《淺談加密機在金融網(wǎng)絡(luò)中的應(yīng)用》由會員分享，可在線閱讀，更多相關(guān)《淺談加密機在金融網(wǎng)絡(luò)中的應(yīng)用（4頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、 淺談加密機在金融網(wǎng)絡(luò)中的應(yīng)用 余文峰 (中國人民銀行武漢分行營業(yè)管理部科技處，湖北 武漢 430015) 【摘 要】金融機構(gòu)目前大多采用同步數(shù)字序列(SDH)和異步轉(zhuǎn)移模式(ATM)等數(shù)據(jù)網(wǎng)絡(luò)提供固定(虛擬)線路來連接 需要通信的部門和分支機構(gòu)。從內(nèi)部網(wǎng)絡(luò)流出的數(shù)據(jù)不加防范地在網(wǎng)際線路中穿行，給使用搭線竊聽、電磁泄露等入 侵手段的不法黑客以可趁之機。因此，需要利用網(wǎng)絡(luò)密碼機提供訪問控制、無連接完整性、數(shù)據(jù)源鑒別、載荷機密性 和有限流量機密等安全功能，彌補由于 TCP/IP 協(xié)議體系自身帶來的安全漏洞。 【關(guān)鍵詞】金融網(wǎng)絡(luò)線路；網(wǎng)絡(luò)密碼機；數(shù)據(jù)加解密；數(shù)據(jù)安全性 【

2、中圖分類號】TP393 【文獻標(biāo)識碼】A 【文章編號】1009-8054(2009) 12-0096-03 Discussion on Encryptor Application in Banking Network System YU Wen -fe n g (O ffi ce of S cie nce an d Tech nol ogy, De pt. of Op era tion an d M ana gem ent , Wuhan Br anc h, Peop le's B ank of China , Wuha n Hube i 4300 15, Ch ina)

3、【Abstract】Nowadays, the financial organizations mostly employs SDH and ATM data network and provides fixed(virtual) circ uit fo r conn ection of var ious de partme nts an d branc hes. A nd dat a from intran et, wi thout a ny pro tection , is t ransfe rred o ve r t he i n te rn a ti on a l

4、ci r cu it , t hu s g iv in g t he ha ck e r a c ha nc e t o u se v a ri ou s i nt r us io n m ea su r es , s uc h a s in t er ce p ti ng , electromagnetic eavesdropping. Therefore, it is necessary to use network encryptor and provide various security functions, in clud ing acce ss c ontr

5、 ol, conn ecti onle ss i nteg rity , au then tica tion of data sou rce, loa d co nfid enti alit y, a nd c onfi dent iali ty of lim ite d tr affi c, thus re medy ing the sec uri ty l ooph ole s br oug ht a long by TCP /IP pro toco l s yste m. 【Key word s】ba nki ng ne two rk; ne two rk en cry pto r;

6、 dat a enc ryp tio n/d ec ryp tio n; dat a sec uri ty 據(jù)不加防范地在網(wǎng)際線路中穿行，給使用搭線竊聽、電磁 泄露等入侵手段的不法黑客以可趁之機。為此，很多金融 機構(gòu)使用網(wǎng)絡(luò)加密機在這方面進行了一些嘗試，文中結(jié)合 實踐，主要闡述了加密機在實際應(yīng)用中是如何配置，有哪 些數(shù)據(jù)保護措施，以及實際維護的一些經(jīng)驗[1]。 0 引言 隨著金融電子化的不斷發(fā)展，金融領(lǐng)域無論從資金業(yè) 務(wù)到辦公自動化等信息業(yè)務(wù)都越來越依賴于計算機網(wǎng)絡(luò)。 由于金融機構(gòu)從橫向到縱向、從時間到空間都在不斷地延 伸，計算機網(wǎng)絡(luò)的數(shù)據(jù)安全問題將是技術(shù)維護部門長期而 艱巨的任

7、務(wù)。金融機構(gòu)大都比較重視加強內(nèi)部網(wǎng)絡(luò)的安全， 而暴露在各機構(gòu)局域網(wǎng)間的廣域網(wǎng)絡(luò)就顯得比較薄弱了。 金融機構(gòu)目前大多采用同步數(shù)字序列(SDH)和異步轉(zhuǎn) 移模式(ATM)等數(shù)據(jù)網(wǎng)絡(luò)提供固定(虛擬)線路來連接需要通 信的部門和分支機構(gòu)。用戶目前對所謂的“專線”方式的 安全性沒有太大質(zhì)疑，因此，在這些線路中傳遞信息時沒 有過多考慮數(shù)據(jù)安全。但也應(yīng)該清醒地認識到，所有這些 基礎(chǔ)架構(gòu)的權(quán)限掌握在別人的手中。從內(nèi)部網(wǎng)絡(luò)流出的數(shù) 1 加密機配置于何處 加密機根據(jù)工作類型不同一般采用應(yīng)用層加密、IP層 加密和鏈路層加密三種方式進行，應(yīng)用層加密傳輸往往與 具體的業(yè)務(wù)系統(tǒng)軟件緊密結(jié)合在一起，需要針對每種

8、應(yīng)用 系統(tǒng)開發(fā)應(yīng)用層加密系統(tǒng)；鏈路層加密是對鏈路層幀數(shù)據(jù) 進行加密，鏈路層加密對鏈路協(xié)議有嚴格的要求，每一種 不同協(xié)議的線路都要采用相應(yīng)的鏈路加密設(shè)備，而且鏈路 層加密設(shè)備都是端到端加密設(shè)備，所以在大型復(fù)雜網(wǎng)絡(luò)中 如果采用鏈路層加密方式，必須投入巨大的資金量。 IP加密方式是在IP層對網(wǎng)絡(luò)數(shù)據(jù)進行加密，對鏈路層 協(xié)議透明，IP加密設(shè)備往往是一對多的方式運行，也可以 對每個IP地址或地址段采用不同的加密策略，既經(jīng)濟又靈 收稿日期：2009-11-10 作者簡介：余文峰，1966 年生，男，工程師，中國人民銀行 武漢分行營業(yè)管理部，從事信息化管理工作。 9 6 學(xué)術(shù)研究

9、 A c a d e m i c R e s e a r c h 活。IP 加密一般采用 IPsec 協(xié)議進行，IPsec 是 IETF 制定 的標(biāo)準(zhǔn)，其中包括一整套IP層安全協(xié)議集，用于在兩個IP 網(wǎng)絡(luò)設(shè)備之間實施所采用的加密和數(shù)字簽名方法。IPSEC 提供了訪問控制、無連接完整性、數(shù)據(jù)源鑒別、載荷機密 性和有限流量機密等安全服務(wù)，完全彌補了由于 TCP/IP 協(xié)議體系自身帶來的安全漏洞[2]。 從性價比、可操作性以及網(wǎng)絡(luò)擴展等因素考慮，金融 機構(gòu)大多采用基于IP層加密的網(wǎng)絡(luò)密碼機，加密機可采用 透明模式接入，完全可以做到不影響原有網(wǎng)絡(luò)結(jié)構(gòu)。IP加 密系統(tǒng)組建網(wǎng)絡(luò)安全平臺

10、的思想是：將網(wǎng)絡(luò)密碼機部署在 網(wǎng)絡(luò)的出口處，并將網(wǎng)絡(luò)密碼機置于密鑰管理中心設(shè)置的 統(tǒng)一安全策略(包括密鑰管理體系)的管理下，使各網(wǎng)絡(luò)密碼 機之間以及網(wǎng)絡(luò)加密機相互對IP包進行加密處理，協(xié)調(diào)一 致地通信，從而在IP層上構(gòu)建起網(wǎng)絡(luò)安全傳輸信道，為網(wǎng) 絡(luò)的連接安全和傳輸安全提供有效的保障。 由于IP加密系統(tǒng)通過在網(wǎng)絡(luò)層對IP數(shù)據(jù)包進行相應(yīng)的 安全處理來組建安全傳輸信道，故采用IP加密系統(tǒng)組建的 虛擬專用網(wǎng)絡(luò)，無須考慮底層傳輸協(xié)議，具有極強的適應(yīng) 性，能夠有效地為網(wǎng)絡(luò)的各級交換節(jié)點提供信息安全保障， 符合安全技術(shù)發(fā)展的方向，具有易于管理、易于適應(yīng)網(wǎng)絡(luò) 鏈路變化的特點。根據(jù)應(yīng)用系統(tǒng)的特點，目前一般使用

11、以 下兩種接入方式： ① 加密機部署于防火墻出口和對端交換機之間。如圖 1左邊，這種配置相當(dāng)于點對點接入，要求防火墻與交換機 間接入網(wǎng)段留有足夠的IP以便配置加密機，并使用這些IP 地址對其進行管理。防火墻以主從模式運行，加密機接入 網(wǎng)絡(luò)后應(yīng)該進行反復(fù)的主從線路切換，從實際效果來看，這 種接入方式?jīng)]有影響原網(wǎng)絡(luò)的運行，完全符合設(shè)計要求； ② 加密機部署于兩組交換機之間。這種接入方式是為 了保持原來的本地局域網(wǎng)絡(luò)結(jié)構(gòu)，機構(gòu)搬遷后可申請透明 線路更替原來的本地雙絞線，兩端接口配置 TRUNK 模式， 傳輸若干個 VLAN 。 如圖 1 右邊部分接入加密機，采用其中某個 VLAN 中 的

12、IP配置加密機，接下來進行熱備線路切換，當(dāng)斷開經(jīng)過 生成樹協(xié)議確定的主線路后，備線沒有按預(yù)定計劃啟用，整 個網(wǎng)絡(luò)不通，經(jīng)檢測線路情況為連通，加密機之間連通，切 回主線路，整個網(wǎng)絡(luò)仍然不通，關(guān)閉所有設(shè)備，重新啟動， 網(wǎng)絡(luò)恢復(fù)通信。經(jīng)過互換線路和加密機組，都不能成功切 換。在后續(xù)的實驗中，當(dāng)斷開主線，并對各位置的網(wǎng)絡(luò)設(shè) 備進行分析時，網(wǎng)絡(luò)竟然在中斷 15 min 后，恢復(fù)了通信。 反復(fù)進行多次實驗均可再現(xiàn)這種現(xiàn)象，無論是斷開主線還 是恢復(fù)主線，均出現(xiàn)同樣效果。在搭建的模擬測試環(huán)境中， 網(wǎng)絡(luò)恢復(fù)的時間雖然不同，但也呈現(xiàn)了經(jīng)過相對較長的、固 定的一段時間后，網(wǎng)絡(luò)才能恢復(fù)通信的情況，而從網(wǎng)絡(luò)中 拿掉加密

13、機，該現(xiàn)象消失，說明加密機的這種接入方式確 實對現(xiàn)有網(wǎng)絡(luò)造成了影響。 經(jīng)過對兩種接入方式以及抓取模擬環(huán)境數(shù)據(jù)包的比較 和分析，最終確定，該種類型加密機不適合接入傳輸多 VLAN 的 TRUNK 網(wǎng)絡(luò)中，因為它的操作系統(tǒng)處理帶 TRUNK 標(biāo)志的數(shù)據(jù)包有不完善的地方，而這種缺陷在第 一種接入方式中被單一的 VLAN 掩蓋了。加密機經(jīng)過提供 商定制的擴展版本升級，圓滿地解決了切換問題。 接下來，應(yīng)該在城市網(wǎng)的入口處接入了密管中心設(shè)備， 如圖 1中“密管中心”位置，通過對網(wǎng)絡(luò)各防火墻的配置， 使其能夠管理分散在各處的加密機，定期為各加密機更換 密鑰，達到了既方便管理又節(jié)約成本的良好效果。 經(jīng)過

14、實踐證明，IP加密系統(tǒng)在IP層保護了數(shù)據(jù)的安全， 并且與上層應(yīng)用無關(guān)。隨著加密機技術(shù)的不斷發(fā)展，IP加 密系統(tǒng)已經(jīng)能夠?qū)崿F(xiàn) 100 M 線速，支持 QoS 策略的實現(xiàn)， 對網(wǎng)絡(luò)帶寬資源占用小、時延小、易管理，能很好地滿足 金融應(yīng)用系統(tǒng)信息傳輸?shù)摹皩崟r、保密、高速”的要求。 2 如何保護數(shù)據(jù) 在實際工作中，金融網(wǎng)絡(luò)主要存在如下4方面的風(fēng)險： ① 傳輸數(shù)據(jù)機密性破壞：攻擊者通過非法手段竊取 金融系統(tǒng)網(wǎng)絡(luò)內(nèi)部的傳輸信息，或?qū)π诺罃?shù)據(jù)進行破譯分 析，使內(nèi)聯(lián)網(wǎng)傳輸內(nèi)容泄露給未被授權(quán)的用戶； ② 傳輸數(shù)據(jù)完整性破壞：攻擊者篡改金融系統(tǒng)網(wǎng)絡(luò) 線路上傳輸?shù)臄?shù)據(jù)內(nèi)容，或數(shù)據(jù)傳輸中的錯誤、丟失或次 序

15、差異等都可能導(dǎo)致數(shù)據(jù)的完整性被破壞； ③ 傳輸數(shù)據(jù)真實性破壞：攻擊者通過偽造金融系統(tǒng) 網(wǎng)絡(luò)數(shù)據(jù)進行欺騙； ④ 傳輸線路沒有高強度隔離措施：攻擊者通過中國 電信或中國網(wǎng)通公眾網(wǎng)絡(luò)以路由穿透、口令破譯等攻擊方 圖1 網(wǎng)絡(luò)結(jié)構(gòu) 信息安全與通信保密·2 00 9.12 9 7 學(xué)術(shù)研究 A c a d e m i c R e s e a r c h 3 加密機運行維護 密鑰管理是加密機日常管理的核心內(nèi)容，而密鑰管 式可以進入到金融系統(tǒng)網(wǎng)絡(luò)中，獲取內(nèi)部網(wǎng)中的關(guān)鍵數(shù)據(jù)， 或者對內(nèi)部網(wǎng)絡(luò)進行破壞。 IP加密系統(tǒng)采用國家主管部門規(guī)定的高強度密碼算法

16、 對數(shù)據(jù)進行加密處理，任何以明文方式對IP加密設(shè)備的訪 問都會認為是非法訪問而被拒絕，因此，即使攻擊者通過 中國電信或中國聯(lián)通等公司的公用網(wǎng)絡(luò)以路由穿透方式登 錄到內(nèi)聯(lián)網(wǎng)接入路由器上，也不能訪問金融系統(tǒng)內(nèi)部的網(wǎng) 絡(luò)。另外，在金融系統(tǒng)總行和各下屬分行、支行之間建立 IP虛擬專用通道，只有配置了IP密碼設(shè)備的單位才能進行 加密通信，沒有配置加密機的單位一般不能和配有IP密碼 設(shè)備的單位互通。 IP加密系統(tǒng)可以讓用戶自行選擇以下兩種方式對傳輸 數(shù)據(jù)進行加密： ① 凈荷加密方式：所謂凈荷加密就是直接對數(shù)據(jù)包 中的上層凈荷數(shù)據(jù)實施加密，不修改原數(shù)據(jù)包頭，凈荷加 密的特點是只對凈荷數(shù)據(jù)實施加解密，不對

17、數(shù)據(jù)包頭實施 任何修改和保護，對線路透明，不需要占用更多 IP 地址， 這種加密方式對 QoS 的適應(yīng)性較好，便于數(shù)據(jù)的傳輸； ② IPsec 方式：IPsec 有傳輸模式(Transport Mode) 和隧道模式(Tunneling Mode)兩種工作模式。傳輸模式的 工作原理是在IP包的包頭與上層數(shù)據(jù)之間插入一個IPsec 頭，并將上層數(shù)據(jù)進行加密，然后在公共網(wǎng)絡(luò)上傳輸。這 種模式的特點是保留了原IP頭信息，即信源/宿地址不變， 所有安全相關(guān)信息包括在IPsec頭中，傳輸雙方依此進行安 全封裝傳輸和拆封還原。隧道模式的工作原理是先將IP數(shù) 據(jù)包整個進行加密后再加上 IPsec頭和新的I

18、P頭，這個新 的 IP 頭中包含有隧道源 / 宿的地址，當(dāng)通過 IPsec隧道的 數(shù)據(jù)包到達目的網(wǎng)關(guān)(即隧道的另一端)后，利用IPsec頭中 的安全相關(guān)信息對加密過的原IP包進行安全處理，將已還 原的高層數(shù)據(jù)按原IP頭標(biāo)明的IP地址遞交，以完成信源/ 信宿之間的安全傳輸[3]。 加密機還可以針對特定IP間傳輸信息進行加密，通過 配置主要的端對端通信IP，可以提高線路通信效率，將加 密機介入后對網(wǎng)絡(luò)通信的影響降低到最小程度。數(shù)據(jù)加密 如圖 2所示。 理的核心問題是保證密鑰分配的安全。密鑰管理主要包 括密鑰的生成、存貯、保護、備份、分發(fā)、使用、歸檔、 銷毀等。 密鑰管理中心作為整個系統(tǒng)的

19、樞紐和核心，在其中保 存有整個系統(tǒng)所有網(wǎng)絡(luò)密碼機的密鑰信息、網(wǎng)絡(luò)參數(shù)(IP地 址、路由表、網(wǎng)關(guān)信息、網(wǎng)管信息)，以及安全規(guī)則設(shè)置(根 據(jù) IP數(shù)據(jù)包的源地址、目的地址、源端口、目的端口、TCP 頭的信息等參數(shù)來決定對數(shù)據(jù)包采取加密、允許、拒絕處 理)。這些信息的安全與否直接影響到網(wǎng)絡(luò)密碼機和密鑰管 理中心自身的安全以及被保護網(wǎng)絡(luò)的安全，因此，它們的 存放不能采用明文的方式，必須經(jīng)過加密存放。同時，在 各地的網(wǎng)絡(luò)密碼機也都有密鑰數(shù)據(jù)、訪問控制規(guī)則、網(wǎng)絡(luò) 參數(shù)等關(guān)鍵數(shù)據(jù)，對它們也需要實現(xiàn)加密存放。 加密設(shè)備硬件日常維護事項如下： ① 在工作過程中，請勿直接插拔設(shè)備，以免數(shù)據(jù)損壞 或丟失； ②

20、 設(shè)備運行過程中，應(yīng)注意防震和防壓，以免引起設(shè) 備工作不正常； ③ 請勿在帶電狀態(tài)下插拔該設(shè)備及外設(shè)； ④ 請勿將與該設(shè)備配套使用的IC卡插到其他IC卡設(shè) 備及系統(tǒng)中使用； ⑤ 如果較長時間不使用設(shè)備，請每隔6個月對設(shè)備進 行狀態(tài)檢查，并對該設(shè)備連續(xù)通電 8 h，進行充電； ⑥ 設(shè)備長期停放時，注意防潮、防蟲、防腐蝕等。 以上是加密機日常維護所應(yīng)該注意的事項。在實際操 作中，由于密管中心自動、定期對其所轄加密機進行維護， 人工操作極少，其穩(wěn)定性獲得用戶好評。 另外，由于加密機配置于 SDH 專線兩端，天然地成為 了測試專線連通性的工具。以第一種方式為例，因為防火 墻配置為主從模式，

21、備用防火墻處于休眠狀態(tài)，其狀態(tài)無法 測知，連于其端口的備用線路也處于未知狀態(tài)，一旦主線 故障，備線也可能在數(shù)天前就斷了，則對重要業(yè)務(wù)的影響 將是災(zāi)難性的?，F(xiàn)在可以在備線加密機上接入一臺測試 PC，始終檢測備線的連通性，預(yù)先測知備線狀態(tài)，及時修 復(fù)線路故障，確保重要業(yè)務(wù)暢通。 4 線路加密機的未來 隨著信息技術(shù)的不斷發(fā)展，對線路加密機的要求也會 越來越高，線路加密機的分類會進一步細化，針對不同線 (下轉(zhuǎn)第 101 頁) 圖2 數(shù)據(jù)加密示意圖 9 8 學(xué)術(shù)研究 A c a d e m i c R e s e a r c h 25

22、o，分別采用 Toeplitz 算法、奇異值分解法(SVD)以及本 文提到的 TSVD 進行 DOA 估計，每一信噪比情況下獨立實 驗 100 次。從圖 3 和圖 4 中可以看出 TSVD 算法有極高的分 辨成功概率，當(dāng) RSN=-10 dB 時估計成功概率接近 100%，而 SVD 算法成功概率幾乎為 0，Toeplitz也具有極好的成功概 率，但分辨誤差極大。從實驗中可以看出，文中所提出的 TSVD 具有極好的分辨能力和穩(wěn)定性。 最后通過對奇異值分解法(SVD)、Toeplitz算法和文 中提出的方法進行性能上的比較，仿真和分析結(jié)果說明該 方法估計性能穩(wěn)定，在低信噪比情況下有很高

23、的成功概率 和分辨能力，估計精度高，是一種高效的 DOA 算法。 參考文獻 [1] Krim H，Viberg M. Two Decades of Array Signal Processing Research[J]. IEEE Signal Processing Magazine，1996(07)：67-94. [2] Williams R T，Prasad S，Mahalanabis A K，et al. An Improved Spatial Smoothing Technique for Bear- ing Estimation in A Multipath Envi

24、orment[J]. IEEE Trans on ASSP，1998，36(04)：425-432. [3] Tufts D W，Kot A C，Vacco R J. The Threshold Analysis of SVD-based Algorithms[C]//IEEE. Acoustics Speech，Signal Processing(ICASSP). [s.l.] ：IEEE Publication，1988：2416-2419. [4] Kung S Y，Lo C K，F(xiàn)oka R. A Toeplitz Approxi- mation Approach t

25、o Coherent Source Direction Finding [C]//IEEE. Acoustics，Speech and Signal Processing. [s.l.]：IEEE Publication，1986：193-196. [5] Kaneko，Kazumasa Sano，Akira. Music-like Itera- tive DOA Estimation in Multipath Environments [C]//IEEE. Sensor Array and Multichannel Sig- nal Processing Workshop. [

26、s.l.]：IEEE Plication， 2008：212-215. [6] 丁婷. 降低多徑信號相關(guān)性的修正DOA估計方法[J]. 信 息安全與通信保密，2008(02)：59-61. 圖3 估計偏差 圖4 成功概率 4 結(jié)語 文中通過對解相干信號的 DOA 算法進行了大量的研 究，具體討論了 SVD算法和 Toeplitz算法的主要思想，在 對這兩種算法的研究基礎(chǔ)上，提出了一種新的算法— TSVD 算法。該算法結(jié)合了兩種經(jīng)典算法的優(yōu)點，有很優(yōu) 異的性能。 (上接第 98 頁) 路類型如電話、無線的加密機會相繼推出。同時，線路加 密機未來在加密算法的強度、加密速

27、率方面都會不斷提高。 并且，國家主管部門也正在大力推動裝備我國自行研制算 法的加密機產(chǎn)品的發(fā)展，將來會有更多的行業(yè)使用加密機 來保護自己的信息安全[4]。 等方面進行多層次的數(shù)據(jù)安全保護。 參考文獻 [1] 祁明. 電子商務(wù)安全與保密[M]. 北京：高等教育出版 社，2001. [2] 范紅. 信息安全風(fēng)險評估規(guī)范國家標(biāo)準(zhǔn)理解與實施[M]. 北京：中國標(biāo)準(zhǔn)出版社，2007. [3] 石治國，薛為民，江俐. 計算機網(wǎng)絡(luò)安全教程[M]. 北 京：清華大學(xué)出版社，2004. [4] 王英梅，王勝開，陳國順，等. 信息安全風(fēng)險評估[M]. 北京：電子工業(yè)出版社，2007. [5] 譚彬，薛質(zhì)，王軼駿. 網(wǎng)絡(luò)支付體系的安全性分析與 研究[J]. 信息安全與通信保密，2007(11)：61-65. 5 結(jié)語 當(dāng)今的網(wǎng)絡(luò)環(huán)境下，由于金融業(yè)務(wù)已經(jīng)和其他行業(yè)結(jié) 合得更加緊密，特別是電子商務(wù)的發(fā)展[5]，金融網(wǎng)絡(luò)對數(shù)據(jù) 的安全性要求越來越高，加密機將會在金融業(yè)務(wù)中得到更 廣泛的應(yīng)用，在自身網(wǎng)絡(luò)條件允許的情況下，根據(jù)金融業(yè) 務(wù)應(yīng)用系統(tǒng)的本身特點，可以從鏈路層、網(wǎng)絡(luò)層、應(yīng)用層 信息安全與通信保密·2 00 9.12 1 0 1