國密SSL在廣西網(wǎng)絡(luò)廣播電視臺中的應(yīng)用

□鄭冰

隨著金融安全上升到國家安全高度，近年來國家有關(guān)機關(guān)和監(jiān)管機構(gòu)站在國家安全和長遠(yuǎn)戰(zhàn)略的高度提出了推動國密算法應(yīng)用實施、加強行業(yè)安全可控的要求。擺脫對國外技術(shù)和產(chǎn)品的過度依賴，建設(shè)行業(yè)網(wǎng)絡(luò)安全環(huán)境，增強我國行業(yè)信息系統(tǒng)的“安全可控”能力顯得尤為必要和迫切。

2017年6月1日正式實施的《網(wǎng)絡(luò)安全法》，是我國第一部全面規(guī)范網(wǎng)絡(luò)空間安全管理的基礎(chǔ)性法律，可見網(wǎng)絡(luò)安全保護(hù)已經(jīng)上升為法律規(guī)定的強制義務(wù)。電子前沿基金會(EFF)的報告顯示，50%的網(wǎng)絡(luò)流量已啟用加密。加密已成互聯(lián)網(wǎng)大趨勢，百度、淘寶、天貓、京東、亞馬遜中國等國內(nèi)網(wǎng)站流量之王，都陸續(xù)啟用了全站加密。廣西網(wǎng)絡(luò)廣播電視臺作為負(fù)責(zé)任的新媒體，肩負(fù)著黨和國家信息傳播的重要使命，信息安全播出是我們工作的重中之重，必須保障發(fā)布信息的安全、準(zhǔn)確。SSL數(shù)字認(rèn)證加密就是用于保證信息安全的方法之一。

一、國密的意義與優(yōu)勢

（一）使用國密算法的意義

密碼算法是保障信息安全的核心技術(shù)，尤其是最關(guān)鍵的銀行業(yè)核心領(lǐng)域長期以來都是沿用3DES、SHA-1、RSA等國際通用的密碼算法體系及相關(guān)標(biāo)準(zhǔn)。2010年底，國家密碼管理局公布了我國自主研制的“橢圓曲線公鑰密碼算法”（SM2算法）。為保障重要經(jīng)濟系統(tǒng)密碼應(yīng)用安全，國家密碼管理局于2011年發(fā)布了《關(guān)于做好公鑰密碼算法升級工作的通知》，要求“自2011年3月1日起，在建和擬建公鑰密碼基礎(chǔ)設(shè)施電子認(rèn)證系統(tǒng)和密鑰管理系統(tǒng)應(yīng)使用國密算法。自2011年7月1日起，投入運行并使用公鑰密碼的信息系統(tǒng)，應(yīng)使用SM2算法”。

（二）國密優(yōu)勢

國密即國家密碼局認(rèn)定的國產(chǎn)密碼算法，即商用密碼。國密算法相對于國際通用算法具有一定的優(yōu)勢，如圖1。

圖1 國際算法與國密算法對比

SM2橢圓曲線公鑰密碼算法是我國自主設(shè)計的公鑰密碼算法，包括SM2-1橢圓曲線數(shù)字簽名算法、SM2-2橢圓曲線密鑰交換協(xié)議和SM2-3橢圓曲線公鑰加密算法，分別用于實現(xiàn)數(shù)字簽名密鑰協(xié)商和數(shù)據(jù)加密等功能。與RSA算法不同的是，SM2算法是基于橢圓曲線上點群離散對數(shù)難題，相對于RSA算法，256位的SM2密碼強度已經(jīng)比2048位的RSA密碼強度要高。

二、部署與開發(fā)

（一）服務(wù)器部署

國密服務(wù)器部署在業(yè)務(wù)系統(tǒng)服務(wù)端安全域中，配置相互獨立的核心服務(wù)網(wǎng)絡(luò)接口和WEB管理服務(wù)網(wǎng)絡(luò)接口，區(qū)別于傳統(tǒng)的證書應(yīng)用中間件，數(shù)字簽名驗證服務(wù)器將安全組件、密碼運算庫統(tǒng)一封裝在硬件平臺內(nèi)，分別用于簽名驗證服務(wù)和后臺管理服務(wù)，可以有效避免外界攻擊。（圖2）

圖2 服務(wù)器部署網(wǎng)絡(luò)拓?fù)鋱D

（二）系統(tǒng)特點

系統(tǒng)采用B/S技術(shù)開發(fā)架構(gòu)，注重的主要是廣西網(wǎng)絡(luò)廣播電視臺的后臺數(shù)據(jù)安全防護(hù)，具有良好的穩(wěn)定性和較強的防黑客安全性。

1.基于B/S架構(gòu)的SSL證書認(rèn)證系統(tǒng)

傳統(tǒng)的C/S（Client/Server）架構(gòu)系統(tǒng)安全性雖然高，但只能在局域網(wǎng)中使用，正因為如此，隨著用戶移動辦公需求的日漸增加，這個特性也成為了C/S的一大缺點，例如辦公OA，用戶不能隨時隨地進(jìn)行查詢、瀏覽等業(yè)務(wù)處理，B/S（Browser/Server）彌補了這個缺陷。用戶可以不受時間與地點的限制，只要有網(wǎng)絡(luò)，就可以隨時隨地工作。但是因為B/S架構(gòu)是分布在外網(wǎng)的，任何人只需要知道網(wǎng)站的域名，就可以在任何地方訪問到部署的系統(tǒng)，存在一定的安全隱患。SSL證書認(rèn)證系統(tǒng)的產(chǎn)生，做到了數(shù)據(jù)安全性最大化，做到一人一KEY，人在KEY在，人走KEY走。個人證書和服務(wù)器證書做到一年一換，黑客破解的可能性幾乎為零。

2.三重機制環(huán)環(huán)相扣，時時驗證

系統(tǒng)使用三重防護(hù)機制，三重機制環(huán)環(huán)相扣，時時驗證，只要有一重驗證失敗，將立即拒絕操作。使用數(shù)字證書的私鑰對被簽名數(shù)據(jù)的摘要值進(jìn)行加密，在進(jìn)行簽名驗證時，用數(shù)字證書（即公鑰）來進(jìn)行驗證，用公鑰解密數(shù)據(jù)，然后用相同的摘要算法對被簽名數(shù)據(jù)做摘要運算，將結(jié)果進(jìn)行比對，若相符，則驗證通過，否則驗證無效，如圖3。

圖3 未插入UKEY時訪問后臺無法登錄的截圖

通過驗證進(jìn)入網(wǎng)站后臺管理員登錄界面后，使用第二道雙重加密技術(shù)。首先，使用MD5摘要算法對數(shù)據(jù)進(jìn)行第一次加密，然后使用可逆式關(guān)鍵字加解密對管理員密碼進(jìn)行第二次加密，其中加解密過程中所使用的關(guān)鍵字可任意設(shè)定，系統(tǒng)將根據(jù)自行設(shè)定的關(guān)鍵字對數(shù)據(jù)進(jìn)行解密并對比認(rèn)證，如果對比失敗，則拒絕用戶繼續(xù)訪問。

經(jīng)授權(quán)的管理員成功登錄管理界面后，只能根據(jù)所分配的權(quán)限對后臺內(nèi)容進(jìn)行編輯、更新等操作，使用該權(quán)限劃分機制，可以靈活地為每一個管理員分配適當(dāng)?shù)墓芾頇?quán)限，以保證內(nèi)容的安全性。代碼片段如圖4。

圖4

3.具有強抗抵賴性防身份偽造認(rèn)證功能

數(shù)字簽名技術(shù)是實現(xiàn)信息抗抵賴性的有效技術(shù)，系統(tǒng)利用數(shù)字簽名技術(shù)，實現(xiàn)系統(tǒng)的信息抗抵賴性需求。證書的私鑰只有數(shù)字證書的擁有者才擁有，其他人得不到擁有者的私鑰。授權(quán)用戶提交個人身份證書后，后臺登錄界面將自動獲取用戶登錄名，用戶無法進(jìn)行更改。通過數(shù)字簽名和簽名驗證，可以確定數(shù)據(jù)的確是數(shù)字證書的擁有者發(fā)送的，防止用戶對提交的數(shù)據(jù)進(jìn)行抵賴。此外，私鑰和數(shù)字證書擁有者無法對預(yù)寫入的信息摘要進(jìn)行修改，也防止了身份偽造的發(fā)生。

4.具有管理員操作可復(fù)查性，做到管理員操作“有章可循，有據(jù)可查”

從被授權(quán)用戶登錄那一刻開始，系統(tǒng)將全程記錄用戶的所有操作軌跡，這些記錄將用于超管對數(shù)據(jù)進(jìn)行復(fù)查。

5.UKEY實時監(jiān)控

該系統(tǒng)能夠?qū)崟r監(jiān)控UKEY是否存在于操作電腦上，如果檢測到UKEY已經(jīng)被拔出，將在1秒鐘內(nèi)彈出提示“您的UKEY已經(jīng)不在計算機上”，頁面自動跳轉(zhuǎn)到退出登錄界面，并顯示拒絕訪問信息，這樣保證了其他惡意者在用戶離開電腦后擅自使用授權(quán)用戶的帳號對后臺進(jìn)行更改，做到了人在KEY在，人走KEY走。

（三）存在的問題與解決

在實際開發(fā)對接中我們發(fā)現(xiàn)無法使用WindowsIIS的雙向認(rèn)證功能，會導(dǎo)致用戶在不插UKEY的情況下仍可訪問CMS的URL頁面。經(jīng)查找資料發(fā)現(xiàn)，雖然國密算法相對于國際通用算法更安全，更難以被破解，但并沒有整合到Windows操作系統(tǒng)中，而國際算法的相關(guān)功能直接整合到了Windows操作系統(tǒng)，可以通過雙向認(rèn)證的方式，如發(fā)現(xiàn)用戶沒有插入UKEY會直接拒絕用戶訪問并提出警告，可見，國密算法還存在一定的安全隱患。使用用戶登錄狀態(tài)認(rèn)證和程序級別雙向認(rèn)證可以在一定程度上達(dá)到安全要求。用戶在訪問頁面URL時，服務(wù)器實時到國密服務(wù)器獲取一個隨機值并進(jìn)行簽名，頁面加載完成后，訪問UKEY進(jìn)行解密并且再次將解密的隨機值進(jìn)行二次簽名返回給國密服務(wù)器進(jìn)行比對，如發(fā)現(xiàn)UKEY被拔出或者數(shù)據(jù)比對不通過，則拒絕用戶繼續(xù)訪問，并跳出到用戶登錄界面。代碼片段如圖5。

圖5

至此，國密SSL加密部署開發(fā)完成。

三、結(jié)論

廣西網(wǎng)絡(luò)廣播電視臺作為廣西電視臺新媒體，廣西最大的網(wǎng)絡(luò)視頻播出平臺，在安全防護(hù)方面更加需要嚴(yán)格的訪問安全控制機制。利用這套系統(tǒng)，廣西網(wǎng)絡(luò)廣播電視臺可以對進(jìn)入后臺操作的管理員實施嚴(yán)格的管理和監(jiān)控，通過管理日志可以追蹤管理員的每一步操作，同時，網(wǎng)站可以發(fā)展編外團(tuán)隊，把網(wǎng)站部分內(nèi)容“承包”給外人維護(hù)，并保證一切都在掌控之內(nèi)。在未來，利用該系統(tǒng)的UKEY可以內(nèi)置更多的用戶信息，例如用戶興趣、地址、資費等，開展網(wǎng)絡(luò)購物和網(wǎng)絡(luò)付費點播等各項業(yè)務(wù)。該系統(tǒng)使用以來，有效地保障了廣西網(wǎng)絡(luò)廣播電視臺數(shù)據(jù)的安全，使用期間沒有發(fā)生安全事故。在網(wǎng)絡(luò)時代，黑客與防黑客，破解與防破解的技術(shù)永遠(yuǎn)都是“道高一尺，魔高一丈”，互聯(lián)網(wǎng)上沒有永遠(yuǎn)不被攻破的“馬其諾防線”和“特洛伊城”，國密算法也還存在著一些不足，在以后的開發(fā)和實踐中，仍需繼續(xù)對廣西網(wǎng)絡(luò)廣播電視臺的安全播出機制不斷改進(jìn)和完善。