網(wǎng)絡(luò)安全維護中應(yīng)用加密機的相關(guān)技術(shù)研究

周海波

摘要：在網(wǎng)絡(luò)技術(shù)飛速發(fā)展的當下，網(wǎng)絡(luò)安全問題逐漸成為社會聚焦的熱點問題。為了做好網(wǎng)絡(luò)安全維護，應(yīng)用加密機非常必要。文章以網(wǎng)絡(luò)時代為背景，對加密機和網(wǎng)絡(luò)安全的現(xiàn)狀進行了分析，并針對網(wǎng)絡(luò)安全維護中加密機的應(yīng)用展開了論述，目的在于全面提高網(wǎng)絡(luò)安全性，并為有關(guān)人員提供技術(shù)參考。

關(guān)鍵詞：網(wǎng)絡(luò)安全維護；加密機；密鑰管理；資源共享

中圖分類號：TP393 文獻標識碼：A 文章編號：1007-9416（2017）10-0180-03

隨著互聯(lián)網(wǎng)時代的到來，網(wǎng)絡(luò)逐漸成為人們生活、工作不可或缺的一部分，網(wǎng)絡(luò)一方面帶來了極大的便利，通過互聯(lián)網(wǎng)技術(shù)可以實時獲取新聞，了解世界各地發(fā)生的事。但是另一方面網(wǎng)絡(luò)安全也成為網(wǎng)絡(luò)時代值得關(guān)注的問題。黑客、網(wǎng)絡(luò)病毒等危險因素的存在，對網(wǎng)絡(luò)安全造成了極大的威脅。為了做好網(wǎng)絡(luò)安全維護工作，加密機的應(yīng)用非常必要，同時這也是當前網(wǎng)絡(luò)維護工作中需要關(guān)注的要點。

1 加密機與網(wǎng)絡(luò)安全問題

1.1 加密機介紹

加密機是相關(guān)部門研發(fā)的一種主機加密設(shè)備，加密機的使用需要經(jīng)過國家商用密碼管理部門的鑒定和審批。加密機和主機這兩者之間一般是通過TCP/IP協(xié)議實現(xiàn)通信[1]。所以，加密機運行環(huán)境非常寬松，不會受到主機操作系統(tǒng)、硬件類型等諸多因素的限制，支持多種操作系統(tǒng)。在計算機網(wǎng)絡(luò)通信的環(huán)境下，加密機可以對有嚴格保密性能要求的文件實施加密處理，以免重要文件遭到惡意竊取、篡改。

一般加密機的內(nèi)部構(gòu)造主要包括以下幾個部分：密鑰管理功能模塊、后臺進程功能模塊、硬件加密功能模塊、監(jiān)程序功能模塊。一旦接口需要連接，這時加密機便會為前臺運行中提供 API，利用API為有加密需求的系統(tǒng)創(chuàng)建一個加密接口，如此一來便可以在系統(tǒng)運行期間通過加密機對系統(tǒng)進行加密處理。所以，加密機前臺 API基本模式為 C庫形式。加密機算法也非常多元化，比較常見的分別有對稱加密算法、非對稱加密算法等。

加密機的使用也體現(xiàn)了優(yōu)勢，加密機是一種能夠?qū)崿F(xiàn)點對點加密的信息技術(shù)設(shè)備，一般是用于廣域網(wǎng)或城域網(wǎng)兩個節(jié)點之間。換而言之，單位A和單位B的網(wǎng)絡(luò)要實現(xiàn)連接，但是需要對傳輸內(nèi)容進行保密，就要在A網(wǎng)絡(luò)出口處放置加密機，B出口同樣放置加密機，這樣在這兩個單位之間的信息傳輸。通過加密算法加密后，就脫離了普通的TCP/IP協(xié)議包，其他人即使截取也無法看見內(nèi)容。由此可見，加密機的應(yīng)用，主要優(yōu)勢體現(xiàn)在對雙方傳輸內(nèi)容的保密，極大地保證了連接的安全性，提高數(shù)據(jù)傳輸?shù)乃?。其中一些加密機帶路由功能，有的不帶則需要再加路由器。加密機一般不用于internet，網(wǎng)站中也幾乎用不到，若網(wǎng)站要實現(xiàn)加密遠程登錄，可以直接使用VPN。

1.2 網(wǎng)絡(luò)安全問題

如今社會已經(jīng)正式步入互聯(lián)網(wǎng)時代，在全民網(wǎng)絡(luò)的大環(huán)境下，網(wǎng)絡(luò)資源共享成為十分常見的現(xiàn)象，這也就帶來了網(wǎng)絡(luò)安全問題。其實網(wǎng)絡(luò)安全、資源共享本身比較矛盾，現(xiàn)在的網(wǎng)絡(luò)環(huán)境處于逐漸開放的狀態(tài)下，更多共享信息的出現(xiàn)，勢必會為一些不法分子提供機會[2]。對于當前的網(wǎng)絡(luò)安全環(huán)境，能夠為網(wǎng)絡(luò)安全構(gòu)成威脅的因素主要體現(xiàn)為以下幾種：其一，網(wǎng)絡(luò)黑客，其二，網(wǎng)絡(luò)病毒。無論是以上哪一種，都會對網(wǎng)絡(luò)安全造成極大的影響，所以必須要對網(wǎng)絡(luò)安全維護加強重視。

2 加密機在網(wǎng)絡(luò)安全中的應(yīng)用

2.1 加密機的基礎(chǔ)知識

針對系統(tǒng)內(nèi)部有使用加密機需求的網(wǎng)絡(luò)信息，多數(shù)都帶有信息敏感性，類似于銀行交易系統(tǒng)等。針對這一類網(wǎng)站系統(tǒng)均使用加密機對其進行加密處理，但是這一工作帶有一定的繁瑣性，其原因在于為了規(guī)避不法分子的攻擊，確保系統(tǒng)安全。針對這一現(xiàn)象，可以使用加密機進行硬件加密，全面規(guī)避網(wǎng)絡(luò)安全問題[3]。一般加密機都是三層密匙系統(tǒng)，對于存在差異性的密匙有各自的使用限制。

通常加密機密匙體系有三種，即工作密鑰、傳輸主密匙、本地主密匙，所以在使用加密機進行網(wǎng)絡(luò)安全維護時，便可以通過這三種體系來實現(xiàn)。其一，工作密鑰。這種密鑰的處理對象是一般數(shù)據(jù)，例如加密敏感信息報文和MAC校驗等；其二，傳輸主密鑰。該密鑰是兩臺加密設(shè)備之間負責更換加密保護工作密鑰的形式；其三，本地主密鑰。本地主密鑰也就是加密機主密鑰，被存儲于加密機內(nèi)部，負責對存儲于加密機以的所有密鑰以及關(guān)鍵數(shù)據(jù)的密鑰加密密鑰進行保護。

對于加密機主密鑰的生成，硬件加密機要在正式運行之前設(shè)置好系統(tǒng)參數(shù)，也就是加密機主密鑰灌注。通常硬件級加密機所使用的灌注方式為分段、多人以及手工等形式，完成灌注主密鑰則是通過加密機系統(tǒng)完成合成和儲存[4]。加密機內(nèi)有密鑰自毀設(shè)備，針對一些非法獲取主密鑰的行為會自動開啟自毀裝置，確保主密鑰安全。對于加密機傳輸主密鑰的生成。通過加密機安全系統(tǒng)生成傳輸主密鑰，一般是調(diào)用加密機的前臺API，以此生成傳輸主密鑰。

為了對傳輸主密鑰安全進行保證，通常在生成密鑰期間會同時形成3個左右的密鑰分量，再合成這些密鑰分量獲取傳輸主密鑰。為了對這一觀點進行深入了解，下文以 Linux 系統(tǒng)為例，分析加密機傳輸密鑰的生成。

在Linux 系統(tǒng)下，密鑰函數(shù)的原型是：

Int HSMAPIGTransKey（ int iKeyLen，intiKerType，char* bCKey，char* bCValue ） ；

需要輸入?yún)?shù)：in t iKeyLen//密鑰字節(jié)長度；

in t iKeyType//密鑰類型：0×01；通信主密鑰。

輸出參數(shù)：

char* bCKey//LMK 加密的隨機密鑰密文；

char* bCValue//隨機密鑰驗證碼。

函數(shù)返回值：

0× 01：//正確返回；

for（i = 0；i

{

ret = HSMAPIGTransKey （iKeyLen，iKeyType，&TransKey

[iKeyLen* i]，check_value} ；

if（ret！ = 0）

{

return ret；

}

}

通過該實例的分析可以確定的是，生成密鑰的流程如下：第一，申請一個隨機工作密鑰，并通過硬件機密機之后生成，以此獲取本地主密鑰加密；第二，完成主密鑰加密，這時申請的工作密鑰也會轉(zhuǎn)變?yōu)槟軌騻鬏數(shù)墓ぷ髅荑€，利用網(wǎng)絡(luò)將工作密鑰發(fā)送到收信方計算機端口便可完成密鑰生成。

對于加密機工作密鑰的生成。針對以加密機加密網(wǎng)絡(luò)安全的系統(tǒng)，完成傳輸主密鑰生成之后，便要生成工作密鑰[5]。通過工作密鑰完成網(wǎng)絡(luò)傳輸報文、敏感數(shù)據(jù)解密、MAC 校驗等工作。為了對網(wǎng)絡(luò)應(yīng)用安全進行保證，工作密鑰動態(tài)要同步進行。利用持續(xù)更新、同步工作密鑰的方式對其安全進行保證。真正通訊期間，雙方針對一些敏感信息需要利用工作密鑰進行加密操作，對報文執(zhí)行MAC加密。而接收報文的人員則要利用工作密鑰，針對已經(jīng)接收的報文實施MAC校驗，對于其中蘊含的敏感信息實施解密。通過加密機請求生成工作密鑰，并對前臺API函數(shù)進行調(diào)用，加密機利用加密算法回到指定傳輸主密鑰加密的工作密鑰中，以網(wǎng)絡(luò)傳輸?shù)姆绞絺鬟f到對方主機中。

2.2 加密機在網(wǎng)絡(luò)安全維護中的應(yīng)用

2.2.1 搭建加密機應(yīng)用框架

加密機硬件框架主要有硬件加密機、防火墻兩個部分。其中防火墻在其中的作用，是在計算機接受外部訪問期間設(shè)置首道安全障礙，為計算機安全進行保證，對設(shè)置的防火墻段篩選外部訪問信息，保證信息的安全性，如果經(jīng)過篩查發(fā)現(xiàn)帶有惡意的非法信息，便可以通過防火墻直接將其隔離。通過防火墻之后，信息會受到硬件加密機的解密校驗，以此完成安全性的再次篩選。對于一些比較高端的木馬病毒、專業(yè)的黑客攻擊，可以直接將其隔離。搭建這種框架主要作用在于能夠?qū)崿F(xiàn)系統(tǒng)內(nèi)部報文的加密和解密，嚴格驗證報文安全性、合法性，如果在其中發(fā)現(xiàn)一些非法性質(zhì)的訪問行為或者敏感信息，可以直接進行隔離處理，以免在網(wǎng)絡(luò)傳輸過程中，或者接收信息之后對系統(tǒng)造成竊取和篡改，進而影響數(shù)據(jù)傳輸安全。在搭建過程中，需要注意兩端密鑰的統(tǒng)一性，也就是在對稱密鑰體系中，需要保證加密、解密兩端密鑰的一致性，一旦其中一端密鑰被更改，另外一端密鑰也需要更改，保證二者的一致性。所以將其中一端密鑰更改，會直接打破整個體系，從而直接阻礙業(yè)務(wù)的繼續(xù)。

2.2.2 加密機相關(guān)技術(shù)實踐應(yīng)用

在加密機相關(guān)技術(shù)中，對稱密鑰、非對稱密鑰加密是多種加密技術(shù)中最為常用的技術(shù)。其一，對稱密鑰加密算法中的發(fā)信方原始數(shù)據(jù)、加密密鑰一般是利用算法完成操作，使其成為無法識別密文。將密文發(fā)送到收信方之后，要利用雙方所共有的算法對其進行解密，使其恢復(fù)成為可讀文件。該操作過程中密鑰的需求僅有一個，便是雙方要提前進行核準。其二，非對稱密鑰加密算法。這一算法中便有兩個密鑰，即公共密鑰、私人密鑰。這兩種密鑰性質(zhì)完全不同，然而卻可以支持互相匹配。利用非對稱密鑰機密算法加密文件時，必須要使用匹配性能好的兩個密鑰，方可進行文件加密以及解密。加密期間一般是使用公共密鑰，而解密則是使用私人密鑰，發(fā)信方要知曉接收方的公共密鑰，然而私人密鑰卻只有收信方一方知曉。所以，使用非對稱加密期間，收發(fā)雙方正式通信之前，收信一方務(wù)必要自身的公共密鑰提前告訴發(fā)信一方，將私人密鑰自己保存。

在當前階段的網(wǎng)絡(luò)安全維護領(lǐng)域中，非對稱密鑰加密的應(yīng)用非常普遍，比較常見的有銀行金融系統(tǒng)數(shù)字證書，這就是通過公共密鑰以及一個用戶的多個屬性私人密鑰綁定的方式，使所有公共密鑰都有數(shù)字證書。這一證書中主要包含用戶的公共密鑰、用戶信息以及數(shù)字簽名等內(nèi)容，用戶可以按照以上所有信息驗證身份。有訪問CA 公共密鑰權(quán)限的收信方，都能夠驗證證書，以此明確用戶是否有CA簽名。在這期間不需要訪問機密信息，并且收信方將自己的私人密鑰解密之后，便可以隨意查看個人信息，且保證不會被惡意竊取、篡改。因為這兩種密鑰都是大素數(shù)，所以可以保證密鑰的安全性和可靠性。

2.3 應(yīng)用加密機實現(xiàn)數(shù)據(jù)保護

在應(yīng)用加密機進行網(wǎng)絡(luò)安全維護過程中，其本身主要面臨下面幾種風險：第一，傳輸數(shù)據(jù)機密性遭到破壞，攻擊人員利用非法手段獲取了網(wǎng)絡(luò)系統(tǒng)信息，或者是破譯了信道數(shù)據(jù)，使內(nèi)聯(lián)網(wǎng)內(nèi)容遭到泄露。其二，對傳輸數(shù)據(jù)的完整性進行了破壞，攻擊人員將網(wǎng)絡(luò)系統(tǒng)線路正在傳輸?shù)臄?shù)據(jù)進行了篡改，或者是利用數(shù)據(jù)傳輸過程中存在的失誤、丟失等問題，破壞了數(shù)據(jù)完整性。其三，破壞了數(shù)據(jù)的真實性。攻擊人員利用偽造網(wǎng)絡(luò)系統(tǒng)數(shù)據(jù)的方式實施詐騙。第四，傳輸線路內(nèi)缺乏高強度的隔離舉措，攻擊人員使用一些公眾網(wǎng)絡(luò)的口令破譯方法，進入至網(wǎng)絡(luò)系統(tǒng)中，從而破解內(nèi)部網(wǎng)重要數(shù)據(jù)。

針對以上風險，可以采用加密機予以解決，使用國家主管部門要求的高強度密碼算法，加密處理數(shù)據(jù)。但是一些以明文訪問IP加密設(shè)備的行為，均會被認為非法訪問遭到拒絕，所以即便攻擊人員使用了非法方式進入內(nèi)聯(lián)網(wǎng)，并且順利接入路由器，也無法對網(wǎng)絡(luò)系統(tǒng)進行訪問。除此之外，網(wǎng)絡(luò)系統(tǒng)中的IP虛擬專用通道，也只有設(shè)置了IP密碼設(shè)備才能夠訪問，并且加密通信，而沒有運用加密機的單位則無法和配備了加密機的單位進行互聯(lián)。

在使用加密機時，用戶可以自己選擇下面一種方式加密傳輸數(shù)據(jù)：第一，凈荷加密形式。凈荷加密其實就是通過直接加密數(shù)據(jù)包內(nèi)部上層凈荷數(shù)據(jù)的方式，完成數(shù)據(jù)的加密傳輸。這種加密方式可以不用修改原數(shù)據(jù)包頭，其根本特點在于只是對凈荷數(shù)據(jù)進行加密或解密，完全不用保護、修改數(shù)據(jù)包頭，保證線路透明，并且不會占用非常多的IP地址。這種加密方式能夠很好地適應(yīng) QoS，在數(shù)據(jù)傳輸方面體現(xiàn)了非常好的優(yōu)勢。第二，IPsec形式。IPsec有傳輸模式以及隧道模。這兩種傳輸模式的運行原理如下：在IP包包頭和上層數(shù)據(jù)中間加入IPsec頭，并且對上層數(shù)據(jù)進行加密處理，在公共網(wǎng)絡(luò)中完成數(shù)據(jù)的傳輸。這種加密方式的特點是對原有IP頭信息進行了保留，也就是所謂的信源/宿地址維持原樣不便，但凡是安全信息均包含在IPsec頭內(nèi)。傳輸方與接收方按照次序進行全封裝傳輸以及拆封還原。此外，隧道模式的運行原理，則是首先將IP數(shù)據(jù)包進行完全加密，其次在其中加入IPsec頭以及全新的IP頭，這里運用到的全新IP頭內(nèi)涵蓋了隧道源/宿地址，一旦在IPsec隧道經(jīng)過的數(shù)據(jù)包傳輸?shù)侥康木W(wǎng)關(guān)，也就是隧道另一端之后，通過IPsec頭內(nèi)部安全信息，針對完成加密的原IP包實施安全處理，并且把已經(jīng)還原的高層數(shù)據(jù)，根據(jù)原IP頭指定IP地址完成遞交和傳輸，進而實現(xiàn)信源/信宿的安全傳輸，以實現(xiàn)加密機的有效運用。

通過以上分析，可以了解到加密機的基礎(chǔ)知識以及在數(shù)據(jù)保護等方面的實際應(yīng)用，需要在使用過程中確保環(huán)境的安全性，搭建加密機應(yīng)用框架，并且應(yīng)用正確的加密機相關(guān)技術(shù)，只有如此才能夠保證網(wǎng)絡(luò)體驗安全。

3 結(jié)語

通過對網(wǎng)絡(luò)安全維護中加密機應(yīng)用的分析可知，在網(wǎng)絡(luò)技術(shù)不斷發(fā)展的當下，安全問題逐漸成為關(guān)注的焦點，而加密機的應(yīng)用，能夠解決黑客、病毒入侵等帶來的安全問題，并且完善網(wǎng)絡(luò)系統(tǒng)，為用戶的網(wǎng)絡(luò)體驗提供安全保障。當然，加密機的使用依然存在有待完善之處，需要在未來的發(fā)展中不斷研究加以優(yōu)化。

參考文獻

[1]翁永生.加密機在廣東郵政個性化平臺的應(yīng)用[J].電子技術(shù)與軟件工程，2014，（03）：40-42.（2014-03-24）

[2]王志文，丁建鋒，劉文斌. SCA電臺與高保障IP加密機的一體化設(shè)計研究[J].信息安全與通信保密，2014，（07）：74-78.

[3]曲英杰，黃東偉.可移動高性能電腦加密機控制模塊設(shè)計[J].科技信息，2010，（05）：70+38.

[4]張人上，李雅韻，安俊娥.基于加密機制模式的無線路由器網(wǎng)絡(luò)安全設(shè)計[J].火力與指揮控制，2016，41（08）：169-173.

[5]蔣溢，劉雨龍，羅宇豪.基于混沌Z-映射的QR碼加密機制[J].計算機工程與設(shè)計，2016，37（09）：2361-2365.endprint