摘要：單點登錄是近年來在開發大平臺信息系統中出現的一門新興技術，文章結合作者在開發岳陽樓區基于健康檔案的區域衛生信息平臺的實踐，提出了單點登錄技術與SSL VPN技術相結合的基于SSL VPN單點登錄技術，為整合多種醫療業務應用系統提供了一個統一身份認證、統一用戶管理、統一授權管理、統一資源管理和單點登錄平臺。
0 引言
基于居民健康檔案的區域衛生信息平臺是根據衛生部在《全國衛生信息化發展綱要(2003—2010年)》中提出的“建立區域衛生信息化示范區，實現區域內各衛生系統信息網上交換、區域內醫療衛生信息集中存儲與管理、資源共享；在城市地區基本實現預防保健機構與衛生行政部門之間互聯互通，資源共享；在有條件的農村地區，逐步將網絡延伸到鄉鎮衛生醫療機構”的精神，以居民個人電子健康檔案(EHR)為基礎數據而建立的一種醫療資源共享信息系統。該區域衛生信息平臺的核心是居民個人電子健康檔案數據中心，居民個人電子健康檔案的所有數據除了居民的基本信息由管理人員錄入以外，其他各項健康數據都來自醫療服務機構的各種醫療IT應用系統。因此，基于居民健康檔案的區域衛生信息平臺需要與各醫院的基本醫療系統、城鎮職工和居民基本醫療保險、傳染病報告、免疫接種、婦幼保健、新型農村合作醫療等各種信息系統互聯互通，實現信息資源共享。該信息平臺的技術構架是一個能夠容納管理個人健康檔案的可擴充的、開放的、可持續發展的系統，其邏輯結構如圖1所示。
1 傳統登錄方式與單點登錄技術
建設基于居民健康檔案的區域衛生信息平臺的目的之一就是實現醫療衛生系統內部各種不同功能的業務應用系統互聯互通，充分利用和整合現有衛生信息資源，實現信息資源共享，完成雙向轉診、協同與遠程醫療。由于歷史的原因，醫療衛生系統內部各業務應用系統在開發的初期都是獨立進行的，造成了彼此之間操作上的割裂和數據之間通信的割斷。傳統的登錄方式是每個業務應用系統都需要用戶輸入用戶名和密碼才能登錄。隨著業務的發展，各個醫療服務機構都會增加更多應用系統在網上運行。尤其對于一些權限較高或是涉及業務較多的用戶，如果每一個系統都需要他們進行密碼的驗證，那么用戶使用系統的不便性是可想而知的。因此經常會有一些用戶將多個系統設置成同一密碼或是將記不住的密碼寫在紙上貼在桌子上，這樣，對業務系統的訪問存在著極大的安全隱患，使一些別有用心的工作人員有機會利用他人密碼登錄系統，進行非法操作，也會給發生重大醫療事故后的責任追查帶來困難。另一方面，隨著衛生系統內部內控要求的加強，需要對內部應用系統加強密碼管理，每一個應用系統都需要在三個月內更換一次密碼，記不住密碼變得經常發生。而系統管理員也被拖入繁瑣的重置用戶密碼的工作之中，無形中增加了管理員的工作量。總之，傳統登錄方式會帶來以下的問題：
（1）如果每個系統都開發各自的身份認證系統將造成資源的浪費，加大開發成本；
（2）多個身份認證系統會增加整個系統的管理工作成本；
（3）用戶需要記憶多個賬戶和口令，使用極為不便；
（4）無法實現統一認證和授權，多個身份認證系統使安全策略必須逐個在不同的系統內進行設置，因而造成修改策略的進度跟不上策略的變化；
（5）無法統一分析用戶的應用行為。
基于上述情況，根據衛生部關于區域衛生信息平臺建設的總體規劃，要求對涉及到的內部業務應用系統進行整合與數據共享，同時建立一套統一的身份認證系統，以實現集中統一的身份認證，通過一次認證登錄后就可訪問所有有權訪問的業務應用系統，避免頻繁登錄，并且能夠保證用戶身份的合法性和唯一性，對于業務應用系統的訪問建立一套完整的安全防護和用戶管理機制。
單點登錄（Single Sign On，簡稱為SSO）技術就是為這樣的多種業務應用系統提供集中統一的身份認證系統，實現“一點登錄、多點漫游”的目標。
單點登錄是目前比較流行的企業業務整合解決方案之一。單點登錄是指在多個應用系統中，用戶只需要輸入一次用戶名和密碼，登錄到統一信息門戶管理層，就可以訪問所有授權的業務應用系統。單點登錄是一種用于方便用戶訪問網絡的技術，無論多么復雜的網絡結構，用戶只需在登錄時進行一次注冊，即可獲得訪問系統和應用軟件的授權，以后便可以在網絡中自由穿梭，不必多次輸人用戶名和口令來確定身份，為用戶提供統一的信息資源認證訪問平臺，建立統一的、基于角色的和個性化的信息訪問、集成平臺。單點登錄系統從根本上不再使用基于用戶名和密碼的身份認證機制，而是采用結合了密碼學技術的新的身份認證機制；單點登錄系統把原來分散的用戶管理集中了起來，各個系統之間依靠相互信賴的關系來進行用戶身份的自動認證。用戶的賬號信息是集中保存和管理的，管理員只需要在統一的用戶信息數據庫中添加、刪除用戶賬號，不必在多個系統中分別設置用戶信息數據庫。
2 SSL VPN技術
VPN（Virtual Private Network，虛擬專用網絡）是一門網絡新技術，為我們提供了一種通過公用網絡安全地對企業內部專用網絡進行遠程訪問的連接方式，它可以幫助遠程用戶、公司分支機構、商業伙伴及供應商同公司的內部網建立可信的安全連接，并保證數據的安全傳輸。IPSec（Security）VPN與SSL（Secure Socket Layer，安全套接層協議）VPN是目前VPN領域流行的兩類Intemet遠程安全接入技術，從整體的安全等級來看，兩者具有類似的功能特性，但也存在很大不同。
IPSec VPN工作在網絡層，提供所有在網絡層上的數據保護和透明的安全通信；IPSec VPN技術設計用于連接和保護在信任網絡中的數據流，因此，更適合為不同的網絡提供通信安全保障；部署IPSec VPN需要在客戶端安裝復雜的軟件，以便遠程訪問；當用戶的VPN策略稍微有所改變時，VPN的管理難度將呈幾何級數增長。而SSLVPN工作在應用層（基于HTFP協議）和TCP層之間，提供SSL鏈路上的數據完整性和SSL鏈路上的數據保密性；SSL VPN技術更適合應用于遠程分散移動用戶的安全接入。相對于IPSec VPN而言，部署SSL VPN方便，不需要安裝客戶端程序。目前對SSL VPN公認的四大優點是：1）簡單性：它不需要配置，可以立即安裝，立即生效；2）安裝簡單：客戶端不需要安裝專用程序，直接利用瀏覽器中內嵌的SSL協議即可；3）兼容性好：傳統的IPSecVPN對客戶端采用的操作系統版本具有很高的要求，不同的終端操作系統需要不同的客戶端軟件，而SSL VPN則完全沒有這樣的麻煩。4）容易維護：只維護網關就可以；5）安全性高，對內部服務器和客戶端實施了隔離，只留下Web瀏覽接口。
3 基于SSL VPN單點登錄技術在區域衛生信息平臺的部署
基于SSL VPN單點登錄技術是將單點登錄技術與SSL VPN技術相結合，將用戶身份信息同時提供給SSL VPN接入系統，通過配置，SSL VPN接入設備指向單點登錄的用戶數據庫，直接從中獲取用戶的身份信息，獲得認證通過。在VPN上無需再重復建立一套用戶數據庫，系統管理員只需維護單點登錄上的用戶數據庫，即可實現外網接入的統一用戶管理和統一身份認證。
我們在開發湖南省岳陽市區域衛生信息平臺的實踐中，將信息平臺內各個業務應用系統服務器組建成一個局域網，而把衛生局行政管理人員、醫療機構的醫生與醫輔管理人員、居民個人等所有用戶都作為該局域網的外網用戶，采用一臺深信服SSL VPN設備進行區域平臺系統用戶的單點登錄與統一身份認證，實現外網用戶登錄一次后就可訪問該平臺上所有授權訪問的各個業務系統；同時也為外網用戶提供安全的接入機制。區域衛生信息平臺硬件系統拓撲結構如圖2所示。
通過開發區域衛生信息平臺的實踐，基于SSL VPN單點登錄技術具有如下特點：
（1）SSL VPN無需客戶端程序，安裝部署使用方便；
（2）SSL VPN不會受到安裝在客戶端與服務器之間的防火墻的影響；
（3）SSL VPN可以在任何地點，利用任何設備，連接到相應的網絡資源上，具備優異的擴展能力；
（4）SSL VPN是基于應用層面的VPN，更容易提供細粒度遠程訪問，支持更多的身份認證方式，如USBKey，動態口令牌等。
（5）管理員只需維護一套用戶數據庫，管理外網訪問用戶的賬號和密碼。
4 結語
我們設計的基于SSL VPN單點登錄系統不但可以提供一個統一身份認證、統一用戶管理、統一授權管理、統一資源管理和單點登錄平臺，而且具有安裝、部署、使用、維護均十分方便的特點，目前己廣泛應用于整合多業務應用系統的大平臺之中。
