王晨飛，趙文華，徐 青，宋鵬飛，邵 楠

（1.國家電網(wǎng)有限公司客戶服務(wù)中心信息運維中心，天津 300309；2.天津市普迅電力信息技術(shù)有限公司，天津 300303）

0 引言

計算機技術(shù)、App技術(shù)和網(wǎng)絡(luò)平臺技術(shù)的廣泛應(yīng)用，提高了信息的泄密幾率，致使信息被黑客盜用事件頻發(fā)[1]。因此，如何提高平臺的整體安全性，增強平臺對黑客攻擊的防護能力，降低平臺中關(guān)鍵信息的丟失率，是目前各網(wǎng)絡(luò)平臺亟待解決的問題，也是本文研究的目的。目前，國內(nèi)網(wǎng)絡(luò)平臺存在安全水平低，網(wǎng)絡(luò)架構(gòu)不完善的問題，使其網(wǎng)絡(luò)平臺經(jīng)常出現(xiàn)安全問題。有學(xué)者認為PKI技術(shù)作為一種公鑰的基礎(chǔ)設(shè)施，通過硬件、軟件、人員、策略和規(guī)程的集合，為各個平臺提供安全支持，并節(jié)約相應(yīng)的安全管理成本[2]。也有學(xué)者認為，公鑰密碼機制、密鑰證書的配發(fā)與管理，能夠彌補網(wǎng)絡(luò)安全平臺安全構(gòu)建的不足，增強平臺的整體安全性[3]。另外，網(wǎng)絡(luò)平臺的安全機制屬于基礎(chǔ)層的構(gòu)建，無法進行徹底性的改變，只有在原有平臺基礎(chǔ)上進行完善。因此，將PKI技術(shù)與網(wǎng)絡(luò)平臺融合，具有技術(shù)層面、理論層面的可行性，成為目前國內(nèi)研究的熱點。PKI技術(shù)自身具備完善的Internet安全解決方案，利用證書服務(wù)器，與各客戶端進行公鑰、私鑰傳遞，進行安全證書的可信驗證，有效地實現(xiàn)公鑰與用戶信息的捆綁。PKI技術(shù)能提高Internet通訊中的密鑰管理水平，保證網(wǎng)上數(shù)據(jù)的機密性和完整性?；诖吮尘?，本文構(gòu)建基于PKI技術(shù)的網(wǎng)絡(luò)安全平臺，分析PKI安全傳輸?shù)墓€、私鑰傳遞過程，以及相關(guān)證書的驗證機制，旨在提高現(xiàn)有平臺的信息傳輸安全。

1 PKI網(wǎng)絡(luò)安全平臺的原理

PKI網(wǎng)絡(luò)安全平臺分為兩部分，一部分是認證信息的初始化，網(wǎng)絡(luò)平臺與PKI融合后，可以獲得證書服務(wù)器的公鑰，并在訪問控制服務(wù)器中進行驗證。然后，系統(tǒng)平臺會將所有私鑰的密碼發(fā)送到客戶端[4]，存儲于密碼機中；另一部分是用戶Internet訪問的入網(wǎng)認證。平臺利用SSL/TLS協(xié)議進行認證，但不是簡單地認證疊加，而是依據(jù)安全要求進行協(xié)議調(diào)用。為了發(fā)揮USB密碼機的安全優(yōu)勢，要將SSL/TLS協(xié)議進行動態(tài)調(diào)用[5]。雖然PKI網(wǎng)絡(luò)的傳輸協(xié)議比較簡單[6]，但是SSL中的v3記錄協(xié)議，可以實現(xiàn)密碼算法轉(zhuǎn)換，將MAC算法轉(zhuǎn)化為SA128算法，提高認證密碼的安全等級。

2 安全平臺構(gòu)建的主要模塊

安全平臺由3部分構(gòu)成，分別為客戶端（client）、訪問服務(wù)器（Access server）和認證管理服務(wù)器（Authentication management server）。整個平臺的數(shù)據(jù)通訊采用TCP/IP協(xié)議[7]，并以SOCKET類被MFC封裝[8]，平臺的架構(gòu)為CasyncSocket。客戶端利用USB上的密碼機隨機產(chǎn)生私鑰，與訪問服務(wù)器進行數(shù)據(jù)通訊，以獲得服務(wù)器的公鑰。在得到認證管理服務(wù)器確認后，客戶端與服務(wù)器之間實現(xiàn)安全通信。

2.1 客戶端的構(gòu)建

客戶端分為兩部分，一部分是向訪問服務(wù)器發(fā)送私鑰，并獲得服務(wù)器的公鑰和身份驗證；另一部分是支持現(xiàn)有的TCP/IP協(xié)議。平臺可以在客戶端設(shè)置PIN碼[9]，以提高私鑰的安全性，并定期對PIN進行自檢，避免私鑰被泄露。私鑰自檢完成后，客戶端與服務(wù)器進行私鑰傳遞，并獲得身份驗證。具體內(nèi)容如圖1所示。

圖1 客戶端向服務(wù)器發(fā)生驗證申請的過程

密碼機是存儲于USB中的私鑰生成器，客戶端的計算機無法對密碼機進行更改，所以密碼機的PIN碼的安全性更高。但是，在部分極端情況下，諸如，USB電壓突然變化、人為破壞，密碼就會出現(xiàn)數(shù)據(jù)丟失的問題，影響密碼的安全[10]。因此，網(wǎng)絡(luò)安全平臺運行后，要對公私鑰的完整程度進行驗證。首先，密碼機對私鑰進行RSA加密，對公鑰進行RSA解密。如果前后數(shù)字一致，代表密碼機運行正常，并通過自檢，否則將顯示數(shù)據(jù)錯誤。由訪問控制服務(wù)器直接轉(zhuǎn)到證書管理服務(wù)器，以此完成客戶端的請求驗證信息驗證。經(jīng)過安全協(xié)議處理后，訪問控制服務(wù)器與客戶端完成連接，具體過程如圖2所示。

圖2 客戶端驗證流程

客戶信息認證完成后，可以調(diào)用服務(wù)器中的數(shù)據(jù)和資源，實現(xiàn)相關(guān)數(shù)據(jù)的安全傳輸。

2.2 訪問控制服務(wù)器的實現(xiàn)

訪問控制服務(wù)器依據(jù)客戶端的調(diào)用要求，將外網(wǎng)的數(shù)據(jù)附上公鑰，并發(fā)送給客戶端，完成內(nèi)外網(wǎng)的數(shù)據(jù)獲取。訪問數(shù)據(jù)庫內(nèi)設(shè)有權(quán)限數(shù)據(jù)庫，依據(jù)用戶的ID和權(quán)限[11]，分配其訪問的資源和內(nèi)容?？蛻舳撕驮L問控制服務(wù)器之間建立安全鏈接后，服務(wù)器會向客戶端直接發(fā)送數(shù)據(jù)?？蛻舳藢⒆约旱男枨蠹用?，由轉(zhuǎn)發(fā)專線發(fā)送給訪問控制服務(wù)器，并獲得服務(wù)器的反饋數(shù)據(jù)。訪問控制服務(wù)器對客戶端的請求和權(quán)限進行判斷，符合相關(guān)要求后，對數(shù)據(jù)進行加密并發(fā)送給客戶端。

2.3 證書管理服務(wù)器的實現(xiàn)

證書管理服務(wù)器（Certificate Management Server）的作用是向客戶端發(fā)送安全證書，驗證客戶端和訪問服務(wù)器的合法身份，并生成加密密鑰。證書管理服務(wù)器中存儲大量證書，可以對安全平臺中的所有密碼機進行有效驗證。證書管理服務(wù)器的驗證過程如圖3所示。

圖3 證書管理服務(wù)器的驗證過程

在證書管理服務(wù)器中還存在CRL地址，以提高證書的驗證效率。由于證書存在于管理服務(wù)器和密碼機兩部分，所以CRL地址中的過期證書，要由管理員進行手動修改和刪除。

3 網(wǎng)絡(luò)安全平臺中數(shù)據(jù)庫的設(shè)計

PKI技術(shù)下網(wǎng)絡(luò)安全平臺涉及4個數(shù)據(jù)庫，分別為2個訪問數(shù)據(jù)庫和2個訪問控制數(shù)據(jù)庫。相對于其他數(shù)據(jù)庫來說，PKI技術(shù)下網(wǎng)絡(luò)安全平臺的數(shù)據(jù)庫相對較少[12]。由于安全平臺并不是基于公眾網(wǎng)絡(luò)的平臺，所以其訪問用戶量較小。為了提高安全平臺的運行效率，可以采用Berkeley數(shù)據(jù)庫系統(tǒng)。為了建立數(shù)據(jù)庫中的應(yīng)用程序，要對數(shù)據(jù)庫的環(huán)境進行設(shè)置，所以要在Berkeley數(shù)據(jù)庫系統(tǒng)中，采用不同的設(shè)置形式。目前，Berkeley數(shù)據(jù)庫系統(tǒng)有2種設(shè)置形式，一種是獨立的數(shù)據(jù)庫應(yīng)用程序，另一種是多函數(shù)連接的數(shù)據(jù)庫應(yīng)用程序。Berkeley數(shù)據(jù)庫系統(tǒng)主要任務(wù)為，客戶端數(shù)據(jù)的安全傳輸、防止數(shù)據(jù)通訊存在死鎖、對各個客戶端進行數(shù)據(jù)安全檢查，數(shù)據(jù)庫視圖的自我維護、數(shù)據(jù)備份，以及平臺日志的歸檔、刪除。

數(shù)據(jù)庫的操作接口函數(shù)被封裝在函數(shù)數(shù)據(jù)庫中，當(dāng)認證服務(wù)啟動后，會通過函數(shù)接口進行在線驗證，完成相關(guān)證書的讀取。在數(shù)據(jù)庫與管理程序操作過程中，數(shù)據(jù)庫服務(wù)器會依據(jù)客戶端的請求、身份驗證結(jié)果，進行數(shù)據(jù)發(fā)送。首先，服務(wù)器調(diào)用函數(shù)庫中接口命令recordorder（），將數(shù)據(jù)發(fā)送給客戶端；其次，在后臺服務(wù)器中進行l(wèi)og日志記錄、修改，并用closed（）命令關(guān)閉服務(wù)器，斷開與客戶端的通訊。

4 網(wǎng)絡(luò)安全平臺的系統(tǒng)分析

4.1 PKI技術(shù)下安全平臺系統(tǒng)的優(yōu)點

不同于其他安全平臺，PKI具有以下優(yōu)點。

（1）PKI技術(shù)下的安全平臺具有雙向認證系統(tǒng)

現(xiàn)有平臺的慣性思維是加強客戶端的安全等級，忽視服務(wù)器端的安全。部分用戶會上傳一些敏感信息，在缺乏服務(wù)器身份驗證的情況下，會造成信息泄露或者其他不良影響。因此，增加安全平臺的雙向認證機制，對于系統(tǒng)安全具有十分重要的作用。

（2）PKI技術(shù)下的安全平臺能有效隔離敏感信息

在以往的安全平臺中，敏感數(shù)據(jù)服務(wù)器與訪問服務(wù)器統(tǒng)一，并未進行有效的隔離，致使外網(wǎng)可以竊取服務(wù)器中的敏感信息。PKI技術(shù)下的安全平臺能有效隔離敏感信息，如果服務(wù)器被攻擊，也不會造成用戶數(shù)據(jù)外流。因此，PKI技術(shù)下的安全平臺具有維護成本低、安全性高，以及敏感信息少的優(yōu)點。

（3）PKI技術(shù)下的安全平臺所需硬件水平低

高等級安全平臺對于硬件的要求較為苛刻，需要進行大成本的硬件鋪設(shè)。PKI技術(shù)下的安全平臺只是通過USB密碼機進行認證，所需的密碼都是由密碼機隨機完成，與整個計算機的硬件無關(guān)[13]。因此，PKI技術(shù)下的安全平臺所需硬件水平較低，符合我國現(xiàn)有國情。

（4）PKI技術(shù)下的安全平臺身份認證可靠性高

每一臺計算機的USB密碼機都含有啟動的PIN值，其他計算機與密碼機連接后，能夠獲得統(tǒng)一的隨機密碼。因此，擁有USB密碼機的PIN號，才能完成整個的攻擊操作。但是，USB密碼機與計算機的隔離，大大降低了黑客攻擊的成功率。

4.2 PKI技術(shù)下安全平臺系統(tǒng)的缺點

（1）認證證書的發(fā)放需要用戶在場

證書管理服務(wù)器是對USB密碼機進行讀寫的唯一設(shè)備，所以在進行證書發(fā)放時，用戶要將USB密碼機帶到證書管理服務(wù)器旁，才能完成密碼機的證書放。部分用戶由于工作、學(xué)習(xí)原因，無法按時到場，所以給用戶帶來一定的不便。另外，少部分用戶缺乏安全意識，在進行USB密碼機證書發(fā)放時，會被植入木馬、蠕蟲等病毒，降低通訊的安全率。

（2）PKI技術(shù)下安全平臺的擴展性差

PKI技術(shù)下安全平臺通過訪問控制服務(wù)器，與外界進行信息交流和訪問。雖然訪問控制服務(wù)器能夠有效地隔離外部攻擊，但也限制了客戶端的訪問范圍，無法實現(xiàn)不同安全平臺間的信息共享。因此，擴展性差是PKI技術(shù)下安全平臺的不足，減少了平臺的功能。

（3）存在安全協(xié)議的公鑰漏洞

由于PKI技術(shù)下安全平臺主要是通過公鑰進行認證，私鑰與公鑰聯(lián)合后才能實現(xiàn)傳輸連接。公鑰的有效保存對于平臺的安全至關(guān)只要，而其自身的安全等級卻比較低，所以容易出現(xiàn)公鑰泄露的問題。另外，公鑰在不同客戶端間的傳輸，會被客戶端中的木馬盜用，致使整個安全平臺的安全受到威脅。

（4）PKI技術(shù)下安全平臺的效率低

PKI技術(shù)下安全平臺適用于少量的高端客戶認證，不適用大量客戶的驗證情況[14]。另外，USB密碼機與計算機之間存在通訊效率的問題，USB口的傳輸速度對于平臺的影響比較明顯。

5 結(jié)束語

我國的網(wǎng)絡(luò)安全受到威脅，需要具有自主知識產(chǎn)權(quán)的網(wǎng)絡(luò)產(chǎn)品。針對上述情況，本文利用TCP/IP協(xié)議，以及USB密碼機，實現(xiàn)公鑰、私鑰的聯(lián)合運用，提高平臺的整體安全性。但是，PKI技術(shù)下的安全平臺也存在自身的不足，有待于進一步的改善和增強。本文只是對PKI技術(shù)下的安全平臺進行安全傳輸機制、安全傳輸技術(shù)進行分析，其他相關(guān)內(nèi)容有待于進一步深入討論。隨著PKI技術(shù)的不斷完善，未來PKI技術(shù)下的安全平臺將會具備更高的安全性，增強自身的傳輸效率，提高擴展性，滿足國內(nèi)對網(wǎng)絡(luò)安全平臺的需要。