周海波
摘要:在網(wǎng)絡(luò)技術(shù)飛速發(fā)展的當下,網(wǎng)絡(luò)安全問題逐漸成為社會聚焦的熱點問題。為了做好網(wǎng)絡(luò)安全維護,應(yīng)用加密機非常必要。文章以網(wǎng)絡(luò)時代為背景,對加密機和網(wǎng)絡(luò)安全的現(xiàn)狀進行了分析,并針對網(wǎng)絡(luò)安全維護中加密機的應(yīng)用展開了論述,目的在于全面提高網(wǎng)絡(luò)安全性,并為有關(guān)人員提供技術(shù)參考。
關(guān)鍵詞:網(wǎng)絡(luò)安全維護;加密機;密鑰管理;資源共享
中圖分類號:TP393 文獻標識碼:A 文章編號:1007-9416(2017)10-0180-03
隨著互聯(lián)網(wǎng)時代的到來,網(wǎng)絡(luò)逐漸成為人們生活、工作不可或缺的一部分,網(wǎng)絡(luò)一方面帶來了極大的便利,通過互聯(lián)網(wǎng)技術(shù)可以實時獲取新聞,了解世界各地發(fā)生的事。但是另一方面網(wǎng)絡(luò)安全也成為網(wǎng)絡(luò)時代值得關(guān)注的問題。黑客、網(wǎng)絡(luò)病毒等危險因素的存在,對網(wǎng)絡(luò)安全造成了極大的威脅。為了做好網(wǎng)絡(luò)安全維護工作,加密機的應(yīng)用非常必要,同時這也是當前網(wǎng)絡(luò)維護工作中需要關(guān)注的要點。
1 加密機與網(wǎng)絡(luò)安全問題
1.1 加密機介紹
加密機是相關(guān)部門研發(fā)的一種主機加密設(shè)備,加密機的使用需要經(jīng)過國家商用密碼管理部門的鑒定和審批。加密機和主機這兩者之間一般是通過TCP/IP協(xié)議實現(xiàn)通信[1]。所以,加密機運行環(huán)境非常寬松,不會受到主機操作系統(tǒng)、硬件類型等諸多因素的限制,支持多種操作系統(tǒng)。在計算機網(wǎng)絡(luò)通信的環(huán)境下,加密機可以對有嚴格保密性能要求的文件實施加密處理,以免重要文件遭到惡意竊取、篡改。
一般加密機的內(nèi)部構(gòu)造主要包括以下幾個部分:密鑰管理功能模塊、后臺進程功能模塊、硬件加密功能模塊、監(jiān)程序功能模塊。一旦接口需要連接,這時加密機便會為前臺運行中提供 API,利用API為有加密需求的系統(tǒng)創(chuàng)建一個加密接口,如此一來便可以在系統(tǒng)運行期間通過加密機對系統(tǒng)進行加密處理。所以,加密機前臺 API基本模式為 C庫形式。加密機算法也非常多元化,比較常見的分別有對稱加密算法、非對稱加密算法等。
加密機的使用也體現(xiàn)了優(yōu)勢,加密機是一種能夠?qū)崿F(xiàn)點對點加密的信息技術(shù)設(shè)備,一般是用于廣域網(wǎng)或城域網(wǎng)兩個節(jié)點之間。換而言之,單位A和單位B的網(wǎng)絡(luò)要實現(xiàn)連接,但是需要對傳輸內(nèi)容進行保密,就要在A網(wǎng)絡(luò)出口處放置加密機,B出口同樣放置加密機,這樣在這兩個單位之間的信息傳輸。通過加密算法加密后,就脫離了普通的TCP/IP協(xié)議包,其他人即使截取也無法看見內(nèi)容。由此可見,加密機的應(yīng)用,主要優(yōu)勢體現(xiàn)在對雙方傳輸內(nèi)容的保密,極大地保證了連接的安全性,提高數(shù)據(jù)傳輸?shù)乃?。其中一些加密機帶路由功能,有的不帶則需要再加路由器。加密機一般不用于internet,網(wǎng)站中也幾乎用不到,若網(wǎng)站要實現(xiàn)加密遠程登錄,可以直接使用VPN。
1.2 網(wǎng)絡(luò)安全問題
如今社會已經(jīng)正式步入互聯(lián)網(wǎng)時代,在全民網(wǎng)絡(luò)的大環(huán)境下,網(wǎng)絡(luò)資源共享成為十分常見的現(xiàn)象,這也就帶來了網(wǎng)絡(luò)安全問題。其實網(wǎng)絡(luò)安全、資源共享本身比較矛盾,現(xiàn)在的網(wǎng)絡(luò)環(huán)境處于逐漸開放的狀態(tài)下,更多共享信息的出現(xiàn),勢必會為一些不法分子提供機會[2]。對于當前的網(wǎng)絡(luò)安全環(huán)境,能夠為網(wǎng)絡(luò)安全構(gòu)成威脅的因素主要體現(xiàn)為以下幾種:其一,網(wǎng)絡(luò)黑客,其二,網(wǎng)絡(luò)病毒。無論是以上哪一種,都會對網(wǎng)絡(luò)安全造成極大的影響,所以必須要對網(wǎng)絡(luò)安全維護加強重視。
2 加密機在網(wǎng)絡(luò)安全中的應(yīng)用
2.1 加密機的基礎(chǔ)知識
針對系統(tǒng)內(nèi)部有使用加密機需求的網(wǎng)絡(luò)信息,多數(shù)都帶有信息敏感性,類似于銀行交易系統(tǒng)等。針對這一類網(wǎng)站系統(tǒng)均使用加密機對其進行加密處理,但是這一工作帶有一定的繁瑣性,其原因在于為了規(guī)避不法分子的攻擊,確保系統(tǒng)安全。針對這一現(xiàn)象,可以使用加密機進行硬件加密,全面規(guī)避網(wǎng)絡(luò)安全問題[3]。一般加密機都是三層密匙系統(tǒng),對于存在差異性的密匙有各自的使用限制。
通常加密機密匙體系有三種,即工作密鑰、傳輸主密匙、本地主密匙,所以在使用加密機進行網(wǎng)絡(luò)安全維護時,便可以通過這三種體系來實現(xiàn)。其一,工作密鑰。這種密鑰的處理對象是一般數(shù)據(jù),例如加密敏感信息報文和MAC校驗等;其二,傳輸主密鑰。該密鑰是兩臺加密設(shè)備之間負責更換加密保護工作密鑰的形式;其三,本地主密鑰。本地主密鑰也就是加密機主密鑰,被存儲于加密機內(nèi)部,負責對存儲于加密機以的所有密鑰以及關(guān)鍵數(shù)據(jù)的密鑰加密密鑰進行保護。
對于加密機主密鑰的生成,硬件加密機要在正式運行之前設(shè)置好系統(tǒng)參數(shù),也就是加密機主密鑰灌注。通常硬件級加密機所使用的灌注方式為分段、多人以及手工等形式,完成灌注主密鑰則是通過加密機系統(tǒng)完成合成和儲存[4]。加密機內(nèi)有密鑰自毀設(shè)備,針對一些非法獲取主密鑰的行為會自動開啟自毀裝置,確保主密鑰安全。對于加密機傳輸主密鑰的生成。通過加密機安全系統(tǒng)生成傳輸主密鑰,一般是調(diào)用加密機的前臺API,以此生成傳輸主密鑰。
為了對傳輸主密鑰安全進行保證,通常在生成密鑰期間會同時形成3個左右的密鑰分量,再合成這些密鑰分量獲取傳輸主密鑰。為了對這一觀點進行深入了解,下文以 Linux 系統(tǒng)為例,分析加密機傳輸密鑰的生成。
在Linux 系統(tǒng)下,密鑰函數(shù)的原型是:
Int HSMAPIGTransKey( int iKeyLen,intiKerType,char* bCKey,char* bCValue ) ;
需要輸入?yún)?shù):in t iKeyLen//密鑰字節(jié)長度;
in t iKeyType//密鑰類型:0×01;通信主密鑰。
輸出參數(shù):
char* bCKey//LMK 加密的隨機密鑰密文;
char* bCValue//隨機密鑰驗證碼。
函數(shù)返回值:
0× 01://正確返回;
for(i = 0;i
{
ret = HSMAPIGTransKey (iKeyLen,iKeyType,&TransKey
[iKeyLen* i],check_value} ;
if(ret! = 0)
{
return ret;
}
}
通過該實例的分析可以確定的是,生成密鑰的流程如下:第一,申請一個隨機工作密鑰,并通過硬件機密機之后生成,以此獲取本地主密鑰加密;第二,完成主密鑰加密,這時申請的工作密鑰也會轉(zhuǎn)變?yōu)槟軌騻鬏數(shù)墓ぷ髅荑€,利用網(wǎng)絡(luò)將工作密鑰發(fā)送到收信方計算機端口便可完成密鑰生成。
對于加密機工作密鑰的生成。針對以加密機加密網(wǎng)絡(luò)安全的系統(tǒng),完成傳輸主密鑰生成之后,便要生成工作密鑰[5]。通過工作密鑰完成網(wǎng)絡(luò)傳輸報文、敏感數(shù)據(jù)解密、MAC 校驗等工作。為了對網(wǎng)絡(luò)應(yīng)用安全進行保證,工作密鑰動態(tài)要同步進行。利用持續(xù)更新、同步工作密鑰的方式對其安全進行保證。真正通訊期間,雙方針對一些敏感信息需要利用工作密鑰進行加密操作,對報文執(zhí)行MAC加密。而接收報文的人員則要利用工作密鑰,針對已經(jīng)接收的報文實施MAC校驗,對于其中蘊含的敏感信息實施解密。通過加密機請求生成工作密鑰,并對前臺API函數(shù)進行調(diào)用,加密機利用加密算法回到指定傳輸主密鑰加密的工作密鑰中,以網(wǎng)絡(luò)傳輸?shù)姆绞絺鬟f到對方主機中。
2.2 加密機在網(wǎng)絡(luò)安全維護中的應(yīng)用
2.2.1 搭建加密機應(yīng)用框架
加密機硬件框架主要有硬件加密機、防火墻兩個部分。其中防火墻在其中的作用,是在計算機接受外部訪問期間設(shè)置首道安全障礙,為計算機安全進行保證,對設(shè)置的防火墻段篩選外部訪問信息,保證信息的安全性,如果經(jīng)過篩查發(fā)現(xiàn)帶有惡意的非法信息,便可以通過防火墻直接將其隔離。通過防火墻之后,信息會受到硬件加密機的解密校驗,以此完成安全性的再次篩選。對于一些比較高端的木馬病毒、專業(yè)的黑客攻擊,可以直接將其隔離。搭建這種框架主要作用在于能夠?qū)崿F(xiàn)系統(tǒng)內(nèi)部報文的加密和解密,嚴格驗證報文安全性、合法性,如果在其中發(fā)現(xiàn)一些非法性質(zhì)的訪問行為或者敏感信息,可以直接進行隔離處理,以免在網(wǎng)絡(luò)傳輸過程中,或者接收信息之后對系統(tǒng)造成竊取和篡改,進而影響數(shù)據(jù)傳輸安全。在搭建過程中,需要注意兩端密鑰的統(tǒng)一性,也就是在對稱密鑰體系中,需要保證加密、解密兩端密鑰的一致性,一旦其中一端密鑰被更改,另外一端密鑰也需要更改,保證二者的一致性。所以將其中一端密鑰更改,會直接打破整個體系,從而直接阻礙業(yè)務(wù)的繼續(xù)。
2.2.2 加密機相關(guān)技術(shù)實踐應(yīng)用
在加密機相關(guān)技術(shù)中,對稱密鑰、非對稱密鑰加密是多種加密技術(shù)中最為常用的技術(shù)。其一,對稱密鑰加密算法中的發(fā)信方原始數(shù)據(jù)、加密密鑰一般是利用算法完成操作,使其成為無法識別密文。將密文發(fā)送到收信方之后,要利用雙方所共有的算法對其進行解密,使其恢復(fù)成為可讀文件。該操作過程中密鑰的需求僅有一個,便是雙方要提前進行核準。其二,非對稱密鑰加密算法。這一算法中便有兩個密鑰,即公共密鑰、私人密鑰。這兩種密鑰性質(zhì)完全不同,然而卻可以支持互相匹配。利用非對稱密鑰機密算法加密文件時,必須要使用匹配性能好的兩個密鑰,方可進行文件加密以及解密。加密期間一般是使用公共密鑰,而解密則是使用私人密鑰,發(fā)信方要知曉接收方的公共密鑰,然而私人密鑰卻只有收信方一方知曉。所以,使用非對稱加密期間,收發(fā)雙方正式通信之前,收信一方務(wù)必要自身的公共密鑰提前告訴發(fā)信一方,將私人密鑰自己保存。
在當前階段的網(wǎng)絡(luò)安全維護領(lǐng)域中,非對稱密鑰加密的應(yīng)用非常普遍,比較常見的有銀行金融系統(tǒng)數(shù)字證書,這就是通過公共密鑰以及一個用戶的多個屬性私人密鑰綁定的方式,使所有公共密鑰都有數(shù)字證書。這一證書中主要包含用戶的公共密鑰、用戶信息以及數(shù)字簽名等內(nèi)容,用戶可以按照以上所有信息驗證身份。有訪問CA 公共密鑰權(quán)限的收信方,都能夠驗證證書,以此明確用戶是否有CA簽名。在這期間不需要訪問機密信息,并且收信方將自己的私人密鑰解密之后,便可以隨意查看個人信息,且保證不會被惡意竊取、篡改。因為這兩種密鑰都是大素數(shù),所以可以保證密鑰的安全性和可靠性。
2.3 應(yīng)用加密機實現(xiàn)數(shù)據(jù)保護
在應(yīng)用加密機進行網(wǎng)絡(luò)安全維護過程中,其本身主要面臨下面幾種風險:第一,傳輸數(shù)據(jù)機密性遭到破壞,攻擊人員利用非法手段獲取了網(wǎng)絡(luò)系統(tǒng)信息,或者是破譯了信道數(shù)據(jù),使內(nèi)聯(lián)網(wǎng)內(nèi)容遭到泄露。其二,對傳輸數(shù)據(jù)的完整性進行了破壞,攻擊人員將網(wǎng)絡(luò)系統(tǒng)線路正在傳輸?shù)臄?shù)據(jù)進行了篡改,或者是利用數(shù)據(jù)傳輸過程中存在的失誤、丟失等問題,破壞了數(shù)據(jù)完整性。其三,破壞了數(shù)據(jù)的真實性。攻擊人員利用偽造網(wǎng)絡(luò)系統(tǒng)數(shù)據(jù)的方式實施詐騙。第四,傳輸線路內(nèi)缺乏高強度的隔離舉措,攻擊人員使用一些公眾網(wǎng)絡(luò)的口令破譯方法,進入至網(wǎng)絡(luò)系統(tǒng)中,從而破解內(nèi)部網(wǎng)重要數(shù)據(jù)。
針對以上風險,可以采用加密機予以解決,使用國家主管部門要求的高強度密碼算法,加密處理數(shù)據(jù)。但是一些以明文訪問IP加密設(shè)備的行為,均會被認為非法訪問遭到拒絕,所以即便攻擊人員使用了非法方式進入內(nèi)聯(lián)網(wǎng),并且順利接入路由器,也無法對網(wǎng)絡(luò)系統(tǒng)進行訪問。除此之外,網(wǎng)絡(luò)系統(tǒng)中的IP虛擬專用通道,也只有設(shè)置了IP密碼設(shè)備才能夠訪問,并且加密通信,而沒有運用加密機的單位則無法和配備了加密機的單位進行互聯(lián)。
在使用加密機時,用戶可以自己選擇下面一種方式加密傳輸數(shù)據(jù):第一,凈荷加密形式。凈荷加密其實就是通過直接加密數(shù)據(jù)包內(nèi)部上層凈荷數(shù)據(jù)的方式,完成數(shù)據(jù)的加密傳輸。這種加密方式可以不用修改原數(shù)據(jù)包頭,其根本特點在于只是對凈荷數(shù)據(jù)進行加密或解密,完全不用保護、修改數(shù)據(jù)包頭,保證線路透明,并且不會占用非常多的IP地址。這種加密方式能夠很好地適應(yīng) QoS,在數(shù)據(jù)傳輸方面體現(xiàn)了非常好的優(yōu)勢。第二,IPsec形式。IPsec有傳輸模式以及隧道模。這兩種傳輸模式的運行原理如下:在IP包包頭和上層數(shù)據(jù)中間加入IPsec頭,并且對上層數(shù)據(jù)進行加密處理,在公共網(wǎng)絡(luò)中完成數(shù)據(jù)的傳輸。這種加密方式的特點是對原有IP頭信息進行了保留,也就是所謂的信源/宿地址維持原樣不便,但凡是安全信息均包含在IPsec頭內(nèi)。傳輸方與接收方按照次序進行全封裝傳輸以及拆封還原。此外,隧道模式的運行原理,則是首先將IP數(shù)據(jù)包進行完全加密,其次在其中加入IPsec頭以及全新的IP頭,這里運用到的全新IP頭內(nèi)涵蓋了隧道源/宿地址,一旦在IPsec隧道經(jīng)過的數(shù)據(jù)包傳輸?shù)侥康木W(wǎng)關(guān),也就是隧道另一端之后,通過IPsec頭內(nèi)部安全信息,針對完成加密的原IP包實施安全處理,并且把已經(jīng)還原的高層數(shù)據(jù),根據(jù)原IP頭指定IP地址完成遞交和傳輸,進而實現(xiàn)信源/信宿的安全傳輸,以實現(xiàn)加密機的有效運用。
通過以上分析,可以了解到加密機的基礎(chǔ)知識以及在數(shù)據(jù)保護等方面的實際應(yīng)用,需要在使用過程中確保環(huán)境的安全性,搭建加密機應(yīng)用框架,并且應(yīng)用正確的加密機相關(guān)技術(shù),只有如此才能夠保證網(wǎng)絡(luò)體驗安全。
3 結(jié)語
通過對網(wǎng)絡(luò)安全維護中加密機應(yīng)用的分析可知,在網(wǎng)絡(luò)技術(shù)不斷發(fā)展的當下,安全問題逐漸成為關(guān)注的焦點,而加密機的應(yīng)用,能夠解決黑客、病毒入侵等帶來的安全問題,并且完善網(wǎng)絡(luò)系統(tǒng),為用戶的網(wǎng)絡(luò)體驗提供安全保障。當然,加密機的使用依然存在有待完善之處,需要在未來的發(fā)展中不斷研究加以優(yōu)化。
參考文獻
[1]翁永生.加密機在廣東郵政個性化平臺的應(yīng)用[J].電子技術(shù)與軟件工程,2014,(03):40-42.(2014-03-24)
[2]王志文,丁建鋒,劉文斌. SCA電臺與高保障IP加密機的一體化設(shè)計研究[J].信息安全與通信保密,2014,(07):74-78.
[3]曲英杰,黃東偉.可移動高性能電腦加密機控制模塊設(shè)計[J].科技信息,2010,(05):70+38.
[4]張人上,李雅韻,安俊娥.基于加密機制模式的無線路由器網(wǎng)絡(luò)安全設(shè)計[J].火力與指揮控制,2016,41(08):169-173.
[5]蔣溢,劉雨龍,羅宇豪.基于混沌Z-映射的QR碼加密機制[J].計算機工程與設(shè)計,2016,37(09):2361-2365.endprint