馮勝安

（滁州職業(yè)技術(shù)學院，安徽 滁州 239000）

教育電子政務平臺安全性問題的研究與實踐

馮勝安

（滁州職業(yè)技術(shù)學院，安徽 滁州 239000）

教育電子政務平臺是教育系統(tǒng)通用的公文與信息交換平臺，已經(jīng)在全國教育系統(tǒng)廣泛使用。系統(tǒng)基于IP網(wǎng)絡通信，數(shù)據(jù)默認為明文傳輸，存在許多安全隱患。IPSec協(xié)議能夠為基于IP網(wǎng)絡通信提供身份認證、完整性檢查、機密性保護等安全服務。在網(wǎng)絡中合理地部署IP安全策略，可以有效解決教育電子政務平臺數(shù)據(jù)通信的安全性問題。

電子政務平臺；IPSec；安全策略

為實現(xiàn)教育系統(tǒng)全國統(tǒng)一的電子政務文件信息交換，教育部自2001年起開始規(guī)劃和建設教育電子政務應用體系框架，在教育部教育信息中心的指導下，北京網(wǎng)盟信息技術(shù)發(fā)展有限公司研制了“育軟電子政務平臺（Edoasoft）”。目前已經(jīng)在教育主管部門和高校普遍使用，實現(xiàn)教育系統(tǒng)各級行政部門以及各級各類學校電子公文、信息、數(shù)據(jù)的上傳和下達功能，整合了辦公與事物處理、電子簽章、用戶管理、數(shù)據(jù)管理與分析等，是一套教育電子政務綜合解決方案。滁州職業(yè)技術(shù)學院于2006年通過省教育廳接入教育電子政務平臺，實現(xiàn)內(nèi)部文件的網(wǎng)絡傳輸，以及與省教育廳的文件上傳和接收，方便了日常工作，提高了工作效率。

教育電子政務平臺是在Windows Server 2003＋JBoss＋ MYSQL＋IE 7.0環(huán)境下運行，通過外網(wǎng)與省教育廳相連，省教育廳又通過外網(wǎng)與教育部相連。通過校內(nèi)電子政務服務器，實現(xiàn)校園內(nèi)部文件的網(wǎng)上處理，其網(wǎng)絡拓撲結(jié)構(gòu)如下圖1所示。

圖1 教育電子政務平臺拓撲圖

在使用過程中發(fā)現(xiàn)，用戶的帳號、密碼等信息在網(wǎng)上傳輸時均為明文，極易被非授權(quán)用戶監(jiān)聽，存在很大的安全隱患。IPSec是由IETF（Internet Engineering Task Force，Internet工程任務組）的IPSec工作組開發(fā)的工業(yè)標準，是用于解決IPv4的安全性問題的一組協(xié)議集［1］。在實踐中發(fā)現(xiàn)，通過合理的部署和配置IP安全策略，可以解決平臺的安全性問題。

一、平臺存在的問題

教育電子政務平臺采用瀏覽器／服務器（Browser／Server，B／S）架構(gòu)，使用 HTTP（hypertext transport protocol）協(xié)議。HTTP是請求與響應模式的、無狀態(tài)的、應用層的協(xié)議，是基于TCP／IP的連接方式［4］。默認情況下，傳輸?shù)恼埱蠛晚憫獢?shù)據(jù)均為明文，包括用戶名和密碼等信息。這些數(shù)據(jù)在網(wǎng)絡傳輸過程中可能被第三方利用抓包工具獲取。下圖2為使用Wireshark抓獲的教育電子政務平臺用戶登錄信息，其中包含了用戶名（username）和密碼（pword）等信息。

圖2 Wireshark工具抓獲數(shù)據(jù)

由上圖可以看出，系統(tǒng)使用HTTP協(xié)議傳輸member.jsp文件，其中包含的用戶信息均為明文，并且很容易被無授權(quán)用戶獲得，平臺存在很大的安全隱患。這也是B／S架構(gòu)固有的問題，B／S架構(gòu)的系統(tǒng)自身很難提供認證、加密等安全措施。解決問題的有效方法是采用第三方安全工具對網(wǎng)絡中提交的機密和敏感信息進行封裝和加密。

二、IPSec技術(shù)介紹

IPSec（Internet Protocol Security）作為網(wǎng)絡層的通用安全協(xié)議廣泛應用于構(gòu)建企業(yè)級VPN（Virtual Private Network，簡稱VPN），在企業(yè)局域網(wǎng)內(nèi)部和其他公共互聯(lián)網(wǎng)業(yè)務中使用較少［2］。而網(wǎng)絡攻擊大部分來自企業(yè)內(nèi)部網(wǎng)絡，通過合理地配置IPSec安全策略，可以有效地提高整個網(wǎng)絡的安全性。

（一）IPSec主要協(xié)議［1］

1.驗證報頭（Authentication Header，AH）協(xié)議

AH協(xié)議為整個數(shù)據(jù)包提供身份驗證、完整性和反重播。AH不提供數(shù)據(jù)加密功能，不提供數(shù)據(jù)機密性保護。AH通過密鑰的散列來提供傳輸數(shù)據(jù)的完整性，現(xiàn)在支持的散列算法包括HMAC MD5和HMAC SHA。MD5產(chǎn)生一個128位的值，SHA產(chǎn)生一個160位的值。相比較SHA更安全，MD5算法速度更快。

2.封 裝 安 全 負 載 （Encapsulation Security Payload，ESP）協(xié)議

ESP協(xié)議比AH協(xié)議復雜，除了AH具有的功能外，ESP還提供機密性。其中，數(shù)據(jù)機密性是ESP協(xié)議的基本功能，數(shù)據(jù)源身份認證、數(shù)據(jù)完整性檢驗和反重放攻擊保護都是可選的［3］。ESP可以單獨使用，也可以與AH組合使用。

3.Internet密鑰交換（Internet Exchange，IKE）協(xié)議

IKE協(xié)議是IPSec目前正式確定的密鑰交換協(xié)議，它定義了通信實體間進行身份認證、創(chuàng)建安全聯(lián)盟、協(xié)商加密算法，以及生成共享會話密鑰的方法。IPSec通信雙方可以通過IKE動態(tài)生成并交換密鑰，獲得更高的安全性。

（二）IPSec工作模式

IPSec協(xié)議有兩種模式：傳輸模式和隧道模式［5］。

1.傳輸模式

IPSec傳輸模式只對IP數(shù)據(jù)報的上層數(shù)據(jù)部分提供保護，適用于兩個主機之間的通信，即源主機和目的主機之間實現(xiàn)完整的端對端通信保護。傳輸模式通過AH和ESP報頭對IP有效荷載提供保護。

2.隧道模式

隧道模式對整個IP數(shù)據(jù)包提供保護，實現(xiàn)路由器、網(wǎng)關(guān)之間的安全通信。隧道模式通過AH和ESP提供對整個IP數(shù)據(jù)包的保護。使用隧道模式時，將通過AH或ESP報頭與其他IP報頭來封裝整個IP數(shù)據(jù)包。外部IP報頭的IP地址是隧道終結(jié)點，封裝的IP報頭的IP地址是最終地址與目標地址。

（三）IPSec的應用

1.計算機之間的安全通信［5］

采用IPSec協(xié)議傳輸模式，可以實現(xiàn)計算機之間的端對端的安全通信。通過在服務器和客戶端計算機上配置IPSec，可以實現(xiàn)服務器與客戶端、服務器與服務器、客戶端與客戶端之間的網(wǎng)絡通信安全。從而能夠保證局域網(wǎng)內(nèi)部教育電子政務平臺的安全性。

2.網(wǎng)絡之間的安全通信

IPSec協(xié)議隧道模式用于實現(xiàn)網(wǎng)絡之間的安全通信。通過在路由器（網(wǎng)關(guān)）之間建立IPSec隧道，讓封裝的數(shù)據(jù)包在網(wǎng)絡中的隧道內(nèi)部傳輸，從而保證了數(shù)據(jù)傳輸?shù)陌踩??？梢杂糜诮逃娮诱掌脚_各節(jié)點（如，省、市教育——地方院校）之間傳輸數(shù)據(jù)的安全保護。

3.L2TP（Layer 2Tunneling Protocol，第二層隧道協(xié)議）虛擬專用網(wǎng)絡

L2TP和IPSec協(xié)議結(jié)合使用，可在任何IP網(wǎng)絡上為IP、IPX和其他協(xié)議包提供隧道的安全性。IPSec協(xié)議隧道模式只提供IP數(shù)據(jù)包的安全性，只有L2TP和IPSec結(jié)合使用才可以為其他協(xié)議提供更完整的安全性?？梢杂糜诮逃娮诱掌脚_各節(jié)點（如，省、市教育——地方院校）之間傳輸數(shù)據(jù)的安全保護。

三、IPSec技術(shù)在教育電子政務平臺局域網(wǎng)中的實踐

IPSec的相關(guān)服務部分由微軟和Cisco公司共同開發(fā)，為網(wǎng)絡通信提供端到端的身份驗證、完整性、反重播和保密性?，F(xiàn)在幾乎所有廠商的操作系統(tǒng)和網(wǎng)絡硬件設備都支持IPSec協(xié)議。因此，利用IPSec協(xié)議的安全特性，可以有效地解決教育電子政務平臺存在的安全性問題。在Windows操作系統(tǒng)中，Internet協(xié)議安全（IPSec）管理，是以“IP安全策略管理”的形式配置的，具體配置如下：

（一）服務器端配置

在“開始”菜單中單擊“運行”，輸入 MMC，打開控制臺窗口，添加“IP安全策略管理”。現(xiàn)在國內(nèi)高校局域網(wǎng)多為工作組模式，因此，選擇管理單元要管理的計算機或域為“本地計算機”。在IP安全策略管理窗口中創(chuàng)建IP安全策略，此例中名稱為“edoas”。不激活默認響應規(guī)則，在“edoas屬性窗口”中添加IP安全規(guī)則，選擇“此規(guī)則不指定隧道”，網(wǎng)絡類型為“所有網(wǎng)絡連接”。在“IP篩選列表”中添加新的IP篩選列表，指定源地址為“我的IP地址”，目標地址為“任何IP地址”。選擇協(xié)議類型為“任意”。為了允許非安全客戶端連接 ，在篩選器操作中選擇“請求安全（可選）”。身份驗證方式選擇“使用此字符串保護密鑰交換（預共享密鑰）”，同時輸入預共享密鑰。然后指派edoas安全策略。完成后的控制臺窗口如下圖3所示。

圖3 IP安全策略服務器端配置窗口

（二）客戶端配置

客戶端支持安全通信和非安全通信兩種模式，非安全通信的客戶端不需要做任何配置。安全通信的客戶端需要配置IP安全策略，配置方法與服務器端基本相同，只是目標地址應指定為校內(nèi)電子政務平臺服務器地址，如：223.244.233.22。身份驗證方式選擇“使用此字符串保護密鑰交換（預共享密鑰）”，共享密鑰必須與服務器端相同。

完成配置后，如客戶端啟用IP安全策略，則數(shù)據(jù)通信為加密方式，具有較高的安全性。如果用戶不啟用IP安全策略，則數(shù)據(jù)通信仍然是明文的。用戶可以根據(jù)需要決定是否啟用IP安全策略，具有較強的靈活性。啟用IP安全策略后，使用Wireshark獲取客戶端登錄信息的數(shù)據(jù)報文如下圖4所示。

圖4 配置IP安全策略后的通信報文

由上圖可以看出，網(wǎng)絡中傳輸?shù)男畔⑹褂昧薊SP協(xié)議封裝和加密，用戶提交的登錄信息都是密文，使用抓包工具無法直接獲取用戶名、密碼等敏感信息。與上圖2所示的明文傳輸方式相比，系統(tǒng)具有了更高的安全，保證了網(wǎng)絡中用戶信息傳輸?shù)陌踩浴?/p>

四、結(jié)束語

教育電子政務平臺作為教育系統(tǒng)通用文件傳輸平臺，擔負著文件的上傳和下載功能，但其安全性一直沒有得到足夠重視，勢必影響該平臺的深層次應用。相比其他安全協(xié)議，IPSec能夠提供更為廣泛和通用的安全保護，在網(wǎng)絡中強制部署IP安全策略，能夠在技術(shù)層面很好地解決電子政務平臺安全性問題。同時，IPSec協(xié)議還可以與其他安全技術(shù)結(jié)合使用，應用于企業(yè)網(wǎng)內(nèi)部網(wǎng)絡安全的多個方面，為基于IPv4的網(wǎng)絡提供更全面的安全性保障。

［1］王曉卉.基于IPSec協(xié)議網(wǎng)絡安全訪問的研究［J］.黑龍江科技信息，2011，（3）：79.

［2］紀曉霞.IPSec在局域網(wǎng)的簡易化實施［J］.現(xiàn)代計算機，2011，（8）：51－52.

［3］陳 湉，謝 瑋.IPSec技術(shù)應用前景分析［J］.電信網(wǎng)技術(shù)，2010，11（11）：45－49.

［4］李 英，胡廉民.IPSec與 NAT協(xié)議兼容性研究［J］.樂山師范學院學報，2010，25（12）：30－31.

［5］鮑漪瀾.基于IPSec協(xié)議的虛擬局域網(wǎng)安全系統(tǒng)設計及實現(xiàn)［D］.大連：大連輕工業(yè)學院，2007.

TP309

A

1673-1794（2012）03-0089-03

馮勝安（1966－），男，高級講師，碩士，研究方向：計算機應用、網(wǎng)絡安全。

2012-01-23