王冬娜

【摘要】 近年來，隨著國內(nèi)外計算機技術(shù)發(fā)展速度的不斷加快，發(fā)現(xiàn)或被利用的漏洞或后門越來越多，信息安全形勢也變得十分嚴(yán)峻。僅2014年上半年，就先后出現(xiàn)了支付寶密碼功能漏洞、攜程支付功能漏洞、Open SSL安全協(xié)議漏洞等，這些都對我國的信息安全建設(shè)提出了考驗。因此，本文在對數(shù)據(jù)安全需求及風(fēng)險進行分析的基礎(chǔ)上，概要性的介紹了TLS通信協(xié)議技術(shù)的有關(guān)內(nèi)容，并從該安全技術(shù)出發(fā)，對保障數(shù)據(jù)安全提出一些具體技術(shù)措施及建議。

【關(guān)鍵詞】 數(shù)據(jù)安全 TLS通信協(xié)議 中間人防護

一、數(shù)據(jù)安全需求分析

數(shù)據(jù)安全需求包括物理安全需求、通信安全需求和管理安全需求等內(nèi)容。物理安全需求是指通過相關(guān)的數(shù)據(jù)中心及機房建設(shè)，達到國家規(guī)定的數(shù)據(jù)存儲及運行環(huán)境安全，保障數(shù)據(jù)不被物理上的損毀、更改或盜??；管理安全需求是指通過相應(yīng)的制度及管理規(guī)范，明確數(shù)據(jù)管理人員的權(quán)責(zé)，規(guī)避人為破壞或泄漏風(fēng)險的發(fā)生；通信安全需求是指數(shù)據(jù)在傳輸?shù)倪^程中，采用加密或其他技術(shù)手段，規(guī)避截取、監(jiān)聽及篡改等風(fēng)險隱患，保障原始數(shù)據(jù)與目標(biāo)地址接收數(shù)據(jù)的一致及不可抵賴性。

二、TLS技術(shù)在數(shù)據(jù)通信安全中的應(yīng)用

2.1 TLS通信協(xié)議簡介

TLS通信協(xié)議是在SSL協(xié)議基礎(chǔ)上開發(fā)出來的，其目標(biāo)是增強通信的安全和可靠性，由記錄和握手協(xié)議族組成。記錄協(xié)議族是對所傳輸?shù)臄?shù)據(jù)進行拆分、混亂排序、加密、解密及校驗等措施，實現(xiàn)傳輸數(shù)據(jù)的雙方私有及可靠。該協(xié)議一般通過目前較為流行的RSA、MD5、三重DES等加密算法來實現(xiàn)。

握手協(xié)議族通過密碼形式及格式的轉(zhuǎn)換、數(shù)據(jù)交互握手確認(rèn)、校驗及糾錯等措施，來驗證是否被監(jiān)聽，從而防范中間人的攻擊行為。

TLS通信協(xié)議技術(shù)在保障數(shù)據(jù)安全方面具有非常明顯的優(yōu)勢：

一是，頂層協(xié)議能夠可視的封裝在TLS通信協(xié)議上，從而實現(xiàn)TLS與應(yīng)用之間的互相獨立與完整；

二是，支持高強度的算法加密功能，在保證數(shù)據(jù)傳輸速度和效率的同時，實現(xiàn)安全與完整；

三是，TLS證書機制更加完善，能夠有效保證證書在存儲、使用、驗證、更新、撤銷等過程中的準(zhǔn)確及可信。

2.2 TLS攻擊途徑分析

在TLS技術(shù)體系建設(shè)過程中，由于PKI整個架構(gòu)完整搭建需要較多的時間以、較高的成本以及使用的復(fù)雜性，一般用戶容易忽視該數(shù)字證書的雙向認(rèn)證，只將該功能部署在服務(wù)器端，這也就給中間人攻擊留下了隱患。此外，由于我國大多數(shù)用戶的安全意識不強，以及國內(nèi)一些應(yīng)用系統(tǒng)在使用過程中出現(xiàn)的證書提示缺陷，導(dǎo)致用戶在出現(xiàn)證書錯誤或時效性提示時，常常選擇忽略，這也易造成中間人偽冒證書進行攻擊。

較為常見的中間人攻擊途徑包括：

一是，利用代理服務(wù)器模式，利用已經(jīng)刪除或撤銷的證書進行服務(wù)器驗證，在用戶選擇忽略驗證后，進行數(shù)據(jù)代理轉(zhuǎn)發(fā)，從而篡改或監(jiān)聽傳輸數(shù)據(jù)；

二是，偽造虛假證書，并入侵至證書服務(wù)器，將該虛假證書的狀態(tài)改為可信證書，使得服務(wù)器端認(rèn)證失效，從而進行無察覺的隱蔽攻擊；

三是，偽裝成第三方證書機構(gòu)，通過IssuerDN和 SubjectDN模糊配置，截取用戶的證書信息，并將自己的數(shù)字證書發(fā)送給用戶，從而通過瀏覽器域名更改的方式實現(xiàn)數(shù)據(jù)監(jiān)聽或篡改。

2.3 基于TLS的中間人防護實現(xiàn)

在TLS通信協(xié)議中，為了防止密鑰被篡改后進行錯誤驗證，可以構(gòu)建一個簡單的密鑰恢復(fù)系統(tǒng)，其原理是在服務(wù)器上搭建一個公有密鑰及私有密鑰的生產(chǎn)及校驗系統(tǒng)，類似于證書服務(wù)器端的設(shè)計實現(xiàn)，并在用戶客戶端上實現(xiàn)TLS證書驗證嵌入式模塊，實現(xiàn)與服務(wù)器的交互和校驗，該模塊主要作用在于代理用戶的證書功能，即將用戶關(guān)于證書字段功能全部改為代理進行。

在中間人攻擊防護上，可以在用戶及服務(wù)器上構(gòu)建一個可信任的TLS代理機制，相當(dāng)于原有的中間人角色。該代理模塊能夠?qū)崿F(xiàn)用戶與證書服務(wù)器之間的驗證通信，并能強制禁止通信密鑰的暴力破解、算法檢查、定制化加強協(xié)議、證書的二次檢查與管理等。

另外，該代理模塊對外訪問過程中擔(dān)任用戶的角色，實現(xiàn)用戶的證書管理、容錯檢驗功能，避免了用戶的錯誤證書信任，實現(xiàn)了與外部數(shù)據(jù)交互的透明監(jiān)控，起到了統(tǒng)一控制的作用。

參 考 文 獻

[1]栗靜文.安全訪問控制系統(tǒng)的設(shè)計與實現(xiàn)[D].北京：北京郵電大學(xué)，2011.

[2]王福，譚成翔，沈寒輝.一種面向PKI/PMI的電子政務(wù)邊界數(shù)據(jù)防護系統(tǒng)[J].計算機應(yīng)用與軟件，2010，27（6）：60-62.