教育電子政務(wù)平臺(tái)安全性問(wèn)題的研究與實(shí)踐

馮勝安

（滁州職業(yè)技術(shù)學(xué)院，安徽 滁州 239000）

教育電子政務(wù)平臺(tái)安全性問(wèn)題的研究與實(shí)踐

馮勝安

（滁州職業(yè)技術(shù)學(xué)院，安徽 滁州 239000）

教育電子政務(wù)平臺(tái)是教育系統(tǒng)通用的公文與信息交換平臺(tái)，已經(jīng)在全國(guó)教育系統(tǒng)廣泛使用。系統(tǒng)基于IP網(wǎng)絡(luò)通信，數(shù)據(jù)默認(rèn)為明文傳輸，存在許多安全隱患。IPSec協(xié)議能夠?yàn)榛贗P網(wǎng)絡(luò)通信提供身份認(rèn)證、完整性檢查、機(jī)密性保護(hù)等安全服務(wù)。在網(wǎng)絡(luò)中合理地部署IP安全策略，可以有效解決教育電子政務(wù)平臺(tái)數(shù)據(jù)通信的安全性問(wèn)題。

電子政務(wù)平臺(tái)；IPSec；安全策略

為實(shí)現(xiàn)教育系統(tǒng)全國(guó)統(tǒng)一的電子政務(wù)文件信息交換，教育部自2001年起開(kāi)始規(guī)劃和建設(shè)教育電子政務(wù)應(yīng)用體系框架，在教育部教育信息中心的指導(dǎo)下，北京網(wǎng)盟信息技術(shù)發(fā)展有限公司研制了“育軟電子政務(wù)平臺(tái)（Edoasoft）”。目前已經(jīng)在教育主管部門和高校普遍使用，實(shí)現(xiàn)教育系統(tǒng)各級(jí)行政部門以及各級(jí)各類學(xué)校電子公文、信息、數(shù)據(jù)的上傳和下達(dá)功能，整合了辦公與事物處理、電子簽章、用戶管理、數(shù)據(jù)管理與分析等，是一套教育電子政務(wù)綜合解決方案。滁州職業(yè)技術(shù)學(xué)院于2006年通過(guò)省教育廳接入教育電子政務(wù)平臺(tái)，實(shí)現(xiàn)內(nèi)部文件的網(wǎng)絡(luò)傳輸，以及與省教育廳的文件上傳和接收，方便了日常工作，提高了工作效率。

教育電子政務(wù)平臺(tái)是在Windows Server 2003＋JBoss＋ MYSQL＋I(xiàn)E 7.0環(huán)境下運(yùn)行，通過(guò)外網(wǎng)與省教育廳相連，省教育廳又通過(guò)外網(wǎng)與教育部相連。通過(guò)校內(nèi)電子政務(wù)服務(wù)器，實(shí)現(xiàn)校園內(nèi)部文件的網(wǎng)上處理，其網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如下圖1所示。

圖1 教育電子政務(wù)平臺(tái)拓?fù)鋱D

在使用過(guò)程中發(fā)現(xiàn)，用戶的帳號(hào)、密碼等信息在網(wǎng)上傳輸時(shí)均為明文，極易被非授權(quán)用戶監(jiān)聽(tīng)，存在很大的安全隱患。IPSec是由IETF（Internet Engineering Task Force，Internet工程任務(wù)組）的IPSec工作組開(kāi)發(fā)的工業(yè)標(biāo)準(zhǔn)，是用于解決IPv4的安全性問(wèn)題的一組協(xié)議集［1］。在實(shí)踐中發(fā)現(xiàn)，通過(guò)合理的部署和配置IP安全策略，可以解決平臺(tái)的安全性問(wèn)題。

一、平臺(tái)存在的問(wèn)題

教育電子政務(wù)平臺(tái)采用瀏覽器／服務(wù)器（Browser／Server，B／S）架構(gòu)，使用 HTTP（hypertext transport protocol）協(xié)議。HTTP是請(qǐng)求與響應(yīng)模式的、無(wú)狀態(tài)的、應(yīng)用層的協(xié)議，是基于TCP／IP的連接方式［4］。默認(rèn)情況下，傳輸?shù)恼?qǐng)求和響應(yīng)數(shù)據(jù)均為明文，包括用戶名和密碼等信息。這些數(shù)據(jù)在網(wǎng)絡(luò)傳輸過(guò)程中可能被第三方利用抓包工具獲取。下圖2為使用Wireshark抓獲的教育電子政務(wù)平臺(tái)用戶登錄信息，其中包含了用戶名（username）和密碼（pword）等信息。

圖2 Wireshark工具抓獲數(shù)據(jù)

由上圖可以看出，系統(tǒng)使用HTTP協(xié)議傳輸member.jsp文件，其中包含的用戶信息均為明文，并且很容易被無(wú)授權(quán)用戶獲得，平臺(tái)存在很大的安全隱患。這也是B／S架構(gòu)固有的問(wèn)題，B／S架構(gòu)的系統(tǒng)自身很難提供認(rèn)證、加密等安全措施。解決問(wèn)題的有效方法是采用第三方安全工具對(duì)網(wǎng)絡(luò)中提交的機(jī)密和敏感信息進(jìn)行封裝和加密。

二、IPSec技術(shù)介紹

IPSec（Internet Protocol Security）作為網(wǎng)絡(luò)層的通用安全協(xié)議廣泛應(yīng)用于構(gòu)建企業(yè)級(jí)VPN（Virtual Private Network，簡(jiǎn)稱VPN），在企業(yè)局域網(wǎng)內(nèi)部和其他公共互聯(lián)網(wǎng)業(yè)務(wù)中使用較少［2］。而網(wǎng)絡(luò)攻擊大部分來(lái)自企業(yè)內(nèi)部網(wǎng)絡(luò)，通過(guò)合理地配置IPSec安全策略，可以有效地提高整個(gè)網(wǎng)絡(luò)的安全性。

（一）IPSec主要協(xié)議［1］

1.驗(yàn)證報(bào)頭（Authentication Header，AH）協(xié)議

AH協(xié)議為整個(gè)數(shù)據(jù)包提供身份驗(yàn)證、完整性和反重播。AH不提供數(shù)據(jù)加密功能，不提供數(shù)據(jù)機(jī)密性保護(hù)。AH通過(guò)密鑰的散列來(lái)提供傳輸數(shù)據(jù)的完整性，現(xiàn)在支持的散列算法包括HMAC MD5和HMAC SHA。MD5產(chǎn)生一個(gè)128位的值，SHA產(chǎn)生一個(gè)160位的值。相比較SHA更安全，MD5算法速度更快。

2.封 裝 安 全 負(fù) 載 （Encapsulation Security Payload，ESP）協(xié)議

ESP協(xié)議比AH協(xié)議復(fù)雜，除了AH具有的功能外，ESP還提供機(jī)密性。其中，數(shù)據(jù)機(jī)密性是ESP協(xié)議的基本功能，數(shù)據(jù)源身份認(rèn)證、數(shù)據(jù)完整性檢驗(yàn)和反重放攻擊保護(hù)都是可選的［3］。ESP可以單獨(dú)使用，也可以與AH組合使用。

3.Internet密鑰交換（Internet Exchange，IKE）協(xié)議

IKE協(xié)議是IPSec目前正式確定的密鑰交換協(xié)議，它定義了通信實(shí)體間進(jìn)行身份認(rèn)證、創(chuàng)建安全聯(lián)盟、協(xié)商加密算法，以及生成共享會(huì)話密鑰的方法。IPSec通信雙方可以通過(guò)IKE動(dòng)態(tài)生成并交換密鑰，獲得更高的安全性。

（二）IPSec工作模式

IPSec協(xié)議有兩種模式：傳輸模式和隧道模式［5］。

1.傳輸模式

IPSec傳輸模式只對(duì)IP數(shù)據(jù)報(bào)的上層數(shù)據(jù)部分提供保護(hù)，適用于兩個(gè)主機(jī)之間的通信，即源主機(jī)和目的主機(jī)之間實(shí)現(xiàn)完整的端對(duì)端通信保護(hù)。傳輸模式通過(guò)AH和ESP報(bào)頭對(duì)IP有效荷載提供保護(hù)。

2.隧道模式

隧道模式對(duì)整個(gè)IP數(shù)據(jù)包提供保護(hù)，實(shí)現(xiàn)路由器、網(wǎng)關(guān)之間的安全通信。隧道模式通過(guò)AH和ESP提供對(duì)整個(gè)IP數(shù)據(jù)包的保護(hù)。使用隧道模式時(shí)，將通過(guò)AH或ESP報(bào)頭與其他IP報(bào)頭來(lái)封裝整個(gè)IP數(shù)據(jù)包。外部IP報(bào)頭的IP地址是隧道終結(jié)點(diǎn)，封裝的IP報(bào)頭的IP地址是最終地址與目標(biāo)地址。

（三）IPSec的應(yīng)用

1.計(jì)算機(jī)之間的安全通信［5］

采用IPSec協(xié)議傳輸模式，可以實(shí)現(xiàn)計(jì)算機(jī)之間的端對(duì)端的安全通信。通過(guò)在服務(wù)器和客戶端計(jì)算機(jī)上配置IPSec，可以實(shí)現(xiàn)服務(wù)器與客戶端、服務(wù)器與服務(wù)器、客戶端與客戶端之間的網(wǎng)絡(luò)通信安全。從而能夠保證局域網(wǎng)內(nèi)部教育電子政務(wù)平臺(tái)的安全性。

2.網(wǎng)絡(luò)之間的安全通信

IPSec協(xié)議隧道模式用于實(shí)現(xiàn)網(wǎng)絡(luò)之間的安全通信。通過(guò)在路由器（網(wǎng)關(guān)）之間建立IPSec隧道，讓封裝的數(shù)據(jù)包在網(wǎng)絡(luò)中的隧道內(nèi)部傳輸，從而保證了數(shù)據(jù)傳輸?shù)陌踩??？梢杂糜诮逃娮诱?wù)平臺(tái)各節(jié)點(diǎn)（如，省、市教育——地方院校）之間傳輸數(shù)據(jù)的安全保護(hù)。

3.L2TP（Layer 2Tunneling Protocol，第二層隧道協(xié)議）虛擬專用網(wǎng)絡(luò)

L2TP和IPSec協(xié)議結(jié)合使用，可在任何IP網(wǎng)絡(luò)上為IP、IPX和其他協(xié)議包提供隧道的安全性。IPSec協(xié)議隧道模式只提供IP數(shù)據(jù)包的安全性，只有L2TP和IPSec結(jié)合使用才可以為其他協(xié)議提供更完整的安全性?？梢杂糜诮逃娮诱?wù)平臺(tái)各節(jié)點(diǎn)（如，省、市教育——地方院校）之間傳輸數(shù)據(jù)的安全保護(hù)。

三、IPSec技術(shù)在教育電子政務(wù)平臺(tái)局域網(wǎng)中的實(shí)踐

IPSec的相關(guān)服務(wù)部分由微軟和Cisco公司共同開(kāi)發(fā)，為網(wǎng)絡(luò)通信提供端到端的身份驗(yàn)證、完整性、反重播和保密性?，F(xiàn)在幾乎所有廠商的操作系統(tǒng)和網(wǎng)絡(luò)硬件設(shè)備都支持IPSec協(xié)議。因此，利用IPSec協(xié)議的安全特性，可以有效地解決教育電子政務(wù)平臺(tái)存在的安全性問(wèn)題。在Windows操作系統(tǒng)中，Internet協(xié)議安全（IPSec）管理，是以“IP安全策略管理”的形式配置的，具體配置如下：

（一）服務(wù)器端配置

在“開(kāi)始”菜單中單擊“運(yùn)行”，輸入 MMC，打開(kāi)控制臺(tái)窗口，添加“IP安全策略管理”?，F(xiàn)在國(guó)內(nèi)高校局域網(wǎng)多為工作組模式，因此，選擇管理單元要管理的計(jì)算機(jī)或域?yàn)椤氨镜赜?jì)算機(jī)”。在IP安全策略管理窗口中創(chuàng)建IP安全策略，此例中名稱為“edoas”。不激活默認(rèn)響應(yīng)規(guī)則，在“edoas屬性窗口”中添加IP安全規(guī)則，選擇“此規(guī)則不指定隧道”，網(wǎng)絡(luò)類型為“所有網(wǎng)絡(luò)連接”。在“IP篩選列表”中添加新的IP篩選列表，指定源地址為“我的IP地址”，目標(biāo)地址為“任何IP地址”。選擇協(xié)議類型為“任意”。為了允許非安全客戶端連接 ，在篩選器操作中選擇“請(qǐng)求安全（可選）”。身份驗(yàn)證方式選擇“使用此字符串保護(hù)密鑰交換（預(yù)共享密鑰）”，同時(shí)輸入預(yù)共享密鑰。然后指派edoas安全策略。完成后的控制臺(tái)窗口如下圖3所示。

圖3 IP安全策略服務(wù)器端配置窗口

（二）客戶端配置

客戶端支持安全通信和非安全通信兩種模式，非安全通信的客戶端不需要做任何配置。安全通信的客戶端需要配置IP安全策略，配置方法與服務(wù)器端基本相同，只是目標(biāo)地址應(yīng)指定為校內(nèi)電子政務(wù)平臺(tái)服務(wù)器地址，如：223.244.233.22。身份驗(yàn)證方式選擇“使用此字符串保護(hù)密鑰交換（預(yù)共享密鑰）”，共享密鑰必須與服務(wù)器端相同。

完成配置后，如客戶端啟用IP安全策略，則數(shù)據(jù)通信為加密方式，具有較高的安全性。如果用戶不啟用IP安全策略，則數(shù)據(jù)通信仍然是明文的。用戶可以根據(jù)需要決定是否啟用IP安全策略，具有較強(qiáng)的靈活性。啟用IP安全策略后，使用Wireshark獲取客戶端登錄信息的數(shù)據(jù)報(bào)文如下圖4所示。

圖4 配置IP安全策略后的通信報(bào)文

由上圖可以看出，網(wǎng)絡(luò)中傳輸?shù)男畔⑹褂昧薊SP協(xié)議封裝和加密，用戶提交的登錄信息都是密文，使用抓包工具無(wú)法直接獲取用戶名、密碼等敏感信息。與上圖2所示的明文傳輸方式相比，系統(tǒng)具有了更高的安全，保證了網(wǎng)絡(luò)中用戶信息傳輸?shù)陌踩浴?/p>

四、結(jié)束語(yǔ)

教育電子政務(wù)平臺(tái)作為教育系統(tǒng)通用文件傳輸平臺(tái)，擔(dān)負(fù)著文件的上傳和下載功能，但其安全性一直沒(méi)有得到足夠重視，勢(shì)必影響該平臺(tái)的深層次應(yīng)用。相比其他安全協(xié)議，IPSec能夠提供更為廣泛和通用的安全保護(hù)，在網(wǎng)絡(luò)中強(qiáng)制部署IP安全策略，能夠在技術(shù)層面很好地解決電子政務(wù)平臺(tái)安全性問(wèn)題。同時(shí)，IPSec協(xié)議還可以與其他安全技術(shù)結(jié)合使用，應(yīng)用于企業(yè)網(wǎng)內(nèi)部網(wǎng)絡(luò)安全的多個(gè)方面，為基于IPv4的網(wǎng)絡(luò)提供更全面的安全性保障。

［1］王曉卉.基于IPSec協(xié)議網(wǎng)絡(luò)安全訪問(wèn)的研究［J］.黑龍江科技信息，2011，（3）：79.

［2］紀(jì)曉霞.IPSec在局域網(wǎng)的簡(jiǎn)易化實(shí)施［J］.現(xiàn)代計(jì)算機(jī)，2011，（8）：51－52.

［3］陳 湉，謝 瑋.IPSec技術(shù)應(yīng)用前景分析［J］.電信網(wǎng)技術(shù)，2010，11（11）：45－49.

［4］李 英，胡廉民.IPSec與 NAT協(xié)議兼容性研究［J］.樂(lè)山師范學(xué)院學(xué)報(bào)，2010，25（12）：30－31.

［5］鮑漪瀾.基于IPSec協(xié)議的虛擬局域網(wǎng)安全系統(tǒng)設(shè)計(jì)及實(shí)現(xiàn)［D］.大連：大連輕工業(yè)學(xué)院，2007.

TP309

A

1673-1794（2012）03-0089-03

馮勝安（1966－），男，高級(jí)講師，碩士，研究方向：計(jì)算機(jī)應(yīng)用、網(wǎng)絡(luò)安全。

2012-01-23