以手工修改系统配置文件。系统其他模块，使用系统管理模块303e提供的接口访问系统配置，同时它们向系统管理模块303e注册自己的身份，从而在系统配置发生变更时可以接收到更新消息。

所有的修改系统配置的请求需要由Web用户界面发起。首先系统验证用户，判定用户是否具有系统管理的权限。在受理了更新请求后，请求会派发给系统管理模块，由系统管理模块统一更新内存中的配置信息和将更新内容写入配置文件，然后，系统管理模块会向所有注册了其他模块发送配置更新消息，通知他们完成配置的更新动作。

基于上述方案得到的本发明，具体实施如下：

参见图8，进行系统部署。邮件交换服务器需要部署在网络管理中心，属于中心设备，需要专门的安全管理和配置。例如配置加密卡(设备须经过国家有关权威部门鉴定)。可以采用专用设备或者是自己采购较好的服务器安装交换软件。

邮件存储服务器专门负责存储密文邮件，也属于中心设备。可以单独采购服务器来部署邮件交换服务器，也可以与它部署在同一台硬件服务器上。系统备份时，主要备份存储服务器的内容，而不是交换服务器。

处理终端部署在需要进行邮件交换的用户机器上，包括邮件处理客户端软件和加密硬件两部分，根据具体的配置，硬件设备可以采用USBKEY，这些设备都是经过国家有关权威部门鉴定的商密产品。

基于上述系统部署，具体工作流程如下：

参见图9，用户创建流程：

(1)管理员整理需要创建的用户资料。

(2)管理员登录用户中心，将用户信息录入，申请用户密钥。

(3)管理中心根据用户信息，创建用户和创建用户密钥对。

(4)管理中心检验公钥不与系统现知的用户公钥重复后，将用户密钥对返回给管理员，并保存在密钥存储介质上。如果创建的公钥与系统存在的某个公钥重复，则重复执行(3)操作。

(5)管理员将申请好的密钥返回给用户。

用户在以下情况下，需要管理中心申请并废除自己原来的密钥对：

1、用户密钥存储介质丢失，为了防止身份被假冒，用户应立即申请废除原有的密钥对。

2、用户密钥存储介质损坏。

3、密钥泄密，如果发现用户的密钥出现泄密情况，应立即废除该密钥。

用户密钥废除的一般流程如下所述：

(1)用户填写书面申请提交给管理员；

(2)管理员向管理中心发出密钥废除请求；

(3)管理中心废除原来密钥，然后将成功消息返回给管理员。

在以下情况，需要更新用户密钥对：

1、用户原密钥被废除，但是用户需要继续使用系统。

2、用户密钥过期。

3、上级统一更新系统中用户的密钥。

参见图10，基于上述情况用户密钥更新流程如下：

(1)用户填写书面申请；

(2)用户将书面申请和相关材料提交给管理员；

(3)管理员登录用户中心，将用户信息录入，申请用户密钥；

(4)管理中心根据用户信息，创建用户和创建用户密钥对；

(5)管理中心将用户密钥对返回给管理员，并保存在密钥存储介质上；

(6)管理员将申请好的密钥返回给用户。

参见图11，客户端发邮件的流程如下：

在用户向服务器提交邮件时，第一步，客户端首先与服务器交互，获得收件人的公钥，然后利用随机计算的密钥使用对称加密算法加密邮件内容成为密文邮件，再使用收件人的公钥加密对称密钥；

第二步，对原文邮件实施摘要算法，用发件人自己的私钥加密摘要算法的返回值制作数字签名；

第三步，提交数字信封和签名给服务器，等待发送操作。如果有多个收件方，则客户端则分别获取收件人公钥，分别制作数字信封，提交服务器。

参见图12，管理中心群发邮件流程如下：

管理中心向邮件用户群发邮件时，因为管理中心的非对称密钥对存放在服务器的加密卡上，所以群发邮件时，在服务器端进行又见加密和制作数字信封，不但提高了管理中心向邮件用户群发邮件的速度，而且提高了发邮件的稳定性。

服务器端首先产生随机对称密钥，使用该密钥加密邮件，并使用管理中心的私钥对邮件做数字签名和使用收件人公钥制作数字信封。最后，发送邮件给收件人。对于群发收件的每一个接收方，服务器端将分别计算随机密钥加密邮件，并使用各个收件人的公钥制作数字信封和添加管理中心的签名，然后将邮件分别发出。

服务器完成向所有群发收件方发送邮件后，出于安全考虑，最后将抛弃邮件原文。

参见图13，客户端收邮件的流程如下：

查收邮件的原理是发送的逆过程，第一步，客户端用户自己的的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开加密邮件；第二步，客户端首先与服务器交互，获得发送方公钥；然后，使用发送方的公钥对数字签名进行解密后获得哈希摘要，再对解密的邮件原文计算哈希摘要，并对照两个摘要数值；最后，在两个摘要值相同，确认邮件未被篡改和发件人身份后，通知服务器邮件接受成功。

邮件接受方收到文件后，系统询问用户是否发送收件回执。在用户确定发送回执后，接受方给发送方发送包含自己签名信息的回执数据，发送方收到回执数据后，使用接收方公钥进行签名验证，若验证通过，表示发送方发送的特定邮件已经可信地被特定接收方接收。

本发明提供的安全电子邮件系统与其它产品比较，本系统支持Postfix和IBMLotus，用户可以根据自己的实际情况选择部署。同时，系统有完善的安全控制：

1、系统中所使用的终端密码模块和应用系统均通过国家主管部门的鉴定与认可。多数应用系统没有通过国家主管部门的鉴定与认可。

2、综合采用对称和非对称两种密码体制，安全保障更加严密，方便管理。其它许多系统只采用了对称密码体制，存在严重的安全隐患。

3、系统有严格的身份认证与访问控制机制；使用双重验证技术，用户输入正确的口令字并插入正确的密钥存储卡才可以使用系统。

4、基于数字证书技术，实现邮件收发双方身份的相互认证。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (1)

1.安全电子邮件系统，其特征在于，所述系统包括客户端业务模块、客户端硬件密码模块、服务端业务模块、服务端硬件密码模块、数据库以及邮件服务器，所述客户端业务模块负责邮件内容和邮件附件的客户端加密和解密，邮件签名和与服务器业务模块通信；所述客户端硬件密码模块作为密钥存放介质及算法提供者，受客户端业务模块调用完成相应的密码运算，所述服务端业务模块负责接受客户端业务模块的连接，完成身份认证和处理业务请求；所述服务端硬件密码模块作为密钥存放介质及算法提供者，受服务端业务模块调用完成密钥交换和用户管理；所述邮件服务器受服务端业务模块调用完成邮件传输和邮件存储；所述数据库受服务端业务模块调用实现系统信息和数据的存储；

所述客户端业务模块与浏览器集成，以ActiveX控件方式发布；在发送邮件时，客户端业务模块完成对邮件正文和邮件附件的加密工作，在收取邮件时，客户端业务模块完成邮件本地解密；

所述客户端业务模块在发送邮件时为邮件添加数字签名，制作数字信封；

所述客户端硬件密码模块和服务端硬件密码模块采用非对称密钥；

所述服务端业务模块包括WEB用户界面、任务调度层以及系统功能层，所述WEB用户界面实现人机交换，接收用户的要求；所述任务调度层响应所有用户的要求和并进行任务调度；所述系统功能层根据任务调度层的调度完成具体的业务功能和运算；

所述系统功能层包括邮件夹管理模块、邮件收发模块、邮件跟踪模块、联系人管理模块、系统管理模块、日志服务模块和用户管理模块；

所述用户管理模块是用户管理中心，负责完成用户的创建，注销和删除的基本功能；

所述用户管理模块管理用户信息包括用户私人目录信息和关联用户密钥；

所述日志服务模块负责系统功能层中其它所有模块的日志，为系统唯一日志出口，实现对系统日志统一管理；

所述邮件收发模块完成所有邮件的发送和收取工作；

所述邮件夹管理模块用于完成用户个人邮件夹管理和邮件夹内归档的邮件管理；

所述联系人管理模块完成用户个人地址薄、团队地址薄和公共地址薄的管理；

所述邮件跟踪模块是后台分析模块，用于分析出收件人打开、查看、删除、转发邮件的情况；

所述系统管理模块完成安全邮件传输系统的配置管理工作；

所述客户端发邮件的流程如下：

在用户向服务器提交邮件时，第一步，客户端首先与服务器交互，获得收件人的公钥，然后利用随机计算的密钥使用对称加密算法加密邮件内容成为密文邮件，再使用收件人的公钥加密对称密钥；

第二步，对原文邮件实施摘要算法，用发件人自己的私钥加密摘要算法的返回值制作数字签名；

第三步，提交数字信封和签名给服务器，等待发送操作，如果有多个收件方，则客户端则分别获取收件人公钥，分别制作数字信封，提交服务器；

客户端收邮件的流程如下：

查收邮件的原理是发送的逆过程，第一步，客户端用户自己的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开加密邮件；第二步，客户端首先与服务器交互，获得发送方公钥；然后，使用发送方的公钥对数字签名进行解密后获得哈希摘要，再对解密的邮件原文计算哈希摘要，并对照两个摘要数值；最后，在两个摘要值相同，确认邮件未被篡改和发件人身份后，通知服务器邮件接受成功；

邮件接受方收到文件后，系统询问用户是否发送收件回执，在用户确定发送回执后，接受方给发送方发送包含自己签名信息的回执数据，发送方收到回执数据后，使用接收方公钥进行签名验证，若验证通过，表示发送方发送的特定邮件已经可信地被特定接收方接收。