宋嚴(yán)

(長春師范學(xué)院網(wǎng)絡(luò)中心，吉林長春 130032)

基于DES和ECC混合加密算法的數(shù)據(jù)中心安全管理模式研究

宋嚴(yán)

(長春師范學(xué)院網(wǎng)絡(luò)中心，吉林長春 130032)

目前高校數(shù)據(jù)中心承載的應(yīng)用和服務(wù)的數(shù)量快速增加，對服務(wù)器系統(tǒng)的安全穩(wěn)定性提出了更高的要求，但由于黑客活動加劇，嚴(yán)重影響了數(shù)據(jù)中心的安全。本文主要利用DES和ECC混合加密算法，探討一種數(shù)據(jù)中心安全管理的新模式。

DES；ECC；數(shù)據(jù)中心；安全

近幾年來，高校信息化建設(shè)快速發(fā)展，數(shù)字化校園工程、智慧化校園工程不斷普及，虛擬化、高性能計(jì)算和云服務(wù)等模式不斷涌現(xiàn)并發(fā)展成熟，使得高校數(shù)據(jù)中心承載的應(yīng)用、服務(wù)以及數(shù)據(jù)量成倍增加，隨之而來的便是對服務(wù)器系統(tǒng)的安全穩(wěn)定性提出了更高的要求。由于目前黑客的技術(shù)和手段不斷翻新，從事黑客的人數(shù)不斷增加，黑客群體的層次結(jié)構(gòu)也更加廣泛，而從事數(shù)據(jù)中心服務(wù)器管理人員的技術(shù)水平和安全意識卻參差不齊，這些因素將導(dǎo)致數(shù)據(jù)中心服務(wù)器安全受到嚴(yán)重的威脅，其中服務(wù)器系統(tǒng)的管理密碼則是數(shù)據(jù)中心安全防護(hù)的重要環(huán)節(jié)。

1 破解系統(tǒng)密碼的方式

密碼破解方法有很多種，這里簡單介紹幾種常用的密碼破解方法。（1）窮舉法。針對管理密碼為純數(shù)字有很好的破解效果，對于包含字母的密碼不適合這種方式進(jìn)行破解。窮舉法的原理是逐一嘗試數(shù)字密碼的所有排列組合，破解效率較低；（2）黑客字典法。由于一些用戶通常采用某些英文單詞或姓名的縮寫作為密碼或密碼的組成部分，所以就先建立一個(gè)包含巨量英語詞匯和短語、短句的可能的密碼詞匯字典，隨后使用破解軟件去逐一嘗試，直到試出正確的密碼。這種破解密碼方法的效率遠(yuǎn)高于窮舉法，因此大多數(shù)密碼破解軟件都支持這種破解方法；（3）猜測法。依靠的是經(jīng)驗(yàn)和目標(biāo)用戶的熟悉程度，很多人的密碼就是姓名漢語拼音的編寫或生日的簡單組合，這時(shí)猜測法擁有很高的效率。猜測法破解密碼的流程和黑客字典法比較類似；（4）網(wǎng)絡(luò)監(jiān)聽。網(wǎng)絡(luò)監(jiān)聽工具是一種監(jiān)視網(wǎng)絡(luò)的狀態(tài)、數(shù)據(jù)流動情況以及網(wǎng)絡(luò)上傳輸?shù)男畔⒌墓芾砉ぞ?，將網(wǎng)絡(luò)接口設(shè)置在監(jiān)聽模式，可以截獲網(wǎng)上傳輸?shù)男畔?。?dāng)?shù)顷懢W(wǎng)絡(luò)主機(jī)并取得超級用戶權(quán)限后，若要登陸其他主機(jī)，使用網(wǎng)絡(luò)監(jiān)聽可以有效地截獲其上傳輸?shù)臄?shù)據(jù)，是網(wǎng)上黑客使用最多的方法。網(wǎng)絡(luò)監(jiān)聽只能連接物理上屬于同一網(wǎng)段的主機(jī)或者通過交換設(shè)備的端口鏡象功能進(jìn)行監(jiān)聽。網(wǎng)絡(luò)監(jiān)聽常常被用來獲取用戶的口令以及重要數(shù)據(jù)。

2 新型校園數(shù)據(jù)中心密碼保護(hù)體系

上述的破解方法時(shí)刻都在威脅著各類應(yīng)用服務(wù)器的安全，并且由于校園數(shù)據(jù)中心的服務(wù)器相對集中，如有一臺服務(wù)器的密碼被攻破，會給其他服務(wù)器帶來巨大威脅。因此，必須找到一種適合數(shù)據(jù)中心的密碼保護(hù)體系。

經(jīng)過分析我們發(fā)現(xiàn)，黑客在利用窮舉法、黑客字典法以及猜測法獲取密碼都需要相對比較長的時(shí)間，如果讓服務(wù)器的密碼在比較短的時(shí)間內(nèi)改變，就可以有效地降低上述幾種獲取密碼方法的成功效率，達(dá)到保護(hù)系統(tǒng)的目的。經(jīng)過對這幾種密碼獲取手段的分析及總結(jié)，我們可以把這個(gè)相對較短的時(shí)間設(shè)置為1小時(shí)，也就是說服務(wù)器的系統(tǒng)密碼1小時(shí)更改一次，在這么短的時(shí)間內(nèi)以目前的計(jì)算機(jī)運(yùn)算速度，窮舉法、黑客字典法以及猜測法基本是無法完成密碼的破解的。如果人為地在1小時(shí)內(nèi)就要去更改一次密碼顯然是不可能的，因此需要計(jì)算機(jī)軟件去完成密碼的修改。為了保障密碼的安全性，產(chǎn)生的密碼應(yīng)該是按照一定的位數(shù)隨機(jī)產(chǎn)生的，因此管理員需要通過一種方法去獲取服務(wù)器不同時(shí)刻的新密碼，以登陸到服務(wù)器中進(jìn)行相關(guān)操作。經(jīng)過仔細(xì)研究，可以通過手機(jī)短信的方式獲取。管理員把自己的手機(jī)號碼綁定在密碼管理軟件中，當(dāng)管理員給密碼管理軟件連接的SM卡發(fā)送請求密碼信息時(shí)，密碼管理軟件會返回給管理員手機(jī)正確的服務(wù)器密碼。在這個(gè)過程中，為了能夠較為準(zhǔn)確地確定管理員的身份，管理員還需要在發(fā)送給密碼管理軟件的信息中寫入服務(wù)器的初始密碼或者其他一些信息。

校園數(shù)據(jù)中心的服務(wù)器數(shù)量一般都會大于10臺，這樣我們就可以利用集中密碼管理的辦法，把這些應(yīng)用服務(wù)器的密碼更改權(quán)限設(shè)置在一臺服務(wù)器中，通過網(wǎng)絡(luò)把這些服務(wù)器連接在一起做周期性的密碼分發(fā)，這樣可以降低管理成本，提高管理效率。但這種方法會給網(wǎng)絡(luò)監(jiān)聽密碼獲取法帶來機(jī)會，如果真出現(xiàn)了某一臺計(jì)算機(jī)由于其他原因如系統(tǒng)漏洞或軟件漏洞被攻克，那么黑客可以利用這臺服務(wù)器做網(wǎng)絡(luò)監(jiān)聽來竊取其他服務(wù)器的密碼。因此，我們必須在密碼管理服務(wù)器以及各應(yīng)用服務(wù)器間建立起一套完整的加密體系，以保護(hù)密碼在傳輸過程中的安全。

在這種密碼保護(hù)體系下，一定要利用各種防護(hù)手段保障密碼集中管理服務(wù)器的安全，如果一旦該服務(wù)器出現(xiàn)問題或無法連接其他應(yīng)用服務(wù)器，則各服務(wù)器可以利用初始密碼登陸，不會給操作帶來影響?；谶@種保護(hù)體系，在網(wǎng)絡(luò)傳輸過程中如何利用合理的加密方式保護(hù)密碼的安全成為該體系的核心問題之一（圖1）。

圖1 校園數(shù)據(jù)中心密碼保護(hù)體系

3 網(wǎng)絡(luò)加密的形式

3.1 鏈路加密

鏈路加密是將所要傳輸?shù)臄?shù)據(jù)在物理層之上的數(shù)據(jù)鏈路層位置進(jìn)行加密。在傳輸路徑上的各節(jié)點(diǎn)機(jī)均可看做是接收方，數(shù)據(jù)在每臺節(jié)點(diǎn)機(jī)上都要進(jìn)行解決再加密，直至傳送到目的主機(jī)。使用鏈路加密設(shè)備能為某鏈路上的報(bào)文提供傳送服務(wù)。也就是經(jīng)過節(jié)點(diǎn)機(jī)的所有網(wǎng)絡(luò)數(shù)據(jù)傳輸均需要加密和解密，每一個(gè)經(jīng)過的節(jié)點(diǎn)機(jī)都必須有密碼設(shè)備，以便進(jìn)行加、解密報(bào)文。如果數(shù)據(jù)只在一部分鏈路上加密而在其它鏈路上不加密，則等于未加密，仍然是不安全的。

3.2 節(jié)點(diǎn)加密

節(jié)點(diǎn)加密指每對節(jié)點(diǎn)使用相同密鑰，對相鄰兩節(jié)點(diǎn)間（包括節(jié)點(diǎn)本身）傳輸?shù)膱?bào)文進(jìn)行加密保護(hù)。盡管節(jié)點(diǎn)加密的方式給網(wǎng)絡(luò)數(shù)據(jù)提供較高的傳輸安全性，但在操作方法上和鏈路加密的方法是相似的，兩者均在數(shù)據(jù)鏈路層上為傳輸?shù)臄?shù)據(jù)提供安全性，都是在中間節(jié)點(diǎn)主機(jī)處先對數(shù)據(jù)進(jìn)行解密，然后再加密。因?yàn)樾枰獙λ袀鬏數(shù)臄?shù)據(jù)進(jìn)行加密操作，因此整個(gè)加密過程對用戶是透明的。不過和鏈路加密不同的是，節(jié)點(diǎn)加密方式的數(shù)據(jù)不可以在網(wǎng)絡(luò)節(jié)點(diǎn)以明文形式存在，它先是把收到的消息進(jìn)行解密，然后利用另一個(gè)不同的密鑰進(jìn)行加密，這一操作是在節(jié)點(diǎn)主機(jī)上的一個(gè)安全模塊中。節(jié)點(diǎn)加密要求數(shù)據(jù)的報(bào)頭和路由信息以明文形式存在和傳輸，以使中間節(jié)點(diǎn)主機(jī)能得到處理數(shù)據(jù)的依據(jù)。所以這種方法對于防止攻擊者分析通信業(yè)務(wù)是危險(xiǎn)的。

3.3 端—端加密

端—端加密是將數(shù)據(jù)從一端傳送到另一端使用的加密方式。數(shù)據(jù)在發(fā)送端被加密，在最終的接收端被解密，中間節(jié)點(diǎn)處不以任何明文的形式出現(xiàn)。采用端—端加密方式是在網(wǎng)絡(luò)體系結(jié)構(gòu)中的應(yīng)用層完成的，即在傳輸層之上的高層中完成。在傳輸過程中，除報(bào)頭外的報(bào)文均以密文的形式存在于全部傳輸過程。只有在發(fā)送端和接收端才有加、解密設(shè)備，而在中間任何節(jié)點(diǎn)報(bào)文均不解密，因此，不需要提供密碼設(shè)備。與鏈路加密相比，可有效地減少密碼設(shè)備的數(shù)量。另外，信息是由報(bào)頭和報(bào)文組成的，報(bào)文是要發(fā)送的信息，報(bào)頭為路由選擇信息。由于在網(wǎng)絡(luò)傳輸過程中涉及路由選擇，在鏈路加密時(shí)，報(bào)文和報(bào)頭兩者都要加密。而在端—端加密時(shí)，由于通道上的每一個(gè)中間節(jié)點(diǎn)雖不對報(bào)文解密，但為將報(bào)文傳送到目的地，必須檢查路由選擇信息，因此，只能加密報(bào)文，而無法對報(bào)頭加密。這樣就容易被通信分析手段發(fā)現(xiàn)，而從中獲取某些敏感信息。

4 利用DES與ECC的混合加密算法完成密碼加密

經(jīng)過仔細(xì)分析，充分考慮到密碼在傳輸過程中的安全性，不易于破解性，并考慮到加密解密校驗(yàn)的過程盡可能地減少用時(shí)，節(jié)約服務(wù)器資源，因此將采用DES與ECC的混合加密算法來完成對服務(wù)器密碼的加密過程，并通過JAVA語句對具體算法進(jìn)行實(shí)現(xiàn)（圖2）。

圖2 數(shù)字簽名流程示意圖

4.1 數(shù)字簽名生成的Java語句實(shí)現(xiàn)

4.2 數(shù)字簽名驗(yàn)證的Java語句實(shí)現(xiàn)

4.3 安全性能分析

DES算法綜合運(yùn)用了置換、代替、代數(shù)等多種密碼技術(shù)，其設(shè)計(jì)精巧，密鑰的長度僅56bit，適合軟硬件實(shí)現(xiàn)；DES加密速度快，適合加密較長明文。而ECC算法的計(jì)算量小并且處理速度快，在一定的相同的計(jì)算資源條件下，雖然在RSA中可以通過選取較小的公鑰 (可以小到3)的方法提高公鑰處理速度，即提高加密和簽名驗(yàn)證的速度，使其在加密和簽名驗(yàn)證速度上與ECC有可比性。但在私鑰的處理速度上 (解密和簽名)，ECC遠(yuǎn)比RSA快得多。在相同條件下，ECC具有更高的加密性能。ECC算法的存儲空間占用?。篍CC的密鑰尺寸和系統(tǒng)參數(shù)與RSA相比要小得多。160 bit ECC與1024bit RSA具有相同的安全強(qiáng)度，210bit ECC則與2048bit RSA具有相同的安全強(qiáng)度，意味著它所占的存貯空間要小得多。

因此，在校園數(shù)據(jù)中心新型架構(gòu)的密碼傳輸加密問題上，我們選擇了利用DES與ECC混合加密的機(jī)制，盡可能地保護(hù)數(shù)據(jù)安全，增加黑客破譯時(shí)間。由于這種密碼更新的周期為1個(gè)小時(shí)，因此更能增加傳輸密碼的安全性。目前，該項(xiàng)數(shù)據(jù)中心密碼安全體系正在研究中，DES與ECC混合加密的機(jī)制已經(jīng)在測試過程中顯示出了良好的安全性能。

5 發(fā)展趨勢

目前，校園數(shù)據(jù)中心的領(lǐng)域內(nèi)還沒有運(yùn)用服務(wù)器密碼集中管理的模式，雖然該方式屬于探索階段，但從理論上的研究已經(jīng)相當(dāng)成熟，正在實(shí)際的應(yīng)用環(huán)境中進(jìn)行測試性研究?？梢哉f，這種模式的前景將是非常廣闊的，不論是在校園或是在其他大型數(shù)據(jù)中心內(nèi)，都能夠打破傳統(tǒng)的服務(wù)器密碼單一管理模式，為數(shù)據(jù)中心應(yīng)用提供集中優(yōu)勢的非?？煽康拿艽a管理體系保障。

[1]邱崇霞.加密技術(shù)在網(wǎng)絡(luò)中的應(yīng)用[J].計(jì)算機(jī)網(wǎng)絡(luò),2007(8):185.

[2]楊新存.高校數(shù)據(jù)中心安全分析及解決方案[J].信息科學(xué),2008(15):48.

[3]楊大為.網(wǎng)絡(luò)加密技術(shù)的應(yīng)用與部署[J].信息安全與通訊保密,2007(12):120-123.

Research on the DES&ECC-based Mixed Encryption Algorithm for Data Center Security Management Mode

SONG Yan
(Network Center of Changchun Normal University,Changchun 130032,China)

The quantity of application and service which university data center carries is increasing rapidly,and so the higher requirements are put forward for the security and stability of server system.However,for the aggravation of hacker activities,the security of data center is seriously affected.Using DES&ECC-based mixed encryption algorithm,this paper discusses a new mode of safety management for the data center.

DES;ECC;data center;security

TP393

A

1008-178X(2012)09-0021-04

2012-06-15

宋 嚴(yán)（1982-），男，吉林磐石人，長春師范學(xué)院網(wǎng)絡(luò)中心網(wǎng)絡(luò)實(shí)驗(yàn)師，從事計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用研究。