基于SSL VPN单点登录在区域卫生信息平台中的应用

摘要：单点登录是近年来在开发大平台信息系统中出现的一门新兴技术，文章结合作者在开发岳阳楼区基于健康档案的区域卫生信息平台的实践，提出了单点登录技术与SSL VPN技术相结合的基于SSL VPN单点登录技术，为整合多种医疗业务应用系统提供了一个统一身份认证、统一用户管理、统一授权管理、统一资源管理和单点登录平台。
关键词：单点登录；SSL VPN；卫生信息平台

0 引言
基于居民健康档案的区域卫生信息平台是根据卫生部在《全国卫生信息化发展纲要(2003—2010年)》中提出的“建立区域卫生信息化示范区，实现区域内各卫生系统信息网上交换、区域内医疗卫生信息集中存储与管理、资源共享；在城市地区基本实现预防保健机构与卫生行政部门之间互联互通，资源共享；在有条件的农村地区，逐步将网络延伸到乡镇卫生医疗机构”的精神，以居民个人电子健康档案(EHR)为基础数据而建立的一种医疗资源共享信息系统。该区域卫生信息平台的核心是居民个人电子健康档案数据中心，居民个人电子健康档案的所有数据除了居民的基本信息由管理人员录入以外，其他各项健康数据都来自医疗服务机构的各种医疗IT应用系统。因此，基于居民健康档案的区域卫生信息平台需要与各医院的基本医疗系统、城镇职工和居民基本医疗保险、传染病报告、免疫接种、妇幼保健、新型农村合作医疗等各种信息系统互联互通，实现信息资源共享。该信息平台的技术构架是一个能够容纳管理个人健康档案的可扩充的、开放的、可持续发展的系统，其逻辑结构如图1所示。

1 传统登录方式与单点登录技术
建设基于居民健康档案的区域卫生信息平台的目的之一就是实现医疗卫生系统内部各种不同功能的业务应用系统互联互通，充分利用和整合现有卫生信息资源，实现信息资源共享，完成双向转诊、协同与远程医疗。由于历史的原因，医疗卫生系统内部各业务应用系统在开发的初期都是独立进行的，造成了彼此之间操作上的割裂和数据之间通信的割断。传统的登录方式是每个业务应用系统都需要用户输入用户名和密码才能登录。随着业务的发展，各个医疗服务机构都会增加更多应用系统在网上运行。尤其对于一些权限较高或是涉及业务较多的用户，如果每一个系统都需要他们进行密码的验证，那么用户使用系统的不便性是可想而知的。因此经常会有一些用户将多个系统设置成同一密码或是将记不住的密码写在纸上贴在桌子上，这样，对业务系统的访问存在着极大的安全隐患，使一些别有用心的工作人员有机会利用他人密码登录系统，进行非法操作，也会给发生重大医疗事故后的责任追查带来困难。另一方面，随着卫生系统内部内控要求的加强，需要对内部应用系统加强密码管理，每一个应用系统都需要在三个月内更换一次密码，记不住密码变得经常发生。而系统管理员也被拖入繁琐的重置用户密码的工作之中，无形中增加了管理员的工作量。总之，传统登录方式会带来以下的问题：
(1)如果每个系统都开发各自的身份认证系统将造成资源的浪费，加大开发成本；
(2)多个身份认证系统会增加整个系统的管理工作成本；
(3)用户需要记忆多个账户和口令，使用极为不便；
(4)无法实现统一认证和授权，多个身份认证系统使安全策略必须逐个在不同的系统内进行设置，因而造成修改策略的进度跟不上策略的变化；
(5)无法统一分析用户的应用行为。
基于上述情况，根据卫生部关于区域卫生信息平台建设的总体规划，要求对涉及到的内部业务应用系统进行整合与数据共享，同时建立一套统一的身份认证系统，以实现集中统一的身份认证，通过一次认证登录后就可访问所有有权访问的业务应用系统，避免频繁登录，并且能够保证用户身份的合法性和唯一性，对于业务应用系统的访问建立一套完整的安全防护和用户管理机制。