張?jiān)础铊ぁ〈廾汀⊥蹑骸澡?/p>

【摘要】? ? 隨著科技與信息化不斷地發(fā)展，智能停車平臺(tái)作為當(dāng)前智慧城市建設(shè)推進(jìn)的重點(diǎn)部分，在給予我們便利、開(kāi)發(fā)的同時(shí)，也擁有著極大的安全隱患。本文指出了當(dāng)前智能停車平臺(tái)可能存在的安全隱患，即：服務(wù)器端應(yīng)用安全問(wèn)題、客戶端腳本安全問(wèn)題。同時(shí)還提出了對(duì)應(yīng)的安全措施與防范：服務(wù)端應(yīng)用安全措施、客戶端腳本安全措施、系統(tǒng)整體安全措施與個(gè)人意識(shí)防范。

【關(guān)鍵詞】? ? 計(jì)算機(jī)網(wǎng)絡(luò)? ? 網(wǎng)絡(luò)科技安全? ? 智能停車平臺(tái)

引言：

2020年3月兩會(huì)召開(kāi)，在“新基建”被寫(xiě)入政府的工作報(bào)告之后，各城市積極響應(yīng)工作目標(biāo)，出臺(tái)諸多加強(qiáng)及鼓勵(lì)城市智能化建設(shè)的有關(guān)政策。因而不斷涌現(xiàn)出新興科技優(yōu)化城市建設(shè)模式，創(chuàng)新管理方法。其中，智能停車平臺(tái)作為“智慧城市”建設(shè)成果產(chǎn)物之一，在維護(hù)城市交通秩序中發(fā)揮重要作用，同時(shí)由于其所具備的功能有效且便民，因此開(kāi)拓了停車商業(yè)市場(chǎng)，許多智能停車平臺(tái)相繼問(wèn)世。停車平臺(tái)的出現(xiàn)所帶來(lái)的諸多優(yōu)勢(shì)中仍暗藏風(fēng)險(xiǎn)。

國(guó)民經(jīng)濟(jì)水平的增加不僅提高了人們的生活質(zhì)量，繼而汽車銷售量的增加也推動(dòng)了停車平臺(tái)產(chǎn)業(yè)的發(fā)展。我國(guó)的智能停車平臺(tái)尚處于發(fā)展階段，難免有開(kāi)發(fā)商在以“制作可順利運(yùn)行的智能停車平臺(tái)”為目標(biāo)時(shí)，忽略了細(xì)節(jié)性的網(wǎng)絡(luò)安全問(wèn)題，如用戶隱私泄露、服務(wù)器被病毒植入、訂單數(shù)據(jù)被非法篡改等。這些問(wèn)題給平臺(tái)帶來(lái)物質(zhì)和聲譽(yù)上的不良影響。本文旨在探討當(dāng)前智能停車平臺(tái)存在的安全問(wèn)題，圍繞平臺(tái)客戶端、服務(wù)器端及人員意識(shí)等方面淺述，并相應(yīng)給予防范措施。

一、智能停車平臺(tái)的安全問(wèn)題

處于信息化時(shí)代的各大互聯(lián)網(wǎng)公司都在孜孜不倦地推動(dòng)智慧城市的建設(shè)，致力于將城市變得更加智能、更具信息化。其中對(duì)于城市的智能停車項(xiàng)目的建設(shè)，目前市面上已經(jīng)有了許多的產(chǎn)品，但其對(duì)于智能停車應(yīng)用模塊的安全仍然有著較大的缺陷，安全威脅系數(shù)較高。故以下應(yīng)對(duì)當(dāng)前可能出現(xiàn)的常見(jiàn)安全問(wèn)題進(jìn)行分析，并提出相應(yīng)的解決方案，以此提高智能停車場(chǎng)的用戶可信度。

1.1當(dāng)前智能停車平臺(tái)潛在的安全問(wèn)題

常見(jiàn)的智能停車平臺(tái)安全問(wèn)題可以大致的分成以下兩種：客戶端腳本安全和服務(wù)器端應(yīng)用安全的建設(shè)與維護(hù)。對(duì)于一個(gè)新開(kāi)發(fā)的平臺(tái)而言，安全是從零開(kāi)始進(jìn)行建設(shè)的，因此從整體的安全建設(shè)而言，亟需安全性的服務(wù)器端應(yīng)用應(yīng)當(dāng)優(yōu)先考慮，避免留下任何隱患。

1.1.1服務(wù)器端應(yīng)用安全問(wèn)題

1.注入攻擊：

注入攻擊產(chǎn)生的原因就是Web應(yīng)用程序把用戶輸入的數(shù)據(jù)當(dāng)成代碼段進(jìn)行執(zhí)行，從而使得攻擊者能夠進(jìn)行諸如：獲取數(shù)據(jù)庫(kù)信息、利用Web Shell或者UDF函數(shù)執(zhí)行非法命令等非法的操作，對(duì)服務(wù)器進(jìn)行破壞。由于智能停車平臺(tái)有需要用戶輸入車牌號(hào)的操作，因此就有可能被攻擊者利用注入的手段進(jìn)行攻擊。

2.訪問(wèn)控制：

對(duì)于大多數(shù)的智能停車平臺(tái)，都會(huì)有用戶登錄功能的選項(xiàng)且會(huì)有普通用戶、VIP用戶以及管理員等不同的身份存在于平臺(tái)當(dāng)中。因此，對(duì)于平臺(tái)而言，要能夠確保各角色能夠各司其職，不做權(quán)限以外的事。而攻擊者往往會(huì)利用系統(tǒng)當(dāng)中的某些邏輯漏洞進(jìn)行越權(quán)行事、非法訪問(wèn)等，給系統(tǒng)造成極大損失。

3.加密算法：

機(jī)密性是信息系統(tǒng)安全的三大基本要素之一。因此，加密算法選取是否得當(dāng)、運(yùn)用是否得當(dāng)，這些都與網(wǎng)站的安全息息相關(guān)。加密算法選取不得當(dāng)往往會(huì)造成平臺(tái)在將敏感信息保存到cookie時(shí)被攻擊者所讀取到，進(jìn)而造成系統(tǒng)的損失。

4.分布式拒絕服務(wù)（DDos）：

使計(jì)算機(jī)系統(tǒng)崩潰或其帶寬耗盡或其磁盤被填滿，導(dǎo)致其不能提供正常的服務(wù)，就構(gòu)成拒絕服務(wù)攻擊。分布式風(fēng)暴型拒絕服務(wù)攻擊是拒絕服務(wù)攻擊中較難處理的，它同時(shí)擁有多臺(tái)僵尸主機(jī)，這給找到“幕后主使”帶來(lái)了困難。它是與目前使用的網(wǎng)絡(luò)協(xié)議密切相關(guān)的，它的徹底解決即使不是不可能的，至少也是極為困難的。

1.1.2客戶端腳本安全問(wèn)題模型

1.跨站腳本攻擊（XSS）：

一種情形就是用戶在客戶端瀏覽了提前被惡意攻擊者插入了惡意腳本的平臺(tái)客戶端的頁(yè)面或者網(wǎng)頁(yè)有，從而導(dǎo)致用戶的瀏覽器或者小程序端被惡意攻擊者控制。還有一種情形就是惡意攻擊者利用這個(gè)手段獲取到用戶相應(yīng)的隱私信息，如剪切板的內(nèi)容、cookie等敏感信息。

2.跨站點(diǎn)偽造請(qǐng)求攻擊（CSRF）：

當(dāng)攻擊者在本平臺(tái)進(jìn)行停車付費(fèi)或者其他操作的時(shí)候，攻擊者可以將該頁(yè)面構(gòu)造成一個(gè)惡意的鏈接，并誘導(dǎo)其他用戶進(jìn)行訪問(wèn)，使得普通用戶間接幫助攻擊者進(jìn)行付費(fèi)或者進(jìn)行其他的操作，從而引起較大的破壞。

二、當(dāng)前智能停車平臺(tái)的防范措施

2.1服務(wù)器端應(yīng)用防范措施

2.1.1注入攻擊防范

1.使用預(yù)編譯語(yǔ)句，綁定變量進(jìn)行防御SQL注入攻擊。當(dāng)采用預(yù)編譯的SQL語(yǔ)句時(shí)，會(huì)使得SQL語(yǔ)句的語(yǔ)義不發(fā)生改變，讓攻擊者無(wú)法改變SQL的結(jié)構(gòu)。例如：當(dāng)平臺(tái)要求輸入用戶名或車牌號(hào)時(shí)采用“user_name=？”，用“？”作為變量，此時(shí)當(dāng)攻擊者插入注入的字符串時(shí)也只會(huì)被當(dāng)成普通的字符串來(lái)進(jìn)行處理。

2.嚴(yán)格檢查數(shù)據(jù)類型，例如平臺(tái)輸入車牌號(hào)的地方要求嚴(yán)格使用要求的數(shù)據(jù)類型，不允許輸入特殊字符，如單引號(hào)、反斜杠等等，這樣就可以有效的防止部分注入攻擊。

3.對(duì)數(shù)據(jù)長(zhǎng)度進(jìn)行限制，例如在輸入車牌號(hào)的地方，只需要求用戶必須輸入對(duì)應(yīng)的5位字符（數(shù)字與字母）作為車牌號(hào)即可有效防止部分注入攻擊。

4.采用安全的編碼函數(shù)、使用安全的存儲(chǔ)過(guò)程、對(duì)數(shù)據(jù)進(jìn)行過(guò)濾編碼等都可以有效的防范注入攻擊。在對(duì)抗注入攻擊時(shí)只要我們能夠牢記“數(shù)據(jù)與代碼分離”的原則并在平臺(tái)具有用戶輸入的地方進(jìn)行安全審查，就可以有效的進(jìn)行防御。

2.1.2訪問(wèn)控制防范

1.使用Kerberos進(jìn)行相應(yīng)的訪問(wèn)控制。采用認(rèn)證系統(tǒng)對(duì)用戶進(jìn)行認(rèn)證并賦予相應(yīng)的執(zhí)行權(quán)限。運(yùn)用其垂直權(quán)限管理RBAC以及水平權(quán)限管理兩種訪問(wèn)控制系統(tǒng)方式進(jìn)行有效的訪問(wèn)控制。

2.無(wú)論采取哪種方案，都必須堅(jiān)持最小特權(quán)原則，確保正確的用戶擁有正確的權(quán)限。

2.1.3密碼算法

1.盡量不使用ECB模式，不使用流密碼（如RC4）。

2.使用HMAC-SHA1代替MD5等。

3.采用目前我國(guó)較為先進(jìn)的密碼算法，如SM3、SM1等。

2.1.4拒絕服務(wù)防范

1.在受到DDos攻擊時(shí)可以選擇簡(jiǎn)單的屏蔽IP的方法來(lái)抵御DDos攻擊，如查看日志，找出可疑IP段，將其屏蔽。因?yàn)檫@些DDos攻擊往往都是來(lái)自部分的IP段，在平臺(tái)服務(wù)器或者路由器上屏蔽這些攻擊者的IP段也是一個(gè)抵御DDos攻擊的手段。

2.在一些骨干節(jié)點(diǎn)配置防火墻，因?yàn)榉阑饓υ诎l(fā)現(xiàn)服務(wù)器受到攻擊后，可以將攻擊導(dǎo)向一些提前準(zhǔn)備好的“無(wú)用”的服務(wù)器，這樣可以保護(hù)運(yùn)行中的服務(wù)器不被攻擊。

2.2客戶端腳本防范措施

2.2.1跨站腳本攻擊XSS防范

1.采用HttpOnly模式，瀏覽器將禁止所有來(lái)自客戶端的腳本訪問(wèn)讀取帶有HttpOnly屬性的cookie。

2.采用安全的編碼函數(shù)進(jìn)行輸入、輸出的檢查。設(shè)置黑白名單，對(duì)一些敏感的輸入或者標(biāo)簽進(jìn)行篩選。防止不必要的具有危險(xiǎn)的標(biāo)簽輸入到客戶端當(dāng)中。

2.2.2跨站點(diǎn)偽造請(qǐng)求攻擊CSRF防范

1.采用驗(yàn)證碼，由于CSRF攻擊往往是利用了用戶不知情的情況下進(jìn)行了違法操作。因此采用驗(yàn)證碼的方法，可以強(qiáng)行將用戶參與到每一步關(guān)鍵操作中。

2.采用Referer Check進(jìn)行檢查請(qǐng)求是否來(lái)自合法的源;采用Anti CSRF Token值進(jìn)行防御，利用服務(wù)端隨機(jī)發(fā)送的數(shù)值進(jìn)行校驗(yàn)，以防止此類的攻擊。

2.3平臺(tái)的整體防范

建立防火墻以及DMZ區(qū)域。由于防火墻是外部網(wǎng)絡(luò)與本地平臺(tái)進(jìn)行網(wǎng)絡(luò)通信過(guò)程中數(shù)據(jù)包的必經(jīng)之路，因此我們需要建立防火墻對(duì)平臺(tái)設(shè)置進(jìn)行全局保護(hù)。通過(guò)利用防火墻的包過(guò)濾技術(shù)，設(shè)置黑白名單禁止一些非法的IP或者網(wǎng)站，以此來(lái)過(guò)濾掉一部分網(wǎng)絡(luò)中含有病毒、非法請(qǐng)求的數(shù)據(jù)包以及防止黑客的非法入侵，進(jìn)而提高系統(tǒng)平臺(tái)的整體安全性。除此之外，還設(shè)立DMZ區(qū)域，通過(guò)DMZ區(qū)域?qū)?nèi)外網(wǎng)進(jìn)行隔離，將含有機(jī)密信息的服務(wù)器與不含機(jī)密信息的服務(wù)器分割開(kāi)，以此加強(qiáng)內(nèi)網(wǎng)服務(wù)器的安全性，防止出現(xiàn)數(shù)據(jù)失竊的情況。

設(shè)立IDS系統(tǒng)。IDS（入侵檢測(cè)系統(tǒng)）可以對(duì)網(wǎng)絡(luò)傳輸進(jìn)行實(shí)時(shí)的監(jiān)視。通過(guò)對(duì)含有機(jī)密信息或者高危網(wǎng)絡(luò)區(qū)域的鏈路設(shè)置IDS監(jiān)聽(tīng)設(shè)備，采用異常檢測(cè)與誤用檢測(cè)兩種方法混合的方式來(lái)對(duì)系統(tǒng)異常的行為模式進(jìn)行匯報(bào)，極大地增強(qiáng)了系統(tǒng)整體的安全性能。

三、結(jié)束語(yǔ)

綜上，本文針對(duì)多方潛在的安全威脅給予了不同防范措施，對(duì)于開(kāi)發(fā)者后續(xù)的智能停車產(chǎn)品相關(guān)研究具備警醒和指導(dǎo)作用。不僅開(kāi)發(fā)商需要彌補(bǔ)當(dāng)前存在的安全漏洞，加強(qiáng)技術(shù)上對(duì)平臺(tái)的安全管控檢測(cè)，作為消費(fèi)者和使用者的群眾，亦是要提高自身防盜防竊意識(shí)，避免讓不法分子有機(jī)可乘。

參? 考? 文? 獻(xiàn)

[1] 翟宗香. 計(jì)算機(jī)網(wǎng)絡(luò)信息通信安全防范措施[A]. 山東華宇工學(xué)院，2020，

[2]吳翰清.白帽子講web安全：紀(jì)念版[M].北京：電子工業(yè)出版社， 2014.6：7-230

[3]（美）斯托林斯（Stallings.W）著，白國(guó)強(qiáng)等譯.網(wǎng)絡(luò)安全基礎(chǔ)：應(yīng)用與標(biāo)準(zhǔn)（第五版）[M].北京：清華大學(xué)出版社，2014（2019.8重?。?00-150

[4]鄭凱中，樊春霞.基于事件觸發(fā)的遙操作系統(tǒng)在DOS攻擊下的安全控制[J/OL].南京郵電大學(xué)學(xué)報(bào)（自然科學(xué)版），2021（02）：82-89[2021-06-24].

張?jiān)矗?000.08.17），男，漢，廣西壯族自治區(qū)北海市，本科，廣西大學(xué)，研究方向：網(wǎng)絡(luò)空間安全;

楊瑾瑜（1999.12.05），女，壯，廣西壯族自治區(qū)北海市，本科，廣西大學(xué)，研究方向：金融數(shù)學(xué);

崔猛（1999.08.18），男，漢，中共黨員，河南省駐馬店市，本科，廣西大學(xué)，研究方向：網(wǎng)絡(luò)空間安全;

王婧（1999.12.03），女，漢，廣西壯族自治區(qū)北海市，本科，廣西科技師范學(xué)院，研究方向：計(jì)算機(jī)科學(xué)與技術(shù)（大數(shù)據(jù)方向）;

劉曉璐（1999.09.16），女，漢，廣西壯族自治區(qū)北海市，本科，桂林理工大學(xué)，研究方向：土木工程。